The OVAL Astra Linux 5.11.1 2026-09-26T12:24:37.483217+00:00 Astra Linux 1.8 liblivemedia In Live Networks, Inc., liblivemedia version 20200625, there is a potential buffer overflow bug in the server handling of a RTSP "PLAY" command, when the command specifies seeking by absolute time. Уязвимость компонента RTSP PLAY Command Handler группы библиотек для потоковой передачи мультимедиа Live555 связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:P/I:P/A:P', score=7.5) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимости воспользуйтесь одним из следующих способов: 1. Удалить ПО liblivemedia, если оно не используется и не является зависимостью других используемых пакетов 2. При использовании функций библиотеки liblivemedia необходимо настроить максимальную длину принимаемых RTSP команд и параметров. Astra Linux 1.8 liblivemedia Vulnerability in the AC3AudioFileServerMediaSubsession, ADTSAudioFileServerMediaSubsession, and AMRAudioFileServerMediaSubsessionLive OnDemandServerMediaSubsession subclasses in Networks LIVE555 Streaming Media before 2021.3.16. Уязвимость подклассов AC3AudioFileServerMediaSubsession, ADTSAudioFileServerMediaSubsession, AMRAudioFileServerMediaSubsessionLive и OnDemandServerMediaSubsession группы библиотек для потоковой передачи мультимедиа Live555 связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:N/I:N/A:P', score=5.0) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) liblivemedia: - Отказаться от использования библиотеки liblivemedia - При использовании ПО, использующего библиотеку liblivemedia, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку liblivemedia, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 openjpeg2 A heap-based buffer overflow was found in openjpeg in color.c:379:42 in sycc420_to_rgb when decompressing a crafted .j2k file. An attacker could use this to execute arbitrary code with the permissions of the application compiled against openjpeg. Уязвимость компонента color.c функции sycc420_to_rgb библиотеки для кодирования и декодирования изображений OpenJPEG связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного .j2k файла [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:P/I:P/A:P', score=6.8) NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) openjpeg2: - Используйте openjpeg2 с минимально необходимыми привилегиями - Активировать режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - При использовании ПО openjpeg2 выполнять обработку файлов, полученных только из доверенных источников Astra Linux 1.8 liblivemedia Live555 through 1.08 mishandles huge requests for the same MP3 stream, leading to recursion and s stack-based buffer over-read. An attacker can leverage this to launch a DoS attack. Уязвимость компонента MP3 Stream Handler группы библиотек для потоковой передачи мультимедиа Live555 связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:N/I:N/A:P', score=5.0) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) liblivemedia: - Отказаться от использования библиотеки liblivemedia - При использовании ПО, использующего библиотеку liblivemedia, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку liblivemedia, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 liblivemedia Live555 through 1.08 does not handle MPEG-1 or 2 files properly. Sending two successive RTSP SETUP commands for the same track causes a Use-After-Free and daemon crash. Уязвимость группы библиотек для потоковой передачи мультимедиа Live555 связана с некорректной обработкой последовательности двух команд RTSP SETUP. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) liblivemedia: - Отказаться от использования библиотеки liblivemedia - При использовании ПО, использующего библиотеку liblivemedia, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку liblivemedia, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 liblivemedia Live555 through 1.08 does not handle Matroska and Ogg files properly. Sending two successive RTSP SETUP commands for the same track causes a Use-After-Free and daemon crash. Уязвимость группы библиотек для потоковой передачи мультимедиа Live555 связана с некорректной обработкой последовательности двух команд RTSP SETUP. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) liblivemedia: - Отказаться от использования библиотеки liblivemedia - При использовании ПО, использующего библиотеку liblivemedia, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку liblivemedia, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 liblivemedia Live555 through 1.08 has a memory leak in AC3AudioStreamParser for AC3 files. Уязвимость компонента AC3 File Handler группы библиотек для потоковой передачи мультимедиа Live555 связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:N/I:N/A:P', score=5.0) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) liblivemedia: - Отказаться от использования библиотеки liblivemedia - При использовании ПО, использующего библиотеку liblivemedia, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку liblivemedia, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 liblivemedia liveMedia/FramedSource.cpp in Live555 through 1.08 allows an assertion failure and application exit via multiple SETUP and PLAY commands. Уязвимость команды PLAY группы библиотек для потоковой передачи мультимедиа Live555 связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) liblivemedia: - Отказаться от использования библиотеки liblivemedia - При использовании ПО, использующего библиотеку liblivemedia, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку liblivemedia, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 linux-6.1 A flaw was found in the filelock_init in fs/locks.c function in the Linux kernel. This issue can lead to host memory exhaustion due to memcg not limiting the number of Portable Operating System Interface (POSIX) file locks. Уязвимость функции filelock_init механизма блокировок (fs/locks.c) ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 glusterfs In Gluster GlusterFS 11.0, there is an xlators/cluster/dht/src/dht-common.c dht_setxattr_mds_cbk use-after-free. Уязвимость функции dht_setxattr_mds_cbk компонента xlators/cluster/dht/src/dht-common.c файловой системы GlusterFS связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) glusterfs: - Отказаться от использования ПО glusterfs в пользу ПО ceph - При использовании ПО glusterfs выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 mongo-c-driver When calling bson_utf8_validate on some inputs a loop with an exit condition that cannot be reached may occur, i.e. an infinite loop. This issue affects All MongoDB C Driver versions prior to versions 1.25.0. Уязвимость функции bson_utf8_validate() библиотеки MongoDB C Driver связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835'), NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) mongo-c-driver: - Запускайте mongo-c-driver с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам mongo-c-driver так, чтобы их могли изменять только администраторы системы. - Задействуйте контейнеризацию (например, Docker) Astra Linux 1.8 liblivemedia A heap-use-after-free vulnerability was found in live555 version 2023.05.10 while handling the SETUP. Уязвимость компонента Setup Handler группы библиотек для потоковой передачи мультимедиа Live555 связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимости воспользуйтесь одним из следующих способов: 1. Удалить ПО liblivemedia, если оно не используется и не является зависимостью других используемых пакетов 2. При использовании функций библиотеки liblivemedia необходимо настроить ограничения на количество одновременных RTSP SETUP запросов. Astra Linux 1.8 exim4 Exim dnsdb Out-Of-Bounds Read Information Disclosure Vulnerability. This vulnerability allows network-adjacent attackers to disclose sensitive information on affected installations of Exim. Authentication is not required to exploit this vulnerability. The specific flaw exists within the smtp service, which listens on TCP port 25 by default. The issue results from the lack of proper validation of user-supplied data, which can result in a read past the end of an allocated buffer. An attacker can leverage this in conjunction with other vulnerabilities to execute arbitrary code in the context of the service account. . Was ZDI-CAN-17643. Уязвимость почтового сервера Exim связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N', score=3.1) Используйте надежный преобразователь DNS, который способен проверять данные в соответствии с типами записей DNS. Astra Linux 1.8 ansible A flaw was found in the Ansible Automation Platform. When creating a new keypair, the ec2_key module prints out the private key directly to the standard output. This flaw allows an attacker to fetch those keys from the log files, compromising the system's confidentiality, integrity, and availability. Уязвимость модуля ec2_key системы управления конфигурациями Ansible связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-497')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) Для нейтрализации угрозы эксплуатации уязвимости необходимо: 1. Обеспечить возможность запуска ansible только доверенными пользователями ОС 2. Активировать режим Киоск-2 для непривилегированных пользователей системы 3. Обеспечить применение ПО ansible только на выделенном уровне целостности Astra Linux 1.8 exim4 Exim before 4.97.1 allows SMTP smuggling in certain PIPELINING/CHUNKING configurations. Remote attackers can use a published exploitation technique to inject e-mail messages with a spoofed MAIL FROM address, allowing bypass of an SPF protection mechanism. This occurs because Exim supports <LF>.<CR><LF> but some other popular e-mail servers do not. Уязвимость реализации протокола SMTP почтового сервера Exim связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-345')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) exim4: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска exim4 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.03.1. psi/zmisc1.c, when SAFER mode is used, allows eexec seeds other than the Type 1 standard. Уязвимость компонента psi/zmisc1.c набора программного обеспечения обработки документов Ghostscript связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=5.5) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gfs2: Fix slab-use-after-free in gfs2_qd_dealloc In gfs2_put_super(), whether withdrawn or not, the quota should be cleaned up by gfs2_quota_cleanup(). Otherwise, struct gfs2_sbd will be freed before gfs2_qd_dealloc (rcu callback) has run for all gfs2_quota_data objects, resulting in use-after-free. Also, gfs2_destroy_threads() and gfs2_quota_cleanup() is already called by gfs2_make_fs_ro(), so in gfs2_put_super(), after calling gfs2_make_fs_ro(), there is no need to call them again. Уязвимость функции gfs2_put_super() в модуле fs/gfs2/super.c файловой системы gfs2 ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 A Speculative Race Condition (SRC) vulnerability that impacts modern CPU architectures supporting speculative execution (related to Spectre V1) has been disclosed. An unauthenticated attacker can exploit this vulnerability to disclose arbitrary data from the CPU using race conditions to access the speculative executable code paths. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:N', score=5.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 mbedtls An issue was discovered in Mbed TLS 2.x before 2.28.7 and 3.x before 3.5.2. There was a timing side channel in RSA private operations. This side channel could be sufficient for a local attacker to recover the plaintext. It requires the attacker to send a large number of messages for decryption, as described in "Everlasting ROBOT: the Marvin Attack" by Hubert Kario. Уязвимость программного обеспечения Mbed TLS существует из-за временного бокового канала в частных операциях RSA. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, реализовать атаку Марвина (Marvin) и получить доступ к конфиденциальной информации [NistCWE(cwe='CWE-203'), NistCWE(cwe='CWE-385')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) mbedtls: - Удалить ПО mbedtls, если оно не используется и не является зависимостью других пакетов - Обеспечить возможность запуска mbedtls только доверенными пользователями ОС - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 mbedtls Integer Overflow vulnerability in Mbed TLS 2.x before 2.28.7 and 3.x before 3.5.2, allows attackers to cause a denial of service (DoS) via mbedtls_x509_set_extension(). Уязвимость функции mbedtls_x509_set_extension программного обеспечения Mbed TLS связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Убедитесь, что значение длины SIZE_MAX не может быть передано в mbedtls_x509_set_extension() Astra Linux 1.8 libarchive Libarchive Remote Code Execution Vulnerability Уязвимость библиотеки архивирования Libarchive связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64/sme: Always exit sme_alloc() early with existing storage When sme_alloc() is called with existing storage and we are not flushing we will always allocate new storage, both leaking the existing storage and corrupting the state. Fix this by separating the checks for flushing and for existing storage as we do for SVE. Callers that reallocate (eg, due to changing the vector length) should call sme_free() themselves. Уязвимость функции fpsimd_release_task() компонента arch/arm64/kernel/fpsimd.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 mbedtls An issue was discovered in Mbed TLS 2.18.0 through 2.28.x before 2.28.8 and 3.x before 3.6.0, and Mbed Crypto. The PSA Crypto API mishandles shared memory. Уязвимость интерфейса PSA Crypto API реализации протоколов TLS и SSL Mbed TLS связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N', score=8.2) mbedtls: - Удалить ПО mbedtls, если оно не используется и не является зависимостью других пакетов - Обеспечить возможность запуска mbedtls только доверенными пользователями ОС - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 ghostscript Artifex Ghostscript before 10.03.1 allows memory corruption, and SAFER sandbox bypass, via format string injection with a uniprint device. Уязвимость интерпретатора набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю выполнить выход из изолированной программной среды [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N', score=6.3) 1. Запускать ПО ghostscript с флагом -dSAFER. Флаг -dSAFER в Ghostscript активирует режим безопасности, который ограничивает возможности выполняемого PostScript кода. Пример использования ПО Ghostscript с флагом -dSAFER: ``` gs -dSAFER -dBATCH -dNOPAUSE -sDEVICE=pdfwrite -sOutputFile=output.pdf input.ps ``` 2. НЕ использовать устройство вывода типа uniprint. Для этого НЕ запускайте ПО Ghostscript с флагом -sDEVICE и значением uniprint, т.е. -sDEVICE=uniprint Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.03.1. Path traversal and command execution can occur (via a crafted PostScript document) because of path reduction in base/gpmisc.c. For example, restrictions on use of %pipe% can be bypassed via the aa/../%pipe%command# output filename. Уязвимость файла base/gpmisc.c набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.03.1. There is path traversal (via a crafted PostScript document) to arbitrary files if the current directory is in the permitted paths. For example, there can be a transformation of ../../foo to ./../../foo and this will grant access if ./ is permitted. Уязвимость интерпретатора набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с ошибками в обработке относительного пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально сформированного PostScript-файла [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=6.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.03.1. contrib/opvp/gdevopvp.c allows arbitrary code execution via a custom Driver library, exploitable via a crafted PostScript document. This occurs because the Driver parameter for opvp (and oprp) devices can have an arbitrary name for a dynamic library; this library is then loaded. Уязвимость компонента contrib/opvp/gdevopvp.c интерпретатора набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально сформированного PostScript-файла [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 botan Botan is a C++ cryptography library. X.509 certificates can identify elliptic curves using either an object identifier or using explicit encoding of the parameters. Prior to versions 3.3.0 and 2.19.4, an attacker could present an ECDSA X.509 certificate using explicit encoding where the parameters are very large. The proof of concept used a 16Kbit prime for this purpose. When parsing, the parameter is checked to be prime, causing excessive computation. This was patched in 2.19.4 and 3.3.0 to allow the prime parameter of the elliptic curve to be at most 521 bits. No known workarounds are available. Note that support for explicit encoding of elliptic curve parameters is deprecated in Botan. Уязвимость криптографической библиотеки Botan связана с неконтролируемым потреблением ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного сертификата ECDSA X.509 [NistCWE(cwe='CWE-405')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dma-mapping: benchmark: fix node id validation While validating node ids in map_benchmark_ioctl(), node_possible() may be provided with invalid argument outside of [0,MAX_NUMNODES-1] range leading to: BUG: KASAN: wild-memory-access in map_benchmark_ioctl (kernel/dma/map_benchmark.c:214) Read of size 8 at addr 1fffffff8ccb6398 by task dma_map_benchma/971 CPU: 7 PID: 971 Comm: dma_map_benchma Not tainted 6.9.0-rc6 #37 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996) Call Trace: <TASK> dump_stack_lvl (lib/dump_stack.c:117) kasan_report (mm/kasan/report.c:603) kasan_check_range (mm/kasan/generic.c:189) variable_test_bit (arch/x86/include/asm/bitops.h:227) [inline] arch_test_bit (arch/x86/include/asm/bitops.h:239) [inline] _test_bit at (include/asm-generic/bitops/instrumented-non-atomic.h:142) [inline] node_state (include/linux/nodemask.h:423) [inline] map_benchmark_ioctl (kernel/dma/map_benchmark.c:214) full_proxy_unlocked_ioctl (fs/debugfs/file.c:333) __x64_sys_ioctl (fs/ioctl.c:890) do_syscall_64 (arch/x86/entry/common.c:83) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) Compare node ids with sane bounds first. NUMA_NO_NODE is considered a special valid case meaning that benchmarking kthreads won't be bound to a cpuset of a given node. Found by Linux Verification Center (linuxtesting.org). Уязвимость компонента dma-mapping ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 composer Composer is a dependency manager for PHP. On the 2.x branch prior to versions 2.2.24 and 2.7.7, the `status`, `reinstall` and `remove` commands with packages installed from source via git containing specially crafted branch names in the repository can be used to execute code. Patches for this issue are available in version 2.2.24 for 2.2 LTS or 2.7.7 for mainline. As a workaround, avoid installing dependencies via git by using `--prefer-dist` or the `preferred-install: dist` config setting. Уязвимость функции getUnpushedChanges() менеджера зависимостей для PHP Composer связана с неправильной нейтрализацией специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды с помощью команд `status`, `reinstall` и `remove` [NistCWE(cwe='CWE-77')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 composer Composer is a dependency manager for PHP. On the 2.x branch prior to versions 2.2.24 and 2.7.7, the `composer install` command running inside a git/hg repository which has specially crafted branch names can lead to command injection. This requires cloning untrusted repositories. Patches are available in version 2.2.24 for 2.2 LTS or 2.7.7 for mainline. As a workaround, avoid cloning potentially compromised repositories. Уязвимость компонента Branch Name Handler менеджера зависимостей для PHP Composer связана с использованием команды composer install, запущенной внутри репозитория git/hg. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды [NistCWE(cwe='CWE-77')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Уязвимость активируется при выполнении composer install в репозиториях с вредоносными именами веток. Не запускайте Composer в подозрительных или неизвестных проектах, особенно с внешними зависимостями. Запретите автоматическое выполнение composer install в непроверенных проектах с помозью флага ``` --no-auto-update``` Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fix __dst_negative_advice() race __dst_negative_advice() does not enforce proper RCU rules when sk->dst_cache must be cleared, leading to possible UAF. RCU rules are that we must first clear sk->sk_dst_cache, then call dst_release(old_dst). Note that sk_dst_reset(sk) is implementing this protocol correctly, while __dst_negative_advice() uses the wrong order. Given that ip6_negative_advice() has special logic against RTF_CACHE, this means each of the three ->negative_advice() existing methods must perform the sk_dst_reset() themselves. Note the check against NULL dst is centralized in __dst_negative_advice(), there is no need to duplicate it in various callbacks. Many thanks to Clement Lecigne for tracking this issue. This old bug became visible after the blamed commit, using UDP sockets. Уязвимость функции __dst_negative_advice() компонента include/net/sock.h ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для нейтрализации угрозы эксплуатации уязвимости воспользуйтесь одним из следующих способов: 1. Не использовать недоверенные сторонние модули ядра 2. Запускать сетевые сервисы с минимальными привилегиями 3. Разрешать исходящие UDP-соединения только тем серверам и на те порты, которые необходимы для работы системы. Всё остальное блокировать. Принимать входящие UDP-пакеты только от доверенных источников. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: riscv: prevent pt_regs corruption for secondary idle threads Top of the kernel thread stack should be reserved for pt_regs. However this is not the case for the idle threads of the secondary boot harts. Their stacks overlap with their pt_regs, so both may get corrupted. Similar issue has been fixed for the primary hart, see c7cdd96eca28 ("riscv: prevent stack corruption by reserving task_pt_regs(p) early"). However that fix was not propagated to the secondary harts. The problem has been noticed in some CPU hotplug tests with V enabled. The function smp_callin stored several registers on stack, corrupting top of pt_regs structure including status field. As a result, kernel attempted to save or restore inexistent V context. Уязвимость функций sbi_cpu_start() в модуле arch/riscv/kernel/cpu_ops_sbi.c и cpu_update_secondary_bootdata() в модуле arch/riscv/kernel/cpu_ops_spinwait.c ядра операционной системы Linux на процессорах с архитектурой RISC-V связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dma-mapping: benchmark: handle NUMA_NO_NODE correctly cpumask_of_node() can be called for NUMA_NO_NODE inside do_map_benchmark() resulting in the following sanitizer report: UBSAN: array-index-out-of-bounds in ./arch/x86/include/asm/topology.h:72:28 index -1 is out of range for type 'cpumask [64][1]' CPU: 1 PID: 990 Comm: dma_map_benchma Not tainted 6.9.0-rc6 #29 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996) Call Trace: <TASK> dump_stack_lvl (lib/dump_stack.c:117) ubsan_epilogue (lib/ubsan.c:232) __ubsan_handle_out_of_bounds (lib/ubsan.c:429) cpumask_of_node (arch/x86/include/asm/topology.h:72) [inline] do_map_benchmark (kernel/dma/map_benchmark.c:104) map_benchmark_ioctl (kernel/dma/map_benchmark.c:246) full_proxy_unlocked_ioctl (fs/debugfs/file.c:333) __x64_sys_ioctl (fs/ioctl.c:890) do_syscall_64 (arch/x86/entry/common.c:83) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) Use cpumask_of_node() in place when binding a kernel thread to a cpuset of a particular node. Note that the provided node id is checked inside map_benchmark_ioctl(). It's just a NUMA_NO_NODE case which is not handled properly later. Found by Linux Verification Center (linuxtesting.org). Уязвимость функции do_map_benchmark() в модуле kernel/dma/map_benchmark.c ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 exim4 Exim through 4.97.1 misparses a multiline RFC 2231 header filename, and thus remote attackers can bypass a $mime_filename extension-blocking protection mechanism, and potentially deliver executable attachments to the mailboxes of end users. Уязвимость компонента Multiline RFC 2231 почтового сервера Exim связана с недостатками ограничений загрузки файлов опасного типа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности путем внедрения специально сформированных исполняемых файлов [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска exim4 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 qemu A flaw was found in the QEMU disk image utility (qemu-img) 'info' command. A specially crafted image file containing a `json:{}` value describing block devices in QMP could cause the qemu-img process on the host to consume large amounts of memory or CPU time, leading to denial of service or read/write to an existing external file. Уязвимость команды info эмулятора аппаратного обеспечения QEMU связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла изображения [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 openssl Issue summary: Calling the OpenSSL API function SSL_free_buffers may cause memory to be accessed that was previously freed in some situations Impact summary: A use after free can have a range of potential consequences such as the corruption of valid data, crashes or execution of arbitrary code. However, only applications that directly call the SSL_free_buffers function are affected by this issue. Applications that do not call this function are not vulnerable. Our investigations indicate that this function is rarely used by applications. The SSL_free_buffers function is used to free the internal OpenSSL buffer used when processing an incoming record from the network. The call is only expected to succeed if the buffer is not currently in use. However, two scenarios have been identified where the buffer is freed even when still in use. The first scenario occurs where a record header has been received from the network and processed by OpenSSL, but the full record body has not yet arrived. In this case calling SSL_free_buffers will succeed even though a record has only been partially processed and the buffer is still in use. The second scenario occurs where a full record containing application data has been received and processed by OpenSSL but the application has only read part of this data. Again a call to SSL_free_buffers will succeed even though the buffer is still in use. While these scenarios could occur accidentally during normal operation a malicious attacker could attempt to engineer a stituation where this occurs. We are not aware of this issue being actively exploited. The FIPS modules in 3.3, 3.2, 3.1 and 3.0 are not affected by this issue. Уязвимость функции SSL_free_buffers() криптографической библиотеки OpenSSL связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libarchive execute_filter_audio in archive_read_support_format_rar.c in libarchive before 3.7.5 allows out-of-bounds access via a crafted archive file because src can move beyond dst. Уязвимость функции execute_filter_audio компонента archive_read_support_format_rar.c библиотеки архивирования Libarchive связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла архива [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) - Отказаться от использования библиотеки libarchive - В случае использования библиотеки libarchive распаковывать архивы только из надежных источников, избегать распаковки архивов, полученных из неизвестных или подозрительных источников - Запускать ПО, использующее библиотеку libarchive, в изолированной программной среде с применением инструмента Firejail - Использовать ПО, использующее библиотеку libarchive, только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 libarchive execute_filter_delta in archive_read_support_format_rar.c in libarchive before 3.7.5 allows out-of-bounds access via a crafted archive file because src can move beyond dst. [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 1.8 firefox, thunderbird If a garbage collection was triggered at the right time, a use-after-free could have occurred during object transplant. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость почтового клиента Thunderbird, веб-браузеров Firefox и Firefox ESR связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 firefox In addition to detecting when a user was taking a screenshot (XXX), a website was able to overlay the 'My Shots' button that appeared, and direct the user to a replica Firefox Screenshots page that could be used for phishing. This vulnerability affects Firefox < 127. Уязвимость страницы создания скриншотов веб-браузера Firefox связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird By monitoring the time certain operations take, an attacker could have guessed which external protocol handlers were functional on a user's system. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием скрытых побочных каналов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-203'), NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) Astra Linux 1.8 firefox, thunderbird By tricking the browser with a `X-Frame-Options` header, a sandboxed iframe could have presented a button that, if clicked by a user, would bypass restrictions to open a new window. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с ошибками в настройках безопасности. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности и провести атаку типа clickjacking («захват клика») [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N', score=4.7) Astra Linux 1.8 firefox, thunderbird Offscreen Canvas did not properly track cross-origin tainting, which could be used to access image data from another site in violation of same-origin policy. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость интерфейса OffscreenCanvas веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с включением функциональности из ненадежной управляющей сферы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-829')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) Astra Linux 1.8 firefox An attacker could have caused a use-after-free in the JavaScript engine to read memory in the JavaScript string section of the heap. This vulnerability affects Firefox < 127. Уязвимость движка JavaScript веб-браузера Firefox связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox If an out-of-memory condition occurs at a specific point using allocations in the probabilistic heap checker, an assertion could have been triggered, and in rarer situations, memory corruption could have occurred. This vulnerability affects Firefox < 127. Уязвимость веб-браузера Firefox связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird By manipulating the text in an `&lt;input&gt;` tag, an attacker could have caused corrupt memory leading to a potentially exploitable crash. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=8.6) Astra Linux 1.8 firefox A website was able to detect when a user took a screenshot of a page using the built-in Screenshot functionality in Firefox. This vulnerability affects Firefox < 127. Уязвимость веб-браузера Firefox связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox By manipulating the fullscreen feature while opening a data-list, an attacker could have overlaid a text box over the address bar. This could have led to user confusion and possible spoofing attacks. This vulnerability affects Firefox < 127. Уязвимость веб-браузера Firefox связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-1021'), NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox In violation of spec, cookie prefixes such as `__Secure` were being ignored if they were not correctly capitalized - by spec they should be checked with a case-insensitive comparison. This could have resulted in the browser not correctly honoring the behaviors specified by the prefix. This vulnerability affects Firefox < 127. Уязвимость веб-браузера Firefox связана с недостаточной проверкой регистра. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-178')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 126, Firefox ESR 115.11, and Thunderbird 115.11. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с доступом к ячейке памяти до начала буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-786')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) Astra Linux 1.8 firefox Memory safety bugs present in Firefox 126. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 127. Уязвимость веб-браузера Firefox связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 thunderbird Memory corruption in the networking stack could have led to a potentially exploitable crash. This vulnerability affects Firefox < 125, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Microsoft Edge и Google Chrome связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn браузеров Microsoft Edge и Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn браузеров Microsoft Edge и Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Microsoft Edge и Google Chrome связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Dawn in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn браузеров Microsoft Edge и Google Chrome связана с некорректной проверкой безопасности для стандартных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Tab Groups in Google Chrome prior to 126.0.6478.54 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Tab Groups браузеров Microsoft Edge и Google Chrome связана с переполнением буфера в «куче». Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе или вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate Implementation in DevTools in Google Chrome prior to 126.0.6478.54 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость набора инструментов для веб-разработки DevTools браузеров Microsoft Edge и Google Chrome связана с некорректной проверкой безопасности для стандартных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, скомпрометировать систему с помощью специально созданного расширение Chrome [NistCWE(cwe='CWE-474')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Microsoft Edge и Google Chrome связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Microsoft Edge и Google Chrome связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate Implementation in Memory Allocator in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Memory Allocator браузеров Microsoft Edge и Google Chrome связана с некорректной проверкой безопасности для стандартных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию или вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-474')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in CORS in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to bypass discretionary access control via a crafted HTML page. (Chromium security severity: Medium) Уязвимость реализации механизма CORS браузеров Microsoft Edge и Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности и раскрыть защищаемую информацию с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 браузеров Microsoft Edge и Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Browser UI in Google Chrome prior to 126.0.6478.54 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость интерфейса Browser UI браузеров Microsoft Edge и Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Downloads in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to obfuscate security UI via a malicious file. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданного вредоносного файла [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Tab Strip in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Tab Strip веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Audio in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента Audio веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 126.0.6478.114 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 126.0.6478.114 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAssembly веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-358')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds memory access in Dawn in Google Chrome prior to 126.0.6478.114 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 126.0.6478.114 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 126.0.6478.126 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Swiftshader in Google Chrome prior to 126.0.6478.126 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Swiftshader веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 126.0.6478.126 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 126.0.6478.126 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 openssh A security regression (CVE-2006-5051) was discovered in OpenSSH's server (sshd). There is a race condition which can lead sshd to handle some signals in an unsafe manner. An unauthenticated, remote attacker may be able to trigger it by failing to authenticate within a set time period. Уязвимость сервера средства криптографической защиты OpenSSH связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с root-привилегиями [NistCWE(cwe='CWE-364'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) 1. Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл `/etc/ssh/sshd_config`. 2. Добавить или отредактировать в файле строку, содержащую параметр **LoginGraceTime** и время, отведенное на аутентификацию: `LoginGraceTime 0`. 3. Выполнить перезапуск службы **sshd**: `sudo systemctl restart sshd`. Данное решение нейтрализует угрозу эксплуатации уязвимости [CVE-2024-6387](https://nvd.nist.gov/vuln/detail/CVE-2024-6387), но упрощает инициирование отказа в обслуживании при установке большого числа соединений, превышающих лимиты, заданные через параметр **MaxStartups**. Astra Linux 1.8 firefox, thunderbird A race condition could lead to a cross-origin container obtaining permissions of the top-level origin. This vulnerability affects Firefox < 128, Firefox ESR < 115.13, Thunderbird < 115.13, and Thunderbird < 128. Уязвимость браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с возникающим состоянием гонки. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L', score=4.7) Astra Linux 1.8 firefox, thunderbird, nss A mismatch between allocator and deallocator could have led to memory corruption. This vulnerability affects Firefox < 128, Firefox ESR < 115.13, Thunderbird < 115.13, and Thunderbird < 128. Уязвимость браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с неправильным ограничением операций в пределах буфера памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать влияние на работу системы [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимости для ПО Thunderbird необходимо выполнить одно из следующих требований: - удалить ПО Thunderbird, если оно не используется; - отказаться от использования ПО Thunderbird в пользу ПО Evolution; - обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail. Astra Linux 1.8 firefox, thunderbird In an out-of-memory scenario an allocation could fail but free would have been called on the pointer afterwards leading to memory corruption. This vulnerability affects Firefox < 128, Firefox ESR < 115.13, Thunderbird < 115.13, and Thunderbird < 128. Уязвимость браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-823')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N', score=7.4) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 127, Firefox ESR 115.12, and Thunderbird 115.12. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 128, Firefox ESR < 115.13, Thunderbird < 115.13, and Thunderbird < 128. Уязвимость браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Clipboard code failed to check the index on an array access. This could have led to an out-of-bounds read. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость компонента буфера обмена веб-браузера Firefox связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:L', score=8.2) Astra Linux 1.8 firefox It was possible to prevent a user from exiting pointerlock when pressing escape and to overlay customValidity notifications from a `&lt;select&gt;` element over certain permission prompts. This could be used to confuse a user into giving a site unintended permissions. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость веб-браузера Firefox связана с освобождением неверного указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-763')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox It was possible to move the cursor using pointerlock from an iframe. This allowed moving the cursor outside of the viewport and the Firefox window. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость веб-браузера Firefox связана с небезопасным внешним контролем за критическими данными состояния. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, nss When almost out-of-memory an elliptic curve key which was never allocated could have been freed again. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость набора библиотек разработки приложений NSS веб-браузера Firefox и почтового клиента Thunderbird связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо выполнить одно из следующих требований: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Form validation popups could capture escape key presses. Therefore, spamming form validation messages could be used to prevent users from exiting full-screen mode. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость компонента Form Validation Popup Handler веб-браузера Firefox связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox A nested iframe, triggering a cross-site navigation, could send SameSite=Strict or Lax cookies. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость компонента Nested iFrame Handler веб-браузера Firefox связана с неправильным атрибутом SameSite в файле cookie. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1275')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox CSP violations generated links in the console tab of the developer tools, pointing to the violating resource. This caused a DNS prefetch which leaked that a CSP violation happened. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость консоли набора инструментов для веб-разработки DevTools веб-браузера Firefox связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox The frame iterator could get stuck in a loop when encountering certain wasm frames leading to incorrect stack traces. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-209')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox The frame iterator could get stuck in a loop when encountering certain wasm frames leading to incorrect stack traces. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость компонента Frame Iterator веб-браузера Firefox связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 127 and Thunderbird 127. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость веб-браузера Firefox связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 qemu A flaw was found in the QEMU NBD Server. This vulnerability allows a denial of service (DoS) attack via improper synchronization during socket closure when a client keeps a socket open as the server is taken offline. Уязвимость эмулятора аппаратного обеспечения QEMU связана с ошибками синхронизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-662')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 firefox, thunderbird An error in the ECMA-262 specification relating to Async Generators could have resulted in a type confusion, potentially leading to memory corruption and an exploitable crash. This vulnerability affects Firefox < 128, Firefox ESR < 115.13, Thunderbird < 115.13, and Thunderbird < 128. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 chromium Type confusion in WebAssembly in Google Chrome prior to 126.0.6478.126 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость модуля WebAssembly веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 parsec Уязвимость утилиты pdp-ls подсистемы безопасности PARSEC связана с некорректным освобождением памяти после завершения её использования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L Astra Linux 1.8 parsec Уязвимость утилиты sumac подсистемы безопасности PARSEC связана с некорректным освобождением памяти после завершения её использования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 parsec Уязвимость утилиты pdp-id подсистемы безопасности PARSEC связана с некорректным освобождением памяти после завершения её использования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:S/C:N/I:N/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 gsl A buffer overflow can occur when calculating the quantile value using the Statistics Library of GSL (GNU Scientific Library), versions 2.5 and 2.6. Processing a maliciously crafted input data for gsl_stats_quantile_from_sorted_data of the library may lead to unexpected application termination or arbitrary code execution. Уязвимость математической библиотеки GSL связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) gsl: - Отказаться от использования ПО gsl в пользу ПО armadillo, ПО boost-defaults или ПО eigen3 - При использовании ПО gsl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gsl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 tidy-html5 An issue in HTACG HTML Tidy v5.7.28 allows attacker to execute arbitrary code via the -g option of the CleanNode() function in gdoc.c. Уязвимость функции CleanNode() компонента gdoc.c инструмента форматирования кода HTML Tidy связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 p7zip 7-Zip 22.01 does not report an error for certain invalid xz files, involving block flags and reserved bits. Some later versions are unaffected. Уязвимость архиватора P7-Zip, файлового архиватора 7-Zip связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=2.5) - Запускайте ПО 7zip, p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам ПО 7zip, p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте архивы только из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. - При работе с xz-файлами отказаться от использования ПО 7zip, p7zip в пользу ПО xz-utils. Astra Linux 1.8 p7zip 7-Zip 22.01 does not report an error for certain invalid xz files, involving stream flags and reserved bits. Some later versions are unaffected. Уязвимость файлового архиватора 7-Zip, архиватора P7-Zip связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=2.5) - Запускайте ПО 7zip, p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам ПО 7zip, p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте архивы только из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. - При работе с xz-файлами отказаться от использования ПО 7zip, p7zip в пользу ПО xz-utils. Astra Linux 1.8 cloud-init Sensitive data could be exposed in logs of cloud-init before version 23.1.2. An attacker could use this information to find hashed passwords and possibly escalate their privilege. Уязвимость инструмента для настройки облачного сервера Cloud-init связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-532'), NistCWE(cwe='CWE-532')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) Astra Linux 1.8 python3.11 The email module of Python through 3.11.3 incorrectly parses e-mail addresses that contain a special character. The wrong portion of an RFC2822 header is identified as the value of the addr-spec. In some applications, an attacker can bypass a protection mechanism in which application access is granted only after verifying receipt of e-mail to a specific domain (e.g., only @company.example.com addresses may be used for signup). This occurs in email/_parseaddr.py in recent versions of Python. Уязвимость модуля E-mail интерпретатора языка программирования Python связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 bluez BlueZ Audio Profile AVRCP Improper Validation of Array Index Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code via Bluetooth on affected installations of BlueZ. User interaction is required to exploit this vulnerability in that the target must connect to a malicious device. The specific flaw exists within the handling of the AVRCP protocol. The issue results from the lack of proper validation of user-supplied data, which can result in a write past the end of an allocated buffer. An attacker can leverage this vulnerability to execute code in the context of root. Was ZDI-CAN-19908. Уязвимость реализации протокола AVRCP стека технологии Bluetooth для Linux BlueZ связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.1) - Выключите Bluetooth - По возможности избегать использования протокола bluetooth и использовать проводную периферию - Избегайте подключения к неизвестным устройствам - Настройте устройство на ручное подтверждение всех подключений: 1. В файле `/etc/bluetooth/main.conf` установите значение `AutoEnable=false` 2. Сохраните изменения в файле 3. Перезагрузите службу Bluetooth `sudo systemctl restart bluetooth` Astra Linux 1.8 python-tornado Open redirect vulnerability in Tornado versions 6.3.1 and earlier allows a remote unauthenticated attacker to redirect a user to an arbitrary web site and conduct a phishing attack by having user access a specially crafted URL. Уязвимость веб-фреймворка Python Tornado связана с использованием открытой переадресации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданного URL-адреса [NistCWE(cwe='CWE-601'), NistCWE(cwe='CWE-601')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) - Не использовать подверженный уязвимости модуль web и, в частности, класс StaticFileHandler; - Использовать ПО python-tornado только на низком или отдельно выделенном уровне целостности; - Обеспечить возможность запуска python-tornado только доверенными пользователями ОС; - При использовании ПО python-tornado выполнять обработку только файлов и ссылок, полученных из доверенных источников; - Активировать режим Киоск-2 для непривилегированных пользователей системы; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 libheif A Segmentation fault caused by a floating point exception exists in libheif 1.15.1 using crafted heif images via the heif::Fraction::round() function in box.cc, which causes a denial of service. Уязвимость функции heif::Fraction::round() компонента box.cc библиотеки кодирования и декодирования файлов HEIF и AVIF Libheif связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного heif изображения [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 nodejs When an invalid public key is used to create an x509 certificate using the crypto.X509Certificate() API a non-expect termination occurs making it susceptible to DoS attacks when the attacker could force interruptions of application processing, as the process terminates when accessing public key info of provided certificates from user code. The current context of the users will be gone, and that will cause a DoS scenario. This vulnerability affects all active Node.js versions v16, v18, and, v20. Уязвимость программной платформы Node.js связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) nodejs: - При использовании ПО NodeJS выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте NodeJS-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 p7zip Ppmd7.c in 7-Zip before 23.00 allows an integer underflow and invalid read operation via a crafted 7Z archive. [NistCWE(cwe='CWE-191'), NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) p7zip: - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 python3.11 An issue was discovered in Python before 3.8.18, 3.9.x before 3.9.18, 3.10.x before 3.10.13, and 3.11.x before 3.11.5. It primarily affects servers (such as HTTP servers) that use TLS client authentication. If a TLS server-side socket is created, receives data into the socket buffer, and then is closed quickly, there is a brief window where the SSLSocket instance will detect the socket as "not connected" and won't initiate a handshake, but buffered data will still be readable from the socket buffer. This data will not be authenticated if the server-side TLS peer is expecting client certificate authentication, and is indistinguishable from valid TLS stream data. Data is limited in size to the amount that will fit in the buffer. (The TLS connection cannot directly be used for data exfiltration because the vulnerable code path requires that the connection be closed on initialization of the SSLSocket.) Уязвимость класса SSLSocket интерпретатора языка программирования Python связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 p7zip 7-Zip SquashFS File Parsing Out-Of-Bounds Write Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of 7-Zip. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of SQFS files. The issue results from the lack of proper validation of user-supplied data, which can result in a write past the end of an allocated buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-18589. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) p7zip: - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 libpod, erlang, paramiko The SSH transport protocol with certain OpenSSH extensions, found in OpenSSH before 9.6 and other products, allows remote attackers to bypass integrity checks such that some packets are omitted (from the extension negotiation message), and a client and server may consequently end up with a connection for which some security features have been downgraded or disabled, aka a Terrapin attack. This occurs because the SSH Binary Packet Protocol (BPP), implemented by these extensions, mishandles the handshake phase and mishandles use of sequence numbers. For example, there is an effective attack against SSH's use of ChaCha20-Poly1305 (and CBC with Encrypt-then-MAC). The bypass occurs in chacha20-poly1305@openssh.com and (if CBC is used) the -etm@openssh.com MAC algorithms. This also affects Maverick Synergy Java SSH API before 3.1.0-SNAPSHOT, Dropbear through 2022.83, Ssh before 5.1.1 in Erlang/OTP, PuTTY before 0.80, AsyncSSH before 2.14.2, golang.org/x/crypto before 0.17.0, libssh before 0.10.6, libssh2 through 1.11.0, Thorn Tech SFTP Gateway before 3.4.6, Tera Term before 5.1, Paramiko before 3.4.0, jsch before 0.2.15, SFTPGo before 2.5.6, Netgate pfSense Plus through 23.09.1, Netgate pfSense CE through 2.7.2, HPN-SSH through 18.2.0, ProFTPD before 1.3.8b (and before 1.3.9rc2), ORYX CycloneSSH before 2.3.4, NetSarang XShell 7 before Build 0144, CrushFTP before 10.6.0, ConnectBot SSH library before 2.2.22, Apache MINA sshd through 2.11.0, sshj through 0.37.0, TinySSH through 20230101, trilead-ssh2 6401, LANCOM LCOS and LANconfig, FileZilla before 3.66.4, Nova before 11.8, PKIX-SSH before 14.4, SecureCRT before 9.4.3, Transmit5 before 5.10.4, Win32-OpenSSH before 9.5.0.0p1-Beta, WinSCP before 6.2.2, Bitvise SSH Server before 9.32, Bitvise SSH Client before 9.33, KiTTY through 0.76.1.13, the net-ssh gem 7.2.0 for Ruby, the mscdex ssh2 module before 1.15.0 for Node.js, the thrussh library before 0.35.1 for Rust, and the Russh crate before 0.40.2 for Rust. Уязвимость реализации протокола SSH связана с возможностью откорректировать порядковые номера пакетов в процессе согласования соединения и добиться удаления произвольного числа служебных SSH-сообщений. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти проверки целостности, отключить существующие функции безопасности, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-354'), NistCWE(cwe='CWE-354')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N', score=5.9) Для нейтрализации угрозы эксплуатации уязвимости CVE-2023-48795 необходимо соблюдать следующие требования: * включить защиту файловой системы ("установить МКЦ на ФС"); * обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; * для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; * запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; * активировать регламентный контроль целостности ОС; * активировать режим замкнутой программной среды; * по возможности запускать прикладное ПО в отдельной сессии. Также для нейтрализации угрозы эксплуатации уязвимости CVE-2023-48795 следует отключить затронутый режим шифрования chacha20-poly1305 и любые варианты encrypt-then-mac (EtM). Для этого необходимо выполнить действия, описанные ниже. Для версии OpenSSH 8.4: 1. Проверить список поддерживаемых алгоритмов защитного преобразования (параметр cipher) и выработки имитовставки (параметр mac) можно командами: ```bash ssh -Q cipher ssh -Q mac ``` 2. В каталоге /etc/ssh/sshd_config.d/ создать файлы ciphers.conf и macs.conf. Файл ciphers.conf со следующим содержимым: ``` Ciphers <алгоритмы> ``` Файл macs.conf со следующим содержимым: ``` MACs <алгоритмы> ``` Здесь <алгоритмы> - это список разрешенных к использованию алгоритмов. В файле ciphers.conf не должно присутствовать алгоритма chacha20-poly1305@openssh.com, в файле macs.conf, не должно присутствовать алгоритмов *-etm@openssh.com. 3. Перезапустить службу sshd: ```bash sudo systemctl restart sshd ``` 4. Для проверки списка алгоритмов, разрешенных к использованию сервером, выполнить команду: ```bash sudo sshd -T | grep ciphers | perl -pe 's/,/\n/g' | sort -u ``` При этом, если у вас открыты текущие SSH сессии, они не будут затронуты при перезапуске SSH демона. Новые настройки будут применены только к новым SSH сессиям. Для версии OpenSSH 7.4: 1. Проверить список поддерживаемых алгоритмов защитного преобразования (параметр cipher) и выработки имитовставки (параметр mac) можно командами: ``` ssh -Q cipher ssh -Q mac ``` 2. Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл /etc/ssh/sshd_config. 3. Добавить в файл строку с ключевым словом Ciphers и строку с ключевым словом MACs и перечислить разрешенные к использованию алгоритмы: ``` Ciphers <алгоритмы> MACs <алгоритмы> ``` В строке с ключевым словом Ciphers не должно присутствовать алгоритма chacha20-poly1305@openssh.com, в строке с ключевым словом MACs не должно присутствовать алгоритмов *-etm@openssh.com. 4. Перезапустить службу sshd: ```bash sudo systemctl restart sshd ``` 5. Для проверки списка алгоритмов, разрешенных к использованию сервером, выполнить команду: ```bash sudo sshd -T | grep ciphers | perl -pe 's/,/\n/g' | sort -u ``` При этом, если у вас открыты текущие SSH сессии, они не будут затронуты при перезапуске SSH демона. Новые настройки будут применены только к новым SSH сессиям. **Upd: Mitigation для ПО paramiko ([доп. информация](https://www.paramiko.org/changelog.html))** Для нейтрализации угрозы эксплуатации уязвимости необходимо выполнить одно из следующих требований: 1. Удалить ПО paramiko, если оно не используется и не является зависимостью других пакетов. 2. С помощью параметра disabled_algorithms отключить использование алгоритмов имитовставки вида `*-etm@openssh.com` и/или алгоритмов, реализующих блочные шифры (CBC) вида `*-cbc`. Astra Linux 1.8 bluez BlueZ Phone Book Access Profile Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of BlueZ. User interaction is required to exploit this vulnerability in that the target must connect to a malicious Bluetooth device. The specific flaw exists within the handling of the Phone Book Access profile. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a fixed-length heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of root. Was ZDI-CAN-20936. Уязвимость профиля доступа к телефонной книги стека технологии Bluetooth для Linux BlueZ связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.1) - Выключите Bluetooth - По возможности избегать использования протокола bluetooth и использовать проводную периферию - Избегайте подключения к неизвестным устройствам - Настройте устройство на ручное подтверждение всех подключений: 1. В файле `/etc/bluetooth/main.conf` установите значение `AutoEnable=false` 2. Сохраните изменения в файле 3. Перезагрузите службу Bluetooth `sudo systemctl restart bluetooth` Astra Linux 1.8 bluez BlueZ Phone Book Access Profile Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of BlueZ. User interaction is required to exploit this vulnerability in that the target must connect to a malicious Bluetooth device. The specific flaw exists within the handling of the Phone Book Access profile. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a fixed-length heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of root. Was ZDI-CAN-20938. Уязвимость профиля доступа к телефонной книге стека технологии Bluetooth для Linux BlueZ связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.1) - Выключите Bluetooth - По возможности избегать использования протокола bluetooth и использовать проводную периферию - Избегайте подключения к неизвестным устройствам - Настройте устройство на ручное подтверждение всех подключений: 1. В файле `/etc/bluetooth/main.conf` установите значение `AutoEnable=false` 2. Сохраните изменения в файле 3. Перезагрузите службу Bluetooth `sudo systemctl restart bluetooth` Astra Linux 1.8 jose latchset jose through version 11 allows attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value. Уязвимость компонента p2c Handler пакета реализации стандартов подписания и шифрования объектов Javascript JOSE связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Удалить ПО jose, если оно не используется и не является зависимостью используемых приложений - При использовании ПО jose выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg Buffer Overflow vulnerability in Ffmpeg v.N113007-g8d24a28d06 allows a local attacker to execute arbitrary code via the libavfilter/af_stereowiden.c:120:69. Уязвимость мультимедийной библиотеки FFmpeg связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 wpa The implementation of PEAP in wpa_supplicant through 2.10 allows authentication bypass. For a successful attack, wpa_supplicant must be configured to not verify the network's TLS certificate during Phase 1 authentication, and an eap_peap_decrypt vulnerability can then be abused to skip Phase 2 authentication. The attack vector is sending an EAP-TLV Success packet instead of starting Phase 2. This allows an adversary to impersonate Enterprise Wi-Fi networks. Уязвимость реализации протокола PEAP (Protected Extensible Authentication Protocol) клиента защищённого доступа Wi-Fi WPA Supplicant вызвана недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, перехватить незашифрованный транзитный трафик пользователя путем создания клона сети, к которой пользователь подключается [NistCWE(cwe='CWE-287'), NistCWE(cwe='CWE-287')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) - Убедиться, что ПО wpa настроено корректно; - Отключить по возможности беспроводные системы передачи данных (WiFi, Bluetooth); - При необходимости использования WiFi - использовать для защиты данных сети VPN. Astra Linux 1.8 p7zip The NtfsHandler.cpp NTFS handler in 7-Zip before 24.01 (for 7zz) contains a heap-based buffer overflow that allows an attacker to overwrite two bytes at multiple offsets beyond the allocated buffer size: buffer+512*i-2, for i=9, i=10, i=11, etc. Уязвимость обработчика NTFS файла NtfsHandler.cpp архиватора 7-Zip связана с возможностью переполнения буфера на основе кучи. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: - Запускайте ПО p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется - Настройте права доступа к исполняемым файлам ПО p7zip так, чтобы их могли изменять только администраторы системы - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников Astra Linux 1.8 ntfs-3g NTFS-3G before 75dcdc2 has a use-after-free in ntfs_uppercase_mbs in libntfs-3g/unistr.c. NOTE: discussion suggests that exploitation would be challenging. Уязвимость функции ntfs_uppercase_mbs() компонента libntfs-3g/unistr.c драйвера файловой системы NTFS для модуля FUSE NTFS-3G связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:L', score=4.5) Astra Linux 1.8 freeipa A Cross-site request forgery vulnerability exists in ipa/session/login_password in all supported versions of IPA. This flaw allows an attacker to trick the user into submitting a request that could perform actions as the user, resulting in a loss of confidentiality and system integrity. During community penetration testing it was found that for certain HTTP end-points FreeIPA does not ensure CSRF protection. Due to implementation details one cannot use this flaw for reflection of a cookie representing already logged-in user. An attacker would always have to go through a new authentication attempt. Уязвимость компонента session/login_password программного обеспечения централизованного управления идентификацией FreeIPA связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-352'), NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) freeipa: - Настройте правила брандмауэра для разрешения только необходимых портов - Разрешите доступ только с доверенных IP-адресов - Настройте FreeIPA для использования SSL/TLS для шифрования всех сетевых коммуникаций - Используйте доверенные сертификаты - Предоставляйте пользователям только те права, которые им необходимы для выполнения их задач - Настройте ограничения на количество попыток входа и используйте CAPTCHA - Настройте правила HBAC для управления доступом к хостам на основе ролей и групп пользователей - Запускать ПО freeipa в изолированной программной среде - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 python3.11 A defect was discovered in the Python “ssl” module where there is a memory race condition with the ssl.SSLContext methods “cert_store_stats()” and “get_ca_certs()”. The race condition can be triggered if the methods are called at the same time as certificates are loaded into the SSLContext, such as during the TLS handshake with a certificate directory configured. This issue is fixed in CPython 3.10.14, 3.11.9, 3.12.3, and 3.13.0a5. Уязвимость функций cert_store_stats() и get_ca_certs() модуля ssl интерпретатора языка программирования Python (CPython) связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H', score=7.4) - Вместо python2.7 использовать python3.7; - При использовании ПО python и php выполнять обработку файлов, полученных только из доверенных источников; - Запускать ПО в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 python3.11 An issue was found in the CPython `zipfile` module affecting versions 3.12.1, 3.11.7, 3.10.13, 3.9.18, and 3.8.18 and prior. The zipfile module is vulnerable to “quoted-overlap” zip-bombs which exploit the zip format to create a zip-bomb with a high compression ratio. The fixed versions of CPython makes the zipfile module reject zip archives which overlap entries in the archive. Уязвимость модуля zipfile интерпретатора языка программирования Python связана с неконтролируемым потреблением ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-405')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 130.0.6723.69 allowed a remote attacker to bypass site isolation via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента расширения веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 130.0.6723.69 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Уязвимость CVE-2024-10230 связана с ошибками преобразования типов данных в движке Javascript V8 веб-браузера Google Chrome. В версиях ПО chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 130.0.6723.69 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Уязвимость связана с ошибками преобразования типов данных в движке Javascript V8 веб-браузера Google Chrome. В версиях ПО chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 firefox, thunderbird A permission leak could have occurred from a trusted site to an untrusted site via `embed` or `object` elements. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Firefox ESR < 115.17, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с неправильным сохранением разрешений. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-281')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Astra Linux 1.8 firefox, thunderbird An attacker could have caused a use-after-free when accessibility was enabled, leading to a potentially exploitable crash. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Firefox ESR < 115.17, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird The origin of an external protocol handler prompt could have been obscured using a data: URL within an `iframe`. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) Astra Linux 1.8 firefox, thunderbird In multipart/x-mixed-replace responses, `Content-Disposition: attachment` in the response header was not respected and did not force a download, which could allow XSS attacks. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-79'), NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) Astra Linux 1.8 firefox, thunderbird Truncation of a long URL could have allowed origin spoofing in a permission prompt. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290'), NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird Video frames could have been leaked between origins in some situations. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Firefox ESR < 115.17, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-203'), NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird Repeated writes to history interface attributes could have been used to cause a Denial of Service condition in the browser. This was addressed by introducing rate-limiting to this API. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 firefox, thunderbird A clipboard "paste" button could persist across tabs which allowed a spoofing attack. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290'), NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird By sending a specially crafted push message, a remote server could have hung the parent process, causing the browser to become unresponsive. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с непринятием мер по защите структуры SQL-запроса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 131, Firefox ESR 128.3, and Thunderbird 128.3. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Potential race conditions in IndexedDB could have caused memory corruption, leading to a potentially exploitable crash. This vulnerability affects Firefox < 132 and Thunderbird < 132. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in Dawn in Google Chrome prior to 130.0.6723.92 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Dawn веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 130.0.6723.92 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость реализации технологии WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 postgresql-15 Incomplete tracking in PostgreSQL of tables with row security allows a reused query to view or change different rows from those intended. CVE-2023-2455 and CVE-2016-2193 fixed most interaction between row security and user ID changes. They missed cases where a subquery, WITH query, security invoker view, or SQL-language function references a table with a row-level security policy. This has the same consequences as the two earlier CVEs. That is to say, it leads to potentially incorrect policies being applied in cases where role-specific policies are used and a given query is planned under one role and then executed under other roles. This scenario can happen under security definer functions or when a common user and query is planned initially and then re-used across multiple SET ROLEs. Applying an incorrect policy may permit a user to complete otherwise-forbidden reads and modifications. This affects only databases that have used CREATE POLICY to define a row security policy. An attacker must tailor an attack to a particular application's pattern of query plan reuse, user ID changes, and role-specific row security policies. Versions before PostgreSQL 17.1, 16.5, 15.9, 14.14, 13.17, and 12.21 are affected. Уязвимость политики безопасности таблиц с защитой строк CREATE POLICY системы управления базами данных PostgreSQL связана с отсутствием согласованности между независимыми представлениями общего состояния. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды путем повторного использования запроса в нескольких SET ROLE [NistCWE(cwe='CWE-1250')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N', score=4.2) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 postgresql-15 Client use of server error message in PostgreSQL allows a server not trusted under current SSL or GSS settings to furnish arbitrary non-NUL bytes to the libpq application. For example, a man-in-the-middle attacker could send a long error message that a human or screen-scraper user of psql mistakes for valid query results. This is probably not a concern for clients where the user interface unambiguously indicates the boundary between one error message and other text. Versions before PostgreSQL 17.1, 16.5, 15.9, 14.14, 13.17, and 12.21 are affected. Уязвимость компонента libpq системы управления базами данных PostgreSQL связана с использованием ненадежного источника данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти существующие ограничения безопасности и выполнить атаку типа «человек посередине» [NistCWE(cwe='CWE-348'), NistCWE(cwe='CWE-345')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.1) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 postgresql-15 Incorrect privilege assignment in PostgreSQL allows a less-privileged application user to view or change different rows from those intended. An attack requires the application to use SET ROLE, SET SESSION AUTHORIZATION, or an equivalent feature. The problem arises when an application query uses parameters from the attacker or conveys query results to the attacker. If that query reacts to current_setting('role') or the current user ID, it may modify or return data as though the session had not used SET ROLE or SET SESSION AUTHORIZATION. The attacker does not control which incorrect user ID applies. Query text from less-privileged sources is not a concern here, because SET ROLE and SET SESSION AUTHORIZATION are not sandboxes for unvetted queries. Versions before PostgreSQL 17.1, 16.5, 15.9, 14.14, 13.17, and 12.21 are affected. Уязвимость команд SET ROLE, SET SESSION системы управления базами данных PostgreSQL связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии и получить доступ к защищаемой информации [NistCWE(cwe='CWE-266')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N', score=4.2) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 postgresql-15 Incorrect control of environment variables in PostgreSQL PL/Perl allows an unprivileged database user to change sensitive process environment variables (e.g. PATH). That often suffices to enable arbitrary code execution, even if the attacker lacks a database server operating system user. Versions before PostgreSQL 17.1, 16.5, 15.9, 14.14, 13.17, and 12.21 are affected. Уязвимость переменных среды PL/Perl системы управления базами данных PostgreSQL связана с ошибками в настройках системы или конфигурации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путём изменения переменных среды (например, PATH) [NistCWE(cwe='CWE-15'), NistCWE(cwe='CWE-610')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимости необходимо: - Запретить непривилегированным пользователям создавать и выполнять PL/Perl функции - Ограничить возможность модификации переменных окружения через конфигурацию PostgreSQL Astra Linux 1.8 needrestart Qualys discovered that needrestart, before version 3.8, passes unsanitized data to a library (Modules::ScanDeps) which expects safe input. This could allow a local attacker to execute arbitrary shell commands. Please see the related CVE-2024-10224 in Modules::ScanDeps. Уязвимость утилиты для проверки необходимости перезапуска служб Needrestart связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-78')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 p7zip 7-Zip CopyCoder Infinite Loop Denial-of-Service Vulnerability. This vulnerability allows remote attackers to create a denial-of-service condition on affected installations of 7-Zip. Interaction with this library is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the processing of streams. The issue results from a logic error that can lead to an infinite loop. An attacker can leverage this vulnerability to create a denial-of-service condition on the system. Was ZDI-CAN-24307. Уязвимость компонента CopyCoder архиватора 7-Zip связана с недостаточным выделением памяти для операции. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) p7zip: - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 libreoffice Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in The Document Foundation LibreOffice allows Absolute Path Traversal. An attacker can write to arbitrary locations, albeit suffixed with ".ttf", by supplying a file in a format that supports embedded font files. This issue affects LibreOffice: from 24.8 before < 24.8.4. Уязвимость пакета офисных программ LibreOffice связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.3) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 chromium Inappropriate implementation in Fullscreen in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Fullscreen веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 curl When a protocol selection parameter option disables all protocols without adding any then the default set of protocols would remain in the allowed set due to an error in the logic for removing protocols. The below command would perform a request to curl.se with a plaintext protocol which has been explicitly disabled. curl --proto -all,-http http://curl.se The flaw is only present if the set of selected protocols disables the entire set of available protocols, in itself a command with no practical use and therefore unlikely to be encountered in real situations. The curl security team has thus assessed this to be low severity bug. Уязвимость программного средства для взаимодействия с серверами CURL связана с возникновением конфликта интерпретаций. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-436')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N', score=3.5) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 jinja2 Jinja is an extensible templating engine. Special placeholders in the template allow writing code similar to Python syntax. It is possible to inject arbitrary HTML attributes into the rendered HTML template, potentially leading to Cross-Site Scripting (XSS). The Jinja `xmlattr` filter can be abused to inject arbitrary HTML attribute keys and values, bypassing the auto escaping mechanism and potentially leading to XSS. It may also be possible to bypass attribute validation checks if they are blacklist-based. Уязвимость фильтра xmlattr шаблонизатора для языка программирования Python Jinja связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-79'), NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) jinja2: - Удалить ПО jinja2, если оно не используется и не является зависимостью других пакетов - Использовать ПО jinja2 только на низком или отдельно выделенном уровне целостности - При использовании ПО jinja2 выполнять обработку файлов и данных, полученных только из доверенных источников - Обеспечить возможность запуска jinja2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 dovecot Having a large number of address headers (From, To, Cc, Bcc, etc.) becomes excessively CPU intensive. With 100k header lines CPU usage is already 12 seconds, and in a production environment we observed 500k header lines taking 18 minutes to parse. Since this can be triggered by external actors sending emails to a victim, this is a security issue. An external attacker can send specially crafted messages that consume target system resources and cause outage. One can implement restrictions on address headers on MTA component preceding Dovecot. No publicly available exploits are known. Уязвимость компонента Address Header Handler почтового сервера Dovecot связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N', score=5.0) dovecot: - Выполните настройку конфигурационных файлов от имени администратора системы с высоким уровнем целостности. - В файле конфигурации /etc/dovecot/dovecot.conf: - Пропишите явно используемые протоколы, например: ``` protocols = imap lmtp ``` - Рекомендуется скрыть баннер Dovecot, чтобы затруднить автоматический сбор версий: ``` login_greeting = IMAP server is ready. ``` - В файле конфигурации /etc/dovecot/conf.d/10-ssl.conf: - Отключите устаревшие протоколы: ``` ssl_protocols = !SSLv2 !SSLv3 !TLSv1 !TLSv1.1 ``` - В файле конфигурации /etc/dovecot/conf.d/10-ssl.conf: - Явно укажите список стойких шифров, например: ``` ssl_cipher_list = ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305 ssl_prefer_server_ciphers = yes ``` - Увеличьте длину ключей DH: ``` ssl_dh_length = 2048 ``` - В файле конфигурации /etc/dovecot/conf.d/10-master.conf: - Убедитесь, что сервисы логина и исполнения работают от отдельных непривилегированных пользователей: ``` default_internal_user = dovecot default_login_user = dovenull ``` - Файлы ключей SSL должны быть доступны только для root: ``` chmod 400 /etc/dovecot/private/ssl_key.pem chown root:root /etc/dovecot/private/ssl_key.pem ``` Astra Linux 1.8 dovecot Very large headers can cause resource exhaustion when parsing message. The message-parser normally reads reasonably sized chunks of the message. However, when it feeds them to message-header-parser, it starts building up "full_value" buffer out of the smaller chunks. The full_value buffer has no size limit, so large headers can cause large memory usage. It doesn't matter whether it's a single long header line, or a single header split into multiple lines. This bug exists in all Dovecot versions. Incoming mails typically have some size limits set by MTA, so even largest possible header size may still fit into Dovecot's vsz_limit. So attackers probably can't DoS a victim user this way. A user could APPEND larger mails though, allowing them to DoS themselves (although maybe cause some memory issues for the backend in general). One can implement restrictions on headers on MTA component preceding Dovecot. No publicly available exploits are known. Уязвимость почтового сервера Dovecot связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) dovecot: - Выполните настройку конфигурационных файлов от имени администратора системы с высоким уровнем целостности. - В файле конфигурации /etc/dovecot/dovecot.conf: - Пропишите явно используемые протоколы, например: ``` protocols = imap lmtp ``` - Рекомендуется скрыть баннер Dovecot, чтобы затруднить автоматический сбор версий: ``` login_greeting = IMAP server is ready. ``` - В файле конфигурации /etc/dovecot/conf.d/10-ssl.conf: - Отключите устаревшие протоколы: ``` ssl_protocols = !SSLv2 !SSLv3 !TLSv1 !TLSv1.1 ``` - В файле конфигурации /etc/dovecot/conf.d/10-ssl.conf: - Явно укажите список стойких шифров, например: ``` ssl_cipher_list = ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305 ssl_prefer_server_ciphers = yes ``` - Увеличьте длину ключей DH: ``` ssl_dh_length = 2048 ``` - В файле конфигурации /etc/dovecot/conf.d/10-master.conf: - Убедитесь, что сервисы логина и исполнения работают от отдельных непривилегированных пользователей: ``` default_internal_user = dovecot default_login_user = dovenull ``` - Файлы ключей SSL должны быть доступны только для root: ``` chmod 400 /etc/dovecot/private/ssl_key.pem chown root:root /etc/dovecot/private/ssl_key.pem ``` Astra Linux 1.8 libpod BuildKit is a toolkit for converting source code to build artifacts in an efficient, expressive and repeatable manner. A malicious BuildKit client or frontend could craft a request that could lead to BuildKit daemon crashing with a panic. The issue has been fixed in v0.12.5. As a workaround, avoid using BuildKit frontends from untrusted sources. [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) libpod: - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` podman run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` podman run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - По возможности используйте rootless контейнеры, которые работают без привилегий суперпользователя - Запускайте контейнеры от имени пользователей с минимально необходимыми правами - Поддерживайте образы контейнеров и сам Podman в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) libpodofo: - Отказаться от использования библиотеки libpodofo - При использовании ПО, использующего библиотеку libpodofo, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libpodofo, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libpodofo, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libpod BuildKit is a toolkit for converting source code to build artifacts in an efficient, expressive and repeatable manner. Two malicious build steps running in parallel sharing the same cache mounts with subpaths could cause a race condition that can lead to files from the host system being accessible to the build container. The issue has been fixed in v0.12.5. Workarounds include, avoiding using BuildKit frontend from an untrusted source or building an untrusted Dockerfile containing cache mounts with --mount=type=cache,source=... options. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N', score=8.7) libpod: - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` podman run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` podman run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - По возможности используйте rootless контейнеры, которые работают без привилегий суперпользователя - Запускайте контейнеры от имени пользователей с минимально необходимыми правами - Поддерживайте образы контейнеров и сам Podman в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) libpodofo: - Отказаться от использования библиотеки libpodofo - При использовании ПО, использующего библиотеку libpodofo, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libpodofo, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libpodofo, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libpod BuildKit is a toolkit for converting source code to build artifacts in an efficient, expressive and repeatable manner. A malicious BuildKit frontend or Dockerfile using RUN --mount could trick the feature that removes empty files created for the mountpoints into removing a file outside the container, from the host system. The issue has been fixed in v0.12.5. Workarounds include avoiding using BuildKit frontends from an untrusted source or building an untrusted Dockerfile containing RUN --mount feature. [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H', score=10.0) libpod: - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` podman run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` podman run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - По возможности используйте rootless контейнеры, которые работают без привилегий суперпользователя - Запускайте контейнеры от имени пользователей с минимально необходимыми правами - Поддерживайте образы контейнеров и сам Podman в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) libpodofo: - Отказаться от использования библиотеки libpodofo - При использовании ПО, использующего библиотеку libpodofo, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libpodofo, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libpodofo, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libpod BuildKit is a toolkit for converting source code to build artifacts in an efficient, expressive and repeatable manner. In addition to running containers as build steps, BuildKit also provides APIs for running interactive containers based on built images. It was possible to use these APIs to ask BuildKit to run a container with elevated privileges. Normally, running such containers is only allowed if special `security.insecure` entitlement is enabled both by buildkitd configuration and allowed by the user initializing the build request. The issue has been fixed in v0.12.5 . Avoid using BuildKit frontends from untrusted sources. [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) libpod: - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` podman run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` podman run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - По возможности используйте rootless контейнеры, которые работают без привилегий суперпользователя - Запускайте контейнеры от имени пользователей с минимально необходимыми правами - Поддерживайте образы контейнеров и сам Podman в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) libpodofo: - Отказаться от использования библиотеки libpodofo - При использовании ПО, использующего библиотеку libpodofo, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libpodofo, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libpodofo, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 curl When an application tells libcurl it wants to allow HTTP/2 server push, and the amount of received headers for the push surpasses the maximum allowed limit (1000), libcurl aborts the server push. When aborting, libcurl inadvertently does not free all the previously allocated headers and instead leaks the memory. Further, this error condition fails silently and is therefore not easily detected by an application. Уязвимость реализации сетевого протокола HTTP/2 утилиты командной строки cURL связана с ошибками освобождения памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-772')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L', score=8.6) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 texlive-bin texlive-bin commit c515e was discovered to contain heap buffer overflow via the function ttfLoadHDMX:ttfdump. This vulnerability allows attackers to cause a Denial of Service (DoS) via supplying a crafted TTF file. Уязвимость функции ttfLoadHDMX:ttfdump системы компьютерной верстки TeX Live связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного TTF файла [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H', score=8.1) - При использовании ПО texlive-bin выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска texlive-bin только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 krb5 Kerberos 5 (aka krb5) 1.21.2 contains a memory leak vulnerability in /krb5/src/lib/gssapi/krb5/k5sealv3.c. Уязвимость компонента /krb5/src/lib/gssapi/krb5/k5sealv3.c сетевого протокола аутентификации Kerberos связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 krb5 Kerberos 5 (aka krb5) 1.21.2 contains a memory leak vulnerability in /krb5/src/kdc/ndr.c. Уязвимость компонента /krb5/src/kdc/ndr.c сетевого протокола аутентификации Kerberos связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 freeipa A vulnerability was found in FreeIPA in how the initial implementation of MS-SFU by MIT Kerberos was missing a condition for granting the "forwardable" flag on S4U2Self tickets. Fixing this mistake required adding a special case for the check_allowed_to_delegate() function: If the target service argument is NULL, then it means the KDC is probing for general constrained delegation rules and not checking a specific S4U2Proxy request. In FreeIPA 4.11.0, the behavior of ipadb_match_acl() was modified to match the changes from upstream MIT Kerberos 1.20. However, a mistake resulting in this mechanism applies in cases where the target service argument is set AND where it is unset. This results in S4U2Proxy requests being accepted regardless of whether or not there is a matching service delegation rule. Уязвимость программного обеспечения централизованного управления идентификацией FreeIPA связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-863'), NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) freeipa: - Настройте правила брандмауэра для разрешения только необходимых портов - Разрешите доступ только с доверенных IP-адресов - Настройте FreeIPA для использования SSL/TLS для шифрования всех сетевых коммуникаций - Используйте доверенные сертификаты - Предоставляйте пользователям только те права, которые им необходимы для выполнения их задач - Настройте ограничения на количество попыток входа и используйте CAPTCHA - Настройте правила HBAC для управления доступом к хостам на основе ролей и групп пользователей - Запускать ПО freeipa в изолированной программной среде - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 dcmtk Buffer Overflow vulnerability in DCMTK v.3.6.8 allows an attacker to execute arbitrary code via the EctEnhancedCT method component. Уязвимость метода EctEnhancedCT библиотеки для работы с форматом DICOM DCMTK связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=8.1) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 nodejs The team has identified a critical vulnerability in the http server of the most recent version of Node, where malformed headers can lead to HTTP request smuggling. Specifically, if a space is placed before a content-length header, it is not interpreted correctly, enabling attackers to smuggle in a second request within the body of the first. Уязвимость программной платформы Node.js связана с недостатками обработки HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действущему удаленно, отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling) [NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) nodejs: - При использовании ПО NodeJS выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте NodeJS-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 pillow In _imagingcms.c in Pillow before 10.3.0, a buffer overflow exists because strcpy is used instead of strncpy. Уязвимость компонента _imagingcms.c библиотеки для работы с растровой графикой Pillow связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-680')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H', score=6.7) - Не использовать уязвимый модуль ImageCms и, в частности, уязвимую функцию ImageCms.buildTransform - При невозможности отказа от использования уязвимой функции ImageCms.buildTransform перед ее вызовом предварительно проверять длину передаваемых в неё строк - она не должна превышать 8 байт Astra Linux 1.8 ghostscript Artifex Ghostscript before 10.03.0 has a stack-based buffer overflow in the pdfi_apply_filter() function via a long PDF filter name. Уязвимость функции pdfi_apply_filter() набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с переполнением буфера в процессе фильтрации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код, вызвать отказ в обслуживании или получить полный контроль над приложением [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript Artifex Ghostscript before 10.03.0 sometimes has a stack-based buffer overflow via the CIDFSubstPath and CIDFSubstFont parameters. Уязвимость набора программного обеспечения обработки документов Ghostscript связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью параметров CIDFSubstPath и CIDFSubstFont [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L', score=5.4) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript Artifex Ghostscript before 10.03.0 has a heap-based pointer disclosure (observable in a constructed BaseFont name) in the function pdf_base_font_alloc. Уязвимость функции pdf_base_font_alloc набора программного обеспечения обработки документов Ghostscript связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript Artifex Ghostscript before 10.03.0 has a heap-based overflow when PDFPassword (e.g., for runpdf) has a \000 byte in the middle. Уязвимость набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с переполнением буфера при обработке параметра PDFPassword. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 libreoffice Unchecked script execution in Graphic on-click binding in affected LibreOffice versions allows an attacker to create a document which without prompt will execute scripts built-into LibreOffice on clicking a graphic. Such scripts were previously deemed trusted but are now deemed untrusted. Уязвимость пакета офисных программ LibreOffice связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-356'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 ffmpeg FFmpeg version n6.1.1 was discovered to contain a heap use-after-free via the av_hwframe_ctx_init function. Уязвимость функции av_hwframe_ctx_init мультимедийной библиотеки FFmpeg связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg FFmpeg version n5.1 to n6.1 was discovered to contain an Off-by-one Error vulnerability in libavfilter/avf_showspectrum.c. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted input. Уязвимость компонента libavfilter/avf_showspectrum.c мультимедийной библиотеки FFmpeg связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:C/C:N/I:N/A:H', score=5.3) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 cjson cJSON v1.7.17 was discovered to contain a segmentation violation, which can trigger through the second parameter of function cJSON_SetValuestring at cJSON.c. Уязвимость функции cJSON_SetValuestring компонента cJSON.c библиотеки для работы с JSON-объектами в C cJSON связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:H', score=7.6) - Удалить ПО cjson, если оно не используется и не является зависимостью других пакетов - Отказаться от использования ПО cjson в пользу ПО jansson - При использовании ПО cjson выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 freeipa A vulnerability was found in FreeIPA in a way when a Kerberos TGS-REQ is encrypted using the client’s session key. This key is different for each new session, which protects it from brute force attacks. However, the ticket it contains is encrypted using the target principal key directly. For user principals, this key is a hash of a public per-principal randomly-generated salt and the user’s password. If a principal is compromised it means the attacker would be able to retrieve tickets encrypted to any principal, all of them being encrypted by their own key directly. By taking these tickets and salts offline, the attacker could run brute force attacks to find character strings able to decrypt tickets when combined to a principal salt (i.e. find the principal’s password). Уязвимость программного обеспечения централизованного управления идентификацией FreeIPA связана с недостаточным вычислением хеша пароля. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-916')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=8.1) - Настройте правила брандмауэра для разрешения только необходимых портов - Разрешите доступ только с доверенных IP-адресов - Настройте FreeIPA для использования SSL/TLS для шифрования всех сетевых коммуникаций - Используйте доверенные сертификаты - Предоставляйте пользователям только те права, которые им необходимы для выполнения их задач - Настройте ограничения на количество попыток входа и используйте CAPTCHA - Настройте правила HBAC для управления доступом к хостам на основе ролей и групп пользователей - Запускать ПО freeipa в изолированной программной среде - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 ffmpeg FFmpeg 7.0 is vulnerable to Buffer Overflow. There is a negative-size-param bug at libavcodec/mpegvideo_enc.c:1216:21 in load_input_picture in FFmpeg7.0 Уязвимость функции load_input_picture компонента ibavcodec/mpegvideo_enc.c мультимедийной библиотеки FFmpeg связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 unbound The DNS protocol in RFC 1035 and updates allows remote attackers to cause a denial of service (resource consumption) by arranging for DNS queries to be accumulated for seconds, such that responses are later sent in a pulsing burst (which can be considered traffic amplification in some cases), aka the "DNSBomb" issue. Уязвимость DNS-сервера Unbound связана с возможностью формирования импульсного потока большого количества запросов к серверу с использованием ответов от DNS-резолверов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, реализовать DDoS-атаку с использованием DNS-трафика [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Отсутствует Astra Linux 1.8 jinja2 Jinja is an extensible templating engine. The `xmlattr` filter in affected versions of Jinja accepts keys containing non-attribute characters. XML/HTML attributes cannot contain spaces, `/`, `>`, or `=`, as each would then be interpreted as starting a separate attribute. If an application accepts keys (as opposed to only values) as user input, and renders these in pages that other users see as well, an attacker could use this to inject other attributes and perform XSS. The fix for CVE-2024-22195 only addressed spaces but not other characters. Accepting keys as user input is now explicitly considered an unintended use case of the `xmlattr` filter, and code that does so without otherwise validating the input should be flagged as insecure, regardless of Jinja version. Accepting _values_ as user input continues to be safe. This vulnerability is fixed in 3.1.4. Уязвимость шаблонизатора для языка программирования Python Jinja связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) jinja2: - Удалить ПО jinja2, если оно не используется и не является зависимостью других пакетов - Использовать ПО jinja2 только на низком или отдельно выделенном уровне целостности - При использовании ПО jinja2 выполнять обработку файлов и данных, полученных только из доверенных источников - Обеспечить возможность запуска jinja2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 dcmtk dcmnet in DCMTK before 3.6.9 has a segmentation fault via an invalid DIMSE message. Уязвимость компонента dcmnet библиотеки для работы с форматом DICOM DCMTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=4.3) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 dcmtk dcmdata in DCMTK before 3.6.9 has a segmentation fault via an invalid DIMSE message. Уязвимость компонента dcmdata библиотеки для работы с форматом DICOM DCMTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 ffmpeg FFmpeg n6.1.1 is Integer Overflow. The vulnerability exists in the parse_options function of sbgdec.c within the libavformat module. When parsing certain options, the software does not adequately validate the input. This allows for negative duration values to be accepted without proper bounds checking. Уязвимость функции parse_options компонента sbgdec.c модуля libavformat мультимедийной библиотеки FFmpeg связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tty: n_gsm: fix possible out-of-bounds in gsm0_receive() Assuming the following: - side A configures the n_gsm in basic option mode - side B sends the header of a basic option mode frame with data length 1 - side A switches to advanced option mode - side B sends 2 data bytes which exceeds gsm->len Reason: gsm->len is not used in advanced option mode. - side A switches to basic option mode - side B keeps sending until gsm0_receive() writes past gsm->buf Reason: Neither gsm->state nor gsm->len have been reset after reconfiguration. Fix this by changing gsm->count to gsm->len comparison from equal to less than. Also add upper limit checks against the constant MAX_MRU in gsm0_receive() and gsm1_receive() to harden against memory corruption of gsm->len and gsm->mru. All other checks remain as we still need to limit the data according to the user configuration and actual payload size. Уязвимость компонента drivers/tty/n_gsm.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля n_gsm.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль n_gsm в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep n_gsm ``` или ``` kmod list | grep n_gsm ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod n_gsm ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install n_gsm /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: keys: Fix overwrite of key expiration on instantiation The expiry time of a key is unconditionally overwritten during instantiation, defaulting to turn it permanent. This causes a problem for DNS resolution as the expiration set by user-space is overwritten to TIME64_MAX, disabling further DNS updates. Fix this by restoring the condition that key_set_expiry is only called when the pre-parser sets a specific expiry. Уязвимость компонента security/keys/key.c ядра операционной системы Linux связана с использованием ключа с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-324')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 plasma-workspace KSmserver in KDE Plasma Workspace (aka plasma-workspace) before 5.27.11.1 and 6.x before 6.0.5.1 allows connections via ICE based purely on the host, i.e., all local connections are accepted. This allows another user on the same machine to gain access to the session manager, e.g., use the session-restore feature to execute arbitrary code as the victim (on the next boot) via earlier use of the /tmp directory. Уязвимость графической среды рабочего стола Plasma Workspace связана с неверным сроком действия сеанса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-613')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 389-ds-base A flaw was found in 389-ds-base. A specially-crafted LDAP query can potentially cause a failure on the directory server, leading to a denial of service Уязвимость сервера службы каталогов 389 Directory Server связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного LDAP запроса [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 ffmpeg FFmpeg n6.1.1 has a vulnerability in the DXA demuxer of the libavformat library allowing for an integer overflow, potentially resulting in a denial-of-service (DoS) condition or other undefined behavior. Уязвимость демультиплексора DXA мультимедийной библиотеки FFmpeg связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg An integer overflow in the component /libavformat/westwood_vqa.c of FFmpeg n6.1.1 allows attackers to cause a denial of service in the application via a crafted VQA file. Уязвимость компонента libavformat/westwood_vqa.c мультимедийной библиотеки FFmpeg связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного VQA файла [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg FFmpeg n6.1.1 has an integer overflow vulnerability in the FFmpeg CAF decoder. Уязвимость декодера CAF мультимедийной библиотеки FFmpeg связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: fix UAF in error path Sam Page (sam4k) working with Trend Micro Zero Day Initiative reported a UAF in the tipc_buf_append() error path: BUG: KASAN: slab-use-after-free in kfree_skb_list_reason+0x47e/0x4c0 linux/net/core/skbuff.c:1183 Read of size 8 at addr ffff88804d2a7c80 by task poc/8034 CPU: 1 PID: 8034 Comm: poc Not tainted 6.8.2 #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.0-debian-1.16.0-5 04/01/2014 Call Trace: <IRQ> __dump_stack linux/lib/dump_stack.c:88 dump_stack_lvl+0xd9/0x1b0 linux/lib/dump_stack.c:106 print_address_description linux/mm/kasan/report.c:377 print_report+0xc4/0x620 linux/mm/kasan/report.c:488 kasan_report+0xda/0x110 linux/mm/kasan/report.c:601 kfree_skb_list_reason+0x47e/0x4c0 linux/net/core/skbuff.c:1183 skb_release_data+0x5af/0x880 linux/net/core/skbuff.c:1026 skb_release_all linux/net/core/skbuff.c:1094 __kfree_skb linux/net/core/skbuff.c:1108 kfree_skb_reason+0x12d/0x210 linux/net/core/skbuff.c:1144 kfree_skb linux/./include/linux/skbuff.h:1244 tipc_buf_append+0x425/0xb50 linux/net/tipc/msg.c:186 tipc_link_input+0x224/0x7c0 linux/net/tipc/link.c:1324 tipc_link_rcv+0x76e/0x2d70 linux/net/tipc/link.c:1824 tipc_rcv+0x45f/0x10f0 linux/net/tipc/node.c:2159 tipc_udp_recv+0x73b/0x8f0 linux/net/tipc/udp_media.c:390 udp_queue_rcv_one_skb+0xad2/0x1850 linux/net/ipv4/udp.c:2108 udp_queue_rcv_skb+0x131/0xb00 linux/net/ipv4/udp.c:2186 udp_unicast_rcv_skb+0x165/0x3b0 linux/net/ipv4/udp.c:2346 __udp4_lib_rcv+0x2594/0x3400 linux/net/ipv4/udp.c:2422 ip_protocol_deliver_rcu+0x30c/0x4e0 linux/net/ipv4/ip_input.c:205 ip_local_deliver_finish+0x2e4/0x520 linux/net/ipv4/ip_input.c:233 NF_HOOK linux/./include/linux/netfilter.h:314 NF_HOOK linux/./include/linux/netfilter.h:308 ip_local_deliver+0x18e/0x1f0 linux/net/ipv4/ip_input.c:254 dst_input linux/./include/net/dst.h:461 ip_rcv_finish linux/net/ipv4/ip_input.c:449 NF_HOOK linux/./include/linux/netfilter.h:314 NF_HOOK linux/./include/linux/netfilter.h:308 ip_rcv+0x2c5/0x5d0 linux/net/ipv4/ip_input.c:569 __netif_receive_skb_one_core+0x199/0x1e0 linux/net/core/dev.c:5534 __netif_receive_skb+0x1f/0x1c0 linux/net/core/dev.c:5648 process_backlog+0x101/0x6b0 linux/net/core/dev.c:5976 __napi_poll.constprop.0+0xba/0x550 linux/net/core/dev.c:6576 napi_poll linux/net/core/dev.c:6645 net_rx_action+0x95a/0xe90 linux/net/core/dev.c:6781 __do_softirq+0x21f/0x8e7 linux/kernel/softirq.c:553 do_softirq linux/kernel/softirq.c:454 do_softirq+0xb2/0xf0 linux/kernel/softirq.c:441 </IRQ> <TASK> __local_bh_enable_ip+0x100/0x120 linux/kernel/softirq.c:381 local_bh_enable linux/./include/linux/bottom_half.h:33 rcu_read_unlock_bh linux/./include/linux/rcupdate.h:851 __dev_queue_xmit+0x871/0x3ee0 linux/net/core/dev.c:4378 dev_queue_xmit linux/./include/linux/netdevice.h:3169 neigh_hh_output linux/./include/net/neighbour.h:526 neigh_output linux/./include/net/neighbour.h:540 ip_finish_output2+0x169f/0x2550 linux/net/ipv4/ip_output.c:235 __ip_finish_output linux/net/ipv4/ip_output.c:313 __ip_finish_output+0x49e/0x950 linux/net/ipv4/ip_output.c:295 ip_finish_output+0x31/0x310 linux/net/ipv4/ip_output.c:323 NF_HOOK_COND linux/./include/linux/netfilter.h:303 ip_output+0x13b/0x2a0 linux/net/ipv4/ip_output.c:433 dst_output linux/./include/net/dst.h:451 ip_local_out linux/net/ipv4/ip_output.c:129 ip_send_skb+0x3e5/0x560 linux/net/ipv4/ip_output.c:1492 udp_send_skb+0x73f/0x1530 linux/net/ipv4/udp.c:963 udp_sendmsg+0x1a36/0x2b40 linux/net/ipv4/udp.c:1250 inet_sendmsg+0x105/0x140 linux/net/ipv4/af_inet.c:850 sock_sendmsg_nosec linux/net/socket.c:730 __sock_sendmsg linux/net/socket.c:745 __sys_sendto+0x42c/0x4e0 linux/net/socket.c:2191 __do_sys_sendto linux/net/socket.c:2203 __se_sys_sendto linux/net/socket.c:2199 __x64_sys_sendto+0xe0/0x1c0 linux/net/socket.c:2199 do_syscall_x64 linux/arch/x86/entry/common.c:52 do_syscall_ ---truncated--- Уязвимость функции tipc_buf_append() в модуле net/tipc/msg.c реализации протокола Transparent Inter Process Communication (TIPC) ядра операционной системы Linux связана связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля tipc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль tipc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep tipc ``` или ``` kmod list | grep tipc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod tipc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install tipc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: USB: core: Fix access violation during port device removal Testing with KASAN and syzkaller revealed a bug in port.c:disable_store(): usb_hub_to_struct_hub() can return NULL if the hub that the port belongs to is concurrently removed, but the function does not check for this possibility before dereferencing the returned value. It turns out that the first dereference is unnecessary, since hub->intfdev is the parent of the port device, so it can be changed easily. Adding a check for hub == NULL prevents further problems. The same bug exists in the disable_show() routine, and it can be fixed the same way. Уязвимость функций disable_show() и disable_strore() в модуле drivers/usb/core/port.c драйвера USB ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: defer shutdown(SEND_SHUTDOWN) for TCP_SYN_RECV sockets TCP_SYN_RECV state is really special, it is only used by cross-syn connections, mostly used by fuzzers. In the following crash [1], syzbot managed to trigger a divide by zero in tcp_rcv_space_adjust() A socket makes the following state transitions, without ever calling tcp_init_transfer(), meaning tcp_init_buffer_space() is also not called. TCP_CLOSE connect() TCP_SYN_SENT TCP_SYN_RECV shutdown() -> tcp_shutdown(sk, SEND_SHUTDOWN) TCP_FIN_WAIT1 To fix this issue, change tcp_shutdown() to not perform a TCP_SYN_RECV -> TCP_FIN_WAIT1 transition, which makes no sense anyway. When tcp_rcv_state_process() later changes socket state from TCP_SYN_RECV to TCP_ESTABLISH, then look at sk->sk_shutdown to finally enter TCP_FIN_WAIT1 state, and send a FIN packet from a sane socket state. This means tcp_send_fin() can now be called from BH context, and must use GFP_ATOMIC allocations. [1] divide error: 0000 [#1] PREEMPT SMP KASAN NOPTI CPU: 1 PID: 5084 Comm: syz-executor358 Not tainted 6.9.0-rc6-syzkaller-00022-g98369dccd2f8 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 RIP: 0010:tcp_rcv_space_adjust+0x2df/0x890 net/ipv4/tcp_input.c:767 Code: e3 04 4c 01 eb 48 8b 44 24 38 0f b6 04 10 84 c0 49 89 d5 0f 85 a5 03 00 00 41 8b 8e c8 09 00 00 89 e8 29 c8 48 0f af c3 31 d2 <48> f7 f1 48 8d 1c 43 49 8d 96 76 08 00 00 48 89 d0 48 c1 e8 03 48 RSP: 0018:ffffc900031ef3f0 EFLAGS: 00010246 RAX: 0c677a10441f8f42 RBX: 000000004fb95e7e RCX: 0000000000000000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 RBP: 0000000027d4b11f R08: ffffffff89e535a4 R09: 1ffffffff25e6ab7 R10: dffffc0000000000 R11: ffffffff8135e920 R12: ffff88802a9f8d30 R13: dffffc0000000000 R14: ffff88802a9f8d00 R15: 1ffff1100553f2da FS: 00005555775c0380(0000) GS:ffff8880b9500000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f1155bf2304 CR3: 000000002b9f2000 CR4: 0000000000350ef0 Call Trace: <TASK> tcp_recvmsg_locked+0x106d/0x25a0 net/ipv4/tcp.c:2513 tcp_recvmsg+0x25d/0x920 net/ipv4/tcp.c:2578 inet6_recvmsg+0x16a/0x730 net/ipv6/af_inet6.c:680 sock_recvmsg_nosec net/socket.c:1046 [inline] sock_recvmsg+0x109/0x280 net/socket.c:1068 ____sys_recvmsg+0x1db/0x470 net/socket.c:2803 ___sys_recvmsg net/socket.c:2845 [inline] do_recvmmsg+0x474/0xae0 net/socket.c:2939 __sys_recvmmsg net/socket.c:3018 [inline] __do_sys_recvmmsg net/socket.c:3041 [inline] __se_sys_recvmmsg net/socket.c:3034 [inline] __x64_sys_recvmmsg+0x199/0x250 net/socket.c:3034 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7faeb6363db9 Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 c1 17 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007ffcc1997168 EFLAGS: 00000246 ORIG_RAX: 000000000000012b RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007faeb6363db9 RDX: 0000000000000001 RSI: 0000000020000bc0 RDI: 0000000000000005 RBP: 0000000000000000 R08: 0000000000000000 R09: 000000000000001c R10: 0000000000000122 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000001 R15: 0000000000000001 Уязвимость компонента tcp ядра операционной системы Linux связана с ошибкой деления на ноль в tcp_rcv_space_adjust(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Drivers: hv: vmbus: Track decrypted status in vmbus_gpadl In CoCo VMs it is possible for the untrusted host to cause set_memory_encrypted() or set_memory_decrypted() to fail such that an error is returned and the resulting memory is shared. Callers need to take care to handle these errors to avoid returning decrypted (shared) memory to the page allocator, which could lead to functional or security issues. In order to make sure callers of vmbus_establish_gpadl() and vmbus_teardown_gpadl() don't return decrypted/shared pages to allocators, add a field in struct vmbus_gpadl to keep track of the decryption status of the buffers. This will allow the callers to know if they should free or leak the pages. Уязвимость функции set_memory_encrypted() компонента drivers/hv/channel.c ядра операционной системы Linux связана с разглашением конфиденциальной системной информации из-за неочищенной отладочной информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1258')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.6) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: hda: intel-sdw-acpi: fix usage of device_get_named_child_node() The documentation for device_get_named_child_node() mentions this important point: " The caller is responsible for calling fwnode_handle_put() on the returned fwnode pointer. " Add fwnode_handle_put() to avoid a leaked reference. Уязвимость функции device_get_named_child_node() компонента sound/hda/intel-sdw-acpi.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=7.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: sched: sch_multiq: fix possible OOB write in multiq_tune() q->bands will be assigned to qopt->bands to execute subsequent code logic after kmalloc. So the old q->bands should not be used in kmalloc. Otherwise, an out-of-bounds write will occur. Уязвимость функции multiq_tune компонента sch_multiq ядра операционной системы Linux связана с записью за границами буфера динамической памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью выполнения специально сформированных сетевых запросов. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: bridge: mst: fix vlan use-after-free syzbot reported a suspicious rcu usage[1] in bridge's mst code. While fixing it I noticed that nothing prevents a vlan to be freed while walking the list from the same path (br forward delay timer). Fix the rcu usage and also make sure we are not accessing freed memory by making br_mst_vlan_set_state use rcu read lock. [1] WARNING: suspicious RCU usage 6.9.0-rc6-syzkaller #0 Not tainted ----------------------------- net/bridge/br_private.h:1599 suspicious rcu_dereference_protected() usage! ... stack backtrace: CPU: 1 PID: 8017 Comm: syz-executor.1 Not tainted 6.9.0-rc6-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 Call Trace: <IRQ> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:114 lockdep_rcu_suspicious+0x221/0x340 kernel/locking/lockdep.c:6712 nbp_vlan_group net/bridge/br_private.h:1599 [inline] br_mst_set_state+0x1ea/0x650 net/bridge/br_mst.c:105 br_set_state+0x28a/0x7b0 net/bridge/br_stp.c:47 br_forward_delay_timer_expired+0x176/0x440 net/bridge/br_stp_timer.c:88 call_timer_fn+0x18e/0x650 kernel/time/timer.c:1793 expire_timers kernel/time/timer.c:1844 [inline] __run_timers kernel/time/timer.c:2418 [inline] __run_timer_base+0x66a/0x8e0 kernel/time/timer.c:2429 run_timer_base kernel/time/timer.c:2438 [inline] run_timer_softirq+0xb7/0x170 kernel/time/timer.c:2448 __do_softirq+0x2c6/0x980 kernel/softirq.c:554 invoke_softirq kernel/softirq.c:428 [inline] __irq_exit_rcu+0xf2/0x1c0 kernel/softirq.c:633 irq_exit_rcu+0x9/0x30 kernel/softirq.c:645 instr_sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1043 [inline] sysvec_apic_timer_interrupt+0xa6/0xc0 arch/x86/kernel/apic/apic.c:1043 </IRQ> <TASK> asm_sysvec_apic_timer_interrupt+0x1a/0x20 arch/x86/include/asm/idtentry.h:702 RIP: 0010:lock_acquire+0x264/0x550 kernel/locking/lockdep.c:5758 Code: 2b 00 74 08 4c 89 f7 e8 ba d1 84 00 f6 44 24 61 02 0f 85 85 01 00 00 41 f7 c7 00 02 00 00 74 01 fb 48 c7 44 24 40 0e 36 e0 45 <4b> c7 44 25 00 00 00 00 00 43 c7 44 25 09 00 00 00 00 43 c7 44 25 RSP: 0018:ffffc90013657100 EFLAGS: 00000206 RAX: 0000000000000001 RBX: 1ffff920026cae2c RCX: 0000000000000001 RDX: dffffc0000000000 RSI: ffffffff8bcaca00 RDI: ffffffff8c1eaa60 RBP: ffffc90013657260 R08: ffffffff92efe507 R09: 1ffffffff25dfca0 R10: dffffc0000000000 R11: fffffbfff25dfca1 R12: 1ffff920026cae28 R13: dffffc0000000000 R14: ffffc90013657160 R15: 0000000000000246 Уязвимость функции br_mst_set_state() в модуле net/bridge/br_mst.c реализации протокола IEEE 802.1D ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 krb5 In MIT Kerberos 5 (aka krb5) before 1.21.3, an attacker can modify the plaintext Extra Count field of a confidential GSS krb5 wrap token, causing the unwrapped token to appear truncated to the application. Уязвимость сетевого протокола аутентификации Kerberos связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-345')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 krb5 In MIT Kerberos 5 (aka krb5) before 1.21.3, an attacker can cause invalid memory reads during GSS message token handling by sending message tokens with invalid length fields. Уязвимость сетевого протокола аутентификации Kerberos связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) Для нейтрализации угрозы эксплуатации уязвимости необходимо настроить Kerberos для использования только безопасных версий GSS API и отключить уязвимые функции. Для этого, используя полномочия администратора системы с высоким уровнем целостности, добавьте следующие настройки в файл конфигурации /etc/krb5.conf: ``` [libdefaults] permitted_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 default_tgs_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 default_tkt_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 [realms] YOUR_REALM = { supported_enctypes = aes256-cts-hmac-sha1-96:normal aes128-cts-hmac-sha1-96:normal } ``` Astra Linux 1.8 squid Squid is a caching proxy for the Web supporting HTTP, HTTPS, FTP, and more. Due to an Out-of-bounds Write error when assigning ESI variables, Squid is susceptible to a Memory Corruption error. This error can lead to a Denial of Service attack. Уязвимость прокси-сервера Squid связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:C/C:N/I:N/A:H', score=6.3) squid: - Исключить из автозапуска сетевой сервис - Обеспечить подключения пользователей к прокси серверу squid только по https протоколу - Использовать ПО squid только на низком или отдельно выделенном уровне целостности - Запускать ПО Squid с минимально необходимыми привилегиями - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Squid (/etc/squid/squid.conf): ``` # Разрешите доступ к прокси-серверу только с доверенных IP-адресов acl localnet src YOUR_TRUSTED_IP http_access allow localnet http_access deny all ``` - Настройте брандмауэр так, чтобы разрешать входящие подключения к Squid только с доверенных сетей, например: ``` sudo iptables -A INPUT -s YOUR_TRUSTED_IP -p tcp --dport 3128 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 3128 -j DROP ``` - Ограничьте доступ к ненадёжным и недоверенным ресурсам с помощью белых или чёрных списков. squid3: - Исключить из автозапуска сетевой сервис - Обеспечить подключения пользователей к прокси серверу squid только по https протоколу - Использовать ПО squid только на низком или отдельно выделенном уровне целостности - Запускать ПО Squid с минимально необходимыми привилегиями - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Squid (/etc/squid/squid.conf): ``` # Разрешите доступ к прокси-серверу только с доверенных IP-адресов acl localnet src YOUR_TRUSTED_IP http_access allow localnet http_access deny all ``` - Настройте брандмауэр так, чтобы разрешать входящие подключения к Squid только с доверенных сетей, например: ``` sudo iptables -A INPUT -s YOUR_TRUSTED_IP -p tcp --dport 3128 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 3128 -j DROP ``` - Ограничьте доступ к ненадёжным и недоверенным ресурсам с помощью белых или чёрных списков. Astra Linux 1.8 wget url.c in GNU Wget through 1.24.5 mishandles semicolons in the userinfo subcomponent of a URI, and thus there may be insecure behavior in which data that was supposed to be in the userinfo subcomponent is misinterpreted to be part of the host subcomponent. Уязвимость компонента src/url.c программы для загрузки файлов GNU Wget связана с возникновением конфликта интерпретаций. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-436'), NistCWE(cwe='CWE-436')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) Для нейтрализации угрозы эксплуатации уязвимости при использовании ПО wget убедитесь, что в передаваемом URL отсутствует символ точки с запятой ";". Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Fix UAF for cq async event The refcount of CQ is not protected by locks. When CQ asynchronous events and CQ destruction are concurrent, CQ may have been released, which will cause UAF. Use the xa_lock() to protect the CQ refcount. Уязвимость функции hns_roce_cq_event() в модуле drivers/infiniband/hw/hns/hns_roce_cq.c драйвера InfiniBand ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix potential index out of bounds in color transformation function Fixes index out of bounds issue in the color transformation function. The issue could occur when the index 'i' exceeds the number of transfer function points (TRANSFER_FUNC_POINTS). The fix adds a check to ensure 'i' is within bounds before accessing the transfer function points. If 'i' is out of bounds, an error message is logged and the function returns false to indicate an error. Reported by smatch: drivers/gpu/drm/amd/amdgpu/../display/dc/dcn10/dcn10_cm_common.c:405 cm_helper_translate_curve_to_hw_format() error: buffer overflow 'output_tf->tf_pts.red' 1025 <= s32max drivers/gpu/drm/amd/amdgpu/../display/dc/dcn10/dcn10_cm_common.c:406 cm_helper_translate_curve_to_hw_format() error: buffer overflow 'output_tf->tf_pts.green' 1025 <= s32max drivers/gpu/drm/amd/amdgpu/../display/dc/dcn10/dcn10_cm_common.c:407 cm_helper_translate_curve_to_hw_format() error: buffer overflow 'output_tf->tf_pts.blue' 1025 <= s32max Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с выходом индекса 'i' за пределы границ в функции передачи (TRANSFER_FUNC_POINTS). Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Discard command completions in internal error Fix use after free when FW completion arrives while device is in internal error state. Avoid calling completion handler in this case, since the device will flush the command interface and trigger all completions manually. Kernel log: ------------[ cut here ]------------ refcount_t: underflow; use-after-free. ... RIP: 0010:refcount_warn_saturate+0xd8/0xe0 ... Call Trace: <IRQ> ? __warn+0x79/0x120 ? refcount_warn_saturate+0xd8/0xe0 ? report_bug+0x17c/0x190 ? handle_bug+0x3c/0x60 ? exc_invalid_op+0x14/0x70 ? asm_exc_invalid_op+0x16/0x20 ? refcount_warn_saturate+0xd8/0xe0 cmd_ent_put+0x13b/0x160 [mlx5_core] mlx5_cmd_comp_handler+0x5f9/0x670 [mlx5_core] cmd_comp_notifier+0x1f/0x30 [mlx5_core] notifier_call_chain+0x35/0xb0 atomic_notifier_call_chain+0x16/0x20 mlx5_eq_async_int+0xf6/0x290 [mlx5_core] notifier_call_chain+0x35/0xb0 atomic_notifier_call_chain+0x16/0x20 irq_int_handler+0x19/0x30 [mlx5_core] __handle_irq_event_percpu+0x4b/0x160 handle_irq_event+0x2e/0x80 handle_edge_irq+0x98/0x230 __common_interrupt+0x3b/0xa0 common_interrupt+0x7b/0xa0 </IRQ> <TASK> asm_common_interrupt+0x22/0x40 Уязвимость компонента net/mlx5 ядра операционной системы Linux связана с отменой завершения команд при внутренней ошибке после освобождения памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cppc_cpufreq: Fix possible null pointer dereference cppc_cpufreq_get_rate() and hisi_cppc_cpufreq_get_rate() can be called from different places with various parameters. So cpufreq_cpu_get() can return null as 'policy' in some circumstances. Fix this bug by adding null return check. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента cppc_cpufreq ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rcu-tasks: Fix show_rcu_tasks_trace_gp_kthread buffer overflow There is a possibility of buffer overflow in show_rcu_tasks_trace_gp_kthread() if counters, passed to sprintf() are huge. Counter numbers, needed for this are unrealistically high, but buffer overflow is still possible. Use snprintf() with buffer size instead of sprintf(). Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции show_rcu_tasks_trace_gp_kthread() в модуле kernel/rcu/tasks.h ядра операционной системы Linux связана с переполнением буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu/mes: fix use-after-free issue Delete fence fallback timer to fix the ramdom use-after-free issue. v2: move to amdgpu_mes.c Уязвимость функции amdgpu_mes_remove_ring() в модуле drivers/gpu/drm/amd/amdgpu/amdgpu_mes.c драйвера amdgpu ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix use-after-free of timer for log writer thread Patch series "nilfs2: fix log writer related issues". This bug fix series covers three nilfs2 log writer-related issues, including a timer use-after-free issue and potential deadlock issue on unmount, and a potential freeze issue in event synchronization found during their analysis. Details are described in each commit log. This patch (of 3): A use-after-free issue has been reported regarding the timer sc_timer on the nilfs_sc_info structure. The problem is that even though it is used to wake up a sleeping log writer thread, sc_timer is not shut down until the nilfs_sc_info structure is about to be freed, and is used regardless of the thread's lifetime. Fix this issue by limiting the use of sc_timer only while the log writer thread is alive. Уязвимость функции nilfs_segctor_notify() в модуле fs/nilfs2/segment.c файловой системы nilfs2 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: core: Fix NULL module pointer assignment at card init The commit 81033c6b584b ("ALSA: core: Warn on empty module") introduced a WARN_ON() for a NULL module pointer passed at snd_card object creation, and it also wraps the code around it with '#ifdef MODULE'. This works in most cases, but the devils are always in details. "MODULE" is defined when the target code (i.e. the sound core) is built as a module; but this doesn't mean that the caller is also built-in or not. Namely, when only the sound core is built-in (CONFIG_SND=y) while the driver is a module (CONFIG_SND_USB_AUDIO=m), the passed module pointer is ignored even if it's non-NULL, and card->module remains as NULL. This would result in the missing module reference up/down at the device open/close, leading to a race with the code execution after the module removal. For addressing the bug, move the assignment of card->module again out of ifdef. The WARN_ON() is still wrapped with ifdef because the module can be really NULL when all sound drivers are built-in. Note that we keep 'ifdef MODULE' for WARN_ON(), otherwise it would lead to a false-positive NULL module check. Admittedly it won't catch perfectly, i.e. no check is performed when CONFIG_SND=y. But, it's no real problem as it's only for debugging, and the condition is pretty rare. Уязвимость компонента ALSA ядра операционной системы Linux связана с разыменованием указателя NULL в функции snd_card_new(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: sr: fix invalid unregister error path The error path of seg6_init() is wrong in case CONFIG_IPV6_SEG6_LWTUNNEL is not defined. In that case if seg6_hmac_init() fails, the genl_unregister_family() isn't called. This issue exist since commit 46738b1317e1 ("ipv6: sr: add option to control lwtunnel support"), and commit 5559cea2d5aa ("ipv6: sr: fix possible use-after-free and null-ptr-deref") replaced unregister_pernet_subsys() with genl_unregister_family() in this error path. Уязвимость функции seg6_init компонента ipv6 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) В целях устранения угрозы эксплуатации уязвимости CVE-2024-38612 необходимо запретить загрузку модуля seg6.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль seg6 в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep seg6 ``` или ``` kmod list | grep seg6 ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod seg6 ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install seg6 /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: carl9170: re-fix fortified-memset warning The carl9170_tx_release() function sometimes triggers a fortified-memset warning in my randconfig builds: In file included from include/linux/string.h:254, from drivers/net/wireless/ath/carl9170/tx.c:40: In function 'fortify_memset_chk', inlined from 'carl9170_tx_release' at drivers/net/wireless/ath/carl9170/tx.c:283:2, inlined from 'kref_put' at include/linux/kref.h:65:3, inlined from 'carl9170_tx_put_skb' at drivers/net/wireless/ath/carl9170/tx.c:342:9: include/linux/fortify-string.h:493:25: error: call to '__write_overflow_field' declared with attribute warning: detected write beyond size of field (1st parameter); maybe use struct_group()? [-Werror=attribute-warning] 493 | __write_overflow_field(p_size_field, size); Kees previously tried to avoid this by using memset_after(), but it seems this does not fully address the problem. I noticed that the memset_after() here is done on a different part of the union (status) than the original cast was from (rate_driver_data), which may confuse the compiler. Unfortunately, the memset_after() trick does not work on driver_rates[] because that is part of an anonymous struct, and I could not get struct_group() to do this either. Using two separate memset() calls on the two members does address the warning though. Уязвимость функции carl9170_tx_release() ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=8.2) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Use variable length array instead of fixed size Should fix smatch warning: ntfs_set_label() error: __builtin_memcpy() 'uni->name' too small (20 vs 256) Уязвимость компонента ntfs3 ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2024-38623 необходимо запретить загрузку модуля ntfs3.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль ntfs3 в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ntfs3 ``` или ``` kmod list | grep ntfs3 ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ntfs3 ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install ntfs3 /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 zziplib A Stack Buffer Overflow vulnerability in zziplibv 0.13.77 allows attackers to cause a denial of service via the __zzip_fetch_disk_trailer() function at /zzip/zip.c. Уязвимость функции __zzip_fetch_disk_trailer() компонента /zzip/zip.c библиотеки архивирования ZZIPlib связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: 9p: add missing locking around taking dentry fid list Fix a use-after-free on dentry's d_fsdata fid list when a thread looks up a fid through dentry while another thread unlinks it: UAF thread: refcount_t: addition on 0; use-after-free. p9_fid_get linux/./include/net/9p/client.h:262 v9fs_fid_find+0x236/0x280 linux/fs/9p/fid.c:129 v9fs_fid_lookup_with_uid linux/fs/9p/fid.c:181 v9fs_fid_lookup+0xbf/0xc20 linux/fs/9p/fid.c:314 v9fs_vfs_getattr_dotl+0xf9/0x360 linux/fs/9p/vfs_inode_dotl.c:400 vfs_statx+0xdd/0x4d0 linux/fs/stat.c:248 Freed by: p9_fid_destroy (inlined) p9_client_clunk+0xb0/0xe0 linux/net/9p/client.c:1456 p9_fid_put linux/./include/net/9p/client.h:278 v9fs_dentry_release+0xb5/0x140 linux/fs/9p/vfs_dentry.c:55 v9fs_remove+0x38f/0x620 linux/fs/9p/vfs_inode.c:518 vfs_unlink+0x29a/0x810 linux/fs/namei.c:4335 The problem is that d_fsdata was not accessed under d_lock, because d_release() normally is only called once the dentry is otherwise no longer accessible but since we also call it explicitly in v9fs_remove that lock is required: move the hlist out of the dentry under lock then unref its fids once they are no longer accessible. Уязвимость функции v9fs_dentry_release() в модуле fs/9p/vfs_dentry.c файловой системы 9p ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kdb: Fix buffer overflow during tab-complete Currently, when the user attempts symbol completion with the Tab key, kdb will use strncpy() to insert the completed symbol into the command buffer. Unfortunately it passes the size of the source buffer rather than the destination to strncpy() with predictably horrible results. Most obviously if the command buffer is already full but cp, the cursor position, is in the middle of the buffer, then we will write past the end of the supplied buffer. Fix this by replacing the dubious strncpy() calls with memmove()/memcpy() calls plus explicit boundary checks to make sure we have enough space before we start moving characters around. Уязвимость функции kdb_read() в модуле kernel/debug/kdb/kdb_io.c ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ima: Fix use-after-free on a dentry's dname.name ->d_name.name can change on rename and the earlier value can be freed; there are conditions sufficient to stabilize it (->d_lock on dentry, ->d_lock on its parent, ->i_rwsem exclusive on the parent's inode, rename_lock), but none of those are met at any of the sites. Take a stable snapshot of the name instead. Уязвимость функции ima_collect_measurement() в модуле security/integrity/ima/ima_api.c компонента IMA ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: greybus: Fix use-after-free bug in gb_interface_release due to race condition. In gb_interface_create, &intf->mode_switch_completion is bound with gb_interface_mode_switch_work. Then it will be started by gb_interface_request_mode_switch. Here is the relevant code. if (!queue_work(system_long_wq, &intf->mode_switch_work)) { ... } If we call gb_interface_release to make cleanup, there may be an unfinished work. This function will call kfree to free the object "intf". However, if gb_interface_mode_switch_work is scheduled to run after kfree, it may cause use-after-free error as gb_interface_mode_switch_work will use the object "intf". The possible execution flow that may lead to the issue is as follows: CPU0 CPU1 | gb_interface_create | gb_interface_request_mode_switch gb_interface_release | kfree(intf) (free) | | gb_interface_mode_switch_work | mutex_lock(&intf->mutex) (use) Fix it by canceling the work before kfree. Уязвимость функции gb_interface_release() в модуле drivers/greybus/interface.c драйвера Greybus ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 openssh OpenSSH 9.5 through 9.7 before 9.8 sometimes allows timing attacks against echo-off password entry (e.g., for su and Sudo) because of an ObscureKeystrokeTiming logic error. Similarly, other timing attacks against keystroke entry could occur. Уязвимость функции ObscureKeystrokeTiming() средства криптографической защиты OpenSSH связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) openssh: - Не подключайтесь к ненадежным серверам с помощью агента SSH; - Не используйте опцию -A при использовании команды ssh для исключения возможности перенаправления соединения агента аутентификации; - Убедитесь, что опция ForwardAgent отключена глобальных и пользовательских конфигурационных файлах SSH-клиента (/etc/ssh/ssh_config и ~/.ssh/config). Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Ограничьте доступ к SSH-серверу только для доверенных пользователей. Для этого, используя полномочия администратора системы с высоким уровнем целостности, добавьте параметр AllowUsers в конфигурационные файлы SSH. Пример добавления пользователя: ` AllowUsers <username> ` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Настройте разграничение по сетевым интерфейсам, сетевым адресам и именам компьютера. Для этого, используя полномочия администратора системы с высоким уровнем целостности, добавьте параметр ListenAddress в конфигурационные файлы SSH. Пример конфигурации: ``` # Прослушивать на конкретном IP-адресе сервера ListenAddress 192.168.1.10 # Можно указать несколько строк ListenAddress 192.168.1.10 ListenAddress 10.0.0.5 ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Для защиты ключей следует выбирать надёжный пароль доступа к клиентским файлам ключей. При формировании ключа для увеличения числа итераций хэширования можно использовать опцию "ssh-keygen -o -a <число>", что усложнит подбор пароля. Также можно сохранить ключи только на внешнем носителе, подключая его только во время соединения по SSH. - Установите небольшое время ожидания для завершения аутентификации пользователя в конфигурационных файлах SSH, используя полномочия администратора системы с высоким уровнем целостности. Пример конфигурации: ` LoginGraceTime 10s ` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Ограничьте количество попыток авторизации в конфигурационных файлах SSH, используя полномочия администратора системы с высоким уровнем целостности. Пример конфигурации: ``` # Ограничение на две неудачные попытки, после чего произойдёт разрыв соединения MaxAuthTries 2 ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Включите аутентификацию с использованием ключей Запретите вход от имени root. Для этого, используя полномочия администратора системы с высоким уровнем целостности, в конфигурационных файлах SSH установите следующий параметр: ``` PermitRootLogin no ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Измените стандартный порт SSH. Для этого, используя полномочия администратора системы с высоким уровнем целостности, в конфигурационных файлах SSH установите следующий параметр: ``` Port <Новый порт SSH> ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Ограничьте доступ по IP-адресу для снижения возможности подключения к серверу с неразрешённых IP-адресов. Для этого, используя полномочия администратора системы с высоким уровнем целостности, в файле /etc/hosts.allow добавьте строки вида: ``` sshd: <разрешённый IP-адрес> ``` А также, используя полномочия администратора системы с высоким уровнем целостности, в файле /etc/hosts.deny добавьте следующую строку: ``` sshd: ALL ``` Astra Linux 1.8 python3.11 The “ipaddress” module contained incorrect information about whether certain IPv4 and IPv6 addresses were designated as “globally reachable” or “private”. This affected the is_private and is_global properties of the ipaddress.IPv4Address, ipaddress.IPv4Network, ipaddress.IPv6Address, and ipaddress.IPv6Network classes, where values wouldn’t be returned in accordance with the latest information from the IANA Special-Purpose Address Registries. CPython 3.12.4 and 3.13.0a6 contain updated information from these registries and thus have the intended behavior. Уязвимость интерпретатора языка программирования Python связана с недостаточным сравнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-697')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 17.6, iOS 16.7.9 and iPadOS 16.7.9, iOS 17.6 and iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3, watchOS 10.6. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: xattr: fix buffer overflow for invalid xattr When an xattr size is not what is expected, it is printed out to the kernel log in hex format as a form of debugging. But when that xattr size is bigger than the expected size, printing it out can cause an access off the end of the buffer. Fix this all up by properly restricting the size of the debug hex dump in the kernel log. Уязвимость функции ea_get() в модуле fs/jfs/xattr.c файловой системы jfs ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: do not leave a dangling sk pointer, when socket creation fails It is possible to trigger a use-after-free by: * attaching an fentry probe to __sock_release() and the probe calling the bpf_get_socket_cookie() helper * running traceroute -I 1.1.1.1 on a freshly booted VM A KASAN enabled kernel will log something like below (decoded and stripped): ================================================================== BUG: KASAN: slab-use-after-free in __sock_gen_cookie (./arch/x86/include/asm/atomic64_64.h:15 ./include/linux/atomic/atomic-arch-fallback.h:2583 ./include/linux/atomic/atomic-instrumented.h:1611 net/core/sock_diag.c:29) Read of size 8 at addr ffff888007110dd8 by task traceroute/299 CPU: 2 PID: 299 Comm: traceroute Tainted: G E 6.10.0-rc2+ #2 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.2-debian-1.16.2-1 04/01/2014 Call Trace: <TASK> dump_stack_lvl (lib/dump_stack.c:117 (discriminator 1)) print_report (mm/kasan/report.c:378 mm/kasan/report.c:488) ? __sock_gen_cookie (./arch/x86/include/asm/atomic64_64.h:15 ./include/linux/atomic/atomic-arch-fallback.h:2583 ./include/linux/atomic/atomic-instrumented.h:1611 net/core/sock_diag.c:29) kasan_report (mm/kasan/report.c:603) ? __sock_gen_cookie (./arch/x86/include/asm/atomic64_64.h:15 ./include/linux/atomic/atomic-arch-fallback.h:2583 ./include/linux/atomic/atomic-instrumented.h:1611 net/core/sock_diag.c:29) kasan_check_range (mm/kasan/generic.c:183 mm/kasan/generic.c:189) __sock_gen_cookie (./arch/x86/include/asm/atomic64_64.h:15 ./include/linux/atomic/atomic-arch-fallback.h:2583 ./include/linux/atomic/atomic-instrumented.h:1611 net/core/sock_diag.c:29) bpf_get_socket_ptr_cookie (./arch/x86/include/asm/preempt.h:94 ./include/linux/sock_diag.h:42 net/core/filter.c:5094 net/core/filter.c:5092) bpf_prog_875642cf11f1d139___sock_release+0x6e/0x8e bpf_trampoline_6442506592+0x47/0xaf __sock_release (net/socket.c:652) __sock_create (net/socket.c:1601) ... Allocated by task 299 on cpu 2 at 78.328492s: kasan_save_stack (mm/kasan/common.c:48) kasan_save_track (mm/kasan/common.c:68) __kasan_slab_alloc (mm/kasan/common.c:312 mm/kasan/common.c:338) kmem_cache_alloc_noprof (mm/slub.c:3941 mm/slub.c:4000 mm/slub.c:4007) sk_prot_alloc (net/core/sock.c:2075) sk_alloc (net/core/sock.c:2134) inet_create (net/ipv4/af_inet.c:327 net/ipv4/af_inet.c:252) __sock_create (net/socket.c:1572) __sys_socket (net/socket.c:1660 net/socket.c:1644 net/socket.c:1706) __x64_sys_socket (net/socket.c:1718) do_syscall_64 (arch/x86/entry/common.c:52 arch/x86/entry/common.c:83) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) Freed by task 299 on cpu 2 at 78.328502s: kasan_save_stack (mm/kasan/common.c:48) kasan_save_track (mm/kasan/common.c:68) kasan_save_free_info (mm/kasan/generic.c:582) poison_slab_object (mm/kasan/common.c:242) __kasan_slab_free (mm/kasan/common.c:256) kmem_cache_free (mm/slub.c:4437 mm/slub.c:4511) __sk_destruct (net/core/sock.c:2117 net/core/sock.c:2208) inet_create (net/ipv4/af_inet.c:397 net/ipv4/af_inet.c:252) __sock_create (net/socket.c:1572) __sys_socket (net/socket.c:1660 net/socket.c:1644 net/socket.c:1706) __x64_sys_socket (net/socket.c:1718) do_syscall_64 (arch/x86/entry/common.c:52 arch/x86/entry/common.c:83) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) Fix this by clearing the struct socket reference in sk_common_release() to cover all protocol families create functions, which may already attached the reference to the sk object with sock_init_data(). Уязвимость функции sk_common_release() в модуле net/core/sock.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: idxd: Fix possible Use-After-Free in irq_process_work_list Use list_for_each_entry_safe() to allow iterating through the list and deleting the entry in the iteration process. The descriptor is freed via idxd_desc_complete() and there's a slight chance may cause issue for the list iterator when the descriptor is reused by another thread without it being deleted from the list. Уязвимость функции irq_process_work_list() в модуле drivers/dma/idxd/irq.c драйвера DMA ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netns: Make get_net_ns() handle zero refcount net Syzkaller hit a warning: refcount_t: addition on 0; use-after-free. WARNING: CPU: 3 PID: 7890 at lib/refcount.c:25 refcount_warn_saturate+0xdf/0x1d0 Modules linked in: CPU: 3 PID: 7890 Comm: tun Not tainted 6.10.0-rc3-00100-gcaa4f9578aba-dirty #310 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:refcount_warn_saturate+0xdf/0x1d0 Code: 41 49 04 31 ff 89 de e8 9f 1e cd fe 84 db 75 9c e8 76 26 cd fe c6 05 b6 41 49 04 01 90 48 c7 c7 b8 8e 25 86 e8 d2 05 b5 fe 90 <0f> 0b 90 90 e9 79 ff ff ff e8 53 26 cd fe 0f b6 1 RSP: 0018:ffff8881067b7da0 EFLAGS: 00010286 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffffffff811c72ac RDX: ffff8881026a2140 RSI: ffffffff811c72b5 RDI: 0000000000000001 RBP: ffff8881067b7db0 R08: 0000000000000000 R09: 205b5d3730353139 R10: 0000000000000000 R11: 205d303938375420 R12: ffff8881086500c4 R13: ffff8881086500c4 R14: ffff8881086500b0 R15: ffff888108650040 FS: 00007f5b2961a4c0(0000) GS:ffff88823bd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055d7ed36fd18 CR3: 00000001482f6000 CR4: 00000000000006f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? show_regs+0xa3/0xc0 ? __warn+0xa5/0x1c0 ? refcount_warn_saturate+0xdf/0x1d0 ? report_bug+0x1fc/0x2d0 ? refcount_warn_saturate+0xdf/0x1d0 ? handle_bug+0xa1/0x110 ? exc_invalid_op+0x3c/0xb0 ? asm_exc_invalid_op+0x1f/0x30 ? __warn_printk+0xcc/0x140 ? __warn_printk+0xd5/0x140 ? refcount_warn_saturate+0xdf/0x1d0 get_net_ns+0xa4/0xc0 ? __pfx_get_net_ns+0x10/0x10 open_related_ns+0x5a/0x130 __tun_chr_ioctl+0x1616/0x2370 ? __sanitizer_cov_trace_switch+0x58/0xa0 ? __sanitizer_cov_trace_const_cmp2+0x1c/0x30 ? __pfx_tun_chr_ioctl+0x10/0x10 tun_chr_ioctl+0x2f/0x40 __x64_sys_ioctl+0x11b/0x160 x64_sys_call+0x1211/0x20d0 do_syscall_64+0x9e/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f5b28f165d7 Code: b3 66 90 48 8b 05 b1 48 2d 00 64 c7 00 26 00 00 00 48 c7 c0 ff ff ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 b8 10 00 00 00 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d 81 48 2d 00 8 RSP: 002b:00007ffc2b59c5e8 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007f5b28f165d7 RDX: 0000000000000000 RSI: 00000000000054e3 RDI: 0000000000000003 RBP: 00007ffc2b59c650 R08: 00007f5b291ed8c0 R09: 00007f5b2961a4c0 R10: 0000000029690010 R11: 0000000000000246 R12: 0000000000400730 R13: 00007ffc2b59cf40 R14: 0000000000000000 R15: 0000000000000000 </TASK> Kernel panic - not syncing: kernel: panic_on_warn set ... This is trigger as below: ns0 ns1 tun_set_iff() //dev is tun0 tun->dev = dev //ip link set tun0 netns ns1 put_net() //ref is 0 __tun_chr_ioctl() //TUNGETDEVNETNS net = dev_net(tun->dev); open_related_ns(&net->ns, get_net_ns); //ns1 get_net_ns() get_net() //addition on 0 Use maybe_get_net() in get_net_ns in case net's ref is zero to fix this Уязвимость функции get_net_ns() в модуле net/core/net_namespace.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Avoid splat in pskb_pull_reason syzkaller builds (CONFIG_DEBUG_NET=y) frequently trigger a debug hint in pskb_may_pull. We'd like to retain this debug check because it might hint at integer overflows and other issues (kernel code should pull headers, not huge value). In bpf case, this splat isn't interesting at all: such (nonsensical) bpf programs are typically generated by a fuzzer anyway. Do what Eric suggested and suppress such warning. For CONFIG_DEBUG_NET=n we don't need the extra check because pskb_may_pull will do the right thing: return an error without the WARN() backtrace. Уязвимость функции __bpf_try_make_writable() (net/core/filter.c) подсистемы bpf ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: block/ioctl: prefer different overflow check Running syzkaller with the newly reintroduced signed integer overflow sanitizer shows this report: [ 62.982337] ------------[ cut here ]------------ [ 62.985692] cgroup: Invalid name [ 62.986211] UBSAN: signed-integer-overflow in ../block/ioctl.c:36:46 [ 62.989370] 9pnet_fd: p9_fd_create_tcp (7343): problem connecting socket to 127.0.0.1 [ 62.992992] 9223372036854775807 + 4095 cannot be represented in type 'long long' [ 62.997827] 9pnet_fd: p9_fd_create_tcp (7345): problem connecting socket to 127.0.0.1 [ 62.999369] random: crng reseeded on system resumption [ 63.000634] GUP no longer grows the stack in syz-executor.2 (7353): 20002000-20003000 (20001000) [ 63.000668] CPU: 0 PID: 7353 Comm: syz-executor.2 Not tainted 6.8.0-rc2-00035-gb3ef86b5a957 #1 [ 63.000677] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 63.000682] Call Trace: [ 63.000686] <TASK> [ 63.000731] dump_stack_lvl+0x93/0xd0 [ 63.000919] __get_user_pages+0x903/0xd30 [ 63.001030] __gup_longterm_locked+0x153e/0x1ba0 [ 63.001041] ? _raw_read_unlock_irqrestore+0x17/0x50 [ 63.001072] ? try_get_folio+0x29c/0x2d0 [ 63.001083] internal_get_user_pages_fast+0x1119/0x1530 [ 63.001109] iov_iter_extract_pages+0x23b/0x580 [ 63.001206] bio_iov_iter_get_pages+0x4de/0x1220 [ 63.001235] iomap_dio_bio_iter+0x9b6/0x1410 [ 63.001297] __iomap_dio_rw+0xab4/0x1810 [ 63.001316] iomap_dio_rw+0x45/0xa0 [ 63.001328] ext4_file_write_iter+0xdde/0x1390 [ 63.001372] vfs_write+0x599/0xbd0 [ 63.001394] ksys_write+0xc8/0x190 [ 63.001403] do_syscall_64+0xd4/0x1b0 [ 63.001421] ? arch_exit_to_user_mode_prepare+0x3a/0x60 [ 63.001479] entry_SYSCALL_64_after_hwframe+0x6f/0x77 [ 63.001535] RIP: 0033:0x7f7fd3ebf539 [ 63.001551] Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 f1 14 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b8 ff ff ff f7 d8 64 89 01 48 [ 63.001562] RSP: 002b:00007f7fd32570c8 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 [ 63.001584] RAX: ffffffffffffffda RBX: 00007f7fd3ff3f80 RCX: 00007f7fd3ebf539 [ 63.001590] RDX: 4db6d1e4f7e43360 RSI: 0000000020000000 RDI: 0000000000000004 [ 63.001595] RBP: 00007f7fd3f1e496 R08: 0000000000000000 R09: 0000000000000000 [ 63.001599] R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 [ 63.001604] R13: 0000000000000006 R14: 00007f7fd3ff3f80 R15: 00007ffd415ad2b8 ... [ 63.018142] ---[ end trace ]--- Historically, the signed integer overflow sanitizer did not work in the kernel due to its interaction with `-fwrapv` but this has since been changed [1] in the newest version of Clang; It was re-enabled in the kernel with Commit 557f8c582a9ba8ab ("ubsan: Reintroduce signed overflow sanitizer"). Let's rework this overflow checking logic to not actually perform an overflow during the check itself, thus avoiding the UBSAN splat. [1]: https://github.com/llvm/llvm-project/pull/82432 Уязвимость функции blkpg_do_ioctl() в модуле block/ioctl.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: lantiq_etop: fix double free in detach The number of the currently released descriptor is never incremented which results in the same skb being released multiple times. Уязвимость функции ltq_etop_free_channel() в модуле drivers/net/ethernet/lantiq_etop.c драйвера Ethernet ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: filelock: fix potential use-after-free in posix_lock_inode Light Hsieh reported a KASAN UAF warning in trace_posix_lock_inode(). The request pointer had been changed earlier to point to a lock entry that was added to the inode's list. However, before the tracepoint could fire, another task raced in and freed that lock. Fix this by moving the tracepoint inside the spinlock, which should ensure that this doesn't happen. Уязвимость функции posix_lock_inode() в модуле fs/locks.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: PPC: Book3S HV: Prevent UAF in kvm_spapr_tce_attach_iommu_group() Al reported a possible use-after-free (UAF) in kvm_spapr_tce_attach_iommu_group(). It looks up `stt` from tablefd, but then continues to use it after doing fdput() on the returned fd. After the fdput() the tablefd is free to be closed by another thread. The close calls kvm_spapr_tce_release() and then release_spapr_tce_table() (via call_rcu()) which frees `stt`. Although there are calls to rcu_read_lock() in kvm_spapr_tce_attach_iommu_group() they are not sufficient to prevent the UAF, because `stt` is used outside the locked regions. With an artifcial delay after the fdput() and a userspace program which triggers the race, KASAN detects the UAF: BUG: KASAN: slab-use-after-free in kvm_spapr_tce_attach_iommu_group+0x298/0x720 [kvm] Read of size 4 at addr c000200027552c30 by task kvm-vfio/2505 CPU: 54 PID: 2505 Comm: kvm-vfio Not tainted 6.10.0-rc3-next-20240612-dirty #1 Hardware name: 8335-GTH POWER9 0x4e1202 opal:skiboot-v6.5.3-35-g1851b2a06 PowerNV Call Trace: dump_stack_lvl+0xb4/0x108 (unreliable) print_report+0x2b4/0x6ec kasan_report+0x118/0x2b0 __asan_load4+0xb8/0xd0 kvm_spapr_tce_attach_iommu_group+0x298/0x720 [kvm] kvm_vfio_set_attr+0x524/0xac0 [kvm] kvm_device_ioctl+0x144/0x240 [kvm] sys_ioctl+0x62c/0x1810 system_call_exception+0x190/0x440 system_call_vectored_common+0x15c/0x2ec ... Freed by task 0: ... kfree+0xec/0x3e0 release_spapr_tce_table+0xd4/0x11c [kvm] rcu_core+0x568/0x16a0 handle_softirqs+0x23c/0x920 do_softirq_own_stack+0x6c/0x90 do_softirq_own_stack+0x58/0x90 __irq_exit_rcu+0x218/0x2d0 irq_exit+0x30/0x80 arch_local_irq_restore+0x128/0x230 arch_local_irq_enable+0x1c/0x30 cpuidle_enter_state+0x134/0x5cc cpuidle_enter+0x6c/0xb0 call_cpuidle+0x7c/0x100 do_idle+0x394/0x410 cpu_startup_entry+0x60/0x70 start_secondary+0x3fc/0x410 start_secondary_prolog+0x10/0x14 Fix it by delaying the fdput() until `stt` is no longer in use, which is effectively the entire function. To keep the patch minimal add a call to fdput() at each of the existing return paths. Future work can convert the function to goto or __cleanup style cleanup. With the fix in place the test case no longer triggers the UAF. Уязвимость функции kvm_spapr_tce_attach_iommu_group() в модуле arch/powerpc/kvm/book3s_64_vio.c подсистемы виртуализации Kernel-based Virtual Machine (KVM) ядра операционной системы Linux на платформе PowerPC связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvme: avoid double free special payload If a discard request needs to be retried, and that retry may fail before a new special payload is added, a double free will result. Clear the RQF_SPECIAL_LOAD when the request is cleaned. Уязвимость функции nvme_cleanup_cmd() в модуле drivers/nvme/host/core.c драйвера NVMe ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ata: libata-core: Fix double free on error If e.g. the ata_port_alloc() call in ata_host_alloc() fails, we will jump to the err_out label, which will call devres_release_group(). devres_release_group() will trigger a call to ata_host_release(). ata_host_release() calls kfree(host), so executing the kfree(host) in ata_host_alloc() will lead to a double free: kernel BUG at mm/slub.c:553! Oops: invalid opcode: 0000 [#1] PREEMPT SMP NOPTI CPU: 11 PID: 599 Comm: (udev-worker) Not tainted 6.10.0-rc5 #47 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-2.fc40 04/01/2014 RIP: 0010:kfree+0x2cf/0x2f0 Code: 5d 41 5e 41 5f 5d e9 80 d6 ff ff 4d 89 f1 41 b8 01 00 00 00 48 89 d9 48 89 da RSP: 0018:ffffc90000f377f0 EFLAGS: 00010246 RAX: ffff888112b1f2c0 RBX: ffff888112b1f2c0 RCX: ffff888112b1f320 RDX: 000000000000400b RSI: ffffffffc02c9de5 RDI: ffff888112b1f2c0 RBP: ffffc90000f37830 R08: 0000000000000000 R09: 0000000000000000 R10: ffffc90000f37610 R11: 617461203a736b6e R12: ffffea00044ac780 R13: ffff888100046400 R14: ffffffffc02c9de5 R15: 0000000000000006 FS: 00007f2f1cabe980(0000) GS:ffff88813b380000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f2f1c3acf75 CR3: 0000000111724000 CR4: 0000000000750ef0 PKRU: 55555554 Call Trace: <TASK> ? __die_body.cold+0x19/0x27 ? die+0x2e/0x50 ? do_trap+0xca/0x110 ? do_error_trap+0x6a/0x90 ? kfree+0x2cf/0x2f0 ? exc_invalid_op+0x50/0x70 ? kfree+0x2cf/0x2f0 ? asm_exc_invalid_op+0x1a/0x20 ? ata_host_alloc+0xf5/0x120 [libata] ? ata_host_alloc+0xf5/0x120 [libata] ? kfree+0x2cf/0x2f0 ata_host_alloc+0xf5/0x120 [libata] ata_host_alloc_pinfo+0x14/0xa0 [libata] ahci_init_one+0x6c9/0xd20 [ahci] Ensure that we will not call kfree(host) twice, by performing the kfree() only if the devres_open_group() call failed. Уязвимость функции ata_host_alloc() в модуле drivers/ata/libata-core.c драйвера ATA ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/i915/gt: Fix potential UAF by revoke of fence registers CI has been sporadically reporting the following issue triggered by igt@i915_selftest@live@hangcheck on ADL-P and similar machines: <6> [414.049203] i915: Running intel_hangcheck_live_selftests/igt_reset_evict_fence ... <6> [414.068804] i915 0000:00:02.0: [drm] GT0: GUC: submission enabled <6> [414.068812] i915 0000:00:02.0: [drm] GT0: GUC: SLPC enabled <3> [414.070354] Unable to pin Y-tiled fence; err:-4 <3> [414.071282] i915_vma_revoke_fence:301 GEM_BUG_ON(!i915_active_is_idle(&fence->active)) ... <4>[ 609.603992] ------------[ cut here ]------------ <2>[ 609.603995] kernel BUG at drivers/gpu/drm/i915/gt/intel_ggtt_fencing.c:301! <4>[ 609.604003] invalid opcode: 0000 [#1] PREEMPT SMP NOPTI <4>[ 609.604006] CPU: 0 PID: 268 Comm: kworker/u64:3 Tainted: G U W 6.9.0-CI_DRM_14785-g1ba62f8cea9c+ #1 <4>[ 609.604008] Hardware name: Intel Corporation Alder Lake Client Platform/AlderLake-P DDR4 RVP, BIOS RPLPFWI1.R00.4035.A00.2301200723 01/20/2023 <4>[ 609.604010] Workqueue: i915 __i915_gem_free_work [i915] <4>[ 609.604149] RIP: 0010:i915_vma_revoke_fence+0x187/0x1f0 [i915] ... <4>[ 609.604271] Call Trace: <4>[ 609.604273] <TASK> ... <4>[ 609.604716] __i915_vma_evict+0x2e9/0x550 [i915] <4>[ 609.604852] __i915_vma_unbind+0x7c/0x160 [i915] <4>[ 609.604977] force_unbind+0x24/0xa0 [i915] <4>[ 609.605098] i915_vma_destroy+0x2f/0xa0 [i915] <4>[ 609.605210] __i915_gem_object_pages_fini+0x51/0x2f0 [i915] <4>[ 609.605330] __i915_gem_free_objects.isra.0+0x6a/0xc0 [i915] <4>[ 609.605440] process_scheduled_works+0x351/0x690 ... In the past, there were similar failures reported by CI from other IGT tests, observed on other platforms. Before commit 63baf4f3d587 ("drm/i915/gt: Only wait for GPU activity before unbinding a GGTT fence"), i915_vma_revoke_fence() was waiting for idleness of vma->active via fence_update(). That commit introduced vma->fence->active in order for the fence_update() to be able to wait selectively on that one instead of vma->active since only idleness of fence registers was needed. But then, another commit 0d86ee35097a ("drm/i915/gt: Make fence revocation unequivocal") replaced the call to fence_update() in i915_vma_revoke_fence() with only fence_write(), and also added that GEM_BUG_ON(!i915_active_is_idle(&fence->active)) in front. No justification was provided on why we might then expect idleness of vma->fence->active without first waiting on it. The issue can be potentially caused by a race among revocation of fence registers on one side and sequential execution of signal callbacks invoked on completion of a request that was using them on the other, still processed in parallel to revocation of those fence registers. Fix it by waiting for idleness of vma->fence->active in i915_vma_revoke_fence(). (cherry picked from commit 24bb052d3dd499c5956abad5f7d8e4fd07da7fb1) Уязвимость функции i915_vma_revoke_fence() в модуле drivers/gpu/drm/i915/gt/intel_ggtt_fencing.c драйвера видеокарт Intel 8xx/9xx/G3x/G4x/HD ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI/MSI: Fix UAF in msi_capability_init KFENCE reports the following UAF: BUG: KFENCE: use-after-free read in __pci_enable_msi_range+0x2c0/0x488 Use-after-free read at 0x0000000024629571 (in kfence-#12): __pci_enable_msi_range+0x2c0/0x488 pci_alloc_irq_vectors_affinity+0xec/0x14c pci_alloc_irq_vectors+0x18/0x28 kfence-#12: 0x0000000008614900-0x00000000e06c228d, size=104, cache=kmalloc-128 allocated by task 81 on cpu 7 at 10.808142s: __kmem_cache_alloc_node+0x1f0/0x2bc kmalloc_trace+0x44/0x138 msi_alloc_desc+0x3c/0x9c msi_domain_insert_msi_desc+0x30/0x78 msi_setup_msi_desc+0x13c/0x184 __pci_enable_msi_range+0x258/0x488 pci_alloc_irq_vectors_affinity+0xec/0x14c pci_alloc_irq_vectors+0x18/0x28 freed by task 81 on cpu 7 at 10.811436s: msi_domain_free_descs+0xd4/0x10c msi_domain_free_locked.part.0+0xc0/0x1d8 msi_domain_alloc_irqs_all_locked+0xb4/0xbc pci_msi_setup_msi_irqs+0x30/0x4c __pci_enable_msi_range+0x2a8/0x488 pci_alloc_irq_vectors_affinity+0xec/0x14c pci_alloc_irq_vectors+0x18/0x28 Descriptor allocation done in: __pci_enable_msi_range msi_capability_init msi_setup_msi_desc msi_insert_msi_desc msi_domain_insert_msi_desc msi_alloc_desc ... Freed in case of failure in __msi_domain_alloc_locked() __pci_enable_msi_range msi_capability_init pci_msi_setup_msi_irqs msi_domain_alloc_irqs_all_locked msi_domain_alloc_locked __msi_domain_alloc_locked => fails msi_domain_free_locked ... That failure propagates back to pci_msi_setup_msi_irqs() in msi_capability_init() which accesses the descriptor for unmasking in the error exit path. Cure it by copying the descriptor and using the copy for the error exit path unmask operation. [ tglx: Massaged change log ] Уязвимость функции msi_capability_init() в модуле drivers/pci/msi/msi.c драйвера Message Signaled Interrupts (MSI and MSI-X) ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 docker.io-app Moby is an open-source project created by Docker for software containerization. A security vulnerability has been detected in certain versions of Docker Engine, which could allow an attacker to bypass authorization plugins (AuthZ) under specific circumstances. The base likelihood of this being exploited is low. Using a specially-crafted API request, an Engine API client could make the daemon forward the request or response to an authorization plugin without the body. In certain circumstances, the authorization plugin may allow a request which it would have otherwise denied if the body had been forwarded to it. A security issue was discovered In 2018, where an attacker could bypass AuthZ plugins using a specially crafted API request. This could lead to unauthorized actions, including privilege escalation. Although this issue was fixed in Docker Engine v18.09.1 in January 2019, the fix was not carried forward to later major versions, resulting in a regression. Anyone who depends on authorization plugins that introspect the request and/or response body to make access control decisions is potentially impacted. Docker EE v19.03.x and all versions of Mirantis Container Runtime are not vulnerable. docker-ce v27.1.1 containes patches to fix the vulnerability. Patches have also been merged into the master, 19.03, 20.0, 23.0, 24.0, 25.0, 26.0, and 26.1 release branches. If one is unable to upgrade immediately, avoid using AuthZ plugins and/or restrict access to the Docker API to trusted parties, following the principle of least privilege. Уязвимость плагинов авторизации (AuthZ) средства автоматизации развёртывания и управления приложениями в средах с поддержкой контейнеризации Docker связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-187')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=9.9) Для нейтрализации угрозы эксплуатации уязвимости необходимо отключить плагины авторизации (AuthZ): 1) Выполнить остановку Docker: `sudo systemctl stop docker` 2) Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл **/etc/docker/daemon.json** (если файл **daemon.json** отсутствует - создать его). 3) Добавить или отредактировать в файле строку, содержащую ключ **authorization-plugins** и его значение: `"authorization-plugins": []` Если файл **daemon.json** пустой, необходимо добавить в него следующие строки: `{` ` "authorization-plugins": []` `}` 4) Выполнить запуск Docker: `sudo systemctl start docker` Astra Linux 1.8 libheif In Libheif 1.17.6, insufficient checks in ImageOverlay::parse() decoding a heif file containing an overlay image with forged offsets can lead to an out-of-bounds read and write. Уязвимость функция ImageOverlay::parse компонента Overlay Image Handler библиотеки кодирования и декодирования файлов HEIF и AVIF Libheif связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) Для нейтрализации угрозы эксплуатации уязвимости воспользуйтесь одним из следующих способов: 1. Удалить ПО libheif, если оно не используется и не является зависимостью других используемых пакетов 2. При использовании ПО libheif выполнять обработку файлов, полученных только из доверенных источников Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/dpaa2: Avoid explicit cpumask var allocation on stack For CONFIG_CPUMASK_OFFSTACK=y kernel, explicit allocation of cpumask variable on stack is not recommended since it can cause potential stack overflow. Instead, kernel code should always use *cpumask_var API(s) to allocate cpumask var in config-neutral way, leaving allocation strategy to CONFIG_CPUMASK_OFFSTACK. Use *cpumask_var API(s) to address it. Уязвимость функции update_xps() в модуле drivers/net/ethernet/freescale/dpaa2/dpaa2-eth.c драйвера сетевых адаптеров Freescale DPAA2 ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/iucv: Avoid explicit cpumask var allocation on stack For CONFIG_CPUMASK_OFFSTACK=y kernel, explicit allocation of cpumask variable on stack is not recommended since it can cause potential stack overflow. Instead, kernel code should always use *cpumask_var API(s) to allocate cpumask var in config-neutral way, leaving allocation strategy to CONFIG_CPUMASK_OFFSTACK. Use *cpumask_var API(s) to address it. Уязвимость функции iucv_cpu_down_prep() в модуле net/iucv/iucv.c ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp_metrics: validate source addr length I don't see anything checking that TCP_METRICS_ATTR_SADDR_IPV4 is at least 4 bytes long, and the policy doesn't have an entry for this attribute at all (neither does it for IPv6 but v6 is manually validated). Уязвимость компонента net/ipv4/tcp_metrics.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: mpi3mr: Sanitise num_phys Information is stored in mr_sas_port->phy_mask, values larger then size of this field shouldn't be allowed. Уязвимость функции mpi3mr_sas_port_add() в модуле drivers/scsi/mpi3mr/mpi3mr_transport.c драйвера устройств Broadcom MPI3 ядра операционной системы Linux связана с отсутствием проверки допустимых значений. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: check validation of fault attrs in f2fs_build_fault_attr() - It missed to check validation of fault attrs in parse_options(), let's fix to add check condition in f2fs_build_fault_attr(). - Use f2fs_build_fault_attr() in __sbi_store() to clean up code. Уязвимость функции f2fs_build_fault_attr() в модуле fs/f2fs/super.c файловой системы f2fs ядра операционной системы Linux связана с отсутствием проверки входных данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Avoid uninitialized value in BPF_CORE_READ_BITFIELD [Changes from V1: - Use a default branch in the switch statement to initialize `val'.] GCC warns that `val' may be used uninitialized in the BPF_CRE_READ_BITFIELD macro, defined in bpf_core_read.h as: [...] unsigned long long val; \ [...] \ switch (__CORE_RELO(s, field, BYTE_SIZE)) { \ case 1: val = *(const unsigned char *)p; break; \ case 2: val = *(const unsigned short *)p; break; \ case 4: val = *(const unsigned int *)p; break; \ case 8: val = *(const unsigned long long *)p; break; \ } \ [...] val; \ } \ This patch adds a default entry in the switch statement that sets `val' to zero in order to avoid the warning, and random values to be used in case __builtin_preserve_field_info returns unexpected values for BPF_FIELD_BYTE_SIZE. Tested in bpf-next master. No regressions. Уязвимость макроопределения BPF_CORE_READ_BITFIELD компонента bpf ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:H', score=6.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dsa: mv88e6xxx: Correct check for empty list Since commit a3c53be55c95 ("net: dsa: mv88e6xxx: Support multiple MDIO busses") mv88e6xxx_default_mdio_bus() has checked that the return value of list_first_entry() is non-NULL. This appears to be intended to guard against the list chip->mdios being empty. However, it is not the correct check as the implementation of list_first_entry is not designed to return NULL for empty lists. Instead, use list_first_entry_or_null() which does return NULL if the list is empty. Flagged by Smatch. Compile tested only. Уязвимость функции mv88e6xxx_default_mdio_bus() компонента drivers/net/dsa/mv88e6xxx/chip.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: replace skb_put with skb_put_zero Avoid potentially reusing uninitialized data Уязвимость функции mt76_connac_mcu_add_nested_tlv() в модуле drivers/net/wireless/mediatek/mt76/mt76_connac_mcu.c драйвера MediaTek ядра операционной системы Linux связана с отсутствием инициализации переменных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=8.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/iucv: fix use after free in iucv_sock_close() iucv_sever_path() is called from process context and from bh context. iucv->path is used as indicator whether somebody else is taking care of severing the path (or it is already removed / never existed). This needs to be done with atomic compare and swap, otherwise there is a small window where iucv_sock_close() will try to work with a path that has already been severed and freed by iucv_callback_connrej() called by iucv_tasklet_fn(). Example: [452744.123844] Call Trace: [452744.123845] ([<0000001e87f03880>] 0x1e87f03880) [452744.123966] [<00000000d593001e>] iucv_path_sever+0x96/0x138 [452744.124330] [<000003ff801ddbca>] iucv_sever_path+0xc2/0xd0 [af_iucv] [452744.124336] [<000003ff801e01b6>] iucv_sock_close+0xa6/0x310 [af_iucv] [452744.124341] [<000003ff801e08cc>] iucv_sock_release+0x3c/0xd0 [af_iucv] [452744.124345] [<00000000d574794e>] __sock_release+0x5e/0xe8 [452744.124815] [<00000000d5747a0c>] sock_close+0x34/0x48 [452744.124820] [<00000000d5421642>] __fput+0xba/0x268 [452744.124826] [<00000000d51b382c>] task_work_run+0xbc/0xf0 [452744.124832] [<00000000d5145710>] do_notify_resume+0x88/0x90 [452744.124841] [<00000000d5978096>] system_call+0xe2/0x2c8 [452744.125319] Last Breaking-Event-Address: [452744.125321] [<00000000d5930018>] iucv_path_sever+0x90/0x138 [452744.125324] [452744.125325] Kernel panic - not syncing: Fatal exception in interrupt Note that bh_lock_sock() is not serializing the tasklet context against process context, because the check for sock_owned_by_user() and corresponding handling is missing. Ideas for a future clean-up patch: A) Correct usage of bh_lock_sock() in tasklet context, as described in Re-enqueue, if needed. This may require adding return values to the tasklet functions and thus changes to all users of iucv. B) Change iucv tasklet into worker and use only lock_sock() in af_iucv. Уязвимость функции iucv_sever_path() в модуле net/iucv/af_iucv.c драйвера IUCV ядра операционной системы Linux на платформе s/390 связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: Return non-zero value from tipc_udp_addr2str() on error tipc_udp_addr2str() should return non-zero value if the UDP media address is invalid. Otherwise, a buffer overflow access can occur in tipc_media_addr_printf(). Fix this by returning 1 on an invalid UDP media address. Уязвимость функции tipc_udp_addr2str() в модуле net/tipc/udp_media.c реализации протокола TIPC (Transparent Inter Process Communication) ядра операционной системы Linux связана с переполнением выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/iwcm: Fix a use-after-free related to destroying CM IDs iw_conn_req_handler() associates a new struct rdma_id_private (conn_id) with an existing struct iw_cm_id (cm_id) as follows: conn_id->cm_id.iw = cm_id; cm_id->context = conn_id; cm_id->cm_handler = cma_iw_handler; rdma_destroy_id() frees both the cm_id and the struct rdma_id_private. Make sure that cm_work_handler() does not trigger a use-after-free by only freeing of the struct rdma_id_private after all pending work has finished. Уязвимость компонента drivers/infiniband/core/iwcm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dev/parport: fix the array out-of-bounds risk Fixed array out-of-bounds issues caused by sprintf by replacing it with snprintf for safer data copying, ensuring the destination buffer is not overflowed. Below is the stack trace I encountered during the actual issue: [ 66.575408s] [pid:5118,cpu4,QThread,4]Kernel panic - not syncing: stack-protector: Kernel stack is corrupted in: do_hardware_base_addr+0xcc/0xd0 [parport] [ 66.575408s] [pid:5118,cpu4,QThread,5]CPU: 4 PID: 5118 Comm: QThread Tainted: G S W O 5.10.97-arm64-desktop #7100.57021.2 [ 66.575439s] [pid:5118,cpu4,QThread,6]TGID: 5087 Comm: EFileApp [ 66.575439s] [pid:5118,cpu4,QThread,7]Hardware name: HUAWEI HUAWEI QingYun PGUX-W515x-B081/SP1PANGUXM, BIOS 1.00.07 04/29/2024 [ 66.575439s] [pid:5118,cpu4,QThread,8]Call trace: [ 66.575469s] [pid:5118,cpu4,QThread,9] dump_backtrace+0x0/0x1c0 [ 66.575469s] [pid:5118,cpu4,QThread,0] show_stack+0x14/0x20 [ 66.575469s] [pid:5118,cpu4,QThread,1] dump_stack+0xd4/0x10c [ 66.575500s] [pid:5118,cpu4,QThread,2] panic+0x1d8/0x3bc [ 66.575500s] [pid:5118,cpu4,QThread,3] __stack_chk_fail+0x2c/0x38 [ 66.575500s] [pid:5118,cpu4,QThread,4] do_hardware_base_addr+0xcc/0xd0 [parport] Уязвимость функции do_hardware_base_addr() в модуле drivers/parport/procfs.c драйвера параллельного порта ядра операционной системы Linux связана с обращением к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: venus: fix use after free in vdec_close There appears to be a possible use after free with vdec_close(). The firmware will add buffer release work to the work queue through HFI callbacks as a normal part of decoding. Randomly closing the decoder device from userspace during normal decoding can incur a read after free for inst. Fix it by cancelling the work in vdec_close. Уязвимость функции vdec_close() компонента drivers/media/platform/qcom/venus/vdec.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix extent map use-after-free when adding pages to compressed bio At add_ra_bio_pages() we are accessing the extent map to calculate 'add_size' after we dropped our reference on the extent map, resulting in a use-after-free. Fix this by computing 'add_size' before dropping our extent map reference. Уязвимость функции add_ra_bio_pages() в модуле fs/btrfs/compression.c файловой системы btrfs ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 flatpak Flatpak is a Linux application sandboxing and distribution framework. Prior to versions 1.14.0 and 1.15.10, a malicious or compromised Flatpak app using persistent directories could access and write files outside of what it would otherwise have access to, which is an attack on integrity and confidentiality. When `persistent=subdir` is used in the application permissions (represented as `--persist=subdir` in the command-line interface), that means that an application which otherwise doesn't have access to the real user home directory will see an empty home directory with a writeable subdirectory `subdir`. Behind the scenes, this directory is actually a bind mount and the data is stored in the per-application directory as `~/.var/app/$APPID/subdir`. This allows existing apps that are not aware of the per-application directory to still work as intended without general home directory access. However, the application does have write access to the application directory `~/.var/app/$APPID` where this directory is stored. If the source directory for the `persistent`/`--persist` option is replaced by a symlink, then the next time the application is started, the bind mount will follow the symlink and mount whatever it points to into the sandbox. Partial protection against this vulnerability can be provided by patching Flatpak using the patches in commits ceec2ffc and 98f79773. However, this leaves a race condition that could be exploited by two instances of a malicious app running in parallel. Closing the race condition requires updating or patching the version of bubblewrap that is used by Flatpak to add the new `--bind-fd` option using the patch and then patching Flatpak to use it. If Flatpak has been configured at build-time with `-Dsystem_bubblewrap=bwrap` (1.15.x) or `--with-system-bubblewrap=bwrap` (1.14.x or older), or a similar option, then the version of bubblewrap that needs to be patched is a system copy that is distributed separately, typically `/usr/bin/bwrap`. This configuration is the one that is typically used in Linux distributions. If Flatpak has been configured at build-time with `-Dsystem_bubblewrap=` (1.15.x) or with `--without-system-bubblewrap` (1.14.x or older), then it is the bundled version of bubblewrap that is included with Flatpak that must be patched. This is typically installed as `/usr/libexec/flatpak-bwrap`. This configuration is the default when building from source code. For the 1.14.x stable branch, these changes are included in Flatpak 1.14.10. The bundled version of bubblewrap included in this release has been updated to 0.6.3. For the 1.15.x development branch, these changes are included in Flatpak 1.15.10. The bundled version of bubblewrap in this release is a Meson "wrap" subproject, which has been updated to 0.10.0. The 1.12.x and 1.10.x branches will not be updated for this vulnerability. Long-term support OS distributions should backport the individual changes into their versions of Flatpak and bubblewrap, or update to newer versions if their stability policy allows it. As a workaround, avoid using applications using the `persistent` (`--persist`) permission. Уязвимость инструмента для управления приложениями и средами Flatpak связана с неправильной нейтрализацией специальных элементов на выходе, используемых нижестоящим компонентом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-74')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N', score=10.0) Это касается только приложений, использующих `--persist` . Вы можете просмотреть список всех приложений, использующих эту функцию, следующим образом: ```b $ for app in $(flatpak list --app --columns=application | tail -n +1) ; do \ flatpak info -m $app | grep persistent= -H --label="$app"; \ done``` Astra Linux 1.8 postgresql-15 Missing authorization in PostgreSQL built-in views pg_stats_ext and pg_stats_ext_exprs allows an unprivileged database user to read most common values and other statistics from CREATE STATISTICS commands of other users. The most common values may reveal column values the eavesdropper could not otherwise read or results of functions they cannot execute. Installing an unaffected version only fixes fresh PostgreSQL installations, namely those that are created with the initdb utility after installing that version. Current PostgreSQL installations will remain vulnerable until they follow the instructions in the release notes. Within major versions 14-16, minor versions before PostgreSQL 16.3, 15.7, and 14.12 are affected. Versions before PostgreSQL 14 are unaffected. Уязвимость системных представлений pg_stats_ext, pg_stats_ext_exprs реляционной СУБД PostgreSQL связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-862'), NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.1) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: Fix array-index-out-of-bounds in diFree Уязвимость функции diSync() в модуле fs/jfs/jfs_imap.c файловой системы jfs ядра операционной системы Linux связана с обращением к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vhost/vsock: always initialize seqpacket_allow There are two issues around seqpacket_allow: 1. seqpacket_allow is not initialized when socket is created. Thus if features are never set, it will be read uninitialized. 2. if VIRTIO_VSOCK_F_SEQPACKET is set and then cleared, then seqpacket_allow will not be cleared appropriately (existing apps I know about don't usually do this but it's legal and there's no way to be sure no one relies on this). To fix: - initialize seqpacket_allow after allocation - set it unconditionally in set_features Уязвимость функции seqpacket_allow() ядра операционной системы Linux связана с некорректной инициализацией. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-909')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: xc2028: avoid use-after-free in load_firmware_cb() syzkaller reported use-after-free in load_firmware_cb() [1]. The reason is because the module allocated a struct tuner in tuner_probe(), and then the module initialization failed, the struct tuner was released. A worker which created during module initialization accesses this struct tuner later, it caused use-after-free. The process is as follows: task-6504 worker_thread tuner_probe <= alloc dvb_frontend [2] ... request_firmware_nowait <= create a worker ... tuner_remove <= free dvb_frontend ... request_firmware_work_func <= the firmware is ready load_firmware_cb <= but now the dvb_frontend has been freed To fix the issue, check the dvd_frontend in load_firmware_cb(), if it is null, report a warning and just return. [1]: ================================================================== BUG: KASAN: use-after-free in load_firmware_cb+0x1310/0x17a0 Read of size 8 at addr ffff8000d7ca2308 by task kworker/2:3/6504 Call trace: load_firmware_cb+0x1310/0x17a0 request_firmware_work_func+0x128/0x220 process_one_work+0x770/0x1824 worker_thread+0x488/0xea0 kthread+0x300/0x430 ret_from_fork+0x10/0x20 Allocated by task 6504: kzalloc tuner_probe+0xb0/0x1430 i2c_device_probe+0x92c/0xaf0 really_probe+0x678/0xcd0 driver_probe_device+0x280/0x370 __device_attach_driver+0x220/0x330 bus_for_each_drv+0x134/0x1c0 __device_attach+0x1f4/0x410 device_initial_probe+0x20/0x30 bus_probe_device+0x184/0x200 device_add+0x924/0x12c0 device_register+0x24/0x30 i2c_new_device+0x4e0/0xc44 v4l2_i2c_new_subdev_board+0xbc/0x290 v4l2_i2c_new_subdev+0xc8/0x104 em28xx_v4l2_init+0x1dd0/0x3770 Freed by task 6504: kfree+0x238/0x4e4 tuner_remove+0x144/0x1c0 i2c_device_remove+0xc8/0x290 __device_release_driver+0x314/0x5fc device_release_driver+0x30/0x44 bus_remove_device+0x244/0x490 device_del+0x350/0x900 device_unregister+0x28/0xd0 i2c_unregister_device+0x174/0x1d0 v4l2_device_unregister+0x224/0x380 em28xx_v4l2_init+0x1d90/0x3770 The buggy address belongs to the object at ffff8000d7ca2000 which belongs to the cache kmalloc-2k of size 2048 The buggy address is located 776 bytes inside of 2048-byte region [ffff8000d7ca2000, ffff8000d7ca2800) The buggy address belongs to the page: page:ffff7fe00035f280 count:1 mapcount:0 mapping:ffff8000c001f000 index:0x0 flags: 0x7ff800000000100(slab) raw: 07ff800000000100 ffff7fe00049d880 0000000300000003 ffff8000c001f000 raw: 0000000000000000 0000000080100010 00000001ffffffff 0000000000000000 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff8000d7ca2200: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff8000d7ca2280: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb >ffff8000d7ca2300: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ^ ffff8000d7ca2380: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff8000d7ca2400: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ================================================================== [2] Actually, it is allocated for struct tuner, and dvb_frontend is inside. Уязвимость функции load_firmware_cb() ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 expat An issue was discovered in libexpat before 2.6.3. xmlparse.c does not reject a negative length for XML_ParseBuffer. Уязвимость компонента xmlparse.c библиотеки для анализа XML-файлов Expat связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-611'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Для нейтрализации угрозы эксплуатации уязвимости для ПО expat необходимо выполнить одно из следующих требований: - При использовании ПО expat выполнять обработку файлов, полученных только из доверенных источников - По возможности запускайте приложения, использующие ПО expat, в изолированной программной среде с применением инструмента Firejail - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Для нейтрализации угрозы эксплуатации уязвимости для ПО libxmltok необходимо выполнить одно из следующих требований: - Удалить ПО libxmltok, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxmltok в пользу ПО expat или libxml2 - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Включить режим замкнутой программной среды Astra Linux 1.8 webkit2gtk Use after free in ANGLE in Google Chrome prior to 124.0.6367.155 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость библиотеки ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 ghostscript An issue was discovered in psi/zcolor.c in Artifex Ghostscript before 10.04.0. An unchecked Implementation pointer in Pattern color space could lead to arbitrary code execution. Уязвимость компонента psi/zcolor.c набора программного обеспечения обработки документов Ghostscript связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-824'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in pdf/pdf_xref.c in Artifex Ghostscript before 10.04.0. There is a buffer overflow during handling of a PDF XRef stream (related to W array values). Уязвимость компонента pdf/pdf_xref.c набора программного обеспечения обработки документов Ghostscript связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in base/gsdevice.c in Artifex Ghostscript before 10.04.0. An integer overflow when parsing the filename format string (for the output filename) results in path truncation, and possible path traversal and code execution. Уязвимость компонента base/gsdevice.c набора программного обеспечения обработки документов Ghostscript связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in psi/zcolor.c in Artifex Ghostscript before 10.04.0. There is an out-of-bounds read when reading color in Indexed color space. Уязвимость набора программного обеспечения обработки документов Ghostscript связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in psi/zfile.c in Artifex Ghostscript before 10.04.0. Out-of-bounds data access in filenameforall can lead to arbitrary code execution. Уязвимость компонента psi/zfile.c набора программного обеспечения обработки документов Ghostscript связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 libcupsfilters CUPS is a standards-based, open-source printing system, and `libcupsfilters` contains the code of the filters of the former `cups-filters` package as library functions to be used for the data format conversion tasks needed in Printer Applications. The `cfGetPrinterAttributes5` function in `libcupsfilters` does not sanitize IPP attributes returned from an IPP server. When these IPP attributes are used, for instance, to generate a PPD file, this can lead to attacker controlled data to be provided to the rest of the CUPS system. Уязвимость функции cfGetPrinterAttributes5 компонента cupsfilters/ipp.c библиотеки libcupsfilters сервера печати CUPS связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N', score=8.6) Для нейтрализации уязвимости можно воспользоваться одним из трёх способов. ##### 1 способ. Отключение службы cups_browsed Остановить работу службы _cups-browsed_ и предотвратить ее запуск при перезагрузке с помощью следующих команд: ```b sudo systemctl stop cups-browsed sudo systemctl disable cups-browsed ``` ##### 2 способ. Изменение файла конфигурации /etc/cups/cups-browsed.conf 1. Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл */etc/cups/cups-browsed.conf*. 2. Для директивы *BrowseRemoteProtocols* установить значение *none*: ```b BrowseRemoteProtocols none ``` 3. Сохранить файл. 4. Перезапустить службу *cups-browsed* с помощью следующей команды: ```b sudo systemctl restart cups-browsed ``` ##### 3 способ. Отключение доступа к UDP-порту 631 1. Используя полномочия администратора системы с высоким уровнем целостности выполнить в консоли следующие команды: ```b iptables -A INPUT -p udp --dport 631 -j DROP ``` 2. Чтобы сохранить текущие правила iptables в файл, например */etc/iptables.rules*, необходимо: - Если файл не был создан ранее, то создать пустой файл и ограничить к нему доступ. Для этого в терминале выполнить команды: ```b touch /etc/iptables.rules chmod 640 /etc/iptables.rules ``` - Выгрузить текущие правила iptables в файл, выполнив в терминале команду: ```b iptables-save | sudo tee /etc/iptables.rules > /dev/null ``` 3. Для обеспечения автоматического восстановления правил iptables перед включением сетевого интерфейса необходимо: - В каталоге */etc/network/if-pre-up.d/* создать файл, например *iptables*, со следующим содержимым: ```b #!/bin/sh iptables-restore < /etc/iptables.rules exit 0 ``` - Сделать созданный сценарий исполнимым, выполнив в терминале команду: ```b chmod +x /etc/network/if-pre-up.d/iptables ``` Astra Linux 1.8 libppd, cups CUPS is a standards-based, open-source printing system, and `libppd` can be used for legacy PPD file support. The `libppd` function `ppdCreatePPDFromIPP2` does not sanitize IPP attributes when creating the PPD buffer. When used in combination with other functions such as `cfGetPrinterAttributes5`, can result in user controlled input and ultimately code execution via Foomatic. This vulnerability can be part of an exploit chain leading to remote code execution (RCE), as described in CVE-2024-47176. Уязвимость функции ppdCreatePPDFromIPP2 библиотеки libppd сервера печати CUPS связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N', score=8.6) Для нейтрализации уязвимости можно воспользоваться одним из трёх способов. ##### 1 способ. Отключение службы cups_browsed Остановить работу службы _cups-browsed_ и предотвратить ее запуск при перезагрузке с помощью следующих команд: ```b sudo systemctl stop cups-browsed sudo systemctl disable cups-browsed ``` ##### 2 способ. Изменение файла конфигурации /etc/cups/cups-browsed.conf 1. Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл */etc/cups/cups-browsed.conf*. 2. Для директивы *BrowseRemoteProtocols* установить значение *none*: ```b BrowseRemoteProtocols none ``` 3. Сохранить файл. 4. Перезапустить службу *cups-browsed* с помощью следующей команды: ```b sudo systemctl restart cups-browsed ``` ##### 3 способ. Отключение доступа к UDP-порту 631 1. Используя полномочия администратора системы с высоким уровнем целостности выполнить в консоли следующие команды: ```b iptables -A INPUT -p udp --dport 631 -j DROP ``` 2. Чтобы сохранить текущие правила iptables в файл, например */etc/iptables.rules*, необходимо: - Если файл не был создан ранее, то создать пустой файл и ограничить к нему доступ. Для этого в терминале выполнить команды: ```b touch /etc/iptables.rules chmod 640 /etc/iptables.rules ``` - Выгрузить текущие правила iptables в файл, выполнив в терминале команду: ```b iptables-save | sudo tee /etc/iptables.rules > /dev/null ``` 3. Для обеспечения автоматического восстановления правил iptables перед включением сетевого интерфейса необходимо: - В каталоге */etc/network/if-pre-up.d/* создать файл, например *iptables*, со следующим содержимым: ```b #!/bin/sh iptables-restore < /etc/iptables.rules exit 0 ``` - Сделать созданный сценарий исполнимым, выполнив в терминале команду: ```b chmod +x /etc/network/if-pre-up.d/iptables ``` Astra Linux 1.8 oath-toolkit pam_oath.so in oath-toolkit 2.6.7 through 2.6.11 before 2.6.12 allows root privilege escalation because, in the context of PAM code running as root, it mishandles usersfile access, such as by calling fchown in the presence of a symlink. Уязвимость библиотеки для создания систем аутентификации OATH Toolkit связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=7.1) Astra Linux 1.8 needrestart Qualys discovered that needrestart, before version 3.8, allows local attackers to execute arbitrary code as root by tricking needrestart into running the Python interpreter with an attacker-controlled PYTHONPATH environment variable. Уязвимость утилиты для проверки необходимости перезапуска служб Needrestart связана с неконтролируемым элементом пути поиска. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-427')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 needrestart Qualys discovered that needrestart, before version 3.8, allows local attackers to execute arbitrary code as root by winning a race condition and tricking needrestart into running their own, fake Python interpreter (instead of the system's real Python interpreter). The initial security fix (6ce6136) introduced a regression which was subsequently resolved (42af5d3). Уязвимость утилиты для проверки необходимости перезапуска служб Needrestart связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 needrestart Qualys discovered that needrestart, before version 3.8, allows local attackers to execute arbitrary code as root by tricking needrestart into running the Ruby interpreter with an attacker-controlled RUBYLIB environment variable. Уязвимость утилиты для проверки необходимости перезапуска служб Needrestart связана с неконтролируемым элементом пути поиска. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-427')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 libvpx There exists interger overflows in libvpx in versions prior to 1.14.1. Calling vpx_img_alloc() with a large value of the d_w, d_h, or align parameter may result in integer overflows in the calculations of buffer sizes and offsets and some fields of the returned vpx_image_t struct may be invalid. Calling vpx_img_wrap() with a large value of the d_w, d_h, or stride_align parameter may result in integer overflows in the calculations of buffer sizes and offsets and some fields of the returned vpx_image_t struct may be invalid. We recommend upgrading to version 1.14.1 or beyond Уязвимость функции vpx_img_alloc() библиотеки кодирования/декодирования видео libvpx связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем передачи специально созданных данных [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) libvpx: - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить запрет монтирования носителей непривилегированными пользователями Astra Linux 1.8 libreoffice Improper Certificate Validation vulnerability in LibreOffice "LibreOfficeKit" mode disables TLS certification verification LibreOfficeKit can be used for accessing LibreOffice functionality through C/C++. Typically this is used by third party components to reuse LibreOffice as a library to convert, view or otherwise interact with documents. LibreOffice internally makes use of "curl" to fetch remote resources such as images hosted on webservers. In affected versions of LibreOffice, when used in LibreOfficeKit mode only, then curl's TLS certification verification was disabled (CURLOPT_SSL_VERIFYPEER of false) In the fixed versions curl operates in LibreOfficeKit mode the same as in standard mode with CURLOPT_SSL_VERIFYPEER of true. This issue affects LibreOffice before version 24.2.4. Уязвимость компонента LibreOfficeKit пакета офисных программ LibreOffice связана с ошибками при проверке TLS-сертификата. Эксплуатация уязвимости может позволить нарушителю, действуюшему удалённо, выполнить произольный код [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: 1. Запустить ОС с правами администратора. 2. В терминале выполнить следующую команду: ` astra-macros-lock enable ` 3. Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 wpa An issue was discovered in Ubuntu wpa_supplicant that resulted in loading of arbitrary shared objects, which allows a local unprivileged attacker to escalate privileges to the user that wpa_supplicant runs as (usually root). Membership in the netdev group or access to the dbus interface of wpa_supplicant allow an unprivileged user to specify an arbitrary path to a module to be loaded by the wpa_supplicant process; other escalation paths might exist. Уязвимость клиента защищённого доступа Wi-Fi WPA Supplicant связана с неконтролируемым элементом пути поиска. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-427'), NistCWE(cwe='CWE-427')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: - Отключить и удалить неиспользуемые учётные записи пользователей - Запускайте ПО wpa с минимально необходимыми правами доступа - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.29, 8.2.* before 8.2.20, 8.3.* before 8.3.8, due to a code logic error, filtering functions such as filter_var when validating URLs (FILTER_VALIDATE_URL) for certain types of URLs the function will result in invalid user information (username + password part of URLs) being treated as valid user information. This may lead to the downstream code accepting invalid URLs as valid and parsing them incorrectly. Уязвимость функции filter_var языка программирования PHP связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-345'), NistCWE(cwe='CWE-345')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 libndp A vulnerability was found in libndp. This flaw allows a local malicious user to cause a buffer overflow in NetworkManager, triggered by sending a malformed IPv6 router advertisement packet. This issue occurred as libndp was not correctly validating the route length information. Уязвимость библиотеки libndp связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации путем отправки специально созданных IPv6-пакетов [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) libndp: - Отказаться от использования библиотеки libndp - При использовании ПО, использующего библиотеку libndp, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libndp, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 nano A vulnerability was found in GNU Nano that allows a possible privilege escalation through an insecure temporary file. If Nano is killed while editing, a file it saves to an emergency file with the permissions of the running user provides a window of opportunity for attackers to escalate privileges through a malicious symlink. Уязвимость текстового редактора Nano связана с ошибками обработки временных файлов. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-59'), NistCWE(cwe='CWE-59')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H', score=6.7) nano: - включить защиту файловой системы ("установить МКЦ на ФС"); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - активировать регламентный контроль целостности ОС и режим замкнутой программной среды; - по возможности запускать прикладное ПО в отдельной сессии Astra Linux 1.8 python3.11 There is a MEDIUM severity vulnerability affecting CPython. Regular expressions that allowed excessive backtracking during tarfile.TarFile header parsing are vulnerable to ReDoS via specifically-crafted tar archives. Уязвимость интерпретатора языка программирования Python связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного архива [NistCWE(cwe='CWE-1333'), NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Вместо python2.7 использовать python3.7; - При использовании ПО python и php выполнять обработку файлов, полученных только из доверенных источников; - Запускать ПО в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 setuptools A vulnerability in the package_index module of pypa/setuptools versions up to 69.1.1 allows for remote code execution via its download functions. These functions, which are used to download packages from URLs provided by users or retrieved from package index servers, are susceptible to code injection. If these functions are exposed to user-controlled inputs, such as package URLs, they can execute arbitrary commands on the system. The issue is fixed in version 70.0. Уязвимость модуля package_index библиотеки для работы с пакетами Setuptools связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) setuptools: - Использовать ПО python-setuptools только на низком или отдельно выделенном уровне целостности - При использовании ПО python-setuptools выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-setuptools только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды python-setuptools: - Использовать ПО python-setuptools только на низком или отдельно выделенном уровне целостности - При использовании ПО python-setuptools выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-setuptools только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libreoffice Certificate Validation user interface in LibreOffice allows potential vulnerability. Signed macros are scripts that have been digitally signed by the developer using a cryptographic signature. When a document with a signed macro is opened a warning is displayed by LibreOffice before the macro is executed. Previously if verification failed the user could fail to understand the failure and choose to enable the macros anyway. This issue affects LibreOffice: from 24.2 before 24.2.5. Уязвимость пользовательского интерфейса проверки сертификата пакета офисных программ LibreOffice связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код при условии разрешения пользователем запуска макроса [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 gtk+3.0, gtk+2.0 A flaw was found in the GTK library. Under certain conditions, it is possible for a library to be injected into a GTK application from the current working directory. Уязвимость библиотеки для создания графических пользовательских интерфейсов GTK (GIMP Toolkit) связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 126.0.6478.182 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с некорректной проверкой безопасности для стандартных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить полный контроль над приложением с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-358')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 126.0.6478.182 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с ошибками преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации, выполнить произвольный код или вызвать отказ в обслуживании с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media Stream in Google Chrome prior to 126.0.6478.182 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media Stream (Трансляция) браузеров Google Chrome и Microsoft Edge связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации, выполнить произвольный код или вызвать отказ в обслуживании с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Audio in Google Chrome prior to 126.0.6478.182 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Audio браузеров Google Chrome и Microsoft Edge связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации, выполнить произвольный код или вызвать отказ в обслуживании с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Navigation in Google Chrome prior to 126.0.6478.182 allowed an attacker who convinced a user to install a malicious extension to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость функции Navigation браузеров Google Chrome и Microsoft Edge связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации, выполнить произвольный код или вызвать отказ в обслуживании путем загрузки специально созданного расширения [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in DevTools in Google Chrome prior to 126.0.6478.182 allowed an attacker who convinced a user to install a malicious extension to inject scripts or HTML into a privileged page via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью созданного расширения Chrome [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-366')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds memory access in V8 in Google Chrome prior to 126.0.6478.182 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с выходом операции за границы буферав памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти защитный механизм песочницы, получить несанкционированный доступ к защищаемой информации, выполнить произвольный код или вызвать отказ в обслуживании путем загрузки специально созданной HTML-страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Loader in Google Chrome prior to 127.0.6533.72 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Loader браузеров Google Chrome и Microsoft Edge связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 127.0.6533.72 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Down браузеров Google Chrome и Microsoft Edge связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с помощью специально созданной веб-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium No description Astra Linux 1.8 chromium No description Astra Linux 1.8 chromium Heap buffer overflow in Layout in Google Chrome prior to 127.0.6533.72 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Layout браузеров Google Chrome и Microsoft Edge связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in Frames in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Tabs in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Tabs веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in User Education in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента User Education веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FedCM in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FedCM веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in CSS in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in HTML in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость парсера HTML веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-474')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FedCM in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FedCM веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-358')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Safe Browsing in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass discretionary access control via a malicious file. (Chromium security severity: Low) Уязвимость службы Safe Browsing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Safe Browsing in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass discretionary access control via a malicious file. (Chromium security severity: Low) Уязвимость службы Safe Browsing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-807')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 tiff A null pointer dereference flaw was found in Libtiff via `tif_dirinfo.c`. This issue may allow an attacker to trigger memory allocation failures through certain means, such as restricting the heap space size or injecting faults, causing a segmentation fault. This can cause an application crash, eventually leading to a denial of service. Уязвимость библиотеки LibTIFF связана с разыменованием нулевого указателя через `tif_dirinfo.c`. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - при использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - по возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 126.0.6478.182 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DevTools веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Layout in Google Chrome prior to 129.0.6668.89 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 ffmpeg A vulnerability was found in FFmpeg up to 7.0.1. It has been classified as critical. This affects the function pnm_decode_frame in the library /libavcodec/pnmdec.c. The manipulation leads to heap-based buffer overflow. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 7.0.2 is able to address this issue. It is recommended to upgrade the affected component. The associated identifier of this vulnerability is VDB-273651. Уязвимость функции pnm_decode_frame() компонента libavcodec/pnmdec.c мультимедийной библиотеки FFmpeg связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:P/I:P/A:P', score=7.5) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Out of bounds read in WebTransport in Google Chrome prior to 127.0.6533.88 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость интерфейса WebTransport веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 curl libcurl's ASN1 parser code has the `GTime2str()` function, used for parsing an ASN.1 Generalized Time field. If given an syntactically incorrect field, the parser might end up using -1 for the length of the *time fraction*, leading to a `strlen()` getting performed on a pointer to a heap buffer area that is not (purposely) null terminated. This flaw most likely leads to a crash, but can also lead to heap contents getting returned to the application when [CURLINFO_CERTINFO](https://curl.se/libcurl/c/CURLINFO_CERTINFO.html) is used. Уязвимость функции GTime2str() программного средства для взаимодействия с серверами CURL связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg A vulnerability, which was classified as critical, was found in FFmpeg up to 5.1.5. This affects the function fill_audiodata of the file /libswresample/swresample.c. The manipulation leads to heap-based buffer overflow. It is possible to initiate the attack remotely. This issue was fixed in version 6.0 by 9903ba28c28ab18dc7b7b6fb8571cc8b5caae1a6 but a backport for 5.1 was forgotten. The exploit has been disclosed to the public and may be used. Upgrading to version 5.1.6 and 6.0 9903ba28c28ab18dc7b7b6fb8571cc8b5caae1a6 is able to address this issue. It is recommended to upgrade the affected component. Уязвимость функции fill_audiodata() компонента libswresample/swresample.c мультимедийной библиотеки FFmpeg связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:P/I:P/A:P', score=7.5) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 postgresql-15 Time-of-check Time-of-use (TOCTOU) race condition in pg_dump in PostgreSQL allows an object creator to execute arbitrary SQL functions as the user running pg_dump, which is often a superuser. The attack involves replacing another relation type with a view or foreign table. The attack requires waiting for pg_dump to start, but winning the race condition is trivial if the attacker retains an open transaction. Versions before PostgreSQL 16.4, 15.8, 14.13, 13.16, and 12.20 are affected. Уязвимость компонента pg_dump реляционной СУБД PostgreSQL связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367'), NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) - Не использовать уязвимую функцию pg_dump; - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. Astra Linux 1.8 firefox Select options could obscure the fullscreen notification dialog. This could be used by a malicious site to perform a spoofing attack. This vulnerability affects Firefox < 129, Firefox ESR < 128.1, and Thunderbird < 128.1. Уязвимость полноэкранного режима уведомлений браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с неправильным ограничением отображаемых слоев или фреймов пользовательского интерфейса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить спуфинг атаки [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Insufficient checks when processing graphics shared memory could have led to memory corruption. This could be leveraged by an attacker to perform a sandbox escape. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) Astra Linux 1.8 firefox A type confusion bug in WebAssembly could be leveraged by an attacker to potentially achieve code execution. This vulnerability affects Firefox < 129, Firefox ESR < 128.1, and Thunderbird < 128.1. Уязвимость компонента WebAssembly браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с ошибками смешения типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Incomplete WebAssembly exception handing could have led to a use-after-free. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость компонента WebAssembly веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостатками в обработке исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-755'), NistCWE(cwe='CWE-755')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird Editor code failed to check an attribute value. This could have led to an out-of-bounds read. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость компонента Attribute Handler веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Firefox adds web-compatibility shims in place of some tracking scripts blocked by Enhanced Tracking Protection. On a site protected by Content Security Policy in "strict-dynamic" mode, an attacker able to inject an HTML element could have used a DOM Clobbering attack on some of the shims and achieved XSS, bypassing the CSP strict-dynamic protection. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, and Firefox ESR < 128.1. Уязвимость компонента Content Security Policy браузеров Firefox, Firefox ESR связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществлять межсайтовые сценарные атаки [NistCWE(cwe='CWE-79'), NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird It was possible for a web extension with minimal permissions to create a `StreamFilter` which could be used to read and modify the response body of requests on any site. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость компонента Response Body Handler веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с настройками прав доступа по умолчанию. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью формирования фильтра потоков данных («StreamFilter») веб-расширения [NistCWE(cwe='CWE-276'), NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) Astra Linux 1.8 firefox, thunderbird ANGLE failed to initialize parameters which lead to reading from uninitialized memory. This could be leveraged to leak sensitive data from memory. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость библиотеки ANGLE браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird Unexpected marking work at the start of sweeping could have led to a use-after-free. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость компонента Garbage Collector веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Incorrect garbage collection interaction in IndexedDB could have led to a use-after-free. This vulnerability affects Firefox < 129, Firefox ESR < 128.1, and Thunderbird < 128.1. Уязвимость компонента IndexedDB браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird The date picker could partially obscure security prompts. This could be used by a malicious site to trick a user into granting permissions. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость функции Date Picker веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) Astra Linux 1.8 firefox Incorrect garbage collection interaction could have led to a use-after-free. This vulnerability affects Firefox < 129. Уязвимость компонента Garbage Collector веб-браузера Firefox связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, nss Calling `PK11_Encrypt()` in NSS using CKM_CHACHA20 and the same buffer for input and output can result in plaintext on an Intel Sandy Bridge processor. In Firefox this only affects the QUIC header protection feature when the connection is using the ChaCha20-Poly1305 cipher suite. The most likely outcome is connection failure, but if the connection persists despite the high packet loss it could be possible for a network observer to identify packets as coming from the same source despite a network path change. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, and Firefox ESR < 128.1. Уязвимость веб-браузеров Firefox и Firefox ESR, набора библиотек разработки приложений NSS связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) Astra Linux 1.8 chromium Out of bounds memory access in ANGLE in Google Chrome prior to 127.0.6533.99 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость библиотеки ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Layout in Google Chrome prior to 127.0.6533.99 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 127.0.6533.99 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebAudio in Google Chrome prior to 127.0.6533.99 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 127.0.6533.99 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 python3.11 There is a LOW severity vulnerability affecting CPython, specifically the 'http.cookies' standard library module. When parsing cookies that contained backslashes for quoted characters in the cookie value, the parser would use an algorithm with quadratic complexity, resulting in excess CPU resources being used while parsing the value. Уязвимость библиотеки http.cookies интерпретатора языка программирования Python связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libreoffice Improper Digital Signature Invalidation  vulnerability in Zip Repair Mode of The Document Foundation LibreOffice allows Signature forgery vulnerability in LibreOfficeThis issue affects LibreOffice: from 24.2 before < 24.2.5. Уязвимость пакета офисных программ LibreOffice связана с некорректным подтверждением криптографической подписи данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-347'), NistCWE(cwe='CWE-347')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость JavaScript-сценариев V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-358')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для версий ПО Chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 chromium Out of bounds memory access in Skia in Google Chrome prior to 128.0.6613.84 allowed a remote attacker who had compromised the renderer process to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость графической библиотеки Skia веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Fonts in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Fonts веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Autofill in Google Chrome prior to 128.0.6613.84 allowed a remote attacker who had convinced the user to engage in specific UI interactions to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость функции автозаполнения Autofill веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 128.0.6613.113 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 128.0.6613.119 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) Уязвимость связана с ошибками преобразования типов данных в движке Javascript V8 веб-браузера Google Chrome. В версиях ПО chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in PDFium in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to perform an out of bounds memory read via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента PDFium веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF-файла [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in V8 API in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного расширения Chrome [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FedCM in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FedCM веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Data Transfer in Google Chrome prior to 128.0.6613.84 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с недостатками разграничения доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Views in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebApp Installs in Google Chrome on Windows prior to 128.0.6613.84 allowed an attacker who convinced a user to install a malicious application to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebApp Installs веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Custom Tabs in Google Chrome on Android prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome on Windows prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 python3.11 There is a HIGH severity vulnerability affecting the CPython "zipfile" module affecting "zipfile.Path". Note that the more common API "zipfile.ZipFile" class is unaffected. When iterating over names of entries in a zip archive (for example, methods of "zipfile.Path" like "namelist()", "iterdir()", etc) the process can be put into an infinite loop with a maliciously crafted zip archive. This defect applies when reading only metadata or extracting the contents of the zip archive. Programs that are not handling user-controlled zip archives are not affected. Уязвимость модуля zipfile интерпретатора языка программирования Python связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 curl When curl is told to use the Certificate Status Request TLS extension, often referred to as OCSP stapling, to verify that the server certificate is valid, it might fail to detect some OCSP problems and instead wrongly consider the response as fine. If the returned status reports another error than 'revoked' (like for example 'unauthorized') it is not treated as a bad certficate. Уязвимость программного средства для взаимодействия с серверами CURL связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) По умолчанию уязвимая опция проверки статуса OCSP в curl выключена - Удалите опцию проверки статуса OCSP в curl убрав `--cert-status` из скриптов/инструментов. - Включить альтернативные проверки статуса сертификата (пример: openssl) - Отказаться от использования ПО curl в пользу ПО wget Astra Linux 1.8 chromium Heap buffer overflow in Skia in Google Chrome prior to 128.0.6613.113 allowed a remote attacker who had compromised the renderer process to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 128.0.6613.113 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Skia in Google Chrome prior to 128.0.6613.113 allowed a remote attacker who had compromised the renderer process to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 libvirt A flaw was found in libvirt. A refactor of the code fetching the list of interfaces for multiple APIs introduced a corner case on platforms where allocating 0 bytes of memory results in a NULL pointer. This corner case would lead to a NULL-pointer dereference and subsequent crash of virtinterfaced. This issue could allow clients connecting to the read-only socket to crash the virtinterfaced daemon. [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) libvirt: - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать регламентный контроль целостности ОС - Активировать режим замкнутой программной среды Astra Linux 1.8 chromium Use after free in WebAudio in Google Chrome prior to 128.0.6613.119 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird A potentially exploitable type confusion could be triggered when looking up a property name on an object being used as the `with` environment. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, Firefox ESR < 115.15, Thunderbird < 128.2, and Thunderbird < 115.15. Уязвимость Firefox ESR и Firefox существует из-за ошибки типов при поиске имени свойства в блоке «with». Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Internal browser event interfaces were exposed to web content when privileged EventHandler listener callbacks ran for those events. Web content that tried to use those interfaces would not be able to use them with elevated privileges, but their presence would indicate certain browser features had been used, such as when a user opened the Dev Tools console. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, Firefox ESR < 115.15, Thunderbird < 128.2, and Thunderbird < 115.15. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с применением обработчика сигналов нереентерабельной функции. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-273')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Firefox normally asks for confirmation before asking the operating system to find an application to handle a scheme that the browser does not support. It did not ask before doing so for the Usenet-related schemes news: and snews:. Since most operating systems don't have a trusted newsreader installed by default, an unscrupulous program that the user downloaded could register itself as a handler. The website that served the application download could then launch that application at will. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, and Firefox ESR < 115.15. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-1188')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird The JavaScript garbage collector could mis-color cross-compartment objects if OOM conditions were detected at the right point between two passes. This could have led to memory corruption. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, Firefox ESR < 115.15, Thunderbird < 128.2, and Thunderbird < 115.15. Уязвимость браузера Firefox, Firefox ESR связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox A difference in the handling of StructFields and ArrayTypes in WASM could be used to trigger an exploitable type confusion vulnerability. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, and Thunderbird < 128.2. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox If a site had been granted the permission to open popup windows, it could cause Select elements to appear on top of another site to perform a spoofing attack. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, and Thunderbird < 128.2. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с использованием открытой переадресации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-601'), NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 129, Firefox ESR 128.1, and Thunderbird 128.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, and Thunderbird < 128.2. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 129. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 130. Уязвимость веб-браузера Firefox связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Skia in Google Chrome prior to 128.0.6613.137 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 128.0.6613.137 allowed a remote attacker to potentially exploit object corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox An attacker could write data to the user's clipboard, bypassing the user prompt, during a certain sequence of navigational events. This vulnerability affects Firefox < 129, Firefox ESR < 128.3, and Thunderbird < 128.3. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с недостатками разграничения доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-732')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 129.0.6668.58 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 129.0.6668.58 allowed a remote attacker to potentially exploit stack corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Downloads in Google Chrome prior to 129.0.6668.58 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость пользовательского интерфейса компонента Загрузки веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 129.0.6668.58 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость функции автозаполнения Autofill веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.30, 8.2.* before 8.2.24, 8.3.* before 8.3.12, erroneous parsing of multipart form data contained in an HTTP POST request could lead to legitimate data not being processed. This could lead to malicious attacker able to control part of the submitted data being able to exclude portion of other data, potentially leading to erroneous application behavior. Уязвимость языка программирования PHP связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-444'), NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N', score=3.1) - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.30, 8.2.* before 8.2.24, 8.3.* before 8.3.12, HTTP_REDIRECT_STATUS variable is used to check whether or not CGI binary is being run by the HTTP server. However, in certain scenarios, the content of this variable can be controlled by the request submitter via HTTP headers, which can lead to cgi.force_redirect option not being correctly applied. In certain configurations this may lead to arbitrary file inclusion in PHP. Уязвимость языка программирования PHP связана с ошибками в настройках безопасности. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1220')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.30, 8.2.* before 8.2.24, 8.3.* before 8.3.12, when using PHP-FPM SAPI and it is configured to catch workers output through catch_workers_output = yes, it may be possible to pollute the final log or remove up to 4 characters from the log messages by manipulating log message content. Additionally, if PHP-FPM is configured to use syslog output, it may be possible to further remove log data using the same vulnerability. Уязвимость языка программирования PHP связана с неправильной обработкой выходных данных для журналов регистрации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-117')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N', score=3.3) - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 129.0.6668.70 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 129.0.6668.70 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Skia in Google Chrome prior to 129.0.6668.70 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High) Уязвимость графической библиотеки Skia веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in Mojo in Google Chrome prior to 129.0.6668.89 allowed a remote attacker who had compromised the renderer process to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Mojo веб-браузера Google Chrome связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1284'), NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium No description Astra Linux 1.8 firefox, thunderbird A compromised content process could have allowed for the arbitrary loading of cross-origin pages. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Firefox ESR < 115.16, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird An attacker could, via a specially crafted multipart response, execute arbitrary JavaScript under the `resource://pdf.js` origin. This could allow them to access cross-origin PDF content. This access is limited to "same site" documents by the Site Isolation feature on desktop clients, but full cross-origin access is possible on Android versions. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Firefox ESR < 115.16, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость функционала Isolation веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Astra Linux 1.8 firefox, thunderbird An attacker could, via a specially crafted multipart response, execute arbitrary JavaScript under the `resource://devtools` origin. This could allow them to access cross-origin JSON content. This access is limited to "same site" documents by the Site Isolation feature on desktop clients, but full cross-origin access is possible on Android versions. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Firefox ESR < 115.16, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость функционала Site Isolation веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Astra Linux 1.8 firefox, thunderbird It is currently unknown if this issue is exploitable but a condition may arise where the structured clone of certain objects could lead to memory corruption. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird A missing delay in directory upload UI could have made it possible for an attacker to trick a user into granting permission via clickjacking. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с некорректным ограничением визуализированных слоев пользовательского интерфейса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку типа clickjacking («захват клика») [NistCWE(cwe='CWE-1021'), NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) Astra Linux 1.8 firefox, thunderbird By checking the result of calls to `window.open` with specifically set protocol handlers, an attacker could determine if the application which implements that protocol handler is installed. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость компонента window.open веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) Astra Linux 1.8 firefox, thunderbird A website configured to initiate a specially crafted WebTransport session could crash the Firefox process leading to a denial of service condition. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость интерфейса WebTransport API браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-404')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird A potential memory corruption vulnerability could be triggered if an attacker had the ability to trigger an OOM at a specific moment during JIT compilation. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 130, Firefox ESR 115.15, Firefox ESR 128.2, and Thunderbird 128.2. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Firefox ESR < 115.16, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 130, Firefox ESR 128.2, and Thunderbird 128.2. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox Memory safety bugs present in Firefox 130. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 131 and Thunderbird < 131. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 129.0.6668.100 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 129.0.6668.100 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird An attacker was able to achieve code execution in the content process by exploiting a use-after-free in Animation timelines. We have had reports of this vulnerability being exploited in the wild. This vulnerability affects Firefox < 131.0.2, Firefox ESR < 128.3.1, Firefox ESR < 115.16.1, Thunderbird < 131.0.1, Thunderbird < 128.3.1, and Thunderbird < 115.16.0. Уязвимость веб-браузеров Firefox и Firefox ESR связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Обеспечить запуск ПО Firefox, Firefox-ESR и Thunderbird на промежуточном (отличном от максимального) уровне целостности - Обеспечить запуск ПО Firefox, Firefox-ESR и Thunderbird в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО Firefox и Firefox-ESR в пользу ПО Chromium Astra Linux 1.8 firefox When manipulating the selection node cache, an attacker may have been able to cause unexpected behavior, potentially leading to an exploitable crash. This vulnerability affects Firefox < 131.0.3. Уязвимость веб-браузера Firefox связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in AI in Google Chrome prior to 130.0.6723.58 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость реализации технологии AI веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebAuthentication in Google Chrome prior to 130.0.6723.58 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость интерфейса Web Authentication API веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) * Удалить ПО Chromium, если оно не используется * Отказаться от использования ПО Chromium в пользу ПО Firefox * Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail * Выполнить безопасную настройку Chromium: * При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников * Отказаться от установки и использования недоверенных расширений * Отключить JavaScript в браузере. Для этого выполните следующее: * Введите chrome://settings/content/javascript в адресную строку и нажмите Enter * Переключите разрешение на Запретить сайтам использовать JavaScript * Перезапустите Chromium * Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам * Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС * Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in PictureInPicture in Google Chrome prior to 130.0.6723.58 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PictureInPicture веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 130.0.6723.58 allowed a remote attacker who had compromised the renderer process to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость панели инструментов для веб-разработки веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного расширения [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 130.0.6723.58 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 130.0.6723.58 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента управления разрешениями веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in Downloads in Google Chrome prior to 130.0.6723.58 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента загрузки веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Payments in Google Chrome prior to 130.0.6723.58 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента Payments веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Navigations in Google Chrome prior to 130.0.6723.58 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента навигация веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 libreoffice LibreOffice supports Office URI Schemes to enable browser integration of LibreOffice with MS SharePoint server. An additional scheme 'vnd.libreoffice.command' specific to LibreOffice was added. In the affected versions of LibreOffice a link in a browser using that scheme could be constructed with an embedded inner URL that when passed to LibreOffice could call internal macros with arbitrary arguments. This issue affects LibreOffice: from 24.8 before < 24.8.5, from 25.2 before < 25.2.1. Уязвимость пакета офисных программ LibreOffice связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 p7zip 7-Zip XZ Decompression Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of 7-Zip. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the processing of XZ chunked data. Crafted XZ-compressed data can trigger an overflow of a heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-30169. Уязвимость функции MixCoder_Code() компонента XZ Decoder архиватора 7-Zip связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) p7zip: - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 libreoffice Out-of-bounds write vulnerability in The Document Foundation LibreOffice via crafted OOXML documents with mismatched encryption salt parameters. This issue affects LibreOffice: from 26.2 before 26.2.3, from 25.8 before 25.8.7. Уязвимость пакета офисных программ LibreOffice связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 p7zip 7-Zip is a file archiver with a high compression ratio. Versions 26.00 and prior contain a heap buffer overflow vulnerability caused by an under-allocation in the NTFS compressed stream buffer (GetCuSize shift UB), potentially allowing attackers to cause arbitrary code execution or application crashes. CInStream::GetCuSize() in the NTFS handler computes the compression-unit buffer size as (UInt32)1 << (BlockSizeLog + CompressionUnit), and a crafted image with ClusterSizeLog >= 28 and CompressionUnit == 4 drives the exponent to 32, which is undefined behavior and collapses on x86/x64 so _inBuf is allocated as 1 byte. ReadStream_FALSE then writes up to 256 MB of attacker-controlled data into that 1-byte buffer in 64 KB iterations, and because the CInStream object sits only 304 bytes after _inBuf, its vtable pointer is overwritten and the next dispatched call achieves a vtable hijack. On 32-bit builds the overflow is unconditionally reached; on 64-bit it requires the parallel 8 GB _outBuf allocation to succeed, otherwise failing closed to denial of service. The NTFS handler is enabled by default in stock 7z.dll and, via signature-based fallback matching "NTFS " at offset 3, will open a crafted image regardless of file extension during extraction or testing. Version 26.01 fixes the issue. Уязвимость функции CInStream::GetCuSize() обработчика NTFS архиватора 7-Zip связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - Запускайте 7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам 7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 libreoffice LibreOffice can import drawings in the DXF format used by CAD software. A heap buffer overflow existed when importing a DXF polyline. The point count taken from the file was truncated to a 16-bit value when the point buffer was sized, while the full count was used to fill it, so a polyline whose point count exceeded the 16-bit range was written past the end of the buffer. In fixed versions such oversized polylines are rejected. Уязвимость пакета офисных программ LibreOffice связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью специально созданного файла DXF [NistCWE(cwe='CWE-197')] None None libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 libreoffice A heap use-after-free existed when importing the blank-width characters of an ODF number format. A position value read from the document was not checked against the length of the format-code string, so a malformed number format could be processed against memory outside that string. In fixed versions the position is bounds-checked before use. Уязвимость пакета офисных программ LibreOffice связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 libreoffice LibreOffice can import EMF+ graphics, which may be embedded in documents. A heap buffer overflow existed when importing an EMF+ gradient brush. The number of gradient blend points was read from the file and used to compute an allocation size, but that multiplication could overflow, so a small buffer was allocated and then filled as if it were large, writing past its end. In fixed versions the blend-point count is checked against the data actually available before allocating. Уязвимость пакета офисных программ LibreOffice связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально созданного документа [NistCWE(cwe='CWE-190')] None None libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 libreoffice LibreOffice can import presentations in the legacy binary PPT format. A stack buffer overflow existed when importing a colour-replacement record. Two fixed-size colour tables were filled from the file, but the write position was not reset between the two passes over the record, so a file whose combined colour counts exceeded the table size wrote past the end of the tables on the stack. In fixed versions the unused second pass is no longer read into those tables. Уязвимость пакета офисных программ LibreOffice связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью специально созданных файлов PPT [NistCWE(cwe='CWE-121')] None None libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 libreoffice LibreOffice Calc compiles cell formulas when opening a spreadsheet. A heap buffer overflow existed when compiling a very long formula made up of many opening tokens. The array that tracks nesting depth was allocated one element too small for that worst case, so such a formula wrote one element past its end. In fixed versions the array is sized to hold the largest possible nesting. Уязвимость пакета офисных программ LibreOffice связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-193'), NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 libreoffice LibreOffice Calc can import tracked changes from a spreadsheet document. A heap buffer overflow existed when a document reused the same change identifier for two different kinds of change. The importer then treated one change object as a different, larger type and wrote past the end of its allocation. In fixed versions records with a duplicate identifier are rejected. Уязвимость пакета офисных программ LibreOffice связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально созданного документа в формате электронной таблицы [NistCWE(cwe='CWE-787')] None None libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 astra-safepolicy Уязвимость программного обеспечения для настройки безопасности astra-safepolicy связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-284 AV:L/AC:L/Au:N/C:C/I:C/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H Astra Linux 1.8 libreoffice Exposure of Environmental Variables and arbitrary INI file values to an Unauthorized Actor vulnerability in The Document Foundation LibreOffice. URLs could be constructed which expanded environmental variables or INI file values, so potentially sensitive information could be exfiltrated to a remote server on opening a document containing such links. This issue affects LibreOffice: from 24.8 before < 24.8.4. Уязвимость пакета офисных программ LibreOffice связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 hdf5 A buffer overflow in H5O__layout_encode in H5Olayout.c in the HDF HDF5 through 1.10.4 library allows attackers to cause a denial of service via a crafted HDF5 file. This issue was triggered while repacking an HDF5 file, aka "Invalid write of size 2." Уязвимость функции H5O__layout_encode компонента H5Olayout.c библиотеки обработки HDF файлов HDF5 связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного HDF5 файла [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) hdf5: - Отказаться от использования библиотеки hdf5 - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запретить установку бита исполнения для всех пользователей, включая администраторов - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 Astra Linux 1.8 hdf5 An issue was discovered in HDF5 through 1.12.0. A NULL pointer dereference exists in the function H5F_get_nrefs() located in H5Fquery.c. It allows an attacker to cause Denial of Service. Уязвимость функции H5F_get_nrefs() в файле H5Fquery.c. библиотеки HDF5 связана с разыменованием NULL указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) hdf5: - Отказаться от использования библиотеки hdf5 - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запретить установку бита исполнения для всех пользователей, включая администраторов - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 Astra Linux 1.8 djvulibre An issue was discovered IW44EncodeCodec.cpp in djvulibre 3.5.28 in allows attackers to cause a denial of service via divide by zero. Уязвимость компонента IW44EncodeCodec.cpp библиотеки для просмотра, создания, редактирования DjVu-файлов DjVuLibre связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) djvulibre: - Удалить ПО djvulibre, если оно не используется - Отказаться от использования ПО djvulibre в пользу ПО okular - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска djvulibre только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Запускать ПО djvulibre в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 linux-6.1 An issue was discovered in the Linux kernel through 6.0.9. drivers/char/xillybus/xillyusb.c has a race condition and use-after-free during physical removal of a USB device. Уязвимость компонента driver/char/xillybus/xilliusb.c ядра операционной системы Linux связана с одновременным выполнением использования общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=6.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: lgdt3306a: Add a check against null-pointer-def The driver should check whether the client provides the platform_data. The following log reveals it: [ 29.610324] BUG: KASAN: null-ptr-deref in kmemdup+0x30/0x40 [ 29.610730] Read of size 40 at addr 0000000000000000 by task bash/414 [ 29.612820] Call Trace: [ 29.613030] <TASK> [ 29.613201] dump_stack_lvl+0x56/0x6f [ 29.613496] ? kmemdup+0x30/0x40 [ 29.613754] print_report.cold+0x494/0x6b7 [ 29.614082] ? kmemdup+0x30/0x40 [ 29.614340] kasan_report+0x8a/0x190 [ 29.614628] ? kmemdup+0x30/0x40 [ 29.614888] kasan_check_range+0x14d/0x1d0 [ 29.615213] memcpy+0x20/0x60 [ 29.615454] kmemdup+0x30/0x40 [ 29.615700] lgdt3306a_probe+0x52/0x310 [ 29.616339] i2c_device_probe+0x951/0xa90 Уязвимость компонента drivers/media/dvb-frontends/lgdt3306a.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sh: cpuinfo: Fix a warning for CONFIG_CPUMASK_OFFSTACK When CONFIG_CPUMASK_OFFSTACK and CONFIG_DEBUG_PER_CPU_MAPS are selected, cpu_max_bits_warn() generates a runtime warning similar as below when showing /proc/cpuinfo. Fix this by using nr_cpu_ids (the runtime limit) instead of NR_CPUS to iterate CPUs. [ 3.052463] ------------[ cut here ]------------ [ 3.059679] WARNING: CPU: 3 PID: 1 at include/linux/cpumask.h:108 show_cpuinfo+0x5e8/0x5f0 [ 3.070072] Modules linked in: efivarfs autofs4 [ 3.076257] CPU: 0 PID: 1 Comm: systemd Not tainted 5.19-rc5+ #1052 [ 3.099465] Stack : 9000000100157b08 9000000000f18530 9000000000cf846c 9000000100154000 [ 3.109127] 9000000100157a50 0000000000000000 9000000100157a58 9000000000ef7430 [ 3.118774] 90000001001578e8 0000000000000040 0000000000000020 ffffffffffffffff [ 3.128412] 0000000000aaaaaa 1ab25f00eec96a37 900000010021de80 900000000101c890 [ 3.138056] 0000000000000000 0000000000000000 0000000000000000 0000000000aaaaaa [ 3.147711] ffff8000339dc220 0000000000000001 0000000006ab4000 0000000000000000 [ 3.157364] 900000000101c998 0000000000000004 9000000000ef7430 0000000000000000 [ 3.167012] 0000000000000009 000000000000006c 0000000000000000 0000000000000000 [ 3.176641] 9000000000d3de08 9000000001639390 90000000002086d8 00007ffff0080286 [ 3.186260] 00000000000000b0 0000000000000004 0000000000000000 0000000000071c1c [ 3.195868] ... [ 3.199917] Call Trace: [ 3.203941] [<90000000002086d8>] show_stack+0x38/0x14c [ 3.210666] [<9000000000cf846c>] dump_stack_lvl+0x60/0x88 [ 3.217625] [<900000000023d268>] __warn+0xd0/0x100 [ 3.223958] [<9000000000cf3c90>] warn_slowpath_fmt+0x7c/0xcc [ 3.231150] [<9000000000210220>] show_cpuinfo+0x5e8/0x5f0 [ 3.238080] [<90000000004f578c>] seq_read_iter+0x354/0x4b4 [ 3.245098] [<90000000004c2e90>] new_sync_read+0x17c/0x1c4 [ 3.252114] [<90000000004c5174>] vfs_read+0x138/0x1d0 [ 3.258694] [<90000000004c55f8>] ksys_read+0x70/0x100 [ 3.265265] [<9000000000cfde9c>] do_syscall+0x7c/0x94 [ 3.271820] [<9000000000202fe4>] handle_syscall+0xc4/0x160 [ 3.281824] ---[ end trace 8b484262b4b8c24c ]--- Уязвимость функции show_cpuinfo() модуля arch/sh/kernel/cpu/proc.c ядра операционной системы Linux связана с использованием имени с неправильной ссылкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 xorg-server In X.Org X server 20.11 through 21.1.16, when a client application uses easystroke for mouse gestures, the main thread modifies various data structures used by the input thread without acquiring a lock, aka a race condition. In particular, AttachDevice in dix/devices.c does not acquire an input lock. Уязвимость компонента dix/devices.c реализации сервера X Window System X.Org Server связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-413')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:H', score=7.7) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 1.8 imagemagick A heap-based buffer overflow vulnerability was found in the ImageMagick package that can lead to the application crashing. Уязвимость консольного графического редактора ImageMagick связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Для нейтрализации угрозы эксплуатации уязвимости необходимо: 1. Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности 2. Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии 3. Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail 4. При использовании ПО imagemagick выполнять обработку только файлов, полученных из доверенных источников 5. Активировать режим Киоск-2 для непривилегированных пользователей системы 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash 7. Включить режим замкнутой программной среды 8. Отказаться от использования ПО imagemagick в пользу ПО graphicsmagick Astra Linux 1.8 screen socket.c in GNU Screen through 4.9.0, when installed setuid or setgid (the default on platforms such as Arch Linux and FreeBSD), allows local users to send a privileged SIGHUP signal to any PID, causing a denial of service or disruption of the target process. Уязвимость компонента socket.c оконного менеджера GNU Screen связана с неправильным присвоением разрешений для критичного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-732')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 llvm-toolchain-15 llvm-project commit fdbc55a5 was discovered to contain a segmentation fault via the component mlir::IROperand<mlir::OpOperand. Уязвимость набора инструментов для разработки LLVM Toolchain связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 llvm-toolchain-15 llvm-project commit bd456297 was discovered to contain a segmentation fault via the component mlir::Block::getArgument. Уязвимость компонента mlir::Block::getArgument набора инструментов для разработки LLVM Toolchain, набора инструментов для разработки LLVM Toolchain связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 llvm-toolchain-15 llvm-project commit 6c01b5c was discovered to contain a segmentation fault via the component mlir::Type::getDialect(). Уязвимость набора инструментов для разработки LLVM Toolchain связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 llvm-toolchain-15 llvm-project commit a0138390 was discovered to contain a segmentation fault via the component mlir::spirv::TargetEnv::TargetEnv(mlir::spirv::TargetEnvAttr). Уязвимость набора инструментов для разработки LLVM Toolchain связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1 An issue was discovered in drivers/bluetooth/hci_ldisc.c in the Linux kernel 6.2. In hci_uart_tty_ioctl, there is a race condition between HCIUARTSETPROTO and HCIUARTGETPROTO. HCI_UART_PROTO_SET is set before hu->proto is set. A NULL pointer dereference may occur. Уязвимость компонента drivers/bluetooth/hci_ldisc.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bluetooth.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bluetooth в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bluetooth ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install bluetooth /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 imagemagick A vulnerability was found in ImageMagick. This security flaw ouccers as an undefined behaviors of casting double to size_t in svg, mvg and other coders (recurring bugs of CVE-2022-32546). Уязвимость консольного графического редактора ImageMagick связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Для нейтрализации угрозы эксплуатации уязвимости необходимо: 1. Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности 2. Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии 3. Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail 4. При использовании ПО imagemagick выполнять обработку только файлов, полученных из доверенных источников 5. Активировать режим Киоск-2 для непривилегированных пользователей системы 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash 7. Включить режим замкнутой программной среды 8. Отказаться от использования ПО imagemagick в пользу ПО graphicsmagick Astra Linux 1.8 avahi A vulnerability was found in Avahi, where a reachable assertion exists in avahi_dns_packet_append_record. Уязвимость функции avahi_dns_packet_append_record() системы обнаружения сервисов в локальной сети Avahi связана с достижимым утверждением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617'), NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) Для нейтрализации угрозы эксплуатации уязвимостей необходимо в конфигурационном файле Avahi (/etc/avahi/avahi-daemon.conf) установить: ```b disable-user-service-publishing=yes ``` Это запретит публикацию сервисов непривилегированными пользователями. Перезагрузите avahi: ```b sudo systemctl restart avahi-daemon ``` Astra Linux 1.8 avahi A vulnerability was found in Avahi. A reachable assertion exists in the avahi_escape_label() function. Уязвимость функции avahi_escape_label() системы обнаружения сервисов в локальной сети Avahi связана с достижимым утверждением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617'), NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) Для нейтрализации угрозы эксплуатации уязвимости необходимо проверить необходимость локального обнаружения периферийных устройств. Если не нужно, то отключить демон avahi: ```b sudo systemctl disable avahi-daemon. service && sudo systemctl disable avahi-daemon.socket ``` Проверить состояние демона: ```b sudo systemctl status avahi-daemon ``` Astra Linux 1.8 avahi A vulnerability was found in Avahi. A reachable assertion exists in the dbus_set_host_name function. Уязвимость функции dbus_set_host_name() системы обнаружения сервисов в локальной сети Avahi связана с достижимым утверждением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617'), NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) - В файле `/etc/avahi/avahi-daemon.conf` параметр host-name должен быть не пустым и не содержать только "A\.B". По-умолачнию должен быть закомментирован. - Настройте права доступа к файлам Avahi так, чтобы их могли изменять только администраторы системы. - При использовании ОС выполнять обработку файлов, полученных только из доверенных источников - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС Astra Linux 1.8 avahi A vulnerability was found in Avahi. A reachable assertion exists in the avahi_rdata_parse() function. Уязвимость функции avahi_rdata_parse() системы обнаружения сервисов в локальной сети Avahi связана с недостатком использования функции. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617'), NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) В конфигурационном файле Avahi (/etc/avahi/avahi-daemon.conf) установить: ` disable-user-service-publishing=yes ` чтобы запретить публикацию сервисов непривилегированными пользователями. Astra Linux 1.8 avahi A vulnerability was found in Avahi. A reachable assertion exists in the avahi_alternative_host_name() function. Уязвимость функции avahi_alternative_host_name() системы обнаружения сервисов в локальной сети Avahi связана с недостатком использования функции assert(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617'), NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) - В файле `/etc/avahi/avahi-daemon.conf` параметр host-name должен быть не пустым и не содержать только точку ".". По-умолачнию должен быть закомментирован. - Отключите D-Bus интеграцию полностью в `/etc/avahi/avahi-daemon.conf`, установив enable-dbus=no, затем перезапустите демон. - Настройте права доступа к файлам Avahi так, чтобы их могли изменять только администраторы системы. - При использовании ОС выполнять обработку файлов, полученных только из доверенных источников - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС Astra Linux 1.8 libxml2 Xmlsoft Libxml2 v2.11.0 was discovered to contain an out-of-bounds read via the xmlSAX2StartElement() function at /libxml2/SAX2.c. This vulnerability allows attackers to cause a Denial of Service (DoS) via supplying a crafted XML file. NOTE: the vendor's position is that the product does not support the legacy SAX1 interface with custom callbacks; there is a crash even without crafted input. Уязвимость функции xmlsax2startelement() библиотеки libxml2 вызвана переполнением буфера. Эксплуатация уязвимости может позволить нарушителю , действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) - Исключить использование устаревшего интерфейса SAX1 с пользовательскими колбэками - Не передавать недоверенный XML на путь SAX‑разбора с кастомными обработчиками Astra Linux 1.8 busybox A use-after-free vulnerability was discovered in xasprintf function in xfuncs_printf.c:344 in BusyBox v.1.36.1. Уязвимость функции xasprintf (xfuncs_printf.c:344) набора UNIX-утилит командной строки BusyBox связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) busybox: - Использовать утилиты ПО busybox только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО busybox в пользу ПО bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 busybox A use-after-free vulnerability in BusyBox v.1.36.1 allows attackers to cause a denial of service via a crafted awk pattern in the awk.c evaluate function. Уязвимость функции evaluate (awk.c) набора UNIX-утилит командной строки BusyBox связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) - Использовать утилиты ПО busybox только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО busybox в пользу ПО bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 busybox A use-after-free vulnerability was discovered in BusyBox v.1.36.1 via a crafted awk pattern in the awk.c copyvar function. Уязвимость функции copyvar (awk.c) набора UNIX-утилит командной строки BusyBox связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) - Использовать утилиты ПО busybox только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО busybox в пользу ПО bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 edk2 EDK2's Network Package is susceptible to a predictable TCP Initial Sequence Number. This vulnerability can be exploited by an attacker to gain unauthorized access and potentially lead to a loss of Confidentiality. Уязвимость среды разработки для UEFI приложений EDK2 связана с ошибками в коде генератора псевдослучайных чисел. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-338'), NistCWE(cwe='CWE-338')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) edk2: - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. Astra Linux 1.8 libstb stb_vorbis is a single file MIT licensed library for processing ogg vorbis files. A crafted file may trigger out of bounds write in `f->vendor[i] = get8_packet(f);`. The root cause is an integer overflow in `setup_malloc`. A sufficiently large value in the variable `sz` overflows with `sz+7` in and the negative value passes the maximum available memory buffer check. This issue may lead to code execution. Уязвимость библиотек для C/C++ Libstb связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к защищаемой информации [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libstb stb_vorbis is a single file MIT licensed library for processing ogg vorbis files. A crafted file may trigger out of bounds write in `f->vendor[len] = (char)'\0';`. The root cause is that if `len` read in `start_decoder` is a negative number and `setup_malloc` successfully allocates memory in that case, but memory write is done with a negative index `len`. Similarly if len is INT_MAX the integer overflow len+1 happens in `f->vendor = (char*)setup_malloc(f, sizeof(char) * (len+1));` and `f->comment_list[i] = (char*)setup_malloc(f, sizeof(char) * (len+1));`. This issue may lead to code execution. Уязвимость библиотек для C/C++ Libstb связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libstb stb_vorbis is a single file MIT licensed library for processing ogg vorbis files. A crafted file may trigger out of buffer write in `start_decoder` because at maximum `m->submaps` can be 16 but `submap_floor` and `submap_residue` are declared as arrays of 15 elements. This issue may lead to code execution. Уязвимость библиотек для C/C++ Libstb связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libstb stb_vorbis is a single file MIT licensed library for processing ogg vorbis files. A crafted file may trigger memory allocation failure in `start_decoder`. In that case the function returns early, but some of the pointers in `f->comment_list` are left initialized and later `setup_free` is called on these pointers in `vorbis_deinit`. This issue may lead to code execution. Уязвимость компонента stb_vorbis библиотек для C/C++ Libstb связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-415'), NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libstb stb_vorbis is a single file MIT licensed library for processing ogg vorbis files. A crafted file may trigger memory allocation failure in `start_decoder`. In that case the function returns early, the `f->comment_list` is set to `NULL`, but `f->comment_list_length` is not reset. Later in `vorbis_deinit` it tries to dereference the `NULL` pointer. This issue may lead to denial of service. [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libstb stb_vorbis is a single file MIT licensed library for processing ogg vorbis files. A crafted file may trigger out of bounds read in `DECODE` macro when `var` is negative. As it can be seen in the definition of `DECODE_RAW` a negative `var` is a valid value. This issue may be used to leak internal memory allocation information. Уязвимость библиотек для C/C++ Libstb связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 linux-6.1 ntfs3 in the Linux kernel through 6.8.0 allows a physically proximate attacker to read kernel memory by mounting a filesystem (e.g., if a Linux distribution is configured to allow unprivileged mounts of removable media) and then leveraging local access to trigger an out-of-bounds read. A length value can be larger than the amount of memory allocated. NOTE: the supplier's perspective is that there is no vulnerability when an attack requires an attacker-modified filesystem image. Уязвимость компонента ntfs3 ядра операционной системы Linux связана с настройками прав доступа по умолчанию. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-276')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 apr Lax permissions set by the Apache Portable Runtime library on Unix platforms would allow local users read access to named shared memory segments, potentially revealing sensitive application data. This issue does not affect non-Unix platforms, or builds with APR_USE_SHMEM_SHMGET=1 (apr.h) Users are recommended to upgrade to APR version 1.7.5, which fixes this issue. Уязвимость компонента apr.h библиотеки APR связана с неправильным присвоением разрешений для критичного ресурса. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-732')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) haproxy: - Обеспечить возможность запуска haproxy только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 libebml In libebml before 1.4.5, an integer overflow in MemIOCallback.cpp can occur when reading or writing. It may result in buffer overflows. Уязвимость файла MemIOCallback.cpp библиотеки C++ libebml связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) - Удалить ПО libebml, если оно не используется и не является зависимостью используемых приложений - При использовании ПО libebml выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Fix possible NULL dereference in amdgpu_ras_query_error_status_helper() Return invalid error code -EINVAL for invalid block id. Fixes the below: drivers/gpu/drm/amd/amdgpu/amdgpu_ras.c:1183 amdgpu_ras_query_error_status_helper() error: we previously assumed 'info' could be null (see line 1176) Уязвимость компонента drm/amdgpu ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd: check num of link levels when update pcie param In SR-IOV environment, the value of pcie_table->num_of_link_levels will be 0, and num_of_levels - 1 will cause array index out of bounds Уязвимость компонента drivers/gpu/drm/amd/pm/swsmu/smu13/smu_v13_0.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clk: sunxi-ng: h6: Reparent CPUX during PLL CPUX rate change While PLL CPUX clock rate change when CPU is running from it works in vast majority of cases, now and then it causes instability. This leads to system crashes and other undefined behaviour. After a lot of testing (30+ hours) while also doing a lot of frequency switches, we can't observe any instability issues anymore when doing reparenting to stable clock like 24 MHz oscillator. Уязвимость компонента h6 ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: cyapa - add missing input core locking to suspend/resume functions Grab input->mutex during suspend/resume functions like it is done in other input drivers. This fixes the following warning during system suspend/resume cycle on Samsung Exynos5250-based Snow Chromebook: ------------[ cut here ]------------ WARNING: CPU: 1 PID: 1680 at drivers/input/input.c:2291 input_device_enabled+0x68/0x6c Modules linked in: ... CPU: 1 PID: 1680 Comm: kworker/u4:12 Tainted: G W 6.6.0-rc5-next-20231009 #14109 Hardware name: Samsung Exynos (Flattened Device Tree) Workqueue: events_unbound async_run_entry_fn unwind_backtrace from show_stack+0x10/0x14 show_stack from dump_stack_lvl+0x58/0x70 dump_stack_lvl from __warn+0x1a8/0x1cc __warn from warn_slowpath_fmt+0x18c/0x1b4 warn_slowpath_fmt from input_device_enabled+0x68/0x6c input_device_enabled from cyapa_gen3_set_power_mode+0x13c/0x1dc cyapa_gen3_set_power_mode from cyapa_reinitialize+0x10c/0x15c cyapa_reinitialize from cyapa_resume+0x48/0x98 cyapa_resume from dpm_run_callback+0x90/0x298 dpm_run_callback from device_resume+0xb4/0x258 device_resume from async_resume+0x20/0x64 async_resume from async_run_entry_fn+0x40/0x15c async_run_entry_fn from process_scheduled_works+0xbc/0x6a8 process_scheduled_works from worker_thread+0x188/0x454 worker_thread from kthread+0x108/0x140 kthread from ret_from_fork+0x14/0x28 Exception stack(0xf1625fb0 to 0xf1625ff8) ... ---[ end trace 0000000000000000 ]--- ... ------------[ cut here ]------------ WARNING: CPU: 1 PID: 1680 at drivers/input/input.c:2291 input_device_enabled+0x68/0x6c Modules linked in: ... CPU: 1 PID: 1680 Comm: kworker/u4:12 Tainted: G W 6.6.0-rc5-next-20231009 #14109 Hardware name: Samsung Exynos (Flattened Device Tree) Workqueue: events_unbound async_run_entry_fn unwind_backtrace from show_stack+0x10/0x14 show_stack from dump_stack_lvl+0x58/0x70 dump_stack_lvl from __warn+0x1a8/0x1cc __warn from warn_slowpath_fmt+0x18c/0x1b4 warn_slowpath_fmt from input_device_enabled+0x68/0x6c input_device_enabled from cyapa_gen3_set_power_mode+0x13c/0x1dc cyapa_gen3_set_power_mode from cyapa_reinitialize+0x10c/0x15c cyapa_reinitialize from cyapa_resume+0x48/0x98 cyapa_resume from dpm_run_callback+0x90/0x298 dpm_run_callback from device_resume+0xb4/0x258 device_resume from async_resume+0x20/0x64 async_resume from async_run_entry_fn+0x40/0x15c async_run_entry_fn from process_scheduled_works+0xbc/0x6a8 process_scheduled_works from worker_thread+0x188/0x454 worker_thread from kthread+0x108/0x140 kthread from ret_from_fork+0x14/0x28 Exception stack(0xf1625fb0 to 0xf1625ff8) ... ---[ end trace 0000000000000000 ]--- Уязвимость функции cyapa_suspend() ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: can: j1939: enhanced error handling for tightly received RTS messages in xtp_rx_rts_session_new This patch enhances error handling in scenarios with RTS (Request to Send) messages arriving closely. It replaces the less informative WARN_ON_ONCE backtraces with a new error handling method. This provides clearer error messages and allows for the early termination of problematic sessions. Previously, sessions were only released at the end of j1939_xtp_rx_rts(). Potentially this could be reproduced with something like: testj1939 -r vcan0:0x80 & while true; do # send first RTS cansend vcan0 18EC8090#1014000303002301; # send second RTS cansend vcan0 18EC8090#1014000303002301; # send abort cansend vcan0 18EC8090#ff00000000002301; done Уязвимость функции j1939_xtp_rx_rts_session_new() (net/can/j1939/transport.c) ядра операционной системы Linux связана с некорректной обработкой ошибок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: aspeed: Fix memory overwrite if timing is 1600x900 When capturing 1600x900, system could crash when system memory usage is tight. The way to reproduce this issue: 1. Use 1600x900 to display on host 2. Mount ISO through 'Virtual media' on OpenBMC's web 3. Run script as below on host to do sha continuously #!/bin/bash while [ [1] ]; do find /media -type f -printf '"%h/%f"\n' | xargs sha256sum done 4. Open KVM on OpenBMC's web The size of macro block captured is 8x8. Therefore, we should make sure the height of src-buf is 8 aligned to fix this issue. Уязвимость функции aspeed_video_get_resolution() модуля drivers/media/platform/aspeed/aspeed-video.c - драйвера поддержки мультимедийных устройств ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: pci: cx23885: check cx23885_vdev_init() return cx23885_vdev_init() can return a NULL pointer, but that pointer is used in the next line without a check. Add a NULL pointer check and go to the error unwind if it is NULL. Уязвимость компонента media ядра операционной системы Linux связана с разыменованием указателя NULL в функции cx23885_video_register(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: IORING_OP_READ did not correctly consume the provided buffer list when read i/o returned < 0 (except for -EAGAIN and -EIOCBQUEUED return). This can lead to a potential use-after-free when the completion via io_rw_done runs at separate context. Уязвимость компонента rw.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: do not run mt76_unregister_device() on unregistered hw Trying to probe a mt7921e pci card without firmware results in a successful probe where ieee80211_register_hw hasn't been called. When removing the driver, ieee802111_unregister_hw is called unconditionally leading to a kernel NULL pointer dereference. Fix the issue running mt76_unregister_device routine just for registered hw. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: posix-timers: Ensure timer ID search-loop limit is valid posix_timer_add() tries to allocate a posix timer ID by starting from the cached ID which was stored by the last successful allocation. This is done in a loop searching the ID space for a free slot one by one. The loop has to terminate when the search wrapped around to the starting point. But that's racy vs. establishing the starting point. That is read out lockless, which leads to the following problem: CPU0 CPU1 posix_timer_add() start = sig->posix_timer_id; lock(hash_lock); ... posix_timer_add() if (++sig->posix_timer_id < 0) start = sig->posix_timer_id; sig->posix_timer_id = 0; So CPU1 can observe a negative start value, i.e. -1, and the loop break never happens because the condition can never be true: if (sig->posix_timer_id == start) break; While this is unlikely to ever turn into an endless loop as the ID space is huge (INT_MAX), the racy read of the start value caught the attention of KCSAN and Dmitry unearthed that incorrectness. Rewrite it so that all id operations are under the hash lock. Уязвимость компонента posix-timers ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: drop unnecessary user-triggerable WARN_ONCE in verifierl log It's trivial for user to trigger "verifier log line truncated" warning, as verifier has a fixed-sized buffer of 1024 bytes (as of now), and there are at least two pieces of user-provided information that can be output through this buffer, and both can be arbitrarily sized by user: - BTF names; - BTF.ext source code lines strings. Verifier log buffer should be properly sized for typical verifier state output. But it's sort-of expected that this buffer won't be long enough in some circumstances. So let's drop the check. In any case code will work correctly, at worst truncating a part of a single line output. [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Silence a warning in btf_type_id_size() syzbot reported a warning in [1] with the following stacktrace: WARNING: CPU: 0 PID: 5005 at kernel/bpf/btf.c:1988 btf_type_id_size+0x2d9/0x9d0 kernel/bpf/btf.c:1988 ... RIP: 0010:btf_type_id_size+0x2d9/0x9d0 kernel/bpf/btf.c:1988 ... Call Trace: <TASK> map_check_btf kernel/bpf/syscall.c:1024 [inline] map_create+0x1157/0x1860 kernel/bpf/syscall.c:1198 __sys_bpf+0x127f/0x5420 kernel/bpf/syscall.c:5040 __do_sys_bpf kernel/bpf/syscall.c:5162 [inline] __se_sys_bpf kernel/bpf/syscall.c:5160 [inline] __x64_sys_bpf+0x79/0xc0 kernel/bpf/syscall.c:5160 do_syscall_x64 arch/x86/entry/common.c:50 [inline] do_syscall_64+0x39/0xb0 arch/x86/entry/common.c:80 entry_SYSCALL_64_after_hwframe+0x63/0xcd With the following btf [1] DECL_TAG 'a' type_id=4 component_idx=-1 [2] PTR '(anon)' type_id=0 [3] TYPE_TAG 'a' type_id=2 [4] VAR 'a' type_id=3, linkage=static and when the bpf_attr.btf_key_type_id = 1 (DECL_TAG), the following WARN_ON_ONCE in btf_type_id_size() is triggered: if (WARN_ON_ONCE(!btf_type_is_modifier(size_type) && !btf_type_is_var(size_type))) return NULL; Note that 'return NULL' is the correct behavior as we don't want a DECL_TAG type to be used as a btf_{key,value}_type_id even for the case like 'DECL_TAG -> STRUCT'. So there is no correctness issue here, we just want to silence warning. To silence the warning, I added DECL_TAG as one of kinds in btf_type_nosize() which will cause btf_type_id_size() returning NULL earlier without the warning. [1] https://lore.kernel.org/bpf/000000000000e0df8d05fc75ba86@google.com/ [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 opensc A vulnerability was found in OpenSC where PKCS#1 encryption padding removal is not implemented as side-channel resistant. This issue may result in the potential leak of private data. Уязвимость библиотеки работы со смарт-картами OpenSC связана с раскрытием информации через несоответствие. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-203'), NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=5.6) opensc: - Использовать пакет opensc только при отсутствии альтернатив - Обеспечить возможность запуска opensc только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 openssl Issue summary: Checking excessively long invalid RSA public keys may take a long time. Impact summary: Applications that use the function EVP_PKEY_public_check() to check RSA public keys may experience long delays. Where the key that is being checked has been obtained from an untrusted source this may lead to a Denial of Service. When function EVP_PKEY_public_check() is called on RSA public keys, a computation is done to confirm that the RSA modulus, n, is composite. For valid RSA keys, n is a product of two or more large primes and this computation completes quickly. However, if n is an overly large prime, then this computation would take a long time. An application that calls EVP_PKEY_public_check() and supplies an RSA key obtained from an untrusted source could be vulnerable to a Denial of Service attack. The function EVP_PKEY_public_check() is not called from other OpenSSL functions however it is called from the OpenSSL pkey command line application. For that reason that application is also vulnerable if used with the '-pubin' and '-check' options on untrusted data. The OpenSSL SSL/TLS implementation is not affected by this issue. The OpenSSL 3.0 and 3.1 FIPS providers are affected by this issue. Уязвимость функции EVP_PKEY_public_check() инструментария для протоколов TLS и SSL OpenSSL связана с некорректным вводом данных, используемых как условие выполнения цикла. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-606')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 bind9 A malicious client can send many DNS messages over TCP, potentially causing the server to become unstable while the attack is in progress. The server may recover after the attack ceases. Use of ACLs will not mitigate the attack. This issue affects BIND 9 versions 9.18.1 through 9.18.27, 9.19.0 through 9.19.24, and 9.18.11-S1 through 9.18.27-S1. Уязвимость сервера DNS BIND связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) bind9: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска bind9 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 mpg123 An out-of-bounds write flaw was found in mpg123 when handling crafted streams. When decoding PCM, the libmpg123 may write past the end of a heap-located buffer. Consequently, heap corruption may happen, and arbitrary code execution is not discarded. The complexity required to exploit this flaw is considered high as the payload must be validated by the MPEG decoder and the PCM synth before execution. Additionally, to successfully execute the attack, the user must scan through the stream, making web live stream content (such as web radios) a very unlikely attack vector. Уязвимость консольного MPEG аудиоплеера mpg123 связана с возможностью записи за границами выделенной памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H', score=6.7) Astra Linux 1.8 chromium Use after free in Serial in Google Chrome prior to 130.0.6723.116 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Serial веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 131.0.6778.69 allowed a remote attacker to bypass site isolation via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Расширения веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданного расширения [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 131.0.6778.69 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Автозаполнение веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Accessibility in Google Chrome prior to 131.0.6778.69 allowed a remote attacker who had compromised the renderer process to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Accessibility веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Blink in Google Chrome prior to 131.0.6778.69 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость модуля отображения Blink веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FileSystem in Google Chrome prior to 131.0.6778.69 allowed a remote attacker to bypass filesystem restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 thunderbird Using remote content in OpenPGP encrypted messages can lead to the disclosure of plaintext. This vulnerability affects Thunderbird < 128.4.3 and Thunderbird < 132.0.1. Уязвимость реализации стандарта шифрования электронной почты OpenPGP почтового клиента Mozilla Thunderbird связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию [NistCWE(cwe='CWE-312')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 bind9 It is possible to construct a zone such that some queries to it will generate responses containing numerous records in the Additional section. An attacker sending many such queries can cause either the authoritative server itself or an independent resolver to use disproportionate resources processing the queries. Zones will usually need to have been deliberately crafted to attack this exposure. This issue affects BIND 9 versions 9.11.0 through 9.11.37, 9.16.0 through 9.16.50, 9.18.0 through 9.18.32, 9.20.0 through 9.20.4, 9.21.0 through 9.21.3, 9.11.3-S1 through 9.11.37-S1, 9.16.8-S1 through 9.16.50-S1, and 9.18.11-S1 through 9.18.32-S1. Уязвимость сервера DNS BIND связана с асимметричным потреблением ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-405')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл _/etc/named.conf_ 2. Добавить в файл _/etc/named.conf_ строку _minimal-responses yes;_ 3. Сохранить файл 4. Перезапустить службу bind9: ` sudo systemctl restart bind9 ` Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.31, 8.2.* before 8.2.26, 8.3.* before 8.3.14, due to an error in convert.quoted-printable-decode filter certain data can lead to buffer overread by one byte, which can in certain circumstances lead to crashes or disclose content of other memory areas. Уязвимость фильтра convert.quoted-printable-decode интерпретатора языка программирования PHP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L', score=4.8) - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.31, 8.2.* before 8.2.26, 8.3.* before 8.3.14, when using streams with configured proxy and "request_fulluri" option, the URI is not properly sanitized which can lead to HTTP request smuggling and allow the attacker to use the proxy to perform arbitrary HTTP requests originating from the server, thus potentially gaining access to resources not normally available to the external user. Уязвимость конфигурации request_fulluri интерпретатора языка программирования PHP связана с непринятием мер по нейтрализации CRLF-последовательностей в результате использования значения true. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling) [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-74')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N', score=4.8) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.31, 8.2.* before 8.2.26, 8.3.* before 8.3.14, uncontrolled long string inputs to ldap_escape() function on 32-bit systems can cause an integer overflow, resulting in an out-of-bounds write. Уязвимость компонентов dblib и firebird интерпретатора языка программирования PHP связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путём внедрения специально сформированного ввода в приложение [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 131.0.6778.85 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird An attacker could cause a select dropdown to be shown over another tab; this could have led to user confusion and possible spoofing attacks. This vulnerability affects Firefox < 133, Firefox ESR < 128.5, Thunderbird < 133, and Thunderbird < 128.5. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) Astra Linux 1.8 firefox, thunderbird Enhanced Tracking Protection's Strict mode may have inadvertently allowed a CSP `frame-src` bypass and DOM-based XSS through the Google SafeFrame shim in the Web Compatibility extension. This issue could have exposed users to malicious frames masquerading as legitimate content. This vulnerability affects Firefox < 133, Firefox ESR < 128.5, Firefox ESR < 115.18, Thunderbird < 133, Thunderbird < 128.5, and Thunderbird < 115.18. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) Astra Linux 1.8 firefox, thunderbird A crafted URL containing Arabic script and whitespace characters could have hidden the true origin of the page, resulting in a potential spoofing attack. This vulnerability affects Firefox < 133, Firefox ESR < 128.5, Thunderbird < 133, and Thunderbird < 128.5. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) Astra Linux 1.8 firefox, thunderbird The application failed to account for exceptions thrown by the `loadManifestFromFile` method during add-on signature verification. This flaw, triggered by an invalid or unsupported extension manifest, could have caused runtime errors that disrupted the signature validation process. As a result, the enforcement of signature validation for unrelated add-ons may have been bypassed. Signature validation in this context is used to ensure that third-party applications on the user's computer have not tampered with the user's extensions, limiting the impact of this issue. This vulnerability affects Firefox < 133, Firefox ESR < 128.5, Thunderbird < 133, and Thunderbird < 128.5. Уязвимость функции loadManifestFromFile веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с некорректным подтверждением криптографической подписи данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-347')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) Astra Linux 1.8 firefox, thunderbird When handling keypress events, an attacker may have been able to trick a user into bypassing the "Open Executable File?" confirmation dialog. This could have led to malicious code execution. This vulnerability affects Firefox < 133, Firefox ESR < 128.5, Thunderbird < 133, and Thunderbird < 128.5. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 132, Firefox ESR 128.4, and Thunderbird 128.4. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 133, Firefox ESR < 128.5, Thunderbird < 133, and Thunderbird < 128.5. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Malicious websites may have been able to perform user intent confirmation through tapjacking. This could have led to users unknowingly approving the launch of external applications, potentially exposing them to underlying vulnerabilities. This vulnerability affects Firefox < 133 and Thunderbird < 133. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox The incorrect domain may have been displayed in the address bar during an interrupted navigation attempt. This could have led to user confusion and possible spoofing attacks. This vulnerability affects Firefox < 133 and Thunderbird < 133. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird A double-free issue could have occurred in `sec_pkcs7_decoder_start_decrypt()` when handling an error path. Under specific conditions, the same symmetric key could have been freed twice, potentially leading to memory corruption. This vulnerability affects Firefox < 133, Thunderbird < 133, Firefox ESR < 128.7, and Thunderbird < 128.7. Уязвимость функции sec_pkcs7_decoder_start_decrypt() веб-браузера Firefox, почтового клиента Thunderbird связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox `NSC_DeriveKey` inadvertently assumed that the `phKey` parameter is always non-NULL. When it was passed as NULL, a segmentation fault (SEGV) occurred, leading to crashes. This behavior conflicted with the PKCS#11 v3.0 specification, which allows `phKey` to be NULL for certain mechanisms. This vulnerability affects Firefox < 133 and Thunderbird < 133. Уязвимость функции NSC_DeriveKey веб-браузера Firefox, почтового клиента Thunderbird связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox A null pointer dereference may have inadvertently occurred in `pk12util`, and specifically in the `SEC_ASN1DecodeItem_Util` function, when handling malformed or improperly formatted input files. This vulnerability affects Firefox < 133 and Thunderbird < 133. Уязвимость функции SEC_ASN1DecodeItem_Util веб-браузера Firefox, почтового клиента Thunderbird связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Missing thread synchronization primitives could have led to a data race on members of the PlaybackParams structure. This vulnerability affects Firefox < 133 and Thunderbird < 133. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 131.0.6778.108 allowed a remote attacker to potentially exploit object corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 rsync A heap-based buffer overflow flaw was found in the rsync daemon. This issue is due to improper handling of attacker-controlled checksum lengths (s2length) in the code. When MAX_DIGEST_LEN exceeds the fixed SUM_LENGTH (16 bytes), an attacker can write out of bounds in the sum2 buffer. Уязвимость утилиты для передачи и синхронизации файлов Rsync связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) rsync: - При использовании ПО rsync отказаться от использования параметра --protect-args - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 rsync A flaw was found in rsync which could be triggered when rsync compares file checksums. This flaw allows an attacker to manipulate the checksum length (s2length) to cause a comparison between a checksum and uninitialized memory and leak one byte of uninitialized stack data at a time. Уязвимость утилиты для передачи и синхронизации файлов Rsync связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Перекомпилируйте rsync с флагом -ftrivial-auto-var-init=zero для обнуления стека Astra Linux 1.8 rsync A flaw was found in rsync. It could allow a server to enumerate the contents of an arbitrary file from the client's machine. This issue occurs when files are being copied from a client to a server. During this process, the rsync server will send checksums of local data to the client to compare with in order to determine what data needs to be sent to the server. By sending specially constructed checksum values for arbitrary files, an attacker may be able to reconstruct the data of those files byte-by-byte based on the responses from the client. Уязвимость утилиты для передачи и синхронизации файлов Rsync связана с недостатками обработки ошибочных ситуаций. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-390')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N', score=6.1) rsync: - При использовании ПО rsync отказаться от использования параметра --protect-args - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 rsync A path traversal vulnerability exists in rsync. It stems from behavior enabled by the `--inc-recursive` option, a default-enabled option for many client options and can be enabled by the server even if not explicitly enabled by the client. When using the `--inc-recursive` option, a lack of proper symlink verification coupled with deduplication checks occurring on a per-file-list basis could allow a server to write files outside of the client's intended destination directory. A malicious server could write malicious files to arbitrary locations named after valid directories/paths on the client. Уязвимость утилиты для передачи и синхронизации файлов Rsync связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью вредоносного файла [NistCWE(cwe='CWE-22'), NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) rsync: - При использовании ПО rsync отказаться от использования параметра --protect-args - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 rsync A flaw was found in rsync. When using the `--safe-links` option, the rsync client fails to properly verify if a symbolic link destination sent from the server contains another symbolic link within it. This results in a path traversal vulnerability, which may lead to arbitrary file write outside the desired directory. Уязвимость утилиты для передачи и синхронизации файлов Rsync связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-22'), NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) rsync: - При использовании ПО rsync отказаться от использования параметра --protect-args - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 131.0.6778.139 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Translate in Google Chrome prior to 131.0.6778.139 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 131.0.6778.204 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для версий ПО Chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 chromium Out of bounds memory access in V8 in Google Chrome prior to 131.0.6778.204 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для версий ПО Chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 chromium Use after free in Compositing in Google Chrome prior to 131.0.6778.204 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Compositing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 131.0.6778.204 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для версий ПО Chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 bind9 Clients using DNS-over-HTTPS (DoH) can exhaust a DNS resolver's CPU and/or memory by flooding it with crafted valid or invalid HTTP/2 traffic. This issue affects BIND 9 versions 9.18.0 through 9.18.32, 9.20.0 through 9.20.4, 9.21.0 through 9.21.3, and 9.18.11-S1 through 9.18.32-S1. Уязвимость реализации DoH сервера DNS BIND связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Уязвимость напрямую связана с функцией DoH. Если ваш сервер не использует этот протокол, отключите его: ```b sudo nano /etc/bind/named.conf``` В разделе options удалите или закомментируйте строки, связанные с DoH: ```b #doh-service "https://example.com/dns-query";``` Astra Linux 1.8 rsync A flaw was found in rsync. This vulnerability arises from a race condition during rsync's handling of symbolic links. Rsync's default behavior when encountering symbolic links is to skip them. If an attacker replaced a regular file with a symbolic link at the right time, it was possible to bypass the default behavior and traverse symbolic links. Depending on the privileges of the rsync process, an attacker could leak sensitive information, potentially leading to privilege escalation. Уязвимость утилиты для передачи и синхронизации файлов Rsync связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.6) rsync: - При использовании ПО rsync отказаться от использования параметра --protect-args - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 opensc The use-after-free vulnerability was found in the AuthentIC driver in OpenSC packages, occuring in the card enrolment process using pkcs15-init when a user or administrator enrols or modifies cards. An attacker must have physical access to the computer system and requires a crafted USB device or smart card to present the system with specially crafted responses to the APDUs, which are considered high complexity and low severity. This manipulation can allow for compromised card management operations during enrolment. Уязвимость драйвера AuthentIC библиотеки работы со смарт-картами OpenSC связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N', score=3.4) opensc: - Использовать пакет opensc только при отсутствии альтернатив - Обеспечить возможность запуска opensc только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 freeipa A flaw was found in FreeIPA. This issue may allow a remote attacker to craft a HTTP request with parameters that can be interpreted as command arguments to kinit on the FreeIPA server, which can lead to a denial of service. Уязвимость функции run() сценария ipautil.py сервера FreeIPA связана с недостаточной проверкой входных данных в процессе установления сеанса при обработке параметра user (/sip/session/login_password). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании путем отправки специально созданных HTTP-запросов [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) freeipa: - Настройте правила брандмауэра для разрешения только необходимых портов - Разрешите доступ только с доверенных IP-адресов - Настройте FreeIPA для использования SSL/TLS для шифрования всех сетевых коммуникаций - Используйте доверенные сертификаты - Предоставляйте пользователям только те права, которые им необходимы для выполнения их задач - Настройте ограничения на количество попыток входа и используйте CAPTCHA - Настройте правила HBAC для управления доступом к хостам на основе ролей и групп пользователей - Запускать ПО freeipa в изолированной программной среде - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 bind9 Resolver caches and authoritative zone databases that hold significant numbers of RRs for the same hostname (of any RTYPE) can suffer from degraded performance as content is being added or updated, and also when handling client queries for this name. This issue affects BIND 9 versions 9.11.0 through 9.11.37, 9.16.0 through 9.16.50, 9.18.0 through 9.18.27, 9.19.0 through 9.19.24, 9.11.4-S1 through 9.11.37-S1, 9.16.8-S1 through 9.16.50-S1, and 9.18.11-S1 through 9.18.27-S1. Уязвимость сервера DNS BIND связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) В файле `/etc/bind/named.conf.options` добавить параметр для контроля числа записей одного типа: ```bash options { max-records-per-type 100; }; ``` Astra Linux 1.8 bind9 If a server hosts a zone containing a "KEY" Resource Record, or a resolver DNSSEC-validates a "KEY" Resource Record from a DNSSEC-signed domain in cache, a client can exhaust resolver CPU resources by sending a stream of SIG(0) signed requests. This issue affects BIND 9 versions 9.0.0 through 9.11.37, 9.16.0 through 9.16.50, 9.18.0 through 9.18.27, 9.19.0 through 9.19.24, 9.9.3-S1 through 9.11.37-S1, 9.16.8-S1 through 9.16.49-S1, and 9.18.11-S1 through 9.18.27-S1. Уязвимость сервера DNS BIND связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска bind9 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 Hardware logic with insecure de-synchronization in Intel(R) DSA and Intel(R) IAA for some Intel(R) 4th or 5th generation Xeon(R) processors may allow an authorized user to potentially enable escalation of privilege local access Уязвимость ядра операционной системы Linux связана с несоответствием между аппаратной логикой для обработки ошибок и проверкой безопасности. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1264'), NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:N/I:H/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 zabbix User with no permission to any of the Hosts can access and view host count & other statistics through System Information Widget in Global View Dashboard. Уязвимость универсальной системы мониторинга Zabbix связана с неправильным сохранением разрешений. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-281'), NistCWE(cwe='CWE-281')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=4.3) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix When a URL is added to the map element, it is recorded in the database with sequential IDs. Upon adding a new URL, the system retrieves the last sysmapelementurlid value and increments it by one. However, an issue arises when a user manually changes the sysmapelementurlid value by adding sysmapelementurlid + 1. This action prevents others from adding URLs to the map element. Уязвимость системы мониторинга Zabbix связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:L', score=2.2) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix Zabbix allows to configure SMS notifications. AT command injection occurs on "Zabbix Server" because there is no validation of "Number" field on Web nor on Zabbix server side. Attacker can run test of SMS providing specially crafted phone number and execute additional AT commands on modem. Уязвимость универсальной системы мониторинга Zabbix связана с непринятием мер по очистке входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-77'), NistCWE(cwe='CWE-77')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:N/S:C/C:N/I:L/A:N', score=3.0) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix Setting SMS media allows to set GSM modem file. Later this file is used as Linux device. But due everything is a file for Linux, it is possible to set another file, e.g. log file and zabbix_server will try to communicate with it as modem. As a result, log file will be broken with AT commands and small part for log file content will be leaked to UI. Уязвимость универсальной системы мониторинга Zabbix связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-94'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N', score=2.7) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 linux-6.1 In the Linux kernel through 6.7.1, there is a use-after-free in cec_queue_msg_fh, related to drivers/media/cec/core/cec-adap.c and drivers/media/cec/core/cec-api.c. Уязвимость функции rds_recv_track_latency (drivers/media/cec/core/cec-api.c) ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 node-undici Undici is an HTTP/1.1 client, written from scratch for Node.js. Undici already cleared Authorization headers on cross-origin redirects, but did not clear `Proxy-Authentication` headers. This issue has been patched in versions 5.28.3 and 6.6.1. Users are advised to upgrade. There are no known workarounds for this vulnerability. Уязвимость клиента HTTP/1.1 Undici программной платформы Node.js связана с недостаточной защитой служебных данных в результате некорректной очистки заголовков Proxy-Authentication. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:L', score=3.9) node-undici: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать регламентный контроль целостности ОС - Активировать режим замкнутой программной среды - По возможности запускать прикладное ПО в отдельной сессии Astra Linux 1.8 linux-6.1 printer_write in drivers/usb/gadget/function/f_printer.c in the Linux kernel through 6.7.4 does not properly call usb_ep_queue, which might allow attackers to cause a denial of service or have unspecified other impact. Уязвимость функции printer_write компонента drivers/usb/gadget/function/f_printer.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-703')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mlxsw: spectrum_acl_tcam: Fix NULL pointer dereference in error path When calling mlxsw_sp_acl_tcam_region_destroy() from an error path after failing to attach the region to an ACL group, we hit a NULL pointer dereference upon 'region->group->tcam' [1]. Fix by retrieving the 'tcam' pointer using mlxsw_sp_acl_to_tcam(). [1] BUG: kernel NULL pointer dereference, address: 0000000000000000 [...] RIP: 0010:mlxsw_sp_acl_tcam_region_destroy+0xa0/0xd0 [...] Call Trace: mlxsw_sp_acl_tcam_vchunk_get+0x88b/0xa20 mlxsw_sp_acl_tcam_ventry_add+0x25/0xe0 mlxsw_sp_acl_rule_add+0x47/0x240 mlxsw_sp_flower_replace+0x1a9/0x1d0 tc_setup_cb_add+0xdc/0x1c0 fl_hw_replace_filter+0x146/0x1f0 fl_change+0xc17/0x1360 tc_new_tfilter+0x472/0xb90 rtnetlink_rcv_msg+0x313/0x3b0 netlink_rcv_skb+0x58/0x100 netlink_unicast+0x244/0x390 netlink_sendmsg+0x1e4/0x440 ____sys_sendmsg+0x164/0x260 ___sys_sendmsg+0x9a/0xe0 __sys_sendmsg+0x7a/0xc0 do_syscall_64+0x40/0xe0 entry_SYSCALL_64_after_hwframe+0x63/0x6b Уязвимость функции mlxsw_sp_acl_tcam_region_destroy() компонента drivers/net/ethernet/mellanox/mlxsw/spectrum_acl_tcam.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: md: fix kmemleak of rdev->serial If kobject_add() is fail in bind_rdev_to_array(), 'rdev->serial' will be alloc not be freed, and kmemleak occurs. unreferenced object 0xffff88815a350000 (size 49152): comm "mdadm", pid 789, jiffies 4294716910 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc f773277a): [<0000000058b0a453>] kmemleak_alloc+0x61/0xe0 [<00000000366adf14>] __kmalloc_large_node+0x15e/0x270 [<000000002e82961b>] __kmalloc_node.cold+0x11/0x7f [<00000000f206d60a>] kvmalloc_node+0x74/0x150 [<0000000034bf3363>] rdev_init_serial+0x67/0x170 [<0000000010e08fe9>] mddev_create_serial_pool+0x62/0x220 [<00000000c3837bf0>] bind_rdev_to_array+0x2af/0x630 [<0000000073c28560>] md_add_new_disk+0x400/0x9f0 [<00000000770e30ff>] md_ioctl+0x15bf/0x1c10 [<000000006cfab718>] blkdev_ioctl+0x191/0x3f0 [<0000000085086a11>] vfs_ioctl+0x22/0x60 [<0000000018b656fe>] __x64_sys_ioctl+0xba/0xe0 [<00000000e54e675e>] do_syscall_64+0x71/0x150 [<000000008b0ad622>] entry_SYSCALL_64_after_hwframe+0x6c/0x74 Уязвимость функции bind_rdev_to_array() модуля drivers/md/md.c ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix potencial out-of-bounds when buffer offset is invalid I found potencial out-of-bounds when buffer offset fields of a few requests is invalid. This patch set the minimum value of buffer offset field to ->Buffer offset to validate buffer length. Уязвимость функции smb2_get_data_area_len() в модуле fs/smb/server/smb2misc.c реализации сервера протокола SMB ядра операционной системы Linux связана с обращением к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=8.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix slab-out-of-bounds in smb_strndup_from_utf16() If ->NameOffset of smb2_create_req is smaller than Buffer offset of smb2_create_req, slab-out-of-bounds read can happen from smb2_open. This patch set the minimum value of the name offset to the buffer offset to validate name length of smb2_create_req(). Уязвимость компонента ksmbd ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Squashfs: check the inode number is not the invalid value of zero Syskiller has produced an out of bounds access in fill_meta_index(). That out of bounds access is ultimately caused because the inode has an inode number with the invalid value of zero, which was not checked. The reason this causes the out of bounds access is due to following sequence of events: 1. Fill_meta_index() is called to allocate (via empty_meta_index()) and fill a metadata index. It however suffers a data read error and aborts, invalidating the newly returned empty metadata index. It does this by setting the inode number of the index to zero, which means unused (zero is not a valid inode number). 2. When fill_meta_index() is subsequently called again on another read operation, locate_meta_index() returns the previous index because it matches the inode number of 0. Because this index has been returned it is expected to have been filled, and because it hasn't been, an out of bounds access is performed. This patch adds a sanity check which checks that the inode number is not zero when the inode is created and returns -EINVAL if it is. [phillip@squashfs.org.uk: whitespace fix] Уязвимость компонента fs/squashfs ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_set_pipapo: walk over current view on netlink dump The generation mask can be updated while netlink dump is in progress. The pipapo set backend walk iterator cannot rely on it to infer what view of the datastructure is to be used. Add notation to specify if user wants to read/update the set. Based on patch from Florian Westphal. Уязвимость функции nft_map_deactivate() модуля net/netfilter/nf_tables_api.c компонента netfilter ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: usbtv: Remove useless locks in usbtv_video_free() Remove locks calls in usbtv_video_free() because are useless and may led to a deadlock as reported here: https://syzkaller.appspot.com/x/bisect.txt?x=166dc872180000 Also remove usbtv_stop() call since it will be called when unregistering the device. Before 'c838530d230b' this issue would only be noticed if you disconnect while streaming and now it is noticeable even when disconnecting while not streaming. [hverkuil: fix minor spelling mistake in log message] Уязвимость компонента usbtv-video.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: use timestamp to check for set element timeout Add a timestamp field at the beginning of the transaction, store it in the nftables per-netns area. Update set backend .insert, .deactivate and sync gc path to use the timestamp, this avoids that an element expires while control plane transaction is still unfinished. .lookup and .update, which are used from packet path, still use the current time to check if the element has expired. And .get path and dump also since this runs lockless under rcu read size lock. Then, there is async gc which also needs to check the current time since it runs asynchronously from a workqueue. Уязвимость компонента nf_tables netfilter ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или повысить свои привилегии путем отправки специально созданного запроса [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_netem.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_netem в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_netem ``` или ``` kmod list | grep sch_netem ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_netem ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install sch_netem /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Fix use-after-free bugs caused by sco_sock_timeout When the sco connection is established and then, the sco socket is releasing, timeout_work will be scheduled to judge whether the sco disconnection is timeout. The sock will be deallocated later, but it is dereferenced again in sco_sock_timeout. As a result, the use-after-free bugs will happen. The root cause is shown below: Cleanup Thread | Worker Thread sco_sock_release | sco_sock_close | __sco_sock_close | sco_sock_set_timer | schedule_delayed_work | sco_sock_kill | (wait a time) sock_put(sk) //FREE | sco_sock_timeout | sock_hold(sk) //USE The KASAN report triggered by POC is shown below: [ 95.890016] ================================================================== [ 95.890496] BUG: KASAN: slab-use-after-free in sco_sock_timeout+0x5e/0x1c0 [ 95.890755] Write of size 4 at addr ffff88800c388080 by task kworker/0:0/7 ... [ 95.890755] Workqueue: events sco_sock_timeout [ 95.890755] Call Trace: [ 95.890755] <TASK> [ 95.890755] dump_stack_lvl+0x45/0x110 [ 95.890755] print_address_description+0x78/0x390 [ 95.890755] print_report+0x11b/0x250 [ 95.890755] ? __virt_addr_valid+0xbe/0xf0 [ 95.890755] ? sco_sock_timeout+0x5e/0x1c0 [ 95.890755] kasan_report+0x139/0x170 [ 95.890755] ? update_load_avg+0xe5/0x9f0 [ 95.890755] ? sco_sock_timeout+0x5e/0x1c0 [ 95.890755] kasan_check_range+0x2c3/0x2e0 [ 95.890755] sco_sock_timeout+0x5e/0x1c0 [ 95.890755] process_one_work+0x561/0xc50 [ 95.890755] worker_thread+0xab2/0x13c0 [ 95.890755] ? pr_cont_work+0x490/0x490 [ 95.890755] kthread+0x279/0x300 [ 95.890755] ? pr_cont_work+0x490/0x490 [ 95.890755] ? kthread_blkcg+0xa0/0xa0 [ 95.890755] ret_from_fork+0x34/0x60 [ 95.890755] ? kthread_blkcg+0xa0/0xa0 [ 95.890755] ret_from_fork_asm+0x11/0x20 [ 95.890755] </TASK> [ 95.890755] [ 95.890755] Allocated by task 506: [ 95.890755] kasan_save_track+0x3f/0x70 [ 95.890755] __kasan_kmalloc+0x86/0x90 [ 95.890755] __kmalloc+0x17f/0x360 [ 95.890755] sk_prot_alloc+0xe1/0x1a0 [ 95.890755] sk_alloc+0x31/0x4e0 [ 95.890755] bt_sock_alloc+0x2b/0x2a0 [ 95.890755] sco_sock_create+0xad/0x320 [ 95.890755] bt_sock_create+0x145/0x320 [ 95.890755] __sock_create+0x2e1/0x650 [ 95.890755] __sys_socket+0xd0/0x280 [ 95.890755] __x64_sys_socket+0x75/0x80 [ 95.890755] do_syscall_64+0xc4/0x1b0 [ 95.890755] entry_SYSCALL_64_after_hwframe+0x67/0x6f [ 95.890755] [ 95.890755] Freed by task 506: [ 95.890755] kasan_save_track+0x3f/0x70 [ 95.890755] kasan_save_free_info+0x40/0x50 [ 95.890755] poison_slab_object+0x118/0x180 [ 95.890755] __kasan_slab_free+0x12/0x30 [ 95.890755] kfree+0xb2/0x240 [ 95.890755] __sk_destruct+0x317/0x410 [ 95.890755] sco_sock_release+0x232/0x280 [ 95.890755] sock_close+0xb2/0x210 [ 95.890755] __fput+0x37f/0x770 [ 95.890755] task_work_run+0x1ae/0x210 [ 95.890755] get_signal+0xe17/0xf70 [ 95.890755] arch_do_signal_or_restart+0x3f/0x520 [ 95.890755] syscall_exit_to_user_mode+0x55/0x120 [ 95.890755] do_syscall_64+0xd1/0x1b0 [ 95.890755] entry_SYSCALL_64_after_hwframe+0x67/0x6f [ 95.890755] [ 95.890755] The buggy address belongs to the object at ffff88800c388000 [ 95.890755] which belongs to the cache kmalloc-1k of size 1024 [ 95.890755] The buggy address is located 128 bytes inside of [ 95.890755] freed 1024-byte region [ffff88800c388000, ffff88800c388400) [ 95.890755] [ 95.890755] The buggy address belongs to the physical page: [ 95.890755] page: refcount:1 mapcount:0 mapping:0000000000000000 index:0xffff88800c38a800 pfn:0xc388 [ 95.890755] head: order:3 entire_mapcount:0 nr_pages_mapped:0 pincount:0 [ 95.890755] ano ---truncated--- Уязвимость компонента net/bluetooth/sco.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: l2cap: fix null-ptr-deref in l2cap_chan_timeout There is a race condition between l2cap_chan_timeout() and l2cap_chan_del(). When we use l2cap_chan_del() to delete the channel, the chan->conn will be set to null. But the conn could be dereferenced again in the mutex_lock() of l2cap_chan_timeout(). As a result the null pointer dereference bug will happen. The KASAN report triggered by POC is shown below: [ 472.074580] ================================================================== [ 472.075284] BUG: KASAN: null-ptr-deref in mutex_lock+0x68/0xc0 [ 472.075308] Write of size 8 at addr 0000000000000158 by task kworker/0:0/7 [ 472.075308] [ 472.075308] CPU: 0 PID: 7 Comm: kworker/0:0 Not tainted 6.9.0-rc5-00356-g78c0094a146b #36 [ 472.075308] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.14.0-0-g155821a1990b-prebuilt.qemu4 [ 472.075308] Workqueue: events l2cap_chan_timeout [ 472.075308] Call Trace: [ 472.075308] <TASK> [ 472.075308] dump_stack_lvl+0x137/0x1a0 [ 472.075308] print_report+0x101/0x250 [ 472.075308] ? __virt_addr_valid+0x77/0x160 [ 472.075308] ? mutex_lock+0x68/0xc0 [ 472.075308] kasan_report+0x139/0x170 [ 472.075308] ? mutex_lock+0x68/0xc0 [ 472.075308] kasan_check_range+0x2c3/0x2e0 [ 472.075308] mutex_lock+0x68/0xc0 [ 472.075308] l2cap_chan_timeout+0x181/0x300 [ 472.075308] process_one_work+0x5d2/0xe00 [ 472.075308] worker_thread+0xe1d/0x1660 [ 472.075308] ? pr_cont_work+0x5e0/0x5e0 [ 472.075308] kthread+0x2b7/0x350 [ 472.075308] ? pr_cont_work+0x5e0/0x5e0 [ 472.075308] ? kthread_blkcg+0xd0/0xd0 [ 472.075308] ret_from_fork+0x4d/0x80 [ 472.075308] ? kthread_blkcg+0xd0/0xd0 [ 472.075308] ret_from_fork_asm+0x11/0x20 [ 472.075308] </TASK> [ 472.075308] ================================================================== [ 472.094860] Disabling lock debugging due to kernel taint [ 472.096136] BUG: kernel NULL pointer dereference, address: 0000000000000158 [ 472.096136] #PF: supervisor write access in kernel mode [ 472.096136] #PF: error_code(0x0002) - not-present page [ 472.096136] PGD 0 P4D 0 [ 472.096136] Oops: 0002 [#1] PREEMPT SMP KASAN NOPTI [ 472.096136] CPU: 0 PID: 7 Comm: kworker/0:0 Tainted: G B 6.9.0-rc5-00356-g78c0094a146b #36 [ 472.096136] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.14.0-0-g155821a1990b-prebuilt.qemu4 [ 472.096136] Workqueue: events l2cap_chan_timeout [ 472.096136] RIP: 0010:mutex_lock+0x88/0xc0 [ 472.096136] Code: be 08 00 00 00 e8 f8 23 1f fd 4c 89 f7 be 08 00 00 00 e8 eb 23 1f fd 42 80 3c 23 00 74 08 48 88 [ 472.096136] RSP: 0018:ffff88800744fc78 EFLAGS: 00000246 [ 472.096136] RAX: 0000000000000000 RBX: 1ffff11000e89f8f RCX: ffffffff8457c865 [ 472.096136] RDX: 0000000000000001 RSI: 0000000000000008 RDI: ffff88800744fc78 [ 472.096136] RBP: 0000000000000158 R08: ffff88800744fc7f R09: 1ffff11000e89f8f [ 472.096136] R10: dffffc0000000000 R11: ffffed1000e89f90 R12: dffffc0000000000 [ 472.096136] R13: 0000000000000158 R14: ffff88800744fc78 R15: ffff888007405a00 [ 472.096136] FS: 0000000000000000(0000) GS:ffff88806d200000(0000) knlGS:0000000000000000 [ 472.096136] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 472.096136] CR2: 0000000000000158 CR3: 000000000da32000 CR4: 00000000000006f0 [ 472.096136] Call Trace: [ 472.096136] <TASK> [ 472.096136] ? __die_body+0x8d/0xe0 [ 472.096136] ? page_fault_oops+0x6b8/0x9a0 [ 472.096136] ? kernelmode_fixup_or_oops+0x20c/0x2a0 [ 472.096136] ? do_user_addr_fault+0x1027/0x1340 [ 472.096136] ? _printk+0x7a/0xa0 [ 472.096136] ? mutex_lock+0x68/0xc0 [ 472.096136] ? add_taint+0x42/0xd0 [ 472.096136] ? exc_page_fault+0x6a/0x1b0 [ 472.096136] ? asm_exc_page_fault+0x26/0x30 [ 472.096136] ? mutex_lock+0x75/0xc0 [ 472.096136] ? mutex_lock+0x88/0xc0 [ 472.096136] ? mutex_lock+0x75/0xc0 [ 472.096136] l2cap_chan_timeo ---truncated--- Уязвимость компонента net/bluetooth/l2cap_core.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: once more fix the call oder in amdgpu_ttm_move() v2 This reverts drm/amdgpu: fix ftrace event amdgpu_bo_move always move on same heap. The basic problem here is that after the move the old location is simply not available any more. Some fixes were suggested, but essentially we should call the move notification before actually moving things because only this way we have the correct order for DMA-buf and VM move notifications as well. Also rework the statistic handling so that we don't update the eviction counter before the move. v2: add missing NULL check Уязвимость функции amdgpu_bo_move() в модуле drivers/gpu/drm/amd/amdgpu/amdgpu_ttm.c драйвера amdgpu ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firewire: nosy: ensure user_length is taken into account when fetching packet contents Ensure that packet_buffer_get respects the user_length provided. If the length of the head packet exceeds the user_length, packet_buffer_get will now return 0 to signify to the user that no data were read and a larger buffer size is required. Helps prevent user space overflows. Уязвимость компонента drivers/firewire/nosy.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Fixed overflow check in mi_enum_attr() Уязвимость функции mi_enum_attr() компонента fs/ntfs3 ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 webkit2gtk The issue was addressed by adding additional logic. This issue is fixed in Safari 17.5, iOS 16.7.8 and iPadOS 16.7.8, iOS 17.5 and iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, visionOS 1.2, watchOS 10.5. A maliciously crafted webpage may be able to fingerprint the user. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной веб-страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved bounds checks. This issue is fixed in Safari 17.5, iOS 17.5 and iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, visionOS 1.2, watchOS 10.5. Processing maliciously crafted web content may lead to arbitrary code execution. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 17.5, iOS 16.7.8 and iPadOS 16.7.8, iOS 17.5 and iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, visionOS 1.2, watchOS 10.5. Processing a file may lead to unexpected app termination or arbitrary code execution. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-94'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 python-jwcrypto JWCrypto implements JWK, JWS, and JWE specifications using python-cryptography. Prior to version 1.5.6, an attacker can cause a denial of service attack by passing in a malicious JWE Token with a high compression ratio. When the server processes this token, it will consume a lot of memory and processing time. Version 1.5.6 fixes this vulnerability by limiting the maximum token length. Уязвимость функции deserialize() JavaScript-библиотеки для криптографии Jwcrypto связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании путем передачи специально созданного токена JWE [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:N/A:H', score=6.8) - Использовать ПО python-jwcrypto только на низком или отдельно выделенном уровне целостности - При использовании ПО python-jwcrypto выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-jwcrypto только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 gnutls28 A flaw was found in GnuTLS. The Minerva attack is a cryptographic vulnerability that exploits deterministic behavior in systems like GnuTLS, leading to side-channel leaks. In specific scenarios, such as when using the GNUTLS_PRIVKEY_FLAG_REPRODUCIBLE flag, it can result in a noticeable step in nonce size from 513 to 512 bits, exposing a potential timing side-channel. Уязвимость библиотеки безопасности транспортного уровня GnuTLS связана с использованием криптографических алгоритмов, содержащих дефекты. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-327')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.3) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 1.8 gnutls28 A flaw has been discovered in GnuTLS where an application crash can be induced when attempting to verify a specially crafted .pem bundle using the "certtool --verify-chain" command. Уязвимость функции gnutls_x509_trust_list_verify_crt2() библиотеки безопасности транспортного уровня GnuTLS связана с недостатками в обработке исключительных состояний при анализе параметра cert_list_size. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании путем передачи специально созданной цепочки сертификатов в кодировке PEM в certtool [NistCWE(cwe='CWE-248')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H', score=5.0) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 1.8 hdf5 HDF5 through 1.14.3 contains a stack buffer overflow in H5FL_arr_malloc, resulting in the corruption of the instruction pointer and causing denial of service or potential code execution. Уязвимость функции H5FL_arr_malloc() библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 through 1.14.3 contains a heap buffer overflow in H5A__attr_release_table, resulting in the corruption of the instruction pointer and causing denial of service or potential code execution. Уязвимость функции H5A__attr_release_table() библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 through 1.14.3 contains a buffer overflow in H5O__linfo_decode, resulting in the corruption of the instruction pointer and causing denial of service or potential code execution. Уязвимость функции H5O__linfo_decode() библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=5.7) hdf5: - Отказаться от использования библиотеки hdf5 - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запретить установку бита исполнения для всех пользователей, включая администраторов - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 Astra Linux 1.8 node-undici Undici is an HTTP/1.1 client, written from scratch for Node.js. Undici cleared Authorization and Proxy-Authorization headers for `fetch()`, but did not clear them for `undici.request()`. This vulnerability was patched in version(s) 5.28.4 and 6.11.1. Уязвимость веб-клиента Undici связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-285'), NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:L', score=3.9) node-undici: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать регламентный контроль целостности ОС - Активировать режим замкнутой программной среды - По возможности запускать прикладное ПО в отдельной сессии Astra Linux 1.8 node-undici Undici is an HTTP/1.1 client, written from scratch for Node.js. An attacker can alter the `integrity` option passed to `fetch()`, allowing `fetch()` to accept requests as valid even if they have been tampered. This vulnerability was patched in version(s) 5.28.4 and 6.11.1. Уязвимость веб-клиента Undici связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:L/A:N', score=2.6) node-undici: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать регламентный контроль целостности ОС - Активировать режим замкнутой программной среды - По возможности запускать прикладное ПО в отдельной сессии Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: genirq/cpuhotplug, x86/vector: Prevent vector leak during CPU offline The absence of IRQD_MOVE_PCNTXT prevents immediate effectiveness of interrupt affinity reconfiguration via procfs. Instead, the change is deferred until the next instance of the interrupt being triggered on the original CPU. When the interrupt next triggers on the original CPU, the new affinity is enforced within __irq_move_irq(). A vector is allocated from the new CPU, but the old vector on the original CPU remains and is not immediately reclaimed. Instead, apicd->move_in_progress is flagged, and the reclaiming process is delayed until the next trigger of the interrupt on the new CPU. Upon the subsequent triggering of the interrupt on the new CPU, irq_complete_move() adds a task to the old CPU's vector_cleanup list if it remains online. Subsequently, the timer on the old CPU iterates over its vector_cleanup list, reclaiming old vectors. However, a rare scenario arises if the old CPU is outgoing before the interrupt triggers again on the new CPU. In that case irq_force_complete_move() is not invoked on the outgoing CPU to reclaim the old apicd->prev_vector because the interrupt isn't currently affine to the outgoing CPU, and irq_needs_fixup() returns false. Even though __vector_schedule_cleanup() is later called on the new CPU, it doesn't reclaim apicd->prev_vector; instead, it simply resets both apicd->move_in_progress and apicd->prev_vector to 0. As a result, the vector remains unreclaimed in vector_matrix, leading to a CPU vector leak. To address this issue, move the invocation of irq_force_complete_move() before the irq_needs_fixup() call to reclaim apicd->prev_vector, if the interrupt is currently or used to be affine to the outgoing CPU. Additionally, reclaim the vector in __vector_schedule_cleanup() as well, following a warning message, although theoretically it should never see apicd->move_in_progress with apicd->prev_cpu pointing to an offline CPU. Уязвимость компонентов arch/x86/kernel/apic/vector.c, kernel/irq/cpuhotplug.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 git Git is a revision control system. Prior to versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4, local clones may end up hardlinking files into the target repository's object database when source and target repository reside on the same disk. If the source repository is owned by a different user, then those hardlinked files may be rewritten at any point in time by the untrusted user. Cloning local repositories will cause Git to either copy or hardlink files of the source repository into the target repository. This significantly speeds up such local clones compared to doing a "proper" clone and saves both disk space and compute time. When cloning a repository located on the same disk that is owned by a different user than the current user we also end up creating such hardlinks. These files will continue to be owned and controlled by the potentially-untrusted user and can be rewritten by them at will in the future. The problem has been patched in versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4. Уязвимость распределенной системы контроля версий Git связана с доступом к базе данных объектов целевого репозитория другого пользователя. Эксплуатация уязвимости может позволить нарушителю создавать жесткие ссылки на произвольные файлы, доступные для чтения, в той же файловой системе [NistCWE(cwe='CWE-281')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:C/C:N/I:L/A:L', score=3.9) jgit: - Удалить ПО jgit, если оно не используется и не является зависимостью других пакетов - При использовании ПО jgit выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды git: - Удалить ПО git, если оно не используется - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) git-lfs: - Удалить ПО git-lfs, если оно не используется - Обеспечить возможность запуска ПО git-lfs только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) golang-github-containers-buildah: - Обеспечить возможность использования библиотеки golang-github-containers-buildah только доверенными пользователями ОС - Включить режим замкнутой программной среды - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить мандатный контроль целостности (МКЦ) golang-github-dvsekhvalnov-jose2go: - Удалить библиотеку golang-github-dvsekhvalnov-jose2go, если она не используется и не является зависимостью других пакетов - Запускать ПО, использующее библиотеку golang-github-dvsekhvalnov-jose2go, в изолированной программной среде с применением инструмента Firejail - Использовать ПО, использующее библиотеку golang-github-dvsekhvalnov-jose2go, только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 git Git is a revision control system. Prior to versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4, when cloning a local source repository that contains symlinks via the filesystem, Git may create hardlinks to arbitrary user-readable files on the same filesystem as the target repository in the `objects/` directory. Cloning a local repository over the filesystem may creating hardlinks to arbitrary user-owned files on the same filesystem in the target Git repository's `objects/` directory. When cloning a repository over the filesystem (without explicitly specifying the `file://` protocol or `--no-local`), the optimizations for local cloning will be used, which include attempting to hard link the object files instead of copying them. While the code includes checks against symbolic links in the source repository, which were added during the fix for CVE-2022-39253, these checks can still be raced because the hard link operation ultimately follows symlinks. If the object on the filesystem appears as a file during the check, and then a symlink during the operation, this will allow the adversary to bypass the check and create hardlinks in the destination objects directory to arbitrary, user-readable files. The problem has been patched in versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4. Уязвимость распределенной системы контроля версий Git связана с использованием предустановленных данных, связанных с безопасностью. Эксплуатация уязвимости может позволить нарушителю создавать жесткие ссылки на произвольные файлы, доступные для чтения, в той же файловой системе [NistCWE(cwe='CWE-547')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:C/C:N/I:L/A:L', score=3.9) - Удалить ПО git, если оно не используется - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) - Используйте флаг --no-local для отключения жёстких ссылок при клонировании репоитория. Пример: `git clone --no-local` - В случае если использование флага `--no-local` невозможно, то при клонировании репозитория указывайте протокол file://: это отключает оптимизацию жёстких ссылок. Пример: `git clone file:///path/to/source/repo` - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды Astra Linux 1.8 git Git is a revision control system. The Git project recommends to avoid working in untrusted repositories, and instead to clone it first with `git clone --no-local` to obtain a clean copy. Git has specific protections to make that a safe operation even with an untrusted source repository, but vulnerabilities allow those protections to be bypassed. In the context of cloning local repositories owned by other users, this vulnerability has been covered in CVE-2024-32004. But there are circumstances where the fixes for CVE-2024-32004 are not enough: For example, when obtaining a `.zip` file containing a full copy of a Git repository, it should not be trusted by default to be safe, as e.g. hooks could be configured to run within the context of that repository. The problem has been patched in versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4. As a workaround, avoid using Git in repositories that have been obtained via archives from untrusted sources. Уязвимость распределенной системы контроля версий Git связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю обойти защиту при клонировании ненадежных репозиториев [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:P/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=7.3) jgit: - Удалить ПО jgit, если оно не используется и не является зависимостью других пакетов - При использовании ПО jgit выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды git: - Удалить ПО git, если оно не используется - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) git-lfs: - Удалить ПО git-lfs, если оно не используется - Обеспечить возможность запуска ПО git-lfs только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) golang-github-containers-buildah: - Обеспечить возможность использования библиотеки golang-github-containers-buildah только доверенными пользователями ОС - Включить режим замкнутой программной среды - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить мандатный контроль целостности (МКЦ) golang-github-dvsekhvalnov-jose2go: - Удалить библиотеку golang-github-dvsekhvalnov-jose2go, если она не используется и не является зависимостью других пакетов - Запускать ПО, использующее библиотеку golang-github-dvsekhvalnov-jose2go, в изолированной программной среде с применением инструмента Firejail - Использовать ПО, использующее библиотеку golang-github-dvsekhvalnov-jose2go, только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 hdf5 HDF5 library through 1.14.3 has memory corruption in H5A__close resulting in the corruption of the instruction pointer and causing denial of service or potential code execution. Уязвимость функции H5A__close() библиотеки HDF5 связана с переполнением буфера в куче, что приводит к повреждению указателя инструкций. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 has a SEGV in H5T_close_real in H5T.c, resulting in a corrupted instruction pointer. Уязвимость функции H5T_close_real() в файле H5T.c библиотеки HDF5 связана с выходом операции за границы буфера в памяти, что приводит к повреждению указателя инструкций. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=5.7) hdf5: - Отказаться от использования библиотеки hdf5 - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запретить установку бита исполнения для всех пользователей, включая администраторов - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 has a SEGV in H5VM_memcpyvv in H5VM.c. Уязвимость функции H5VM_memcpyvv() в файле H5VM.c библиотеки HDF5 связана с чтением за пределами границ памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 contains a heap-based buffer overflow in H5T_copy_reopen in H5T.c, resulting in the corruption of the instruction pointer. Уязвимость функции H5T_copy_reopen() в файле H5T.c библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 contains a heap-based buffer over-read in H5F_addr_decode_len in H5Fint.c, resulting in the corruption of the instruction pointer. Уязвимость функции H5F_addr_decode_len() в файле H5Fint.c библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: efi: libstub: only free priv.runtime_map when allocated priv.runtime_map is only allocated when efi_novamap is not set. Otherwise, it is an uninitialized value. In the error path, it is freed unconditionally. Avoid passing an uninitialized value to free_pool. Free priv.runtime_map only when it was allocated. This bug was discovered and resolved using Coverity Static Analysis Security Testing (SAST) by Synopsys, Inc. Уязвимость компонента libstub ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipvlan: Dont Use skb->sk in ipvlan_process_v{4,6}_outbound Raw packet from PF_PACKET socket ontop of an IPv6-backed ipvlan device will hit WARN_ON_ONCE() in sk_mc_loop() through sch_direct_xmit() path. WARNING: CPU: 2 PID: 0 at net/core/sock.c:775 sk_mc_loop+0x2d/0x70 Modules linked in: sch_netem ipvlan rfkill cirrus drm_shmem_helper sg drm_kms_helper CPU: 2 PID: 0 Comm: swapper/2 Kdump: loaded Not tainted 6.9.0+ #279 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:sk_mc_loop+0x2d/0x70 Code: fa 0f 1f 44 00 00 65 0f b7 15 f7 96 a3 4f 31 c0 66 85 d2 75 26 48 85 ff 74 1c RSP: 0018:ffffa9584015cd78 EFLAGS: 00010212 RAX: 0000000000000011 RBX: ffff91e585793e00 RCX: 0000000002c6a001 RDX: 0000000000000000 RSI: 0000000000000040 RDI: ffff91e589c0f000 RBP: ffff91e5855bd100 R08: 0000000000000000 R09: 3d00545216f43d00 R10: ffff91e584fdcc50 R11: 00000060dd8616f4 R12: ffff91e58132d000 R13: ffff91e584fdcc68 R14: ffff91e5869ce800 R15: ffff91e589c0f000 FS: 0000000000000000(0000) GS:ffff91e898100000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f788f7c44c0 CR3: 0000000008e1a000 CR4: 00000000000006f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <IRQ> ? __warn (kernel/panic.c:693) ? sk_mc_loop (net/core/sock.c:760) ? report_bug (lib/bug.c:201 lib/bug.c:219) ? handle_bug (arch/x86/kernel/traps.c:239) ? exc_invalid_op (arch/x86/kernel/traps.c:260 (discriminator 1)) ? asm_exc_invalid_op (./arch/x86/include/asm/idtentry.h:621) ? sk_mc_loop (net/core/sock.c:760) ip6_finish_output2 (net/ipv6/ip6_output.c:83 (discriminator 1)) ? nf_hook_slow (net/netfilter/core.c:626) ip6_finish_output (net/ipv6/ip6_output.c:222) ? __pfx_ip6_finish_output (net/ipv6/ip6_output.c:215) ipvlan_xmit_mode_l3 (drivers/net/ipvlan/ipvlan_core.c:602) ipvlan ipvlan_start_xmit (drivers/net/ipvlan/ipvlan_main.c:226) ipvlan dev_hard_start_xmit (net/core/dev.c:3594) sch_direct_xmit (net/sched/sch_generic.c:343) __qdisc_run (net/sched/sch_generic.c:416) net_tx_action (net/core/dev.c:5286) handle_softirqs (kernel/softirq.c:555) __irq_exit_rcu (kernel/softirq.c:589) sysvec_apic_timer_interrupt (arch/x86/kernel/apic/apic.c:1043) The warning triggers as this: packet_sendmsg packet_snd //skb->sk is packet sk __dev_queue_xmit __dev_xmit_skb //q->enqueue is not NULL __qdisc_run sch_direct_xmit dev_hard_start_xmit ipvlan_start_xmit ipvlan_xmit_mode_l3 //l3 mode ipvlan_process_outbound //vepa flag ipvlan_process_v6_outbound ip6_local_out __ip6_finish_output ip6_finish_output2 //multicast packet sk_mc_loop //sk->sk_family is AF_PACKET Call ip{6}_local_out() with NULL sk in ipvlan as other tunnels to fix this. Уязвимость компонента ipvlan ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: compress: don't allow unaligned truncation on released compress inode f2fs image may be corrupted after below testcase: - mkfs.f2fs -O extra_attr,compression -f /dev/vdb - mount /dev/vdb /mnt/f2fs - touch /mnt/f2fs/file - f2fs_io setflags compression /mnt/f2fs/file - dd if=/dev/zero of=/mnt/f2fs/file bs=4k count=4 - f2fs_io release_cblocks /mnt/f2fs/file - truncate -s 8192 /mnt/f2fs/file - umount /mnt/f2fs - fsck.f2fs /dev/vdb [ASSERT] (fsck_chk_inode_blk:1256) --> ino: 0x5 has i_blocks: 0x00000002, but has 0x3 blocks [FSCK] valid_block_count matching with CP [Fail] [0x4, 0x5] [FSCK] other corrupted bugs [Fail] The reason is: partial truncation assume compressed inode has reserved blocks, after partial truncation, valid block count may change w/o .i_blocks and .total_valid_block_count update, result in corruption. This patch only allow cluster size aligned truncation on released compress inode for fixing. Уязвимость компонента f2fs ядра операционной системы Linux связана с неправильной реализацией последовательности выполняемых действий. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 has a heap-based buffer overflow in H5D__scatter_mem in H5Dscatgath.c. Уязвимость функции H5D__scatter_mem() в файле H5Dscatgath.c библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 has a heap buffer overflow in H5O__mtime_new_encode in H5Omtime.c. Уязвимость функции H5O__mtime_new_encode() в файле H5Omtime.c библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 has a heap-based buffer overflow in H5O__layout_encode in H5Olayout.c, resulting in the corruption of the instruction pointer. Уязвимость функции H5O__layout_encode() в файле H5Olayout.c библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=5.7) hdf5: - Отказаться от использования библиотеки hdf5 - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запретить установку бита исполнения для всех пользователей, включая администраторов - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: compress: fix to cover {reserve,release}_compress_blocks() w/ cp_rwsem lock It needs to cover {reserve,release}_compress_blocks() w/ cp_rwsem lock to avoid racing with checkpoint, otherwise, filesystem metadata including blkaddr in dnode, inode fields and .total_valid_block_count may be corrupted after SPO case. Уязвимость функций reserve_compress_blocks/release_compress_blocks компонента fs/f2fs/file.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fpga: region: add owner module and take its refcount The current implementation of the fpga region assumes that the low-level module registers a driver for the parent device and uses its owner pointer to take the module's refcount. This approach is problematic since it can lead to a null pointer dereference while attempting to get the region during programming if the parent device does not have a driver. To address this problem, add a module owner pointer to the fpga_region struct and use it to take the module's refcount. Modify the functions for registering a region to take an additional owner module parameter and rename them to avoid conflicts. Use the old function names for helper macros that automatically set the module that registers the region as the owner. This ensures compatibility with existing low-level control modules and reduces the chances of registering a region without setting the owner. Also, update the documentation to keep it consistent with the new interface for registering an fpga region. Уязвимость компонентов fpga-region.rst, fpga-region.c, fpga-region.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 ffmpeg FFmpeg n6.1.1 has an Out-of-bounds Read via libavcodec/ppc/vp8dsp_altivec.c, static const vec_s8 h_subpel_filters_outer Уязвимость компонента libavcodec/ppc/vp8dsp_altivec.c мультимедийной библиотеки FFmpeg связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg FFmpeg n7.0 is affected by a Double Free via the rkmpp_retrieve_frame function within libavcodec/rkmppdec.c. Уязвимость функции rkmpp_retrieve_frame компонента libavcodec/rkmppdec.c мультимедийной библиотеки FFmpeg связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: eeprom: at24: fix memory corruption race condition If the eeprom is not accessible, an nvmem device will be registered, the read will fail, and the device will be torn down. If another driver accesses the nvmem device after the teardown, it will reference invalid memory. Move the failure point before registering the nvmem device. Уязвимость компонента drivers/misc/eeprom/at24.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix UAF in smb2_reconnect_server() The UAF bug is due to smb2_reconnect_server() accessing a session that is already being teared down by another thread that is executing __cifs_put_smb_ses(). This can happen when (a) the client has connection to the server but no session or (b) another thread ends up setting @ses->ses_status again to something different than SES_EXITING. To fix this, we need to make sure to unconditionally set @ses->ses_status to SES_EXITING and prevent any other threads from setting a new status while we're still tearing it down. The following can be reproduced by adding some delay to right after the ipc is freed in __cifs_put_smb_ses() - which will give smb2_reconnect_server() worker a chance to run and then accessing @ses->ipc: kinit ... mount.cifs //srv/share /mnt/1 -o sec=krb5,nohandlecache,echo_interval=10 [disconnect srv] ls /mnt/1 &>/dev/null sleep 30 kdestroy [reconnect srv] sleep 10 umount /mnt/1 ... CIFS: VFS: Verify user has a krb5 ticket and keyutils is installed CIFS: VFS: \\srv Send error in SessSetup = -126 CIFS: VFS: Verify user has a krb5 ticket and keyutils is installed CIFS: VFS: \\srv Send error in SessSetup = -126 general protection fault, probably for non-canonical address 0x6b6b6b6b6b6b6b6b: 0000 [#1] PREEMPT SMP NOPTI CPU: 3 PID: 50 Comm: kworker/3:1 Not tainted 6.9.0-rc2 #1 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-1.fc39 04/01/2014 Workqueue: cifsiod smb2_reconnect_server [cifs] RIP: 0010:__list_del_entry_valid_or_report+0x33/0xf0 Code: 4f 08 48 85 d2 74 42 48 85 c9 74 59 48 b8 00 01 00 00 00 00 ad de 48 39 c2 74 61 48 b8 22 01 00 00 00 00 74 69 <48> 8b 01 48 39 f8 75 7b 48 8b 72 08 48 39 c6 0f 85 88 00 00 00 b8 RSP: 0018:ffffc900001bfd70 EFLAGS: 00010a83 RAX: dead000000000122 RBX: ffff88810da53838 RCX: 6b6b6b6b6b6b6b6b RDX: 6b6b6b6b6b6b6b6b RSI: ffffffffc02f6878 RDI: ffff88810da53800 RBP: ffff88810da53800 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000001 R12: ffff88810c064000 R13: 0000000000000001 R14: ffff88810c064000 R15: ffff8881039cc000 FS: 0000000000000000(0000) GS:ffff888157c00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fe3728b1000 CR3: 000000010caa4000 CR4: 0000000000750ef0 PKRU: 55555554 Call Trace: <TASK> ? die_addr+0x36/0x90 ? exc_general_protection+0x1c1/0x3f0 ? asm_exc_general_protection+0x26/0x30 ? __list_del_entry_valid_or_report+0x33/0xf0 __cifs_put_smb_ses+0x1ae/0x500 [cifs] smb2_reconnect_server+0x4ed/0x710 [cifs] process_one_work+0x205/0x6b0 worker_thread+0x191/0x360 ? __pfx_worker_thread+0x10/0x10 kthread+0xe2/0x110 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x34/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Уязвимость функции smb2_reconnect_server() в модуле fs/smb/client/smb2pdu.c реализации клиента протокола SMB ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: check A-MSDU format more carefully If it looks like there's another subframe in the A-MSDU but the header isn't fully there, we can end up reading data out of bounds, only to discard later. Make this a bit more careful and check if the subframe header can even be present. Уязвимость компонента wifi ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pmdomain: ti: Add a null pointer check to the omap_prm_domain_init devm_kasprintf() returns a pointer to dynamically allocated memory which can be NULL upon failure. Ensure the allocation was successful by checking the pointer validity. Уязвимость компонента omap_prm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dyndbg: fix old BUG_ON in >control parser Fix a BUG_ON from 2009. Even if it looks "unreachable" (I didn't really look), lets make sure by removing it, doing pr_err and return -EINVAL instead. Уязвимость компонента dyndbg ядра операционной системы Linux связана с неправильной обработкой ошибок в функции ddebug_tokenize(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: qgroup: fix qgroup prealloc rsv leak in subvolume operations Create subvolume, create snapshot and delete subvolume all use btrfs_subvolume_reserve_metadata() to reserve metadata for the changes done to the parent subvolume's fs tree, which cannot be mediated in the normal way via start_transaction. When quota groups (squota or qgroups) are enabled, this reserves qgroup metadata of type PREALLOC. Once the operation is associated to a transaction, we convert PREALLOC to PERTRANS, which gets cleared in bulk at the end of the transaction. However, the error paths of these three operations were not implementing this lifecycle correctly. They unconditionally converted the PREALLOC to PERTRANS in a generic cleanup step regardless of errors or whether the operation was fully associated to a transaction or not. This resulted in error paths occasionally converting this rsv to PERTRANS without calling record_root_in_trans successfully, which meant that unless that root got recorded in the transaction by some other thread, the end of the transaction would not free that root's PERTRANS, leaking it. Ultimately, this resulted in hitting a WARN in CONFIG_BTRFS_DEBUG builds at unmount for the leaked reservation. The fix is to ensure that every qgroup PREALLOC reservation observes the following properties: 1. any failure before record_root_in_trans is called successfully results in freeing the PREALLOC reservation. 2. after record_root_in_trans, we convert to PERTRANS, and now the transaction owns freeing the reservation. This patch enforces those properties on the three operations. Without it, generic/269 with squotas enabled at mkfs time would fail in ~5-10 runs on my system. With this patch, it ran successfully 1000 times in a row. Уязвимость компонентов inode.c, ioctl.c, root-tree.c, root-tree.h ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_sock: Fix not validating setsockopt user input Check user input length before copying data. Уязвимость компонента hci_sock.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: ISO: Fix not validating setsockopt user input Check user input length before copying data. Уязвимость компонента iso.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: RFCOMM: Fix not validating setsockopt user input syzbot reported rfcomm_sock_setsockopt_old() is copying data without checking user input length. BUG: KASAN: slab-out-of-bounds in copy_from_sockptr_offset include/linux/sockptr.h:49 [inline] BUG: KASAN: slab-out-of-bounds in copy_from_sockptr include/linux/sockptr.h:55 [inline] BUG: KASAN: slab-out-of-bounds in rfcomm_sock_setsockopt_old net/bluetooth/rfcomm/sock.c:632 [inline] BUG: KASAN: slab-out-of-bounds in rfcomm_sock_setsockopt+0x893/0xa70 net/bluetooth/rfcomm/sock.c:673 Read of size 4 at addr ffff8880209a8bc3 by task syz-executor632/5064 Уязвимость компонента sock.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb3: missing lock when picking channel Coverity spotted a place where we should have been holding the channel lock when accessing the ses channel index. Addresses-Coverity: 1582039 ("Data race condition (MISSING_LOCK)") Уязвимость компонента transport.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/hugetlb: fix missing hugetlb_lock for resv uncharge There is a recent report on UFFDIO_COPY over hugetlb: https://lore.kernel.org/all/000000000000ee06de0616177560@google.com/ 350: lockdep_assert_held(&hugetlb_lock); Should be an issue in hugetlb but triggered in an userfault context, where it goes into the unlikely path where two threads modifying the resv map together. Mike has a fix in that path for resv uncharge but it looks like the locking criteria was overlooked: hugetlb_cgroup_uncharge_folio_rsvd() will update the cgroup pointer, so it requires to be called with the lock held. Уязвимость компонента hugetlb.c ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: msft: fix slab-use-after-free in msft_do_close() Tying the msft->data lifetime to hdev by freeing it in hci_release_dev() to fix the following case: [use] msft_do_close() msft = hdev->msft_data; if (!msft) ...(1) <- passed. return; mutex_lock(&msft->filter_lock); ...(4) <- used after freed. [free] msft_unregister() msft = hdev->msft_data; hdev->msft_data = NULL; ...(2) kfree(msft); ...(3) <- msft is freed. ================================================================== BUG: KASAN: slab-use-after-free in __mutex_lock_common kernel/locking/mutex.c:587 [inline] BUG: KASAN: slab-use-after-free in __mutex_lock+0x8f/0xc30 kernel/locking/mutex.c:752 Read of size 8 at addr ffff888106cbbca8 by task kworker/u5:2/309 Уязвимость функции msft_do_close() в модуле net/bluetooth/msft.c реализации протокола Bluetooth ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/arm/malidp: fix a possible null pointer dereference In malidp_mw_connector_reset, new memory is allocated with kzalloc, but no check is performed. In order to prevent null pointer dereferencing, ensure that mw_state is checked before calling __drm_atomic_helper_connector_reset. Уязвимость функции malidp_mw_connector_reset() в модуле drivers/gpu/drm/arm/malidp_mw.c драйвера ARM Mali Display Processor ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ppdev: Add an error check in register_device In register_device, the return value of ida_simple_get is unchecked, in witch ida_simple_get will use an invalid index value. To address this issue, index should be checked after ida_simple_get. When the index value is abnormal, a warning message should be printed, the port should be dropped, and the value should be recorded. Уязвимость функции register_device() в модуле drivers/char/ppdev.c драйвера символьных устройств ядра операционной системы Linux связана с обращением к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rtnetlink: Correct nested IFLA_VF_VLAN_LIST attribute validation Each attribute inside a nested IFLA_VF_VLAN_LIST is assumed to be a struct ifla_vf_vlan_info so the size of such attribute needs to be at least of sizeof(struct ifla_vf_vlan_info) which is 14 bytes. The current size validation in do_setvfinfo is against NLA_HDRLEN (4 bytes) which is less than sizeof(struct ifla_vf_vlan_info) so this validation is not enough and a too small attribute might be cast to a struct ifla_vf_vlan_info, this might result in an out of bands read access when accessing the saved (casted) entry in ivvl. Уязвимость функции do_setvfinfo() в модуле net/core/rtnetlink.c реализации стека протоколов TCP/IP ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/hugetlb: fix DEBUG_LOCKS_WARN_ON(1) when dissolve_free_hugetlb_folio() When I did memory failure tests recently, below warning occurs: DEBUG_LOCKS_WARN_ON(1) WARNING: CPU: 8 PID: 1011 at kernel/locking/lockdep.c:232 __lock_acquire+0xccb/0x1ca0 Modules linked in: mce_inject hwpoison_inject CPU: 8 PID: 1011 Comm: bash Kdump: loaded Not tainted 6.9.0-rc3-next-20240410-00012-gdb69f219f4be #3 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.14.0-0-g155821a1990b-prebuilt.qemu.org 04/01/2014 RIP: 0010:__lock_acquire+0xccb/0x1ca0 RSP: 0018:ffffa7a1c7fe3bd0 EFLAGS: 00000082 RAX: 0000000000000000 RBX: eb851eb853975fcf RCX: ffffa1ce5fc1c9c8 RDX: 00000000ffffffd8 RSI: 0000000000000027 RDI: ffffa1ce5fc1c9c0 RBP: ffffa1c6865d3280 R08: ffffffffb0f570a8 R09: 0000000000009ffb R10: 0000000000000286 R11: ffffffffb0f2ad50 R12: ffffa1c6865d3d10 R13: ffffa1c6865d3c70 R14: 0000000000000000 R15: 0000000000000004 FS: 00007ff9f32aa740(0000) GS:ffffa1ce5fc00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007ff9f3134ba0 CR3: 00000008484e4000 CR4: 00000000000006f0 Call Trace: <TASK> lock_acquire+0xbe/0x2d0 _raw_spin_lock_irqsave+0x3a/0x60 hugepage_subpool_put_pages.part.0+0xe/0xc0 free_huge_folio+0x253/0x3f0 dissolve_free_huge_page+0x147/0x210 __page_handle_poison+0x9/0x70 memory_failure+0x4e6/0x8c0 hard_offline_page_store+0x55/0xa0 kernfs_fop_write_iter+0x12c/0x1d0 vfs_write+0x380/0x540 ksys_write+0x64/0xe0 do_syscall_64+0xbc/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7ff9f3114887 RSP: 002b:00007ffecbacb458 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 000000000000000c RCX: 00007ff9f3114887 RDX: 000000000000000c RSI: 0000564494164e10 RDI: 0000000000000001 RBP: 0000564494164e10 R08: 00007ff9f31d1460 R09: 000000007fffffff R10: 0000000000000000 R11: 0000000000000246 R12: 000000000000000c R13: 00007ff9f321b780 R14: 00007ff9f3217600 R15: 00007ff9f3216a00 </TASK> Kernel panic - not syncing: kernel: panic_on_warn set ... CPU: 8 PID: 1011 Comm: bash Kdump: loaded Not tainted 6.9.0-rc3-next-20240410-00012-gdb69f219f4be #3 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.14.0-0-g155821a1990b-prebuilt.qemu.org 04/01/2014 Call Trace: <TASK> panic+0x326/0x350 check_panic_on_warn+0x4f/0x50 __warn+0x98/0x190 report_bug+0x18e/0x1a0 handle_bug+0x3d/0x70 exc_invalid_op+0x18/0x70 asm_exc_invalid_op+0x1a/0x20 RIP: 0010:__lock_acquire+0xccb/0x1ca0 RSP: 0018:ffffa7a1c7fe3bd0 EFLAGS: 00000082 RAX: 0000000000000000 RBX: eb851eb853975fcf RCX: ffffa1ce5fc1c9c8 RDX: 00000000ffffffd8 RSI: 0000000000000027 RDI: ffffa1ce5fc1c9c0 RBP: ffffa1c6865d3280 R08: ffffffffb0f570a8 R09: 0000000000009ffb R10: 0000000000000286 R11: ffffffffb0f2ad50 R12: ffffa1c6865d3d10 R13: ffffa1c6865d3c70 R14: 0000000000000000 R15: 0000000000000004 lock_acquire+0xbe/0x2d0 _raw_spin_lock_irqsave+0x3a/0x60 hugepage_subpool_put_pages.part.0+0xe/0xc0 free_huge_folio+0x253/0x3f0 dissolve_free_huge_page+0x147/0x210 __page_handle_poison+0x9/0x70 memory_failure+0x4e6/0x8c0 hard_offline_page_store+0x55/0xa0 kernfs_fop_write_iter+0x12c/0x1d0 vfs_write+0x380/0x540 ksys_write+0x64/0xe0 do_syscall_64+0xbc/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7ff9f3114887 RSP: 002b:00007ffecbacb458 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 000000000000000c RCX: 00007ff9f3114887 RDX: 000000000000000c RSI: 0000564494164e10 RDI: 0000000000000001 RBP: 0000564494164e10 R08: 00007ff9f31d1460 R09: 000000007fffffff R10: 0000000000000000 R11: 0000000000000246 R12: 000000000000000c R13: 00007ff9f321b780 R14: 00007ff9f3217600 R15: 00007ff9f3216a00 </TASK> After git bisecting and digging into the code, I believe the root cause is that _deferred_list field of folio is unioned with _hugetlb_subpool field. In __update_and_free_hugetlb_folio(), folio->_deferred_ ---truncated--- Уязвимость компонента mm/hugetlb.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: qca: fix info leak when fetching fw build id Add the missing sanity checks and move the 255-byte build-id buffer off the stack to avoid leaking stack data through debugfs in case the build-info reply is malformed. Уязвимость компонентов drivers/bluetooth/btqca.c, drivers/bluetooth/btqca.h ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: taprio: extend minimum interval restriction to entire cycle too It is possible for syzbot to side-step the restriction imposed by the blamed commit in the Fixes: tag, because the taprio UAPI permits a cycle-time different from (and potentially shorter than) the sum of entry intervals. We need one more restriction, which is that the cycle time itself must be larger than N * ETH_ZLEN bit times, where N is the number of schedule entries. This restriction needs to apply regardless of whether the cycle time came from the user or was the implicit, auto-calculated value, so we move the existing "cycle == 0" check outside the "if "(!new->cycle_time)" branch. This way covers both conditions and scenarios. Add a selftest which illustrates the issue triggered by syzbot. Уязвимость компонентов sch_taprio.c, taprio.json ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: tproxy: bail out if IP has been disabled on the device syzbot reports: general protection fault, probably for non-canonical address 0xdffffc0000000003: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000018-0x000000000000001f] [..] RIP: 0010:nf_tproxy_laddr4+0xb7/0x340 net/ipv4/netfilter/nf_tproxy_ipv4.c:62 Call Trace: nft_tproxy_eval_v4 net/netfilter/nft_tproxy.c:56 [inline] nft_tproxy_eval+0xa9a/0x1a00 net/netfilter/nft_tproxy.c:168 __in_dev_get_rcu() can return NULL, so check for this. Уязвимость функции nf_tproxy_laddr4() модуля net/ipv4/netfilter/nf_tproxy_ipv4.c реализации протокола IPv4 ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nfnetlink_queue: acquire rcu_read_lock() in instance_destroy_rcu() syzbot reported that nf_reinject() could be called without rcu_read_lock() : WARNING: suspicious RCU usage 6.9.0-rc7-syzkaller-02060-g5c1672705a1a #0 Not tainted net/netfilter/nfnetlink_queue.c:263 suspicious rcu_dereference_check() usage! other info that might help us debug this: rcu_scheduler_active = 2, debug_locks = 1 2 locks held by syz-executor.4/13427: #0: ffffffff8e334f60 (rcu_callback){....}-{0:0}, at: rcu_lock_acquire include/linux/rcupdate.h:329 [inline] #0: ffffffff8e334f60 (rcu_callback){....}-{0:0}, at: rcu_do_batch kernel/rcu/tree.c:2190 [inline] #0: ffffffff8e334f60 (rcu_callback){....}-{0:0}, at: rcu_core+0xa86/0x1830 kernel/rcu/tree.c:2471 #1: ffff88801ca92958 (&inst->lock){+.-.}-{2:2}, at: spin_lock_bh include/linux/spinlock.h:356 [inline] #1: ffff88801ca92958 (&inst->lock){+.-.}-{2:2}, at: nfqnl_flush net/netfilter/nfnetlink_queue.c:405 [inline] #1: ffff88801ca92958 (&inst->lock){+.-.}-{2:2}, at: instance_destroy_rcu+0x30/0x220 net/netfilter/nfnetlink_queue.c:172 stack backtrace: CPU: 0 PID: 13427 Comm: syz-executor.4 Not tainted 6.9.0-rc7-syzkaller-02060-g5c1672705a1a #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 Call Trace: <IRQ> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:114 lockdep_rcu_suspicious+0x221/0x340 kernel/locking/lockdep.c:6712 nf_reinject net/netfilter/nfnetlink_queue.c:323 [inline] nfqnl_reinject+0x6ec/0x1120 net/netfilter/nfnetlink_queue.c:397 nfqnl_flush net/netfilter/nfnetlink_queue.c:410 [inline] instance_destroy_rcu+0x1ae/0x220 net/netfilter/nfnetlink_queue.c:172 rcu_do_batch kernel/rcu/tree.c:2196 [inline] rcu_core+0xafd/0x1830 kernel/rcu/tree.c:2471 handle_softirqs+0x2d6/0x990 kernel/softirq.c:554 __do_softirq kernel/softirq.c:588 [inline] invoke_softirq kernel/softirq.c:428 [inline] __irq_exit_rcu+0xf4/0x1c0 kernel/softirq.c:637 irq_exit_rcu+0x9/0x30 kernel/softirq.c:649 instr_sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1043 [inline] sysvec_apic_timer_interrupt+0xa6/0xc0 arch/x86/kernel/apic/apic.c:1043 </IRQ> <TASK> Уязвимость компонента net/netfilter/nfnetlink_queue.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 apache2 Serving WebSocket protocol upgrades over a HTTP/2 connection could result in a Null Pointer dereference, leading to a crash of the server process, degrading performance. Уязвимость компонента modules/http2/h2_c2.c веб-сервера Apache HTTP Server связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L', score=5.4) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 zabbix The front-end audit log allows viewing of unprotected plaintext passwords, where the passwords are displayed in plain text. Уязвимость универсальной системы мониторинга Zabbix связана с хранением пароля в незашифрованном виде. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-256'), NistCWE(cwe='CWE-522')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=8.1) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix Within Zabbix, users have the ability to directly modify memory pointers in the JavaScript engine. Уязвимость универсальной системы мониторинга Zabbix связана с разыменованием указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-822')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H', score=9.1) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix The implementation of atob in "Zabbix JS" allows to create a string with arbitrary content and use it to access internal properties of objects. Уязвимость метода atob универсальной системы мониторинга Zabbix связана с доступом к критичной частной переменной через общедоступный метод.Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-767')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix A bug in the code allows an attacker to sign a forged zbx_session cookie, which then allows them to sign in with admin permissions. Уязвимость системы мониторинга Zabbix связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix An authenticated user with API access (e.g.: user with default User role), more specifically a user with access to the user.update API endpoint is enough to be able to add themselves to any group (e.g.: Zabbix Administrators), except to groups that are disabled or having restricted GUI access. Уязвимость компонента API системы мониторинга Zabbix связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-285')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/rtrs: Ensure 'ib_sge list' is accessible Move the declaration of the 'ib_sge list' variable outside the 'always_invalidate' block to ensure it remains accessible for use throughout the function. Previously, 'ib_sge list' was declared within the 'always_invalidate' block, limiting its accessibility, then caused a 'BUG: kernel NULL pointer dereference'[1]. ? __die_body.cold+0x19/0x27 ? page_fault_oops+0x15a/0x2d0 ? search_module_extables+0x19/0x60 ? search_bpf_extables+0x5f/0x80 ? exc_page_fault+0x7e/0x180 ? asm_exc_page_fault+0x26/0x30 ? memcpy_orig+0xd5/0x140 rxe_mr_copy+0x1c3/0x200 [rdma_rxe] ? rxe_pool_get_index+0x4b/0x80 [rdma_rxe] copy_data+0xa5/0x230 [rdma_rxe] rxe_requester+0xd9b/0xf70 [rdma_rxe] ? finish_task_switch.isra.0+0x99/0x2e0 rxe_sender+0x13/0x40 [rdma_rxe] do_task+0x68/0x1e0 [rdma_rxe] process_one_work+0x177/0x330 worker_thread+0x252/0x390 ? __pfx_worker_thread+0x10/0x10 This change ensures the variable is available for subsequent operations that require it. [1] https://lore.kernel.org/linux-rdma/6a1f3e8f-deb0-49f9-bc69-a9b03ecfcda7@fujitsu.com/ Уязвимость компонента rtrs-srv.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: null_blk: fix null-ptr-dereference while configuring 'power' and 'submit_queues' Writing 'power' and 'submit_queues' concurrently will trigger kernel panic: Test script: modprobe null_blk nr_devices=0 mkdir -p /sys/kernel/config/nullb/nullb0 while true; do echo 1 > submit_queues; echo 4 > submit_queues; done & while true; do echo 1 > power; echo 0 > power; done Test result: BUG: kernel NULL pointer dereference, address: 0000000000000148 Oops: 0000 [#1] PREEMPT SMP RIP: 0010:__lock_acquire+0x41d/0x28f0 Call Trace: <TASK> lock_acquire+0x121/0x450 down_write+0x5f/0x1d0 simple_recursive_removal+0x12f/0x5c0 blk_mq_debugfs_unregister_hctxs+0x7c/0x100 blk_mq_update_nr_hw_queues+0x4a3/0x720 nullb_update_nr_hw_queues+0x71/0xf0 [null_blk] nullb_device_submit_queues_store+0x79/0xf0 [null_blk] configfs_write_iter+0x119/0x1e0 vfs_write+0x326/0x730 ksys_write+0x74/0x150 This is because del_gendisk() can concurrent with blk_mq_update_nr_hw_queues(): nullb_device_power_store nullb_apply_submit_queues null_del_dev del_gendisk nullb_update_nr_hw_queues if (!dev->nullb) // still set while gendisk is deleted return 0 blk_mq_update_nr_hw_queues dev->nullb = NULL Fix this problem by resuing the global mutex to protect nullb_device_power_store() and nullb_update_nr_hw_queues() from configfs. Уязвимость компонента main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fpga: bridge: add owner module and take its refcount The current implementation of the fpga bridge assumes that the low-level module registers a driver for the parent device and uses its owner pointer to take the module's refcount. This approach is problematic since it can lead to a null pointer dereference while attempting to get the bridge if the parent device does not have a driver. To address this problem, add a module owner pointer to the fpga_bridge struct and use it to take the module's refcount. Modify the function for registering a bridge to take an additional owner module parameter and rename it to avoid conflicts. Use the old function name for a helper macro that automatically sets the module that registers the bridge as the owner. This ensures compatibility with existing low-level control modules and reduces the chances of registering a bridge without setting the owner. Also, update the documentation to keep it consistent with the new interface for registering an fpga bridge. Other changes: opportunistically move put_device() from __fpga_bridge_get() to fpga_bridge_get() and of_fpga_bridge_get() to improve code clarity since the bridge device is taken in these functions. Уязвимость компонентов fpga-bridge.rst, fpga-bridge.c, fpga-bridge.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tls: fix missing memory barrier in tls_init In tls_init(), a write memory barrier is missing, and store-store reordering may cause NULL dereference in tls_{setsockopt,getsockopt}. CPU0 CPU1 ----- ----- // In tls_init() // In tls_ctx_create() ctx = kzalloc() ctx->sk_proto = READ_ONCE(sk->sk_prot) -(1) // In update_sk_prot() WRITE_ONCE(sk->sk_prot, tls_prots) -(2) // In sock_common_setsockopt() READ_ONCE(sk->sk_prot)->setsockopt() // In tls_{setsockopt,getsockopt}() ctx->sk_proto->setsockopt() -(3) In the above scenario, when (1) and (2) are reordered, (3) can observe the NULL value of ctx->sk_proto, causing NULL dereference. To fix it, we rely on rcu_assign_pointer() which implies the release barrier semantic. By moving rcu_assign_pointer() after ctx->sk_proto is initialized, we can ensure that ctx->sk_proto are visible when changing sk->sk_prot. Уязвимость компонента net/tls/tls_main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 python-idna A vulnerability was identified in the kjd/idna library, specifically within the `idna.encode()` function, affecting version 3.6. The issue arises from the function's handling of crafted input strings, which can lead to quadratic complexity and consequently, a denial of service condition. This vulnerability is triggered by a crafted input that causes the `idna.encode()` function to process the input with considerable computational load, significantly increasing the processing time in a quadratic manner relative to the input size. Уязвимость функции idna.encode() библиотеки Python для работы с интернационализированными именами доменов Idna связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) python-idna: - Использовать ПО python-idna только на низком или отдельно выделенном уровне целостности - При использовании ПО python-idna выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-idna только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg FFmpeg n6.1.1 has a vulnerability in the AVI demuxer of the libavformat library which allows for an integer overflow, potentially resulting in a denial-of-service (DoS) condition. Уязвимость демультиплексора для файлов AVI библиотеки libavformat мультимедийной библиотеки FFmpeg связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: qca: add missing firmware sanity checks Add the missing sanity checks when parsing the firmware files before downloading them to avoid accessing and corrupting memory beyond the vmalloced buffer. Уязвимость компонента qca ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: use memalloc_nofs_save() in page_cache_ra_order() See commit f2c817bed58d ("mm: use memalloc_nofs_save in readahead path"), ensure that page_cache_ra_order() do not attempt to reclaim file-backed pages too, or it leads to a deadlock, found issue when test ext4 large folio. INFO: task DataXceiver for:7494 blocked for more than 120 seconds. "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. task:DataXceiver for state:D stack:0 pid:7494 ppid:1 flags:0x00000200 Call trace: __switch_to+0x14c/0x240 __schedule+0x82c/0xdd0 schedule+0x58/0xf0 io_schedule+0x24/0xa0 __folio_lock+0x130/0x300 migrate_pages_batch+0x378/0x918 migrate_pages+0x350/0x700 compact_zone+0x63c/0xb38 compact_zone_order+0xc0/0x118 try_to_compact_pages+0xb0/0x280 __alloc_pages_direct_compact+0x98/0x248 __alloc_pages+0x510/0x1110 alloc_pages+0x9c/0x130 folio_alloc+0x20/0x78 filemap_alloc_folio+0x8c/0x1b0 page_cache_ra_order+0x174/0x308 ondemand_readahead+0x1c8/0x2b8 page_cache_async_ra+0x68/0xb8 filemap_readahead.isra.0+0x64/0xa8 filemap_get_pages+0x3fc/0x5b0 filemap_splice_read+0xf4/0x280 ext4_file_splice_read+0x2c/0x48 [ext4] vfs_splice_read.part.0+0xa8/0x118 splice_direct_to_actor+0xbc/0x288 do_splice_direct+0x9c/0x108 do_sendfile+0x328/0x468 __arm64_sys_sendfile64+0x8c/0x148 invoke_syscall+0x4c/0x118 el0_svc_common.constprop.0+0xc8/0xf0 do_el0_svc+0x24/0x38 el0_svc+0x4c/0x1f8 el0t_64_sync_handler+0xc0/0xc8 el0t_64_sync+0x188/0x190 Уязвимость функции page_cache_ra_order() ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fix out-of-bounds access in ops_init net_alloc_generic is called by net_alloc, which is called without any locking. It reads max_gen_ptrs, which is changed under pernet_ops_rwsem. It is read twice, first to allocate an array, then to set s.len, which is later used to limit the bounds of the array access. It is possible that the array is allocated and another thread is registering a new pernet ops, increments max_gen_ptrs, which is then used to set s.len with a larger than allocated length for the variable array. Fix it by reading max_gen_ptrs only once in net_alloc_generic. If max_gen_ptrs is later incremented, it will be caught in net_assign_generic. Уязвимость функции net_alloc_generic() в модуле net/core/net_namespace.c ядра операционной системы Linux связана с обращением к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: ensure snd_nxt is properly initialized on connect Christoph reported a splat hinting at a corrupted snd_una: WARNING: CPU: 1 PID: 38 at net/mptcp/protocol.c:1005 __mptcp_clean_una+0x4b3/0x620 net/mptcp/protocol.c:1005 Modules linked in: CPU: 1 PID: 38 Comm: kworker/1:1 Not tainted 6.9.0-rc1-gbbeac67456c9 #59 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.11.0-2.el7 04/01/2014 Workqueue: events mptcp_worker RIP: 0010:__mptcp_clean_una+0x4b3/0x620 net/mptcp/protocol.c:1005 Code: be 06 01 00 00 bf 06 01 00 00 e8 a8 12 e7 fe e9 00 fe ff ff e8 8e 1a e7 fe 0f b7 ab 3e 02 00 00 e9 d3 fd ff ff e8 7d 1a e7 fe <0f> 0b 4c 8b bb e0 05 00 00 e9 74 fc ff ff e8 6a 1a e7 fe 0f 0b e9 RSP: 0018:ffffc9000013fd48 EFLAGS: 00010293 RAX: 0000000000000000 RBX: ffff8881029bd280 RCX: ffffffff82382fe4 RDX: ffff8881003cbd00 RSI: ffffffff823833c3 RDI: 0000000000000001 RBP: 0000000000000000 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000000 R11: fefefefefefefeff R12: ffff888138ba8000 R13: 0000000000000106 R14: ffff8881029bd908 R15: ffff888126560000 FS: 0000000000000000(0000) GS:ffff88813bd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f604a5dae38 CR3: 0000000101dac002 CR4: 0000000000170ef0 Call Trace: <TASK> __mptcp_clean_una_wakeup net/mptcp/protocol.c:1055 [inline] mptcp_clean_una_wakeup net/mptcp/protocol.c:1062 [inline] __mptcp_retrans+0x7f/0x7e0 net/mptcp/protocol.c:2615 mptcp_worker+0x434/0x740 net/mptcp/protocol.c:2767 process_one_work+0x1e0/0x560 kernel/workqueue.c:3254 process_scheduled_works kernel/workqueue.c:3335 [inline] worker_thread+0x3c7/0x640 kernel/workqueue.c:3416 kthread+0x121/0x170 kernel/kthread.c:388 ret_from_fork+0x44/0x50 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:243 </TASK> When fallback to TCP happens early on a client socket, snd_nxt is not yet initialized and any incoming ack will copy such value into snd_una. If the mptcp worker (dumbly) tries mptcp-level re-injection after such ack, that would unconditionally trigger a send buffer cleanup using 'bad' snd_una values. We could easily disable re-injection for fallback sockets, but such dumb behavior already helped catching a few subtle issues and a very low to zero impact in practice. Instead address the issue always initializing snd_nxt (and write_seq, for consistency) at connect time. Уязвимость компонента net/mptcp/protocol.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/slab: make __free(kfree) accept error pointers Currently, if an automatically freed allocation is an error pointer that will lead to a crash. An example of this is in wm831x_gpio_dbg_show(). 171 char *label __free(kfree) = gpiochip_dup_line_label(chip, i); 172 if (IS_ERR(label)) { 173 dev_err(wm831x->dev, "Failed to duplicate label\n"); 174 continue; 175 } The auto clean up function should check for error pointers as well, otherwise we're going to keep hitting issues like this. Уязвимость компонента slab.h ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-763')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: maple_tree: fix mas_empty_area_rev() null pointer dereference Currently the code calls mas_start() followed by mas_data_end() if the maple state is MA_START, but mas_start() may return with the maple state node == NULL. This will lead to a null pointer dereference when checking information in the NULL node, which is done in mas_data_end(). Avoid setting the offset if there is no node by waiting until after the maple state is checked for an empty or single entry state. A user could trigger the events to cause a kernel oops by unmapping all vmas to produce an empty maple tree, then mapping a vma that would cause the scenario described above. Уязвимость функции mas_empty_area_rev() компонента lib/maple_tree.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: tcpm: Check for port partner validity before consuming it typec_register_partner() does not guarantee partner registration to always succeed. In the event of failure, port->partner is set to the error value or NULL. Given that port->partner validity is not checked, this results in the following crash: Unable to handle kernel NULL pointer dereference at virtual address xx pc : run_state_machine+0x1bc8/0x1c08 lr : run_state_machine+0x1b90/0x1c08 .. Call trace: run_state_machine+0x1bc8/0x1c08 tcpm_state_machine_work+0x94/0xe4 kthread_worker_fn+0x118/0x328 kthread+0x1d0/0x23c ret_from_fork+0x10/0x20 To prevent the crash, check for port->partner validity before derefencing it in all the call sites. Уязвимость компонента tcpm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_fs: Fix race between aio_cancel() and AIO request complete FFS based applications can utilize the aio_cancel() callback to dequeue pending USB requests submitted to the UDC. There is a scenario where the FFS application issues an AIO cancel call, while the UDC is handling a soft disconnect. For a DWC3 based implementation, the callstack looks like the following: DWC3 Gadget FFS Application dwc3_gadget_soft_disconnect() ... --> dwc3_stop_active_transfers() --> dwc3_gadget_giveback(-ESHUTDOWN) --> ffs_epfile_async_io_complete() ffs_aio_cancel() --> usb_ep_free_request() --> usb_ep_dequeue() There is currently no locking implemented between the AIO completion handler and AIO cancel, so the issue occurs if the completion routine is running in parallel to an AIO cancel call coming from the FFS application. As the completion call frees the USB request (io_data->req) the FFS application is also referencing it for the usb_ep_dequeue() call. This can lead to accessing a stale/hanging pointer. commit b566d38857fc ("usb: gadget: f_fs: use io_data->status consistently") relocated the usb_ep_free_request() into ffs_epfile_async_io_complete(). However, in order to properly implement locking to mitigate this issue, the spinlock can't be added to ffs_epfile_async_io_complete(), as usb_ep_dequeue() (if successfully dequeuing a USB request) will call the function driver's completion handler in the same context. Hence, leading into a deadlock. Fix this issue by moving the usb_ep_free_request() back to ffs_user_copy_worker(), and ensuring that it explicitly sets io_data->req to NULL after freeing it within the ffs->eps_lock. This resolves the race condition above, as the ffs_aio_cancel() routine will not continue attempting to dequeue a request that has already been freed, or the ffs_user_copy_work() not freeing the USB request until the AIO cancel is done referencing it. This fix depends on commit b566d38857fc ("usb: gadget: f_fs: use io_data->status consistently") Уязвимость компонента f_fs ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Atom Integrated System Info v2_2 for DCN35 New request from KMD/VBIOS in order to support new UMA carveout model. This fixes a null dereference from accessing Ctx->dc_bios->integrated_info while it was NULL. DAL parses through the BIOS and extracts the necessary integrated_info but was missing a case for the new BIOS version 2.3. Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gpiolib: cdev: fix uninitialised kfifo If a line is requested with debounce, and that results in debouncing in software, and the line is subsequently reconfigured to enable edge detection then the allocation of the kfifo to contain edge events is overlooked. This results in events being written to and read from an uninitialised kfifo. Read events are returned to userspace. Initialise the kfifo in the case where the software debounce is already active. Уязвимость компонента gpiolib-cdev.c ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: hns3: fix kernel crash when devlink reload during initialization The devlink reload process will access the hardware resources, but the register operation is done before the hardware is initialized. So, processing the devlink reload during initialization may lead to kernel crash. This patch fixes this by registering the devlink after hardware initialization. Уязвимость компонентов hclge_main.c, hclgevf_main.c ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: prevent NULL dereference in ip6_output() According to syzbot, there is a chance that ip6_dst_idev() returns NULL in ip6_output(). Most places in IPv6 stack deal with a NULL idev just fine, but not here. syzbot reported: general protection fault, probably for non-canonical address 0xdffffc00000000bc: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x00000000000005e0-0x00000000000005e7] CPU: 0 PID: 9775 Comm: syz-executor.4 Not tainted 6.9.0-rc5-syzkaller-00157-g6a30653b604a #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 RIP: 0010:ip6_output+0x231/0x3f0 net/ipv6/ip6_output.c:237 Code: 3c 1e 00 49 89 df 74 08 4c 89 ef e8 19 58 db f7 48 8b 44 24 20 49 89 45 00 49 89 c5 48 8d 9d e0 05 00 00 48 89 d8 48 c1 e8 03 <42> 0f b6 04 38 84 c0 4c 8b 74 24 28 0f 85 61 01 00 00 8b 1b 31 ff RSP: 0018:ffffc9000927f0d8 EFLAGS: 00010202 RAX: 00000000000000bc RBX: 00000000000005e0 RCX: 0000000000040000 RDX: ffffc900131f9000 RSI: 0000000000004f47 RDI: 0000000000004f48 RBP: 0000000000000000 R08: ffffffff8a1f0b9a R09: 1ffffffff1f51fad R10: dffffc0000000000 R11: fffffbfff1f51fae R12: ffff8880293ec8c0 R13: ffff88805d7fc000 R14: 1ffff1100527d91a R15: dffffc0000000000 FS: 00007f135c6856c0(0000) GS:ffff8880b9400000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000020000080 CR3: 0000000064096000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> NF_HOOK include/linux/netfilter.h:314 [inline] ip6_xmit+0xefe/0x17f0 net/ipv6/ip6_output.c:358 sctp_v6_xmit+0x9f2/0x13f0 net/sctp/ipv6.c:248 sctp_packet_transmit+0x26ad/0x2ca0 net/sctp/output.c:653 sctp_packet_singleton+0x22c/0x320 net/sctp/outqueue.c:783 sctp_outq_flush_ctrl net/sctp/outqueue.c:914 [inline] sctp_outq_flush+0x6d5/0x3e20 net/sctp/outqueue.c:1212 sctp_side_effects net/sctp/sm_sideeffect.c:1198 [inline] sctp_do_sm+0x59cc/0x60c0 net/sctp/sm_sideeffect.c:1169 sctp_primitive_ASSOCIATE+0x95/0xc0 net/sctp/primitive.c:73 __sctp_connect+0x9cd/0xe30 net/sctp/socket.c:1234 sctp_connect net/sctp/socket.c:4819 [inline] sctp_inet_connect+0x149/0x1f0 net/sctp/socket.c:4834 __sys_connect_file net/socket.c:2048 [inline] __sys_connect+0x2df/0x310 net/socket.c:2065 __do_sys_connect net/socket.c:2075 [inline] __se_sys_connect net/socket.c:2072 [inline] __x64_sys_connect+0x7a/0x90 net/socket.c:2072 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции ip6_output() в модуле net/ipv6/ip6_output.c реализации протокола IPv6 ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: fib6_rules: avoid possible NULL dereference in fib6_rule_action() syzbot is able to trigger the following crash [1], caused by unsafe ip6_dst_idev() use. Indeed ip6_dst_idev() can return NULL, and must always be checked. [1] Oops: general protection fault, probably for non-canonical address 0xdffffc0000000000: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] CPU: 0 PID: 31648 Comm: syz-executor.0 Not tainted 6.9.0-rc4-next-20240417-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 RIP: 0010:__fib6_rule_action net/ipv6/fib6_rules.c:237 [inline] RIP: 0010:fib6_rule_action+0x241/0x7b0 net/ipv6/fib6_rules.c:267 Code: 02 00 00 49 8d 9f d8 00 00 00 48 89 d8 48 c1 e8 03 42 80 3c 20 00 74 08 48 89 df e8 f9 32 bf f7 48 8b 1b 48 89 d8 48 c1 e8 03 <42> 80 3c 20 00 74 08 48 89 df e8 e0 32 bf f7 4c 8b 03 48 89 ef 4c RSP: 0018:ffffc9000fc1f2f0 EFLAGS: 00010246 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 1a772f98c8186700 RDX: 0000000000000003 RSI: ffffffff8bcac4e0 RDI: ffffffff8c1f9760 RBP: ffff8880673fb980 R08: ffffffff8fac15ef R09: 1ffffffff1f582bd R10: dffffc0000000000 R11: fffffbfff1f582be R12: dffffc0000000000 R13: 0000000000000080 R14: ffff888076509000 R15: ffff88807a029a00 FS: 00007f55e82ca6c0(0000) GS:ffff8880b9400000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000001b31d23000 CR3: 0000000022b66000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> fib_rules_lookup+0x62c/0xdb0 net/core/fib_rules.c:317 fib6_rule_lookup+0x1fd/0x790 net/ipv6/fib6_rules.c:108 ip6_route_output_flags_noref net/ipv6/route.c:2637 [inline] ip6_route_output_flags+0x38e/0x610 net/ipv6/route.c:2649 ip6_route_output include/net/ip6_route.h:93 [inline] ip6_dst_lookup_tail+0x189/0x11a0 net/ipv6/ip6_output.c:1120 ip6_dst_lookup_flow+0xb9/0x180 net/ipv6/ip6_output.c:1250 sctp_v6_get_dst+0x792/0x1e20 net/sctp/ipv6.c:326 sctp_transport_route+0x12c/0x2e0 net/sctp/transport.c:455 sctp_assoc_add_peer+0x614/0x15c0 net/sctp/associola.c:662 sctp_connect_new_asoc+0x31d/0x6c0 net/sctp/socket.c:1099 __sctp_connect+0x66d/0xe30 net/sctp/socket.c:1197 sctp_connect net/sctp/socket.c:4819 [inline] sctp_inet_connect+0x149/0x1f0 net/sctp/socket.c:4834 __sys_connect_file net/socket.c:2048 [inline] __sys_connect+0x2df/0x310 net/socket.c:2065 __do_sys_connect net/socket.c:2075 [inline] __se_sys_connect net/socket.c:2072 [inline] __x64_sys_connect+0x7a/0x90 net/socket.c:2072 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции __fib6_rule_action() в модуле net/ipv6/fib6_rules.c реализации протокола IPv6 ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: Use refcount_inc_not_zero() in tcp_twsk_unique(). Anderson Nascimento reported a use-after-free splat in tcp_twsk_unique() with nice analysis. Since commit ec94c2696f0b ("tcp/dccp: avoid one atomic operation for timewait hashdance"), inet_twsk_hashdance() sets TIME-WAIT socket's sk_refcnt after putting it into ehash and releasing the bucket lock. Thus, there is a small race window where other threads could try to reuse the port during connect() and call sock_hold() in tcp_twsk_unique() for the TIME-WAIT socket with zero refcnt. If that happens, the refcnt taken by tcp_twsk_unique() is overwritten and sock_put() will cause underflow, triggering a real use-after-free somewhere else. To avoid the use-after-free, we need to use refcount_inc_not_zero() in tcp_twsk_unique() and give up on reusing the port if it returns false. [0]: refcount_t: addition on 0; use-after-free. WARNING: CPU: 0 PID: 1039313 at lib/refcount.c:25 refcount_warn_saturate+0xe5/0x110 CPU: 0 PID: 1039313 Comm: trigger Not tainted 6.8.6-200.fc39.x86_64 #1 Hardware name: VMware, Inc. VMware20,1/440BX Desktop Reference Platform, BIOS VMW201.00V.21805430.B64.2305221830 05/22/2023 RIP: 0010:refcount_warn_saturate+0xe5/0x110 Code: 42 8e ff 0f 0b c3 cc cc cc cc 80 3d aa 13 ea 01 00 0f 85 5e ff ff ff 48 c7 c7 f8 8e b7 82 c6 05 96 13 ea 01 01 e8 7b 42 8e ff <0f> 0b c3 cc cc cc cc 48 c7 c7 50 8f b7 82 c6 05 7a 13 ea 01 01 e8 RSP: 0018:ffffc90006b43b60 EFLAGS: 00010282 RAX: 0000000000000000 RBX: ffff888009bb3ef0 RCX: 0000000000000027 RDX: ffff88807be218c8 RSI: 0000000000000001 RDI: ffff88807be218c0 RBP: 0000000000069d70 R08: 0000000000000000 R09: ffffc90006b439f0 R10: ffffc90006b439e8 R11: 0000000000000003 R12: ffff8880029ede84 R13: 0000000000004e20 R14: ffffffff84356dc0 R15: ffff888009bb3ef0 FS: 00007f62c10926c0(0000) GS:ffff88807be00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000020ccb000 CR3: 000000004628c005 CR4: 0000000000f70ef0 PKRU: 55555554 Call Trace: <TASK> ? refcount_warn_saturate+0xe5/0x110 ? __warn+0x81/0x130 ? refcount_warn_saturate+0xe5/0x110 ? report_bug+0x171/0x1a0 ? refcount_warn_saturate+0xe5/0x110 ? handle_bug+0x3c/0x80 ? exc_invalid_op+0x17/0x70 ? asm_exc_invalid_op+0x1a/0x20 ? refcount_warn_saturate+0xe5/0x110 tcp_twsk_unique+0x186/0x190 __inet_check_established+0x176/0x2d0 __inet_hash_connect+0x74/0x7d0 ? __pfx___inet_check_established+0x10/0x10 tcp_v4_connect+0x278/0x530 __inet_stream_connect+0x10f/0x3d0 inet_stream_connect+0x3a/0x60 __sys_connect+0xa8/0xd0 __x64_sys_connect+0x18/0x20 do_syscall_64+0x83/0x170 entry_SYSCALL_64_after_hwframe+0x78/0x80 RIP: 0033:0x7f62c11a885d Code: ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d a3 45 0c 00 f7 d8 64 89 01 48 RSP: 002b:00007f62c1091e58 EFLAGS: 00000296 ORIG_RAX: 000000000000002a RAX: ffffffffffffffda RBX: 0000000020ccb004 RCX: 00007f62c11a885d RDX: 0000000000000010 RSI: 0000000020ccb000 RDI: 0000000000000003 RBP: 00007f62c1091e90 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000296 R12: 00007f62c10926c0 R13: ffffffffffffff88 R14: 0000000000000000 R15: 00007ffe237885b0 </TASK> Уязвимость функции tcp_twsk_unique() модуля net/ipv4/tcp_ipv4.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ARM: 9381/1: kasan: clear stale stack poison We found below OOB crash: [ 33.452494] ================================================================== [ 33.453513] BUG: KASAN: stack-out-of-bounds in refresh_cpu_vm_stats.constprop.0+0xcc/0x2ec [ 33.454660] Write of size 164 at addr c1d03d30 by task swapper/0/0 [ 33.455515] [ 33.455767] CPU: 0 PID: 0 Comm: swapper/0 Tainted: G O 6.1.25-mainline #1 [ 33.456880] Hardware name: Generic DT based system [ 33.457555] unwind_backtrace from show_stack+0x18/0x1c [ 33.458326] show_stack from dump_stack_lvl+0x40/0x4c [ 33.459072] dump_stack_lvl from print_report+0x158/0x4a4 [ 33.459863] print_report from kasan_report+0x9c/0x148 [ 33.460616] kasan_report from kasan_check_range+0x94/0x1a0 [ 33.461424] kasan_check_range from memset+0x20/0x3c [ 33.462157] memset from refresh_cpu_vm_stats.constprop.0+0xcc/0x2ec [ 33.463064] refresh_cpu_vm_stats.constprop.0 from tick_nohz_idle_stop_tick+0x180/0x53c [ 33.464181] tick_nohz_idle_stop_tick from do_idle+0x264/0x354 [ 33.465029] do_idle from cpu_startup_entry+0x20/0x24 [ 33.465769] cpu_startup_entry from rest_init+0xf0/0xf4 [ 33.466528] rest_init from arch_post_acpi_subsys_init+0x0/0x18 [ 33.467397] [ 33.467644] The buggy address belongs to stack of task swapper/0/0 [ 33.468493] and is located at offset 112 in frame: [ 33.469172] refresh_cpu_vm_stats.constprop.0+0x0/0x2ec [ 33.469917] [ 33.470165] This frame has 2 objects: [ 33.470696] [32, 76) 'global_zone_diff' [ 33.470729] [112, 276) 'global_node_diff' [ 33.471294] [ 33.472095] The buggy address belongs to the physical page: [ 33.472862] page:3cd72da8 refcount:1 mapcount:0 mapping:00000000 index:0x0 pfn:0x41d03 [ 33.473944] flags: 0x1000(reserved|zone=0) [ 33.474565] raw: 00001000 ed741470 ed741470 00000000 00000000 00000000 ffffffff 00000001 [ 33.475656] raw: 00000000 [ 33.476050] page dumped because: kasan: bad access detected [ 33.476816] [ 33.477061] Memory state around the buggy address: [ 33.477732] c1d03c00: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 [ 33.478630] c1d03c80: 00 00 00 00 00 00 00 00 f1 f1 f1 f1 00 00 00 00 [ 33.479526] >c1d03d00: 00 04 f2 f2 f2 f2 00 00 00 00 00 00 f1 f1 f1 f1 [ 33.480415] ^ [ 33.481195] c1d03d80: 00 00 00 00 00 00 00 00 00 00 04 f3 f3 f3 f3 f3 [ 33.482088] c1d03e00: f3 f3 f3 f3 00 00 00 00 00 00 00 00 00 00 00 00 [ 33.482978] ================================================================== We find the root cause of this OOB is that arm does not clear stale stack poison in the case of cpuidle. This patch refer to arch/arm64/kernel/sleep.S to resolve this issue. From cited commit [1] that explain the problem Functions which the compiler has instrumented for KASAN place poison on the stack shadow upon entry and remove this poison prior to returning. In the case of cpuidle, CPUs exit the kernel a number of levels deep in C code. Any instrumented functions on this critical path will leave portions of the stack shadow poisoned. If CPUs lose context and return to the kernel via a cold path, we restore a prior context saved in __cpu_suspend_enter are forgotten, and we never remove the poison they placed in the stack shadow area by functions calls between this and the actual exit of the kernel. Thus, (depending on stackframe layout) subsequent calls to instrumented functions may hit this stale poison, resulting in (spurious) KASAN splats to the console. To avoid this, clear any stale poison from the idle thread for a CPU prior to bringing a CPU online. From cited commit [2] Extend to check for CONFIG_KASAN_STACK [1] commit 0d97e6d8024c ("arm64: kasan: clear stale stack poison") [2] commit d56a9ef84bd0 ("kasan, arm64: unpoison stack only with CONFIG_KASAN_STACK") Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Drivers: hv: vmbus: Don't free ring buffers that couldn't be re-encrypted In CoCo VMs it is possible for the untrusted host to cause set_memory_encrypted() or set_memory_decrypted() to fail such that an error is returned and the resulting memory is shared. Callers need to take care to handle these errors to avoid returning decrypted (shared) memory to the page allocator, which could lead to functional or security issues. The VMBus ring buffer code could free decrypted/shared pages if set_memory_decrypted() fails. Check the decrypted field in the struct vmbus_gpadl for the ring buffers to decide whether to free the memory. Уязвимость компонента channel.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: uio_hv_generic: Don't free decrypted memory In CoCo VMs it is possible for the untrusted host to cause set_memory_encrypted() or set_memory_decrypted() to fail such that an error is returned and the resulting memory is shared. Callers need to take care to handle these errors to avoid returning decrypted (shared) memory to the page allocator, which could lead to functional or security issues. The VMBus device UIO driver could free decrypted/shared pages if set_memory_decrypted() fails. Check the decrypted field in the gpadl to decide whether to free the memory. Уязвимость компонента uio_hv_generic.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfc: llcp: fix nfc_llcp_setsockopt() unsafe copies syzbot reported unsafe calls to copy_from_sockptr() [1] Use copy_safe_from_sockptr() instead. [1] BUG: KASAN: slab-out-of-bounds in copy_from_sockptr_offset include/linux/sockptr.h:49 [inline] BUG: KASAN: slab-out-of-bounds in copy_from_sockptr include/linux/sockptr.h:55 [inline] BUG: KASAN: slab-out-of-bounds in nfc_llcp_setsockopt+0x6c2/0x850 net/nfc/llcp_sock.c:255 Read of size 4 at addr ffff88801caa1ec3 by task syz-executor459/5078 CPU: 0 PID: 5078 Comm: syz-executor459 Not tainted 6.8.0-syzkaller-08951-gfe46a7dd189e #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:114 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 copy_from_sockptr_offset include/linux/sockptr.h:49 [inline] copy_from_sockptr include/linux/sockptr.h:55 [inline] nfc_llcp_setsockopt+0x6c2/0x850 net/nfc/llcp_sock.c:255 do_sock_setsockopt+0x3b1/0x720 net/socket.c:2311 __sys_setsockopt+0x1ae/0x250 net/socket.c:2334 __do_sys_setsockopt net/socket.c:2343 [inline] __se_sys_setsockopt net/socket.c:2340 [inline] __x64_sys_setsockopt+0xb5/0xd0 net/socket.c:2340 do_syscall_64+0xfd/0x240 entry_SYSCALL_64_after_hwframe+0x6d/0x75 RIP: 0033:0x7f7fac07fd89 Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 91 18 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007fff660eb788 EFLAGS: 00000246 ORIG_RAX: 0000000000000036 RAX: ffffffffffffffda RBX: 0000000000000003 RCX: 00007f7fac07fd89 RDX: 0000000000000000 RSI: 0000000000000118 RDI: 0000000000000004 RBP: 0000000000000000 R08: 0000000000000002 R09: 0000000000000000 R10: 0000000020000a80 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 Уязвимость компонента llcp_sock.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: blk-iocost: avoid out of bounds shift UBSAN catches undefined behavior in blk-iocost, where sometimes iocg->delay is shifted right by a number that is too large, resulting in undefined behavior on some architectures. [ 186.556576] ------------[ cut here ]------------ UBSAN: shift-out-of-bounds in block/blk-iocost.c:1366:23 shift exponent 64 is too large for 64-bit type 'u64' (aka 'unsigned long long') CPU: 16 PID: 0 Comm: swapper/16 Tainted: G S E N 6.9.0-0_fbk700_debug_rc2_kbuilder_0_gc85af715cac0 #1 Hardware name: Quanta Twin Lakes MP/Twin Lakes Passive MP, BIOS F09_3A23 12/08/2020 Call Trace: <IRQ> dump_stack_lvl+0x8f/0xe0 __ubsan_handle_shift_out_of_bounds+0x22c/0x280 iocg_kick_delay+0x30b/0x310 ioc_timer_fn+0x2fb/0x1f80 __run_timer_base+0x1b6/0x250 ... Avoid that undefined behavior by simply taking the "delay = 0" branch if the shift is too large. I am not sure what the symptoms of an undefined value delay will be, but I suspect it could be more than a little annoying to debug. Уязвимость функции iocg_kick_delay() в модуле block/blk-iocost.c компонента blk-iocost ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: block: fix overflow in blk_ioctl_discard() There is no check for overflow of 'start + len' in blk_ioctl_discard(). Hung task occurs if submit an discard ioctl with the following param: start = 0x80000000000ff000, len = 0x8000000000fff000; Add the overflow validation now. Уязвимость компонента ioctl.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Check bloom filter map value size This patch adds a missing check to bloom filter creating, rejecting values above KMALLOC_MAX_SIZE. This brings the bloom map in line with many other map types. The lack of this protection can cause kernel crashes for value sizes that overflow int's. Such a crash was caught by syzkaller. The next patch adds more guard-rails at a lower level. Уязвимость компонентов bloom_filter.c, bloom_filter_map.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: bnx2fc: Remove spin_lock_bh while releasing resources after upload The session resources are used by FW and driver when session is offloaded, once session is uploaded these resources are not used. The lock is not required as these fields won't be used any longer. The offload and upload calls are sequential, hence lock is not required. This will suppress following BUG_ON(): [ 449.843143] ------------[ cut here ]------------ [ 449.848302] kernel BUG at mm/vmalloc.c:2727! [ 449.853072] invalid opcode: 0000 [#1] PREEMPT SMP PTI [ 449.858712] CPU: 5 PID: 1996 Comm: kworker/u24:2 Not tainted 5.14.0-118.el9.x86_64 #1 Rebooting. [ 449.867454] Hardware name: Dell Inc. PowerEdge R730/0WCJNT, BIOS 2.3.4 11/08/2016 [ 449.876966] Workqueue: fc_rport_eq fc_rport_work [libfc] [ 449.882910] RIP: 0010:vunmap+0x2e/0x30 [ 449.887098] Code: 00 65 8b 05 14 a2 f0 4a a9 00 ff ff 00 75 1b 55 48 89 fd e8 34 36 79 00 48 85 ed 74 0b 48 89 ef 31 f6 5d e9 14 fc ff ff 5d c3 <0f> 0b 0f 1f 44 00 00 41 57 41 56 49 89 ce 41 55 49 89 fd 41 54 41 [ 449.908054] RSP: 0018:ffffb83d878b3d68 EFLAGS: 00010206 [ 449.913887] RAX: 0000000080000201 RBX: ffff8f4355133550 RCX: 000000000d400005 [ 449.921843] RDX: 0000000000000001 RSI: 0000000000001000 RDI: ffffb83da53f5000 [ 449.929808] RBP: ffff8f4ac6675800 R08: ffffb83d878b3d30 R09: 00000000000efbdf [ 449.937774] R10: 0000000000000003 R11: ffff8f434573e000 R12: 0000000000001000 [ 449.945736] R13: 0000000000001000 R14: ffffb83da53f5000 R15: ffff8f43d4ea3ae0 [ 449.953701] FS: 0000000000000000(0000) GS:ffff8f529fc80000(0000) knlGS:0000000000000000 [ 449.962732] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 449.969138] CR2: 00007f8cf993e150 CR3: 0000000efbe10003 CR4: 00000000003706e0 [ 449.977102] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 449.985065] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [ 449.993028] Call Trace: [ 449.995756] __iommu_dma_free+0x96/0x100 [ 450.000139] bnx2fc_free_session_resc+0x67/0x240 [bnx2fc] [ 450.006171] bnx2fc_upload_session+0xce/0x100 [bnx2fc] [ 450.011910] bnx2fc_rport_event_handler+0x9f/0x240 [bnx2fc] [ 450.018136] fc_rport_work+0x103/0x5b0 [libfc] [ 450.023103] process_one_work+0x1e8/0x3c0 [ 450.027581] worker_thread+0x50/0x3b0 [ 450.031669] ? rescuer_thread+0x370/0x370 [ 450.036143] kthread+0x149/0x170 [ 450.039744] ? set_kthread_struct+0x40/0x40 [ 450.044411] ret_from_fork+0x22/0x30 [ 450.048404] Modules linked in: vfat msdos fat xfs nfs_layout_nfsv41_files rpcsec_gss_krb5 auth_rpcgss nfsv4 dns_resolver dm_service_time qedf qed crc8 bnx2fc libfcoe libfc scsi_transport_fc intel_rapl_msr intel_rapl_common x86_pkg_temp_thermal intel_powerclamp dcdbas rapl intel_cstate intel_uncore mei_me pcspkr mei ipmi_ssif lpc_ich ipmi_si fuse zram ext4 mbcache jbd2 loop nfsv3 nfs_acl nfs lockd grace fscache netfs irdma ice sd_mod t10_pi sg ib_uverbs ib_core 8021q garp mrp stp llc mgag200 i2c_algo_bit drm_kms_helper syscopyarea sysfillrect sysimgblt mxm_wmi fb_sys_fops cec crct10dif_pclmul ahci crc32_pclmul bnx2x drm ghash_clmulni_intel libahci rfkill i40e libata megaraid_sas mdio wmi sunrpc lrw dm_crypt dm_round_robin dm_multipath dm_snapshot dm_bufio dm_mirror dm_region_hash dm_log dm_zero dm_mod linear raid10 raid456 async_raid6_recov async_memcpy async_pq async_xor async_tx raid6_pq libcrc32c crc32c_intel raid1 raid0 iscsi_ibft squashfs be2iscsi bnx2i cnic uio cxgb4i cxgb4 tls [ 450.048497] libcxgbi libcxgb qla4xxx iscsi_boot_sysfs iscsi_tcp libiscsi_tcp libiscsi scsi_transport_iscsi edd ipmi_devintf ipmi_msghandler [ 450.159753] ---[ end trace 712de2c57c64abc8 ]--- Уязвимость компонента bnx2fc ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: mpi3mr: Avoid memcpy field-spanning write WARNING When the "storcli2 show" command is executed for eHBA-9600, mpi3mr driver prints this WARNING message: memcpy: detected field-spanning write (size 128) of single field "bsg_reply_buf->reply_buf" at drivers/scsi/mpi3mr/mpi3mr_app.c:1658 (size 1) WARNING: CPU: 0 PID: 12760 at drivers/scsi/mpi3mr/mpi3mr_app.c:1658 mpi3mr_bsg_request+0x6b12/0x7f10 [mpi3mr] The cause of the WARN is 128 bytes memcpy to the 1 byte size array "__u8 replay_buf[1]" in the struct mpi3mr_bsg_in_reply_buf. The array is intended to be a flexible length array, so the WARN is a false positive. To suppress the WARN, remove the constant number '1' from the array declaration and clarify that it has flexible length. Also, adjust the memory allocation size to match the change. Уязвимость компонентов mpi3mr_app.c, scsi_bsg_mpi3mr.h ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Release hbalock before calling lpfc_worker_wake_up() lpfc_worker_wake_up() calls the lpfc_work_done() routine, which takes the hbalock. Thus, lpfc_worker_wake_up() should not be called while holding the hbalock to avoid potential deadlock. Уязвимость компонентов lpfc_els.c, lpfc_hbadisc.c, lpfc_sli.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/pseries/iommu: LPAR panics during boot up with a frozen PE At the time of LPAR boot up, partition firmware provides Open Firmware property ibm,dma-window for the PE. This property is provided on the PCI bus the PE is attached to. There are execptions where the partition firmware might not provide this property for the PE at the time of LPAR boot up. One of the scenario is where the firmware has frozen the PE due to some error condition. This PE is frozen for 24 hours or unless the whole system is reinitialized. Within this time frame, if the LPAR is booted, the frozen PE will be presented to the LPAR but ibm,dma-window property could be missing. Today, under these circumstances, the LPAR oopses with NULL pointer dereference, when configuring the PCI bus the PE is attached to. BUG: Kernel NULL pointer dereference on read at 0x000000c8 Faulting instruction address: 0xc0000000001024c0 Oops: Kernel access of bad area, sig: 7 [#1] LE PAGE_SIZE=64K MMU=Radix SMP NR_CPUS=2048 NUMA pSeries Modules linked in: Supported: Yes CPU: 0 PID: 1 Comm: swapper/0 Not tainted 6.4.0-150600.9-default #1 Hardware name: IBM,9043-MRX POWER10 (raw) 0x800200 0xf000006 of:IBM,FW1060.00 (NM1060_023) hv:phyp pSeries NIP: c0000000001024c0 LR: c0000000001024b0 CTR: c000000000102450 REGS: c0000000037db5c0 TRAP: 0300 Not tainted (6.4.0-150600.9-default) MSR: 8000000002009033 <SF,VEC,EE,ME,IR,DR,RI,LE> CR: 28000822 XER: 00000000 CFAR: c00000000010254c DAR: 00000000000000c8 DSISR: 00080000 IRQMASK: 0 ... NIP [c0000000001024c0] pci_dma_bus_setup_pSeriesLP+0x70/0x2a0 LR [c0000000001024b0] pci_dma_bus_setup_pSeriesLP+0x60/0x2a0 Call Trace: pci_dma_bus_setup_pSeriesLP+0x60/0x2a0 (unreliable) pcibios_setup_bus_self+0x1c0/0x370 __of_scan_bus+0x2f8/0x330 pcibios_scan_phb+0x280/0x3d0 pcibios_init+0x88/0x12c do_one_initcall+0x60/0x320 kernel_init_freeable+0x344/0x3e4 kernel_init+0x34/0x1d0 ret_from_kernel_user_thread+0x14/0x1c Уязвимость компонента arch/powerpc/platforms/pseries/iommu.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/qeth: Fix kernel panic after setting hsuid Symptom: When the hsuid attribute is set for the first time on an IQD Layer3 device while the corresponding network interface is already UP, the kernel will try to execute a napi function pointer that is NULL. Example: --------------------------------------------------------------------------- [ 2057.572696] illegal operation: 0001 ilc:1 [#1] SMP [ 2057.572702] Modules linked in: af_iucv qeth_l3 zfcp scsi_transport_fc sunrpc nft_fib_inet nft_fib_ipv4 nft_fib_ipv6 nft_fib nft_reject_inet nf_reject_ipv4 nf_reject_ipv6 nft_reject nft_ct nf_tables_set nft_chain_nat nf_nat nf_conntrack nf_defrag_ipv6 nf_defrag_ipv4 ip_set nf_tables libcrc32c nfnetlink ghash_s390 prng xts aes_s390 des_s390 de s_generic sha3_512_s390 sha3_256_s390 sha512_s390 vfio_ccw vfio_mdev mdev vfio_iommu_type1 eadm_sch vfio ext4 mbcache jbd2 qeth_l2 bridge stp llc dasd_eckd_mod qeth dasd_mod qdio ccwgroup pkey zcrypt [ 2057.572739] CPU: 6 PID: 60182 Comm: stress_client Kdump: loaded Not tainted 4.18.0-541.el8.s390x #1 [ 2057.572742] Hardware name: IBM 3931 A01 704 (LPAR) [ 2057.572744] Krnl PSW : 0704f00180000000 0000000000000002 (0x2) [ 2057.572748] R:0 T:1 IO:1 EX:1 Key:0 M:1 W:0 P:0 AS:3 CC:3 PM:0 RI:0 EA:3 [ 2057.572751] Krnl GPRS: 0000000000000004 0000000000000000 00000000a3b008d8 0000000000000000 [ 2057.572754] 00000000a3b008d8 cb923a29c779abc5 0000000000000000 00000000814cfd80 [ 2057.572756] 000000000000012c 0000000000000000 00000000a3b008d8 00000000a3b008d8 [ 2057.572758] 00000000bab6d500 00000000814cfd80 0000000091317e46 00000000814cfc68 [ 2057.572762] Krnl Code:#0000000000000000: 0000 illegal >0000000000000002: 0000 illegal 0000000000000004: 0000 illegal 0000000000000006: 0000 illegal 0000000000000008: 0000 illegal 000000000000000a: 0000 illegal 000000000000000c: 0000 illegal 000000000000000e: 0000 illegal [ 2057.572800] Call Trace: [ 2057.572801] ([<00000000ec639700>] 0xec639700) [ 2057.572803] [<00000000913183e2>] net_rx_action+0x2ba/0x398 [ 2057.572809] [<0000000091515f76>] __do_softirq+0x11e/0x3a0 [ 2057.572813] [<0000000090ce160c>] do_softirq_own_stack+0x3c/0x58 [ 2057.572817] ([<0000000090d2cbd6>] do_softirq.part.1+0x56/0x60) [ 2057.572822] [<0000000090d2cc60>] __local_bh_enable_ip+0x80/0x98 [ 2057.572825] [<0000000091314706>] __dev_queue_xmit+0x2be/0xd70 [ 2057.572827] [<000003ff803dd6d6>] afiucv_hs_send+0x24e/0x300 [af_iucv] [ 2057.572830] [<000003ff803dd88a>] iucv_send_ctrl+0x102/0x138 [af_iucv] [ 2057.572833] [<000003ff803de72a>] iucv_sock_connect+0x37a/0x468 [af_iucv] [ 2057.572835] [<00000000912e7e90>] __sys_connect+0xa0/0xd8 [ 2057.572839] [<00000000912e9580>] sys_socketcall+0x228/0x348 [ 2057.572841] [<0000000091514e1a>] system_call+0x2a6/0x2c8 [ 2057.572843] Last Breaking-Event-Address: [ 2057.572844] [<0000000091317e44>] __napi_poll+0x4c/0x1d8 [ 2057.572846] [ 2057.572847] Kernel panic - not syncing: Fatal exception in interrupt ------------------------------------------------------------------------------------------- Analysis: There is one napi structure per out_q: card->qdio.out_qs[i].napi The napi.poll functions are set during qeth_open(). Since commit 1cfef80d4c2b ("s390/qeth: Don't call dev_close/dev_open (DOWN/UP)") qeth_set_offline()/qeth_set_online() no longer call dev_close()/ dev_open(). So if qeth_free_qdio_queues() cleared card->qdio.out_qs[i].napi.poll while the network interface was UP and the card was offline, they are not set again. Reproduction: chzdev -e $devno layer2=0 ip link set dev $network_interface up echo 0 > /sys/bus/ccw ---truncated--- Уязвимость компонентов s390/qeth ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: core: reject skb_copy(_expand) for fraglist GSO skbs SKB_GSO_FRAGLIST skbs must not be linearized, otherwise they become invalid. Return NULL if such an skb is passed to skb_copy or skb_copy_expand, in order to prevent a crash on a potential later call to skb_gso_segment. Уязвимость компонента net/core/skbuff.c ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spi: fix null pointer dereference within spi_sync If spi_sync() is called with the non-empty queue and the same spi_message is then reused, the complete callback for the message remains set while the context is cleared, leading to a null pointer dereference when the callback is invoked from spi_finalize_current_message(). With function inlining disabled, the call stack might look like this: _raw_spin_lock_irqsave from complete_with_flags+0x18/0x58 complete_with_flags from spi_complete+0x8/0xc spi_complete from spi_finalize_current_message+0xec/0x184 spi_finalize_current_message from spi_transfer_one_message+0x2a8/0x474 spi_transfer_one_message from __spi_pump_transfer_message+0x104/0x230 __spi_pump_transfer_message from __spi_transfer_message_noqueue+0x30/0xc4 __spi_transfer_message_noqueue from __spi_sync+0x204/0x248 __spi_sync from spi_sync+0x24/0x3c spi_sync from mcp251xfd_regmap_crc_read+0x124/0x28c [mcp251xfd] mcp251xfd_regmap_crc_read [mcp251xfd] from _regmap_raw_read+0xf8/0x154 _regmap_raw_read from _regmap_bus_read+0x44/0x70 _regmap_bus_read from _regmap_read+0x60/0xd8 _regmap_read from regmap_read+0x3c/0x5c regmap_read from mcp251xfd_alloc_can_err_skb+0x1c/0x54 [mcp251xfd] mcp251xfd_alloc_can_err_skb [mcp251xfd] from mcp251xfd_irq+0x194/0xe70 [mcp251xfd] mcp251xfd_irq [mcp251xfd] from irq_thread_fn+0x1c/0x78 irq_thread_fn from irq_thread+0x118/0x1f4 irq_thread from kthread+0xd8/0xf4 kthread from ret_from_fork+0x14/0x28 Fix this by also setting message->complete to NULL when the transfer is complete. Уязвимость функции __spi_sync() в модуле drivers/spi/spi.c драйвера Serial Peripheral Interface (SPI) ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/cio: Ensure the copied buf is NUL terminated Currently, we allocate a lbuf-sized kernel buffer and copy lbuf from userspace to that buffer. Later, we use scanf on this buffer but we don't ensure that the string is terminated inside the buffer, this can lead to OOB read when using scanf. Fix this issue by using memdup_user_nul instead. Уязвимость компонентов s390/cio ядра операционной системы Linux связана с ошибками чтения за пределами границ буфера памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nsh: Restore skb->{protocol,data,mac_header} for outer header in nsh_gso_segment(). syzbot triggered various splats (see [0] and links) by a crafted GSO packet of VIRTIO_NET_HDR_GSO_UDP layering the following protocols: ETH_P_8021AD + ETH_P_NSH + ETH_P_IPV6 + IPPROTO_UDP NSH can encapsulate IPv4, IPv6, Ethernet, NSH, and MPLS. As the inner protocol can be Ethernet, NSH GSO handler, nsh_gso_segment(), calls skb_mac_gso_segment() to invoke inner protocol GSO handlers. nsh_gso_segment() does the following for the original skb before calling skb_mac_gso_segment() 1. reset skb->network_header 2. save the original skb->{mac_heaeder,mac_len} in a local variable 3. pull the NSH header 4. resets skb->mac_header 5. set up skb->mac_len and skb->protocol for the inner protocol. and does the following for the segmented skb 6. set ntohs(ETH_P_NSH) to skb->protocol 7. push the NSH header 8. restore skb->mac_header 9. set skb->mac_header + mac_len to skb->network_header 10. restore skb->mac_len There are two problems in 6-7 and 8-9. (a) After 6 & 7, skb->data points to the NSH header, so the outer header (ETH_P_8021AD in this case) is stripped when skb is sent out of netdev. Also, if NSH is encapsulated by NSH + Ethernet (so NSH-Ethernet-NSH), skb_pull() in the first nsh_gso_segment() will make skb->data point to the middle of the outer NSH or Ethernet header because the Ethernet header is not pulled by the second nsh_gso_segment(). (b) While restoring skb->{mac_header,network_header} in 8 & 9, nsh_gso_segment() does not assume that the data in the linear buffer is shifted. However, udp6_ufo_fragment() could shift the data and change skb->mac_header accordingly as demonstrated by syzbot. If this happens, even the restored skb->mac_header points to the middle of the outer header. It seems nsh_gso_segment() has never worked with outer headers so far. At the end of nsh_gso_segment(), the outer header must be restored for the segmented skb, instead of the NSH header. To do that, let's calculate the outer header position relatively from the inner header and set skb->{data,mac_header,protocol} properly. [0]: BUG: KMSAN: uninit-value in ipvlan_process_outbound drivers/net/ipvlan/ipvlan_core.c:524 [inline] BUG: KMSAN: uninit-value in ipvlan_xmit_mode_l3 drivers/net/ipvlan/ipvlan_core.c:602 [inline] BUG: KMSAN: uninit-value in ipvlan_queue_xmit+0xf44/0x16b0 drivers/net/ipvlan/ipvlan_core.c:668 ipvlan_process_outbound drivers/net/ipvlan/ipvlan_core.c:524 [inline] ipvlan_xmit_mode_l3 drivers/net/ipvlan/ipvlan_core.c:602 [inline] ipvlan_queue_xmit+0xf44/0x16b0 drivers/net/ipvlan/ipvlan_core.c:668 ipvlan_start_xmit+0x5c/0x1a0 drivers/net/ipvlan/ipvlan_main.c:222 __netdev_start_xmit include/linux/netdevice.h:4989 [inline] netdev_start_xmit include/linux/netdevice.h:5003 [inline] xmit_one net/core/dev.c:3547 [inline] dev_hard_start_xmit+0x244/0xa10 net/core/dev.c:3563 __dev_queue_xmit+0x33ed/0x51c0 net/core/dev.c:4351 dev_queue_xmit include/linux/netdevice.h:3171 [inline] packet_xmit+0x9c/0x6b0 net/packet/af_packet.c:276 packet_snd net/packet/af_packet.c:3081 [inline] packet_sendmsg+0x8aef/0x9f10 net/packet/af_packet.c:3113 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg net/socket.c:745 [inline] __sys_sendto+0x735/0xa10 net/socket.c:2191 __do_sys_sendto net/socket.c:2203 [inline] __se_sys_sendto net/socket.c:2199 [inline] __x64_sys_sendto+0x125/0x1c0 net/socket.c:2199 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcf/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x63/0x6b Uninit was created at: slab_post_alloc_hook mm/slub.c:3819 [inline] slab_alloc_node mm/slub.c:3860 [inline] __do_kmalloc_node mm/slub.c:3980 [inline] __kmalloc_node_track_caller+0x705/0x1000 mm/slub.c:4001 kmalloc_reserve+0x249/0x4a0 net/core/skbuff.c:582 __ ---truncated--- Уязвимость функции nsh_gso_segment() компонента net/nsh/nsh.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bna: ensure the copied buf is NUL terminated Currently, we allocate a nbytes-sized kernel buffer and copy nbytes from userspace to that buffer. Later, we use sscanf on this buffer but we don't ensure that the string is terminated inside the buffer, this can lead to OOB read when using sscanf. Fix this issue by using memdup_user_nul instead of memdup_user. Уязвимость функций bnad_debugfs_write_regrd() и bnad_debugfs_write_regwr() в модуле drivers/net/ethernet/brocade/bna/bnad_debugfs.c компонента bna ядра операционной системы Linux связана с ошибками чтения за пределами границ буфера памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xdp: use flags field to disambiguate broadcast redirect When redirecting a packet using XDP, the bpf_redirect_map() helper will set up the redirect destination information in struct bpf_redirect_info (using the __bpf_xdp_redirect_map() helper function), and the xdp_do_redirect() function will read this information after the XDP program returns and pass the frame on to the right redirect destination. When using the BPF_F_BROADCAST flag to do multicast redirect to a whole map, __bpf_xdp_redirect_map() sets the 'map' pointer in struct bpf_redirect_info to point to the destination map to be broadcast. And xdp_do_redirect() reacts to the value of this map pointer to decide whether it's dealing with a broadcast or a single-value redirect. However, if the destination map is being destroyed before xdp_do_redirect() is called, the map pointer will be cleared out (by bpf_clear_redirect_map()) without waiting for any XDP programs to stop running. This causes xdp_do_redirect() to think that the redirect was to a single target, but the target pointer is also NULL (since broadcast redirects don't have a single target), so this causes a crash when a NULL pointer is passed to dev_map_enqueue(). To fix this, change xdp_do_redirect() to react directly to the presence of the BPF_F_BROADCAST flag in the 'flags' value in struct bpf_redirect_info to disambiguate between a single-target and a broadcast redirect. And only read the 'map' pointer if the broadcast flag is set, aborting if that has been cleared out in the meantime. This prevents the crash, while keeping the atomic (cmpxchg-based) clearing of the map pointer itself, and without adding any more checks in the non-broadcast fast path. Уязвимость компонента net/core/filter.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf, skmsg: Fix NULL pointer dereference in sk_psock_skb_ingress_enqueue Fix NULL pointer data-races in sk_psock_skb_ingress_enqueue() which syzbot reported [1]. [1] BUG: KCSAN: data-race in sk_psock_drop / sk_psock_skb_ingress_enqueue write to 0xffff88814b3278b8 of 8 bytes by task 10724 on cpu 1: sk_psock_stop_verdict net/core/skmsg.c:1257 [inline] sk_psock_drop+0x13e/0x1f0 net/core/skmsg.c:843 sk_psock_put include/linux/skmsg.h:459 [inline] sock_map_close+0x1a7/0x260 net/core/sock_map.c:1648 unix_release+0x4b/0x80 net/unix/af_unix.c:1048 __sock_release net/socket.c:659 [inline] sock_close+0x68/0x150 net/socket.c:1421 __fput+0x2c1/0x660 fs/file_table.c:422 __fput_sync+0x44/0x60 fs/file_table.c:507 __do_sys_close fs/open.c:1556 [inline] __se_sys_close+0x101/0x1b0 fs/open.c:1541 __x64_sys_close+0x1f/0x30 fs/open.c:1541 do_syscall_64+0xd3/0x1d0 entry_SYSCALL_64_after_hwframe+0x6d/0x75 read to 0xffff88814b3278b8 of 8 bytes by task 10713 on cpu 0: sk_psock_data_ready include/linux/skmsg.h:464 [inline] sk_psock_skb_ingress_enqueue+0x32d/0x390 net/core/skmsg.c:555 sk_psock_skb_ingress_self+0x185/0x1e0 net/core/skmsg.c:606 sk_psock_verdict_apply net/core/skmsg.c:1008 [inline] sk_psock_verdict_recv+0x3e4/0x4a0 net/core/skmsg.c:1202 unix_read_skb net/unix/af_unix.c:2546 [inline] unix_stream_read_skb+0x9e/0xf0 net/unix/af_unix.c:2682 sk_psock_verdict_data_ready+0x77/0x220 net/core/skmsg.c:1223 unix_stream_sendmsg+0x527/0x860 net/unix/af_unix.c:2339 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x140/0x180 net/socket.c:745 ____sys_sendmsg+0x312/0x410 net/socket.c:2584 ___sys_sendmsg net/socket.c:2638 [inline] __sys_sendmsg+0x1e9/0x280 net/socket.c:2667 __do_sys_sendmsg net/socket.c:2676 [inline] __se_sys_sendmsg net/socket.c:2674 [inline] __x64_sys_sendmsg+0x46/0x50 net/socket.c:2674 do_syscall_64+0xd3/0x1d0 entry_SYSCALL_64_after_hwframe+0x6d/0x75 value changed: 0xffffffff83d7feb0 -> 0x0000000000000000 Reported by Kernel Concurrency Sanitizer on: CPU: 0 PID: 10713 Comm: syz-executor.4 Tainted: G W 6.8.0-syzkaller-08951-gfe46a7dd189e #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/29/2024 Prior to this, commit 4cd12c6065df ("bpf, sockmap: Fix NULL pointer dereference in sk_psock_verdict_data_ready()") fixed one NULL pointer similarly due to no protection of saved_data_ready. Here is another different caller causing the same issue because of the same reason. So we should protect it with sk_callback_lock read lock because the writer side in the sk_psock_drop() uses "write_lock_bh(&sk->sk_callback_lock);". To avoid errors that could happen in future, I move those two pairs of lock into the sk_psock_data_ready(), which is suggested by John Fastabend. Уязвимость функции sk_psock_verdict_data_ready() в модуле net/core/skmsg.c ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfs: Handle error of rpc_proc_register() in nfs_net_init(). syzkaller reported a warning [0] triggered while destroying immature netns. rpc_proc_register() was called in init_nfs_fs(), but its error has been ignored since at least the initial commit 1da177e4c3f4 ("Linux-2.6.12-rc2"). Recently, commit d47151b79e32 ("nfs: expose /proc/net/sunrpc/nfs in net namespaces") converted the procfs to per-netns and made the problem more visible. Even when rpc_proc_register() fails, nfs_net_init() could succeed, and thus nfs_net_exit() will be called while destroying the netns. Then, remove_proc_entry() will be called for non-existing proc directory and trigger the warning below. Let's handle the error of rpc_proc_register() properly in nfs_net_init(). [0]: name 'nfs' WARNING: CPU: 1 PID: 1710 at fs/proc/generic.c:711 remove_proc_entry+0x1bb/0x2d0 fs/proc/generic.c:711 Modules linked in: CPU: 1 PID: 1710 Comm: syz-executor.2 Not tainted 6.8.0-12822-gcd51db110a7e #12 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:remove_proc_entry+0x1bb/0x2d0 fs/proc/generic.c:711 Code: 41 5d 41 5e c3 e8 85 09 b5 ff 48 c7 c7 88 58 64 86 e8 09 0e 71 02 e8 74 09 b5 ff 4c 89 e6 48 c7 c7 de 1b 80 84 e8 c5 ad 97 ff <0f> 0b eb b1 e8 5c 09 b5 ff 48 c7 c7 88 58 64 86 e8 e0 0d 71 02 eb RSP: 0018:ffffc9000c6d7ce0 EFLAGS: 00010286 RAX: 0000000000000000 RBX: ffff8880422b8b00 RCX: ffffffff8110503c RDX: ffff888030652f00 RSI: ffffffff81105045 RDI: 0000000000000001 RBP: 0000000000000000 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: ffffffff81bb62cb R12: ffffffff84807ffc R13: ffff88804ad6fcc0 R14: ffffffff84807ffc R15: ffffffff85741ff8 FS: 00007f30cfba8640(0000) GS:ffff88807dd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007ff51afe8000 CR3: 000000005a60a005 CR4: 0000000000770ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> rpc_proc_unregister+0x64/0x70 net/sunrpc/stats.c:310 nfs_net_exit+0x1c/0x30 fs/nfs/inode.c:2438 ops_exit_list+0x62/0xb0 net/core/net_namespace.c:170 setup_net+0x46c/0x660 net/core/net_namespace.c:372 copy_net_ns+0x244/0x590 net/core/net_namespace.c:505 create_new_namespaces+0x2ed/0x770 kernel/nsproxy.c:110 unshare_nsproxy_namespaces+0xae/0x160 kernel/nsproxy.c:228 ksys_unshare+0x342/0x760 kernel/fork.c:3322 __do_sys_unshare kernel/fork.c:3393 [inline] __se_sys_unshare kernel/fork.c:3391 [inline] __x64_sys_unshare+0x1f/0x30 kernel/fork.c:3391 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0x4f/0x110 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x46/0x4e RIP: 0033:0x7f30d0febe5d Code: ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d 73 9f 1b 00 f7 d8 64 89 01 48 RSP: 002b:00007f30cfba7cc8 EFLAGS: 00000246 ORIG_RAX: 0000000000000110 RAX: ffffffffffffffda RBX: 00000000004bbf80 RCX: 00007f30d0febe5d RDX: 0000000000000000 RSI: 0000000000000000 RDI: 000000006c020600 RBP: 00000000004bbf80 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000002 R13: 000000000000000b R14: 00007f30d104c530 R15: 0000000000000000 </TASK> Уязвимость функции nfs_net_init() компонента fs/nfs/inode.c ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: core: delete incorrect free in pinctrl_enable() The "pctldev" struct is allocated in devm_pinctrl_register_and_init(). It's a devm_ managed pointer that is freed by devm_pinctrl_dev_release(), so freeing it in pinctrl_enable() will lead to a double free. The devm_pinctrl_dev_release() function frees the pindescs and destroys the mutex as well. Уязвимость функции pinctrl_enable() компонента drivers/pinctrl/core.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: nl80211: don't free NULL coalescing rule If the parsing fails, we can dereference a NULL pointer here. Уязвимость компонента net/wireless/nl80211.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Reapply "drm/qxl: simplify qxl_fence_wait" This reverts commit 07ed11afb68d94eadd4ffc082b97c2331307c5ea. Stephen Rostedt reports: "I went to run my tests on my VMs and the tests hung on boot up. Unfortunately, the most I ever got out was: [ 93.607888] Testing event system initcall: OK [ 93.667730] Running tests on all trace events: [ 93.669757] Testing all events: OK [ 95.631064] ------------[ cut here ]------------ Timed out after 60 seconds" and further debugging points to a possible circular locking dependency between the console_owner locking and the worker pool locking. Reverting the commit allows Steve's VM to boot to completion again. [ This may obviously result in the "[TTM] Buffer eviction failed" messages again, which was the reason for that original revert. But at this point this seems preferable to a non-booting system... ] Уязвимость компонентов drm/qxl ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/smc: fix neighbour and rtable leak in smc_ib_find_route() In smc_ib_find_route(), the neighbour found by neigh_lookup() and rtable resolved by ip_route_output_flow() are not released or put before return. It may cause the refcount leak, so fix it. Уязвимость компонентов net/smc ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальной информации [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: phonet: fix rtm_phonet_notify() skb allocation fill_route() stores three components in the skb: - struct rtmsg - RTA_DST (u8) - RTA_OIF (u32) Therefore, rtm_phonet_notify() should use NLMSG_ALIGN(sizeof(struct rtmsg)) + nla_total_size(1) + nla_total_size(4) Уязвимость компонента net/phonet/pn_netlink.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: qibfs: fix dentry leak simple_recursive_removal() drops the pinning references to all positives in subtree. For the cases when its argument has been kept alive by the pinning alone that's exactly the right thing to do, but here the argument comes from dcache lookup, that needs to be balanced by explicit dput(). Fucked-up-by: Al Viro <viro@zeniv.linux.org.uk> Уязвимость компонента drivers/infiniband/hw/qib/qib_fs.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firewire: ohci: mask bus reset interrupts between ISR and bottom half In the FireWire OHCI interrupt handler, if a bus reset interrupt has occurred, mask bus reset interrupts until bus_reset_work has serviced and cleared the interrupt. Normally, we always leave bus reset interrupts masked. We infer the bus reset from the self-ID interrupt that happens shortly thereafter. A scenario where we unmask bus reset interrupts was introduced in 2008 in a007bb857e0b26f5d8b73c2ff90782d9c0972620: If OHCI_PARAM_DEBUG_BUSRESETS (8) is set in the debug parameter bitmask, we will unmask bus reset interrupts so we can log them. irq_handler logs the bus reset interrupt. However, we can't clear the bus reset event flag in irq_handler, because we won't service the event until later. irq_handler exits with the event flag still set. If the corresponding interrupt is still unmasked, the first bus reset will usually freeze the system due to irq_handler being called again each time it exits. This freeze can be reproduced by loading firewire_ohci with "modprobe firewire_ohci debug=-1" (to enable all debugging output). Apparently there are also some cases where bus_reset_work will get called soon enough to clear the event, and operation will continue normally. This freeze was first reported a few months after a007bb85 was committed, but until now it was never fixed. The debug level could safely be set to -1 through sysfs after the module was loaded, but this would be ineffectual in logging bus reset interrupts since they were only unmasked during initialization. irq_handler will now leave the event flag set but mask bus reset interrupts, so irq_handler won't be called again and there will be no freeze. If OHCI_PARAM_DEBUG_BUSRESETS is enabled, bus_reset_work will unmask the interrupt after servicing the event, so future interrupts will be caught as desired. As a side effect to this change, OHCI_PARAM_DEBUG_BUSRESETS can now be enabled through sysfs in addition to during initial module loading. However, when enabled through sysfs, logging of bus reset interrupts will be effective only starting with the second bus reset, after bus_reset_work has executed. Уязвимость компонента drivers/firewire/ohci.c ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Move NPIV's transport unregistration to after resource clean up There are cases after NPIV deletion where the fabric switch still believes the NPIV is logged into the fabric. This occurs when a vport is unregistered before the Remove All DA_ID CT and LOGO ELS are sent to the fabric. Currently fc_remove_host(), which calls dev_loss_tmo for all D_IDs including the fabric D_ID, removes the last ndlp reference and frees the ndlp rport object. This sometimes causes the race condition where the final DA_ID and LOGO are skipped from being sent to the fabric switch. Fix by moving the fc_remove_host() and scsi_remove_host() calls after DA_ID and LOGO are sent. Уязвимость компонента lpfc ядра операционной системы Linux связана с конкурентным доступом к ресурсу (состояние гонки) в функции lpfc_vport_delete(). Эксплуатация уязвимости может позволить нарушителю повысить привилегии в системе [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: arm64: vgic-v2: Check for non-NULL vCPU in vgic_v2_parse_attr() vgic_v2_parse_attr() is responsible for finding the vCPU that matches the user-provided CPUID, which (of course) may not be valid. If the ID is invalid, kvm_get_vcpu_by_id() returns NULL, which isn't handled gracefully. Similar to the GICv3 uaccess flow, check that kvm_get_vcpu_by_id() actually returns something and fail the ioctl if not. Уязвимость компонента vgic-v2 ядра операционной системы Linux связана с некорректной обработкой ошибок в функции kvm_register_vgic_device(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: fix a possible memleak in tipc_buf_append __skb_linearize() doesn't free the skb when it fails, so move '*buf = NULL' after __skb_linearize(), so that the skb can be freed on the err path. Уязвимость функции tipc_buf_append() компонента net/tipc/msg.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-af: avoid off-by-one read from userspace We try to access count + 1 byte from userspace with memdup_user(buffer, count + 1). However, the userspace only provides buffer of count bytes and only these count bytes are verified to be okay to access. To ensure the copied buffer is NUL terminated, we use memdup_user_nul instead. Уязвимость компонента octeontx2-af ядра операционной системы Linux связана с ошибкой смещения на единицу (off-by-one error) в функции rvu_dbg_qsize_write(). Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с повышенными привилегиями [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: devicetree: fix refcount leak in pinctrl_dt_to_map() If we fail to allocate propname buffer, we need to drop the reference count we just took. Because the pinctrl_dt_free_maps() includes the droping operation, here we call it directly. Уязвимость компонента devicetree ядра операционной системы Linux связана с недостаточной защитой служебных данных в функции pinctrl_dt_to_map(). Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальной информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vmwgfx: Fix invalid reads in fence signaled events Correctly set the length of the drm_event to the size of the structure that's actually used. The length of the drm_event was set to the parent structure instead of to the drm_vmw_event_fence which is supposed to be read. drm_read uses the length parameter to copy the event to the user space thus resuling in oob reads. Уязвимость компонентов drm/vmwgfx ядра операционной системы Linux связана с выходом операции за границы буфера в памяти в функции vmw_event_fence_action_create(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ks8851: Queue RX packets in IRQ handler instead of disabling BHs Currently the driver uses local_bh_disable()/local_bh_enable() in its IRQ handler to avoid triggering net_rx_action() softirq on exit from netif_rx(). The net_rx_action() could trigger this driver .start_xmit callback, which is protected by the same lock as the IRQ handler, so calling the .start_xmit from netif_rx() from the IRQ handler critical section protected by the lock could lead to an attempt to claim the already claimed lock, and a hang. The local_bh_disable()/local_bh_enable() approach works only in case the IRQ handler is protected by a spinlock, but does not work if the IRQ handler is protected by mutex, i.e. this works for KS8851 with Parallel bus interface, but not for KS8851 with SPI bus interface. Remove the BH manipulation and instead of calling netif_rx() inside the IRQ handler code protected by the lock, queue all the received SKBs in the IRQ handler into a queue first, and once the IRQ handler exits the critical section protected by the lock, dequeue all the queued SKBs and push them all into netif_rx(). At this point, it is safe to trigger the net_rx_action() softirq, since the netif_rx() call is outside of the lock that protects the IRQ handler. Уязвимость компонента ks8851 ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/9p: only translate RWX permissions for plain 9P2000 Garbage in plain 9P2000's perm bits is allowed through, which causes it to be able to set (among others) the suid bit. This was presumably not the intent since the unix extended bits are handled explicitly and conditionally on .u. Уязвимость компонентов fs/9p ядра операционной системы Linux связана с неправильно установленными разрешениями в функции p9mode2perm(). Эксплуатация уязвимости может позволить нарушителю читать и манипулировать данными [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: remoteproc: mediatek: Make sure IPI buffer fits in L2TCM The IPI buffer location is read from the firmware that we load to the System Companion Processor, and it's not granted that both the SRAM (L2TCM) size that is defined in the devicetree node is large enough for that, and while this is especially true for multi-core SCP, it's still useful to check on single-core variants as well. Failing to perform this check may make this driver perform R/W operations out of the L2TCM boundary, resulting (at best) in a kernel panic. To fix that, check that the IPI buffer fits, otherwise return a failure and refuse to boot the relevant SCP core (or the SCP at all, if this is single core). Уязвимость функции scp_ipi_init() в модуле drivers/remoteproc/mtk_scp.c драйвера сопроцессоров ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KEYS: trusted: Fix memory leak in tpm2_key_encode() 'scratch' is never freed. Fix this by calling kfree() in the success, and in the error case. Уязвимость функции tpm2_key_encode() в модуле security/keys/trusted-keys/trusted_tpm2.c подсистемы Trusted Platform Module (TPM) ядра операционной системы Linux связана с утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix division by zero in setup_dsc_config When slice_height is 0, the division by slice_height in the calculation of the number of slices will cause a division by zero driver crash. This leaves the kernel in a state that requires a reboot. This patch adds a check to avoid the division by zero. The stack trace below is for the 6.8.4 Kernel. I reproduced the issue on a Z16 Gen 2 Lenovo Thinkpad with a Apple Studio Display monitor connected via Thunderbolt. The amdgpu driver crashed with this exception when I rebooted the system with the monitor connected. kernel: ? die (arch/x86/kernel/dumpstack.c:421 arch/x86/kernel/dumpstack.c:434 arch/x86/kernel/dumpstack.c:447) kernel: ? do_trap (arch/x86/kernel/traps.c:113 arch/x86/kernel/traps.c:154) kernel: ? setup_dsc_config (drivers/gpu/drm/amd/amdgpu/../display/dc/dsc/dc_dsc.c:1053) amdgpu kernel: ? do_error_trap (./arch/x86/include/asm/traps.h:58 arch/x86/kernel/traps.c:175) kernel: ? setup_dsc_config (drivers/gpu/drm/amd/amdgpu/../display/dc/dsc/dc_dsc.c:1053) amdgpu kernel: ? exc_divide_error (arch/x86/kernel/traps.c:194 (discriminator 2)) kernel: ? setup_dsc_config (drivers/gpu/drm/amd/amdgpu/../display/dc/dsc/dc_dsc.c:1053) amdgpu kernel: ? asm_exc_divide_error (./arch/x86/include/asm/idtentry.h:548) kernel: ? setup_dsc_config (drivers/gpu/drm/amd/amdgpu/../display/dc/dsc/dc_dsc.c:1053) amdgpu kernel: dc_dsc_compute_config (drivers/gpu/drm/amd/amdgpu/../display/dc/dsc/dc_dsc.c:1109) amdgpu After applying this patch, the driver no longer crashes when the monitor is connected and the system is rebooted. I believe this is the same issue reported for 3113. Уязвимость функции setup_dsc_config() в модуле drivers/gpu/drm/amd/display/dc/dsc/dc_dsc.c драйвера amdgpu ядра операционной системы Linux связана с отсутствием проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: af_unix: Update unix_sk(sk)->oob_skb under sk_receive_queue lock. Billy Jheng Bing-Jhong reported a race between __unix_gc() and queue_oob(). __unix_gc() tries to garbage-collect close()d inflight sockets, and then if the socket has MSG_OOB in unix_sk(sk)->oob_skb, GC will drop the reference and set NULL to it locklessly. However, the peer socket still can send MSG_OOB message and queue_oob() can update unix_sk(sk)->oob_skb concurrently, leading NULL pointer dereference. [0] To fix the issue, let's update unix_sk(sk)->oob_skb under the sk_receive_queue's lock and take it everywhere we touch oob_skb. Note that we defer kfree_skb() in manage_oob() to silence lockdep false-positive (See [1]). [0]: BUG: kernel NULL pointer dereference, address: 0000000000000008 PF: supervisor write access in kernel mode PF: error_code(0x0002) - not-present page PGD 8000000009f5e067 P4D 8000000009f5e067 PUD 9f5d067 PMD 0 Oops: 0002 [#1] PREEMPT SMP PTI CPU: 3 PID: 50 Comm: kworker/3:1 Not tainted 6.9.0-rc5-00191-gd091e579b864 #110 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 Workqueue: events delayed_fput RIP: 0010:skb_dequeue (./include/linux/skbuff.h:2386 ./include/linux/skbuff.h:2402 net/core/skbuff.c:3847) Code: 39 e3 74 3e 8b 43 10 48 89 ef 83 e8 01 89 43 10 49 8b 44 24 08 49 c7 44 24 08 00 00 00 00 49 8b 14 24 49 c7 04 24 00 00 00 00 <48> 89 42 08 48 89 10 e8 e7 c5 42 00 4c 89 e0 5b 5d 41 5c c3 cc cc RSP: 0018:ffffc900001bfd48 EFLAGS: 00000002 RAX: 0000000000000000 RBX: ffff8880088f5ae8 RCX: 00000000361289f9 RDX: 0000000000000000 RSI: 0000000000000206 RDI: ffff8880088f5b00 RBP: ffff8880088f5b00 R08: 0000000000080000 R09: 0000000000000001 R10: 0000000000000003 R11: 0000000000000001 R12: ffff8880056b6a00 R13: ffff8880088f5280 R14: 0000000000000001 R15: ffff8880088f5a80 FS: 0000000000000000(0000) GS:ffff88807dd80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000008 CR3: 0000000006314000 CR4: 00000000007506f0 PKRU: 55555554 Call Trace: <TASK> unix_release_sock (net/unix/af_unix.c:654) unix_release (net/unix/af_unix.c:1050) __sock_release (net/socket.c:660) sock_close (net/socket.c:1423) __fput (fs/file_table.c:423) delayed_fput (fs/file_table.c:444 (discriminator 3)) process_one_work (kernel/workqueue.c:3259) worker_thread (kernel/workqueue.c:3329 kernel/workqueue.c:3416) kthread (kernel/kthread.c:388) ret_from_fork (arch/x86/kernel/process.c:153) ret_from_fork_asm (arch/x86/entry/entry_64.S:257) </TASK> Modules linked in: CR2: 0000000000000008 Уязвимость функции queue_oob() в модуле net/unix/af_unix.c реализации сокетов AF_UNIX ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: misc: microchip: pci1xxxx: fix double free in the error handling of gp_aux_bus_probe() When auxiliary_device_add() returns error and then calls auxiliary_device_uninit(), callback function gp_auxiliary_device_release() calls ida_free() and kfree(aux_device_wrapper) to free memory. We should't call them again in the error handling path. Fix this by skipping the redundant cleanup functions. Уязвимость функции gp_aux_bus_probe() в модуле drivers/misc/mchp_pci1xxxx/mchp_pci1xxxx_gp.c драйвера Microchip PCI1XXXX ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: taprio: always validate TCA_TAPRIO_ATTR_PRIOMAP If one TCA_TAPRIO_ATTR_PRIOMAP attribute has been provided, taprio_parse_mqprio_opt() must validate it, or userspace can inject arbitrary data to the kernel, the second time taprio_change() is called. First call (with valid attributes) sets dev->num_tc to a non zero value. Second call (with arbitrary mqprio attributes) returns early from taprio_parse_mqprio_opt() and bad things can happen. Уязвимость функции taprio_parse_mqprio_opt() в модуле net/sched/sch_taprio.c подсистемы управления трафиком net/sched ядра операционной системы Linux связана с недостаточной проверкой полученных от пользователя данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KEYS: trusted: Do not use WARN when encode fails When asn1_encode_sequence() fails, WARN is not the correct solution. 1. asn1_encode_sequence() is not an internal function (located in lib/asn1_encode.c). 2. Location is known, which makes the stack trace useless. 3. Results a crash if panic_on_warn is set. It is also noteworthy that the use of WARN is undocumented, and it should be avoided unless there is a carefully considered rationale to use it. Replace WARN with pr_err, and print the return value instead, which is only useful piece of information. Уязвимость функции tpm2_key_encode() в модуле security/keys/trusted-keys/trusted_tpm2.c подсистемы Trusted Platform Module (TPM) ядра операционной системы Linux связана с некорректной обработкой кода возврата функции asn1_encode_sequence(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: Wait unconditionally after issuing EndXfer command Currently all controller IP/revisions except DWC3_usb3 >= 310a wait 1ms unconditionally for ENDXFER completion when IOC is not set. This is because DWC_usb3 controller revisions >= 3.10a supports GUCTL2[14: Rst_actbitlater] bit which allows polling CMDACT bit to know whether ENDXFER command is completed. Consider a case where an IN request was queued, and parallelly soft_disconnect was called (due to ffs_epfile_release). This eventually calls stop_active_transfer with IOC cleared, hence send_gadget_ep_cmd() skips waiting for CMDACT cleared during EndXfer. For DWC3 controllers with revisions >= 310a, we don't forcefully wait for 1ms either, and we proceed by unmapping the requests. If ENDXFER didn't complete by this time, it leads to SMMU faults since the controller would still be accessing those requests. Fix this by ensuring ENDXFER completion by adding 1ms delay in __dwc3_stop_active_transfer() unconditionally. Уязвимость функции __dwc3_stop_active_transfer() в модуле drivers/usb/dwc3/gadget.c драйвера DesignWare USB3 ядра операционной системы Linux связана с конкурентным доступом к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fpga: manager: add owner module and take its refcount The current implementation of the fpga manager assumes that the low-level module registers a driver for the parent device and uses its owner pointer to take the module's refcount. This approach is problematic since it can lead to a null pointer dereference while attempting to get the manager if the parent device does not have a driver. To address this problem, add a module owner pointer to the fpga_manager struct and use it to take the module's refcount. Modify the functions for registering the manager to take an additional owner module parameter and rename them to avoid conflicts. Use the old function names for helper macros that automatically set the module that registers the manager as the owner. This ensures compatibility with existing low-level control modules and reduces the chances of registering a manager without setting the owner. Also, update the documentation to keep it consistent with the new interface for registering an fpga manager. Other changes: opportunistically move put_device() from __fpga_mgr_get() to fpga_mgr_get() and of_fpga_mgr_get() to improve code clarity since the manager device is taken in these functions. Уязвимость компонентов fpga-mgr.rst, fpga-mgr.c, fpga-mgr.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix potential kernel bug due to lack of writeback flag waiting Destructive writes to a block device on which nilfs2 is mounted can cause a kernel bug in the folio/page writeback start routine or writeback end routine (__folio_start_writeback in the log below): kernel BUG at mm/page-writeback.c:3070! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN PTI ... RIP: 0010:__folio_start_writeback+0xbaa/0x10e0 Code: 25 ff 0f 00 00 0f 84 18 01 00 00 e8 40 ca c6 ff e9 17 f6 ff ff e8 36 ca c6 ff 4c 89 f7 48 c7 c6 80 c0 12 84 e8 e7 b3 0f 00 90 <0f> 0b e8 1f ca c6 ff 4c 89 f7 48 c7 c6 a0 c6 12 84 e8 d0 b3 0f 00 ... Call Trace: <TASK> nilfs_segctor_do_construct+0x4654/0x69d0 [nilfs2] nilfs_segctor_construct+0x181/0x6b0 [nilfs2] nilfs_segctor_thread+0x548/0x11c0 [nilfs2] kthread+0x2f0/0x390 ret_from_fork+0x4b/0x80 ret_from_fork_asm+0x1a/0x30 </TASK> This is because when the log writer starts a writeback for segment summary blocks or a super root block that use the backing device's page cache, it does not wait for the ongoing folio/page writeback, resulting in an inconsistent writeback state. Fix this issue by waiting for ongoing writebacks when putting folios/pages on the backing device into writeback state. Уязвимость функции nilfs_segctor_prepare_write() в модуле fs/nilfs2/segment.c файловой системы nilfs2 ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix crash on racing fsync and size-extending write into prealloc We have been seeing crashes on duplicate keys in btrfs_set_item_key_safe(): BTRFS critical (device vdb): slot 4 key (450 108 8192) new key (450 108 8192) ------------[ cut here ]------------ kernel BUG at fs/btrfs/ctree.c:2620! invalid opcode: 0000 [#1] PREEMPT SMP PTI CPU: 0 PID: 3139 Comm: xfs_io Kdump: loaded Not tainted 6.9.0 #6 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-2.fc40 04/01/2014 RIP: 0010:btrfs_set_item_key_safe+0x11f/0x290 [btrfs] With the following stack trace: #0 btrfs_set_item_key_safe (fs/btrfs/ctree.c:2620:4) #1 btrfs_drop_extents (fs/btrfs/file.c:411:4) #2 log_one_extent (fs/btrfs/tree-log.c:4732:9) #3 btrfs_log_changed_extents (fs/btrfs/tree-log.c:4955:9) #4 btrfs_log_inode (fs/btrfs/tree-log.c:6626:9) #5 btrfs_log_inode_parent (fs/btrfs/tree-log.c:7070:8) #6 btrfs_log_dentry_safe (fs/btrfs/tree-log.c:7171:8) #7 btrfs_sync_file (fs/btrfs/file.c:1933:8) #8 vfs_fsync_range (fs/sync.c:188:9) #9 vfs_fsync (fs/sync.c:202:9) #10 do_fsync (fs/sync.c:212:9) #11 __do_sys_fdatasync (fs/sync.c:225:9) #12 __se_sys_fdatasync (fs/sync.c:223:1) #13 __x64_sys_fdatasync (fs/sync.c:223:1) #14 do_syscall_x64 (arch/x86/entry/common.c:52:14) #15 do_syscall_64 (arch/x86/entry/common.c:83:7) #16 entry_SYSCALL_64+0xaf/0x14c (arch/x86/entry/entry_64.S:121) So we're logging a changed extent from fsync, which is splitting an extent in the log tree. But this split part already exists in the tree, triggering the BUG(). This is the state of the log tree at the time of the crash, dumped with drgn (https://github.com/osandov/drgn/blob/main/contrib/btrfs_tree.py) to get more details than btrfs_print_leaf() gives us: >>> print_extent_buffer(prog.crashed_thread().stack_trace()[0]["eb"]) leaf 33439744 level 0 items 72 generation 9 owner 18446744073709551610 leaf 33439744 flags 0x100000000000000 fs uuid e5bd3946-400c-4223-8923-190ef1f18677 chunk uuid d58cb17e-6d02-494a-829a-18b7d8a399da item 0 key (450 INODE_ITEM 0) itemoff 16123 itemsize 160 generation 7 transid 9 size 8192 nbytes 8473563889606862198 block group 0 mode 100600 links 1 uid 0 gid 0 rdev 0 sequence 204 flags 0x10(PREALLOC) atime 1716417703.220000000 (2024-05-22 15:41:43) ctime 1716417704.983333333 (2024-05-22 15:41:44) mtime 1716417704.983333333 (2024-05-22 15:41:44) otime 17592186044416.000000000 (559444-03-08 01:40:16) item 1 key (450 INODE_REF 256) itemoff 16110 itemsize 13 index 195 namelen 3 name: 193 item 2 key (450 XATTR_ITEM 1640047104) itemoff 16073 itemsize 37 location key (0 UNKNOWN.0 0) type XATTR transid 7 data_len 1 name_len 6 name: user.a data a item 3 key (450 EXTENT_DATA 0) itemoff 16020 itemsize 53 generation 9 type 1 (regular) extent data disk byte 303144960 nr 12288 extent data offset 0 nr 4096 ram 12288 extent compression 0 (none) item 4 key (450 EXTENT_DATA 4096) itemoff 15967 itemsize 53 generation 9 type 2 (prealloc) prealloc data disk byte 303144960 nr 12288 prealloc data offset 4096 nr 8192 item 5 key (450 EXTENT_DATA 8192) itemoff 15914 itemsize 53 generation 9 type 2 (prealloc) prealloc data disk byte 303144960 nr 12288 prealloc data offset 8192 nr 4096 ... So the real problem happened earlier: notice that items 4 (4k-12k) and 5 (8k-12k) overlap. Both are prealloc extents. Item 4 straddles i_size and item 5 starts at i_size. Here is the state of ---truncated--- Уязвимость функции btrfs_set_item_key_safe() ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса («Ситуация гонки»). Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: Fix shift-out-of-bounds in dctcp_update_alpha(). In dctcp_update_alpha(), we use a module parameter dctcp_shift_g as follows: alpha -= min_not_zero(alpha, alpha >> dctcp_shift_g); ... delivered_ce <<= (10 - dctcp_shift_g); It seems syzkaller started fuzzing module parameters and triggered shift-out-of-bounds [0] by setting 100 to dctcp_shift_g: memcpy((void*)0x20000080, "/sys/module/tcp_dctcp/parameters/dctcp_shift_g\000", 47); res = syscall(__NR_openat, /*fd=*/0xffffffffffffff9cul, /*file=*/0x20000080ul, /*flags=*/2ul, /*mode=*/0ul); memcpy((void*)0x20000000, "100\000", 4); syscall(__NR_write, /*fd=*/r[0], /*val=*/0x20000000ul, /*len=*/4ul); Let's limit the max value of dctcp_shift_g by param_set_uint_minmax(). With this patch: # echo 10 > /sys/module/tcp_dctcp/parameters/dctcp_shift_g # cat /sys/module/tcp_dctcp/parameters/dctcp_shift_g 10 # echo 11 > /sys/module/tcp_dctcp/parameters/dctcp_shift_g -bash: echo: write error: Invalid argument [0]: UBSAN: shift-out-of-bounds in net/ipv4/tcp_dctcp.c:143:12 shift exponent 100 is too large for 32-bit type 'u32' (aka 'unsigned int') CPU: 0 PID: 8083 Comm: syz-executor345 Not tainted 6.9.0-05151-g1b294a1f3561 #2 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.13.0-1ubuntu1.1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x201/0x300 lib/dump_stack.c:114 ubsan_epilogue lib/ubsan.c:231 [inline] __ubsan_handle_shift_out_of_bounds+0x346/0x3a0 lib/ubsan.c:468 dctcp_update_alpha+0x540/0x570 net/ipv4/tcp_dctcp.c:143 tcp_in_ack_event net/ipv4/tcp_input.c:3802 [inline] tcp_ack+0x17b1/0x3bc0 net/ipv4/tcp_input.c:3948 tcp_rcv_state_process+0x57a/0x2290 net/ipv4/tcp_input.c:6711 tcp_v4_do_rcv+0x764/0xc40 net/ipv4/tcp_ipv4.c:1937 sk_backlog_rcv include/net/sock.h:1106 [inline] __release_sock+0x20f/0x350 net/core/sock.c:2983 release_sock+0x61/0x1f0 net/core/sock.c:3549 mptcp_subflow_shutdown+0x3d0/0x620 net/mptcp/protocol.c:2907 mptcp_check_send_data_fin+0x225/0x410 net/mptcp/protocol.c:2976 __mptcp_close+0x238/0xad0 net/mptcp/protocol.c:3072 mptcp_close+0x2a/0x1a0 net/mptcp/protocol.c:3127 inet_release+0x190/0x1f0 net/ipv4/af_inet.c:437 __sock_release net/socket.c:659 [inline] sock_close+0xc0/0x240 net/socket.c:1421 __fput+0x41b/0x890 fs/file_table.c:422 task_work_run+0x23b/0x300 kernel/task_work.c:180 exit_task_work include/linux/task_work.h:38 [inline] do_exit+0x9c8/0x2540 kernel/exit.c:878 do_group_exit+0x201/0x2b0 kernel/exit.c:1027 __do_sys_exit_group kernel/exit.c:1038 [inline] __se_sys_exit_group kernel/exit.c:1036 [inline] __x64_sys_exit_group+0x3f/0x40 kernel/exit.c:1036 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xe4/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x67/0x6f RIP: 0033:0x7f6c2b5005b6 Code: Unable to access opcode bytes at 0x7f6c2b50058c. RSP: 002b:00007ffe883eb948 EFLAGS: 00000246 ORIG_RAX: 00000000000000e7 RAX: ffffffffffffffda RBX: 00007f6c2b5862f0 RCX: 00007f6c2b5005b6 RDX: 0000000000000001 RSI: 000000000000003c RDI: 0000000000000001 RBP: 0000000000000001 R08: 00000000000000e7 R09: ffffffffffffffc0 R10: 0000000000000006 R11: 0000000000000246 R12: 00007f6c2b5862f0 R13: 0000000000000001 R14: 0000000000000000 R15: 0000000000000001 </TASK> Уязвимость компонента tcp_dctcp.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfc: nci: Fix uninit-value in nci_rx_work syzbot reported the following uninit-value access issue [1] nci_rx_work() parses received packet from ndev->rx_q. It should be validated header size, payload size and total packet size before processing the packet. If an invalid packet is detected, it should be silently discarded. Уязвимость функции nci_rx_work() в модуле net/nfc/nci/core.c ядра операционной системы Linux связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: hda/cs_dsp_ctl: Use private_free for control cleanup Use the control private_free callback to free the associated data block. This ensures that the memory won't leak, whatever way the control gets destroyed. The original implementation didn't actually remove the ALSA controls in hda_cs_dsp_control_remove(). It only freed the internal tracking structure. This meant it was possible to remove/unload the amp driver while leaving its ALSA controls still present in the soundcard. Obviously attempting to access them could cause segfaults or at least dereferencing stale pointers. Уязвимость компонента sound/pci/hda/hda_cs_dsp_ctl.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/msm/a6xx: Avoid a nullptr dereference when speedbin setting fails Calling a6xx_destroy() before adreno_gpu_init() leads to a null pointer dereference on: msm_gpu_cleanup() : platform_set_drvdata(gpu->pdev, NULL); as gpu->pdev is only assigned in: a6xx_gpu_init() |_ adreno_gpu_init |_ msm_gpu_init() Instead of relying on handwavy null checks down the cleanup chain, explicitly de-allocate the LLC data and free a6xx_gpu instead. Patchwork: https://patchwork.freedesktop.org/patch/588919/ Уязвимость компонента drivers/gpu/drm/msm/adreno/a6xx_gpu.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 apache2 Encoding problem in mod_proxy in Apache HTTP Server 2.4.59 and earlier allows request URLs with incorrect encoding to be sent to backend services, potentially bypassing authentication via crafted requests. Users are recommended to upgrade to version 2.4.60, which fixes this issue. Уязвимость компонента modules/proxy/mod_proxy.c веб-сервера Apache HTTP Server связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=8.1) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 apache2 Substitution encoding issue in mod_rewrite in Apache HTTP Server 2.4.59 and earlier allows attacker to execute scripts in directories permitted by the configuration but not directly reachable by any URL or source disclosure of scripts meant to only to be executed as CGI. Users are recommended to upgrade to version 2.4.60, which fixes this issue. Some RewriteRules that capture and substitute unsafely will now fail unless rewrite flag "UnsafeAllow3F" is specified. Уязвимость компонента modules/mappers/mod_rewrite.c веб-сервера Apache HTTP Server связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 apache2 Improper escaping of output in mod_rewrite in Apache HTTP Server 2.4.59 and earlier allows an attacker to map URLs to filesystem locations that are permitted to be served by the server but are not intentionally/directly reachable by any URL, resulting in code execution or source code disclosure. Substitutions in server context that use a backreferences or variables as the first segment of the substitution are affected.  Some unsafe RewiteRules will be broken by this change and the rewrite flag "UnsafePrefixStat" can be used to opt back in once ensuring the substitution is appropriately constrained. Уязвимость компонента modules/mappers/mod_rewrite.c веб-сервера Apache HTTP Server связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) Уязвимость связана с модулем mod_rewrite, который позволяет злоумышленнику маппить URL на файловые пути. Если ваш сервер не использует правила перезаписи URL, отключите модуль: ```bash sudo a2dismod rewrite && sudo systemctl restart apache2``` Если отключение модуля невозможно, настройте строгие правила перезаписи и ограничьте доступ к файловой системе. Добавьте/измените следующие директивы: ``` <Directory /> AllowOverride None # Запрет использования .htaccess файлов Require all denied </Directory> <Directory /var/www/html> AllowOverride None # Отключить перезапись в корневом каталоге Options None # Отключить дополнительные функции (например, FollowSymLinks) Require all granted </Directory> ``` Перезагрузите Apache: ```b sudo systemctl restart apache2``` Это предотвратит использование mod_rewrite в критических каталогах. Astra Linux 1.8 apache2 Vulnerability in core of Apache HTTP Server 2.4.59 and earlier are vulnerably to information disclosure, SSRF or local script execution via backend applications whose response headers are malicious or exploitable. Users are recommended to upgrade to version 2.4.60, which fixes this issue. Уязвимость ядра веб-сервера Apache HTTP Server связана с включением функций из недостоверной контролируемой области. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путём запуска локальных обработчиков через внутреннее перенаправление [NistCWE(cwe='CWE-829')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 apache2 null pointer dereference in mod_proxy in Apache HTTP Server 2.4.59 and earlier allows an attacker to crash the server via a malicious request. Users are recommended to upgrade to version 2.4.60, which fixes this issue. Уязвимость компонента mod_proxy веб-сервера Apache HTTP Server связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного запроса [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: bridge: xmit: make sure we have at least eth header len bytes syzbot triggered an uninit value[1] error in bridge device's xmit path by sending a short (less than ETH_HLEN bytes) skb. To fix it check if we can actually pull that amount instead of assuming. Tested with dropwatch: drop at: br_dev_xmit+0xb93/0x12d0 [bridge] (0xffffffffc06739b3) origin: software timestamp: Mon May 13 11:31:53 2024 778214037 nsec protocol: 0x88a8 length: 2 original length: 2 drop reason: PKT_TOO_SMALL [1] BUG: KMSAN: uninit-value in br_dev_xmit+0x61d/0x1cb0 net/bridge/br_device.c:65 br_dev_xmit+0x61d/0x1cb0 net/bridge/br_device.c:65 __netdev_start_xmit include/linux/netdevice.h:4903 [inline] netdev_start_xmit include/linux/netdevice.h:4917 [inline] xmit_one net/core/dev.c:3531 [inline] dev_hard_start_xmit+0x247/0xa20 net/core/dev.c:3547 __dev_queue_xmit+0x34db/0x5350 net/core/dev.c:4341 dev_queue_xmit include/linux/netdevice.h:3091 [inline] __bpf_tx_skb net/core/filter.c:2136 [inline] __bpf_redirect_common net/core/filter.c:2180 [inline] __bpf_redirect+0x14a6/0x1620 net/core/filter.c:2187 ____bpf_clone_redirect net/core/filter.c:2460 [inline] bpf_clone_redirect+0x328/0x470 net/core/filter.c:2432 ___bpf_prog_run+0x13fe/0xe0f0 kernel/bpf/core.c:1997 __bpf_prog_run512+0xb5/0xe0 kernel/bpf/core.c:2238 bpf_dispatcher_nop_func include/linux/bpf.h:1234 [inline] __bpf_prog_run include/linux/filter.h:657 [inline] bpf_prog_run include/linux/filter.h:664 [inline] bpf_test_run+0x499/0xc30 net/bpf/test_run.c:425 bpf_prog_test_run_skb+0x14ea/0x1f20 net/bpf/test_run.c:1058 bpf_prog_test_run+0x6b7/0xad0 kernel/bpf/syscall.c:4269 __sys_bpf+0x6aa/0xd90 kernel/bpf/syscall.c:5678 __do_sys_bpf kernel/bpf/syscall.c:5767 [inline] __se_sys_bpf kernel/bpf/syscall.c:5765 [inline] __x64_sys_bpf+0xa0/0xe0 kernel/bpf/syscall.c:5765 x64_sys_call+0x96b/0x3b50 arch/x86/include/generated/asm/syscalls_64.h:322 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcf/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции br_dev_xmit() в модуле net/bridge/br_device.c ядра операционной системы Linux связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bnxt_re: avoid shift undefined behavior in bnxt_qplib_alloc_init_hwq Undefined behavior is triggered when bnxt_qplib_alloc_init_hwq is called with hwq_attr->aux_depth != 0 and hwq_attr->aux_stride == 0. In that case, "roundup_pow_of_two(hwq_attr->aux_stride)" gets called. roundup_pow_of_two is documented as undefined for 0. Fix it in the one caller that had this combination. The undefined behavior was detected by UBSAN: UBSAN: shift-out-of-bounds in ./include/linux/log2.h:57:13 shift exponent 64 is too large for 64-bit type 'long unsigned int' CPU: 24 PID: 1075 Comm: (udev-worker) Not tainted 6.9.0-rc6+ #4 Hardware name: Abacus electric, s.r.o. - servis@abacus.cz Super Server/H12SSW-iN, BIOS 2.7 10/25/2023 Call Trace: <TASK> dump_stack_lvl+0x5d/0x80 ubsan_epilogue+0x5/0x30 __ubsan_handle_shift_out_of_bounds.cold+0x61/0xec __roundup_pow_of_two+0x25/0x35 [bnxt_re] bnxt_qplib_alloc_init_hwq+0xa1/0x470 [bnxt_re] bnxt_qplib_create_qp+0x19e/0x840 [bnxt_re] bnxt_re_create_qp+0x9b1/0xcd0 [bnxt_re] ? srso_alias_return_thunk+0x5/0xfbef5 ? srso_alias_return_thunk+0x5/0xfbef5 ? __kmalloc+0x1b6/0x4f0 ? create_qp.part.0+0x128/0x1c0 [ib_core] ? __pfx_bnxt_re_create_qp+0x10/0x10 [bnxt_re] create_qp.part.0+0x128/0x1c0 [ib_core] ib_create_qp_kernel+0x50/0xd0 [ib_core] create_mad_qp+0x8e/0xe0 [ib_core] ? __pfx_qp_event_handler+0x10/0x10 [ib_core] ib_mad_init_device+0x2be/0x680 [ib_core] add_client_context+0x10d/0x1a0 [ib_core] enable_device_and_get+0xe0/0x1d0 [ib_core] ib_register_device+0x53c/0x630 [ib_core] ? srso_alias_return_thunk+0x5/0xfbef5 bnxt_re_probe+0xbd8/0xe50 [bnxt_re] ? __pfx_bnxt_re_probe+0x10/0x10 [bnxt_re] auxiliary_bus_probe+0x49/0x80 ? driver_sysfs_add+0x57/0xc0 really_probe+0xde/0x340 ? pm_runtime_barrier+0x54/0x90 ? __pfx___driver_attach+0x10/0x10 __driver_probe_device+0x78/0x110 driver_probe_device+0x1f/0xa0 __driver_attach+0xba/0x1c0 bus_for_each_dev+0x8f/0xe0 bus_add_driver+0x146/0x220 driver_register+0x72/0xd0 __auxiliary_driver_register+0x6e/0xd0 ? __pfx_bnxt_re_mod_init+0x10/0x10 [bnxt_re] bnxt_re_mod_init+0x3e/0xff0 [bnxt_re] ? __pfx_bnxt_re_mod_init+0x10/0x10 [bnxt_re] do_one_initcall+0x5b/0x310 do_init_module+0x90/0x250 init_module_from_file+0x86/0xc0 idempotent_init_module+0x121/0x2b0 __x64_sys_finit_module+0x5e/0xb0 do_syscall_64+0x82/0x160 ? srso_alias_return_thunk+0x5/0xfbef5 ? syscall_exit_to_user_mode_prepare+0x149/0x170 ? srso_alias_return_thunk+0x5/0xfbef5 ? syscall_exit_to_user_mode+0x75/0x230 ? srso_alias_return_thunk+0x5/0xfbef5 ? do_syscall_64+0x8e/0x160 ? srso_alias_return_thunk+0x5/0xfbef5 ? __count_memcg_events+0x69/0x100 ? srso_alias_return_thunk+0x5/0xfbef5 ? count_memcg_events.constprop.0+0x1a/0x30 ? srso_alias_return_thunk+0x5/0xfbef5 ? handle_mm_fault+0x1f0/0x300 ? srso_alias_return_thunk+0x5/0xfbef5 ? do_user_addr_fault+0x34e/0x640 ? srso_alias_return_thunk+0x5/0xfbef5 ? srso_alias_return_thunk+0x5/0xfbef5 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f4e5132821d Code: ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d e3 db 0c 00 f7 d8 64 89 01 48 RSP: 002b:00007ffca9c906a8 EFLAGS: 00000246 ORIG_RAX: 0000000000000139 RAX: ffffffffffffffda RBX: 0000563ec8a8f130 RCX: 00007f4e5132821d RDX: 0000000000000000 RSI: 00007f4e518fa07d RDI: 000000000000003b RBP: 00007ffca9c90760 R08: 00007f4e513f6b20 R09: 00007ffca9c906f0 R10: 0000563ec8a8faa0 R11: 0000000000000246 R12: 00007f4e518fa07d R13: 0000000000020000 R14: 0000563ec8409e90 R15: 0000563ec8a8fa60 </TASK> ---[ end trace ]--- Уязвимость компонента qplib_fp.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: lib/test_hmm.c: handle src_pfns and dst_pfns allocation failure The kcalloc() in dmirror_device_evict_chunk() will return null if the physical memory has run out. As a result, if src_pfns or dst_pfns is dereferenced, the null pointer dereference bug will happen. Moreover, the device is going away. If the kcalloc() fails, the pages mapping a chunk could not be evicted. So add a __GFP_NOFAIL flag in kcalloc(). Finally, as there is no need to have physically contiguous memory, Switch kcalloc() to kvcalloc() in order to avoid failing allocations. Уязвимость компонента test_hmm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: Fix seg fault in rxe_comp_queue_pkt In rxe_comp_queue_pkt() an incoming response packet skb is enqueued to the resp_pkts queue and then a decision is made whether to run the completer task inline or schedule it. Finally the skb is dereferenced to bump a 'hw' performance counter. This is wrong because if the completer task is already running in a separate thread it may have already processed the skb and freed it which can cause a seg fault. This has been observed infrequently in testing at high scale. This patch fixes this by changing the order of enqueuing the packet until after the counter is accessed. Уязвимость компонента rxe_comp.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm: vc4: Fix possible null pointer dereference In vc4_hdmi_audio_init() of_get_address() may return NULL which is later dereferenced. Fix this bug by adding NULL check. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента vc4 ядра операционной системы Linux связана с разыменованием нулевого указателя в vc4_hdmi_audio_init(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: atomisp: ssh_css: Fix a null-pointer dereference in load_video_binaries The allocation failure of mycs->yuv_scaler_binary in load_video_binaries() is followed with a dereference of mycs->yuv_scaler_binary after the following call chain: sh_css_pipe_load_binaries() |-> load_video_binaries(mycs->yuv_scaler_binary == NULL) | |-> sh_css_pipe_unload_binaries() |-> unload_video_binaries() In unload_video_binaries(), it calls to ia_css_binary_unload with argument &pipe->pipe_settings.video.yuv_scaler_binary[i], which refers to the same memory slot as mycs->yuv_scaler_binary. Thus, a null-pointer dereference is triggered. Уязвимость компонента ssh_css ядра операционной системы Linux связана с разыменованием нулевого указателя в load_video_binaries. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm: bridge: cdns-mhdp8546: Fix possible null pointer dereference In cdns_mhdp_atomic_enable(), the return value of drm_mode_duplicate() is assigned to mhdp_state->current_mode, and there is a dereference of it in drm_mode_set_name(), which will lead to a NULL pointer dereference on failure of drm_mode_duplicate(). Fix this bug add a check of mhdp_state->current_mode. Уязвимость компонента cdns-mhdp8546 ядра операционной системы Linux связана с разыменованием указателя NULL в функции cdns_mhdp_atomic_enable(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/mediatek: Add 0 size check to mtk_drm_gem_obj Add a check to mtk_drm_gem_init if we attempt to allocate a GEM object of 0 bytes. Currently, no such check exists and the kernel will panic if a userspace application attempts to allocate a 0x0 GBM buffer. Tested by attempting to allocate a 0x0 GBM buffer on an MT8188 and verifying that we now return EINVAL. Уязвимость компонента drivers/gpu/drm/mediatek/mtk_drm_gem.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: kirkwood: Fix potential NULL dereference In kirkwood_dma_hw_params() mv_mbus_dram_info() returns NULL if CONFIG_PLAT_ORION macro is not defined. Fix this bug by adding NULL check. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента kirkwood ядра операционной системы Linux связана с разыменованием указателя NULL в функции kirkwood_dma_hw_params(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fec: remove .ndo_poll_controller to avoid deadlocks There is a deadlock issue found in sungem driver, please refer to the commit ac0a230f719b ("eth: sungem: remove .ndo_poll_controller to avoid deadlocks"). The root cause of the issue is that netpoll is in atomic context and disable_irq() is called by .ndo_poll_controller interface of sungem driver, however, disable_irq() might sleep. After analyzing the implementation of fec_poll_controller(), the fec driver should have the same issue. Due to the fec driver uses NAPI for TX completions, the .ndo_poll_controller is unnecessary to be implemented in the fec driver, so fec_poll_controller() can be safely removed. Уязвимость компонента fec_main.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ax25: Fix reference count leak issue of net_device There is a reference count leak issue of the object "net_device" in ax25_dev_device_down(). When the ax25 device is shutting down, the ax25_dev_device_down() drops the reference count of net_device one or zero times depending on if we goto unlock_put or not, which will cause memory leak. In order to solve the above issue, decrease the reference count of net_device after dev->ax25_ptr is set to null. Уязвимость функции ax25_dev_device_down() ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Add a timeout to acquire the command queue semaphore Prevent forced completion handling on an entry that has not yet been assigned an index, causing an out of bounds access on idx = -22. Instead of waiting indefinitely for the sem, blocking flow now waits for index to be allocated or a sem acquisition timeout before beginning the timer for FW completion. Kernel log example: mlx5_core 0000:06:00.0: wait_func_handle_exec_timeout:1128:(pid 185911): cmd[-22]: CREATE_UCTX(0xa04) No done completion Уязвимость компонентов cmd.c, driver.h ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: openvswitch: fix overwriting ct original tuple for ICMPv6 OVS_PACKET_CMD_EXECUTE has 3 main attributes: - OVS_PACKET_ATTR_KEY - Packet metadata in a netlink format. - OVS_PACKET_ATTR_PACKET - Binary packet content. - OVS_PACKET_ATTR_ACTIONS - Actions to execute on the packet. OVS_PACKET_ATTR_KEY is parsed first to populate sw_flow_key structure with the metadata like conntrack state, input port, recirculation id, etc. Then the packet itself gets parsed to populate the rest of the keys from the packet headers. Whenever the packet parsing code starts parsing the ICMPv6 header, it first zeroes out fields in the key corresponding to Neighbor Discovery information even if it is not an ND packet. It is an 'ipv6.nd' field. However, the 'ipv6' is a union that shares the space between 'nd' and 'ct_orig' that holds the original tuple conntrack metadata parsed from the OVS_PACKET_ATTR_KEY. ND packets should not normally have conntrack state, so it's fine to share the space, but normal ICMPv6 Echo packets or maybe other types of ICMPv6 can have the state attached and it should not be overwritten. The issue results in all but the last 4 bytes of the destination address being wiped from the original conntrack tuple leading to incorrect packet matching and potentially executing wrong actions in case this packet recirculates within the datapath or goes back to userspace. ND fields should not be accessed in non-ND packets, so not clearing them should be fine. Executing memset() only for actual ND packets to avoid the issue. Initializing the whole thing before parsing is needed because ND packet may not contain all the options. The issue only affects the OVS_PACKET_CMD_EXECUTE path and doesn't affect packets entering OVS datapath from network interfaces, because in this case CT metadata is populated from skb after the packet is already parsed. Уязвимость компонента openvswitch ядра операционной системы Linux связана с недостаточной проверкой входных данных в функции parse_icmpv6(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-665')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qedf: Ensure the copied buf is NUL terminated Currently, we allocate a count-sized kernel buffer and copy count from userspace to that buffer. Later, we use kstrtouint on this buffer but we don't ensure that the string is terminated inside the buffer, this can lead to OOB read when using kstrtouint. Fix this issue by using memdup_user_nul instead of memdup_user. Уязвимость компонента qedf ядра операционной системы Linux связана с выходом операции за границы буфера в памяти в функции qedf_dbg_debug_cmd_write(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: bfa: Ensure the copied buf is NUL terminated Currently, we allocate a nbytes-sized kernel buffer and copy nbytes from userspace to that buffer. Later, we use sscanf on this buffer but we don't ensure that the string is terminated inside the buffer, this can lead to OOB read when using sscanf. Fix this issue by using memdup_user_nul instead of memdup_user. Уязвимость компонента bfa ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kunit: Fix kthread reference There is a race condition when a kthread finishes after the deadline and before the call to kthread_stop(), which may lead to use after free. Уязвимость функции kunit_try_catch_run() фреймворка KUnit (lib/kunit/try-catch.c) ядра операционной системы Linux связана с повторным использованием памяти после ее освобождения в результате конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ar5523: enable proper endpoint verification Syzkaller reports [1] hitting a warning about an endpoint in use not having an expected type to it. Fix the issue by checking for the existence of all proper endpoints with their according types intact. Sadly, this patch has not been tested on real hardware. [1] Syzkaller report: ------------[ cut here ]------------ usb 1-1: BOGUS urb xfer, pipe 3 != type 1 WARNING: CPU: 0 PID: 3643 at drivers/usb/core/urb.c:504 usb_submit_urb+0xed6/0x1880 drivers/usb/core/urb.c:504 ... Call Trace: <TASK> ar5523_cmd+0x41b/0x780 drivers/net/wireless/ath/ar5523/ar5523.c:275 ar5523_cmd_read drivers/net/wireless/ath/ar5523/ar5523.c:302 [inline] ar5523_host_available drivers/net/wireless/ath/ar5523/ar5523.c:1376 [inline] ar5523_probe+0x14b0/0x1d10 drivers/net/wireless/ath/ar5523/ar5523.c:1655 usb_probe_interface+0x30f/0x7f0 drivers/usb/core/driver.c:396 call_driver_probe drivers/base/dd.c:560 [inline] really_probe+0x249/0xb90 drivers/base/dd.c:639 __driver_probe_device+0x1df/0x4d0 drivers/base/dd.c:778 driver_probe_device+0x4c/0x1a0 drivers/base/dd.c:808 __device_attach_driver+0x1d4/0x2e0 drivers/base/dd.c:936 bus_for_each_drv+0x163/0x1e0 drivers/base/bus.c:427 __device_attach+0x1e4/0x530 drivers/base/dd.c:1008 bus_probe_device+0x1e8/0x2a0 drivers/base/bus.c:487 device_add+0xbd9/0x1e90 drivers/base/core.c:3517 usb_set_configuration+0x101d/0x1900 drivers/usb/core/message.c:2170 usb_generic_driver_probe+0xbe/0x100 drivers/usb/core/generic.c:238 usb_probe_device+0xd8/0x2c0 drivers/usb/core/driver.c:293 call_driver_probe drivers/base/dd.c:560 [inline] really_probe+0x249/0xb90 drivers/base/dd.c:639 __driver_probe_device+0x1df/0x4d0 drivers/base/dd.c:778 driver_probe_device+0x4c/0x1a0 drivers/base/dd.c:808 __device_attach_driver+0x1d4/0x2e0 drivers/base/dd.c:936 bus_for_each_drv+0x163/0x1e0 drivers/base/bus.c:427 __device_attach+0x1e4/0x530 drivers/base/dd.c:1008 bus_probe_device+0x1e8/0x2a0 drivers/base/bus.c:487 device_add+0xbd9/0x1e90 drivers/base/core.c:3517 usb_new_device.cold+0x685/0x10ad drivers/usb/core/hub.c:2573 hub_port_connect drivers/usb/core/hub.c:5353 [inline] hub_port_connect_change drivers/usb/core/hub.c:5497 [inline] port_event drivers/usb/core/hub.c:5653 [inline] hub_event+0x26cb/0x45d0 drivers/usb/core/hub.c:5735 process_one_work+0x9bf/0x1710 kernel/workqueue.c:2289 worker_thread+0x669/0x1090 kernel/workqueue.c:2436 kthread+0x2e8/0x3a0 kernel/kthread.c:376 ret_from_fork+0x1f/0x30 arch/x86/entry/entry_64.S:306 </TASK> Уязвимость компонента drivers/net/wireless/ath/ar5523/ar5523.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: carl9170: add a proper sanity check for endpoints Syzkaller reports [1] hitting a warning which is caused by presence of a wrong endpoint type at the URB sumbitting stage. While there was a check for a specific 4th endpoint, since it can switch types between bulk and interrupt, other endpoints are trusted implicitly. Similar warning is triggered in a couple of other syzbot issues [2]. Fix the issue by doing a comprehensive check of all endpoints taking into account difference between high- and full-speed configuration. [1] Syzkaller report: ... WARNING: CPU: 0 PID: 4721 at drivers/usb/core/urb.c:504 usb_submit_urb+0xed6/0x1880 drivers/usb/core/urb.c:504 ... Call Trace: <TASK> carl9170_usb_send_rx_irq_urb+0x273/0x340 drivers/net/wireless/ath/carl9170/usb.c:504 carl9170_usb_init_device drivers/net/wireless/ath/carl9170/usb.c:939 [inline] carl9170_usb_firmware_finish drivers/net/wireless/ath/carl9170/usb.c:999 [inline] carl9170_usb_firmware_step2+0x175/0x240 drivers/net/wireless/ath/carl9170/usb.c:1028 request_firmware_work_func+0x130/0x240 drivers/base/firmware_loader/main.c:1107 process_one_work+0x9bf/0x1710 kernel/workqueue.c:2289 worker_thread+0x669/0x1090 kernel/workqueue.c:2436 kthread+0x2e8/0x3a0 kernel/kthread.c:376 ret_from_fork+0x1f/0x30 arch/x86/entry/entry_64.S:308 </TASK> [2] Related syzkaller crashes: Уязвимость ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers/perf: hisi: hns3: Fix out-of-bound access when valid event group The perf tool allows users to create event groups through following cmd [1], but the driver does not check whether the array index is out of bounds when writing data to the event_group array. If the number of events in an event_group is greater than HNS3_PMU_MAX_HW_EVENTS, the memory write overflow of event_group array occurs. Add array index check to fix the possible array out of bounds violation, and return directly when write new events are written to array bounds. There are 9 different events in an event_group. [1] perf stat -e '{pmu/event1/, ... ,pmu/event9/} Уязвимость функции hns3_pmu_validate_event_group() в модуле drivers/perf/hisilicon/hns3_pmu.c ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers/perf: hisi_pcie: Fix out-of-bound access when valid event group The perf tool allows users to create event groups through following cmd [1], but the driver does not check whether the array index is out of bounds when writing data to the event_group array. If the number of events in an event_group is greater than HISI_PCIE_MAX_COUNTERS, the memory write overflow of event_group array occurs. Add array index check to fix the possible array out of bounds violation, and return directly when write new events are written to array bounds. There are 9 different events in an event_group. [1] perf stat -e '{pmu/event1/, ... ,pmu/event9/}' Уязвимость функции hisi_pcie_pmu_validate_event_group() ядра операционной системы Linux вызвана переполнением буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: thermal/drivers/tsens: Fix null pointer dereference compute_intercept_slope() is called from calibrate_8960() (in tsens-8960.c) as compute_intercept_slope(priv, p1, NULL, ONE_PT_CALIB) which lead to null pointer dereference (if DEBUG or DYNAMIC_DEBUG set). Fix this bug by adding null pointer check. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента thermal/drivers/tsens ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: brcmfmac: pcie: handle randbuf allocation failure The kzalloc() in brcmf_pcie_download_fw_nvram() will return null if the physical memory has run out. As a result, if we use get_random_bytes() to generate random bytes in the randbuf, the null pointer dereference bug will happen. In order to prevent allocation failure, this patch adds a separate function using buffer on kernel stack to generate random bytes in the randbuf, which could prevent the kernel stack from overflow. Уязвимость компонента pcie ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rcu: Fix buffer overflow in print_cpu_stall_info() The rcuc-starvation output from print_cpu_stall_info() might overflow the buffer if there is a huge difference in jiffies difference. The situation might seem improbable, but computers sometimes get very confused about time, which can result in full-sized integers, and, in this case, buffer overflow. Also, the unsigned jiffies difference is printed using %ld, which is normally for signed integers. This is intentional for debugging purposes, but it is not obvious from the code. This commit therefore changes sprintf() to snprintf() and adds a clarifying comment about intention of %ld format. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента rcu ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ecryptfs: Fix buffer size for tag 66 packet The 'TAG 66 Packet Format' description is missing the cipher code and checksum fields that are packed into the message packet. As a result, the buffer allocated for the packet is 3 bytes too small and write_tag_66_packet() will write up to 3 bytes past the end of the buffer. Fix this by increasing the size of the allocation so the whole packet will always fit in the buffer. This fixes the below kasan slab-out-of-bounds bug: BUG: KASAN: slab-out-of-bounds in ecryptfs_generate_key_packet_set+0x7d6/0xde0 Write of size 1 at addr ffff88800afbb2a5 by task touch/181 CPU: 0 PID: 181 Comm: touch Not tainted 6.6.13-gnu #1 4c9534092be820851bb687b82d1f92a426598dc6 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.2/GNU Guix 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x4c/0x70 print_report+0xc5/0x610 ? ecryptfs_generate_key_packet_set+0x7d6/0xde0 ? kasan_complete_mode_report_info+0x44/0x210 ? ecryptfs_generate_key_packet_set+0x7d6/0xde0 kasan_report+0xc2/0x110 ? ecryptfs_generate_key_packet_set+0x7d6/0xde0 __asan_store1+0x62/0x80 ecryptfs_generate_key_packet_set+0x7d6/0xde0 ? __pfx_ecryptfs_generate_key_packet_set+0x10/0x10 ? __alloc_pages+0x2e2/0x540 ? __pfx_ovl_open+0x10/0x10 [overlay 30837f11141636a8e1793533a02e6e2e885dad1d] ? dentry_open+0x8f/0xd0 ecryptfs_write_metadata+0x30a/0x550 ? __pfx_ecryptfs_write_metadata+0x10/0x10 ? ecryptfs_get_lower_file+0x6b/0x190 ecryptfs_initialize_file+0x77/0x150 ecryptfs_create+0x1c2/0x2f0 path_openat+0x17cf/0x1ba0 ? __pfx_path_openat+0x10/0x10 do_filp_open+0x15e/0x290 ? __pfx_do_filp_open+0x10/0x10 ? __kasan_check_write+0x18/0x30 ? _raw_spin_lock+0x86/0xf0 ? __pfx__raw_spin_lock+0x10/0x10 ? __kasan_check_write+0x18/0x30 ? alloc_fd+0xf4/0x330 do_sys_openat2+0x122/0x160 ? __pfx_do_sys_openat2+0x10/0x10 __x64_sys_openat+0xef/0x170 ? __pfx___x64_sys_openat+0x10/0x10 do_syscall_64+0x60/0xd0 entry_SYSCALL_64_after_hwframe+0x6e/0xd8 RIP: 0033:0x7f00a703fd67 Code: 25 00 00 41 00 3d 00 00 41 00 74 37 64 8b 04 25 18 00 00 00 85 c0 75 5b 44 89 e2 48 89 ee bf 9c ff ff ff b8 01 01 00 00 0f 05 <48> 3d 00 f0 ff ff 0f 87 85 00 00 00 48 83 c4 68 5d 41 5c c3 0f 1f RSP: 002b:00007ffc088e30b0 EFLAGS: 00000246 ORIG_RAX: 0000000000000101 RAX: ffffffffffffffda RBX: 00007ffc088e3368 RCX: 00007f00a703fd67 RDX: 0000000000000941 RSI: 00007ffc088e48d7 RDI: 00000000ffffff9c RBP: 00007ffc088e48d7 R08: 0000000000000001 R09: 0000000000000000 R10: 00000000000001b6 R11: 0000000000000246 R12: 0000000000000941 R13: 0000000000000000 R14: 00007ffc088e48d7 R15: 00007f00a7180040 </TASK> Allocated by task 181: kasan_save_stack+0x2f/0x60 kasan_set_track+0x29/0x40 kasan_save_alloc_info+0x25/0x40 __kasan_kmalloc+0xc5/0xd0 __kmalloc+0x66/0x160 ecryptfs_generate_key_packet_set+0x6d2/0xde0 ecryptfs_write_metadata+0x30a/0x550 ecryptfs_initialize_file+0x77/0x150 ecryptfs_create+0x1c2/0x2f0 path_openat+0x17cf/0x1ba0 do_filp_open+0x15e/0x290 do_sys_openat2+0x122/0x160 __x64_sys_openat+0xef/0x170 do_syscall_64+0x60/0xd0 entry_SYSCALL_64_after_hwframe+0x6e/0xd8 Уязвимость компонента ecryptfs ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: bcm - Fix pointer arithmetic In spu2_dump_omd() value of ptr is increased by ciph_key_len instead of hash_iv_len which could lead to going beyond the buffer boundaries. Fix this bug by changing ciph_key_len to hash_iv_len. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента crypto ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: epoll: be better about file lifetimes epoll can call out to vfs_poll() with a file pointer that may race with the last 'fput()'. That would make f_count go down to zero, and while the ep->mtx locking means that the resulting file pointer tear-down will be blocked until the poll returns, it means that f_count is already dead, and any use of it won't actually get a reference to the file any more: it's dead regardless. Make sure we have a valid ref on the file pointer before we call down to vfs_poll() from the epoll routines. Уязвимость компонента epoll ядра операционной системы Linux связана с неправильной блокировкой в функции __ep_eventpoll_poll(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix potential hang in nilfs_detach_log_writer() Syzbot has reported a potential hang in nilfs_detach_log_writer() called during nilfs2 unmount. Analysis revealed that this is because nilfs_segctor_sync(), which synchronizes with the log writer thread, can be called after nilfs_segctor_destroy() terminates that thread, as shown in the call trace below: nilfs_detach_log_writer nilfs_segctor_destroy nilfs_segctor_kill_thread --> Shut down log writer thread flush_work nilfs_iput_work_func nilfs_dispose_list iput nilfs_evict_inode nilfs_transaction_commit nilfs_construct_segment (if inode needs sync) nilfs_segctor_sync --> Attempt to synchronize with log writer thread *** DEADLOCK *** Fix this issue by changing nilfs_segctor_sync() so that the log writer thread returns normally without synchronizing after it terminates, and by forcing tasks that are already waiting to complete once after the thread terminates. The skipped inode metadata flushout will then be processed together in the subsequent cleanup work in nilfs_segctor_destroy(). Уязвимость компонента nilfs2 ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tools/nolibc/stdlib: fix memory error in realloc() Pass user_p_len to memcpy() instead of heap->len to prevent realloc() from copying an extra sizeof(heap) bytes from beyond the allocated region. Уязвимость компонентов tools/nolibc/stdlib ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: r8169: Fix possible ring buffer corruption on fragmented Tx packets. An issue was found on the RTL8125b when transmitting small fragmented packets, whereby invalid entries were inserted into the transmit ring buffer, subsequently leading to calls to dma_unmap_single() with a null address. This was caused by rtl8169_start_xmit() not noticing changes to nr_frags which may occur when small packets are padded (to work around hardware quirks) in rtl8169_tso_csum_v2(). To fix this, postpone inspecting nr_frags until after any padding has been applied. Уязвимость ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: speakup: Fix sizeof() vs ARRAY_SIZE() bug The "buf" pointer is an array of u16 values. This code should be using ARRAY_SIZE() (which is 256) instead of sizeof() (which is 512), otherwise it can the still got out of bounds. Уязвимость компонента speakup ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ftrace: Fix possible use-after-free issue in ftrace_location() KASAN reports a bug: BUG: KASAN: use-after-free in ftrace_location+0x90/0x120 Read of size 8 at addr ffff888141d40010 by task insmod/424 CPU: 8 PID: 424 Comm: insmod Tainted: G W 6.9.0-rc2+ [...] Call Trace: <TASK> dump_stack_lvl+0x68/0xa0 print_report+0xcf/0x610 kasan_report+0xb5/0xe0 ftrace_location+0x90/0x120 register_kprobe+0x14b/0xa40 kprobe_init+0x2d/0xff0 [kprobe_example] do_one_initcall+0x8f/0x2d0 do_init_module+0x13a/0x3c0 load_module+0x3082/0x33d0 init_module_from_file+0xd2/0x130 __x64_sys_finit_module+0x306/0x440 do_syscall_64+0x68/0x140 entry_SYSCALL_64_after_hwframe+0x71/0x79 The root cause is that, in lookup_rec(), ftrace record of some address is being searched in ftrace pages of some module, but those ftrace pages at the same time is being freed in ftrace_release_mod() as the corresponding module is being deleted: CPU1 | CPU2 register_kprobes() { | delete_module() { check_kprobe_address_safe() { | arch_check_ftrace_location() { | ftrace_location() { | lookup_rec() // USE! | ftrace_release_mod() // Free! To fix this issue: 1. Hold rcu lock as accessing ftrace pages in ftrace_location_range(); 2. Use ftrace_location_range() instead of lookup_rec() in ftrace_location(); 3. Call synchronize_rcu() before freeing any ftrace pages both in ftrace_process_locs()/ftrace_release_mod()/ftrace_free_mem(). Уязвимость функции ftrace_location() компонента kernel/trace/ftrace.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netrom: fix possible dead-lock in nr_rt_ioctl() syzbot loves netrom, and found a possible deadlock in nr_rt_ioctl [1] Make sure we always acquire nr_node_list_lock before nr_node_lock(nr_node) [1] WARNING: possible circular locking dependency detected 6.9.0-rc7-syzkaller-02147-g654de42f3fc6 #0 Not tainted ------------------------------------------------------ syz-executor350/5129 is trying to acquire lock: ffff8880186e2070 (&nr_node->node_lock){+...}-{2:2}, at: spin_lock_bh include/linux/spinlock.h:356 [inline] ffff8880186e2070 (&nr_node->node_lock){+...}-{2:2}, at: nr_node_lock include/net/netrom.h:152 [inline] ffff8880186e2070 (&nr_node->node_lock){+...}-{2:2}, at: nr_dec_obs net/netrom/nr_route.c:464 [inline] ffff8880186e2070 (&nr_node->node_lock){+...}-{2:2}, at: nr_rt_ioctl+0x1bb/0x1090 net/netrom/nr_route.c:697 but task is already holding lock: ffffffff8f7053b8 (nr_node_list_lock){+...}-{2:2}, at: spin_lock_bh include/linux/spinlock.h:356 [inline] ffffffff8f7053b8 (nr_node_list_lock){+...}-{2:2}, at: nr_dec_obs net/netrom/nr_route.c:462 [inline] ffffffff8f7053b8 (nr_node_list_lock){+...}-{2:2}, at: nr_rt_ioctl+0x10a/0x1090 net/netrom/nr_route.c:697 which lock already depends on the new lock. the existing dependency chain (in reverse order) is: -> #1 (nr_node_list_lock){+...}-{2:2}: lock_acquire+0x1ed/0x550 kernel/locking/lockdep.c:5754 __raw_spin_lock_bh include/linux/spinlock_api_smp.h:126 [inline] _raw_spin_lock_bh+0x35/0x50 kernel/locking/spinlock.c:178 spin_lock_bh include/linux/spinlock.h:356 [inline] nr_remove_node net/netrom/nr_route.c:299 [inline] nr_del_node+0x4b4/0x820 net/netrom/nr_route.c:355 nr_rt_ioctl+0xa95/0x1090 net/netrom/nr_route.c:683 sock_do_ioctl+0x158/0x460 net/socket.c:1222 sock_ioctl+0x629/0x8e0 net/socket.c:1341 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:904 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:890 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f -> #0 (&nr_node->node_lock){+...}-{2:2}: check_prev_add kernel/locking/lockdep.c:3134 [inline] check_prevs_add kernel/locking/lockdep.c:3253 [inline] validate_chain+0x18cb/0x58e0 kernel/locking/lockdep.c:3869 __lock_acquire+0x1346/0x1fd0 kernel/locking/lockdep.c:5137 lock_acquire+0x1ed/0x550 kernel/locking/lockdep.c:5754 __raw_spin_lock_bh include/linux/spinlock_api_smp.h:126 [inline] _raw_spin_lock_bh+0x35/0x50 kernel/locking/spinlock.c:178 spin_lock_bh include/linux/spinlock.h:356 [inline] nr_node_lock include/net/netrom.h:152 [inline] nr_dec_obs net/netrom/nr_route.c:464 [inline] nr_rt_ioctl+0x1bb/0x1090 net/netrom/nr_route.c:697 sock_do_ioctl+0x158/0x460 net/socket.c:1222 sock_ioctl+0x629/0x8e0 net/socket.c:1341 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:904 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:890 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f other info that might help us debug this: Possible unsafe locking scenario: CPU0 CPU1 ---- ---- lock(nr_node_list_lock); lock(&nr_node->node_lock); lock(nr_node_list_lock); lock(&nr_node->node_lock); *** DEADLOCK *** 1 lock held by syz-executor350/5129: #0: ffffffff8f7053b8 (nr_node_list_lock){+...}-{2:2}, at: spin_lock_bh include/linux/spinlock.h:356 [inline] #0: ffffffff8f7053b8 (nr_node_list_lock){+...}-{2:2}, at: nr_dec_obs net/netrom/nr_route.c:462 [inline] #0: ffffffff8f70 ---truncated--- Уязвимость компонента sungem ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Modify the print level of CQE error Too much print may lead to a panic in kernel. Change ibdev_err() to ibdev_err_ratelimited(), and change the printing level of cqe dump to debug level. Уязвимость компонента RDMA/hns ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Fix deadlock on SRQ async events. xa_lock for SRQ table may be required in AEQ. Use xa_store_irq()/ xa_erase_irq() to avoid deadlock. Уязвимость компонента RDMA/hns ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: af_unix: Fix data races in unix_release_sock/unix_stream_sendmsg A data-race condition has been identified in af_unix. In one data path, the write function unix_release_sock() atomically writes to sk->sk_shutdown using WRITE_ONCE. However, on the reader side, unix_stream_sendmsg() does not read it atomically. Consequently, this issue is causing the following KCSAN splat to occur: BUG: KCSAN: data-race in unix_release_sock / unix_stream_sendmsg write (marked) to 0xffff88867256ddbb of 1 bytes by task 7270 on cpu 28: unix_release_sock (net/unix/af_unix.c:640) unix_release (net/unix/af_unix.c:1050) sock_close (net/socket.c:659 net/socket.c:1421) __fput (fs/file_table.c:422) __fput_sync (fs/file_table.c:508) __se_sys_close (fs/open.c:1559 fs/open.c:1541) __x64_sys_close (fs/open.c:1541) x64_sys_call (arch/x86/entry/syscall_64.c:33) do_syscall_64 (arch/x86/entry/common.c:?) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) read to 0xffff88867256ddbb of 1 bytes by task 989 on cpu 14: unix_stream_sendmsg (net/unix/af_unix.c:2273) __sock_sendmsg (net/socket.c:730 net/socket.c:745) ____sys_sendmsg (net/socket.c:2584) __sys_sendmmsg (net/socket.c:2638 net/socket.c:2724) __x64_sys_sendmmsg (net/socket.c:2753 net/socket.c:2750 net/socket.c:2750) x64_sys_call (arch/x86/entry/syscall_64.c:33) do_syscall_64 (arch/x86/entry/common.c:?) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) value changed: 0x01 -> 0x03 The line numbers are related to commit dd5a440a31fa ("Linux 6.9-rc7"). Commit e1d09c2c2f57 ("af_unix: Fix data races around sk->sk_shutdown.") addressed a comparable issue in the past regarding sk->sk_shutdown. However, it overlooked resolving this particular data path. This patch only offending unix_stream_sendmsg() function, since the other reads seem to be protected by unix_state_lock() as discussed in Уязвимость функции unix_release_sock/unix_stream_sendmsg компонента af_unix ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: eth: sungem: remove .ndo_poll_controller to avoid deadlocks Erhard reports netpoll warnings from sungem: netpoll_send_skb_on_dev(): eth0 enabled interrupts in poll (gem_start_xmit+0x0/0x398) WARNING: CPU: 1 PID: 1 at net/core/netpoll.c:370 netpoll_send_skb+0x1fc/0x20c gem_poll_controller() disables interrupts, which may sleep. We can't sleep in netpoll, it has interrupts disabled completely. Strangely, gem_poll_controller() doesn't even poll the completions, and instead acts as if an interrupt has fired so it just schedules NAPI and exits. None of this has been necessary for years, since netpoll invokes NAPI directly. Уязвимость компонента sungem.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: md: fix resync softlockup when bitmap size is less than array size Is is reported that for dm-raid10, lvextend + lvchange --syncaction will trigger following softlockup: kernel:watchdog: BUG: soft lockup - CPU#3 stuck for 26s! [mdX_resync:6976] CPU: 7 PID: 3588 Comm: mdX_resync Kdump: loaded Not tainted 6.9.0-rc4-next-20240419 #1 RIP: 0010:_raw_spin_unlock_irq+0x13/0x30 Call Trace: <TASK> md_bitmap_start_sync+0x6b/0xf0 raid10_sync_request+0x25c/0x1b40 [raid10] md_do_sync+0x64b/0x1020 md_thread+0xa7/0x170 kthread+0xcf/0x100 ret_from_fork+0x30/0x50 ret_from_fork_asm+0x1a/0x30 And the detailed process is as follows: md_do_sync j = mddev->resync_min while (j < max_sectors) sectors = raid10_sync_request(mddev, j, &skipped) if (!md_bitmap_start_sync(..., &sync_blocks)) // md_bitmap_start_sync set sync_blocks to 0 return sync_blocks + sectors_skippe; // sectors = 0; j += sectors; // j never change Root cause is that commit 301867b1c168 ("md/raid10: check slab-out-of-bounds in md_bitmap_get_counter") return early from md_bitmap_get_counter(), without setting returned blocks. Fix this problem by always set returned blocks from md_bitmap_get_counter"(), as it used to be. Noted that this patch just fix the softlockup problem in kernel, the case that bitmap size doesn't match array size still need to be fixed. Уязвимость компонента md ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jffs2: prevent xattr node from overflowing the eraseblock Add a check to make sure that the requested xattr node size is no larger than the eraseblock minus the cleanmarker. Unlike the usual inode nodes, the xattr nodes aren't split into parts and spread across multiple eraseblocks, which means that a xattr node must not occupy more than one eraseblock. If the requested xattr value is too large, the xattr node can spill onto the next eraseblock, overwriting the nodes and causing errors such as: jffs2: argh. node added in wrong place at 0x0000b050(2) jffs2: nextblock 0x0000a000, expected at 0000b00c jffs2: error: (823) do_verify_xattr_datum: node CRC failed at 0x01e050, read=0xfc892c93, calc=0x000000 jffs2: notice: (823) jffs2_get_inode_nodes: Node header CRC failed at 0x01e00c. {848f,2fc4,0fef511f,59a3d171} jffs2: Node at 0x0000000c with length 0x00001044 would run over the end of the erase block jffs2: Perhaps the file system was created with the wrong erase size? jffs2: jffs2_scan_eraseblock(): Magic bitmask 0x1985 not found at 0x00000010: 0x1044 instead This breaks the filesystem and can lead to KASAN crashes such as: BUG: KASAN: slab-out-of-bounds in jffs2_sum_add_kvec+0x125e/0x15d0 Read of size 4 at addr ffff88802c31e914 by task repro/830 CPU: 0 PID: 830 Comm: repro Not tainted 6.9.0-rc3+ #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS Arch Linux 1.16.3-1-1 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0xc6/0x120 print_report+0xc4/0x620 ? __virt_addr_valid+0x308/0x5b0 kasan_report+0xc1/0xf0 ? jffs2_sum_add_kvec+0x125e/0x15d0 ? jffs2_sum_add_kvec+0x125e/0x15d0 jffs2_sum_add_kvec+0x125e/0x15d0 jffs2_flash_direct_writev+0xa8/0xd0 jffs2_flash_writev+0x9c9/0xef0 ? __x64_sys_setxattr+0xc4/0x160 ? do_syscall_64+0x69/0x140 ? entry_SYSCALL_64_after_hwframe+0x76/0x7e [...] Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента jffs2 ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: Fix deadlocks with kctl removals at disconnection In snd_card_disconnect(), we set card->shutdown flag at the beginning, call callbacks and do sync for card->power_ref_sleep waiters at the end. The callback may delete a kctl element, and this can lead to a deadlock when the device was in the suspended state. Namely: * A process waits for the power up at snd_power_ref_and_wait() in snd_ctl_info() or read/write() inside card->controls_rwsem. * The system gets disconnected meanwhile, and the driver tries to delete a kctl via snd_ctl_remove*(); it tries to take card->controls_rwsem again, but this is already locked by the above. Since the sleeper isn't woken up, this deadlocks. An easy fix is to wake up sleepers before processing the driver disconnect callbacks but right after setting the card->shutdown flag. Then all sleepers will abort immediately, and the code flows again. So, basically this patch moves the wait_event() call at the right timing. While we're at it, just to be sure, call wait_event_all() instead of wait_event(), although we don't use exclusive events on this queue for now. Уязвимость компонента ALSA ядра операционной системы Linux связана с неправильной блокировкой в функции snd_card_disconnect(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ring-buffer: Fix a race between readers and resize checks The reader code in rb_get_reader_page() swaps a new reader page into the ring buffer by doing cmpxchg on old->list.prev->next to point it to the new page. Following that, if the operation is successful, old->list.next->prev gets updated too. This means the underlying doubly-linked list is temporarily inconsistent, page->prev->next or page->next->prev might not be equal back to page for some page in the ring buffer. The resize operation in ring_buffer_resize() can be invoked in parallel. It calls rb_check_pages() which can detect the described inconsistency and stop further tracing: [ 190.271762] ------------[ cut here ]------------ [ 190.271771] WARNING: CPU: 1 PID: 6186 at kernel/trace/ring_buffer.c:1467 rb_check_pages.isra.0+0x6a/0xa0 [ 190.271789] Modules linked in: [...] [ 190.271991] Unloaded tainted modules: intel_uncore_frequency(E):1 skx_edac(E):1 [ 190.272002] CPU: 1 PID: 6186 Comm: cmd.sh Kdump: loaded Tainted: G E 6.9.0-rc6-default #5 158d3e1e6d0b091c34c3b96bfd99a1c58306d79f [ 190.272011] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.0-0-gd239552c-rebuilt.opensuse.org 04/01/2014 [ 190.272015] RIP: 0010:rb_check_pages.isra.0+0x6a/0xa0 [ 190.272023] Code: [...] [ 190.272028] RSP: 0018:ffff9c37463abb70 EFLAGS: 00010206 [ 190.272034] RAX: ffff8eba04b6cb80 RBX: 0000000000000007 RCX: ffff8eba01f13d80 [ 190.272038] RDX: ffff8eba01f130c0 RSI: ffff8eba04b6cd00 RDI: ffff8eba0004c700 [ 190.272042] RBP: ffff8eba0004c700 R08: 0000000000010002 R09: 0000000000000000 [ 190.272045] R10: 00000000ffff7f52 R11: ffff8eba7f600000 R12: ffff8eba0004c720 [ 190.272049] R13: ffff8eba00223a00 R14: 0000000000000008 R15: ffff8eba067a8000 [ 190.272053] FS: 00007f1bd64752c0(0000) GS:ffff8eba7f680000(0000) knlGS:0000000000000000 [ 190.272057] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 190.272061] CR2: 00007f1bd6662590 CR3: 000000010291e001 CR4: 0000000000370ef0 [ 190.272070] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 190.272073] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [ 190.272077] Call Trace: [ 190.272098] <TASK> [ 190.272189] ring_buffer_resize+0x2ab/0x460 [ 190.272199] __tracing_resize_ring_buffer.part.0+0x23/0xa0 [ 190.272206] tracing_resize_ring_buffer+0x65/0x90 [ 190.272216] tracing_entries_write+0x74/0xc0 [ 190.272225] vfs_write+0xf5/0x420 [ 190.272248] ksys_write+0x67/0xe0 [ 190.272256] do_syscall_64+0x82/0x170 [ 190.272363] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 190.272373] RIP: 0033:0x7f1bd657d263 [ 190.272381] Code: [...] [ 190.272385] RSP: 002b:00007ffe72b643f8 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 [ 190.272391] RAX: ffffffffffffffda RBX: 0000000000000002 RCX: 00007f1bd657d263 [ 190.272395] RDX: 0000000000000002 RSI: 0000555a6eb538e0 RDI: 0000000000000001 [ 190.272398] RBP: 0000555a6eb538e0 R08: 000000000000000a R09: 0000000000000000 [ 190.272401] R10: 0000555a6eb55190 R11: 0000000000000246 R12: 00007f1bd6662500 [ 190.272404] R13: 0000000000000002 R14: 00007f1bd6667c00 R15: 0000000000000002 [ 190.272412] </TASK> [ 190.272414] ---[ end trace 0000000000000000 ]--- Note that ring_buffer_resize() calls rb_check_pages() only if the parent trace_buffer has recording disabled. Recent commit d78ab792705c ("tracing: Stop current tracer when resizing buffer") causes that it is now always the case which makes it more likely to experience this issue. The window to hit this race is nonetheless very small. To help reproducing it, one can add a delay loop in rb_get_reader_page(): ret = rb_head_page_replace(reader, cpu_buffer->reader_page); if (!ret) goto spin; for (unsigned i = 0; i < 1U << 26; i++) /* inserted delay loop */ __asm__ __volatile__ ("" : : : "memory"); rb_list_head(reader->list.next)->prev = &cpu_buffer->reader_page->list; .. ---truncated--- Уязвимость ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ax25: Fix reference count leak issues of ax25_dev The ax25_addr_ax25dev() and ax25_dev_device_down() exist a reference count leak issue of the object "ax25_dev". Memory leak issue in ax25_addr_ax25dev(): The reference count of the object "ax25_dev" can be increased multiple times in ax25_addr_ax25dev(). This will cause a memory leak. Memory leak issues in ax25_dev_device_down(): The reference count of ax25_dev is set to 1 in ax25_dev_device_up() and then increase the reference count when ax25_dev is added to ax25_dev_list. As a result, the reference count of ax25_dev is 2. But when the device is shutting down. The ax25_dev_device_down() drops the reference count once or twice depending on if we goto unlock_put or not, which will cause memory leak. As for the issue of ax25_addr_ax25dev(), it is impossible for one pointer to be on a list twice. So add a break in ax25_addr_ax25dev(). As for the issue of ax25_dev_device_down(), increase the reference count of ax25_dev once in ax25_dev_device_up() and decrease the reference count of ax25_dev after it is removed from the ax25_dev_list. Уязвимость функции ax25_addr_ax25dev() модуля net/ax25/ax25_dev.c ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers/perf: hisi: hns3: Actually use devm_add_action_or_reset() pci_alloc_irq_vectors() allocates an irq vector. When devm_add_action() fails, the irq vector is not freed, which leads to a memory leak. Replace the devm_add_action with devm_add_action_or_reset to ensure the irq vector can be destroyed when it fails. Уязвимость компонента hns3 ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: macintosh/via-macii: Fix "BUG: sleeping function called from invalid context" The via-macii ADB driver calls request_irq() after disabling hard interrupts. But disabling interrupts isn't necessary here because the VIA shift register interrupt was masked during VIA1 initialization. Уязвимость ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers/virt/acrn: fix PFNMAP PTE checks in acrn_vm_ram_map() Patch series "mm: follow_pte() improvements and acrn follow_pte() fixes". Patch #1 fixes a bunch of issues I spotted in the acrn driver. It compiles, that's all I know. I'll appreciate some review and testing from acrn folks. Patch #2+#3 improve follow_pte(), passing a VMA instead of the MM, adding more sanity checks, and improving the documentation. Gave it a quick test on x86-64 using VM_PAT that ends up using follow_pte(). This patch (of 3): We currently miss handling various cases, resulting in a dangerous follow_pte() (previously follow_pfn()) usage. (1) We're not checking PTE write permissions. Maybe we should simply always require pte_write() like we do for pin_user_pages_fast(FOLL_WRITE)? Hard to tell, so let's check for ACRN_MEM_ACCESS_WRITE for now. (2) We're not rejecting refcounted pages. As we are not using MMU notifiers, messing with refcounted pages is dangerous and can result in use-after-free. Let's make sure to reject them. (3) We are only looking at the first PTE of a bigger range. We only lookup a single PTE, but memmap->len may span a larger area. Let's loop over all involved PTEs and make sure the PFN range is actually contiguous. Reject everything else: it couldn't have worked either way, and rather made use access PFNs we shouldn't be accessing. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: m68k: Fix spinlock race in kernel thread creation Context switching does take care to retain the correct lock owner across the switch from 'prev' to 'next' tasks. This does rely on interrupts remaining disabled for the entire duration of the switch. This condition is guaranteed for normal process creation and context switching between already running processes, because both 'prev' and 'next' already have interrupts disabled in their saved copies of the status register. The situation is different for newly created kernel threads. The status register is set to PS_S in copy_thread(), which does leave the IPL at 0. Upon restoring the 'next' thread's status register in switch_to() aka resume(), interrupts then become enabled prematurely. resume() then returns via ret_from_kernel_thread() and schedule_tail() where run queue lock is released (see finish_task_switch() and finish_lock_switch()). A timer interrupt calling scheduler_tick() before the lock is released in finish_task_switch() will find the lock already taken, with the current task as lock owner. This causes a spinlock recursion warning as reported by Guenter Roeck. As far as I can ascertain, this race has been opened in commit 533e6903bea0 ("m68k: split ret_from_fork(), simplify kernel_thread()") but I haven't done a detailed study of kernel history so it may well predate that commit. Interrupts cannot be disabled in the saved status register copy for kernel threads (init will complain about interrupts disabled when finally starting user space). Disable interrupts temporarily when switching the tasks' register sets in resume(). Note that a simple oriw 0x700,%sr after restoring sr is not enough here - this leaves enough of a race for the 'spinlock recursion' warning to still be observed. Tested on ARAnyM and qemu (Quadra 800 emulation). Уязвимость ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cpufreq: exit() callback is optional The exit() callback is optional and shouldn't be called without checking a valid pointer first. Also, we must clear freq_table pointer even if the exit() callback isn't present. Уязвимость компонента cpufreq ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: timer: Set lower bound of start tick time Currently ALSA timer doesn't have the lower limit of the start tick time, and it allows a very small size, e.g. 1 tick with 1ns resolution for hrtimer. Such a situation may lead to an unexpected RCU stall, where the callback repeatedly queuing the expire update, as reported by fuzzer. This patch introduces a sanity check of the timer start tick time, so that the system returns an error when a too small start size is set. As of this patch, the lower limit is hard-coded to 100us, which is small enough but can still work somehow. Уязвимость компонента ALSA ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb-storage: alauda: Check whether the media is initialized The member "uzonesize" of struct alauda_info will remain 0 if alauda_init_media() fails, potentially causing divide errors in alauda_read_data() and alauda_write_lba(). - Add a member "media_initialized" to struct alauda_info. - Change a condition in alauda_check_media() to ensure the first initialization. - Add an error check for the return value of alauda_init_media(). Уязвимость компонента alauda ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: stk1160: fix bounds checking in stk1160_copy_video() The subtract in this condition is reversed. The ->length is the length of the buffer. The ->bytesused is how many bytes we have copied thus far. When the condition is reversed that means the result of the subtraction is always negative but since it's unsigned then the result is a very high positive value. That means the overflow check is never true. Additionally, the ->bytesused doesn't actually work for this purpose because we're not writing to "buf->mem + buf->bytesused". Instead, the math to calculate the destination where we are writing is a bit involved. You calculate the number of full lines already written, multiply by two, skip a line if necessary so that we start on an odd numbered line, and add the offset into the line. To fix this buffer overflow, just take the actual destination where we are writing, if the offset is already out of bounds print an error and return. Otherwise, write up to buf->length bytes. Уязвимость компонента stk1160-video.c ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Use 64 bit variable to avoid 32 bit overflow For example, in the expression: vbo = 2 * vbo + skip Уязвимость компонента fslog.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: stm class: Fix a double free in stm_register_device() The put_device(&stm->dev) call will trigger stm_device_release() which frees "stm" so the vfree(stm) on the next line is a double free. Уязвимость функции stm_register_device() в модуле drivers/hwtracing/stm/core.c драйвера трассировки System Trace Module (STM) ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: u_audio: Fix race condition use of controls after free during gadget unbind. Hang on to the control IDs instead of pointers since those are correctly handled with locks. Уязвимость компонента u_audio.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vfio/pci: fix potential memory leak in vfio_intx_enable() If vfio_irq_ctx_alloc() failed will lead to 'name' memory leak. Уязвимость компонента vfio_pci_intrs.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: max3100: Update uart_driver_registered on driver removal The removal of the last MAX3100 device triggers the removal of the driver. However, code doesn't update the respective global variable and after insmod — rmmod — insmod cycle the kernel oopses: max3100 spi-PRP0001:01: max3100_probe: adding port 0 BUG: kernel NULL pointer dereference, address: 0000000000000408 ... RIP: 0010:serial_core_register_port+0xa0/0x840 ... max3100_probe+0x1b6/0x280 [max3100] spi_probe+0x8d/0xb0 Update the actual state so next time UART driver will be registered again. Hugo also noticed, that the error path in the probe also affected by having the variable set, and not cleared. Instead of clearing it move the assignment after the successfull uart_register_driver() call. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: max3100: Lock port->lock when calling uart_handle_cts_change() uart_handle_cts_change() has to be called with port lock taken, Since we run it in a separate work, the lock may not be taken at the time of running. Make sure that it's taken by explicitly doing that. Without it we got a splat: WARNING: CPU: 0 PID: 10 at drivers/tty/serial/serial_core.c:3491 uart_handle_cts_change+0xa6/0xb0 ... Workqueue: max3100-0 max3100_work [max3100] RIP: 0010:uart_handle_cts_change+0xa6/0xb0 ... max3100_handlerx+0xc5/0x110 [max3100] max3100_work+0x12a/0x340 [max3100] Уязвимость компонента max3100.c ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soundwire: cadence: fix invalid PDI offset For some reason, we add an offset to the PDI, presumably to skip the PDI0 and PDI1 which are reserved for BPT. This code is however completely wrong and leads to an out-of-bounds access. We were just lucky so far since we used only a couple of PDIs and remained within the PDI array bounds. A Fixes: tag is not provided since there are no known platforms where the out-of-bounds would be accessed, and the initial code had problems as well. A follow-up patch completely removes this useless offset. Уязвимость компонента cadence_master.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: multidev: fix to recognize valid zero block address As reported by Yi Zhang in mailing list [1], kernel warning was catched during zbd/010 test as below: ./check zbd/010 zbd/010 (test gap zone support with F2FS) [failed] runtime ... 3.752s something found in dmesg: [ 4378.146781] run blktests zbd/010 at 2024-02-18 11:31:13 [ 4378.192349] null_blk: module loaded [ 4378.209860] null_blk: disk nullb0 created [ 4378.413285] scsi_debug:sdebug_driver_probe: scsi_debug: trim poll_queues to 0. poll_q/nr_hw = (0/1) [ 4378.422334] scsi host15: scsi_debug: version 0191 [20210520] dev_size_mb=1024, opts=0x0, submit_queues=1, statistics=0 [ 4378.434922] scsi 15:0:0:0: Direct-Access-ZBC Linux scsi_debug 0191 PQ: 0 ANSI: 7 [ 4378.443343] scsi 15:0:0:0: Power-on or device reset occurred [ 4378.449371] sd 15:0:0:0: Attached scsi generic sg5 type 20 [ 4378.449418] sd 15:0:0:0: [sdf] Host-managed zoned block device ... (See '/mnt/tests/gitlab.com/api/v4/projects/19168116/repository/archive.zip/storage/blktests/blk/blktests/results/nodev/zbd/010.dmesg' WARNING: CPU: 22 PID: 44011 at fs/iomap/iter.c:51 CPU: 22 PID: 44011 Comm: fio Not tainted 6.8.0-rc3+ #1 RIP: 0010:iomap_iter+0x32b/0x350 Call Trace: <TASK> __iomap_dio_rw+0x1df/0x830 f2fs_file_read_iter+0x156/0x3d0 [f2fs] aio_read+0x138/0x210 io_submit_one+0x188/0x8c0 __x64_sys_io_submit+0x8c/0x1a0 do_syscall_64+0x86/0x170 entry_SYSCALL_64_after_hwframe+0x6e/0x76 Shinichiro Kawasaki helps to analyse this issue and proposes a potential fixing patch in [2]. Quoted from reply of Shinichiro Kawasaki: "I confirmed that the trigger commit is dbf8e63f48af as Yi reported. I took a look in the commit, but it looks fine to me. So I thought the cause is not in the commit diff. I found the WARN is printed when the f2fs is set up with multiple devices, and read requests are mapped to the very first block of the second device in the direct read path. In this case, f2fs_map_blocks() and f2fs_map_blocks_cached() modify map->m_pblk as the physical block address from each block device. It becomes zero when it is mapped to the first block of the device. However, f2fs_iomap_begin() assumes that map->m_pblk is the physical block address of the whole f2fs, across the all block devices. It compares map->m_pblk against NULL_ADDR == 0, then go into the unexpected branch and sets the invalid iomap->length. The WARN catches the invalid iomap->length. This WARN is printed even for non-zoned block devices, by following steps. - Create two (non-zoned) null_blk devices memory backed with 128MB size each: nullb0 and nullb1. # mkfs.f2fs /dev/nullb0 -c /dev/nullb1 # mount -t f2fs /dev/nullb0 "${mount_dir}" # dd if=/dev/zero of="${mount_dir}/test.dat" bs=1M count=192 # dd if="${mount_dir}/test.dat" of=/dev/null bs=1M count=192 iflag=direct ..." So, the root cause of this issue is: when multi-devices feature is on, f2fs_map_blocks() may return zero blkaddr in non-primary device, which is a verified valid block address, however, f2fs_iomap_begin() treats it as an invalid block address, and then it triggers the warning in iomap framework code. Finally, as discussed, we decide to use a more simple and direct way that checking (map.m_flags & F2FS_MAP_MAPPED) condition instead of (map.m_pblk != NULL_ADDR) to fix this issue. Thanks a lot for the effort of Yi Zhang and Shinichiro Kawasaki on this issue. [1] https://lore.kernel.org/linux-f2fs-devel/CAHj4cs-kfojYC9i0G73PRkYzcxCTex=-vugRFeP40g_URGvnfQ@mail.gmail.com/ [2] https://lore.kernel.org/linux-f2fs-devel/gngdj77k4picagsfdtiaa7gpgnup6fsgwzsltx6milmhegmjff@iax2n4wvrqye/ Уязвимость компонента data.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: greybus: lights: check return of get_channel_from_mode If channel for the given node is not found we return null from get_channel_from_mode. Make sure we validate the return pointer before using it in two of the missing places. This was originally reported in [0]: Found by Linux Verification Center (linuxtesting.org) with SVACE. [0] https://lore.kernel.org/all/20240301190425.120605-1-m.lobanov@rosalinux.ru Уязвимость компонента light.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: enic: Validate length of nl attributes in enic_set_vf_port enic_set_vf_port assumes that the nl attribute IFLA_PORT_PROFILE is of length PORT_PROFILE_MAX and that the nl attributes IFLA_PORT_INSTANCE_UUID, IFLA_PORT_HOST_UUID are of length PORT_UUID_MAX. These attributes are validated (in the function do_setlink in rtnetlink.c) using the nla_policy ifla_port_policy. The policy defines IFLA_PORT_PROFILE as NLA_STRING, IFLA_PORT_INSTANCE_UUID as NLA_BINARY and IFLA_PORT_HOST_UUID as NLA_STRING. That means that the length validation using the policy is for the max size of the attributes and not on exact size so the length of these attributes might be less than the sizes that enic_set_vf_port expects. This might cause an out of bands read access in the memcpys of the data of these attributes in enic_set_vf_port. Уязвимость компонента enic_main.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/ap: Fix crash in AP internal function modify_bitmap() A system crash like this Failing address: 200000cb7df6f000 TEID: 200000cb7df6f403 Fault in home space mode while using kernel ASCE. AS:00000002d71bc007 R3:00000003fe5b8007 S:000000011a446000 P:000000015660c13d Oops: 0038 ilc:3 [#1] PREEMPT SMP Modules linked in: mlx5_ib ... CPU: 8 PID: 7556 Comm: bash Not tainted 6.9.0-rc7 #8 Hardware name: IBM 3931 A01 704 (LPAR) Krnl PSW : 0704e00180000000 0000014b75e7b606 (ap_parse_bitmap_str+0x10e/0x1f8) R:0 T:1 IO:1 EX:1 Key:0 M:1 W:0 P:0 AS:3 CC:2 PM:0 RI:0 EA:3 Krnl GPRS: 0000000000000001 ffffffffffffffc0 0000000000000001 00000048f96b75d3 000000cb00000100 ffffffffffffffff ffffffffffffffff 000000cb7df6fce0 000000cb7df6fce0 00000000ffffffff 000000000000002b 00000048ffffffff 000003ff9b2dbc80 200000cb7df6fcd8 0000014bffffffc0 000000cb7df6fbc8 Krnl Code: 0000014b75e7b5fc: a7840047 brc 8,0000014b75e7b68a 0000014b75e7b600: 18b2 lr %r11,%r2 #0000014b75e7b602: a7f4000a brc 15,0000014b75e7b616 >0000014b75e7b606: eb22d00000e6 laog %r2,%r2,0(%r13) 0000014b75e7b60c: a7680001 lhi %r6,1 0000014b75e7b610: 187b lr %r7,%r11 0000014b75e7b612: 84960021 brxh %r9,%r6,0000014b75e7b654 0000014b75e7b616: 18e9 lr %r14,%r9 Call Trace: [<0000014b75e7b606>] ap_parse_bitmap_str+0x10e/0x1f8 ([<0000014b75e7b5dc>] ap_parse_bitmap_str+0xe4/0x1f8) [<0000014b75e7b758>] apmask_store+0x68/0x140 [<0000014b75679196>] kernfs_fop_write_iter+0x14e/0x1e8 [<0000014b75598524>] vfs_write+0x1b4/0x448 [<0000014b7559894c>] ksys_write+0x74/0x100 [<0000014b7618a440>] __do_syscall+0x268/0x328 [<0000014b761a3558>] system_call+0x70/0x98 INFO: lockdep is turned off. Last Breaking-Event-Address: [<0000014b75e7b636>] ap_parse_bitmap_str+0x13e/0x1f8 Kernel panic - not syncing: Fatal exception: panic_on_oops occured when /sys/bus/ap/a[pq]mask was updated with a relative mask value (like +0x10-0x12,+60,-90) with one of the numeric values exceeding INT_MAX. The fix is simple: use unsigned long values for the internal variables. The correct checks are already in place in the function but a simple int for the internal variables was used with the possibility to overflow. Уязвимость компонента s390 ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Allow delete from sockmap/sockhash only if update is allowed We have seen an influx of syzkaller reports where a BPF program attached to a tracepoint triggers a locking rule violation by performing a map_delete on a sockmap/sockhash. We don't intend to support this artificial use scenario. Extend the existing verifier allowed-program-type check for updating sockmap/sockhash to also cover deleting from a map. From now on only BPF programs which were previously allowed to update sockmap/sockhash can delete from these map types. Уязвимость функции may_update_sockmap() в модуле kernel/bpf/verifier.c подсистемы BPF ядра операционной системы Linux связана с недостаточной проверкой полномочий. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dma-buf/sw-sync: don't enable IRQ from sync_print_obj() Since commit a6aa8fca4d79 ("dma-buf/sw-sync: Reduce irqsave/irqrestore from known context") by error replaced spin_unlock_irqrestore() with spin_unlock_irq() for both sync_debugfs_show() and sync_print_obj() despite sync_print_obj() is called from sync_debugfs_show(), lockdep complains inconsistent lock state warning. Use plain spin_{lock,unlock}() for sync_print_obj(), for sync_debugfs_show() is already using spin_{lock,unlock}_irq(). Уязвимость функции sync_print_obj() компонента dma-buf ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix mb_cache_entry's e_refcnt leak in ext4_xattr_block_cache_find() Syzbot reports a warning as follows: ============================================ WARNING: CPU: 0 PID: 5075 at fs/mbcache.c:419 mb_cache_destroy+0x224/0x290 Modules linked in: CPU: 0 PID: 5075 Comm: syz-executor199 Not tainted 6.9.0-rc6-gb947cc5bf6d7 RIP: 0010:mb_cache_destroy+0x224/0x290 fs/mbcache.c:419 Call Trace: <TASK> ext4_put_super+0x6d4/0xcd0 fs/ext4/super.c:1375 generic_shutdown_super+0x136/0x2d0 fs/super.c:641 kill_block_super+0x44/0x90 fs/super.c:1675 ext4_kill_sb+0x68/0xa0 fs/ext4/super.c:7327 [...] ============================================ This is because when finding an entry in ext4_xattr_block_cache_find(), if ext4_sb_bread() returns -ENOMEM, the ce's e_refcnt, which has already grown in the __entry_find(), won't be put away, and eventually trigger the above issue in mb_cache_destroy() due to reference count leakage. So call mb_cache_entry_put() on the -ENOMEM error branch as a quick fix. Уязвимость компонента ext4 ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: wwan: t7xx: Fix FSM command timeout issue When driver processes the internal state change command, it use an asynchronous thread to process the command operation. If the main thread detects that the task has timed out, the asynchronous thread will panic when executing the completion notification because the main thread completion object has been released. BUG: unable to handle page fault for address: fffffffffffffff8 PGD 1f283a067 P4D 1f283a067 PUD 1f283c067 PMD 0 Oops: 0000 [#1] PREEMPT SMP NOPTI RIP: 0010:complete_all+0x3e/0xa0 [...] Call Trace: <TASK> ? __die_body+0x68/0xb0 ? page_fault_oops+0x379/0x3e0 ? exc_page_fault+0x69/0xa0 ? asm_exc_page_fault+0x22/0x30 ? complete_all+0x3e/0xa0 fsm_main_thread+0xa3/0x9c0 [mtk_t7xx (HASH:1400 5)] ? __pfx_autoremove_wake_function+0x10/0x10 kthread+0xd8/0x110 ? __pfx_fsm_main_thread+0x10/0x10 [mtk_t7xx (HASH:1400 5)] ? __pfx_kthread+0x10/0x10 ret_from_fork+0x38/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1b/0x30 </TASK> [...] CR2: fffffffffffffff8 ---[ end trace 0000000000000000 ]--- Use the reference counter to ensure safe release as Sergey suggests: https://lore.kernel.org/all/da90f64c-260a-4329-87bf-1f9ff20a5951@gmail.com/ Уязвимость компонентов t7xx_state_monitor.c, t7xx_state_monitor.h ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: um: Add winch to winch_handlers before registering winch IRQ Registering a winch IRQ is racy, an interrupt may occur before the winch is added to the winch_handlers list. If that happens, register_winch_irq() adds to that list a winch that is scheduled to be (or has already been) freed, causing a panic later in winch_cleanup(). Avoid the race by adding the winch to the winch_handlers list before registering the IRQ, and rolling back if um_request_irq() fails. Уязвимость ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/memory-failure: fix handling of dissolved but not taken off from buddy pages When I did memory failure tests recently, below panic occurs: page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x8cee00 flags: 0x6fffe0000000000(node=1|zone=2|lastcpupid=0x7fff) raw: 06fffe0000000000 dead000000000100 dead000000000122 0000000000000000 raw: 0000000000000000 0000000000000009 00000000ffffffff 0000000000000000 page dumped because: VM_BUG_ON_PAGE(!PageBuddy(page)) ------------[ cut here ]------------ kernel BUG at include/linux/page-flags.h:1009! invalid opcode: 0000 [#1] PREEMPT SMP NOPTI RIP: 0010:__del_page_from_free_list+0x151/0x180 RSP: 0018:ffffa49c90437998 EFLAGS: 00000046 RAX: 0000000000000035 RBX: 0000000000000009 RCX: ffff8dd8dfd1c9c8 RDX: 0000000000000000 RSI: 0000000000000027 RDI: ffff8dd8dfd1c9c0 RBP: ffffd901233b8000 R08: ffffffffab5511f8 R09: 0000000000008c69 R10: 0000000000003c15 R11: ffffffffab5511f8 R12: ffff8dd8fffc0c80 R13: 0000000000000001 R14: ffff8dd8fffc0c80 R15: 0000000000000009 FS: 00007ff916304740(0000) GS:ffff8dd8dfd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055eae50124c8 CR3: 00000008479e0000 CR4: 00000000000006f0 Call Trace: <TASK> __rmqueue_pcplist+0x23b/0x520 get_page_from_freelist+0x26b/0xe40 __alloc_pages_noprof+0x113/0x1120 __folio_alloc_noprof+0x11/0xb0 alloc_buddy_hugetlb_folio.isra.0+0x5a/0x130 __alloc_fresh_hugetlb_folio+0xe7/0x140 alloc_pool_huge_folio+0x68/0x100 set_max_huge_pages+0x13d/0x340 hugetlb_sysctl_handler_common+0xe8/0x110 proc_sys_call_handler+0x194/0x280 vfs_write+0x387/0x550 ksys_write+0x64/0xe0 do_syscall_64+0xc2/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7ff916114887 RSP: 002b:00007ffec8a2fd78 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 000055eae500e350 RCX: 00007ff916114887 RDX: 0000000000000004 RSI: 000055eae500e390 RDI: 0000000000000003 RBP: 000055eae50104c0 R08: 0000000000000000 R09: 000055eae50104c0 R10: 0000000000000077 R11: 0000000000000246 R12: 0000000000000004 R13: 0000000000000004 R14: 00007ff916216b80 R15: 00007ff916216a00 </TASK> Modules linked in: mce_inject hwpoison_inject ---[ end trace 0000000000000000 ]--- And before the panic, there had an warning about bad page state: BUG: Bad page state in process page-types pfn:8cee00 page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x8cee00 flags: 0x6fffe0000000000(node=1|zone=2|lastcpupid=0x7fff) page_type: 0xffffff7f(buddy) raw: 06fffe0000000000 ffffd901241c0008 ffffd901240f8008 0000000000000000 raw: 0000000000000000 0000000000000009 00000000ffffff7f 0000000000000000 page dumped because: nonzero mapcount Modules linked in: mce_inject hwpoison_inject CPU: 8 PID: 154211 Comm: page-types Not tainted 6.9.0-rc4-00499-g5544ec3178e2-dirty #22 Call Trace: <TASK> dump_stack_lvl+0x83/0xa0 bad_page+0x63/0xf0 free_unref_page+0x36e/0x5c0 unpoison_memory+0x50b/0x630 simple_attr_write_xsigned.constprop.0.isra.0+0xb3/0x110 debugfs_attr_write+0x42/0x60 full_proxy_write+0x5b/0x80 vfs_write+0xcd/0x550 ksys_write+0x64/0xe0 do_syscall_64+0xc2/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f189a514887 RSP: 002b:00007ffdcd899718 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007f189a514887 RDX: 0000000000000009 RSI: 00007ffdcd899730 RDI: 0000000000000003 RBP: 00007ffdcd8997a0 R08: 0000000000000000 R09: 00007ffdcd8994b2 R10: 0000000000000000 R11: 0000000000000246 R12: 00007ffdcda199a8 R13: 0000000000404af1 R14: 000000000040ad78 R15: 00007f189a7a5040 </TASK> The root cause should be the below race: memory_failure try_memory_failure_hugetlb me_huge_page __page_handle_poison dissolve_free_hugetlb_folio drain_all_pages -- Buddy page can be isolated e.g. for compaction. take_page_off_buddy -- Failed as page is not in the ---truncated--- Уязвимость функции me_huge_page() модуля mm/memory-failure.c ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/9p: fix uninit-value in p9_client_rpc() Syzbot with the help of KMSAN reported the following error: BUG: KMSAN: uninit-value in trace_9p_client_res include/trace/events/9p.h:146 [inline] BUG: KMSAN: uninit-value in p9_client_rpc+0x1314/0x1340 net/9p/client.c:754 trace_9p_client_res include/trace/events/9p.h:146 [inline] p9_client_rpc+0x1314/0x1340 net/9p/client.c:754 p9_client_create+0x1551/0x1ff0 net/9p/client.c:1031 v9fs_session_init+0x1b9/0x28e0 fs/9p/v9fs.c:410 v9fs_mount+0xe2/0x12b0 fs/9p/vfs_super.c:122 legacy_get_tree+0x114/0x290 fs/fs_context.c:662 vfs_get_tree+0xa7/0x570 fs/super.c:1797 do_new_mount+0x71f/0x15e0 fs/namespace.c:3352 path_mount+0x742/0x1f20 fs/namespace.c:3679 do_mount fs/namespace.c:3692 [inline] __do_sys_mount fs/namespace.c:3898 [inline] __se_sys_mount+0x725/0x810 fs/namespace.c:3875 __x64_sys_mount+0xe4/0x150 fs/namespace.c:3875 do_syscall_64+0xd5/0x1f0 entry_SYSCALL_64_after_hwframe+0x6d/0x75 Uninit was created at: __alloc_pages+0x9d6/0xe70 mm/page_alloc.c:4598 __alloc_pages_node include/linux/gfp.h:238 [inline] alloc_pages_node include/linux/gfp.h:261 [inline] alloc_slab_page mm/slub.c:2175 [inline] allocate_slab mm/slub.c:2338 [inline] new_slab+0x2de/0x1400 mm/slub.c:2391 ___slab_alloc+0x1184/0x33d0 mm/slub.c:3525 __slab_alloc mm/slub.c:3610 [inline] __slab_alloc_node mm/slub.c:3663 [inline] slab_alloc_node mm/slub.c:3835 [inline] kmem_cache_alloc+0x6d3/0xbe0 mm/slub.c:3852 p9_tag_alloc net/9p/client.c:278 [inline] p9_client_prepare_req+0x20a/0x1770 net/9p/client.c:641 p9_client_rpc+0x27e/0x1340 net/9p/client.c:688 p9_client_create+0x1551/0x1ff0 net/9p/client.c:1031 v9fs_session_init+0x1b9/0x28e0 fs/9p/v9fs.c:410 v9fs_mount+0xe2/0x12b0 fs/9p/vfs_super.c:122 legacy_get_tree+0x114/0x290 fs/fs_context.c:662 vfs_get_tree+0xa7/0x570 fs/super.c:1797 do_new_mount+0x71f/0x15e0 fs/namespace.c:3352 path_mount+0x742/0x1f20 fs/namespace.c:3679 do_mount fs/namespace.c:3692 [inline] __do_sys_mount fs/namespace.c:3898 [inline] __se_sys_mount+0x725/0x810 fs/namespace.c:3875 __x64_sys_mount+0xe4/0x150 fs/namespace.c:3875 do_syscall_64+0xd5/0x1f0 entry_SYSCALL_64_after_hwframe+0x6d/0x75 If p9_check_errors() fails early in p9_client_rpc(), req->rc.tag will not be properly initialized. However, trace_9p_client_res() ends up trying to print it out anyway before p9_client_rpc() finishes. Fix this issue by assigning default values to p9_fcall fields such as 'tag' and (just in case KMSAN unearths something new) 'id' during the tag allocation stage. Уязвимость компонента net/9p ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-665')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: io_uring: check for non-NULL file pointer in io_file_can_poll() In earlier kernels, it was possible to trigger a NULL pointer dereference off the forced async preparation path, if no file had been assigned. The trace leading to that looks as follows: BUG: kernel NULL pointer dereference, address: 00000000000000b0 PGD 0 P4D 0 Oops: 0000 [#1] PREEMPT SMP CPU: 67 PID: 1633 Comm: buf-ring-invali Not tainted 6.8.0-rc3+ #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS unknown 2/2/2022 RIP: 0010:io_buffer_select+0xc3/0x210 Code: 00 00 48 39 d1 0f 82 ae 00 00 00 48 81 4b 48 00 00 01 00 48 89 73 70 0f b7 50 0c 66 89 53 42 85 ed 0f 85 d2 00 00 00 48 8b 13 <48> 8b 92 b0 00 00 00 48 83 7a 40 00 0f 84 21 01 00 00 4c 8b 20 5b RSP: 0018:ffffb7bec38c7d88 EFLAGS: 00010246 RAX: ffff97af2be61000 RBX: ffff97af234f1700 RCX: 0000000000000040 RDX: 0000000000000000 RSI: ffff97aecfb04820 RDI: ffff97af234f1700 RBP: 0000000000000000 R08: 0000000000200030 R09: 0000000000000020 R10: ffffb7bec38c7dc8 R11: 000000000000c000 R12: ffffb7bec38c7db8 R13: ffff97aecfb05800 R14: ffff97aecfb05800 R15: ffff97af2be5e000 FS: 00007f852f74b740(0000) GS:ffff97b1eeec0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000000000b0 CR3: 000000016deab005 CR4: 0000000000370ef0 Call Trace: <TASK> ? __die+0x1f/0x60 ? page_fault_oops+0x14d/0x420 ? do_user_addr_fault+0x61/0x6a0 ? exc_page_fault+0x6c/0x150 ? asm_exc_page_fault+0x22/0x30 ? io_buffer_select+0xc3/0x210 __io_import_iovec+0xb5/0x120 io_readv_prep_async+0x36/0x70 io_queue_sqe_fallback+0x20/0x260 io_submit_sqes+0x314/0x630 __do_sys_io_uring_enter+0x339/0xbc0 ? __do_sys_io_uring_register+0x11b/0xc50 ? vm_mmap_pgoff+0xce/0x160 do_syscall_64+0x5f/0x180 entry_SYSCALL_64_after_hwframe+0x46/0x4e RIP: 0033:0x55e0a110a67e Code: ba cc 00 00 00 45 31 c0 44 0f b6 92 d0 00 00 00 31 d2 41 b9 08 00 00 00 41 83 e2 01 41 c1 e2 04 41 09 c2 b8 aa 01 00 00 0f 05 <c3> 90 89 30 eb a9 0f 1f 40 00 48 8b 42 20 8b 00 a8 06 75 af 85 f6 because the request is marked forced ASYNC and has a bad file fd, and hence takes the forced async prep path. Current kernels with the request async prep cleaned up can no longer hit this issue, but for ease of backporting, let's add this safety check in here too as it really doesn't hurt. For both cases, this will inevitably end with a CQE posted with -EBADF. Уязвимость компонента io_uring ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: thermal/drivers/qcom/lmh: Check for SCM availability at probe Up until now, the necessary scm availability check has not been performed, leading to possible null pointer dereferences (which did happen for me on RB1). Fix that. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to do sanity check on i_xattr_nid in sanity_check_inode() syzbot reports a kernel bug as below: F2FS-fs (loop0): Mounted with checkpoint version = 48b305e4 ================================================================== BUG: KASAN: slab-out-of-bounds in f2fs_test_bit fs/f2fs/f2fs.h:2933 [inline] BUG: KASAN: slab-out-of-bounds in current_nat_addr fs/f2fs/node.h:213 [inline] BUG: KASAN: slab-out-of-bounds in f2fs_get_node_info+0xece/0x1200 fs/f2fs/node.c:600 Read of size 1 at addr ffff88807a58c76c by task syz-executor280/5076 CPU: 1 PID: 5076 Comm: syz-executor280 Not tainted 6.9.0-rc5-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:114 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 f2fs_test_bit fs/f2fs/f2fs.h:2933 [inline] current_nat_addr fs/f2fs/node.h:213 [inline] f2fs_get_node_info+0xece/0x1200 fs/f2fs/node.c:600 f2fs_xattr_fiemap fs/f2fs/data.c:1848 [inline] f2fs_fiemap+0x55d/0x1ee0 fs/f2fs/data.c:1925 ioctl_fiemap fs/ioctl.c:220 [inline] do_vfs_ioctl+0x1c07/0x2e50 fs/ioctl.c:838 __do_sys_ioctl fs/ioctl.c:902 [inline] __se_sys_ioctl+0x81/0x170 fs/ioctl.c:890 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f The root cause is we missed to do sanity check on i_xattr_nid during f2fs_iget(), so that in fiemap() path, current_nat_addr() will access nat_bitmap w/ offset from invalid i_xattr_nid, result in triggering kasan bug report, fix it. Уязвимость компонента inode.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix deadlock in smb2_find_smb_tcon() Unlock cifs_tcp_ses_lock before calling cifs_put_smb_ses() to avoid such deadlock. Уязвимость компонента smb ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix nilfs_empty_dir() misjudgment and long loop on I/O errors The error handling in nilfs_empty_dir() when a directory folio/page read fails is incorrect, as in the old ext2 implementation, and if the folio/page cannot be read or nilfs_check_folio() fails, it will falsely determine the directory as empty and corrupt the file system. In addition, since nilfs_empty_dir() does not immediately return on a failed folio/page read, but continues to loop, this can cause a long loop with I/O if i_size of the directory's inode is also corrupted, causing the log writer thread to wait and hang, as reported by syzbot. Fix these issues by making nilfs_empty_dir() immediately return a false value (0) if it fails to get a directory folio/page. Уязвимость компонента nilfs2 ядра операционной системы Linux связана с чрезмерным потреблением ресурсов в цикле. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: add error handle to avoid out-of-bounds if the sdma_v4_0_irq_id_to_seq return -EINVAL, the process should be stop to avoid out-of-bounds read, so directly return -EINVAL. Уязвимость компонента drm/amdgpu ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfs: fix log recovery buffer allocation for the legacy h_size fixup Commit a70f9fe52daa ("xfs: detect and handle invalid iclog size set by mkfs") added a fixup for incorrect h_size values used for the initial umount record in old xfsprogs versions. Later commit 0c771b99d6c9 ("xfs: clean up calculation of LR header blocks") cleaned up the log reover buffer calculation, but stoped using the fixed up h_size value to size the log recovery buffer, which can lead to an out of bounds access when the incorrect h_size does not come from the old mkfs tool, but a fuzzer. Fix this by open coding xlog_logrec_hblks and taking the fixed h_size into account for this calculation. Уязвимость функции xlog_do_recovery_pass() в модуле fs/xfs/xfs_log_recover.c файловой системы xfs ядра операционной системы Linux связана с доступом к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/vmalloc: fix vmalloc which may return null if called with __GFP_NOFAIL commit a421ef303008 ("mm: allow !GFP_KERNEL allocations for kvmalloc") includes support for __GFP_NOFAIL, but it presents a conflict with commit dd544141b9eb ("vmalloc: back off when the current task is OOM-killed"). A possible scenario is as follows: process-a __vmalloc_node_range(GFP_KERNEL | __GFP_NOFAIL) __vmalloc_area_node() vm_area_alloc_pages() --> oom-killer send SIGKILL to process-a if (fatal_signal_pending(current)) break; --> return NULL; To fix this, do not check fatal_signal_pending() in vm_area_alloc_pages() if __GFP_NOFAIL set. This issue occurred during OPLUS KASAN TEST. Below is part of the log -> oom-killer sends signal to process [65731.222840] [ T1308] oom-kill:constraint=CONSTRAINT_NONE,nodemask=(null),cpuset=/,mems_allowed=0,global_oom,task_memcg=/apps/uid_10198,task=gs.intelligence,pid=32454,uid=10198 [65731.259685] [T32454] Call trace: [65731.259698] [T32454] dump_backtrace+0xf4/0x118 [65731.259734] [T32454] show_stack+0x18/0x24 [65731.259756] [T32454] dump_stack_lvl+0x60/0x7c [65731.259781] [T32454] dump_stack+0x18/0x38 [65731.259800] [T32454] mrdump_common_die+0x250/0x39c [mrdump] [65731.259936] [T32454] ipanic_die+0x20/0x34 [mrdump] [65731.260019] [T32454] atomic_notifier_call_chain+0xb4/0xfc [65731.260047] [T32454] notify_die+0x114/0x198 [65731.260073] [T32454] die+0xf4/0x5b4 [65731.260098] [T32454] die_kernel_fault+0x80/0x98 [65731.260124] [T32454] __do_kernel_fault+0x160/0x2a8 [65731.260146] [T32454] do_bad_area+0x68/0x148 [65731.260174] [T32454] do_mem_abort+0x151c/0x1b34 [65731.260204] [T32454] el1_abort+0x3c/0x5c [65731.260227] [T32454] el1h_64_sync_handler+0x54/0x90 [65731.260248] [T32454] el1h_64_sync+0x68/0x6c [65731.260269] [T32454] z_erofs_decompress_queue+0x7f0/0x2258 --> be->decompressed_pages = kvcalloc(be->nr_pages, sizeof(struct page *), GFP_KERNEL | __GFP_NOFAIL); kernel panic by NULL pointer dereference. erofs assume kvmalloc with __GFP_NOFAIL never return NULL. [65731.260293] [T32454] z_erofs_runqueue+0xf30/0x104c [65731.260314] [T32454] z_erofs_readahead+0x4f0/0x968 [65731.260339] [T32454] read_pages+0x170/0xadc [65731.260364] [T32454] page_cache_ra_unbounded+0x874/0xf30 [65731.260388] [T32454] page_cache_ra_order+0x24c/0x714 [65731.260411] [T32454] filemap_fault+0xbf0/0x1a74 [65731.260437] [T32454] __do_fault+0xd0/0x33c [65731.260462] [T32454] handle_mm_fault+0xf74/0x3fe0 [65731.260486] [T32454] do_mem_abort+0x54c/0x1b34 [65731.260509] [T32454] el0_da+0x44/0x94 [65731.260531] [T32454] el0t_64_sync_handler+0x98/0xb4 [65731.260553] [T32454] el0t_64_sync+0x198/0x19c Уязвимость компонента mm/vmalloc ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: savage: Handle err return when savagefb_check_var failed The commit 04e5eac8f3ab("fbdev: savage: Error out if pixclock equals zero") checks the value of pixclock to avoid divide-by-zero error. However the function savagefb_probe doesn't handle the error return of savagefb_check_var. When pixclock is 0, it will cause divide-by-zero error. Уязвимость компонента savage ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: md/raid5: fix deadlock that raid5d() wait for itself to clear MD_SB_CHANGE_PENDING Xiao reported that lvm2 test lvconvert-raid-takeover.sh can hang with small possibility, the root cause is exactly the same as commit bed9e27baf52 ("Revert "md/raid5: Wait for MD_SB_CHANGE_PENDING in raid5d"") However, Dan reported another hang after that, and junxiao investigated the problem and found out that this is caused by plugged bio can't issue from raid5d(). Current implementation in raid5d() has a weird dependence: 1) md_check_recovery() from raid5d() must hold 'reconfig_mutex' to clear MD_SB_CHANGE_PENDING; 2) raid5d() handles IO in a deadloop, until all IO are issued; 3) IO from raid5d() must wait for MD_SB_CHANGE_PENDING to be cleared; This behaviour is introduce before v2.6, and for consequence, if other context hold 'reconfig_mutex', and md_check_recovery() can't update super_block, then raid5d() will waste one cpu 100% by the deadloop, until 'reconfig_mutex' is released. Refer to the implementation from raid1 and raid10, fix this problem by skipping issue IO if MD_SB_CHANGE_PENDING is still set after md_check_recovery(), daemon thread will be woken up when 'reconfig_mutex' is released. Meanwhile, the hang problem will be fixed as well. Уязвимость компонента md/raid5 ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mc: Fix graph walk in media_pipeline_start The graph walk tries to follow all links, even if they are not between pads. This causes a crash with, e.g. a MEDIA_LNK_FL_ANCILLARY_LINK link. Fix this by allowing the walk to proceed only for MEDIA_LNK_FL_DATA_LINK links. Уязвимость ядра операционной системы Linux связана с неправильной обработкой данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bcache: fix variable length array abuse in btree_iter btree_iter is used in two ways: either allocated on the stack with a fixed size MAX_BSETS, or from a mempool with a dynamic size based on the specific cache set. Previously, the struct had a fixed-length array of size MAX_BSETS which was indexed out-of-bounds for the dynamically-sized iterators, which causes UBSAN to complain. This patch uses the same approach as in bcachefs's sort_iter and splits the iterator into a btree_iter with a flexible array member and a btree_iter_stack which embeds a btree_iter as well as a fixed-length data array. Уязвимость компонента bcache ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mmc: davinci: Don't strip remove function when driver is builtin Using __exit for the remove function results in the remove callback being discarded with CONFIG_MMC_DAVINCI=y. When such a device gets unbound (e.g. using sysfs or hotplug), the driver is just removed without the cleanup being performed. This results in resource leaks. Fix it by compiling in the remove callback unconditionally. This also fixes a W=1 modpost warning: WARNING: modpost: drivers/mmc/host/davinci_mmc: section mismatch in reference: davinci_mmcsd_driver+0x10 (section: .data) -> davinci_mmcsd_remove (section: .exit.text) Уязвимость компонента davinci ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bonding: Fix out-of-bounds read in bond_option_arp_ip_targets_set() In function bond_option_arp_ip_targets_set(), if newval->string is an empty string, newval->string+1 will point to the byte after the string, causing an out-of-bound read. BUG: KASAN: slab-out-of-bounds in strlen+0x7d/0xa0 lib/string.c:418 Read of size 1 at addr ffff8881119c4781 by task syz-executor665/8107 CPU: 1 PID: 8107 Comm: syz-executor665 Not tainted 6.7.0-rc7 #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0xd9/0x150 lib/dump_stack.c:106 print_address_description mm/kasan/report.c:364 [inline] print_report+0xc1/0x5e0 mm/kasan/report.c:475 kasan_report+0xbe/0xf0 mm/kasan/report.c:588 strlen+0x7d/0xa0 lib/string.c:418 __fortify_strlen include/linux/fortify-string.h:210 [inline] in4_pton+0xa3/0x3f0 net/core/utils.c:130 bond_option_arp_ip_targets_set+0xc2/0x910 drivers/net/bonding/bond_options.c:1201 __bond_opt_set+0x2a4/0x1030 drivers/net/bonding/bond_options.c:767 __bond_opt_set_notify+0x48/0x150 drivers/net/bonding/bond_options.c:792 bond_opt_tryset_rtnl+0xda/0x160 drivers/net/bonding/bond_options.c:817 bonding_sysfs_store_option+0xa1/0x120 drivers/net/bonding/bond_sysfs.c:156 dev_attr_store+0x54/0x80 drivers/base/core.c:2366 sysfs_kf_write+0x114/0x170 fs/sysfs/file.c:136 kernfs_fop_write_iter+0x337/0x500 fs/kernfs/file.c:334 call_write_iter include/linux/fs.h:2020 [inline] new_sync_write fs/read_write.c:491 [inline] vfs_write+0x96a/0xd80 fs/read_write.c:584 ksys_write+0x122/0x250 fs/read_write.c:637 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0x40/0x110 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x63/0x6b ---[ end trace ]--- Fix it by adding a check of string length before using it. Уязвимость компонента bonding ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64: asm-bug: Add .align 2 to the end of __BUG_ENTRY When CONFIG_DEBUG_BUGVERBOSE=n, we fail to add necessary padding bytes to bug_table entries, and as a result the last entry in a bug table will be ignored, potentially leading to an unexpected panic(). All prior entries in the table will be handled correctly. The arm64 ABI requires that struct fields of up to 8 bytes are naturally-aligned, with padding added within a struct such that struct are suitably aligned within arrays. When CONFIG_DEBUG_BUGVERPOSE=y, the layout of a bug_entry is: struct bug_entry { signed int bug_addr_disp; // 4 bytes signed int file_disp; // 4 bytes unsigned short line; // 2 bytes unsigned short flags; // 2 bytes } ... with 12 bytes total, requiring 4-byte alignment. When CONFIG_DEBUG_BUGVERBOSE=n, the layout of a bug_entry is: struct bug_entry { signed int bug_addr_disp; // 4 bytes unsigned short flags; // 2 bytes < implicit padding > // 2 bytes } ... with 8 bytes total, with 6 bytes of data and 2 bytes of trailing padding, requiring 4-byte alginment. When we create a bug_entry in assembly, we align the start of the entry to 4 bytes, which implicitly handles padding for any prior entries. However, we do not align the end of the entry, and so when CONFIG_DEBUG_BUGVERBOSE=n, the final entry lacks the trailing padding bytes. For the main kernel image this is not a problem as find_bug() doesn't depend on the trailing padding bytes when searching for entries: for (bug = __start___bug_table; bug < __stop___bug_table; ++bug) if (bugaddr == bug_addr(bug)) return bug; However for modules, module_bug_finalize() depends on the trailing bytes when calculating the number of entries: mod->num_bugs = sechdrs[i].sh_size / sizeof(struct bug_entry); ... and as the last bug_entry lacks the necessary padding bytes, this entry will not be counted, e.g. in the case of a single entry: sechdrs[i].sh_size == 6 sizeof(struct bug_entry) == 8; sechdrs[i].sh_size / sizeof(struct bug_entry) == 0; Consequently module_find_bug() will miss the last bug_entry when it does: for (i = 0; i < mod->num_bugs; ++i, ++bug) if (bugaddr == bug_addr(bug)) goto out; ... which can lead to a kenrel panic due to an unhandled bug. This can be demonstrated with the following module: static int __init buginit(void) { WARN(1, "hello\n"); return 0; } static void __exit bugexit(void) { } module_init(buginit); module_exit(bugexit); MODULE_LICENSE("GPL"); ... which will trigger a kernel panic when loaded: ------------[ cut here ]------------ hello Unexpected kernel BRK exception at EL1 Internal error: BRK handler: 00000000f2000800 [#1] PREEMPT SMP Modules linked in: hello(O+) CPU: 0 PID: 50 Comm: insmod Tainted: G O 6.9.1 #8 Hardware name: linux,dummy-virt (DT) pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : buginit+0x18/0x1000 [hello] lr : buginit+0x18/0x1000 [hello] sp : ffff800080533ae0 x29: ffff800080533ae0 x28: 0000000000000000 x27: 0000000000000000 x26: ffffaba8c4e70510 x25: ffff800080533c30 x24: ffffaba8c4a28a58 x23: 0000000000000000 x22: 0000000000000000 x21: ffff3947c0eab3c0 x20: ffffaba8c4e3f000 x19: ffffaba846464000 x18: 0000000000000006 x17: 0000000000000000 x16: ffffaba8c2492834 x15: 0720072007200720 x14: 0720072007200720 x13: ffffaba8c49b27c8 x12: 0000000000000312 x11: 0000000000000106 x10: ffffaba8c4a0a7c8 x9 : ffffaba8c49b27c8 x8 : 00000000ffffefff x7 : ffffaba8c4a0a7c8 x6 : 80000000fffff000 x5 : 0000000000000107 x4 : 0000000000000000 x3 : 0000000000000000 x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff3947c0eab3c0 Call trace: buginit+0x18/0x1000 [hello] do_one_initcall+0x80/0x1c8 do_init_module+0x60/0x218 load_module+0x1ba4/0x1d70 __do_sys_init_module+0x198/0x1d0 __arm64_sys_init_module+0x1c/0x28 invoke_syscall+0x48/0x114 el0_svc ---truncated--- Уязвимость компонента asm-bug ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: sr: fix memleak in seg6_hmac_init_algo seg6_hmac_init_algo returns without cleaning up the previous allocations if one fails, so it's going to leak all that memory and the crypto tfms. Update seg6_hmac_exit to only free the memory when allocated, so we can reuse the code directly. Уязвимость компонента ipv6 ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: sr: fix missing sk_buff release in seg6_input_core The seg6_input() function is responsible for adding the SRH into a packet, delegating the operation to the seg6_input_core(). This function uses the skb_cow_head() to ensure that there is sufficient headroom in the sk_buff for accommodating the link-layer header. In the event that the skb_cow_header() function fails, the seg6_input_core() catches the error but it does not release the sk_buff, which will result in a memory leak. This issue was introduced in commit af3b5158b89d ("ipv6: sr: fix BUG due to headroom too small after SRH push") and persists even after commit 7a3f5b0de364 ("netfilter: add netfilter hooks to SRv6 data plane"), where the entire seg6_input() code was refactored to deal with netfilter hooks. The proposed patch addresses the identified memory leak by requiring the seg6_input_core() function to release the sk_buff in the event that skb_cow_head() fails. Уязвимость компонента sr ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы в функции seg6_input_core(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=6.2) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: qat - Fix ADF_DEV_RESET_SYNC memory leak Using completion_done to determine whether the caller has gone away only works after a complete call. Furthermore it's still possible that the caller has not yet called wait_for_completion, resulting in another potential UAF. Fix this by making the caller use cancel_work_sync and then freeing the memory safely. Уязвимость компонента crypto ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: zoned: fix use-after-free due to race with dev replace While loading a zone's info during creation of a block group, we can race with a device replace operation and then trigger a use-after-free on the device that was just replaced (source device of the replace operation). This happens because at btrfs_load_zone_info() we extract a device from the chunk map into a local variable and then use the device while not under the protection of the device replace rwsem. So if there's a device replace operation happening when we extract the device and that device is the source of the replace operation, we will trigger a use-after-free if before we finish using the device the replace operation finishes and frees the device. Fix this by enlarging the critical section under the protection of the device replace rwsem so that all uses of the device are done inside the critical section. Уязвимость функции btrfs_load_zone_info() в модуле fs/btrfs/zoned.c файловой системы btrfs ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/shmem-helper: Fix BUG_ON() on mmap(PROT_WRITE, MAP_PRIVATE) Lack of check for copy-on-write (COW) mapping in drm_gem_shmem_mmap allows users to call mmap with PROT_WRITE and MAP_PRIVATE flag causing a kernel panic due to BUG_ON in vmf_insert_pfn_prot: BUG_ON((vma->vm_flags & VM_PFNMAP) && is_cow_mapping(vma->vm_flags)); Return -EINVAL early if COW mapping is detected. This bug affects all drm drivers using default shmem helpers. It can be reproduced by this simple example: void *ptr = mmap(0, size, PROT_WRITE, MAP_PRIVATE, fd, mmap_offset); ptr[0] = 0; Уязвимость компонента drm_gem_shmem_helper.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vmci: prevent speculation leaks by sanitizing event in event_deliver() Coverity spotted that event_msg is controlled by user-space, event_msg->event_data.event is passed to event_deliver() and used as an index without sanitization. This change ensures that the event index is sanitized to mitigate any possibility of speculative information leaks. This bug was discovered and resolved using Coverity Static Analysis Security Testing (SAST) by Synopsys, Inc. Only compile tested, no access to HW. Уязвимость компонента vmci ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sock_map: avoid race between sock_map_close and sk_psock_put sk_psock_get will return NULL if the refcount of psock has gone to 0, which will happen when the last call of sk_psock_put is done. However, sk_psock_drop may not have finished yet, so the close callback will still point to sock_map_close despite psock being NULL. This can be reproduced with a thread deleting an element from the sock map, while the second one creates a socket, adds it to the map and closes it. That will trigger the WARN_ON_ONCE: ------------[ cut here ]------------ WARNING: CPU: 1 PID: 7220 at net/core/sock_map.c:1701 sock_map_close+0x2a2/0x2d0 net/core/sock_map.c:1701 Modules linked in: CPU: 1 PID: 7220 Comm: syz-executor380 Not tainted 6.9.0-syzkaller-07726-g3c999d1ae3c7 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 RIP: 0010:sock_map_close+0x2a2/0x2d0 net/core/sock_map.c:1701 Code: df e8 92 29 88 f8 48 8b 1b 48 89 d8 48 c1 e8 03 42 80 3c 20 00 74 08 48 89 df e8 79 29 88 f8 4c 8b 23 eb 89 e8 4f 15 23 f8 90 <0f> 0b 90 48 83 c4 08 5b 41 5c 41 5d 41 5e 41 5f 5d e9 13 26 3d 02 RSP: 0018:ffffc9000441fda8 EFLAGS: 00010293 RAX: ffffffff89731ae1 RBX: ffffffff94b87540 RCX: ffff888029470000 RDX: 0000000000000000 RSI: ffffffff8bcab5c0 RDI: ffffffff8c1faba0 RBP: 0000000000000000 R08: ffffffff92f9b61f R09: 1ffffffff25f36c3 R10: dffffc0000000000 R11: fffffbfff25f36c4 R12: ffffffff89731840 R13: ffff88804b587000 R14: ffff88804b587000 R15: ffffffff89731870 FS: 000055555e080380(0000) GS:ffff8880b9500000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 00000000207d4000 CR4: 0000000000350ef0 Call Trace: <TASK> unix_release+0x87/0xc0 net/unix/af_unix.c:1048 __sock_release net/socket.c:659 [inline] sock_close+0xbe/0x240 net/socket.c:1421 __fput+0x42b/0x8a0 fs/file_table.c:422 __do_sys_close fs/open.c:1556 [inline] __se_sys_close fs/open.c:1541 [inline] __x64_sys_close+0x7f/0x110 fs/open.c:1541 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fb37d618070 Code: 00 00 48 c7 c2 b8 ff ff ff f7 d8 64 89 02 b8 ff ff ff ff eb d4 e8 10 2c 00 00 80 3d 31 f0 07 00 00 74 17 b8 03 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 48 c3 0f 1f 80 00 00 00 00 48 83 ec 18 89 7c RSP: 002b:00007ffcd4a525d8 EFLAGS: 00000202 ORIG_RAX: 0000000000000003 RAX: ffffffffffffffda RBX: 0000000000000005 RCX: 00007fb37d618070 RDX: 0000000000000010 RSI: 00000000200001c0 RDI: 0000000000000004 RBP: 0000000000000000 R08: 0000000100000000 R09: 0000000100000000 R10: 0000000000000000 R11: 0000000000000202 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 </TASK> Use sk_psock, which will only check that the pointer is not been set to NULL yet, which should only happen after the callbacks are restored. If, then, a reference can still be gotten, we may call sk_psock_stop and cancel psock->work. As suggested by Paolo Abeni, reorder the condition so the control flow is less convoluted. After that change, the reproducer does not trigger the WARN_ON_ONCE anymore. Уязвимость компонента sock_map ядра операционной системы Linux связана с разыменованием указателя NULL в функции sock_map_close(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority. Уязвимость компонента core ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ionic: fix use after netif_napi_del() When queues are started, netif_napi_add() and napi_enable() are called. If there are 4 queues and only 3 queues are used for the current configuration, only 3 queues' napi should be registered and enabled. The ionic_qcq_enable() checks whether the .poll pointer is not NULL for enabling only the using queue' napi. Unused queues' napi will not be registered by netif_napi_add(), so the .poll pointer indicates NULL. But it couldn't distinguish whether the napi was unregistered or not because netif_napi_del() doesn't reset the .poll pointer to NULL. So, ionic_qcq_enable() calls napi_enable() for the queue, which was unregistered by netif_napi_del(). Reproducer: ethtool -L <interface name> rx 1 tx 1 combined 0 ethtool -L <interface name> rx 0 tx 0 combined 1 ethtool -L <interface name> rx 0 tx 0 combined 4 Splat looks like: kernel BUG at net/core/dev.c:6666! Oops: invalid opcode: 0000 [#1] PREEMPT SMP NOPTI CPU: 3 PID: 1057 Comm: kworker/3:3 Not tainted 6.10.0-rc2+ #16 Workqueue: events ionic_lif_deferred_work [ionic] RIP: 0010:napi_enable+0x3b/0x40 Code: 48 89 c2 48 83 e2 f6 80 b9 61 09 00 00 00 74 0d 48 83 bf 60 01 00 00 00 74 03 80 ce 01 f0 4f RSP: 0018:ffffb6ed83227d48 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffff97560cda0828 RCX: 0000000000000029 RDX: 0000000000000001 RSI: 0000000000000000 RDI: ffff97560cda0a28 RBP: ffffb6ed83227d50 R08: 0000000000000400 R09: 0000000000000001 R10: 0000000000000001 R11: 0000000000000001 R12: 0000000000000000 R13: ffff97560ce3c1a0 R14: 0000000000000000 R15: ffff975613ba0a20 FS: 0000000000000000(0000) GS:ffff975d5f780000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f8f734ee200 CR3: 0000000103e50000 CR4: 00000000007506f0 PKRU: 55555554 Call Trace: <TASK> ? die+0x33/0x90 ? do_trap+0xd9/0x100 ? napi_enable+0x3b/0x40 ? do_error_trap+0x83/0xb0 ? napi_enable+0x3b/0x40 ? napi_enable+0x3b/0x40 ? exc_invalid_op+0x4e/0x70 ? napi_enable+0x3b/0x40 ? asm_exc_invalid_op+0x16/0x20 ? napi_enable+0x3b/0x40 ionic_qcq_enable+0xb7/0x180 [ionic 59bdfc8a035436e1c4224ff7d10789e3f14643f8] ionic_start_queues+0xc4/0x290 [ionic 59bdfc8a035436e1c4224ff7d10789e3f14643f8] ionic_link_status_check+0x11c/0x170 [ionic 59bdfc8a035436e1c4224ff7d10789e3f14643f8] ionic_lif_deferred_work+0x129/0x280 [ionic 59bdfc8a035436e1c4224ff7d10789e3f14643f8] process_one_work+0x145/0x360 worker_thread+0x2bb/0x3d0 ? __pfx_worker_thread+0x10/0x10 kthread+0xcc/0x100 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x2d/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 Уязвимость компонента ionic ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: ipset: Fix race between namespace cleanup and gc in the list:set type Lion Ackermann reported that there is a race condition between namespace cleanup in ipset and the garbage collection of the list:set type. The namespace cleanup can destroy the list:set type of sets while the gc of the set type is waiting to run in rcu cleanup. The latter uses data from the destroyed set which thus leads use after free. The patch contains the following parts: - When destroying all sets, first remove the garbage collectors, then wait if needed and then destroy the sets. - Fix the badly ordered "wait then remove gc" for the destroy a single set case. - Fix the missing rcu locking in the list:set type in the userspace test case. - Use proper RCU list handlings in the list:set type. The patch depends on c1193d9bbbd3 (netfilter: ipset: Add list flush to cancel_gc). Уязвимость компонента ipset ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля br_netfilter.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль br_netfilter в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep br_netfilter ``` или ``` kmod list | grep br_netfilter ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod br_netfilter ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install br_netfilter /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/komeda: check for error-valued pointer komeda_pipeline_get_state() may return an error-valued pointer, thus check the pointer for negative or null value before dereferencing. Уязвимость компонентов drm/komeda ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: liquidio: Adjust a NULL pointer handling path in lio_vf_rep_copy_packet In lio_vf_rep_copy_packet() pg_info->page is compared to a NULL value, but then it is unconditionally passed to skb_add_rx_frag() which looks strange and could lead to null pointer dereference. lio_vf_rep_copy_packet() call trace looks like: octeon_droq_process_packets octeon_droq_fast_process_packets octeon_droq_dispatch_pkt octeon_create_recv_info ...search in the dispatch_list... ->disp_fn(rdisp->rinfo, ...) lio_vf_rep_pkt_recv(struct octeon_recv_info *recv_info, ...) In this path there is no code which sets pg_info->page to NULL. So this check looks unneeded and doesn't solve potential problem. But I guess the author had reason to add a check and I have no such card and can't do real test. In addition, the code in the function liquidio_push_packet() in liquidio/lio_core.c does exactly the same. Based on this, I consider the most acceptable compromise solution to adjust this issue by moving skb_add_rx_frag() into conditional scope. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента liquidio ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: hns3: fix kernel crash problem in concurrent scenario When link status change, the nic driver need to notify the roce driver to handle this event, but at this time, the roce driver may uninit, then cause kernel crash. To fix the problem, when link status change, need to check whether the roce registered, and when uninit, need to wait link update finish. Уязвимость компонента hns3 ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: core: remove unnecessary WARN_ON() in implement() Syzkaller hit a warning [1] in a call to implement() when trying to write a value into a field of smaller size in an output report. Since implement() already has a warn message printed out with the help of hid_warn() and value in question gets trimmed with: ... value &= m; ... WARN_ON may be considered superfluous. Remove it to suppress future syzkaller triggers. [1] WARNING: CPU: 0 PID: 5084 at drivers/hid/hid-core.c:1451 implement drivers/hid/hid-core.c:1451 [inline] WARNING: CPU: 0 PID: 5084 at drivers/hid/hid-core.c:1451 hid_output_report+0x548/0x760 drivers/hid/hid-core.c:1863 Modules linked in: CPU: 0 PID: 5084 Comm: syz-executor424 Not tainted 6.9.0-rc7-syzkaller-00183-gcf87f46fd34d #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 RIP: 0010:implement drivers/hid/hid-core.c:1451 [inline] RIP: 0010:hid_output_report+0x548/0x760 drivers/hid/hid-core.c:1863 ... Call Trace: <TASK> __usbhid_submit_report drivers/hid/usbhid/hid-core.c:591 [inline] usbhid_submit_report+0x43d/0x9e0 drivers/hid/usbhid/hid-core.c:636 hiddev_ioctl+0x138b/0x1f00 drivers/hid/usbhid/hiddev.c:726 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:904 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:890 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f ... Уязвимость компонента core ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 apache2 Potential SSRF in mod_rewrite in Apache HTTP Server 2.4.59 and earlier allows an attacker to cause unsafe RewriteRules to unexpectedly setup URL's to be handled by mod_proxy. Users are recommended to upgrade to version 2.4.60, which fixes this issue. Уязвимость компонента modules/mappers/mod_rewrite.c веб-сервера Apache HTTP Server связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 xrdp xrdp is an open source RDP server. xrdp versions prior to 0.10.0 have a vulnerability that allows attackers to make an infinite number of login attempts. The number of max login attempts is supposed to be limited by a configuration parameter `MaxLoginRetry` in `/etc/xrdp/sesman.ini`. However, this mechanism was not effectively working. As a result, xrdp allows an infinite number of login attempts. Уязвимость сервера XRDP связана с недостатками процедуры аутентификации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-307'), NistCWE(cwe='CWE-307')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:L', score=7.2) xrdp: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 apache2 A partial fix for  CVE-2024-39884 in the core of Apache HTTP Server 2.4.61 ignores some use of the legacy content-type based configuration of handlers. "AddType" and similar configuration, under some circumstances where files are requested indirectly, result in source code disclosure of local content. For example, PHP scripts may be served instead of interpreted. Users are recommended to upgrade to version 2.4.62, which fixes this issue. Уязвимость ядра веб-сервера Apache HTTP Server связана с игнорированием устаревшей конфигурации обработчиков функцией "AddType". Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) Эта уязвимость возникает, когда включен mod_proxy, используется директива ProxyPass. Отключите ProxyPass для небезопасных или ненужных конфигураций или отключите mod_proxy, если он не используется. Для этого в терминале нужно выполнить следующие команды: ```bash sudo a2dismod proxy sudo a2dismod proxy_http sudo systemctl restart apache2``` Astra Linux 1.8 bind9 Client queries that trigger serving stale data and that also require lookups in local authoritative zone data may result in an assertion failure. This issue affects BIND 9 versions 9.16.13 through 9.16.50, 9.18.0 through 9.18.27, 9.19.0 through 9.19.24, 9.11.33-S1 through 9.11.37-S1, 9.16.13-S1 through 9.16.50-S1, and 9.18.11-S1 through 9.18.27-S1. Уязвимость сервера DNS BIND связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) bind9: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска bind9 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 17.6, iOS 16.7.9 and iPadOS 16.7.9, iOS 17.6 and iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3, watchOS 10.6. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk An out-of-bounds read was addressed with improved bounds checking. This issue is fixed in Safari 17.6, iOS 16.7.9 and iPadOS 16.7.9, iOS 17.6 and iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3, watchOS 10.6. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk An out-of-bounds read was addressed with improved bounds checking. This issue is fixed in Safari 17.6, iOS 16.7.9 and iPadOS 16.7.9, iOS 17.6 and iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3, watchOS 10.6. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk An out-of-bounds access issue was addressed with improved bounds checking. This issue is fixed in Safari 17.6, iOS 16.7.9 and iPadOS 16.7.9, iOS 17.6 and iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3, watchOS 10.6. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved UI. This issue is fixed in Safari 18, macOS Sequoia 15. Visiting a malicious website may lead to address bar spoofing. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: remove requests from xarray during flushing requests Even with CACHEFILES_DEAD set, we can still read the requests, so in the following concurrency the request may be used after it has been freed: mount | daemon_thread1 | daemon_thread2 ------------------------------------------------------------ cachefiles_ondemand_init_object cachefiles_ondemand_send_req REQ_A = kzalloc(sizeof(*req) + data_len) wait_for_completion(&REQ_A->done) cachefiles_daemon_read cachefiles_ondemand_daemon_read // close dev fd cachefiles_flush_reqs complete(&REQ_A->done) kfree(REQ_A) xa_lock(&cache->reqs); cachefiles_ondemand_select_req req->msg.opcode != CACHEFILES_OP_READ // req use-after-free !!! xa_unlock(&cache->reqs); xa_destroy(&cache->reqs) Hence remove requests from cache->reqs when flushing them to avoid accessing freed requests. Уязвимость компонента cachefiles операционной системы Linux связана с использованием памяти после освобождения в функции cachefiles_flush_reqs(). Эксплуатация уязвимости может позволить нарушителю повысить привилегии [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: mpt3sas: Avoid test/set_bit() operating in non-allocated memory There is a potential out-of-bounds access when using test_bit() on a single word. The test_bit() and set_bit() functions operate on long values, and when testing or setting a single word, they can exceed the word boundary. KASAN detects this issue and produces a dump: BUG: KASAN: slab-out-of-bounds in _scsih_add_device.constprop.0 (./arch/x86/include/asm/bitops.h:60 ./include/asm-generic/bitops/instrumented-atomic.h:29 drivers/scsi/mpt3sas/mpt3sas_scsih.c:7331) mpt3sas Write of size 8 at addr ffff8881d26e3c60 by task kworker/u1536:2/2965 For full log, please look at [1]. Make the allocation at least the size of sizeof(unsigned long) so that set_bit() and test_bit() have sufficient room for read/write operations without overwriting unallocated memory. [1] Link: https://lore.kernel.org/all/ZkNcALr3W3KGYYJG@gmail.com/ Уязвимость компонента mpt3sas ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: USB: class: cdc-wdm: Fix CPU lockup caused by excessive log messages The syzbot fuzzer found that the interrupt-URB completion callback in the cdc-wdm driver was taking too long, and the driver's immediate resubmission of interrupt URBs with -EPROTO status combined with the dummy-hcd emulation to cause a CPU lockup: cdc_wdm 1-1:1.0: nonzero urb status received: -71 cdc_wdm 1-1:1.0: wdm_int_callback - 0 bytes watchdog: BUG: soft lockup - CPU#0 stuck for 26s! [syz-executor782:6625] CPU#0 Utilization every 4s during lockup: #1: 98% system, 0% softirq, 3% hardirq, 0% idle #2: 98% system, 0% softirq, 3% hardirq, 0% idle #3: 98% system, 0% softirq, 3% hardirq, 0% idle #4: 98% system, 0% softirq, 3% hardirq, 0% idle #5: 98% system, 1% softirq, 3% hardirq, 0% idle Modules linked in: irq event stamp: 73096 hardirqs last enabled at (73095): [<ffff80008037bc00>] console_emit_next_record kernel/printk/printk.c:2935 [inline] hardirqs last enabled at (73095): [<ffff80008037bc00>] console_flush_all+0x650/0xb74 kernel/printk/printk.c:2994 hardirqs last disabled at (73096): [<ffff80008af10b00>] __el1_irq arch/arm64/kernel/entry-common.c:533 [inline] hardirqs last disabled at (73096): [<ffff80008af10b00>] el1_interrupt+0x24/0x68 arch/arm64/kernel/entry-common.c:551 softirqs last enabled at (73048): [<ffff8000801ea530>] softirq_handle_end kernel/softirq.c:400 [inline] softirqs last enabled at (73048): [<ffff8000801ea530>] handle_softirqs+0xa60/0xc34 kernel/softirq.c:582 softirqs last disabled at (73043): [<ffff800080020de8>] __do_softirq+0x14/0x20 kernel/softirq.c:588 CPU: 0 PID: 6625 Comm: syz-executor782 Tainted: G W 6.10.0-rc2-syzkaller-g8867bbd4a056 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 Testing showed that the problem did not occur if the two error messages -- the first two lines above -- were removed; apparently adding material to the kernel log takes a surprisingly large amount of time. In any case, the best approach for preventing these lockups and to avoid spamming the log with thousands of error messages per second is to ratelimit the two dev_err() calls. Therefore we replace them with dev_err_ratelimited(). Уязвимость драйвера cdc-wdm ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: fix possible race in __fib6_drop_pcpu_from() syzbot found a race in __fib6_drop_pcpu_from() [1] If compiler reads more than once (*ppcpu_rt), second read could read NULL, if another cpu clears the value in rt6_get_pcpu_route(). Add a READ_ONCE() to prevent this race. Also add rcu_read_lock()/rcu_read_unlock() because we rely on RCU protection while dereferencing pcpu_rt. [1] Oops: general protection fault, probably for non-canonical address 0xdffffc0000000012: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000090-0x0000000000000097] CPU: 0 PID: 7543 Comm: kworker/u8:17 Not tainted 6.10.0-rc1-syzkaller-00013-g2bfcfd584ff5 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 Workqueue: netns cleanup_net RIP: 0010:__fib6_drop_pcpu_from.part.0+0x10a/0x370 net/ipv6/ip6_fib.c:984 Code: f8 48 c1 e8 03 80 3c 28 00 0f 85 16 02 00 00 4d 8b 3f 4d 85 ff 74 31 e8 74 a7 fa f7 49 8d bf 90 00 00 00 48 89 f8 48 c1 e8 03 <80> 3c 28 00 0f 85 1e 02 00 00 49 8b 87 90 00 00 00 48 8b 0c 24 48 RSP: 0018:ffffc900040df070 EFLAGS: 00010206 RAX: 0000000000000012 RBX: 0000000000000001 RCX: ffffffff89932e16 RDX: ffff888049dd1e00 RSI: ffffffff89932d7c RDI: 0000000000000091 RBP: dffffc0000000000 R08: 0000000000000005 R09: 0000000000000007 R10: 0000000000000001 R11: 0000000000000006 R12: ffff88807fa080b8 R13: fffffbfff1a9a07d R14: ffffed100ff41022 R15: 0000000000000001 FS: 0000000000000000(0000) GS:ffff8880b9200000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000001b32c26000 CR3: 000000005d56e000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> __fib6_drop_pcpu_from net/ipv6/ip6_fib.c:966 [inline] fib6_drop_pcpu_from net/ipv6/ip6_fib.c:1027 [inline] fib6_purge_rt+0x7f2/0x9f0 net/ipv6/ip6_fib.c:1038 fib6_del_route net/ipv6/ip6_fib.c:1998 [inline] fib6_del+0xa70/0x17b0 net/ipv6/ip6_fib.c:2043 fib6_clean_node+0x426/0x5b0 net/ipv6/ip6_fib.c:2205 fib6_walk_continue+0x44f/0x8d0 net/ipv6/ip6_fib.c:2127 fib6_walk+0x182/0x370 net/ipv6/ip6_fib.c:2175 fib6_clean_tree+0xd7/0x120 net/ipv6/ip6_fib.c:2255 __fib6_clean_all+0x100/0x2d0 net/ipv6/ip6_fib.c:2271 rt6_sync_down_dev net/ipv6/route.c:4906 [inline] rt6_disable_ip+0x7ed/0xa00 net/ipv6/route.c:4911 addrconf_ifdown.isra.0+0x117/0x1b40 net/ipv6/addrconf.c:3855 addrconf_notify+0x223/0x19e0 net/ipv6/addrconf.c:3778 notifier_call_chain+0xb9/0x410 kernel/notifier.c:93 call_netdevice_notifiers_info+0xbe/0x140 net/core/dev.c:1992 call_netdevice_notifiers_extack net/core/dev.c:2030 [inline] call_netdevice_notifiers net/core/dev.c:2044 [inline] dev_close_many+0x333/0x6a0 net/core/dev.c:1585 unregister_netdevice_many_notify+0x46d/0x19f0 net/core/dev.c:11193 unregister_netdevice_many net/core/dev.c:11276 [inline] default_device_exit_batch+0x85b/0xae0 net/core/dev.c:11759 ops_exit_list+0x128/0x180 net/core/net_namespace.c:178 cleanup_net+0x5b7/0xbf0 net/core/net_namespace.c:640 process_one_work+0x9fb/0x1b60 kernel/workqueue.c:3231 process_scheduled_works kernel/workqueue.c:3312 [inline] worker_thread+0x6c8/0xf70 kernel/workqueue.c:3393 kthread+0x2c1/0x3a0 kernel/kthread.c:389 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 Уязвимость компонента ipv6 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Always stop health timer during driver removal Currently, if teardown_hca fails to execute during driver removal, mlx5 does not stop the health timer. Afterwards, mlx5 continue with driver teardown. This may lead to a UAF bug, which results in page fault Oops[1], since the health timer invokes after resources were freed. Hence, stop the health monitor even if teardown_hca fails. [1] mlx5_core 0000:18:00.0: E-Switch: Unload vfs: mode(LEGACY), nvfs(0), necvfs(0), active vports(0) mlx5_core 0000:18:00.0: E-Switch: Disable: mode(LEGACY), nvfs(0), necvfs(0), active vports(0) mlx5_core 0000:18:00.0: E-Switch: Disable: mode(LEGACY), nvfs(0), necvfs(0), active vports(0) mlx5_core 0000:18:00.0: E-Switch: cleanup mlx5_core 0000:18:00.0: wait_func:1155:(pid 1967079): TEARDOWN_HCA(0x103) timeout. Will cause a leak of a command resource mlx5_core 0000:18:00.0: mlx5_function_close:1288:(pid 1967079): tear_down_hca failed, skip cleanup BUG: unable to handle page fault for address: ffffa26487064230 PGD 100c00067 P4D 100c00067 PUD 100e5a067 PMD 105ed7067 PTE 0 Oops: 0000 [#1] PREEMPT SMP PTI CPU: 0 PID: 0 Comm: swapper/0 Tainted: G OE ------- --- 6.7.0-68.fc38.x86_64 #1 Hardware name: Intel Corporation S2600WFT/S2600WFT, BIOS SE5C620.86B.02.01.0013.121520200651 12/15/2020 RIP: 0010:ioread32be+0x34/0x60 RSP: 0018:ffffa26480003e58 EFLAGS: 00010292 RAX: ffffa26487064200 RBX: ffff9042d08161a0 RCX: ffff904c108222c0 RDX: 000000010bbf1b80 RSI: ffffffffc055ddb0 RDI: ffffa26487064230 RBP: ffff9042d08161a0 R08: 0000000000000022 R09: ffff904c108222e8 R10: 0000000000000004 R11: 0000000000000441 R12: ffffffffc055ddb0 R13: ffffa26487064200 R14: ffffa26480003f00 R15: ffff904c108222c0 FS: 0000000000000000(0000) GS:ffff904c10800000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffa26487064230 CR3: 00000002c4420006 CR4: 00000000007706f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <IRQ> ? __die+0x23/0x70 ? page_fault_oops+0x171/0x4e0 ? exc_page_fault+0x175/0x180 ? asm_exc_page_fault+0x26/0x30 ? __pfx_poll_health+0x10/0x10 [mlx5_core] ? __pfx_poll_health+0x10/0x10 [mlx5_core] ? ioread32be+0x34/0x60 mlx5_health_check_fatal_sensors+0x20/0x100 [mlx5_core] ? __pfx_poll_health+0x10/0x10 [mlx5_core] poll_health+0x42/0x230 [mlx5_core] ? __next_timer_interrupt+0xbc/0x110 ? __pfx_poll_health+0x10/0x10 [mlx5_core] call_timer_fn+0x21/0x130 ? __pfx_poll_health+0x10/0x10 [mlx5_core] __run_timers+0x222/0x2c0 run_timer_softirq+0x1d/0x40 __do_softirq+0xc9/0x2c8 __irq_exit_rcu+0xa6/0xc0 sysvec_apic_timer_interrupt+0x72/0x90 </IRQ> <TASK> asm_sysvec_apic_timer_interrupt+0x1a/0x20 RIP: 0010:cpuidle_enter_state+0xcc/0x440 ? cpuidle_enter_state+0xbd/0x440 cpuidle_enter+0x2d/0x40 do_idle+0x20d/0x270 cpu_startup_entry+0x2a/0x30 rest_init+0xd0/0xd0 arch_call_rest_init+0xe/0x30 start_kernel+0x709/0xa90 x86_64_start_reservations+0x18/0x30 x86_64_start_kernel+0x96/0xa0 secondary_startup_64_no_verify+0x18f/0x19b ---[ end trace 0000000000000000 ]--- Уязвимость функции mlx5_function_teardown() ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Set run context for rawtp test_run callback syzbot reported crash when rawtp program executed through the test_run interface calls bpf_get_attach_cookie helper or any other helper that touches task->bpf_ctx pointer. Setting the run context (task->bpf_ctx pointer) for test_run callback. Уязвимость компонента bpf ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ax25: Fix refcount imbalance on inbound connections When releasing a socket in ax25_release(), we call netdev_put() to decrease the refcount on the associated ax.25 device. However, the execution path for accepting an incoming connection never calls netdev_hold(). This imbalance leads to refcount errors, and ultimately to kernel crashes. A typical call trace for the above situation will start with one of the following errors: refcount_t: decrement hit 0; leaking memory. refcount_t: underflow; use-after-free. And will then have a trace like: Call Trace: <TASK> ? show_regs+0x64/0x70 ? __warn+0x83/0x120 ? refcount_warn_saturate+0xb2/0x100 ? report_bug+0x158/0x190 ? prb_read_valid+0x20/0x30 ? handle_bug+0x3e/0x70 ? exc_invalid_op+0x1c/0x70 ? asm_exc_invalid_op+0x1f/0x30 ? refcount_warn_saturate+0xb2/0x100 ? refcount_warn_saturate+0xb2/0x100 ax25_release+0x2ad/0x360 __sock_release+0x35/0xa0 sock_close+0x19/0x20 [...] On reboot (or any attempt to remove the interface), the kernel gets stuck in an infinite loop: unregister_netdevice: waiting for ax0 to become free. Usage count = 0 This patch corrects these issues by ensuring that we call netdev_hold() and ax25_dev_hold() for new connections in ax25_accept(). This makes the logic leading to ax25_accept() match the logic for ax25_bind(): in both cases we increment the refcount, which is ultimately decremented in ax25_release(). Уязвимость функции ax25_accept() модуля net/ax25/af_ax25.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: Lock wiphy in cfg80211_get_station Wiphy should be locked before calling rdev_get_station() (see lockdep assert in ieee80211_get_station()). This fixes the following kernel NULL dereference: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000050 Mem abort info: ESR = 0x0000000096000006 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x06: level 2 translation fault Data abort info: ISV = 0, ISS = 0x00000006 CM = 0, WnR = 0 user pgtable: 4k pages, 48-bit VAs, pgdp=0000000003001000 [0000000000000050] pgd=0800000002dca003, p4d=0800000002dca003, pud=08000000028e9003, pmd=0000000000000000 Internal error: Oops: 0000000096000006 [#1] SMP Modules linked in: netconsole dwc3_meson_g12a dwc3_of_simple dwc3 ip_gre gre ath10k_pci ath10k_core ath9k ath9k_common ath9k_hw ath CPU: 0 PID: 1091 Comm: kworker/u8:0 Not tainted 6.4.0-02144-g565f9a3a7911-dirty #705 Hardware name: RPT (r1) (DT) Workqueue: bat_events batadv_v_elp_throughput_metric_update pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : ath10k_sta_statistics+0x10/0x2dc [ath10k_core] lr : sta_set_sinfo+0xcc/0xbd4 sp : ffff000007b43ad0 x29: ffff000007b43ad0 x28: ffff0000071fa900 x27: ffff00000294ca98 x26: ffff000006830880 x25: ffff000006830880 x24: ffff00000294c000 x23: 0000000000000001 x22: ffff000007b43c90 x21: ffff800008898acc x20: ffff00000294c6e8 x19: ffff000007b43c90 x18: 0000000000000000 x17: 445946354d552d78 x16: 62661f7200000000 x15: 57464f445946354d x14: 0000000000000000 x13: 00000000000000e3 x12: d5f0acbcebea978e x11: 00000000000000e3 x10: 000000010048fe41 x9 : 0000000000000000 x8 : ffff000007b43d90 x7 : 000000007a1e2125 x6 : 0000000000000000 x5 : ffff0000024e0900 x4 : ffff800000a0250c x3 : ffff000007b43c90 x2 : ffff00000294ca98 x1 : ffff000006831920 x0 : 0000000000000000 Call trace: ath10k_sta_statistics+0x10/0x2dc [ath10k_core] sta_set_sinfo+0xcc/0xbd4 ieee80211_get_station+0x2c/0x44 cfg80211_get_station+0x80/0x154 batadv_v_elp_get_throughput+0x138/0x1fc batadv_v_elp_throughput_metric_update+0x1c/0xa4 process_one_work+0x1ec/0x414 worker_thread+0x70/0x46c kthread+0xdc/0xe0 ret_from_fork+0x10/0x20 Code: a9bb7bfd 910003fd a90153f3 f9411c40 (f9402814) This happens because STA has time to disconnect and reconnect before batadv_v_elp_throughput_metric_update() delayed work gets scheduled. In this situation, ath10k_sta_state() can be in the middle of resetting arsta data when the work queue get chance to be scheduled and ends up accessing it. Locking wiphy prevents that. Уязвимость функции cfg80211_get_station() в модуле net/wireless/util.c компонента cfg80211 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: Fix deadlock in ieee80211_sta_ps_deliver_wakeup() The ieee80211_sta_ps_deliver_wakeup() function takes sta->ps_lock to synchronizes with ieee80211_tx_h_unicast_ps_buf() which is called from softirq context. However using only spin_lock() to get sta->ps_lock in ieee80211_sta_ps_deliver_wakeup() does not prevent softirq to execute on this same CPU, to run ieee80211_tx_h_unicast_ps_buf() and try to take this same lock ending in deadlock. Below is an example of rcu stall that arises in such situation. rcu: INFO: rcu_sched self-detected stall on CPU rcu: 2-....: (42413413 ticks this GP) idle=b154/1/0x4000000000000000 softirq=1763/1765 fqs=21206996 rcu: (t=42586894 jiffies g=2057 q=362405 ncpus=4) CPU: 2 PID: 719 Comm: wpa_supplicant Tainted: G W 6.4.0-02158-g1b062f552873 #742 Hardware name: RPT (r1) (DT) pstate: 00000005 (nzcv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : queued_spin_lock_slowpath+0x58/0x2d0 lr : invoke_tx_handlers_early+0x5b4/0x5c0 sp : ffff00001ef64660 x29: ffff00001ef64660 x28: ffff000009bc1070 x27: ffff000009bc0ad8 x26: ffff000009bc0900 x25: ffff00001ef647a8 x24: 0000000000000000 x23: ffff000009bc0900 x22: ffff000009bc0900 x21: ffff00000ac0e000 x20: ffff00000a279e00 x19: ffff00001ef646e8 x18: 0000000000000000 x17: ffff800016468000 x16: ffff00001ef608c0 x15: 0010533c93f64f80 x14: 0010395c9faa3946 x13: 0000000000000000 x12: 00000000fa83b2da x11: 000000012edeceea x10: ffff0000010fbe00 x9 : 0000000000895440 x8 : 000000000010533c x7 : ffff00000ad8b740 x6 : ffff00000c350880 x5 : 0000000000000007 x4 : 0000000000000001 x3 : 0000000000000000 x2 : 0000000000000000 x1 : 0000000000000001 x0 : ffff00000ac0e0e8 Call trace: queued_spin_lock_slowpath+0x58/0x2d0 ieee80211_tx+0x80/0x12c ieee80211_tx_pending+0x110/0x278 tasklet_action_common.constprop.0+0x10c/0x144 tasklet_action+0x20/0x28 _stext+0x11c/0x284 ____do_softirq+0xc/0x14 call_on_irq_stack+0x24/0x34 do_softirq_own_stack+0x18/0x20 do_softirq+0x74/0x7c __local_bh_enable_ip+0xa0/0xa4 _ieee80211_wake_txqs+0x3b0/0x4b8 __ieee80211_wake_queue+0x12c/0x168 ieee80211_add_pending_skbs+0xec/0x138 ieee80211_sta_ps_deliver_wakeup+0x2a4/0x480 ieee80211_mps_sta_status_update.part.0+0xd8/0x11c ieee80211_mps_sta_status_update+0x18/0x24 sta_apply_parameters+0x3bc/0x4c0 ieee80211_change_station+0x1b8/0x2dc nl80211_set_station+0x444/0x49c genl_family_rcv_msg_doit.isra.0+0xa4/0xfc genl_rcv_msg+0x1b0/0x244 netlink_rcv_skb+0x38/0x10c genl_rcv+0x34/0x48 netlink_unicast+0x254/0x2bc netlink_sendmsg+0x190/0x3b4 ____sys_sendmsg+0x1e8/0x218 ___sys_sendmsg+0x68/0x8c __sys_sendmsg+0x44/0x84 __arm64_sys_sendmsg+0x20/0x28 do_el0_svc+0x6c/0xe8 el0_svc+0x14/0x48 el0t_64_sync_handler+0xb0/0xb4 el0t_64_sync+0x14c/0x150 Using spin_lock_bh()/spin_unlock_bh() instead prevents softirq to raise on the same CPU that is holding the lock. Уязвимость компонента mac80211 ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: defer exposing anon_fd until after copy_to_user() succeeds After installing the anonymous fd, we can now see it in userland and close it. However, at this point we may not have gotten the reference count of the cache, but we will put it during colse fd, so this may cause a cache UAF. So grab the cache reference count before fd_install(). In addition, by kernel convention, fd is taken over by the user land after fd_install(), and the kernel should not call close_fd() after that, i.e., it should call fd_install() after everything is ready, thus fd_install() is called after copy_to_user() succeeds. Уязвимость компонента cachefiles ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/huge_memory: don't unpoison huge_zero_folio When I did memory failure tests recently, below panic occurs: kernel BUG at include/linux/mm.h:1135! invalid opcode: 0000 [#1] PREEMPT SMP NOPTI CPU: 9 PID: 137 Comm: kswapd1 Not tainted 6.9.0-rc4-00491-gd5ce28f156fe-dirty #14 RIP: 0010:shrink_huge_zero_page_scan+0x168/0x1a0 RSP: 0018:ffff9933c6c57bd0 EFLAGS: 00000246 RAX: 000000000000003e RBX: 0000000000000000 RCX: ffff88f61fc5c9c8 RDX: 0000000000000000 RSI: 0000000000000027 RDI: ffff88f61fc5c9c0 RBP: ffffcd7c446b0000 R08: ffffffff9a9405f0 R09: 0000000000005492 R10: 00000000000030ea R11: ffffffff9a9405f0 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000000 R15: ffff88e703c4ac00 FS: 0000000000000000(0000) GS:ffff88f61fc40000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055f4da6e9878 CR3: 0000000c71048000 CR4: 00000000000006f0 Call Trace: <TASK> do_shrink_slab+0x14f/0x6a0 shrink_slab+0xca/0x8c0 shrink_node+0x2d0/0x7d0 balance_pgdat+0x33a/0x720 kswapd+0x1f3/0x410 kthread+0xd5/0x100 ret_from_fork+0x2f/0x50 ret_from_fork_asm+0x1a/0x30 </TASK> Modules linked in: mce_inject hwpoison_inject ---[ end trace 0000000000000000 ]--- RIP: 0010:shrink_huge_zero_page_scan+0x168/0x1a0 RSP: 0018:ffff9933c6c57bd0 EFLAGS: 00000246 RAX: 000000000000003e RBX: 0000000000000000 RCX: ffff88f61fc5c9c8 RDX: 0000000000000000 RSI: 0000000000000027 RDI: ffff88f61fc5c9c0 RBP: ffffcd7c446b0000 R08: ffffffff9a9405f0 R09: 0000000000005492 R10: 00000000000030ea R11: ffffffff9a9405f0 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000000 R15: ffff88e703c4ac00 FS: 0000000000000000(0000) GS:ffff88f61fc40000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055f4da6e9878 CR3: 0000000c71048000 CR4: 00000000000006f0 The root cause is that HWPoison flag will be set for huge_zero_folio without increasing the folio refcnt. But then unpoison_memory() will decrease the folio refcnt unexpectedly as it appears like a successfully hwpoisoned folio leading to VM_BUG_ON_PAGE(page_ref_count(page) == 0) when releasing huge_zero_folio. Skip unpoisoning huge_zero_folio in unpoison_memory() to fix this issue. We're not prepared to unpoison huge_zero_folio yet. Уязвимость компонентов mm/huge_memory ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: riscv: rewrite __kernel_map_pages() to fix sleeping in invalid context __kernel_map_pages() is a debug function which clears the valid bit in page table entry for deallocated pages to detect illegal memory accesses to freed pages. This function set/clear the valid bit using __set_memory(). __set_memory() acquires init_mm's semaphore, and this operation may sleep. This is problematic, because __kernel_map_pages() can be called in atomic context, and thus is illegal to sleep. An example warning that this causes: BUG: sleeping function called from invalid context at kernel/locking/rwsem.c:1578 in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 2, name: kthreadd preempt_count: 2, expected: 0 CPU: 0 PID: 2 Comm: kthreadd Not tainted 6.9.0-g1d4c6d784ef6 #37 Hardware name: riscv-virtio,qemu (DT) Call Trace: [<ffffffff800060dc>] dump_backtrace+0x1c/0x24 [<ffffffff8091ef6e>] show_stack+0x2c/0x38 [<ffffffff8092baf8>] dump_stack_lvl+0x5a/0x72 [<ffffffff8092bb24>] dump_stack+0x14/0x1c [<ffffffff8003b7ac>] __might_resched+0x104/0x10e [<ffffffff8003b7f4>] __might_sleep+0x3e/0x62 [<ffffffff8093276a>] down_write+0x20/0x72 [<ffffffff8000cf00>] __set_memory+0x82/0x2fa [<ffffffff8000d324>] __kernel_map_pages+0x5a/0xd4 [<ffffffff80196cca>] __alloc_pages_bulk+0x3b2/0x43a [<ffffffff8018ee82>] __vmalloc_node_range+0x196/0x6ba [<ffffffff80011904>] copy_process+0x72c/0x17ec [<ffffffff80012ab4>] kernel_clone+0x60/0x2fe [<ffffffff80012f62>] kernel_thread+0x82/0xa0 [<ffffffff8003552c>] kthreadd+0x14a/0x1be [<ffffffff809357de>] ret_from_fork+0xe/0x1c Rewrite this function with apply_to_existing_page_range(). It is fine to not have any locking, because __kernel_map_pages() works with pages being allocated/deallocated and those pages are not changed by anyone else in the meantime. Уязвимость компонента pageattr.c ядра операционной системы Linux связана с использованием блокирующего кода в однопоточном, неблокирующем контексте. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/exynos: hdmi: report safe 640x480 mode as a fallback when no EDID found When reading EDID fails and driver reports no modes available, the DRM core adds an artificial 1024x786 mode to the connector. Unfortunately some variants of the Exynos HDMI (like the one in Exynos4 SoCs) are not able to drive such mode, so report a safe 640x480 mode instead of nothing in case of the EDID reading failure. This fixes the following issue observed on Trats2 board since commit 13d5b040363c ("drm/exynos: do not return negative values from .get_modes()"): [drm] Exynos DRM: using 11c00000.fimd device for DMA mapping operations exynos-drm exynos-drm: bound 11c00000.fimd (ops fimd_component_ops) exynos-drm exynos-drm: bound 12c10000.mixer (ops mixer_component_ops) exynos-dsi 11c80000.dsi: [drm:samsung_dsim_host_attach] Attached s6e8aa0 device (lanes:4 bpp:24 mode-flags:0x10b) exynos-drm exynos-drm: bound 11c80000.dsi (ops exynos_dsi_component_ops) exynos-drm exynos-drm: bound 12d00000.hdmi (ops hdmi_component_ops) [drm] Initialized exynos 1.1.0 20180330 for exynos-drm on minor 1 exynos-hdmi 12d00000.hdmi: [drm:hdmiphy_enable.part.0] *ERROR* PLL could not reach steady state panel-samsung-s6e8aa0 11c80000.dsi.0: ID: 0xa2, 0x20, 0x8c exynos-mixer 12c10000.mixer: timeout waiting for VSYNC ------------[ cut here ]------------ WARNING: CPU: 1 PID: 11 at drivers/gpu/drm/drm_atomic_helper.c:1682 drm_atomic_helper_wait_for_vblanks.part.0+0x2b0/0x2b8 [CRTC:70:crtc-1] vblank wait timed out Modules linked in: CPU: 1 PID: 11 Comm: kworker/u16:0 Not tainted 6.9.0-rc5-next-20240424 #14913 Hardware name: Samsung Exynos (Flattened Device Tree) Workqueue: events_unbound deferred_probe_work_func Call trace: unwind_backtrace from show_stack+0x10/0x14 show_stack from dump_stack_lvl+0x68/0x88 dump_stack_lvl from __warn+0x7c/0x1c4 __warn from warn_slowpath_fmt+0x11c/0x1a8 warn_slowpath_fmt from drm_atomic_helper_wait_for_vblanks.part.0+0x2b0/0x2b8 drm_atomic_helper_wait_for_vblanks.part.0 from drm_atomic_helper_commit_tail_rpm+0x7c/0x8c drm_atomic_helper_commit_tail_rpm from commit_tail+0x9c/0x184 commit_tail from drm_atomic_helper_commit+0x168/0x190 drm_atomic_helper_commit from drm_atomic_commit+0xb4/0xe0 drm_atomic_commit from drm_client_modeset_commit_atomic+0x23c/0x27c drm_client_modeset_commit_atomic from drm_client_modeset_commit_locked+0x60/0x1cc drm_client_modeset_commit_locked from drm_client_modeset_commit+0x24/0x40 drm_client_modeset_commit from __drm_fb_helper_restore_fbdev_mode_unlocked+0x9c/0xc4 __drm_fb_helper_restore_fbdev_mode_unlocked from drm_fb_helper_set_par+0x2c/0x3c drm_fb_helper_set_par from fbcon_init+0x3d8/0x550 fbcon_init from visual_init+0xc0/0x108 visual_init from do_bind_con_driver+0x1b8/0x3a4 do_bind_con_driver from do_take_over_console+0x140/0x1ec do_take_over_console from do_fbcon_takeover+0x70/0xd0 do_fbcon_takeover from fbcon_fb_registered+0x19c/0x1ac fbcon_fb_registered from register_framebuffer+0x190/0x21c register_framebuffer from __drm_fb_helper_initial_config_and_unlock+0x350/0x574 __drm_fb_helper_initial_config_and_unlock from exynos_drm_fbdev_client_hotplug+0x6c/0xb0 exynos_drm_fbdev_client_hotplug from drm_client_register+0x58/0x94 drm_client_register from exynos_drm_bind+0x160/0x190 exynos_drm_bind from try_to_bring_up_aggregate_device+0x200/0x2d8 try_to_bring_up_aggregate_device from __component_add+0xb0/0x170 __component_add from mixer_probe+0x74/0xcc mixer_probe from platform_probe+0x5c/0xb8 platform_probe from really_probe+0xe0/0x3d8 really_probe from __driver_probe_device+0x9c/0x1e4 __driver_probe_device from driver_probe_device+0x30/0xc0 driver_probe_device from __device_attach_driver+0xa8/0x120 __device_attach_driver from bus_for_each_drv+0x80/0xcc bus_for_each_drv from __device_attach+0xac/0x1fc __device_attach from bus_probe_device+0x8c/0x90 bus_probe_device from deferred_probe_work_func+0 ---truncated--- Уязвимость компонента hdmi ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Adjust logging of firmware messages in case of released token in __hwrm_send() In case of token is released due to token->state == BNXT_HWRM_DEFERRED, released token (set to NULL) is used in log messages. This issue is expected to be prevented by HWRM_ERR_CODE_PF_UNAVAILABLE error code. But this error code is returned by recent firmware. So some firmware may not return it. This may lead to NULL pointer dereference. Adjust this issue by adding token pointer check. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента bnxt_en ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/i915/dpt: Make DPT object unshrinkable In some scenarios, the DPT object gets shrunk but the actual framebuffer did not and thus its still there on the DPT's vm->bound_list. Then it tries to rewrite the PTEs via a stale CPU mapping. This causes panic. [vsyrjala: Add TODO comment] (cherry picked from commit 51064d471c53dcc8eddd2333c3f1c1d9131ba36c) Уязвимость функции i915_gem_object_is_shrinkable() драйвера DRM (drivers/gpu/drm/i915/gem/i915_gem_object.h) ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xhci: Handle TD clearing for multiple streams case When multiple streams are in use, multiple TDs might be in flight when an endpoint is stopped. We need to issue a Set TR Dequeue Pointer for each, to ensure everything is reset properly and the caches cleared. Change the logic so that any N>1 TDs found active for different streams are deferred until after the first one is processed, calling xhci_invalidate_cancelled_tds() again from xhci_handle_cmd_set_deq() to queue another command until we are done with all of them. Also change the error/"should never happen" paths to ensure we at least clear any affected TDs, even if we can't issue a command to clear the hardware cache, and complain loudly with an xhci_warn() if this ever happens. This problem case dates back to commit e9df17eb1408 ("USB: xhci: Correct assumptions about number of rings per endpoint.") early on in the XHCI driver's life, when stream support was first added. It was then identified but not fixed nor made into a warning in commit 674f8438c121 ("xhci: split handling halted endpoints into two steps"), which added a FIXME comment for the problem case (without materially changing the behavior as far as I can tell, though the new logic made the problem more obvious). Then later, in commit 94f339147fc3 ("xhci: Fix failure to give back some cached cancelled URBs."), it was acknowledged again. [Mathias: commit 94f339147fc3 ("xhci: Fix failure to give back some cached cancelled URBs.") was a targeted regression fix to the previously mentioned patch. Users reported issues with usb stuck after unmounting/disconnecting UAS devices. This rolled back the TD clearing of multiple streams to its original state.] Apparently the commit author was aware of the problem (yet still chose to submit it): It was still mentioned as a FIXME, an xhci_dbg() was added to log the problem condition, and the remaining issue was mentioned in the commit description. The choice of making the log type xhci_dbg() for what is, at this point, a completely unhandled and known broken condition is puzzling and unfortunate, as it guarantees that no actual users would see the log in production, thereby making it nigh undebuggable (indeed, even if you turn on DEBUG, the message doesn't really hint at there being a problem at all). It took me *months* of random xHC crashes to finally find a reliable repro and be able to do a deep dive debug session, which could all have been avoided had this unhandled, broken condition been actually reported with a warning, as it should have been as a bug intentionally left in unfixed (never mind that it shouldn't have been left in at all). > Another fix to solve clearing the caches of all stream rings with > cancelled TDs is needed, but not as urgent. 3 years after that statement and 14 years after the original bug was introduced, I think it's finally time to fix it. And maybe next time let's not leave bugs unfixed (that are actually worse than the original bug), and let's actually get people to review kernel commits please. Fixes xHC crashes and IOMMU faults with UAS devices when handling errors/faults. Easiest repro is to use `hdparm` to mark an early sector (e.g. 1024) on a disk as bad, then `cat /dev/sdX > /dev/null` in a loop. At least in the case of JMicron controllers, the read errors end up having to cancel two TDs (for two queued requests to different streams) and the one that didn't get cleared properly ends up faulting the xHC entirely when it tries to access DMA pages that have since been unmapped, referred to by the stale TDs. This normally happens quickly (after two or three loops). After this fix, I left the `cat` in a loop running overnight and experienced no xHC failures, with all read errors recovered properly. Repro'd and tested on an Apple M1 Mac Mini (dwc3 host). On systems without an IOMMU, this bug would instead silently corrupt freed memory, making this a ---truncated--- Уязвимость компонентов xhci-ring.c, xhci.h ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: check n_ssids before accessing the ssids In some versions of cfg80211, the ssids poinet might be a valid one even though n_ssids is 0. Accessing the pointer in this case will cuase an out-of-bound access. Fix this by checking n_ssids first. Уязвимость компонента iwlwifi/mvm/scan.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: ensure snd_una is properly initialized on connect This is strictly related to commit fb7a0d334894 ("mptcp: ensure snd_nxt is properly initialized on connect"). It turns out that syzkaller can trigger the retransmit after fallback and before processing any other incoming packet - so that snd_una is still left uninitialized. Address the issue explicitly initializing snd_una together with snd_nxt and write_seq. Уязвимость компонента mptcp ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/exynos/vidi: fix memory leak in .get_modes() The duplicated EDID is never freed. Fix it. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: logitech-dj: Fix memory leak in logi_dj_recv_switch_to_dj_mode() Fix a memory leak on logi_dj_recv_send_report() error path. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: flush all requests after setting CACHEFILES_DEAD In ondemand mode, when the daemon is processing an open request, if the kernel flags the cache as CACHEFILES_DEAD, the cachefiles_daemon_write() will always return -EIO, so the daemon can't pass the copen to the kernel. Then the kernel process that is waiting for the copen triggers a hung_task. Since the DEAD state is irreversible, it can only be exited by closing /dev/cachefiles. Therefore, after calling cachefiles_io_error() to mark the cache as CACHEFILES_DEAD, if in ondemand mode, flush all requests to avoid the above hungtask. We may still be able to read some of the cached data before closing the fd of /dev/cachefiles. Note that this relies on the patch that adds reference counting to the req, otherwise it may UAF. Уязвимость компонентов daemon.c, internal.h ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gve: Clear napi->skb before dev_kfree_skb_any() gve_rx_free_skb incorrectly leaves napi->skb referencing an skb after it is freed with dev_kfree_skb_any(). This can result in a subsequent call to napi_get_frags returning a dangling pointer. Fix this by clearing napi->skb before the skb is freed. Уязвимость функции dev_kfree_skb_any() (drivers/net/ethernet/google/gve/gve_rx_dqo.c) ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: landlock: Fix d_parent walk The WARN_ON_ONCE() in collect_domain_accesses() can be triggered when trying to link a root mount point. This cannot work in practice because this directory is mounted, but the VFS check is done after the call to security_path_link(). Do not use source directory's d_parent when the source directory is the mount point. [mic: Fix commit message] Уязвимость компонента landlock ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: wwan: iosm: Fix tainted pointer delete is case of region creation fail In case of region creation fail in ipc_devlink_create_region(), previously created regions delete process starts from tainted pointer which actually holds error code value. Fix this bug by decreasing region index before delete. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента iosm_ipc_devlink.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Fix tainted pointer delete is case of flow rules creation fail In case of flow rule creation fail in mlx5_lag_create_port_sel_table(), instead of previously created rules, the tainted pointer is deleted deveral times. Fix this bug by using correct flow rules pointers. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента port_sel.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: don't read past the mfuart notifcation In case the firmware sends a notification that claims it has more data than it has, we will read past that was allocated for the notification. Remove the print of the buffer, we won't see it by default. If needed, we can see the content with tracing. This was reported by KFENCE. Уязвимость компонента fw.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: mesh: Fix leak of mesh_preq_queue objects The hwmp code use objects of type mesh_preq_queue, added to a list in ieee80211_if_mesh, to keep track of mpath we need to resolve. If the mpath gets deleted, ex mesh interface is removed, the entries in that list will never get cleaned. Fix this by flushing all corresponding items of the preq_queue in mesh_path_flush_pending(). This should take care of KASAN reports like this: unreferenced object 0xffff00000668d800 (size 128): comm "kworker/u8:4", pid 67, jiffies 4295419552 (age 1836.444s) hex dump (first 32 bytes): 00 1f 05 09 00 00 ff ff 00 d5 68 06 00 00 ff ff ..........h..... 8e 97 ea eb 3e b8 01 00 00 00 00 00 00 00 00 00 ....>........... backtrace: [<000000007302a0b6>] __kmem_cache_alloc_node+0x1e0/0x35c [<00000000049bd418>] kmalloc_trace+0x34/0x80 [<0000000000d792bb>] mesh_queue_preq+0x44/0x2a8 [<00000000c99c3696>] mesh_nexthop_resolve+0x198/0x19c [<00000000926bf598>] ieee80211_xmit+0x1d0/0x1f4 [<00000000fc8c2284>] __ieee80211_subif_start_xmit+0x30c/0x764 [<000000005926ee38>] ieee80211_subif_start_xmit+0x9c/0x7a4 [<000000004c86e916>] dev_hard_start_xmit+0x174/0x440 [<0000000023495647>] __dev_queue_xmit+0xe24/0x111c [<00000000cfe9ca78>] batadv_send_skb_packet+0x180/0x1e4 [<000000007bacc5d5>] batadv_v_elp_periodic_work+0x2f4/0x508 [<00000000adc3cd94>] process_one_work+0x4b8/0xa1c [<00000000b36425d1>] worker_thread+0x9c/0x634 [<0000000005852dd5>] kthread+0x1bc/0x1c4 [<000000005fccd770>] ret_from_fork+0x10/0x20 unreferenced object 0xffff000009051f00 (size 128): comm "kworker/u8:4", pid 67, jiffies 4295419553 (age 1836.440s) hex dump (first 32 bytes): 90 d6 92 0d 00 00 ff ff 00 d8 68 06 00 00 ff ff ..........h..... 36 27 92 e4 02 e0 01 00 00 58 79 06 00 00 ff ff 6'.......Xy..... backtrace: [<000000007302a0b6>] __kmem_cache_alloc_node+0x1e0/0x35c [<00000000049bd418>] kmalloc_trace+0x34/0x80 [<0000000000d792bb>] mesh_queue_preq+0x44/0x2a8 [<00000000c99c3696>] mesh_nexthop_resolve+0x198/0x19c [<00000000926bf598>] ieee80211_xmit+0x1d0/0x1f4 [<00000000fc8c2284>] __ieee80211_subif_start_xmit+0x30c/0x764 [<000000005926ee38>] ieee80211_subif_start_xmit+0x9c/0x7a4 [<000000004c86e916>] dev_hard_start_xmit+0x174/0x440 [<0000000023495647>] __dev_queue_xmit+0xe24/0x111c [<00000000cfe9ca78>] batadv_send_skb_packet+0x180/0x1e4 [<000000007bacc5d5>] batadv_v_elp_periodic_work+0x2f4/0x508 [<00000000adc3cd94>] process_one_work+0x4b8/0xa1c [<00000000b36425d1>] worker_thread+0x9c/0x634 [<0000000005852dd5>] kthread+0x1bc/0x1c4 [<000000005fccd770>] ret_from_fork+0x10/0x20 Уязвимость компонента mesh_pathtbl.c ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix races between hole punching and AIO+DIO After commit "ocfs2: return real error code in ocfs2_dio_wr_get_block", fstests/generic/300 become from always failed to sometimes failed: ======================================================================== [ 473.293420 ] run fstests generic/300 [ 475.296983 ] JBD2: Ignoring recovery information on journal [ 475.302473 ] ocfs2: Mounting device (253,1) on (node local, slot 0) with ordered data mode. [ 494.290998 ] OCFS2: ERROR (device dm-1): ocfs2_change_extent_flag: Owner 5668 has an extent at cpos 78723 which can no longer be found [ 494.291609 ] On-disk corruption discovered. Please run fsck.ocfs2 once the filesystem is unmounted. [ 494.292018 ] OCFS2: File system is now read-only. [ 494.292224 ] (kworker/19:11,2628,19):ocfs2_mark_extent_written:5272 ERROR: status = -30 [ 494.292602 ] (kworker/19:11,2628,19):ocfs2_dio_end_io_write:2374 ERROR: status = -3 fio: io_u error on file /mnt/scratch/racer: Read-only file system: write offset=460849152, buflen=131072 ========================================================================= In __blockdev_direct_IO, ocfs2_dio_wr_get_block is called to add unwritten extents to a list. extents are also inserted into extent tree in ocfs2_write_begin_nolock. Then another thread call fallocate to puch a hole at one of the unwritten extent. The extent at cpos was removed by ocfs2_remove_extent(). At end io worker thread, ocfs2_search_extent_list found there is no such extent at the cpos. T1 T2 T3 inode lock ... insert extents ... inode unlock ocfs2_fallocate __ocfs2_change_file_space inode lock lock ip_alloc_sem ocfs2_remove_inode_range inode ocfs2_remove_btree_range ocfs2_remove_extent ^---remove the extent at cpos 78723 ... unlock ip_alloc_sem inode unlock ocfs2_dio_end_io ocfs2_dio_end_io_write lock ip_alloc_sem ocfs2_mark_extent_written ocfs2_change_extent_flag ocfs2_search_extent_list ^---failed to find extent ... unlock ip_alloc_sem In most filesystems, fallocate is not compatible with racing with AIO+DIO, so fix it by adding to wait for all dio before fallocate/punch_hole like ext4. Уязвимость компонента ocfs2 ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ima: Avoid blocking in RCU read-side critical section A panic happens in ima_match_policy: BUG: unable to handle kernel NULL pointer dereference at 0000000000000010 PGD 42f873067 P4D 0 Oops: 0000 [#1] SMP NOPTI CPU: 5 PID: 1286325 Comm: kubeletmonit.sh Kdump: loaded Tainted: P Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 0.0.0 02/06/2015 RIP: 0010:ima_match_policy+0x84/0x450 Code: 49 89 fc 41 89 cf 31 ed 89 44 24 14 eb 1c 44 39 7b 18 74 26 41 83 ff 05 74 20 48 8b 1b 48 3b 1d f2 b9 f4 00 0f 84 9c 01 00 00 <44> 85 73 10 74 ea 44 8b 6b 14 41 f6 c5 01 75 d4 41 f6 c5 02 74 0f RSP: 0018:ff71570009e07a80 EFLAGS: 00010207 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 0000000000000200 RDX: ffffffffad8dc7c0 RSI: 0000000024924925 RDI: ff3e27850dea2000 RBP: 0000000000000000 R08: 0000000000000000 R09: ffffffffabfce739 R10: ff3e27810cc42400 R11: 0000000000000000 R12: ff3e2781825ef970 R13: 00000000ff3e2785 R14: 000000000000000c R15: 0000000000000001 FS: 00007f5195b51740(0000) GS:ff3e278b12d40000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000010 CR3: 0000000626d24002 CR4: 0000000000361ee0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: ima_get_action+0x22/0x30 process_measurement+0xb0/0x830 ? page_add_file_rmap+0x15/0x170 ? alloc_set_pte+0x269/0x4c0 ? prep_new_page+0x81/0x140 ? simple_xattr_get+0x75/0xa0 ? selinux_file_open+0x9d/0xf0 ima_file_check+0x64/0x90 path_openat+0x571/0x1720 do_filp_open+0x9b/0x110 ? page_counter_try_charge+0x57/0xc0 ? files_cgroup_alloc_fd+0x38/0x60 ? __alloc_fd+0xd4/0x250 ? do_sys_open+0x1bd/0x250 do_sys_open+0x1bd/0x250 do_syscall_64+0x5d/0x1d0 entry_SYSCALL_64_after_hwframe+0x65/0xca Commit c7423dbdbc9e ("ima: Handle -ESTALE returned by ima_filter_rule_match()") introduced call to ima_lsm_copy_rule within a RCU read-side critical section which contains kmalloc with GFP_KERNEL. This implies a possible sleep and violates limitations of RCU read-side critical sections on non-PREEMPT systems. Sleeping within RCU read-side critical section might cause synchronize_rcu() returning early and break RCU protection, allowing a UAF to happen. The root cause of this issue could be described as follows: | Thread A | Thread B | | |ima_match_policy | | | rcu_read_lock | |ima_lsm_update_rule | | | synchronize_rcu | | | | kmalloc(GFP_KERNEL)| | | sleep | ==> synchronize_rcu returns early | kfree(entry) | | | | entry = entry->next| ==> UAF happens and entry now becomes NULL (or could be anything). | | entry->action | ==> Accessing entry might cause panic. To fix this issue, we are converting all kmalloc that is called within RCU read-side critical section to use GFP_ATOMIC. [PM: fixed missing comment, long lines, !CONFIG_IMA_LSM_RULES case] Уязвимость функции smack_post_notification() компонента ima ядра операционной системы Linux связана с утечкой памяти. Эксплуатация уязвимости может позволить нарушителю повысить привилегии в системе [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/page_table_check: fix crash on ZONE_DEVICE Not all pages may apply to pgtable check. One example is ZONE_DEVICE pages: they map PFNs directly, and they don't allocate page_ext at all even if there's struct page around. One may reference devm_memremap_pages(). When both ZONE_DEVICE and page-table-check enabled, then try to map some dax memories, one can trigger kernel bug constantly now when the kernel was trying to inject some pfn maps on the dax device: kernel BUG at mm/page_table_check.c:55! While it's pretty legal to use set_pxx_at() for ZONE_DEVICE pages for page fault resolutions, skip all the checks if page_ext doesn't even exist in pgtable checker, which applies to ZONE_DEVICE but maybe more. Уязвимость компонента page_table_check.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: Fix a data race on last_boosted_vcpu in kvm_vcpu_on_spin() Use {READ,WRITE}_ONCE() to access kvm->last_boosted_vcpu to ensure the loads and stores are atomic. In the extremely unlikely scenario the compiler tears the stores, it's theoretically possible for KVM to attempt to get a vCPU using an out-of-bounds index, e.g. if the write is split into multiple 8-bit stores, and is paired with a 32-bit load on a VM with 257 vCPUs: CPU0 CPU1 last_boosted_vcpu = 0xff; (last_boosted_vcpu = 0x100) last_boosted_vcpu[15:8] = 0x01; i = (last_boosted_vcpu = 0x1ff) last_boosted_vcpu[7:0] = 0x00; vcpu = kvm->vcpu_array[0x1ff]; As detected by KCSAN: BUG: KCSAN: data-race in kvm_vcpu_on_spin [kvm] / kvm_vcpu_on_spin [kvm] write to 0xffffc90025a92344 of 4 bytes by task 4340 on cpu 16: kvm_vcpu_on_spin (arch/x86/kvm/../../../virt/kvm/kvm_main.c:4112) kvm handle_pause (arch/x86/kvm/vmx/vmx.c:5929) kvm_intel vmx_handle_exit (arch/x86/kvm/vmx/vmx.c:? arch/x86/kvm/vmx/vmx.c:6606) kvm_intel vcpu_run (arch/x86/kvm/x86.c:11107 arch/x86/kvm/x86.c:11211) kvm kvm_arch_vcpu_ioctl_run (arch/x86/kvm/x86.c:?) kvm kvm_vcpu_ioctl (arch/x86/kvm/../../../virt/kvm/kvm_main.c:?) kvm __se_sys_ioctl (fs/ioctl.c:52 fs/ioctl.c:904 fs/ioctl.c:890) __x64_sys_ioctl (fs/ioctl.c:890) x64_sys_call (arch/x86/entry/syscall_64.c:33) do_syscall_64 (arch/x86/entry/common.c:?) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) read to 0xffffc90025a92344 of 4 bytes by task 4342 on cpu 4: kvm_vcpu_on_spin (arch/x86/kvm/../../../virt/kvm/kvm_main.c:4069) kvm handle_pause (arch/x86/kvm/vmx/vmx.c:5929) kvm_intel vmx_handle_exit (arch/x86/kvm/vmx/vmx.c:? arch/x86/kvm/vmx/vmx.c:6606) kvm_intel vcpu_run (arch/x86/kvm/x86.c:11107 arch/x86/kvm/x86.c:11211) kvm kvm_arch_vcpu_ioctl_run (arch/x86/kvm/x86.c:?) kvm kvm_vcpu_ioctl (arch/x86/kvm/../../../virt/kvm/kvm_main.c:?) kvm __se_sys_ioctl (fs/ioctl.c:52 fs/ioctl.c:904 fs/ioctl.c:890) __x64_sys_ioctl (fs/ioctl.c:890) x64_sys_call (arch/x86/entry/syscall_64.c:33) do_syscall_64 (arch/x86/entry/common.c:?) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) value changed: 0x00000012 -> 0x00000000 Уязвимость компонента kvm_main.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H', score=7.9) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: seg6: fix parameter passing when calling NF_HOOK() in End.DX4 and End.DX6 behaviors input_action_end_dx4() and input_action_end_dx6() are called NF_HOOK() for PREROUTING hook, in PREROUTING hook, we should passing a valid indev, and a NULL outdev to NF_HOOK(), otherwise may trigger a NULL pointer dereference, as below: [74830.647293] BUG: kernel NULL pointer dereference, address: 0000000000000090 [74830.655633] #PF: supervisor read access in kernel mode [74830.657888] #PF: error_code(0x0000) - not-present page [74830.659500] PGD 0 P4D 0 [74830.660450] Oops: 0000 [#1] PREEMPT SMP PTI ... [74830.664953] Hardware name: Red Hat KVM, BIOS 0.5.1 01/01/2011 [74830.666569] RIP: 0010:rpfilter_mt+0x44/0x15e [ipt_rpfilter] ... [74830.689725] Call Trace: [74830.690402] <IRQ> [74830.690953] ? show_trace_log_lvl+0x1c4/0x2df [74830.692020] ? show_trace_log_lvl+0x1c4/0x2df [74830.693095] ? ipt_do_table+0x286/0x710 [ip_tables] [74830.694275] ? __die_body.cold+0x8/0xd [74830.695205] ? page_fault_oops+0xac/0x140 [74830.696244] ? exc_page_fault+0x62/0x150 [74830.697225] ? asm_exc_page_fault+0x22/0x30 [74830.698344] ? rpfilter_mt+0x44/0x15e [ipt_rpfilter] [74830.699540] ipt_do_table+0x286/0x710 [ip_tables] [74830.700758] ? ip6_route_input+0x19d/0x240 [74830.701752] nf_hook_slow+0x3f/0xb0 [74830.702678] input_action_end_dx4+0x19b/0x1e0 [74830.703735] ? input_action_end_t+0xe0/0xe0 [74830.704734] seg6_local_input_core+0x2d/0x60 [74830.705782] lwtunnel_input+0x5b/0xb0 [74830.706690] __netif_receive_skb_one_core+0x63/0xa0 [74830.707825] process_backlog+0x99/0x140 [74830.709538] __napi_poll+0x2c/0x160 [74830.710673] net_rx_action+0x296/0x350 [74830.711860] __do_softirq+0xcb/0x2ac [74830.713049] do_softirq+0x63/0x90 input_action_end_dx4() passing a NULL indev to NF_HOOK(), and finally trigger a NULL dereference in rpfilter_mt()->rpfilter_is_loopback(): static bool rpfilter_is_loopback(const struct sk_buff *skb, const struct net_device *in) { // in is NULL return skb->pkt_type == PACKET_LOOPBACK || in->flags & IFF_LOOPBACK; } Уязвимость компонента net/ipv6/seg6_local.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfrm6: check ip6_dst_idev() return value in xfrm6_get_saddr() ip6_dst_idev() can return NULL, xfrm6_get_saddr() must act accordingly. syzbot reported: Oops: general protection fault, probably for non-canonical address 0xdffffc0000000000: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] CPU: 1 PID: 12 Comm: kworker/u8:1 Not tainted 6.10.0-rc2-syzkaller-00383-gb8481381d4e2 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 Workqueue: wg-kex-wg1 wg_packet_handshake_send_worker RIP: 0010:xfrm6_get_saddr+0x93/0x130 net/ipv6/xfrm6_policy.c:64 Code: df 48 89 fa 48 c1 ea 03 80 3c 02 00 0f 85 97 00 00 00 4c 8b ab d8 00 00 00 48 b8 00 00 00 00 00 fc ff df 4c 89 ea 48 c1 ea 03 <80> 3c 02 00 0f 85 86 00 00 00 4d 8b 6d 00 e8 ca 13 47 01 48 b8 00 RSP: 0018:ffffc90000117378 EFLAGS: 00010246 RAX: dffffc0000000000 RBX: ffff88807b079dc0 RCX: ffffffff89a0d6d7 RDX: 0000000000000000 RSI: ffffffff89a0d6e9 RDI: ffff88807b079e98 RBP: ffff88807ad73248 R08: 0000000000000007 R09: fffffffffffff000 R10: ffff88807b079dc0 R11: 0000000000000007 R12: ffffc90000117480 R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 FS: 0000000000000000(0000) GS:ffff8880b9300000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f4586d00440 CR3: 0000000079042000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> xfrm_get_saddr net/xfrm/xfrm_policy.c:2452 [inline] xfrm_tmpl_resolve_one net/xfrm/xfrm_policy.c:2481 [inline] xfrm_tmpl_resolve+0xa26/0xf10 net/xfrm/xfrm_policy.c:2541 xfrm_resolve_and_create_bundle+0x140/0x2570 net/xfrm/xfrm_policy.c:2835 xfrm_bundle_lookup net/xfrm/xfrm_policy.c:3070 [inline] xfrm_lookup_with_ifid+0x4d1/0x1e60 net/xfrm/xfrm_policy.c:3201 xfrm_lookup net/xfrm/xfrm_policy.c:3298 [inline] xfrm_lookup_route+0x3b/0x200 net/xfrm/xfrm_policy.c:3309 ip6_dst_lookup_flow+0x15c/0x1d0 net/ipv6/ip6_output.c:1256 send6+0x611/0xd20 drivers/net/wireguard/socket.c:139 wg_socket_send_skb_to_peer+0xf9/0x220 drivers/net/wireguard/socket.c:178 wg_socket_send_buffer_to_peer+0x12b/0x190 drivers/net/wireguard/socket.c:200 wg_packet_send_handshake_initiation+0x227/0x360 drivers/net/wireguard/send.c:40 wg_packet_handshake_send_worker+0x1c/0x30 drivers/net/wireguard/send.c:51 process_one_work+0x9fb/0x1b60 kernel/workqueue.c:3231 process_scheduled_works kernel/workqueue.c:3312 [inline] worker_thread+0x6c8/0xf70 kernel/workqueue.c:3393 kthread+0x2c1/0x3a0 kernel/kthread.c:389 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 Уязвимость компонента xfrm6 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: prevent possible NULL dereference in rt6_probe() syzbot caught a NULL dereference in rt6_probe() [1] Bail out if __in6_dev_get() returns NULL. [1] Oops: general protection fault, probably for non-canonical address 0xdffffc00000000cb: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000658-0x000000000000065f] CPU: 1 PID: 22444 Comm: syz-executor.0 Not tainted 6.10.0-rc2-syzkaller-00383-gb8481381d4e2 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 RIP: 0010:rt6_probe net/ipv6/route.c:656 [inline] RIP: 0010:find_match+0x8c4/0xf50 net/ipv6/route.c:758 Code: 14 fd f7 48 8b 85 38 ff ff ff 48 c7 45 b0 00 00 00 00 48 8d b8 5c 06 00 00 48 b8 00 00 00 00 00 fc ff df 48 89 fa 48 c1 ea 03 <0f> b6 14 02 48 89 f8 83 e0 07 83 c0 03 38 d0 7c 08 84 d2 0f 85 19 RSP: 0018:ffffc900034af070 EFLAGS: 00010203 RAX: dffffc0000000000 RBX: 0000000000000000 RCX: ffffc90004521000 RDX: 00000000000000cb RSI: ffffffff8990d0cd RDI: 000000000000065c RBP: ffffc900034af150 R08: 0000000000000005 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000002 R12: 000000000000000a R13: 1ffff92000695e18 R14: ffff8880244a1d20 R15: 0000000000000000 FS: 00007f4844a5a6c0(0000) GS:ffff8880b9300000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000001b31b27000 CR3: 000000002d42c000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> rt6_nh_find_match+0xfa/0x1a0 net/ipv6/route.c:784 nexthop_for_each_fib6_nh+0x26d/0x4a0 net/ipv4/nexthop.c:1496 __find_rr_leaf+0x6e7/0xe00 net/ipv6/route.c:825 find_rr_leaf net/ipv6/route.c:853 [inline] rt6_select net/ipv6/route.c:897 [inline] fib6_table_lookup+0x57e/0xa30 net/ipv6/route.c:2195 ip6_pol_route+0x1cd/0x1150 net/ipv6/route.c:2231 pol_lookup_func include/net/ip6_fib.h:616 [inline] fib6_rule_lookup+0x386/0x720 net/ipv6/fib6_rules.c:121 ip6_route_output_flags_noref net/ipv6/route.c:2639 [inline] ip6_route_output_flags+0x1d0/0x640 net/ipv6/route.c:2651 ip6_dst_lookup_tail.constprop.0+0x961/0x1760 net/ipv6/ip6_output.c:1147 ip6_dst_lookup_flow+0x99/0x1d0 net/ipv6/ip6_output.c:1250 rawv6_sendmsg+0xdab/0x4340 net/ipv6/raw.c:898 inet_sendmsg+0x119/0x140 net/ipv4/af_inet.c:853 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg net/socket.c:745 [inline] sock_write_iter+0x4b8/0x5c0 net/socket.c:1160 new_sync_write fs/read_write.c:497 [inline] vfs_write+0x6b6/0x1140 fs/read_write.c:590 ksys_write+0x1f8/0x260 fs/read_write.c:643 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента ipv6 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: prevent possible NULL deref in fib6_nh_init() syzbot reminds us that in6_dev_get() can return NULL. fib6_nh_init() ip6_validate_gw( &idev ) ip6_route_check_nh( idev ) *idev = in6_dev_get(dev); // can be NULL Oops: general protection fault, probably for non-canonical address 0xdffffc00000000bc: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x00000000000005e0-0x00000000000005e7] CPU: 0 PID: 11237 Comm: syz-executor.3 Not tainted 6.10.0-rc2-syzkaller-00249-gbe27b8965297 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 06/07/2024 RIP: 0010:fib6_nh_init+0x640/0x2160 net/ipv6/route.c:3606 Code: 00 00 fc ff df 4c 8b 64 24 58 48 8b 44 24 28 4c 8b 74 24 30 48 89 c1 48 89 44 24 28 48 8d 98 e0 05 00 00 48 89 d8 48 c1 e8 03 <42> 0f b6 04 38 84 c0 0f 85 b3 17 00 00 8b 1b 31 ff 89 de e8 b8 8b RSP: 0018:ffffc900032775a0 EFLAGS: 00010202 RAX: 00000000000000bc RBX: 00000000000005e0 RCX: 0000000000000000 RDX: 0000000000000010 RSI: ffffc90003277a54 RDI: ffff88802b3a08d8 RBP: ffffc900032778b0 R08: 00000000000002fc R09: 0000000000000000 R10: 00000000000002fc R11: 0000000000000000 R12: ffff88802b3a08b8 R13: 1ffff9200064eec8 R14: ffffc90003277a00 R15: dffffc0000000000 FS: 00007f940feb06c0(0000) GS:ffff8880b9400000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 00000000245e8000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ip6_route_info_create+0x99e/0x12b0 net/ipv6/route.c:3809 ip6_route_add+0x28/0x160 net/ipv6/route.c:3853 ipv6_route_ioctl+0x588/0x870 net/ipv6/route.c:4483 inet6_ioctl+0x21a/0x280 net/ipv6/af_inet6.c:579 sock_do_ioctl+0x158/0x460 net/socket.c:1222 sock_ioctl+0x629/0x8e0 net/socket.c:1341 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f940f07cea9 Уязвимость компонента ipv6 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mips: bmips: BCM6358: make sure CBR is correctly set It was discovered that some device have CBR address set to 0 causing kernel panic when arch_sync_dma_for_cpu_all is called. This was notice in situation where the system is booted from TP1 and BMIPS_GET_CBR() returns 0 instead of a valid address and !!(read_c0_brcm_cmt_local() & (1 << 31)); not failing. The current check whether RAC flush should be disabled or not are not enough hence lets check if CBR is a valid address or not. Уязвимость компонента setup.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tty: add the option to have a tty reject a new ldisc ... and use it to limit the virtual terminals to just N_TTY. They are kind of special, and in particular, the "con_write()" routine violates the "writes cannot sleep" rule that some ldiscs rely on. This avoids the BUG: sleeping function called from invalid context at kernel/printk/printk.c:2659 when N_GSM has been attached to a virtual console, and gsmld_write() calls con_write() while holding a spinlock, and con_write() then tries to get the console lock. Уязвимость компонентов tty_ldisc.c, vt.c, tty_driver.h ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: imx: Introduce timeout when waiting on transmitter empty By waiting at most 1 second for USR2_TXDC to be set, we avoid a potential deadlock. In case of the timeout, there is not much we can do, so we simply ignore the transmitter state and optimistically try to continue. Уязвимость функции imx_uart_console_write() компонента serial ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: MIPS: Octeon: Add PCIe link status check The standard PCIe configuration read-write interface is used to access the configuration space of the peripheral PCIe devices of the mips processor after the PCIe link surprise down, it can generate kernel panic caused by "Data bus error". So it is necessary to add PCIe link status check for system protection. When the PCIe link is down or in training, assigning a value of 0 to the configuration address can prevent read-write behavior to the configuration space of peripheral PCIe devices, thereby preventing kernel panic. Уязвимость функции __cvmx_pcie_build_config_addr() компонента mips ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Avoid hw_desc array overrun in dw-axi-dmac I have a use case where nr_buffers = 3 and in which each descriptor is composed by 3 segments, resulting in the DMA channel descs_allocated to be 9. Since axi_desc_put() handles the hw_desc considering the descs_allocated, this scenario would result in a kernel panic (hw_desc array will be overrun). To fix this, the proposal is to add a new member to the axi_dma_desc structure, where we keep the number of allocated hw_descs (axi_desc_alloc()) and use it in axi_desc_put() to handle the hw_desc array correctly. Additionally I propose to remove the axi_chan_start_first_queued() call after completing the transfer, since it was identified that unbalance can occur (started descriptors can be interrupted and transfer ignored due to DMA channel not being enabled). Уязвимость компонента dw-axi-dmac ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: remove clear SB_INLINECRYPT flag in default_options In f2fs_remount, SB_INLINECRYPT flag will be clear and re-set. If create new file or open file during this gap, these files will not use inlinecrypt. Worse case, it may lead to data corruption if wrappedkey_v0 is enable. Thread A: Thread B: -f2fs_remount -f2fs_file_open or f2fs_new_inode -default_options <- clear SB_INLINECRYPT flag -fscrypt_select_encryption_impl -parse_options <- set SB_INLINECRYPT again Уязвимость компонента f2fs ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: do not create EA inode under buffer lock ext4_xattr_set_entry() creates new EA inodes while holding buffer lock on the external xattr block. This is problematic as it nests all the allocation locking (which acquires locks on other buffers) under the buffer lock. This can even deadlock when the filesystem is corrupted and e.g. quota file is setup to contain xattr block as data block. Move the allocation of EA inode out of ext4_xattr_set_entry() into the callers. Уязвимость функции ext4_xattr_set_entry() модуля fs/ext4/xattr.c файловой системы Ext4 ядра операционной системы Linux связана с недостаточной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/pseries: Enforce hcall result buffer validity and size plpar_hcall(), plpar_hcall9(), and related functions expect callers to provide valid result buffers of certain minimum size. Currently this is communicated only through comments in the code and the compiler has no idea. For example, if I write a bug like this: long retbuf[PLPAR_HCALL_BUFSIZE]; // should be PLPAR_HCALL9_BUFSIZE plpar_hcall9(H_ALLOCATE_VAS_WINDOW, retbuf, ...); This compiles with no diagnostics emitted, but likely results in stack corruption at runtime when plpar_hcall9() stores results past the end of the array. (To be clear this is a contrived example and I have not found a real instance yet.) To make this class of error less likely, we can use explicitly-sized array parameters instead of pointers in the declarations for the hcall APIs. When compiled with -Warray-bounds[1], the code above now provokes a diagnostic like this: error: array argument is too small; is of size 32, callee requires at least 72 [-Werror,-Warray-bounds] 60 | plpar_hcall9(H_ALLOCATE_VAS_WINDOW, retbuf, | ^ ~~~~~~ [1] Enabled for LLVM builds but not GCC for now. See commit 0da6e5fd6c37 ("gcc: disable '-Warray-bounds' for gcc-13 too") and related changes. Уязвимость компонентов powerpc/pseries ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/lima: mask irqs in timeout path before hard reset There is a race condition in which a rendering job might take just long enough to trigger the drm sched job timeout handler but also still complete before the hard reset is done by the timeout handler. This runs into race conditions not expected by the timeout handler. In some very specific cases it currently may result in a refcount imbalance on lima_pm_idle, with a stack dump such as: [10136.669170] WARNING: CPU: 0 PID: 0 at drivers/gpu/drm/lima/lima_devfreq.c:205 lima_devfreq_record_idle+0xa0/0xb0 ... [10136.669459] pc : lima_devfreq_record_idle+0xa0/0xb0 ... [10136.669628] Call trace: [10136.669634] lima_devfreq_record_idle+0xa0/0xb0 [10136.669646] lima_sched_pipe_task_done+0x5c/0xb0 [10136.669656] lima_gp_irq_handler+0xa8/0x120 [10136.669666] __handle_irq_event_percpu+0x48/0x160 [10136.669679] handle_irq_event+0x4c/0xc0 We can prevent that race condition entirely by masking the irqs at the beginning of the timeout handler, at which point we give up on waiting for that job entirely. The irqs will be enabled again at the next hard reset which is already done as a recovery by the timeout handler. Уязвимость компонентов drm/lima ядра операционной системы Linux связана с состоянием гонки. Эксплуатация уязвимости может позволить нарушителю повысить привилегии в системе [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: mt7921s: fix potential hung tasks during chip recovery During chip recovery (e.g. chip reset), there is a possible situation that kernel worker reset_work is holding the lock and waiting for kernel thread stat_worker to be parked, while stat_worker is waiting for the release of the same lock. It causes a deadlock resulting in the dumping of hung tasks messages and possible rebooting of the device. This patch prevents the execution of stat_worker during the chip recovery. Уязвимость ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qedi: Fix crash while reading debugfs attribute The qedi_dbg_do_not_recover_cmd_read() function invokes sprintf() directly on a __user pointer, which results into the crash. To fix this issue, use a small local stack buffer for sprintf() and then call simple_read_from_buffer(), which in turns make the copy_to_user() call. BUG: unable to handle page fault for address: 00007f4801111000 PGD 8000000864df6067 P4D 8000000864df6067 PUD 864df7067 PMD 846028067 PTE 0 Oops: 0002 [#1] PREEMPT SMP PTI Hardware name: HPE ProLiant DL380 Gen10/ProLiant DL380 Gen10, BIOS U30 06/15/2023 RIP: 0010:memcpy_orig+0xcd/0x130 RSP: 0018:ffffb7a18c3ffc40 EFLAGS: 00010202 RAX: 00007f4801111000 RBX: 00007f4801111000 RCX: 000000000000000f RDX: 000000000000000f RSI: ffffffffc0bfd7a0 RDI: 00007f4801111000 RBP: ffffffffc0bfd7a0 R08: 725f746f6e5f6f64 R09: 3d7265766f636572 R10: ffffb7a18c3ffd08 R11: 0000000000000000 R12: 00007f4881110fff R13: 000000007fffffff R14: ffffb7a18c3ffca0 R15: ffffffffc0bfd7af FS: 00007f480118a740(0000) GS:ffff98e38af00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f4801111000 CR3: 0000000864b8e001 CR4: 00000000007706e0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? __die_body+0x1a/0x60 ? page_fault_oops+0x183/0x510 ? exc_page_fault+0x69/0x150 ? asm_exc_page_fault+0x22/0x30 ? memcpy_orig+0xcd/0x130 vsnprintf+0x102/0x4c0 sprintf+0x51/0x80 qedi_dbg_do_not_recover_cmd_read+0x2f/0x50 [qedi 6bcfdeeecdea037da47069eca2ba717c84a77324] full_proxy_read+0x50/0x80 vfs_read+0xa5/0x2e0 ? folio_add_new_anon_rmap+0x44/0xa0 ? set_pte_at+0x15/0x30 ? do_pte_missing+0x426/0x7f0 ksys_read+0xa5/0xe0 do_syscall_64+0x58/0x80 ? __count_memcg_events+0x46/0x90 ? count_memcg_event_mm+0x3d/0x60 ? handle_mm_fault+0x196/0x2f0 ? do_user_addr_fault+0x267/0x890 ? exc_page_fault+0x69/0x150 entry_SYSCALL_64_after_hwframe+0x72/0xdc RIP: 0033:0x7f4800f20b4d Уязвимость компонента scsi ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drop_monitor: replace spin_lock by raw_spin_lock trace_drop_common() is called with preemption disabled, and it acquires a spin_lock. This is problematic for RT kernels because spin_locks are sleeping locks in this configuration, which causes the following splat: BUG: sleeping function called from invalid context at kernel/locking/spinlock_rt.c:48 in_atomic(): 1, irqs_disabled(): 1, non_block: 0, pid: 449, name: rcuc/47 preempt_count: 1, expected: 0 RCU nest depth: 2, expected: 2 5 locks held by rcuc/47/449: #0: ff1100086ec30a60 ((softirq_ctrl.lock)){+.+.}-{2:2}, at: __local_bh_disable_ip+0x105/0x210 #1: ffffffffb394a280 (rcu_read_lock){....}-{1:2}, at: rt_spin_lock+0xbf/0x130 #2: ffffffffb394a280 (rcu_read_lock){....}-{1:2}, at: __local_bh_disable_ip+0x11c/0x210 #3: ffffffffb394a160 (rcu_callback){....}-{0:0}, at: rcu_do_batch+0x360/0xc70 #4: ff1100086ee07520 (&data->lock){+.+.}-{2:2}, at: trace_drop_common.constprop.0+0xb5/0x290 irq event stamp: 139909 hardirqs last enabled at (139908): [<ffffffffb1df2b33>] _raw_spin_unlock_irqrestore+0x63/0x80 hardirqs last disabled at (139909): [<ffffffffb19bd03d>] trace_drop_common.constprop.0+0x26d/0x290 softirqs last enabled at (139892): [<ffffffffb07a1083>] __local_bh_enable_ip+0x103/0x170 softirqs last disabled at (139898): [<ffffffffb0909b33>] rcu_cpu_kthread+0x93/0x1f0 Preemption disabled at: [<ffffffffb1de786b>] rt_mutex_slowunlock+0xab/0x2e0 CPU: 47 PID: 449 Comm: rcuc/47 Not tainted 6.9.0-rc2-rt1+ #7 Hardware name: Dell Inc. PowerEdge R650/0Y2G81, BIOS 1.6.5 04/15/2022 Call Trace: <TASK> dump_stack_lvl+0x8c/0xd0 dump_stack+0x14/0x20 __might_resched+0x21e/0x2f0 rt_spin_lock+0x5e/0x130 ? trace_drop_common.constprop.0+0xb5/0x290 ? skb_queue_purge_reason.part.0+0x1bf/0x230 trace_drop_common.constprop.0+0xb5/0x290 ? preempt_count_sub+0x1c/0xd0 ? _raw_spin_unlock_irqrestore+0x4a/0x80 ? __pfx_trace_drop_common.constprop.0+0x10/0x10 ? rt_mutex_slowunlock+0x26a/0x2e0 ? skb_queue_purge_reason.part.0+0x1bf/0x230 ? __pfx_rt_mutex_slowunlock+0x10/0x10 ? skb_queue_purge_reason.part.0+0x1bf/0x230 trace_kfree_skb_hit+0x15/0x20 trace_kfree_skb+0xe9/0x150 kfree_skb_reason+0x7b/0x110 skb_queue_purge_reason.part.0+0x1bf/0x230 ? __pfx_skb_queue_purge_reason.part.0+0x10/0x10 ? mark_lock.part.0+0x8a/0x520 ... trace_drop_common() also disables interrupts, but this is a minor issue because we could easily replace it with a local_lock. Replace the spin_lock with raw_spin_lock to avoid sleeping in atomic context. Уязвимость компонента drop_monitor ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: batman-adv: bypass empty buckets in batadv_purge_orig_ref() Many syzbot reports are pointing to soft lockups in batadv_purge_orig_ref() [1] Root cause is unknown, but we can avoid spending too much time there and perhaps get more interesting reports. [1] watchdog: BUG: soft lockup - CPU#0 stuck for 27s! [kworker/u4:6:621] Modules linked in: irq event stamp: 6182794 hardirqs last enabled at (6182793): [<ffff8000801dae10>] __local_bh_enable_ip+0x224/0x44c kernel/softirq.c:386 hardirqs last disabled at (6182794): [<ffff80008ad66a78>] __el1_irq arch/arm64/kernel/entry-common.c:533 [inline] hardirqs last disabled at (6182794): [<ffff80008ad66a78>] el1_interrupt+0x24/0x68 arch/arm64/kernel/entry-common.c:551 softirqs last enabled at (6182792): [<ffff80008aab71c4>] spin_unlock_bh include/linux/spinlock.h:396 [inline] softirqs last enabled at (6182792): [<ffff80008aab71c4>] batadv_purge_orig_ref+0x114c/0x1228 net/batman-adv/originator.c:1287 softirqs last disabled at (6182790): [<ffff80008aab61dc>] spin_lock_bh include/linux/spinlock.h:356 [inline] softirqs last disabled at (6182790): [<ffff80008aab61dc>] batadv_purge_orig_ref+0x164/0x1228 net/batman-adv/originator.c:1271 CPU: 0 PID: 621 Comm: kworker/u4:6 Not tainted 6.8.0-rc7-syzkaller-g707081b61156 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/29/2024 Workqueue: bat_events batadv_purge_orig pstate: 80400005 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : should_resched arch/arm64/include/asm/preempt.h:79 [inline] pc : __local_bh_enable_ip+0x228/0x44c kernel/softirq.c:388 lr : __local_bh_enable_ip+0x224/0x44c kernel/softirq.c:386 sp : ffff800099007970 x29: ffff800099007980 x28: 1fffe00018fce1bd x27: dfff800000000000 x26: ffff0000d2620008 x25: ffff0000c7e70de8 x24: 0000000000000001 x23: 1fffe00018e57781 x22: dfff800000000000 x21: ffff80008aab71c4 x20: ffff0001b40136c0 x19: ffff0000c72bbc08 x18: 1fffe0001a817bb0 x17: ffff800125414000 x16: ffff80008032116c x15: 0000000000000001 x14: 1fffe0001ee9d610 x13: 0000000000000000 x12: 0000000000000003 x11: 0000000000000000 x10: 0000000000ff0100 x9 : 0000000000000000 x8 : 00000000005e5789 x7 : ffff80008aab61dc x6 : 0000000000000000 x5 : 0000000000000000 x4 : 0000000000000001 x3 : 0000000000000000 x2 : 0000000000000006 x1 : 0000000000000080 x0 : ffff800125414000 Call trace: __daif_local_irq_enable arch/arm64/include/asm/irqflags.h:27 [inline] arch_local_irq_enable arch/arm64/include/asm/irqflags.h:49 [inline] __local_bh_enable_ip+0x228/0x44c kernel/softirq.c:386 __raw_spin_unlock_bh include/linux/spinlock_api_smp.h:167 [inline] _raw_spin_unlock_bh+0x3c/0x4c kernel/locking/spinlock.c:210 spin_unlock_bh include/linux/spinlock.h:396 [inline] batadv_purge_orig_ref+0x114c/0x1228 net/batman-adv/originator.c:1287 batadv_purge_orig+0x20/0x70 net/batman-adv/originator.c:1300 process_one_work+0x694/0x1204 kernel/workqueue.c:2633 process_scheduled_works kernel/workqueue.c:2706 [inline] worker_thread+0x938/0xef4 kernel/workqueue.c:2787 kthread+0x288/0x310 kernel/kthread.c:388 ret_from_fork+0x10/0x20 arch/arm64/kernel/entry.S:860 Sending NMI from CPU 0 to CPUs 1: NMI backtrace for cpu 1 CPU: 1 PID: 0 Comm: swapper/1 Not tainted 6.8.0-rc7-syzkaller-g707081b61156 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/29/2024 pstate: 80400005 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : arch_local_irq_enable+0x8/0xc arch/arm64/include/asm/irqflags.h:51 lr : default_idle_call+0xf8/0x128 kernel/sched/idle.c:103 sp : ffff800093a17d30 x29: ffff800093a17d30 x28: dfff800000000000 x27: 1ffff00012742fb4 x26: ffff80008ec9d000 x25: 0000000000000000 x24: 0000000000000002 x23: 1ffff00011d93a74 x22: ffff80008ec9d3a0 x21: 0000000000000000 x20: ffff0000c19dbc00 x19: ffff8000802d0fd8 x18: 1fffe00036804396 x17: ffff80008ec9d000 x16: ffff8000802d089c x15: 0000000000000001 ---truncated--- Уязвимость компонента batman-adv ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: force a dst refcount before doing decryption As it says in commit 3bc07321ccc2 ("xfrm: Force a dst refcount before entering the xfrm type handlers"): "Crypto requests might return asynchronous. In this case we leave the rcu protected region, so force a refcount on the skb's destination entry before we enter the xfrm type input/output handlers." On TIPC decryption path it has the same problem, and skb_dst_force() should be called before doing decryption to avoid a possible crash. Shuang reported this issue when this warning is triggered: [] WARNING: include/net/dst.h:337 tipc_sk_rcv+0x1055/0x1ea0 [tipc] [] Kdump: loaded Tainted: G W --------- - - 4.18.0-496.el8.x86_64+debug [] Workqueue: crypto cryptd_queue_worker [] RIP: 0010:tipc_sk_rcv+0x1055/0x1ea0 [tipc] [] Call Trace: [] tipc_sk_mcast_rcv+0x548/0xea0 [tipc] [] tipc_rcv+0xcf5/0x1060 [tipc] [] tipc_aead_decrypt_done+0x215/0x2e0 [tipc] [] cryptd_aead_crypt+0xdb/0x190 [] cryptd_queue_worker+0xed/0x190 [] process_one_work+0x93d/0x17e0 Уязвимость компонента tipc ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPICA: Revert "ACPICA: avoid Info: mapping multiple BARs. Your kernel is fine." Undo the modifications made in commit d410ee5109a1 ("ACPICA: avoid "Info: mapping multiple BARs. Your kernel is fine.""). The initial purpose of this commit was to stop memory mappings for operation regions from overlapping page boundaries, as it can trigger warnings if different page attributes are present. However, it was found that when this situation arises, mapping continues until the boundary's end, but there is still an attempt to read/write the entire length of the map, leading to a NULL pointer deference. For example, if a four-byte mapping request is made but only one byte is mapped because it hits the current page boundary's end, a four-byte read/write attempt is still made, resulting in a NULL pointer deference. Instead, map the entire length, as the ACPI specification does not mandate that it must be within the same page boundary. It is permissible for it to be mapped across different regions. Уязвимость компонента ACPICA ядра операционной системы Linux связана с ошибкой разыменования указателей NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix UBSAN warning in kv_dpm.c Adds bounds check for sumo_vid_mapping_entry. Уязвимость компонентов drm/amdgpu ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/radeon: fix UBSAN warning in kv_dpm.c Adds bounds check for sumo_vid_mapping_entry. Уязвимость компонентов drm/radeon ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: arm64: Disassociate vcpus from redistributor region on teardown When tearing down a redistributor region, make sure we don't have any dangling pointer to that region stored in a vcpu. Уязвимость компонентов vgic-init.c, vgic-mmio-v3.c, vgic.h ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Add check for srq max_sge attribute max_sge attribute is passed by the user, and is inserted and used unchecked, so verify that the value doesn't exceed maximum allowed value before using it. Уязвимость компонентов RDMA/mlx5 ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: act_api: fix possible infinite loop in tcf_idr_check_alloc() syzbot found hanging tasks waiting on rtnl_lock [1] A reproducer is available in the syzbot bug. When a request to add multiple actions with the same index is sent, the second request will block forever on the first request. This holds rtnl_lock, and causes tasks to hang. Return -EAGAIN to prevent infinite looping, while keeping documented behavior. [1] INFO: task kworker/1:0:5088 blocked for more than 143 seconds. Not tainted 6.9.0-rc4-syzkaller-00173-g3cdb45594619 #0 "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. task:kworker/1:0 state:D stack:23744 pid:5088 tgid:5088 ppid:2 flags:0x00004000 Workqueue: events_power_efficient reg_check_chans_work Call Trace: <TASK> context_switch kernel/sched/core.c:5409 [inline] __schedule+0xf15/0x5d00 kernel/sched/core.c:6746 __schedule_loop kernel/sched/core.c:6823 [inline] schedule+0xe7/0x350 kernel/sched/core.c:6838 schedule_preempt_disabled+0x13/0x30 kernel/sched/core.c:6895 __mutex_lock_common kernel/locking/mutex.c:684 [inline] __mutex_lock+0x5b8/0x9c0 kernel/locking/mutex.c:752 wiphy_lock include/net/cfg80211.h:5953 [inline] reg_leave_invalid_chans net/wireless/reg.c:2466 [inline] reg_check_chans_work+0x10a/0x10e0 net/wireless/reg.c:2481 Уязвимость компонентов net/sched ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: io_uring/sqpoll: work around a potential audit memory leak kmemleak complains that there's a memory leak related to connect handling: unreferenced object 0xffff0001093bdf00 (size 128): comm "iou-sqp-455", pid 457, jiffies 4294894164 hex dump (first 32 bytes): 02 00 fa ea 7f 00 00 01 00 00 00 00 00 00 00 00 ................ 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc 2e481b1a): [<00000000c0a26af4>] kmemleak_alloc+0x30/0x38 [<000000009c30bb45>] kmalloc_trace+0x228/0x358 [<000000009da9d39f>] __audit_sockaddr+0xd0/0x138 [<0000000089a93e34>] move_addr_to_kernel+0x1a0/0x1f8 [<000000000b4e80e6>] io_connect_prep+0x1ec/0x2d4 [<00000000abfbcd99>] io_submit_sqes+0x588/0x1e48 [<00000000e7c25e07>] io_sq_thread+0x8a4/0x10e4 [<00000000d999b491>] ret_from_fork+0x10/0x20 which can can happen if: 1) The command type does something on the prep side that triggers an audit call. 2) The thread hasn't done any operations before this that triggered an audit call inside ->issue(), where we have audit_uring_entry() and audit_uring_exit(). Work around this by issuing a blanket NOP operation before the SQPOLL does anything. Уязвимость компонента sqpoll операционной системы Linux связана с ошибкой освобождения памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: hisilicon/sec - Fix memory leak for sec resource release The AIV is one of the SEC resources. When releasing resources, it need to release the AIV resources at the same time. Otherwise, memory leakage occurs. The aiv resource release is added to the sec resource release function. Уязвимость компонента crypto ядра операционной системы Linux связана с утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Build event generation tests only as modules The kprobes and synth event generation test modules add events and lock (get a reference) those event file reference in module init function, and unlock and delete it in module exit function. This is because those are designed for playing as modules. If we make those modules as built-in, those events are left locked in the kernel, and never be removed. This causes kprobe event self-test failure as below. [ 97.349708] ------------[ cut here ]------------ [ 97.353453] WARNING: CPU: 3 PID: 1 at kernel/trace/trace_kprobe.c:2133 kprobe_trace_self_tests_init+0x3f1/0x480 [ 97.357106] Modules linked in: [ 97.358488] CPU: 3 PID: 1 Comm: swapper/0 Not tainted 6.9.0-g699646734ab5-dirty #14 [ 97.361556] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 [ 97.363880] RIP: 0010:kprobe_trace_self_tests_init+0x3f1/0x480 [ 97.365538] Code: a8 24 08 82 e9 ae fd ff ff 90 0f 0b 90 48 c7 c7 e5 aa 0b 82 e9 ee fc ff ff 90 0f 0b 90 48 c7 c7 2d 61 06 82 e9 8e fd ff ff 90 <0f> 0b 90 48 c7 c7 33 0b 0c 82 89 c6 e8 6e 03 1f ff 41 ff c7 e9 90 [ 97.370429] RSP: 0000:ffffc90000013b50 EFLAGS: 00010286 [ 97.371852] RAX: 00000000fffffff0 RBX: ffff888005919c00 RCX: 0000000000000000 [ 97.373829] RDX: ffff888003f40000 RSI: ffffffff8236a598 RDI: ffff888003f40a68 [ 97.375715] RBP: 0000000000000000 R08: 0000000000000001 R09: 0000000000000000 [ 97.377675] R10: ffffffff811c9ae5 R11: ffffffff8120c4e0 R12: 0000000000000000 [ 97.379591] R13: 0000000000000001 R14: 0000000000000015 R15: 0000000000000000 [ 97.381536] FS: 0000000000000000(0000) GS:ffff88807dcc0000(0000) knlGS:0000000000000000 [ 97.383813] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 97.385449] CR2: 0000000000000000 CR3: 0000000002244000 CR4: 00000000000006b0 [ 97.387347] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 97.389277] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [ 97.391196] Call Trace: [ 97.391967] <TASK> [ 97.392647] ? __warn+0xcc/0x180 [ 97.393640] ? kprobe_trace_self_tests_init+0x3f1/0x480 [ 97.395181] ? report_bug+0xbd/0x150 [ 97.396234] ? handle_bug+0x3e/0x60 [ 97.397311] ? exc_invalid_op+0x1a/0x50 [ 97.398434] ? asm_exc_invalid_op+0x1a/0x20 [ 97.399652] ? trace_kprobe_is_busy+0x20/0x20 [ 97.400904] ? tracing_reset_all_online_cpus+0x15/0x90 [ 97.402304] ? kprobe_trace_self_tests_init+0x3f1/0x480 [ 97.403773] ? init_kprobe_trace+0x50/0x50 [ 97.404972] do_one_initcall+0x112/0x240 [ 97.406113] do_initcall_level+0x95/0xb0 [ 97.407286] ? kernel_init+0x1a/0x1a0 [ 97.408401] do_initcalls+0x3f/0x70 [ 97.409452] kernel_init_freeable+0x16f/0x1e0 [ 97.410662] ? rest_init+0x1f0/0x1f0 [ 97.411738] kernel_init+0x1a/0x1a0 [ 97.412788] ret_from_fork+0x39/0x50 [ 97.413817] ? rest_init+0x1f0/0x1f0 [ 97.414844] ret_from_fork_asm+0x11/0x20 [ 97.416285] </TASK> [ 97.417134] irq event stamp: 13437323 [ 97.418376] hardirqs last enabled at (13437337): [<ffffffff8110bc0c>] console_unlock+0x11c/0x150 [ 97.421285] hardirqs last disabled at (13437370): [<ffffffff8110bbf1>] console_unlock+0x101/0x150 [ 97.423838] softirqs last enabled at (13437366): [<ffffffff8108e17f>] handle_softirqs+0x23f/0x2a0 [ 97.426450] softirqs last disabled at (13437393): [<ffffffff8108e346>] __irq_exit_rcu+0x66/0xd0 [ 97.428850] ---[ end trace 0000000000000000 ]--- And also, since we can not cleanup dynamic_event file, ftracetest are failed too. To avoid these issues, build these tests only as modules. Уязвимость компонента tracing ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netpoll: Fix race condition in netpoll_owner_active KCSAN detected a race condition in netpoll: BUG: KCSAN: data-race in net_rx_action / netpoll_send_skb write (marked) to 0xffff8881164168b0 of 4 bytes by interrupt on cpu 10: net_rx_action (./include/linux/netpoll.h:90 net/core/dev.c:6712 net/core/dev.c:6822) <snip> read to 0xffff8881164168b0 of 4 bytes by task 1 on cpu 2: netpoll_send_skb (net/core/netpoll.c:319 net/core/netpoll.c:345 net/core/netpoll.c:393) netpoll_send_udp (net/core/netpoll.c:?) <snip> value changed: 0x0000000a -> 0xffffffff This happens because netpoll_owner_active() needs to check if the current CPU is the owner of the lock, touching napi->poll_owner non atomically. The ->poll_owner field contains the current CPU holding the lock. Use an atomic read to check if the poll owner is the current CPU. Уязвимость функции netpoll_owner_active() в модуле net/core/netpoll.c ядра операционной системы Linux связана с конкурентным доступом к ресурсу (состояние гонки) Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netrom: Fix a memory leak in nr_heartbeat_expiry() syzbot reported a memory leak in nr_create() [0]. Commit 409db27e3a2e ("netrom: Fix use-after-free of a listening socket.") added sock_hold() to the nr_heartbeat_expiry() function, where a) a socket has a SOCK_DESTROY flag or b) a listening socket has a SOCK_DEAD flag. But in the case "a," when the SOCK_DESTROY flag is set, the file descriptor has already been closed and the nr_release() function has been called. So it makes no sense to hold the reference count because no one will call another nr_destroy_socket() and put it as in the case "b." nr_connect nr_establish_data_link nr_start_heartbeat nr_release switch (nr->state) case NR_STATE_3 nr->state = NR_STATE_2 sock_set_flag(sk, SOCK_DESTROY); nr_rx_frame nr_process_rx_frame switch (nr->state) case NR_STATE_2 nr_state2_machine() nr_disconnect() nr_sk(sk)->state = NR_STATE_0 sock_set_flag(sk, SOCK_DEAD) nr_heartbeat_expiry switch (nr->state) case NR_STATE_0 if (sock_flag(sk, SOCK_DESTROY) || (sk->sk_state == TCP_LISTEN && sock_flag(sk, SOCK_DEAD))) sock_hold() // ( !!! ) nr_destroy_socket() To fix the memory leak, let's call sock_hold() only for a listening socket. Found by InfoTeCS on behalf of Linux Verification Center (linuxtesting.org) with Syzkaller. [0]: https://syzkaller.appspot.com/bug?extid=d327a1f3b12e1e206c16 Уязвимость компонента netrom ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: avoid too many retransmit packets If a TCP socket is using TCP_USER_TIMEOUT, and the other peer retracted its window to zero, tcp_retransmit_timer() can retransmit a packet every two jiffies (2 ms for HZ=1000), for about 4 minutes after TCP_USER_TIMEOUT has 'expired'. The fix is to make sure tcp_rtx_probe0_timed_out() takes icsk->icsk_user_timeout into account. Before blamed commit, the socket would not timeout after icsk->icsk_user_timeout, but would use standard exponential backoff for the retransmits. Also worth noting that before commit e89688e3e978 ("net: tcp: fix unexcepted socket die when snd_wnd is 0"), the issue would last 2 minutes instead of 4. Уязвимость функции tcp_retransmit_timer() реализации TCP протокола ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix overrunning reservations in ringbuf The BPF ring buffer internally is implemented as a power-of-2 sized circular buffer, with two logical and ever-increasing counters: consumer_pos is the consumer counter to show which logical position the consumer consumed the data, and producer_pos which is the producer counter denoting the amount of data reserved by all producers. Each time a record is reserved, the producer that "owns" the record will successfully advance producer counter. In user space each time a record is read, the consumer of the data advanced the consumer counter once it finished processing. Both counters are stored in separate pages so that from user space, the producer counter is read-only and the consumer counter is read-write. One aspect that simplifies and thus speeds up the implementation of both producers and consumers is how the data area is mapped twice contiguously back-to-back in the virtual memory, allowing to not take any special measures for samples that have to wrap around at the end of the circular buffer data area, because the next page after the last data page would be first data page again, and thus the sample will still appear completely contiguous in virtual memory. Each record has a struct bpf_ringbuf_hdr { u32 len; u32 pg_off; } header for book-keeping the length and offset, and is inaccessible to the BPF program. Helpers like bpf_ringbuf_reserve() return `(void *)hdr + BPF_RINGBUF_HDR_SZ` for the BPF program to use. Bing-Jhong and Muhammad reported that it is however possible to make a second allocated memory chunk overlapping with the first chunk and as a result, the BPF program is now able to edit first chunk's header. For example, consider the creation of a BPF_MAP_TYPE_RINGBUF map with size of 0x4000. Next, the consumer_pos is modified to 0x3000 /before/ a call to bpf_ringbuf_reserve() is made. This will allocate a chunk A, which is in [0x0,0x3008], and the BPF program is able to edit [0x8,0x3008]. Now, lets allocate a chunk B with size 0x3000. This will succeed because consumer_pos was edited ahead of time to pass the `new_prod_pos - cons_pos > rb->mask` check. Chunk B will be in range [0x3008,0x6010], and the BPF program is able to edit [0x3010,0x6010]. Due to the ring buffer memory layout mentioned earlier, the ranges [0x0,0x4000] and [0x4000,0x8000] point to the same data pages. This means that chunk B at [0x4000,0x4008] is chunk A's header. bpf_ringbuf_submit() / bpf_ringbuf_discard() use the header's pg_off to then locate the bpf_ringbuf itself via bpf_ringbuf_restore_from_rec(). Once chunk B modified chunk A's header, then bpf_ringbuf_commit() refers to the wrong page and could cause a crash. Fix it by calculating the oldest pending_pos and check whether the range from the oldest outstanding record to the newest would span beyond the ring buffer size. If that is the case, then reject the request. We've tested with the ring buffer benchmark in BPF selftests (./benchs/run_bench_ringbufs.sh) before/after the fix and while it seems a bit slower on some benchmarks, it is still not significantly enough to matter. Уязвимость компонента bpf ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для сокращения поверхности атаки с использованием уязвимости настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: ``` kernel.unprivileged_bpf_disabled=1 ``` Сохраните файл. 2. Примените изменения: ``` sudo sysctl -p ``` 3. Проверьте текущее состояние sysctl: ``` cat /proc/sys/kernel/unprivileged_bpf_disabled ``` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: don't allow mapping the MMIO HDP page with large pages We don't get the right offset in that case. The GPU has an unused 4K area of the register BAR space into which you can remap registers. We remap the HDP flush registers into this space to allow userspace (CPU or GPU) to flush the HDP when it updates VRAM. However, on systems with >4K pages, we end up exposing PAGE_SIZE of MMIO space. Уязвимость функции criu_restore_memory_of_gpu() в модуле drivers/gpu/drm/amd/amdkfd/kfd_chardev.c драйвера amdkfd ядра операционной системы Linux связана с обращением к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-682')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: filelock: Remove locks reliably when fcntl/close race is detected When fcntl_setlk() races with close(), it removes the created lock with do_lock_file_wait(). However, LSMs can allow the first do_lock_file_wait() that created the lock while denying the second do_lock_file_wait() that tries to remove the lock. Separately, posix_lock_file() could also fail to remove a lock due to GFP_KERNEL allocation failure (when splitting a range in the middle). After the bug has been triggered, use-after-free reads will occur in lock_get_status() when userspace reads /proc/locks. This can likely be used to read arbitrary kernel memory, but can't corrupt kernel memory. Fix it by calling locks_remove_posix() instead, which is designed to reliably get rid of POSIX locks associated with the given file and files_struct and is also used by filp_flush(). Уязвимость функции fcntl_setlk() в модуле fs/locks.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfs: add bounds checking to xlog_recover_process_data There is a lack of verification of the space occupied by fixed members of xlog_op_header in the xlog_recover_process_data. We can create a crafted image to trigger an out of bounds read by following these steps: 1) Mount an image of xfs, and do some file operations to leave records 2) Before umounting, copy the image for subsequent steps to simulate abnormal exit. Because umount will ensure that tail_blk and head_blk are the same, which will result in the inability to enter xlog_recover_process_data 3) Write a tool to parse and modify the copied image in step 2 4) Make the end of the xlog_op_header entries only 1 byte away from xlog_rec_header->h_size 5) xlog_rec_header->h_num_logops++ 6) Modify xlog_rec_header->h_crc Fix: Add a check to make sure there is sufficient space to access fixed members of xlog_op_header. Уязвимость функции xlog_op_header компонента xlog_recover_process_data ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданного файла изображения [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: add bounds checking to ocfs2_check_dir_entry() This adds sanity checks for ocfs2_dir_entry to make sure all members of ocfs2_dir_entry don't stray beyond valid memory region. Уязвимость компонента ocfs2 ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: strict bound check before memcmp in ocfs2_xattr_find_entry() xattr in ocfs2 maybe 'non-indexed', which saved with additional space requested. It's better to check if the memory is out of bound before memcmp, although this possibility mainly comes from crafted poisonous images. Уязвимость функции ocfs2_xattr_find_entry() в модуле fs/ocfs2/xattr.c файловой системы ocfs2 ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: don't walk off the end of ealist Add a check before visiting the members of ea to make sure each ea stays within the ealist. Уязвимость функций __jfs_getxattr() и jfs_listxattr() в модуле fs/jfs/xattr.c файловой системы jfs ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Validate ff offset This adds sanity checks for ff offset. There is a check on rt->first_free at first, but walking through by ff without any check. If the second ff is a large offset. We may encounter an out-of-bound read. Уязвимость функции check_rstbl() в модуле fs/ntfs3/fslog.c файловой системы NTFS3 ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: filelock: Fix fcntl/close race recovery compat path When I wrote commit 3cad1bc01041 ("filelock: Remove locks reliably when fcntl/close race is detected"), I missed that there are two copies of the code I was patching: The normal version, and the version for 64-bit offsets on 32-bit kernels. Thanks to Greg KH for stumbling over this while doing the stable backport... Apply exactly the same fix to the compat path for 32-bit kernels. Уязвимость функции fcntl_setlk() в модуле fs/locks.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Fix userfaultfd_api to return EINVAL as expected Currently if we request a feature that is not set in the Kernel config we fail silently and return all the available features. However, the man page indicates we should return an EINVAL. We need to fix this issue since we can end up with a Kernel warning should a program request the feature UFFD_FEATURE_WP_UNPOPULATED on a kernel with the config not set with this feature. [ 200.812896] WARNING: CPU: 91 PID: 13634 at mm/memory.c:1660 zap_pte_range+0x43d/0x660 [ 200.820738] Modules linked in: [ 200.869387] CPU: 91 PID: 13634 Comm: userfaultfd Kdump: loaded Not tainted 6.9.0-rc5+ #8 [ 200.877477] Hardware name: Dell Inc. PowerEdge R6525/0N7YGH, BIOS 2.7.3 03/30/2022 [ 200.885052] RIP: 0010:zap_pte_range+0x43d/0x660 Уязвимость функции userfaultfd_api() ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86: toshiba_acpi: Fix array out-of-bounds access In order to use toshiba_dmi_quirks[] together with the standard DMI matching functions, it must be terminated by a empty entry. Since this entry is missing, an array out-of-bounds access occurs every time the quirk list is processed. Fix this by adding the terminating empty entry. Уязвимость драйвера toshiba_acpi (drivers/platform/x86/toshiba_acpi.c) ядра операционной системы Linux связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: discard write access to the directory open may_open() does not allow a directory to be opened with the write access. However, some writing flags set by client result in adding write access on server, making ksmbd incompatible with FUSE file system. Simply, let's discard the write access when opening a directory. list_add corruption. next is NULL. ------------[ cut here ]------------ kernel BUG at lib/list_debug.c:26! pc : __list_add_valid+0x88/0xbc lr : __list_add_valid+0x88/0xbc Call trace: __list_add_valid+0x88/0xbc fuse_finish_open+0x11c/0x170 fuse_open_common+0x284/0x5e8 fuse_dir_open+0x14/0x24 do_dentry_open+0x2a4/0x4e0 dentry_open+0x50/0x80 smb2_open+0xbe4/0x15a4 handle_ksmbd_work+0x478/0x5ec process_one_work+0x1b4/0x448 worker_thread+0x25c/0x430 kthread+0x104/0x1d4 ret_from_fork+0x10/0x20 Уязвимость компонента smb2pdu.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix kernel bug on rename operation of broken directory Syzbot reported that in rename directory operation on broken directory on nilfs2, __block_write_begin_int() called to prepare block write may fail BUG_ON check for access exceeding the folio/page size. This is because nilfs_dotdot(), which gets parent directory reference entry ("..") of the directory to be moved or renamed, does not check consistency enough, and may return location exceeding folio/page size for broken directories. Fix this issue by checking required directory entries ("." and "..") in the first chunk of the directory in nilfs_dotdot(). Уязвимость функции nilfs_dotdot() файловой системы nilfs2 ядра операционной системы Linux связана с некорректной обработкой ошибок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: USB: core: Fix duplicate endpoint bug by clearing reserved bits in the descriptor Syzbot has identified a bug in usbcore (see the Closes: tag below) caused by our assumption that the reserved bits in an endpoint descriptor's bEndpointAddress field will always be 0. As a result of the bug, the endpoint_is_duplicate() routine in config.c (and possibly other routines as well) may believe that two descriptors are for distinct endpoints, even though they have the same direction and endpoint number. This can lead to confusion, including the bug identified by syzbot (two descriptors with matching endpoint numbers and directions, where one was interrupt and the other was bulk). To fix the bug, we will clear the reserved bits in bEndpointAddress when we parse the descriptor. (Note that both the USB-2.0 and USB-3.1 specs say these bits are "Reserved, reset to zero".) This requires us to make a copy of the descriptor earlier in usb_parse_endpoint() and use the copy instead of the original when checking for duplicates. Уязвимость функции usb_parse_endpoint() (drivers/usb/core/config.c) драйвера USB ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ks8851: Fix deadlock with the SPI chip variant When SMP is enabled and spinlocks are actually functional then there is a deadlock with the 'statelock' spinlock between ks8851_start_xmit_spi and ks8851_irq: watchdog: BUG: soft lockup - CPU#0 stuck for 27s! call trace: queued_spin_lock_slowpath+0x100/0x284 do_raw_spin_lock+0x34/0x44 ks8851_start_xmit_spi+0x30/0xb8 ks8851_start_xmit+0x14/0x20 netdev_start_xmit+0x40/0x6c dev_hard_start_xmit+0x6c/0xbc sch_direct_xmit+0xa4/0x22c __qdisc_run+0x138/0x3fc qdisc_run+0x24/0x3c net_tx_action+0xf8/0x130 handle_softirqs+0x1ac/0x1f0 __do_softirq+0x14/0x20 ____do_softirq+0x10/0x1c call_on_irq_stack+0x3c/0x58 do_softirq_own_stack+0x1c/0x28 __irq_exit_rcu+0x54/0x9c irq_exit_rcu+0x10/0x1c el1_interrupt+0x38/0x50 el1h_64_irq_handler+0x18/0x24 el1h_64_irq+0x64/0x68 __netif_schedule+0x6c/0x80 netif_tx_wake_queue+0x38/0x48 ks8851_irq+0xb8/0x2c8 irq_thread_fn+0x2c/0x74 irq_thread+0x10c/0x1b0 kthread+0xc8/0xd8 ret_from_fork+0x10/0x20 This issue has not been identified earlier because tests were done on a device with SMP disabled and so spinlocks were actually NOPs. Now use spin_(un)lock_bh for TX queue related locking to avoid execution of softirq work synchronously that would lead to a deadlock. Уязвимость ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firmware: cs_dsp: Prevent buffer overrun when processing V2 alg headers Check that all fields of a V2 algorithm header fit into the available firmware data buffer. The wmfw V2 format introduced variable-length strings in the algorithm block header. This means the overall header length is variable, and the position of most fields varies depending on the length of the string fields. Each field must be checked to ensure that it does not overflow the firmware data buffer. As this ia bugfix patch, the fixes avoid making any significant change to the existing code. This makes it easier to review and less likely to introduce new bugs. Уязвимость компонента cs_dsp ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firmware: cs_dsp: Fix overflow checking of wmfw header Fix the checking that firmware file buffer is large enough for the wmfw header, to prevent overrunning the buffer. The original code tested that the firmware data buffer contained enough bytes for the sums of the size of the structs wmfw_header + wmfw_adsp1_sizes + wmfw_footer But wmfw_adsp1_sizes is only used on ADSP1 firmware. For ADSP2 and Halo Core the equivalent struct is wmfw_adsp2_sizes, which is 4 bytes longer. So the length check didn't guarantee that there are enough bytes in the firmware buffer for a header with wmfw_adsp2_sizes. This patch splits the length check into three separate parts. Each of the wmfw_header, wmfw_adsp?_sizes and wmfw_footer are checked separately before they are used. Уязвимость компонента drivers/firmware/cirrus/cs_dsp.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: Fix UAF when resolving a clash KASAN reports the following UAF: BUG: KASAN: slab-use-after-free in tcf_ct_flow_table_process_conn+0x12b/0x380 [act_ct] Read of size 1 at addr ffff888c07603600 by task handler130/6469 Call Trace: <IRQ> dump_stack_lvl+0x48/0x70 print_address_description.constprop.0+0x33/0x3d0 print_report+0xc0/0x2b0 kasan_report+0xd0/0x120 __asan_load1+0x6c/0x80 tcf_ct_flow_table_process_conn+0x12b/0x380 [act_ct] tcf_ct_act+0x886/0x1350 [act_ct] tcf_action_exec+0xf8/0x1f0 fl_classify+0x355/0x360 [cls_flower] __tcf_classify+0x1fd/0x330 tcf_classify+0x21c/0x3c0 sch_handle_ingress.constprop.0+0x2c5/0x500 __netif_receive_skb_core.constprop.0+0xb25/0x1510 __netif_receive_skb_list_core+0x220/0x4c0 netif_receive_skb_list_internal+0x446/0x620 napi_complete_done+0x157/0x3d0 gro_cell_poll+0xcf/0x100 __napi_poll+0x65/0x310 net_rx_action+0x30c/0x5c0 __do_softirq+0x14f/0x491 __irq_exit_rcu+0x82/0xc0 irq_exit_rcu+0xe/0x20 common_interrupt+0xa1/0xb0 </IRQ> <TASK> asm_common_interrupt+0x27/0x40 Allocated by task 6469: kasan_save_stack+0x38/0x70 kasan_set_track+0x25/0x40 kasan_save_alloc_info+0x1e/0x40 __kasan_krealloc+0x133/0x190 krealloc+0xaa/0x130 nf_ct_ext_add+0xed/0x230 [nf_conntrack] tcf_ct_act+0x1095/0x1350 [act_ct] tcf_action_exec+0xf8/0x1f0 fl_classify+0x355/0x360 [cls_flower] __tcf_classify+0x1fd/0x330 tcf_classify+0x21c/0x3c0 sch_handle_ingress.constprop.0+0x2c5/0x500 __netif_receive_skb_core.constprop.0+0xb25/0x1510 __netif_receive_skb_list_core+0x220/0x4c0 netif_receive_skb_list_internal+0x446/0x620 napi_complete_done+0x157/0x3d0 gro_cell_poll+0xcf/0x100 __napi_poll+0x65/0x310 net_rx_action+0x30c/0x5c0 __do_softirq+0x14f/0x491 Freed by task 6469: kasan_save_stack+0x38/0x70 kasan_set_track+0x25/0x40 kasan_save_free_info+0x2b/0x60 ____kasan_slab_free+0x180/0x1f0 __kasan_slab_free+0x12/0x30 slab_free_freelist_hook+0xd2/0x1a0 __kmem_cache_free+0x1a2/0x2f0 kfree+0x78/0x120 nf_conntrack_free+0x74/0x130 [nf_conntrack] nf_ct_destroy+0xb2/0x140 [nf_conntrack] __nf_ct_resolve_clash+0x529/0x5d0 [nf_conntrack] nf_ct_resolve_clash+0xf6/0x490 [nf_conntrack] __nf_conntrack_confirm+0x2c6/0x770 [nf_conntrack] tcf_ct_act+0x12ad/0x1350 [act_ct] tcf_action_exec+0xf8/0x1f0 fl_classify+0x355/0x360 [cls_flower] __tcf_classify+0x1fd/0x330 tcf_classify+0x21c/0x3c0 sch_handle_ingress.constprop.0+0x2c5/0x500 __netif_receive_skb_core.constprop.0+0xb25/0x1510 __netif_receive_skb_list_core+0x220/0x4c0 netif_receive_skb_list_internal+0x446/0x620 napi_complete_done+0x157/0x3d0 gro_cell_poll+0xcf/0x100 __napi_poll+0x65/0x310 net_rx_action+0x30c/0x5c0 __do_softirq+0x14f/0x491 The ct may be dropped if a clash has been resolved but is still passed to the tcf_ct_flow_table_process_conn function for further usage. This issue can be fixed by retrieving ct from skb again after confirming conntrack. Уязвимость компонентов net/sched ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: udp: Set SOCK_RCU_FREE earlier in udp_lib_get_port(). syzkaller triggered the warning [0] in udp_v4_early_demux(). In udp_v[46]_early_demux() and sk_lookup(), we do not touch the refcount of the looked-up sk and use sock_pfree() as skb->destructor, so we check SOCK_RCU_FREE to ensure that the sk is safe to access during the RCU grace period. Currently, SOCK_RCU_FREE is flagged for a bound socket after being put into the hash table. Moreover, the SOCK_RCU_FREE check is done too early in udp_v[46]_early_demux() and sk_lookup(), so there could be a small race window: CPU1 CPU2 ---- ---- udp_v4_early_demux() udp_lib_get_port() | |- hlist_add_head_rcu() |- sk = __udp4_lib_demux_lookup() | |- DEBUG_NET_WARN_ON_ONCE(sk_is_refcounted(sk)); `- sock_set_flag(sk, SOCK_RCU_FREE) We had the same bug in TCP and fixed it in commit 871019b22d1b ("net: set SOCK_RCU_FREE before inserting socket into hashtable"). Let's apply the same fix for UDP. [0]: WARNING: CPU: 0 PID: 11198 at net/ipv4/udp.c:2599 udp_v4_early_demux+0x481/0xb70 net/ipv4/udp.c:2599 Modules linked in: CPU: 0 PID: 11198 Comm: syz-executor.1 Not tainted 6.9.0-g93bda33046e7 #13 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:udp_v4_early_demux+0x481/0xb70 net/ipv4/udp.c:2599 Code: c5 7a 15 fe bb 01 00 00 00 44 89 e9 31 ff d3 e3 81 e3 bf ef ff ff 89 de e8 2c 74 15 fe 85 db 0f 85 02 06 00 00 e8 9f 7a 15 fe <0f> 0b e8 98 7a 15 fe 49 8d 7e 60 e8 4f 39 2f fe 49 c7 46 60 20 52 RSP: 0018:ffffc9000ce3fa58 EFLAGS: 00010293 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffffffff8318c92c RDX: ffff888036ccde00 RSI: ffffffff8318c2f1 RDI: 0000000000000001 RBP: ffff88805a2dd6e0 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000000 R11: 0001ffffffffffff R12: ffff88805a2dd680 R13: 0000000000000007 R14: ffff88800923f900 R15: ffff88805456004e FS: 00007fc449127640(0000) GS:ffff88807dc00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fc449126e38 CR3: 000000003de4b002 CR4: 0000000000770ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000600 PKRU: 55555554 Call Trace: <TASK> ip_rcv_finish_core.constprop.0+0xbdd/0xd20 net/ipv4/ip_input.c:349 ip_rcv_finish+0xda/0x150 net/ipv4/ip_input.c:447 NF_HOOK include/linux/netfilter.h:314 [inline] NF_HOOK include/linux/netfilter.h:308 [inline] ip_rcv+0x16c/0x180 net/ipv4/ip_input.c:569 __netif_receive_skb_one_core+0xb3/0xe0 net/core/dev.c:5624 __netif_receive_skb+0x21/0xd0 net/core/dev.c:5738 netif_receive_skb_internal net/core/dev.c:5824 [inline] netif_receive_skb+0x271/0x300 net/core/dev.c:5884 tun_rx_batched drivers/net/tun.c:1549 [inline] tun_get_user+0x24db/0x2c50 drivers/net/tun.c:2002 tun_chr_write_iter+0x107/0x1a0 drivers/net/tun.c:2048 new_sync_write fs/read_write.c:497 [inline] vfs_write+0x76f/0x8d0 fs/read_write.c:590 ksys_write+0xbf/0x190 fs/read_write.c:643 __do_sys_write fs/read_write.c:655 [inline] __se_sys_write fs/read_write.c:652 [inline] __x64_sys_write+0x41/0x50 fs/read_write.c:652 x64_sys_call+0xe66/0x1990 arch/x86/include/generated/asm/syscalls_64.h:2 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0x4b/0x110 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x7fc44a68bc1f Code: 89 54 24 18 48 89 74 24 10 89 7c 24 08 e8 e9 cf f5 ff 48 8b 54 24 18 48 8b 74 24 10 41 89 c0 8b 7c 24 08 b8 01 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 31 44 89 c7 48 89 44 24 08 e8 3c d0 f5 ff 48 RSP: 002b:00007fc449126c90 EFLAGS: 00000293 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 00000000004bc050 RCX: 00007fc44a68bc1f R ---truncated--- Уязвимость функций sock_set_flag() и spin_unlock() (net/ipv4/udp.c) компонента udp ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: prefer nft_chain_validate nft_chain_validate already performs loop detection because a cycle will result in a call stack overflow (ctx->level >= NFT_JUMP_STACK_SIZE). It also follows maps via ->validate callback in nft_lookup, so there appears no reason to iterate the maps again. nf_tables_check_loops() and all its helper functions can be removed. This improves ruleset load time significantly, from 23s down to 12s. This also fixes a crash bug. Old loop detection code can result in unbounded recursion: BUG: TASK stack guard page was hit at .... Oops: stack guard page: 0000 [#1] PREEMPT SMP KASAN CPU: 4 PID: 1539 Comm: nft Not tainted 6.10.0-rc5+ #1 [..] with a suitable ruleset during validation of register stores. I can't see any actual reason to attempt to check for this from nft_validate_register_store(), at this point the transaction is still in progress, so we don't have a full picture of the rule graph. For nf-next it might make sense to either remove it or make this depend on table->validate_state in case we could catch an error earlier (for improved error reporting to userspace). Уязвимость функций nf_tables_rule_release(), nft_chain_validate(), nft_chain_validate_hooks() и nft_validate_register_store() (net/netfilter/nf_tables_api.c) компонента netfilter ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ppp: reject claimed-as-LCP but actually malformed packets Since 'ppp_async_encode()' assumes valid LCP packets (with code from 1 to 7 inclusive), add 'ppp_check_packet()' to ensure that LCP packet has an actual body beyond PPP_LCP header bytes, and reject claimed-as-LCP but actually malformed data otherwise. Уязвимость функций ppp_read() и ppp_write() (drivers/net/ppp/ppp_generic.c) драйвера ppp ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i40e: Fix XDP program unloading while removing the driver The commit 6533e558c650 ("i40e: Fix reset path while removing the driver") introduced a new PF state "__I40E_IN_REMOVE" to block modifying the XDP program while the driver is being removed. Unfortunately, such a change is useful only if the ".ndo_bpf()" callback was called out of the rmmod context because unloading the existing XDP program is also a part of driver removing procedure. In other words, from the rmmod context the driver is expected to unload the XDP program without reporting any errors. Otherwise, the kernel warning with callstack is printed out to dmesg. Example failing scenario: 1. Load the i40e driver. 2. Load the XDP program. 3. Unload the i40e driver (using "rmmod" command). The example kernel warning log: [ +0.004646] WARNING: CPU: 94 PID: 10395 at net/core/dev.c:9290 unregister_netdevice_many_notify+0x7a9/0x870 [...] [ +0.010959] RIP: 0010:unregister_netdevice_many_notify+0x7a9/0x870 [...] [ +0.002726] Call Trace: [ +0.002457] <TASK> [ +0.002119] ? __warn+0x80/0x120 [ +0.003245] ? unregister_netdevice_many_notify+0x7a9/0x870 [ +0.005586] ? report_bug+0x164/0x190 [ +0.003678] ? handle_bug+0x3c/0x80 [ +0.003503] ? exc_invalid_op+0x17/0x70 [ +0.003846] ? asm_exc_invalid_op+0x1a/0x20 [ +0.004200] ? unregister_netdevice_many_notify+0x7a9/0x870 [ +0.005579] ? unregister_netdevice_many_notify+0x3cc/0x870 [ +0.005586] unregister_netdevice_queue+0xf7/0x140 [ +0.004806] unregister_netdev+0x1c/0x30 [ +0.003933] i40e_vsi_release+0x87/0x2f0 [i40e] [ +0.004604] i40e_remove+0x1a1/0x420 [i40e] [ +0.004220] pci_device_remove+0x3f/0xb0 [ +0.003943] device_release_driver_internal+0x19f/0x200 [ +0.005243] driver_detach+0x48/0x90 [ +0.003586] bus_remove_driver+0x6d/0xf0 [ +0.003939] pci_unregister_driver+0x2e/0xb0 [ +0.004278] i40e_exit_module+0x10/0x5f0 [i40e] [ +0.004570] __do_sys_delete_module.isra.0+0x197/0x310 [ +0.005153] do_syscall_64+0x85/0x170 [ +0.003684] ? syscall_exit_to_user_mode+0x69/0x220 [ +0.004886] ? do_syscall_64+0x95/0x170 [ +0.003851] ? exc_page_fault+0x7e/0x180 [ +0.003932] entry_SYSCALL_64_after_hwframe+0x71/0x79 [ +0.005064] RIP: 0033:0x7f59dc9347cb [ +0.003648] Code: 73 01 c3 48 8b 0d 65 16 0c 00 f7 d8 64 89 01 48 83 c8 ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa b8 b0 00 00 00 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d 35 16 0c 00 f7 d8 64 89 01 48 [ +0.018753] RSP: 002b:00007ffffac99048 EFLAGS: 00000206 ORIG_RAX: 00000000000000b0 [ +0.007577] RAX: ffffffffffffffda RBX: 0000559b9bb2f6e0 RCX: 00007f59dc9347cb [ +0.007140] RDX: 0000000000000000 RSI: 0000000000000800 RDI: 0000559b9bb2f748 [ +0.007146] RBP: 00007ffffac99070 R08: 1999999999999999 R09: 0000000000000000 [ +0.007133] R10: 00007f59dc9a5ac0 R11: 0000000000000206 R12: 0000000000000000 [ +0.007141] R13: 00007ffffac992d8 R14: 0000559b9bb2f6e0 R15: 0000000000000000 [ +0.007151] </TASK> [ +0.002204] ---[ end trace 0000000000000000 ]--- Fix this by checking if the XDP program is being loaded or unloaded. Then, block only loading a new program while "__I40E_IN_REMOVE" is set. Also, move testing "__I40E_IN_REMOVE" flag to the beginning of XDP_SETUP callback to avoid unnecessary operations and checks. Уязвимость функции i40e_xdp_setup() (drivers/net/ethernet/intel/i40e/i40e_main.c) драйвера i40e ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: skmsg: Skip zero length skb in sk_msg_recvmsg When running BPF selftests (./test_progs -t sockmap_basic) on a Loongarch platform, the following kernel panic occurs: [...] Oops[#1]: CPU: 22 PID: 2824 Comm: test_progs Tainted: G OE 6.10.0-rc2+ #18 Hardware name: LOONGSON Dabieshan/Loongson-TC542F0, BIOS Loongson-UDK2018 ... ... ra: 90000000048bf6c0 sk_msg_recvmsg+0x120/0x560 ERA: 9000000004162774 copy_page_to_iter+0x74/0x1c0 CRMD: 000000b0 (PLV0 -IE -DA +PG DACF=CC DACM=CC -WE) PRMD: 0000000c (PPLV0 +PIE +PWE) EUEN: 00000007 (+FPE +SXE +ASXE -BTE) ECFG: 00071c1d (LIE=0,2-4,10-12 VS=7) ESTAT: 00010000 [PIL] (IS= ECode=1 EsubCode=0) BADV: 0000000000000040 PRID: 0014c011 (Loongson-64bit, Loongson-3C5000) Modules linked in: bpf_testmod(OE) xt_CHECKSUM xt_MASQUERADE xt_conntrack Process test_progs (pid: 2824, threadinfo=0000000000863a31, task=...) Stack : ... Call Trace: [<9000000004162774>] copy_page_to_iter+0x74/0x1c0 [<90000000048bf6c0>] sk_msg_recvmsg+0x120/0x560 [<90000000049f2b90>] tcp_bpf_recvmsg_parser+0x170/0x4e0 [<90000000049aae34>] inet_recvmsg+0x54/0x100 [<900000000481ad5c>] sock_recvmsg+0x7c/0xe0 [<900000000481e1a8>] __sys_recvfrom+0x108/0x1c0 [<900000000481e27c>] sys_recvfrom+0x1c/0x40 [<9000000004c076ec>] do_syscall+0x8c/0xc0 [<9000000003731da4>] handle_syscall+0xc4/0x160 Code: ... ---[ end trace 0000000000000000 ]--- Kernel panic - not syncing: Fatal exception Kernel relocated by 0x3510000 .text @ 0x9000000003710000 .data @ 0x9000000004d70000 .bss @ 0x9000000006469400 ---[ end Kernel panic - not syncing: Fatal exception ]--- [...] This crash happens every time when running sockmap_skb_verdict_shutdown subtest in sockmap_basic. This crash is because a NULL pointer is passed to page_address() in the sk_msg_recvmsg(). Due to the different implementations depending on the architecture, page_address(NULL) will trigger a panic on Loongarch platform but not on x86 platform. So this bug was hidden on x86 platform for a while, but now it is exposed on Loongarch platform. The root cause is that a zero length skb (skb->len == 0) was put on the queue. This zero length skb is a TCP FIN packet, which was sent by shutdown(), invoked in test_sockmap_skb_verdict_shutdown(): shutdown(p1, SHUT_WR); In this case, in sk_psock_skb_ingress_enqueue(), num_sge is zero, and no page is put to this sge (see sg_set_page in sg_set_page), but this empty sge is queued into ingress_msg list. And in sk_msg_recvmsg(), this empty sge is used, and a NULL page is got by sg_page(sge). Pass this NULL page to copy_page_to_iter(), which passes it to kmap_local_page() and to page_address(), then kernel panics. To solve this, we should skip this zero length skb. So in sk_msg_recvmsg(), if copy is zero, that means it's a zero length skb, skip invoking copy_page_to_iter(). We are using the EFAULT return triggered by copy_page_to_iter to check for is_fin in tcp_bpf.c. Уязвимость функции sk_msg_recvmsg() (net/core/skmsg.c) компонента skmsg ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: cyclic allocation of msg_id to avoid reuse Reusing the msg_id after a maliciously completed reopen request may cause a read request to remain unprocessed and result in a hung, as shown below: t1 | t2 | t3 ------------------------------------------------- cachefiles_ondemand_select_req cachefiles_ondemand_object_is_close(A) cachefiles_ondemand_set_object_reopening(A) queue_work(fscache_object_wq, &info->work) ondemand_object_worker cachefiles_ondemand_init_object(A) cachefiles_ondemand_send_req(OPEN) // get msg_id 6 wait_for_completion(&req_A->done) cachefiles_ondemand_daemon_read // read msg_id 6 req_A cachefiles_ondemand_get_fd copy_to_user // Malicious completion msg_id 6 copen 6,-1 cachefiles_ondemand_copen complete(&req_A->done) // will not set the object to close // because ondemand_id && fd is valid. // ondemand_object_worker() is done // but the object is still reopening. // new open req_B cachefiles_ondemand_init_object(B) cachefiles_ondemand_send_req(OPEN) // reuse msg_id 6 process_open_req copen 6,A.size // The expected failed copen was executed successfully Expect copen to fail, and when it does, it closes fd, which sets the object to close, and then close triggers reopen again. However, due to msg_id reuse resulting in a successful copen, the anonymous fd is not closed until the daemon exits. Therefore read requests waiting for reopen to complete may trigger hung task. To avoid this issue, allocate the msg_id cyclically to avoid reusing the msg_id for a very short duration of time. Уязвимость функции cachefiles_ondemand_send_req() (fs/cachefiles/ondemand.c) ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: prevent derefencing NULL ptr in pfn_section_valid() Commit 5ec8e8ea8b77 ("mm/sparsemem: fix race in accessing memory_section->usage") changed pfn_section_valid() to add a READ_ONCE() call around "ms->usage" to fix a race with section_deactivate() where ms->usage can be cleared. The READ_ONCE() call, by itself, is not enough to prevent NULL pointer dereference. We need to check its value before dereferencing it. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firmware: cs_dsp: Use strnlen() on name fields in V1 wmfw files Use strnlen() instead of strlen() on the algorithm and coefficient name string arrays in V1 wmfw files. In V1 wmfw files the name is a NUL-terminated string in a fixed-size array. cs_dsp should protect against overrunning the array if the NUL terminator is missing. Уязвимость функций cs_dsp_coeff_parse_alg() и cs_dsp_coeff_parse_coeff() (drivers/firmware/cirrus/cs_dsp.c) ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: fix slab-use-after-free in cachefiles_withdraw_cookie() We got the following issue in our fault injection stress test: ================================================================== BUG: KASAN: slab-use-after-free in cachefiles_withdraw_cookie+0x4d9/0x600 Read of size 8 at addr ffff888118efc000 by task kworker/u78:0/109 CPU: 13 PID: 109 Comm: kworker/u78:0 Not tainted 6.8.0-dirty #566 Call Trace: <TASK> kasan_report+0x93/0xc0 cachefiles_withdraw_cookie+0x4d9/0x600 fscache_cookie_state_machine+0x5c8/0x1230 fscache_cookie_worker+0x91/0x1c0 process_one_work+0x7fa/0x1800 [...] Allocated by task 117: kmalloc_trace+0x1b3/0x3c0 cachefiles_acquire_volume+0xf3/0x9c0 fscache_create_volume_work+0x97/0x150 process_one_work+0x7fa/0x1800 [...] Freed by task 120301: kfree+0xf1/0x2c0 cachefiles_withdraw_cache+0x3fa/0x920 cachefiles_put_unbind_pincount+0x1f6/0x250 cachefiles_daemon_release+0x13b/0x290 __fput+0x204/0xa00 task_work_run+0x139/0x230 do_exit+0x87a/0x29b0 [...] ================================================================== Following is the process that triggers the issue: p1 | p2 ------------------------------------------------------------ fscache_begin_lookup fscache_begin_volume_access fscache_cache_is_live(fscache_cache) cachefiles_daemon_release cachefiles_put_unbind_pincount cachefiles_daemon_unbind cachefiles_withdraw_cache fscache_withdraw_cache fscache_set_cache_state(cache, FSCACHE_CACHE_IS_WITHDRAWN); cachefiles_withdraw_objects(cache) fscache_wait_for_objects(fscache) atomic_read(&fscache_cache->object_count) == 0 fscache_perform_lookup cachefiles_lookup_cookie cachefiles_alloc_object refcount_set(&object->ref, 1); object->volume = volume fscache_count_object(vcookie->cache); atomic_inc(&fscache_cache->object_count) cachefiles_withdraw_volumes cachefiles_withdraw_volume fscache_withdraw_volume __cachefiles_free_volume kfree(cachefiles_volume) fscache_cookie_state_machine cachefiles_withdraw_cookie cache = object->volume->cache; // cachefiles_volume UAF !!! After setting FSCACHE_CACHE_IS_WITHDRAWN, wait for all the cookie lookups to complete first, and then wait for fscache_cache->object_count == 0 to avoid the cookie exiting after the volume has been freed and triggering the above issue. Therefore call fscache_withdraw_volume() before calling cachefiles_withdraw_objects(). This way, after setting FSCACHE_CACHE_IS_WITHDRAWN, only the following two cases will occur: 1) fscache_begin_lookup fails in fscache_begin_volume_access(). 2) fscache_withdraw_volume() will ensure that fscache_count_object() has been executed before calling fscache_wait_for_objects(). Уязвимость функции cachefiles_withdraw_volumes() в модуле fs/cachefiles/cache.c файловой системы cachefiles ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: fix slab-use-after-free in fscache_withdraw_volume() We got the following issue in our fault injection stress test: ================================================================== BUG: KASAN: slab-use-after-free in fscache_withdraw_volume+0x2e1/0x370 Read of size 4 at addr ffff88810680be08 by task ondemand-04-dae/5798 CPU: 0 PID: 5798 Comm: ondemand-04-dae Not tainted 6.8.0-dirty #565 Call Trace: kasan_check_range+0xf6/0x1b0 fscache_withdraw_volume+0x2e1/0x370 cachefiles_withdraw_volume+0x31/0x50 cachefiles_withdraw_cache+0x3ad/0x900 cachefiles_put_unbind_pincount+0x1f6/0x250 cachefiles_daemon_release+0x13b/0x290 __fput+0x204/0xa00 task_work_run+0x139/0x230 Allocated by task 5820: __kmalloc+0x1df/0x4b0 fscache_alloc_volume+0x70/0x600 __fscache_acquire_volume+0x1c/0x610 erofs_fscache_register_volume+0x96/0x1a0 erofs_fscache_register_fs+0x49a/0x690 erofs_fc_fill_super+0x6c0/0xcc0 vfs_get_super+0xa9/0x140 vfs_get_tree+0x8e/0x300 do_new_mount+0x28c/0x580 [...] Freed by task 5820: kfree+0xf1/0x2c0 fscache_put_volume.part.0+0x5cb/0x9e0 erofs_fscache_unregister_fs+0x157/0x1b0 erofs_kill_sb+0xd9/0x1c0 deactivate_locked_super+0xa3/0x100 vfs_get_super+0x105/0x140 vfs_get_tree+0x8e/0x300 do_new_mount+0x28c/0x580 [...] ================================================================== Following is the process that triggers the issue: mount failed | daemon exit ------------------------------------------------------------ deactivate_locked_super cachefiles_daemon_release erofs_kill_sb erofs_fscache_unregister_fs fscache_relinquish_volume __fscache_relinquish_volume fscache_put_volume(fscache_volume, fscache_volume_put_relinquish) zero = __refcount_dec_and_test(&fscache_volume->ref, &ref); cachefiles_put_unbind_pincount cachefiles_daemon_unbind cachefiles_withdraw_cache cachefiles_withdraw_volumes list_del_init(&volume->cache_link) fscache_free_volume(fscache_volume) cache->ops->free_volume cachefiles_free_volume list_del_init(&cachefiles_volume->cache_link); kfree(fscache_volume) cachefiles_withdraw_volume fscache_withdraw_volume fscache_volume->n_accesses // fscache_volume UAF !!! The fscache_volume in cache->volumes must not have been freed yet, but its reference count may be 0. So use the new fscache_try_get_volume() helper function try to get its reference count. If the reference count of fscache_volume is 0, fscache_put_volume() is freeing it, so wait for it to be removed from cache->volumes. If its reference count is not 0, call cachefiles_withdraw_volume() with reference count protection to avoid the above issue. Уязвимость функции cachefiles_withdraw_volumes() в модуле fs/cachefiles/cache.c файловой системы cachefiles ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix uninit-value in copy_name [syzbot reported] BUG: KMSAN: uninit-value in sized_strscpy+0xc4/0x160 sized_strscpy+0xc4/0x160 copy_name+0x2af/0x320 fs/hfsplus/xattr.c:411 hfsplus_listxattr+0x11e9/0x1a50 fs/hfsplus/xattr.c:750 vfs_listxattr fs/xattr.c:493 [inline] listxattr+0x1f3/0x6b0 fs/xattr.c:840 path_listxattr fs/xattr.c:864 [inline] __do_sys_listxattr fs/xattr.c:876 [inline] __se_sys_listxattr fs/xattr.c:873 [inline] __x64_sys_listxattr+0x16b/0x2f0 fs/xattr.c:873 x64_sys_call+0x2ba0/0x3b50 arch/x86/include/generated/asm/syscalls_64.h:195 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcf/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:3877 [inline] slab_alloc_node mm/slub.c:3918 [inline] kmalloc_trace+0x57b/0xbe0 mm/slub.c:4065 kmalloc include/linux/slab.h:628 [inline] hfsplus_listxattr+0x4cc/0x1a50 fs/hfsplus/xattr.c:699 vfs_listxattr fs/xattr.c:493 [inline] listxattr+0x1f3/0x6b0 fs/xattr.c:840 path_listxattr fs/xattr.c:864 [inline] __do_sys_listxattr fs/xattr.c:876 [inline] __se_sys_listxattr fs/xattr.c:873 [inline] __x64_sys_listxattr+0x16b/0x2f0 fs/xattr.c:873 x64_sys_call+0x2ba0/0x3b50 arch/x86/include/generated/asm/syscalls_64.h:195 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcf/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f [Fix] When allocating memory to strbuf, initialize memory to 0. Уязвимость функции hfsplus_listxattr() в модуле fs/hfsplus/xattr.c файловой системы HFS+ ядра операционной системы Linux связана с [причина возникновения уязвимости]. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/radeon: check bo_va->bo is non-NULL before using it The call to radeon_vm_clear_freed might clear bo_va->bo, so we have to check it before dereferencing it. Уязвимость компонента drm/radeon ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_core: cancel all works upon hci_unregister_dev() syzbot is reporting that calling hci_release_dev() from hci_error_reset() due to hci_dev_put() from hci_error_reset() can cause deadlock at destroy_workqueue(), for hci_error_reset() is called from hdev->req_workqueue which destroy_workqueue() needs to flush. We need to make sure that hdev->{rx_work,cmd_work,tx_work} which are queued into hdev->workqueue and hdev->{power_on,error_reset} which are queued into hdev->req_workqueue are no longer running by the moment destroy_workqueue(hdev->workqueue); destroy_workqueue(hdev->req_workqueue); are called from hci_release_dev(). Call cancel_work_sync() on these work items from hci_unregister_dev() as soon as hdev->list is removed from hci_dev_list. Уязвимость компонента hci_core ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/eeh: avoid possible crash when edev->pdev changes If a PCI device is removed during eeh_pe_report_edev(), edev->pdev will change and can cause a crash, hold the PCI rescan/remove lock while taking a copy of edev->pdev->bus. Уязвимость ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/pseries: Whitelist dtl slub object for copying to userspace Reading the dispatch trace log from /sys/kernel/debug/powerpc/dtl/cpu-* results in a BUG() when the config CONFIG_HARDENED_USERCOPY is enabled as shown below. kernel BUG at mm/usercopy.c:102! Oops: Exception in kernel mode, sig: 5 [#1] LE PAGE_SIZE=64K MMU=Radix SMP NR_CPUS=2048 NUMA pSeries Modules linked in: xfs libcrc32c dm_service_time sd_mod t10_pi sg ibmvfc scsi_transport_fc ibmveth pseries_wdt dm_multipath dm_mirror dm_region_hash dm_log dm_mod fuse CPU: 27 PID: 1815 Comm: python3 Not tainted 6.10.0-rc3 #85 Hardware name: IBM,9040-MRX POWER10 (raw) 0x800200 0xf000006 of:IBM,FW1060.00 (NM1060_042) hv:phyp pSeries NIP: c0000000005d23d4 LR: c0000000005d23d0 CTR: 00000000006ee6f8 REGS: c000000120c078c0 TRAP: 0700 Not tainted (6.10.0-rc3) MSR: 8000000000029033 <SF,EE,ME,IR,DR,RI,LE> CR: 2828220f XER: 0000000e CFAR: c0000000001fdc80 IRQMASK: 0 [ ... GPRs omitted ... ] NIP [c0000000005d23d4] usercopy_abort+0x78/0xb0 LR [c0000000005d23d0] usercopy_abort+0x74/0xb0 Call Trace: usercopy_abort+0x74/0xb0 (unreliable) __check_heap_object+0xf8/0x120 check_heap_object+0x218/0x240 __check_object_size+0x84/0x1a4 dtl_file_read+0x17c/0x2c4 full_proxy_read+0x8c/0x110 vfs_read+0xdc/0x3a0 ksys_read+0x84/0x144 system_call_exception+0x124/0x330 system_call_vectored_common+0x15c/0x2ec --- interrupt: 3000 at 0x7fff81f3ab34 Commit 6d07d1cd300f ("usercopy: Restrict non-usercopy caches to size 0") requires that only whitelisted areas in slab/slub objects can be copied to userspace when usercopy hardening is enabled using CONFIG_HARDENED_USERCOPY. Dtl contains hypervisor dispatch events which are expected to be read by privileged users. Hence mark this safe for user access. Specify useroffset=0 and usersize=DISPATCH_LOG_BYTES to whitelist the entire object. Уязвимость функции alloc_dispatch_log_kmem_cache() (arch/powerpc/platforms/pseries/setup.c) ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ibmvnic: Add tx check to prevent skb leak Below is a summary of how the driver stores a reference to an skb during transmit: tx_buff[free_map[consumer_index]]->skb = new_skb; free_map[consumer_index] = IBMVNIC_INVALID_MAP; consumer_index ++; Where variable data looks like this: free_map == [4, IBMVNIC_INVALID_MAP, IBMVNIC_INVALID_MAP, 0, 3] consumer_index^ tx_buff == [skb=null, skb=<ptr>, skb=<ptr>, skb=null, skb=null] The driver has checks to ensure that free_map[consumer_index] pointed to a valid index but there was no check to ensure that this index pointed to an unused/null skb address. So, if, by some chance, our free_map and tx_buff lists become out of sync then we were previously risking an skb memory leak. This could then cause tcp congestion control to stop sending packets, eventually leading to ETIMEDOUT. Therefore, add a conditional to ensure that the skb address is null. If not then warn the user (because this is still a bug that should be patched) and free the old pointer to prevent memleak/tcp problems. Уязвимость компонента ibmvnic ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/sclp: Fix sclp_init() cleanup on failure If sclp_init() fails it only partially cleans up: if there are multiple failing calls to sclp_init() sclp_state_change_event will be added several times to sclp_reg_list, which results in the following warning: ------------[ cut here ]------------ list_add double add: new=000003ffe1598c10, prev=000003ffe1598bf0, next=000003ffe1598c10. WARNING: CPU: 0 PID: 1 at lib/list_debug.c:35 __list_add_valid_or_report+0xde/0xf8 CPU: 0 PID: 1 Comm: swapper/0 Not tainted 6.10.0-rc3 Krnl PSW : 0404c00180000000 000003ffe0d6076a (__list_add_valid_or_report+0xe2/0xf8) R:0 T:1 IO:0 EX:0 Key:0 M:1 W:0 P:0 AS:3 CC:0 PM:0 RI:0 EA:3 ... Call Trace: [<000003ffe0d6076a>] __list_add_valid_or_report+0xe2/0xf8 ([<000003ffe0d60766>] __list_add_valid_or_report+0xde/0xf8) [<000003ffe0a8d37e>] sclp_init+0x40e/0x450 [<000003ffe00009f2>] do_one_initcall+0x42/0x1e0 [<000003ffe15b77a6>] do_initcalls+0x126/0x150 [<000003ffe15b7a0a>] kernel_init_freeable+0x1ba/0x1f8 [<000003ffe0d6650e>] kernel_init+0x2e/0x180 [<000003ffe000301c>] __ret_from_fork+0x3c/0x60 [<000003ffe0d759ca>] ret_from_fork+0xa/0x30 Fix this by removing sclp_state_change_event from sclp_reg_list when sclp_init() fails. Уязвимость функции sclp_init() (drivers/s390/char/sclp.c) ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: topology: Fix references to freed memory Most users after parsing a topology file, release memory used by it, so having pointer references directly into topology file contents is wrong. Use devm_kmemdup(), to allocate memory as needed. Уязвимость компонента soc-topology.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: wext: add extra SIOCSIWSCAN data check In 'cfg80211_wext_siwscan()', add extra check whether number of channels passed via 'ioctl(sock, SIOCSIWSCAN, ...)' doesn't exceed IW_MAX_FREQUENCIES and reject invalid request with -EINVAL otherwise. Уязвимость компонента scan.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: Set object to close if ondemand_id < 0 in copen If copen is maliciously called in the user mode, it may delete the request corresponding to the random id. And the request may have not been read yet. Note that when the object is set to reopen, the open request will be done with the still reopen state in above case. As a result, the request corresponding to this object is always skipped in select_req function, so the read request is never completed and blocks other process. Fix this issue by simply set object to close if its id < 0 in copen. Уязвимость компонента ondemand.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: add consistency check for copen/cread This prevents malicious processes from completing random copen/cread requests and crashing the system. Added checks are listed below: * Generic, copen can only complete open requests, and cread can only complete read requests. * For copen, ondemand_id must not be 0, because this indicates that the request has not been read by the daemon. * For cread, the object corresponding to fd and req should be the same. Уязвимость компонента ondemand.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSv4: Fix memory leak in nfs4_set_security_label We leak nfs_fattr and nfs4_label every time we set a security xattr. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: null_blk: fix validation of block size Block size should be between 512 and PAGE_SIZE and be a power of 2. The current check does not validate this, so update the check. Without this patch, null_blk would Oops due to a null pointer deref when loaded with bs=1536 [1]. [axboe: remove unnecessary braces and != 0 check] Уязвимость компонента null_blk ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: qgroup: fix quota root leak after quota disable failure If during the quota disable we fail when cleaning the quota tree or when deleting the root from the root tree, we jump to the 'out' label without ever dropping the reference on the quota root, resulting in a leak of the root since fs_info->quota_root is no longer pointing to the root (we have set it to NULL just before those steps). Fix this by always doing a btrfs_put_root() call under the 'out' label. This is a problem that exists since qgroups were first added in 2012 by commit bed92eae26cc ("Btrfs: qgroup implementation and prototypes"), but back then we missed a kfree on the quota root and free_extent_buffer() calls on its root and commit root nodes, since back then roots were not yet reference counted. Уязвимость функции btrfs_quota_disable() компонента btrfs ядра операционных систем Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvmet: always initialize cqe.result The spec doesn't mandate that the first two double words (aka results) for the command queue entry need to be set to 0 when they are not used (not specified). Though, the target implemention returns 0 for TCP and FC but not for RDMA. Let's make RDMA behave the same and thus explicitly initializing the result field. This prevents leaking any data from the stack. Уязвимость компонентов core.c, fabrics-cmd-auth.c, fabrics-cmd.c ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: io_uring: fix possible deadlock in io_register_iowq_max_workers() The io_register_iowq_max_workers() function calls io_put_sq_data(), which acquires the sqd->lock without releasing the uring_lock. Similar to the commit 009ad9f0c6ee ("io_uring: drop ctx->uring_lock before acquiring sqd->lock"), this can lead to a potential deadlock situation. To resolve this issue, the uring_lock is released before calling io_put_sq_data(), and then it is re-acquired after the function call. This change ensures that the locks are acquired in the correct order, preventing the possibility of a deadlock. Уязвимость компонента io_uring ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ila: block BH in ila_output() As explained in commit 1378817486d6 ("tipc: block BH before using dst_cache"), net/core/dst_cache.c helpers need to be called with BH disabled. ila_output() is called from lwtunnel_output() possibly from process context, and under rcu_read_lock(). We might be interrupted by a softirq, re-enter ila_output() and corrupt dst_cache data structures. Fix the race by using local_bh_disable(). Уязвимость функции ila_output() компонента ila ядра операционных систем Linux связана с ошибками управления ресурсом . Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: mcp251xfd: fix infinite loop when xmit fails When the mcp251xfd_start_xmit() function fails, the driver stops processing messages, and the interrupt routine does not return, running indefinitely even after killing the running application. Error messages: [ 441.298819] mcp251xfd spi2.0 can0: ERROR in mcp251xfd_start_xmit: -16 [ 441.306498] mcp251xfd spi2.0 can0: Transmit Event FIFO buffer not empty. (seq=0x000017c7, tef_tail=0x000017cf, tef_head=0x000017d0, tx_head=0x000017d3). ... and repeat forever. The issue can be triggered when multiple devices share the same SPI interface. And there is concurrent access to the bus. The problem occurs because tx_ring->head increments even if mcp251xfd_start_xmit() fails. Consequently, the driver skips one TX package while still expecting a response in mcp251xfd_handle_tefif_one(). Resolve the issue by starting a workqueue to write the tx obj synchronously if err = -EBUSY. In case of another error, decrement tx_ring->head, remove skb from the echo stack, and drop the message. [mkl: use more imperative wording in patch description] Уязвимость компонента mcp251xfd ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/nouveau/dispnv04: fix null pointer dereference in nv17_tv_get_hd_modes In nv17_tv_get_hd_modes(), the return value of drm_mode_duplicate() is assigned to mode, which will lead to a possible NULL pointer dereference on failure of drm_mode_duplicate(). The same applies to drm_cvt_mode(). Add a check to avoid null pointer dereference. Уязвимость функции nv17_tv_get_hd_modes() компонента drivers/gpu/drm/nouveau/dispnv04/tvnv17.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tap: add missing verification for short frame The cited commit missed to check against the validity of the frame length in the tap_get_user_xdp() path, which could cause a corrupted skb to be sent downstack. Even before the skb is transmitted, the tap_get_user_xdp()-->skb_set_network_header() may assume the size is more than ETH_HLEN. Once transmitted, this could either cause out-of-bound access beyond the actual length, or confuse the underlayer with incorrect or inconsistent header length in the skb metadata. In the alternative path, tap_get_user() already prohibits short frame which has the length less than Ethernet header size from being transmitted. This is to drop any frame shorter than the Ethernet header size just like how tap_get_user() does. CVE: CVE-2024-41090 Уязвимость компонента tap.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tun: add missing verification for short frame The cited commit missed to check against the validity of the frame length in the tun_xdp_one() path, which could cause a corrupted skb to be sent downstack. Even before the skb is transmitted, the tun_xdp_one-->eth_type_trans() may access the Ethernet header although it can be less than ETH_HLEN. Once transmitted, this could either cause out-of-bound access beyond the actual length, or confuse the underlayer with incorrect or inconsistent header length in the skb metadata. In the alternative path, tun_get_user() already prohibits short frame which has the length less than Ethernet header size from being transmitted for IFF_TAP. This is to drop any frame shorter than the Ethernet header size just like how tun_get_user() does. CVE: CVE-2024-41091 Уязвимость компонента tun.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: avoid using null object of framebuffer Instead of using state->fb->obj[0] directly, get object from framebuffer by calling drm_gem_fb_get_obj() and return error code when object is null to avoid using null object of framebuffer. Уязвимость компонента drm/amdgpu ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/nouveau/dispnv04: fix null pointer dereference in nv17_tv_get_ld_modes In nv17_tv_get_ld_modes(), the return value of drm_mode_duplicate() is assigned to mode, which will lead to a possible NULL pointer dereference on failure of drm_mode_duplicate(). Add a check to avoid npd. Уязвимость функции nv17_tv_get_ld_modes() компонента drivers/gpu/drm/nouveau/dispnv04/tvnv17.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: atm: cxacru: fix endpoint checking in cxacru_bind() Syzbot is still reporting quite an old issue [1] that occurs due to incomplete checking of present usb endpoints. As such, wrong endpoints types may be used at urb sumbitting stage which in turn triggers a warning in usb_submit_urb(). Fix the issue by verifying that required endpoint types are present for both in and out endpoints, taking into account cmd endpoint type. Unfortunately, this patch has not been tested on real hardware. [1] Syzbot report: usb 1-1: BOGUS urb xfer, pipe 1 != type 3 WARNING: CPU: 0 PID: 8667 at drivers/usb/core/urb.c:502 usb_submit_urb+0xed2/0x18a0 drivers/usb/core/urb.c:502 Modules linked in: CPU: 0 PID: 8667 Comm: kworker/0:4 Not tainted 5.14.0-rc4-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 01/01/2011 Workqueue: usb_hub_wq hub_event RIP: 0010:usb_submit_urb+0xed2/0x18a0 drivers/usb/core/urb.c:502 ... Call Trace: cxacru_cm+0x3c0/0x8e0 drivers/usb/atm/cxacru.c:649 cxacru_card_status+0x22/0xd0 drivers/usb/atm/cxacru.c:760 cxacru_bind+0x7ac/0x11a0 drivers/usb/atm/cxacru.c:1209 usbatm_usb_probe+0x321/0x1ae0 drivers/usb/atm/usbatm.c:1055 cxacru_usb_probe+0xdf/0x1e0 drivers/usb/atm/cxacru.c:1363 usb_probe_interface+0x315/0x7f0 drivers/usb/core/driver.c:396 call_driver_probe drivers/base/dd.c:517 [inline] really_probe+0x23c/0xcd0 drivers/base/dd.c:595 __driver_probe_device+0x338/0x4d0 drivers/base/dd.c:747 driver_probe_device+0x4c/0x1a0 drivers/base/dd.c:777 __device_attach_driver+0x20b/0x2f0 drivers/base/dd.c:894 bus_for_each_drv+0x15f/0x1e0 drivers/base/bus.c:427 __device_attach+0x228/0x4a0 drivers/base/dd.c:965 bus_probe_device+0x1e4/0x290 drivers/base/bus.c:487 device_add+0xc2f/0x2180 drivers/base/core.c:3354 usb_set_configuration+0x113a/0x1910 drivers/usb/core/message.c:2170 usb_generic_driver_probe+0xba/0x100 drivers/usb/core/generic.c:238 usb_probe_device+0xd9/0x2c0 drivers/usb/core/driver.c:293 Уязвимость функции cxacru_bind() компонента drivers/usb/atm/cxacru.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ata: libata-core: Fix null pointer dereference on error If the ata_port_alloc() call in ata_host_alloc() fails, ata_host_release() will get called. However, the code in ata_host_release() tries to free ata_port struct members unconditionally, which can lead to the following: BUG: unable to handle page fault for address: 0000000000003990 PGD 0 P4D 0 Oops: Oops: 0000 [#1] PREEMPT SMP NOPTI CPU: 10 PID: 594 Comm: (udev-worker) Not tainted 6.10.0-rc5 #44 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-2.fc40 04/01/2014 RIP: 0010:ata_host_release.cold+0x2f/0x6e [libata] Code: e4 4d 63 f4 44 89 e2 48 c7 c6 90 ad 32 c0 48 c7 c7 d0 70 33 c0 49 83 c6 0e 41 RSP: 0018:ffffc90000ebb968 EFLAGS: 00010246 RAX: 0000000000000041 RBX: ffff88810fb52e78 RCX: 0000000000000000 RDX: 0000000000000000 RSI: ffff88813b3218c0 RDI: ffff88813b3218c0 RBP: ffff88810fb52e40 R08: 0000000000000000 R09: 6c65725f74736f68 R10: ffffc90000ebb738 R11: 73692033203a746e R12: 0000000000000004 R13: 0000000000000000 R14: 0000000000000011 R15: 0000000000000006 FS: 00007f6cc55b9980(0000) GS:ffff88813b300000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000003990 CR3: 00000001122a2000 CR4: 0000000000750ef0 PKRU: 55555554 Call Trace: <TASK> ? __die_body.cold+0x19/0x27 ? page_fault_oops+0x15a/0x2f0 ? exc_page_fault+0x7e/0x180 ? asm_exc_page_fault+0x26/0x30 ? ata_host_release.cold+0x2f/0x6e [libata] ? ata_host_release.cold+0x2f/0x6e [libata] release_nodes+0x35/0xb0 devres_release_group+0x113/0x140 ata_host_alloc+0xed/0x120 [libata] ata_host_alloc_pinfo+0x14/0xa0 [libata] ahci_init_one+0x6c9/0xd20 [ahci] Do not access ata_port struct members unconditionally. Уязвимость компонента libata-core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 ruby3.1 REXML is an XML toolkit for Ruby. The REXML gem before 3.3.2 has some DoS vulnerabilities when it parses an XML that has many specific characters such as whitespace character, `>]` and `]>`. The REXML gem 3.3.3 or later include the patches to fix these vulnerabilities. Уязвимость набора инструментов XML для языка программирования Ruby связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ruby3.1 REXML is an XML toolkit for Ruby. The REXML gem 3.3.2 has a DoS vulnerability when it parses an XML that has many entity expansions with SAX2 or pull parser API. The REXML gem 3.3.3 or later include the patch to fix the vulnerability. Уязвимость набора инструментов XML для языка программирования Ruby связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Mark bpf prog stack with kmsan_unposion_memory in interpreter mode syzbot reported uninit memory usages during map_{lookup,delete}_elem. ========== BUG: KMSAN: uninit-value in __dev_map_lookup_elem kernel/bpf/devmap.c:441 [inline] BUG: KMSAN: uninit-value in dev_map_lookup_elem+0xf3/0x170 kernel/bpf/devmap.c:796 __dev_map_lookup_elem kernel/bpf/devmap.c:441 [inline] dev_map_lookup_elem+0xf3/0x170 kernel/bpf/devmap.c:796 ____bpf_map_lookup_elem kernel/bpf/helpers.c:42 [inline] bpf_map_lookup_elem+0x5c/0x80 kernel/bpf/helpers.c:38 ___bpf_prog_run+0x13fe/0xe0f0 kernel/bpf/core.c:1997 __bpf_prog_run256+0xb5/0xe0 kernel/bpf/core.c:2237 ========== The reproducer should be in the interpreter mode. The C reproducer is trying to run the following bpf prog: 0: (18) r0 = 0x0 2: (18) r1 = map[id:49] 4: (b7) r8 = 16777216 5: (7b) *(u64 *)(r10 -8) = r8 6: (bf) r2 = r10 7: (07) r2 += -229 ^^^^^^^^^^ 8: (b7) r3 = 8 9: (b7) r4 = 0 10: (85) call dev_map_lookup_elem#1543472 11: (95) exit It is due to the "void *key" (r2) passed to the helper. bpf allows uninit stack memory access for bpf prog with the right privileges. This patch uses kmsan_unpoison_memory() to mark the stack as initialized. This should address different syzbot reports on the uninit "void *key" argument during map_{lookup,delete}_elem. Уязвимость компонента bpf ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Take return from set_memory_ro() into account with bpf_prog_lock_ro() set_memory_ro() can fail, leaving memory unprotected. Check its return and take it into account as an error. Уязвимость компонента bpf ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-252')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: fully validate NFT_DATA_VALUE on store to data registers register store validation for NFT_DATA_VALUE is conditional, however, the datatype is always either NFT_DATA_VALUE or NFT_DATA_VERDICT. This only requires a new helper function to infer the register type from the set datatype so this conditional check can be removed. Otherwise, pointer to chain object can be leaked through the registers. Уязвимость компонента netfilter ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mlxsw: spectrum_buffers: Fix memory corruptions on Spectrum-4 systems The following two shared buffer operations make use of the Shared Buffer Status Register (SBSR): # devlink sb occupancy snapshot pci/0000:01:00.0 # devlink sb occupancy clearmax pci/0000:01:00.0 The register has two masks of 256 bits to denote on which ingress / egress ports the register should operate on. Spectrum-4 has more than 256 ports, so the register was extended by cited commit with a new 'port_page' field. However, when filling the register's payload, the driver specifies the ports as absolute numbers and not relative to the first port of the port page, resulting in memory corruptions [1]. Fix by specifying the ports relative to the first port of the port page. [1] BUG: KASAN: slab-use-after-free in mlxsw_sp_sb_occ_snapshot+0xb6d/0xbc0 Read of size 1 at addr ffff8881068cb00f by task devlink/1566 [...] Call Trace: <TASK> dump_stack_lvl+0xc6/0x120 print_report+0xce/0x670 kasan_report+0xd7/0x110 mlxsw_sp_sb_occ_snapshot+0xb6d/0xbc0 mlxsw_devlink_sb_occ_snapshot+0x75/0xb0 devlink_nl_sb_occ_snapshot_doit+0x1f9/0x2a0 genl_family_rcv_msg_doit+0x20c/0x300 genl_rcv_msg+0x567/0x800 netlink_rcv_skb+0x170/0x450 genl_rcv+0x2d/0x40 netlink_unicast+0x547/0x830 netlink_sendmsg+0x8d4/0xdb0 __sys_sendto+0x49b/0x510 __x64_sys_sendto+0xe5/0x1c0 do_syscall_64+0xc1/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f [...] Allocated by task 1: kasan_save_stack+0x33/0x60 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x8f/0xa0 copy_verifier_state+0xbc2/0xfb0 do_check_common+0x2c51/0xc7e0 bpf_check+0x5107/0x9960 bpf_prog_load+0xf0e/0x2690 __sys_bpf+0x1a61/0x49d0 __x64_sys_bpf+0x7d/0xc0 do_syscall_64+0xc1/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 1: kasan_save_stack+0x33/0x60 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3b/0x60 poison_slab_object+0x109/0x170 __kasan_slab_free+0x14/0x30 kfree+0xca/0x2b0 free_verifier_state+0xce/0x270 do_check_common+0x4828/0xc7e0 bpf_check+0x5107/0x9960 bpf_prog_load+0xf0e/0x2690 __sys_bpf+0x1a61/0x49d0 __x64_sys_bpf+0x7d/0xc0 do_syscall_64+0xc1/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента drivers/net/ethernet/mellanox/mlxsw/spectrum_buffers.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: can: j1939: Initialize unused data in j1939_send_one() syzbot reported kernel-infoleak in raw_recvmsg() [1]. j1939_send_one() creates full frame including unused data, but it doesn't initialize it. This causes the kernel-infoleak issue. Fix this by initializing unused data. [1] BUG: KMSAN: kernel-infoleak in instrument_copy_to_user include/linux/instrumented.h:114 [inline] BUG: KMSAN: kernel-infoleak in copy_to_user_iter lib/iov_iter.c:24 [inline] BUG: KMSAN: kernel-infoleak in iterate_ubuf include/linux/iov_iter.h:29 [inline] BUG: KMSAN: kernel-infoleak in iterate_and_advance2 include/linux/iov_iter.h:245 [inline] BUG: KMSAN: kernel-infoleak in iterate_and_advance include/linux/iov_iter.h:271 [inline] BUG: KMSAN: kernel-infoleak in _copy_to_iter+0x366/0x2520 lib/iov_iter.c:185 instrument_copy_to_user include/linux/instrumented.h:114 [inline] copy_to_user_iter lib/iov_iter.c:24 [inline] iterate_ubuf include/linux/iov_iter.h:29 [inline] iterate_and_advance2 include/linux/iov_iter.h:245 [inline] iterate_and_advance include/linux/iov_iter.h:271 [inline] _copy_to_iter+0x366/0x2520 lib/iov_iter.c:185 copy_to_iter include/linux/uio.h:196 [inline] memcpy_to_msg include/linux/skbuff.h:4113 [inline] raw_recvmsg+0x2b8/0x9e0 net/can/raw.c:1008 sock_recvmsg_nosec net/socket.c:1046 [inline] sock_recvmsg+0x2c4/0x340 net/socket.c:1068 ____sys_recvmsg+0x18a/0x620 net/socket.c:2803 ___sys_recvmsg+0x223/0x840 net/socket.c:2845 do_recvmmsg+0x4fc/0xfd0 net/socket.c:2939 __sys_recvmmsg net/socket.c:3018 [inline] __do_sys_recvmmsg net/socket.c:3041 [inline] __se_sys_recvmmsg net/socket.c:3034 [inline] __x64_sys_recvmmsg+0x397/0x490 net/socket.c:3034 x64_sys_call+0xf6c/0x3b50 arch/x86/include/generated/asm/syscalls_64.h:300 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcf/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:3804 [inline] slab_alloc_node mm/slub.c:3845 [inline] kmem_cache_alloc_node+0x613/0xc50 mm/slub.c:3888 kmalloc_reserve+0x13d/0x4a0 net/core/skbuff.c:577 __alloc_skb+0x35b/0x7a0 net/core/skbuff.c:668 alloc_skb include/linux/skbuff.h:1313 [inline] alloc_skb_with_frags+0xc8/0xbf0 net/core/skbuff.c:6504 sock_alloc_send_pskb+0xa81/0xbf0 net/core/sock.c:2795 sock_alloc_send_skb include/net/sock.h:1842 [inline] j1939_sk_alloc_skb net/can/j1939/socket.c:878 [inline] j1939_sk_send_loop net/can/j1939/socket.c:1142 [inline] j1939_sk_sendmsg+0xc0a/0x2730 net/can/j1939/socket.c:1277 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x30f/0x380 net/socket.c:745 ____sys_sendmsg+0x877/0xb60 net/socket.c:2584 ___sys_sendmsg+0x28d/0x3c0 net/socket.c:2638 __sys_sendmsg net/socket.c:2667 [inline] __do_sys_sendmsg net/socket.c:2676 [inline] __se_sys_sendmsg net/socket.c:2674 [inline] __x64_sys_sendmsg+0x307/0x4a0 net/socket.c:2674 x64_sys_call+0xc4b/0x3b50 arch/x86/include/generated/asm/syscalls_64.h:47 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcf/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Bytes 12-15 of 16 are uninitialized Memory access of size 16 starts at ffff888120969690 Data copied to user address 00000000200017c0 CPU: 1 PID: 5050 Comm: syz-executor198 Not tainted 6.9.0-rc5-syzkaller-00031-g71b1543c83d6 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 Уязвимость компонента net/can/j1939/main.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix DIO failure due to insufficient transaction credits The code in ocfs2_dio_end_io_write() estimates number of necessary transaction credits using ocfs2_calc_extend_credits(). This however does not take into account that the IO could be arbitrarily large and can contain arbitrary number of extents. Extent tree manipulations do often extend the current transaction but not in all of the cases. For example if we have only single block extents in the tree, ocfs2_mark_extent_written() will end up calling ocfs2_replace_extent_rec() all the time and we will never extend the current transaction and eventually exhaust all the transaction credits if the IO contains many single block extents. Once that happens a WARN_ON(jbd2_handle_buffer_credits(handle) <= 0) is triggered in jbd2_journal_dirty_metadata() and subsequently OCFS2 aborts in response to this error. This was actually triggered by one of our customers on a heavily fragmented OCFS2 filesystem. To fix the issue make sure the transaction always has enough credits for one extent insert before each call of ocfs2_mark_extent_written(). Heming Zhao said: ------ PANIC: "Kernel panic - not syncing: OCFS2: (device dm-1): panic forced after error" PID: xxx TASK: xxxx CPU: 5 COMMAND: "SubmitThread-CA" #0 machine_kexec at ffffffff8c069932 #1 __crash_kexec at ffffffff8c1338fa #2 panic at ffffffff8c1d69b9 #3 ocfs2_handle_error at ffffffffc0c86c0c [ocfs2] #4 __ocfs2_abort at ffffffffc0c88387 [ocfs2] #5 ocfs2_journal_dirty at ffffffffc0c51e98 [ocfs2] #6 ocfs2_split_extent at ffffffffc0c27ea3 [ocfs2] #7 ocfs2_change_extent_flag at ffffffffc0c28053 [ocfs2] #8 ocfs2_mark_extent_written at ffffffffc0c28347 [ocfs2] #9 ocfs2_dio_end_io_write at ffffffffc0c2bef9 [ocfs2] #10 ocfs2_dio_end_io at ffffffffc0c2c0f5 [ocfs2] #11 dio_complete at ffffffff8c2b9fa7 #12 do_blockdev_direct_IO at ffffffff8c2bc09f #13 ocfs2_direct_IO at ffffffffc0c2b653 [ocfs2] #14 generic_file_direct_write at ffffffff8c1dcf14 #15 __generic_file_write_iter at ffffffff8c1dd07b #16 ocfs2_file_write_iter at ffffffffc0c49f1f [ocfs2] #17 aio_write at ffffffff8c2cc72e #18 kmem_cache_alloc at ffffffff8c248dde #19 do_io_submit at ffffffff8c2ccada #20 do_syscall_64 at ffffffff8c004984 #21 entry_SYSCALL_64_after_hwframe at ffffffff8c8000ba Уязвимость компонента fs/ocfs2 ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/restrack: Fix potential invalid address access struct rdma_restrack_entry's kern_name was set to KBUILD_MODNAME in ib_create_cq(), while if the module exited but forgot del this rdma_restrack_entry, it would cause a invalid address access in rdma_restrack_clean() when print the owner of this rdma_restrack_entry. These code is used to help find one forgotten PD release in one of the ULPs. But it is not needed anymore, so delete them. Уязвимость компонента RDMA/restrack ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xdp: Remove WARN() from __xdp_reg_mem_model() syzkaller reports a warning in __xdp_reg_mem_model(). The warning occurs only if __mem_id_init_hash_table() returns an error. It returns the error in two cases: 1. memory allocation fails; 2. rhashtable_init() fails when some fields of rhashtable_params struct are not initialized properly. The second case cannot happen since there is a static const rhashtable_params struct with valid fields. So, warning is only triggered when there is a problem with memory allocation. Thus, there is no sense in using WARN() to handle this error and it can be safely removed. WARNING: CPU: 0 PID: 5065 at net/core/xdp.c:299 __xdp_reg_mem_model+0x2d9/0x650 net/core/xdp.c:299 CPU: 0 PID: 5065 Comm: syz-executor883 Not tainted 6.8.0-syzkaller-05271-gf99c5f563c17 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 RIP: 0010:__xdp_reg_mem_model+0x2d9/0x650 net/core/xdp.c:299 Call Trace: xdp_reg_mem_model+0x22/0x40 net/core/xdp.c:344 xdp_test_run_setup net/bpf/test_run.c:188 [inline] bpf_test_run_xdp_live+0x365/0x1e90 net/bpf/test_run.c:377 bpf_prog_test_run_xdp+0x813/0x11b0 net/bpf/test_run.c:1267 bpf_prog_test_run+0x33a/0x3b0 kernel/bpf/syscall.c:4240 __sys_bpf+0x48d/0x810 kernel/bpf/syscall.c:5649 __do_sys_bpf kernel/bpf/syscall.c:5738 [inline] __se_sys_bpf kernel/bpf/syscall.c:5736 [inline] __x64_sys_bpf+0x7c/0x90 kernel/bpf/syscall.c:5736 do_syscall_64+0xfb/0x240 entry_SYSCALL_64_after_hwframe+0x6d/0x75 Found by Linux Verification Center (linuxtesting.org) with syzkaller. Уязвимость компонента xdp ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ftruncate: pass a signed offset The old ftruncate() syscall, using the 32-bit off_t misses a sign extension when called in compat mode on 64-bit architectures. As a result, passing a negative length accidentally succeeds in truncating to file size between 2GiB and 4GiB. Changing the type of the compat syscall to the signed compat_off_t changes the behavior so it instead returns -EINVAL. The native entry point, the truncate() syscall and the corresponding loff_t based variants are all correct already and do not suffer from this mistake. Уязвимость компонентов open.c, compat.h, syscalls.h ядра операционной системы Linux связана с ошибками обработки входных данных при выполнении синтаксического анализа кода. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: core: remove lock of otg mode during gadget suspend/resume to avoid deadlock When config CONFIG_USB_DWC3_DUAL_ROLE is selected, and trigger system to enter suspend status with below command: echo mem > /sys/power/state There will be a deadlock issue occurring. Detailed invoking path as below: dwc3_suspend_common() spin_lock_irqsave(&dwc->lock, flags); <-- 1st dwc3_gadget_suspend(dwc); dwc3_gadget_soft_disconnect(dwc); spin_lock_irqsave(&dwc->lock, flags); <-- 2nd This issue is exposed by commit c7ebd8149ee5 ("usb: dwc3: gadget: Fix NULL pointer dereference in dwc3_gadget_suspend") that removes the code of checking whether dwc->gadget_driver is NULL or not. It causes the following code is executed and deadlock occurs when trying to get the spinlock. In fact, the root cause is the commit 5265397f9442("usb: dwc3: Remove DWC3 locking during gadget suspend/resume") that forgot to remove the lock of otg mode. So, remove the redundant lock of otg mode during gadget suspend/resume. Уязвимость компонента drivers/usb/dwc3/core.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: chemical: bme680: Fix overflows in compensate() functions There are cases in the compensate functions of the driver that there could be overflows of variables due to bit shifting ops. These implications were initially discussed here [1] and they were mentioned in log message of Commit 1b3bd8592780 ("iio: chemical: Add support for Bosch BME680 sensor"). [1]: https://lore.kernel.org/linux-iio/20180728114028.3c1bbe81@archlinux/ Уязвимость компонента bme680_core.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/panel: ilitek-ili9881c: Fix warning with GPIO controllers that sleep The ilitek-ili9881c controls the reset GPIO using the non-sleeping gpiod_set_value() function. This complains loudly when the GPIO controller needs to sleep. As the caller can sleep, use gpiod_set_value_cansleep() to fix the issue. Уязвимость компонента panel-ilitek-ili9881c.c ядра операционной системы Linux связана с неполным распознаванием внутреннего состояния. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: fsl-asoc-card: set priv->pdev before using it priv->pdev pointer was set after being used in fsl_asoc_card_audmux_init(). Move this assignment at the start of the probe function, so sub-functions can correctly use pdev through priv. fsl_asoc_card_audmux_init() dereferences priv->pdev to get access to the dev struct, used with dev_err macros. As priv is zero-initialised, there would be a NULL pointer dereference. Note that if priv->dev is dereferenced before assignment but never used, for example if there is no error to be printed, the driver won't crash probably due to compiler optimisations. Уязвимость функции fsl_asoc_card_probe() (sound/soc/fsl/fsl-asoc-card.c) компонента AsoC ядра операционных систем Linux связана с разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: fix deadlock in create_pinctrl() when handling -EPROBE_DEFER In create_pinctrl(), pinctrl_maps_mutex is acquired before calling add_setting(). If add_setting() returns -EPROBE_DEFER, create_pinctrl() calls pinctrl_free(). However, pinctrl_free() attempts to acquire pinctrl_maps_mutex, which is already held by create_pinctrl(), leading to a potential deadlock. This patch resolves the issue by releasing pinctrl_maps_mutex before calling pinctrl_free(), preventing the deadlock. This bug was discovered and resolved using Coverity Static Analysis Security Testing (SAST) by Synopsys, Inc. Уязвимость функции create_pinctrl() компонента drivers/pinctrl/core.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gpio: davinci: Validate the obtained number of IRQs Value of pdata->gpio_unbanked is taken from Device Tree. In case of broken DT due to any error this value can be any. Without this value validation there can be out of chips->irqs array boundaries access in davinci_gpio_probe(). Validate the obtained nirq value so that it won't exceed the maximum number of IRQs per bank. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции davinci_gpio_probe() компонента gpio ядра операционных систем Linux связана с недостаточной проверкой входных данных . Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: 8250_omap: Implementation of Errata i2310 As per Errata i2310[0], Erroneous timeout can be triggered, if this Erroneous interrupt is not cleared then it may leads to storm of interrupts, therefore apply Errata i2310 solution. [0] https://www.ti.com/lit/pdf/sprz536 page 23 Уязвимость компонента serial ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86: stop playing stack games in profile_pc() The 'profile_pc()' function is used for timer-based profiling, which isn't really all that relevant any more to begin with, but it also ends up making assumptions based on the stack layout that aren't necessarily valid. Basically, the code tries to account the time spent in spinlocks to the caller rather than the spinlock, and while I support that as a concept, it's not worth the code complexity or the KASAN warnings when no serious profiling is done using timers anyway these days. And the code really does depend on stack layout that is only true in the simplest of cases. We've lost the comment at some point (I think when the 32-bit and 64-bit code was unified), but it used to say: Assume the lock function has either no stack frame or a copy of eflags from PUSHF. which explains why it just blindly loads a word or two straight off the stack pointer and then takes a minimal look at the values to just check if they might be eflags or the return pc: Eflags always has bits 22 and up cleared unlike kernel addresses but that basic stack layout assumption assumes that there isn't any lock debugging etc going on that would complicate the code and cause a stack frame. It causes KASAN unhappiness reported for years by syzkaller [1] and others [2]. With no real practical reason for this any more, just remove the code. Just for historical interest, here's some background commits relating to this code from 2006: 0cb91a229364 ("i386: Account spinlocks to the caller during profiling for !FP kernels") 31679f38d886 ("Simplify profile_pc on x86-64") and a code unification from 2009: ef4512882dbe ("x86: time_32/64.c unify profile_pc") but the basics of this thing actually goes back to before the git tree. Уязвимость компонента x86 ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: emux: improve patch ioctl data validation In load_data(), make the validation of and skipping over the main info block match that in load_guspatch(). In load_guspatch(), add checking that the specified patch length matches the actually supplied data, like load_data() already did. Уязвимость компонента ALSA ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: ecdh - explicitly zeroize private_key private_key is overwritten with the key parameter passed in by the caller (if present), or alternatively a newly generated private key. However, it is possible that the caller provides a key (or the newly generated key) which is shorter than the previous key. In that scenario, some key material from the previous key would not be overwritten. The easiest solution is to explicitly zeroize the entire private_key array first. Note that this patch slightly changes the behavior of this function: previously, if the ecc_gen_privkey failed, the old private_key would remain. Now, the private_key is always zeroized. This behavior is consistent with the case where params.key is set and ecc_is_key_valid fails. Уязвимость компонента crypto ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/nouveau: fix null pointer dereference in nouveau_connector_get_modes In nouveau_connector_get_modes(), the return value of drm_mode_duplicate() is assigned to mode, which will lead to a possible NULL pointer dereference on failure of drm_mode_duplicate(). Add a check to avoid npd. Уязвимость функции nouveau_connector_get_mode() компонента drivers/gpu/drm/nouveau/nouveau_connector.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Revert "mm/writeback: fix possible divide-by-zero in wb_dirty_limits(), again" Patch series "mm: Avoid possible overflows in dirty throttling". Dirty throttling logic assumes dirty limits in page units fit into 32-bits. This patch series makes sure this is true (see patch 2/2 for more details). This patch (of 2): This reverts commit 9319b647902cbd5cc884ac08a8a6d54ce111fc78. The commit is broken in several ways. Firstly, the removed (u64) cast from the multiplication will introduce a multiplication overflow on 32-bit archs if wb_thresh * bg_thresh >= 1<<32 (which is actually common - the default settings with 4GB of RAM will trigger this). Secondly, the div64_u64() is unnecessarily expensive on 32-bit archs. We have div64_ul() in case we want to be safe & cheap. Thirdly, if dirty thresholds are larger than 1<<32 pages, then dirty balancing is going to blow up in many other spectacular ways anyway so trying to fix one possible overflow is just moot. Уязвимость компонента mm/page-writeback.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: add missing check for inode numbers on directory entries Syzbot reported that mounting and unmounting a specific pattern of corrupted nilfs2 filesystem images causes a use-after-free of metadata file inodes, which triggers a kernel bug in lru_add_fn(). As Jan Kara pointed out, this is because the link count of a metadata file gets corrupted to 0, and nilfs_evict_inode(), which is called from iput(), tries to delete that inode (ifile inode in this case). The inconsistency occurs because directories containing the inode numbers of these metadata files that should not be visible in the namespace are read without checking. Fix this issue by treating the inode numbers of these internal files as errors in the sanity check helper when reading directory folios/pages. Also thanks to Hillf Danton and Matthew Wilcox for their initial mm-layer analysis. Уязвимость функции nilfs_check_folio() в модуле fs/nilfs2/dir.c файловой системы nilfs2 ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix inode number range checks Patch series "nilfs2: fix potential issues related to reserved inodes". This series fixes one use-after-free issue reported by syzbot, caused by nilfs2's internal inode being exposed in the namespace on a corrupted filesystem, and a couple of flaws that cause problems if the starting number of non-reserved inodes written in the on-disk super block is intentionally (or corruptly) changed from its default value. This patch (of 3): In the current implementation of nilfs2, "nilfs->ns_first_ino", which gives the first non-reserved inode number, is read from the superblock, but its lower limit is not checked. As a result, if a number that overlaps with the inode number range of reserved inodes such as the root directory or metadata files is set in the super block parameter, the inode number test macros (NILFS_MDT_INODE and NILFS_VALID_INODE) will not function properly. In addition, these test macros use left bit-shift calculations using with the inode number as the shift count via the BIT macro, but the result of a shift calculation that exceeds the bit width of an integer is undefined in the C specification, so if "ns_first_ino" is set to a large value other than the default value NILFS_USER_INO (=11), the macros may potentially malfunction depending on the environment. Fix these issues by checking the lower bound of "nilfs->ns_first_ino" and by preventing bit shifts equal to or greater than the NILFS_USER_INO constant in the inode number test macros. Also, change the type of "ns_first_ino" from signed integer to unsigned integer to avoid the need for type casting in comparisons such as the lower bound check introduced this time. Уязвимость компонента nilfs2 ядра операционной системы Linux связана с ошибками использования после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: inet_diag: Initialize pad field in struct inet_diag_req_v2 KMSAN reported uninit-value access in raw_lookup() [1]. Diag for raw sockets uses the pad field in struct inet_diag_req_v2 for the underlying protocol. This field corresponds to the sdiag_raw_protocol field in struct inet_diag_req_raw. inet_diag_get_exact_compat() converts inet_diag_req to inet_diag_req_v2, but leaves the pad field uninitialized. So the issue occurs when raw_lookup() accesses the sdiag_raw_protocol field. Fix this by initializing the pad field in inet_diag_get_exact_compat(). Also, do the same fix in inet_diag_dump_compat() to avoid the similar issue in the future. [1] BUG: KMSAN: uninit-value in raw_lookup net/ipv4/raw_diag.c:49 [inline] BUG: KMSAN: uninit-value in raw_sock_get+0x657/0x800 net/ipv4/raw_diag.c:71 raw_lookup net/ipv4/raw_diag.c:49 [inline] raw_sock_get+0x657/0x800 net/ipv4/raw_diag.c:71 raw_diag_dump_one+0xa1/0x660 net/ipv4/raw_diag.c:99 inet_diag_cmd_exact+0x7d9/0x980 inet_diag_get_exact_compat net/ipv4/inet_diag.c:1404 [inline] inet_diag_rcv_msg_compat+0x469/0x530 net/ipv4/inet_diag.c:1426 sock_diag_rcv_msg+0x23d/0x740 net/core/sock_diag.c:282 netlink_rcv_skb+0x537/0x670 net/netlink/af_netlink.c:2564 sock_diag_rcv+0x35/0x40 net/core/sock_diag.c:297 netlink_unicast_kernel net/netlink/af_netlink.c:1335 [inline] netlink_unicast+0xe74/0x1240 net/netlink/af_netlink.c:1361 netlink_sendmsg+0x10c6/0x1260 net/netlink/af_netlink.c:1905 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x332/0x3d0 net/socket.c:745 ____sys_sendmsg+0x7f0/0xb70 net/socket.c:2585 ___sys_sendmsg+0x271/0x3b0 net/socket.c:2639 __sys_sendmsg net/socket.c:2668 [inline] __do_sys_sendmsg net/socket.c:2677 [inline] __se_sys_sendmsg net/socket.c:2675 [inline] __x64_sys_sendmsg+0x27e/0x4a0 net/socket.c:2675 x64_sys_call+0x135e/0x3ce0 arch/x86/include/generated/asm/syscalls_64.h:47 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xd9/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was stored to memory at: raw_sock_get+0x650/0x800 net/ipv4/raw_diag.c:71 raw_diag_dump_one+0xa1/0x660 net/ipv4/raw_diag.c:99 inet_diag_cmd_exact+0x7d9/0x980 inet_diag_get_exact_compat net/ipv4/inet_diag.c:1404 [inline] inet_diag_rcv_msg_compat+0x469/0x530 net/ipv4/inet_diag.c:1426 sock_diag_rcv_msg+0x23d/0x740 net/core/sock_diag.c:282 netlink_rcv_skb+0x537/0x670 net/netlink/af_netlink.c:2564 sock_diag_rcv+0x35/0x40 net/core/sock_diag.c:297 netlink_unicast_kernel net/netlink/af_netlink.c:1335 [inline] netlink_unicast+0xe74/0x1240 net/netlink/af_netlink.c:1361 netlink_sendmsg+0x10c6/0x1260 net/netlink/af_netlink.c:1905 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x332/0x3d0 net/socket.c:745 ____sys_sendmsg+0x7f0/0xb70 net/socket.c:2585 ___sys_sendmsg+0x271/0x3b0 net/socket.c:2639 __sys_sendmsg net/socket.c:2668 [inline] __do_sys_sendmsg net/socket.c:2677 [inline] __se_sys_sendmsg net/socket.c:2675 [inline] __x64_sys_sendmsg+0x27e/0x4a0 net/socket.c:2675 x64_sys_call+0x135e/0x3ce0 arch/x86/include/generated/asm/syscalls_64.h:47 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xd9/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Local variable req.i created at: inet_diag_get_exact_compat net/ipv4/inet_diag.c:1396 [inline] inet_diag_rcv_msg_compat+0x2a6/0x530 net/ipv4/inet_diag.c:1426 sock_diag_rcv_msg+0x23d/0x740 net/core/sock_diag.c:282 CPU: 1 PID: 8888 Comm: syz-executor.6 Not tainted 6.10.0-rc4-00217-g35bb670d65fc #32 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-2.fc40 04/01/2014 Уязвимость компонента inet_diag ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: unconditionally flush pending work before notifier syzbot reports: KASAN: slab-uaf in nft_ctx_update include/net/netfilter/nf_tables.h:1831 KASAN: slab-uaf in nft_commit_release net/netfilter/nf_tables_api.c:9530 KASAN: slab-uaf int nf_tables_trans_destroy_work+0x152b/0x1750 net/netfilter/nf_tables_api.c:9597 Read of size 2 at addr ffff88802b0051c4 by task kworker/1:1/45 [..] Workqueue: events nf_tables_trans_destroy_work Call Trace: nft_ctx_update include/net/netfilter/nf_tables.h:1831 [inline] nft_commit_release net/netfilter/nf_tables_api.c:9530 [inline] nf_tables_trans_destroy_work+0x152b/0x1750 net/netfilter/nf_tables_api.c:9597 Problem is that the notifier does a conditional flush, but its possible that the table-to-be-removed is still referenced by transactions being processed by the worker, so we need to flush unconditionally. We could make the flush_work depend on whether we found a table to delete in nf-next to avoid the flush for most cases. AFAICS this problem is only exposed in nf-next, with commit e169285f8c56 ("netfilter: nf_tables: do not store nft_ctx in transaction objects"), with this commit applied there is an unconditional fetch of table->family which is whats triggering the above splat. Уязвимость компонента net/netfilter/nf_tables_api.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ntb_netdev: Move ntb_netdev_rx_handler() to call netif_rx() from __netif_rx() The following is emitted when using idxd (DSA) dmanegine as the data mover for ntb_transport that ntb_netdev uses. [74412.546922] BUG: using smp_processor_id() in preemptible [00000000] code: irq/52-idxd-por/14526 [74412.556784] caller is netif_rx_internal+0x42/0x130 [74412.562282] CPU: 6 PID: 14526 Comm: irq/52-idxd-por Not tainted 6.9.5 #5 [74412.569870] Hardware name: Intel Corporation ArcherCity/ArcherCity, BIOS EGSDCRB1.E9I.1752.P05.2402080856 02/08/2024 [74412.581699] Call Trace: [74412.584514] <TASK> [74412.586933] dump_stack_lvl+0x55/0x70 [74412.591129] check_preemption_disabled+0xc8/0xf0 [74412.596374] netif_rx_internal+0x42/0x130 [74412.600957] __netif_rx+0x20/0xd0 [74412.604743] ntb_netdev_rx_handler+0x66/0x150 [ntb_netdev] [74412.610985] ntb_complete_rxc+0xed/0x140 [ntb_transport] [74412.617010] ntb_rx_copy_callback+0x53/0x80 [ntb_transport] [74412.623332] idxd_dma_complete_txd+0xe3/0x160 [idxd] [74412.628963] idxd_wq_thread+0x1a6/0x2b0 [idxd] [74412.634046] irq_thread_fn+0x21/0x60 [74412.638134] ? irq_thread+0xa8/0x290 [74412.642218] irq_thread+0x1a0/0x290 [74412.646212] ? __pfx_irq_thread_fn+0x10/0x10 [74412.651071] ? __pfx_irq_thread_dtor+0x10/0x10 [74412.656117] ? __pfx_irq_thread+0x10/0x10 [74412.660686] kthread+0x100/0x130 [74412.664384] ? __pfx_kthread+0x10/0x10 [74412.668639] ret_from_fork+0x31/0x50 [74412.672716] ? __pfx_kthread+0x10/0x10 [74412.676978] ret_from_fork_asm+0x1a/0x30 [74412.681457] </TASK> The cause is due to the idxd driver interrupt completion handler uses threaded interrupt and the threaded handler is not hard or soft interrupt context. However __netif_rx() can only be called from interrupt context. Change the call to netif_rx() in order to allow completion via normal context for dmaengine drivers that utilize threaded irq handling. While the following commit changed from netif_rx() to __netif_rx(), baebdf48c360 ("net: dev: Makes sure netif_rx() can be invoked in any context."), the change should've been a noop instead. However, the code precedes this fix should've been using netif_rx_ni() or netif_rx_any_context(). Уязвимость компонента ntb_netdev.c ядра операционной системы Linux связана с неполным распознаванием внутреннего состояния. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: restrict NL80211_ATTR_TXQ_QUANTUM values syzbot is able to trigger softlockups, setting NL80211_ATTR_TXQ_QUANTUM to 2^31. We had a similar issue in sch_fq, fixed with commit d9e15a273306 ("pkt_sched: fq: do not accept silly TCA_FQ_QUANTUM") watchdog: BUG: soft lockup - CPU#1 stuck for 26s! [kworker/1:0:24] Modules linked in: irq event stamp: 131135 hardirqs last enabled at (131134): [<ffff80008ae8778c>] __exit_to_kernel_mode arch/arm64/kernel/entry-common.c:85 [inline] hardirqs last enabled at (131134): [<ffff80008ae8778c>] exit_to_kernel_mode+0xdc/0x10c arch/arm64/kernel/entry-common.c:95 hardirqs last disabled at (131135): [<ffff80008ae85378>] __el1_irq arch/arm64/kernel/entry-common.c:533 [inline] hardirqs last disabled at (131135): [<ffff80008ae85378>] el1_interrupt+0x24/0x68 arch/arm64/kernel/entry-common.c:551 softirqs last enabled at (125892): [<ffff80008907e82c>] neigh_hh_init net/core/neighbour.c:1538 [inline] softirqs last enabled at (125892): [<ffff80008907e82c>] neigh_resolve_output+0x268/0x658 net/core/neighbour.c:1553 softirqs last disabled at (125896): [<ffff80008904166c>] local_bh_disable+0x10/0x34 include/linux/bottom_half.h:19 CPU: 1 PID: 24 Comm: kworker/1:0 Not tainted 6.9.0-rc7-syzkaller-gfda5695d692c #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 Workqueue: mld mld_ifc_work pstate: 80400005 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : __list_del include/linux/list.h:195 [inline] pc : __list_del_entry include/linux/list.h:218 [inline] pc : list_move_tail include/linux/list.h:310 [inline] pc : fq_tin_dequeue include/net/fq_impl.h:112 [inline] pc : ieee80211_tx_dequeue+0x6b8/0x3b4c net/mac80211/tx.c:3854 lr : __list_del_entry include/linux/list.h:218 [inline] lr : list_move_tail include/linux/list.h:310 [inline] lr : fq_tin_dequeue include/net/fq_impl.h:112 [inline] lr : ieee80211_tx_dequeue+0x67c/0x3b4c net/mac80211/tx.c:3854 sp : ffff800093d36700 x29: ffff800093d36a60 x28: ffff800093d36960 x27: dfff800000000000 x26: ffff0000d800ad50 x25: ffff0000d800abe0 x24: ffff0000d800abf0 x23: ffff0000e0032468 x22: ffff0000e00324d4 x21: ffff0000d800abf0 x20: ffff0000d800abf8 x19: ffff0000d800abf0 x18: ffff800093d363c0 x17: 000000000000d476 x16: ffff8000805519dc x15: ffff7000127a6cc8 x14: 1ffff000127a6cc8 x13: 0000000000000004 x12: ffffffffffffffff x11: ffff7000127a6cc8 x10: 0000000000ff0100 x9 : 0000000000000000 x8 : 0000000000000000 x7 : 0000000000000000 x6 : 0000000000000000 x5 : ffff80009287aa08 x4 : 0000000000000008 x3 : ffff80008034c7fc x2 : ffff0000e0032468 x1 : 00000000da0e46b8 x0 : ffff0000e0032470 Call trace: __list_del include/linux/list.h:195 [inline] __list_del_entry include/linux/list.h:218 [inline] list_move_tail include/linux/list.h:310 [inline] fq_tin_dequeue include/net/fq_impl.h:112 [inline] ieee80211_tx_dequeue+0x6b8/0x3b4c net/mac80211/tx.c:3854 wake_tx_push_queue net/mac80211/util.c:294 [inline] ieee80211_handle_wake_tx_queue+0x118/0x274 net/mac80211/util.c:315 drv_wake_tx_queue net/mac80211/driver-ops.h:1350 [inline] schedule_and_wake_txq net/mac80211/driver-ops.h:1357 [inline] ieee80211_queue_skb+0x18e8/0x2244 net/mac80211/tx.c:1664 ieee80211_tx+0x260/0x400 net/mac80211/tx.c:1966 ieee80211_xmit+0x278/0x354 net/mac80211/tx.c:2062 __ieee80211_subif_start_xmit+0xab8/0x122c net/mac80211/tx.c:4338 ieee80211_subif_start_xmit+0xe0/0x438 net/mac80211/tx.c:4532 __netdev_start_xmit include/linux/netdevice.h:4903 [inline] netdev_start_xmit include/linux/netdevice.h:4917 [inline] xmit_one net/core/dev.c:3531 [inline] dev_hard_start_xmit+0x27c/0x938 net/core/dev.c:3547 __dev_queue_xmit+0x1678/0x33fc net/core/dev.c:4341 dev_queue_xmit include/linux/netdevice.h:3091 [inline] neigh_resolve_output+0x558/0x658 net/core/neighbour.c:1563 neigh_output include/net/neighbour.h:542 [inline] ip6_fini ---truncated--- Уязвимость компонента wifi ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jffs2: Fix potential illegal address access in jffs2_free_inode During the stress testing of the jffs2 file system,the following abnormal printouts were found: [ 2430.649000] Unable to handle kernel paging request at virtual address 0069696969696948 [ 2430.649622] Mem abort info: [ 2430.649829] ESR = 0x96000004 [ 2430.650115] EC = 0x25: DABT (current EL), IL = 32 bits [ 2430.650564] SET = 0, FnV = 0 [ 2430.650795] EA = 0, S1PTW = 0 [ 2430.651032] FSC = 0x04: level 0 translation fault [ 2430.651446] Data abort info: [ 2430.651683] ISV = 0, ISS = 0x00000004 [ 2430.652001] CM = 0, WnR = 0 [ 2430.652558] [0069696969696948] address between user and kernel address ranges [ 2430.653265] Internal error: Oops: 96000004 [#1] PREEMPT SMP [ 2430.654512] CPU: 2 PID: 20919 Comm: cat Not tainted 5.15.25-g512f31242bf6 #33 [ 2430.655008] Hardware name: linux,dummy-virt (DT) [ 2430.655517] pstate: 20000005 (nzCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 2430.656142] pc : kfree+0x78/0x348 [ 2430.656630] lr : jffs2_free_inode+0x24/0x48 [ 2430.657051] sp : ffff800009eebd10 [ 2430.657355] x29: ffff800009eebd10 x28: 0000000000000001 x27: 0000000000000000 [ 2430.658327] x26: ffff000038f09d80 x25: 0080000000000000 x24: ffff800009d38000 [ 2430.658919] x23: 5a5a5a5a5a5a5a5a x22: ffff000038f09d80 x21: ffff8000084f0d14 [ 2430.659434] x20: ffff0000bf9a6ac0 x19: 0169696969696940 x18: 0000000000000000 [ 2430.659969] x17: ffff8000b6506000 x16: ffff800009eec000 x15: 0000000000004000 [ 2430.660637] x14: 0000000000000000 x13: 00000001000820a1 x12: 00000000000d1b19 [ 2430.661345] x11: 0004000800000000 x10: 0000000000000001 x9 : ffff8000084f0d14 [ 2430.662025] x8 : ffff0000bf9a6b40 x7 : ffff0000bf9a6b48 x6 : 0000000003470302 [ 2430.662695] x5 : ffff00002e41dcc0 x4 : ffff0000bf9aa3b0 x3 : 0000000003470342 [ 2430.663486] x2 : 0000000000000000 x1 : ffff8000084f0d14 x0 : fffffc0000000000 [ 2430.664217] Call trace: [ 2430.664528] kfree+0x78/0x348 [ 2430.664855] jffs2_free_inode+0x24/0x48 [ 2430.665233] i_callback+0x24/0x50 [ 2430.665528] rcu_do_batch+0x1ac/0x448 [ 2430.665892] rcu_core+0x28c/0x3c8 [ 2430.666151] rcu_core_si+0x18/0x28 [ 2430.666473] __do_softirq+0x138/0x3cc [ 2430.666781] irq_exit+0xf0/0x110 [ 2430.667065] handle_domain_irq+0x6c/0x98 [ 2430.667447] gic_handle_irq+0xac/0xe8 [ 2430.667739] call_on_irq_stack+0x28/0x54 The parameter passed to kfree was 5a5a5a5a, which corresponds to the target field of the jffs_inode_info structure. It was found that all variables in the jffs_inode_info structure were 5a5a5a5a, except for the first member sem. It is suspected that these variables are not initialized because they were set to 5a5a5a5a during memory testing, which is meant to detect uninitialized memory.The sem variable is initialized in the function jffs2_i_init_once, while other members are initialized in the function jffs2_init_inode_info. The function jffs2_init_inode_info is called after iget_locked, but in the iget_locked function, the destroy_inode process is triggered, which releases the inode and consequently, the target member of the inode is not initialized.In concurrent high pressure scenarios, iget_locked may enter the destroy_inode branch as described in the code. Since the destroy_inode functionality of jffs2 only releases the target, the fix method is to set target to NULL in jffs2_i_init_once. Уязвимость функции jffs2_free_inode() компонента jffs2 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Skip finding free audio for unknown engine_id [WHY] ENGINE_ID_UNKNOWN = -1 and can not be used as an array index. Plus, it also means it is uninitialized and does not need free audio. [HOW] Skip and return NULL. This fixes 2 OVERRUN issues reported by Coverity. Уязвимость компонента dc_resource.c ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check pipe offset before setting vblank pipe_ctx has a size of MAX_PIPES so checking its index before accessing the array. This fixes an OVERRUN issue reported by Coverity. Уязвимость компонента irq_service_dce110.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check index msg_id before read or write [WHAT] msg_id is used as an array index and it cannot be a negative value, and therefore cannot be equal to MOD_HDCP_MESSAGE_ID_INVALID (-1). [HOW] Check whether msg_id is valid before reading and setting. This fixes 4 OVERRUN issues reported by Coverity. Уязвимость компонента hdcp_ddc.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qedf: Make qedf_execute_tmf() non-preemptible Stop calling smp_processor_id() from preemptible code in qedf_execute_tmf90. This results in BUG_ON() when running an RT kernel. [ 659.343280] BUG: using smp_processor_id() in preemptible [00000000] code: sg_reset/3646 [ 659.343282] caller is qedf_execute_tmf+0x8b/0x360 [qedf] Уязвимость компонента qedf_io.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc: Avoid nmi_enter/nmi_exit in real mode interrupt. nmi_enter()/nmi_exit() touches per cpu variables which can lead to kernel crash when invoked during real mode interrupt handling (e.g. early HMI/MCE interrupt handler) if percpu allocation comes from vmalloc area. Early HMI/MCE handlers are called through DEFINE_INTERRUPT_HANDLER_NMI() wrapper which invokes nmi_enter/nmi_exit calls. We don't see any issue when percpu allocation is from the embedded first chunk. However with CONFIG_NEED_PER_CPU_PAGE_FIRST_CHUNK enabled there are chances where percpu allocation can come from the vmalloc area. With kernel command line "percpu_alloc=page" we can force percpu allocation to come from vmalloc area and can see kernel crash in machine_check_early: [ 1.215714] NIP [c000000000e49eb4] rcu_nmi_enter+0x24/0x110 [ 1.215717] LR [c0000000000461a0] machine_check_early+0xf0/0x2c0 [ 1.215719] --- interrupt: 200 [ 1.215720] [c000000fffd73180] [0000000000000000] 0x0 (unreliable) [ 1.215722] [c000000fffd731b0] [0000000000000000] 0x0 [ 1.215724] [c000000fffd73210] [c000000000008364] machine_check_early_common+0x134/0x1f8 Fix this by avoiding use of nmi_enter()/nmi_exit() in real mode if percpu first chunk is not embedded. Уязвимость компонентов interrupt.h, percpu.h, setup_64.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/lima: fix shared irq handling on driver remove lima uses a shared interrupt, so the interrupt handlers must be prepared to be called at any time. At driver removal time, the clocks are disabled early and the interrupts stay registered until the very end of the remove process due to the devm usage. This is potentially a bug as the interrupts access device registers which assumes clocks are enabled. A crash can be triggered by removing the driver in a kernel with CONFIG_DEBUG_SHIRQ enabled. This patch frees the interrupts at each lima device finishing callback so that the handlers are already unregistered by the time we fully disable clocks. Уязвимость компонентов drm/lima ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: avoid overflows in dirty throttling logic The dirty throttling logic is interspersed with assumptions that dirty limits in PAGE_SIZE units fit into 32-bit (so that various multiplications fit into 64-bits). If limits end up being larger, we will hit overflows, possible divisions by 0 etc. Fix these problems by never allowing so large dirty limits as they have dubious practical value anyway. For dirty_bytes / dirty_background_bytes interfaces we can just refuse to set so large limits. For dirty_ratio / dirty_background_ratio it isn't so simple as the dirty limit is computed from the amount of available memory which can change due to memory hotplug etc. So when converting dirty limits from ratios to numbers of pages, we just don't allow the result to exceed UINT_MAX. This is root-only triggerable problem which occurs when the operator sets dirty limits to >16 TB. Уязвимость компонента mm ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cdrom: rearrange last_media_change check to avoid unintentional overflow When running syzkaller with the newly reintroduced signed integer wrap sanitizer we encounter this splat: [ 366.015950] UBSAN: signed-integer-overflow in ../drivers/cdrom/cdrom.c:2361:33 [ 366.021089] -9223372036854775808 - 346321 cannot be represented in type '__s64' (aka 'long long') [ 366.025894] program syz-executor.4 is using a deprecated SCSI ioctl, please convert it to SG_IO [ 366.027502] CPU: 5 PID: 28472 Comm: syz-executor.7 Not tainted 6.8.0-rc2-00035-gb3ef86b5a957 #1 [ 366.027512] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 366.027518] Call Trace: [ 366.027523] <TASK> [ 366.027533] dump_stack_lvl+0x93/0xd0 [ 366.027899] handle_overflow+0x171/0x1b0 [ 366.038787] ata1.00: invalid multi_count 32 ignored [ 366.043924] cdrom_ioctl+0x2c3f/0x2d10 [ 366.063932] ? __pm_runtime_resume+0xe6/0x130 [ 366.071923] sr_block_ioctl+0x15d/0x1d0 [ 366.074624] ? __pfx_sr_block_ioctl+0x10/0x10 [ 366.077642] blkdev_ioctl+0x419/0x500 [ 366.080231] ? __pfx_blkdev_ioctl+0x10/0x10 ... Historically, the signed integer overflow sanitizer did not work in the kernel due to its interaction with `-fwrapv` but this has since been changed [1] in the newest version of Clang. It was re-enabled in the kernel with Commit 557f8c582a9ba8ab ("ubsan: Reintroduce signed overflow sanitizer"). Let's rearrange the check to not perform any arithmetic, thus not tripping the sanitizer. Уязвимость функции cdrom_ioctl_timed_media_change() компонента drivers/cdrom/cdrom.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: qca: Fix BT enable failure again for QCA6390 after warm reboot Commit 272970be3dab ("Bluetooth: hci_qca: Fix driver shutdown on closed serdev") will cause below regression issue: BT can't be enabled after below steps: cold boot -> enable BT -> disable BT -> warm reboot -> BT enable failure if property enable-gpios is not configured within DT|ACPI for QCA6390. The commit is to fix a use-after-free issue within qca_serdev_shutdown() by adding condition to avoid the serdev is flushed or wrote after closed but also introduces this regression issue regarding above steps since the VSC is not sent to reset controller during warm reboot. Fixed by sending the VSC to reset controller within qca_serdev_shutdown() once BT was ever enabled, and the use-after-free issue is also fixed by this change since the serdev is still opened before it is flushed or wrote. Verified by the reported machine Dell XPS 13 9310 laptop over below two kernel commits: commit e00fc2700a3f ("Bluetooth: btusb: Fix triggering coredump implementation for QCA") of bluetooth-next tree. commit b23d98d46d28 ("Bluetooth: btusb: Fix triggering coredump implementation for QCA") of linus mainline tree. Уязвимость функции qca_serdev_shutdown компонента drivers/bluetooth/hci_qca.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mlxsw: core_linecards: Fix double memory deallocation in case of invalid INI file In case of invalid INI file mlxsw_linecard_types_init() deallocates memory but doesn't reset pointer to NULL and returns 0. In case of any error occurred after mlxsw_linecard_types_init() call, mlxsw_linecards_init() calls mlxsw_linecard_types_fini() which performs memory deallocation again. Add pointer reset to NULL. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции mlxsw_linecard_types_init() компонента drivers/net/ethernet/mellanox/mlxsw/core_linecards.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: riscv: kexec: Avoid deadlock in kexec crash path If the kexec crash code is called in the interrupt context, the machine_kexec_mask_interrupts() function will trigger a deadlock while trying to acquire the irqdesc spinlock and then deactivate irqchip in irq_set_irqchip_state() function. Unlike arm64, riscv only requires irq_eoi handler to complete EOI and keeping irq_set_irqchip_state() will only leave this possible deadlock without any use. So we simply remove it. Уязвимость компонента arch/riscv/kernel/machine_kexec.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: E-switch, Create ingress ACL when needed Currently, ingress acl is used for three features. It is created only when vport metadata match and prio tag are enabled. But active-backup lag mode also uses it. It is independent of vport metadata match and prio tag. And vport metadata match can be disabled using the following devlink command: # devlink dev param set pci/0000:08:00.0 name esw_port_metadata \ value false cmode runtime If ingress acl is not created, will hit panic when creating drop rule for active-backup lag mode. If always create it, there will be about 5% performance degradation. Fix it by creating ingress acl when needed. If esw_port_metadata is true, ingress acl exists, then create drop rule using existing ingress acl. If esw_port_metadata is false, create ingress acl and then create drop rule. Уязвимость компонента drivers/net/ethernet/mellanox/mlx5/core/esw/acl/ingress_ofld.c ядра операционной системы Linux связана с использованием неинициализированной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: IB/core: Implement a limit on UMAD receive List The existing behavior of ib_umad, which maintains received MAD packets in an unbounded list, poses a risk of uncontrolled growth. As user-space applications extract packets from this list, the rate of extraction may not match the rate of incoming packets, leading to potential list overflow. To address this, we introduce a limit to the size of the list. After considering typical scenarios, such as OpenSM processing, which can handle approximately 100k packets per second, and the 1-second retry timeout for most packets, we set the list size limit to 200k. Packets received beyond this limit are dropped, assuming they are likely timed out by the time they are handled by user-space. Notably, packets queued on the receive list due to reasons like timed-out sends are preserved even when the list is full. Уязвимость компонента drivers/infiniband/core/user_mad.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: hisilicon/debugfs - Fix debugfs uninit process issue During the zip probe process, the debugfs failure does not stop the probe. When debugfs initialization fails, jumping to the error branch will also release regs, in addition to its own rollback operation. As a result, it may be released repeatedly during the regs uninit process. Therefore, the null check needs to be added to the regs uninit process. Уязвимость компонента drivers/crypto/hisilicon/debugfs.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bnx2x: Fix multiple UBSAN array-index-out-of-bounds Fix UBSAN warnings that occur when using a system with 32 physical cpu cores or more, or when the user defines a number of Ethernet queues greater than or equal to FP_SB_MAX_E1x using the num_queues module parameter. Currently there is a read/write out of bounds that occurs on the array "struct stats_query_entry query" present inside the "bnx2x_fw_stats_req" struct in "drivers/net/ethernet/broadcom/bnx2x/bnx2x.h". Looking at the definition of the "struct stats_query_entry query" array: struct stats_query_entry query[FP_SB_MAX_E1x+ BNX2X_FIRST_QUEUE_QUERY_IDX]; FP_SB_MAX_E1x is defined as the maximum number of fast path interrupts and has a value of 16, while BNX2X_FIRST_QUEUE_QUERY_IDX has a value of 3 meaning the array has a total size of 19. Since accesses to "struct stats_query_entry query" are offset-ted by BNX2X_FIRST_QUEUE_QUERY_IDX, that means that the total number of Ethernet queues should not exceed FP_SB_MAX_E1x (16). However one of these queues is reserved for FCOE and thus the number of Ethernet queues should be set to [FP_SB_MAX_E1x -1] (15) if FCOE is enabled or [FP_SB_MAX_E1x] (16) if it is not. This is also described in a comment in the source code in drivers/net/ethernet/broadcom/bnx2x/bnx2x.h just above the Macro definition of FP_SB_MAX_E1x. Below is the part of this explanation that it important for this patch /* * The total number of L2 queues, MSIX vectors and HW contexts (CIDs) is * control by the number of fast-path status blocks supported by the * device (HW/FW). Each fast-path status block (FP-SB) aka non-default * status block represents an independent interrupts context that can * serve a regular L2 networking queue. However special L2 queues such * as the FCoE queue do not require a FP-SB and other components like * the CNIC may consume FP-SB reducing the number of possible L2 queues * * If the maximum number of FP-SB available is X then: * a. If CNIC is supported it consumes 1 FP-SB thus the max number of * regular L2 queues is Y=X-1 * b. In MF mode the actual number of L2 queues is Y= (X-1/MF_factor) * c. If the FCoE L2 queue is supported the actual number of L2 queues * is Y+1 * d. The number of irqs (MSIX vectors) is either Y+1 (one extra for * slow-path interrupts) or Y+2 if CNIC is supported (one additional * FP interrupt context for the CNIC). * e. The number of HW context (CID count) is always X or X+1 if FCoE * L2 queue is supported. The cid for the FCoE L2 queue is always X. */ However this driver also supports NICs that use the E2 controller which can handle more queues due to having more FP-SB represented by FP_SB_MAX_E2. Looking at the commits when the E2 support was added, it was originally using the E1x parameters: commit f2e0899f0f27 ("bnx2x: Add 57712 support"). Back then FP_SB_MAX_E2 was set to 16 the same as E1x. However the driver was later updated to take full advantage of the E2 instead of having it be limited to the capabilities of the E1x. But as far as we can tell, the array "stats_query_entry query" was still limited to using the FP-SB available to the E1x cards as part of an oversignt when the driver was updated to take full advantage of the E2, and now with the driver being aware of the greater queue size supported by E2 NICs, it causes the UBSAN warnings seen in the stack traces below. This patch increases the size of the "stats_query_entry query" array by replacing FP_SB_MAX_E1x with FP_SB_MAX_E2 to be large enough to handle both types of NICs. Stack traces: UBSAN: array-index-out-of-bounds in drivers/net/ethernet/broadcom/bnx2x/bnx2x_stats.c:1529:11 index 20 is out of range for type 'stats_query_entry [19]' CPU: 12 PID: 858 Comm: systemd-network Not tainted 6.9.0-060900rc7-generic #202405052133 Hardware name: HP ProLiant DL360 Gen9/ProLiant DL360 ---truncated--- Уязвимость структуры bnx2x_fw_stats_req в модуле drivers/net/ethernet/broadcom/bnx2x/bnx2x.h драйвера QLogix bnx2 ядра операционной системы Linux связана с некорректным вычислением индекса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvmet: fix a possible leak when destroy a ctrl during qp establishment In nvmet_sq_destroy we capture sq->ctrl early and if it is non-NULL we know that a ctrl was allocated (in the admin connect request handler) and we need to release pending AERs, clear ctrl->sqs and sq->ctrl (for nvme-loop primarily), and drop the final reference on the ctrl. However, a small window is possible where nvmet_sq_destroy starts (as a result of the client giving up and disconnecting) concurrently with the nvme admin connect cmd (which may be in an early stage). But *before* kill_and_confirm of sq->ref (i.e. the admin connect managed to get an sq live reference). In this case, sq->ctrl was allocated however after it was captured in a local variable in nvmet_sq_destroy. This prevented the final reference drop on the ctrl. Solve this by re-capturing the sq->ctrl after all inflight request has completed, where for sure sq->ctrl reference is final, and move forward based on that. This issue was observed in an environment with many hosts connecting multiple ctrls simoutanuosly, creating a delay in allocating a ctrl leading up to this race window. Уязвимость компонента drivers/nvme/target/core.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i2c: pnx: Fix potential deadlock warning from del_timer_sync() call in isr When del_timer_sync() is called in an interrupt context it throws a warning because of potential deadlock. The timer is used only to exit from wait_for_completion() after a timeout so replacing the call with wait_for_completion_timeout() allows to remove the problematic timer and its related functions altogether. Уязвимость компонента drivers/i2c/busses/i2c-pnx.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/pkey: Wipe sensitive data on failure Wipe sensitive data from stack also if the copy_to_user() fails. Уязвимость функции copy_to_user компонента s390 ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N', score=4.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: dvb-frontends: tda10048: Fix integer overflow state->xtal_hz can be up to 16M, so it can overflow a 32 bit integer when multiplied by pll_mfactor. Create a new 64 bit variable to hold the calculations. Уязвимость компонента drivers/media/dvb-frontends/tda10048.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Using uninitialized value *size when calling amdgpu_vce_cs_reloc Initialize the size before calling amdgpu_vce_cs_reloc, such as case 0x03000001. V2: To really improve the handling we would actually need to have a separate value of 0xffffffff.(Christian) Уязвимость функции amdgpu_vce_ring_parse_cs() компонента drivers/gpu/drm/amd/amdgpu/amdgpu_vce.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: aead,cipher - zeroize key buffer after use I.G 9.7.B for FIPS 140-3 specifies that variables temporarily holding cryptographic information should be zeroized once they are no longer needed. Accomplish this by using kfree_sensitive for buffers that previously held the private key. Уязвимость компонента crypto ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N', score=4.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/pseries: Fix scv instruction crash with kexec kexec on pseries disables AIL (reloc_on_exc), required for scv instruction support, before other CPUs have been shut down. This means they can execute scv instructions after AIL is disabled, which causes an interrupt at an unexpected entry location that crashes the kernel. Change the kexec sequence to disable AIL after other CPUs have been brought down. As a refresher, the real-mode scv interrupt vector is 0x17000, and the fixed-location head code probably couldn't easily deal with implementing such high addresses so it was just decided not to support that interrupt at all. Уязвимость ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: libceph: fix race between delayed_work() and ceph_monc_stop() The way the delayed work is handled in ceph_monc_stop() is prone to races with mon_fault() and possibly also finish_hunting(). Both of these can requeue the delayed work which wouldn't be canceled by any of the following code in case that happens after cancel_delayed_work_sync() runs -- __close_session() doesn't mess with the delayed work in order to avoid interfering with the hunting interval logic. This part was missed in commit b5d91704f53e ("libceph: behave in mon_fault() if cur_mon < 0") and use-after-free can still ensue on monc and objects that hang off of it, with monc->auth and monc->monmap being particularly susceptible to quickly being reused. To fix this: - clear monc->cur_mon and monc->hunting as part of closing the session in ceph_monc_stop() - bail from delayed_work() if monc->cur_mon is cleared, similar to how it's done in mon_fault() and finish_hunting() (based on monc->hunting) - call cancel_delayed_work_sync() after the session is closed Уязвимость функции ceph_monc_stop() компонента net/ceph/mon_client.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: configfs: Prevent OOB read/write in usb_string_copy() Userspace provided string 's' could trivially have the length zero. Left unchecked this will firstly result in an OOB read in the form `if (str[0 - 1] == '\n') followed closely by an OOB write in the form `str[0 - 1] = '\0'`. There is already a validating check to catch strings that are too long. Let's supply an additional check for invalid strings that are too short. Уязвимость функции usb_string_copy() компонента drivers/usb/gadget/configfs.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firmware: cs_dsp: Validate payload length before processing block Move the payload length check in cs_dsp_load() and cs_dsp_coeff_load() to be done before the block is processed. The check that the length of a block payload does not exceed the number of remaining bytes in the firwmware file buffer was being done near the end of the loop iteration. However, some code before that check used the length field without validating it. Уязвимость компонента drivers/firmware/cirrus/cs_dsp.c ядра операционной системы Linux связана с чрезмерным итерированием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-834')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firmware: cs_dsp: Return error if block header overflows file Return an error from cs_dsp_power_up() if a block header is longer than the amount of data left in the file. The previous code in cs_dsp_load() and cs_dsp_load_coeff() would loop while there was enough data left in the file for a valid region. This protected against overrunning the end of the file data, but it didn't abort the file processing with an error. Уязвимость функции cs_dsp_load() компонента drivers/firmware/cirrus/cs_dsp.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/bhi: Avoid warning in #DB handler due to BHI mitigation When BHI mitigation is enabled, if SYSENTER is invoked with the TF flag set then entry_SYSENTER_compat() uses CLEAR_BRANCH_HISTORY and calls the clear_bhb_loop() before the TF flag is cleared. This causes the #DB handler (exc_debug_kernel()) to issue a warning because single-step is used outside the entry_SYSENTER_compat() function. To address this issue, entry_SYSENTER_compat() should use CLEAR_BRANCH_HISTORY after making sure the TF flag is cleared. The problem can be reproduced with the following sequence: $ cat sysenter_step.c int main() { asm("pushf; pop %ax; bts $8,%ax; push %ax; popf; sysenter"); } $ gcc -o sysenter_step sysenter_step.c $ ./sysenter_step Segmentation fault (core dumped) The program is expected to crash, and the #DB handler will issue a warning. Kernel log: WARNING: CPU: 27 PID: 7000 at arch/x86/kernel/traps.c:1009 exc_debug_kernel+0xd2/0x160 ... RIP: 0010:exc_debug_kernel+0xd2/0x160 ... Call Trace: <#DB> ? show_regs+0x68/0x80 ? __warn+0x8c/0x140 ? exc_debug_kernel+0xd2/0x160 ? report_bug+0x175/0x1a0 ? handle_bug+0x44/0x90 ? exc_invalid_op+0x1c/0x70 ? asm_exc_invalid_op+0x1f/0x30 ? exc_debug_kernel+0xd2/0x160 exc_debug+0x43/0x50 asm_exc_debug+0x1e/0x40 RIP: 0010:clear_bhb_loop+0x0/0xb0 ... </#DB> <TASK> ? entry_SYSENTER_compat_after_hwframe+0x6e/0x8d </TASK> [ bp: Massage commit message. ] Уязвимость функции entry_SYSCALL_compat() в модуле arch/x86/entry/entry_64_compat.S ядра операционной системы Linux на платформе x86 связана с бесконечным циклом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: USB: serial: mos7840: fix crash on resume Since commit c49cfa917025 ("USB: serial: use generic method if no alternative is provided in usb serial layer"), USB serial core calls the generic resume implementation when the driver has not provided one. This can trigger a crash on resume with mos7840 since support for multiple read URBs was added back in 2011. Specifically, both port read URBs are now submitted on resume for open ports, but the context pointer of the second URB is left set to the core rather than mos7840 port structure. Fix this by implementing dedicated suspend and resume functions for mos7840. Tested with Delock 87414 USB 2.0 to 4x serial adapter. [ johan: analyse crash and rewrite commit message; set busy flag on resume; drop bulk-in check; drop unnecessary usb_kill_urb() ] Уязвимость структуры moschip7840_4port_device компонента drivers/usb/serial/mos7840.c ядра операционной системы Linux связана с использованием функции с несогласованными реализациями. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Revert "sched/fair: Make sure to try to detach at least one movable task" This reverts commit b0defa7ae03ecf91b8bfd10ede430cff12fcbd06. b0defa7ae03ec changed the load balancing logic to ignore env.max_loop if all tasks examined to that point were pinned. The goal of the patch was to make it more likely to be able to detach a task buried in a long list of pinned tasks. However, this has the unfortunate side effect of creating an O(n) iteration in detach_tasks(), as we now must fully iterate every task on a cpu if all or most are pinned. Since this load balance code is done with rq lock held, and often in softirq context, it is very easy to trigger hard lockups. We observed such hard lockups with a user who affined O(10k) threads to a single cpu. When I discussed this with Vincent he initially suggested that we keep the limit on the number of tasks to detach, but increase the number of tasks we can search. However, after some back and forth on the mailing list, he recommended we instead revert the original patch, as it seems likely no one was actually getting hit by the original issue. Уязвимость компонента kernel/sched/fair.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net, sunrpc: Remap EPERM in case of connection failure in xs_tcp_setup_socket When using a BPF program on kernel_connect(), the call can return -EPERM. This causes xs_tcp_setup_socket() to loop forever, filling up the syslog and causing the kernel to potentially freeze up. Neil suggested: This will propagate -EPERM up into other layers which might not be ready to handle it. It might be safer to map EPERM to an error we would be more likely to expect from the network system - such as ECONNREFUSED or ENETDOWN. ECONNREFUSED as error seems reasonable. For programs setting a different error can be out of reach (see handling in 4fbac77d2d09) in particular on kernels which do not have f10d05966196 ("bpf: Make BPF_PROG_RUN_ARRAY return -err instead of allow boolean"), thus given that it is better to simply remap for consistent behavior. UDP does handle EPERM in xs_udp_send_request(). Уязвимость компонента net ядра операционной системы Linux связана с бесконечным циклом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wireguard: allowedips: avoid unaligned 64-bit memory accesses On the parisc platform, the kernel issues kernel warnings because swap_endian() tries to load a 128-bit IPv6 address from an unaligned memory location: Kernel: unaligned access to 0x55f4688c in wg_allowedips_insert_v6+0x2c/0x80 [wireguard] (iir 0xf3010df) Kernel: unaligned access to 0x55f46884 in wg_allowedips_insert_v6+0x38/0x80 [wireguard] (iir 0xf2010dc) Avoid such unaligned memory accesses by instead using the get_unaligned_be64() helper macro. [Jason: replace src[8] in original patch with src+8] Уязвимость функции swap_endian() в модуле drivers/net/wireguard/allowedips.c подсистемы WireGuard ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: closures: Change BUG_ON() to WARN_ON() If a BUG_ON() can be hit in the wild, it shouldn't be a BUG_ON() For reference, this has popped up once in the CI, and we'll need more info to debug it: 03240 ------------[ cut here ]------------ 03240 kernel BUG at lib/closure.c:21! 03240 kernel BUG at lib/closure.c:21! 03240 Internal error: Oops - BUG: 00000000f2000800 [#1] SMP 03240 Modules linked in: 03240 CPU: 15 PID: 40534 Comm: kworker/u80:1 Not tainted 6.10.0-rc4-ktest-ga56da69799bd #25570 03240 Hardware name: linux,dummy-virt (DT) 03240 Workqueue: btree_update btree_interior_update_work 03240 pstate: 00001005 (nzcv daif -PAN -UAO -TCO -DIT +SSBS BTYPE=--) 03240 pc : closure_put+0x224/0x2a0 03240 lr : closure_put+0x24/0x2a0 03240 sp : ffff0000d12071c0 03240 x29: ffff0000d12071c0 x28: dfff800000000000 x27: ffff0000d1207360 03240 x26: 0000000000000040 x25: 0000000000000040 x24: 0000000000000040 03240 x23: ffff0000c1f20180 x22: 0000000000000000 x21: ffff0000c1f20168 03240 x20: 0000000040000000 x19: ffff0000c1f20140 x18: 0000000000000001 03240 x17: 0000000000003aa0 x16: 0000000000003ad0 x15: 1fffe0001c326974 03240 x14: 0000000000000a1e x13: 0000000000000000 x12: 1fffe000183e402d 03240 x11: ffff6000183e402d x10: dfff800000000000 x9 : ffff6000183e402e 03240 x8 : 0000000000000001 x7 : 00009fffe7c1bfd3 x6 : ffff0000c1f2016b 03240 x5 : ffff0000c1f20168 x4 : ffff6000183e402e x3 : ffff800081391954 03240 x2 : 0000000000000001 x1 : 0000000000000000 x0 : 00000000a8000000 03240 Call trace: 03240 closure_put+0x224/0x2a0 03240 bch2_check_for_deadlock+0x910/0x1028 03240 bch2_six_check_for_deadlock+0x1c/0x30 03240 six_lock_slowpath.isra.0+0x29c/0xed0 03240 six_lock_ip_waiter+0xa8/0xf8 03240 __bch2_btree_node_lock_write+0x14c/0x298 03240 bch2_trans_lock_write+0x6d4/0xb10 03240 __bch2_trans_commit+0x135c/0x5520 03240 btree_interior_update_work+0x1248/0x1c10 03240 process_scheduled_works+0x53c/0xd90 03240 worker_thread+0x370/0x8c8 03240 kthread+0x258/0x2e8 03240 ret_from_fork+0x10/0x20 03240 Code: aa1303e0 d63f0020 a94363f7 17ffff8c (d4210000) 03240 ---[ end trace 0000000000000000 ]--- 03240 Kernel panic - not syncing: Oops - BUG: Fatal exception 03240 SMP: stopping secondary CPUs 03241 SMP: failed to stop secondary CPUs 13,15 03241 Kernel Offset: disabled 03241 CPU features: 0x00,00000003,80000008,4240500b 03241 Memory Limit: none 03241 ---[ end Kernel panic - not syncing: Oops - BUG: Fatal exception ]--- 03246 ========= FAILED TIMEOUT copygc_torture_no_checksum in 7200s Уязвимость компонента closures ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gpio: pca953x: fix pca953x_irq_bus_sync_unlock race Ensure that `i2c_lock' is held when setting interrupt latch and mask in pca953x_irq_bus_sync_unlock() in order to avoid races. The other (non-probe) call site pca953x_gpio_set_multiple() ensures the lock is held before calling pca953x_write_regs(). The problem occurred when a request raced against irq_bus_sync_unlock() approximately once per thousand reboots on an i.MX8MP based system. * Normal case 0-0022: write register AI|3a {03,02,00,00,01} Input latch P0 0-0022: write register AI|49 {fc,fd,ff,ff,fe} Interrupt mask P0 0-0022: write register AI|08 {ff,00,00,00,00} Output P3 0-0022: write register AI|12 {fc,00,00,00,00} Config P3 * Race case 0-0022: write register AI|08 {ff,00,00,00,00} Output P3 0-0022: write register AI|08 {03,02,00,00,01} *** Wrong register *** 0-0022: write register AI|12 {fc,00,00,00,00} Config P3 0-0022: write register AI|49 {fc,fd,ff,ff,fe} Interrupt mask P0 Уязвимость функции pca953x_irq_bus_sync_unlock() ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: huge_memory: use !CONFIG_64BIT to relax huge page alignment on 32 bit machines Yves-Alexis Perez reported commit 4ef9ad19e176 ("mm: huge_memory: don't force huge page alignment on 32 bit") didn't work for x86_32 [1]. It is because x86_32 uses CONFIG_X86_32 instead of CONFIG_32BIT. !CONFIG_64BIT should cover all 32 bit machines. [1] https://lore.kernel.org/linux-mm/CAHbLzkr1LwH3pcTgM+aGQ31ip2bKqiqEQ8=FQB+t2c3dhNKNHA@mail.gmail.com/ Уязвимость компонента mm/huge_memory.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/i915/gem: Fix Virtual Memory mapping boundaries calculation Calculating the size of the mapped area as the lesser value between the requested size and the actual size does not consider the partial mapping offset. This can cause page fault access. Fix the calculation of the starting and ending addresses, the total size is now deduced from the difference between the end and start addresses. Additionally, the calculations have been rewritten in a clearer and more understandable form. [Joonas: Add Requires: tag] Requires: 60a2066c5005 ("drm/i915/gem: Adjust vma offset for framebuffer mmap offset") (cherry picked from commit 97b6784753da06d9d40232328efc5c5367e53417) Уязвимость компонентов drm/i915/gem ядра операционной системы Linux связана с повреждением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: protect the fetch of ->fd[fd] in do_dup2() from mispredictions both callers have verified that fd is not greater than ->max_fds; however, misprediction might end up with tofree = fdt->fd[fd]; being speculatively executed. That's wrong for the same reasons why it's wrong in close_fd()/file_close_fd_locked(); the same solution applies - array_index_nospec(fd, fdt->max_fds) could differ from fd only in case of speculative execution on mispredicted path. Уязвимость компонентов fs/file ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: riscv/mm: Add handling for VM_FAULT_SIGSEGV in mm_fault_error() Handle VM_FAULT_SIGSEGV in the page fault path so that we correctly kill the process and we don't BUG() the kernel. Уязвимость компонента fault.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Fix missing lock on sync reset reload On sync reset reload work, when remote host updates devlink on reload actions performed on that host, it misses taking devlink lock before calling devlink_remote_reload_actions_performed() which results in triggering lock assert like the following: WARNING: CPU: 4 PID: 1164 at net/devlink/core.c:261 devl_assert_locked+0x3e/0x50 … CPU: 4 PID: 1164 Comm: kworker/u96:6 Tainted: G S W 6.10.0-rc2+ #116 Hardware name: Supermicro SYS-2028TP-DECTR/X10DRT-PT, BIOS 2.0 12/18/2015 Workqueue: mlx5_fw_reset_events mlx5_sync_reset_reload_work [mlx5_core] RIP: 0010:devl_assert_locked+0x3e/0x50 … Call Trace: <TASK> ? __warn+0xa4/0x210 ? devl_assert_locked+0x3e/0x50 ? report_bug+0x160/0x280 ? handle_bug+0x3f/0x80 ? exc_invalid_op+0x17/0x40 ? asm_exc_invalid_op+0x1a/0x20 ? devl_assert_locked+0x3e/0x50 devlink_notify+0x88/0x2b0 ? mlx5_attach_device+0x20c/0x230 [mlx5_core] ? __pfx_devlink_notify+0x10/0x10 ? process_one_work+0x4b6/0xbb0 process_one_work+0x4b6/0xbb0 […] Уязвимость компонента drivers/net/ethernet/mellanox/mlx5/core/fw_reset.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: iptables: Fix potential null-ptr-deref in ip6table_nat_table_init(). ip6table_nat_table_init() accesses net->gen->ptr[ip6table_nat_net_ops.id], but the function is exposed to user space before the entry is allocated via register_pernet_subsys(). Let's call register_pernet_subsys() before xt_register_template(). Уязвимость компонента netfilter ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: iptables: Fix null-ptr-deref in iptable_nat_table_init(). We had a report that iptables-restore sometimes triggered null-ptr-deref at boot time. [0] The problem is that iptable_nat_table_init() is exposed to user space before the kernel fully initialises netns. In the small race window, a user could call iptable_nat_table_init() that accesses net_generic(net, iptable_nat_net_id), which is available only after registering iptable_nat_net_ops. Let's call register_pernet_subsys() before xt_register_template(). [0]: bpfilter: Loaded bpfilter_umh pid 11702 Started bpfilter BUG: kernel NULL pointer dereference, address: 0000000000000013 PF: supervisor write access in kernel mode PF: error_code(0x0002) - not-present page PGD 0 P4D 0 PREEMPT SMP NOPTI CPU: 2 PID: 11879 Comm: iptables-restor Not tainted 6.1.92-99.174.amzn2023.x86_64 #1 Hardware name: Amazon EC2 c6i.4xlarge/, BIOS 1.0 10/16/2017 RIP: 0010:iptable_nat_table_init (net/ipv4/netfilter/iptable_nat.c:87 net/ipv4/netfilter/iptable_nat.c:121) iptable_nat Code: 10 4c 89 f6 48 89 ef e8 0b 19 bb ff 41 89 c4 85 c0 75 38 41 83 c7 01 49 83 c6 28 41 83 ff 04 75 dc 48 8b 44 24 08 48 8b 0c 24 <48> 89 08 4c 89 ef e8 a2 3b a2 cf 48 83 c4 10 44 89 e0 5b 5d 41 5c RSP: 0018:ffffbef902843cd0 EFLAGS: 00010246 RAX: 0000000000000013 RBX: ffff9f4b052caa20 RCX: ffff9f4b20988d80 RDX: 0000000000000000 RSI: 0000000000000064 RDI: ffffffffc04201c0 RBP: ffff9f4b29394000 R08: ffff9f4b07f77258 R09: ffff9f4b07f77240 R10: 0000000000000000 R11: ffff9f4b09635388 R12: 0000000000000000 R13: ffff9f4b1a3c6c00 R14: ffff9f4b20988e20 R15: 0000000000000004 FS: 00007f6284340000(0000) GS:ffff9f51fe280000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000013 CR3: 00000001d10a6005 CR4: 00000000007706e0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? show_trace_log_lvl (arch/x86/kernel/dumpstack.c:259) ? show_trace_log_lvl (arch/x86/kernel/dumpstack.c:259) ? xt_find_table_lock (net/netfilter/x_tables.c:1259) ? __die_body.cold (arch/x86/kernel/dumpstack.c:478 arch/x86/kernel/dumpstack.c:420) ? page_fault_oops (arch/x86/mm/fault.c:727) ? exc_page_fault (./arch/x86/include/asm/irqflags.h:40 ./arch/x86/include/asm/irqflags.h:75 arch/x86/mm/fault.c:1470 arch/x86/mm/fault.c:1518) ? asm_exc_page_fault (./arch/x86/include/asm/idtentry.h:570) ? iptable_nat_table_init (net/ipv4/netfilter/iptable_nat.c:87 net/ipv4/netfilter/iptable_nat.c:121) iptable_nat xt_find_table_lock (net/netfilter/x_tables.c:1259) xt_request_find_table_lock (net/netfilter/x_tables.c:1287) get_info (net/ipv4/netfilter/ip_tables.c:965) ? security_capable (security/security.c:809 (discriminator 13)) ? ns_capable (kernel/capability.c:376 kernel/capability.c:397) ? do_ipt_get_ctl (net/ipv4/netfilter/ip_tables.c:1656) ? bpfilter_send_req (net/bpfilter/bpfilter_kern.c:52) bpfilter nf_getsockopt (net/netfilter/nf_sockopt.c:116) ip_getsockopt (net/ipv4/ip_sockglue.c:1827) __sys_getsockopt (net/socket.c:2327) __x64_sys_getsockopt (net/socket.c:2342 net/socket.c:2339 net/socket.c:2339) do_syscall_64 (arch/x86/entry/common.c:51 arch/x86/entry/common.c:81) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:121) RIP: 0033:0x7f62844685ee Code: 48 8b 0d 45 28 0f 00 f7 d8 64 89 01 48 83 c8 ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa 49 89 ca b8 37 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 0a c3 66 0f 1f 84 00 00 00 00 00 48 8b 15 09 RSP: 002b:00007ffd1f83d638 EFLAGS: 00000246 ORIG_RAX: 0000000000000037 RAX: ffffffffffffffda RBX: 00007ffd1f83d680 RCX: 00007f62844685ee RDX: 0000000000000040 RSI: 0000000000000000 RDI: 0000000000000004 RBP: 0000000000000004 R08: 00007ffd1f83d670 R09: 0000558798ffa2a0 R10: 00007ffd1f83d680 R11: 0000000000000246 R12: 00007ffd1f83e3b2 R13: 00007f6284 ---truncated--- Уязвимость компонента netfilter ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: assign CURSEG_ALL_DATA_ATGC if blkaddr is valid mkdir /mnt/test/comp f2fs_io setflags compression /mnt/test/comp dd if=/dev/zero of=/mnt/test/comp/testfile bs=16k count=1 truncate --size 13 /mnt/test/comp/testfile In the above scenario, we can get a BUG_ON. kernel BUG at fs/f2fs/segment.c:3589! Call Trace: do_write_page+0x78/0x390 [f2fs] f2fs_outplace_write_data+0x62/0xb0 [f2fs] f2fs_do_write_data_page+0x275/0x740 [f2fs] f2fs_write_single_data_page+0x1dc/0x8f0 [f2fs] f2fs_write_multi_pages+0x1e5/0xae0 [f2fs] f2fs_write_cache_pages+0xab1/0xc60 [f2fs] f2fs_write_data_pages+0x2d8/0x330 [f2fs] do_writepages+0xcf/0x270 __writeback_single_inode+0x44/0x350 writeback_sb_inodes+0x242/0x530 __writeback_inodes_wb+0x54/0xf0 wb_writeback+0x192/0x310 wb_workfn+0x30d/0x400 The reason is we gave CURSEG_ALL_DATA_ATGC to COMPR_ADDR where the page was set the gcing flag by set_cluster_dirty(). Уязвимость компонента f2fs ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Revert "ALSA: firewire-lib: operate for period elapse event in process context" Commit 7ba5ca32fe6e ("ALSA: firewire-lib: operate for period elapse event in process context") removed the process context workqueue from amdtp_domain_stream_pcm_pointer() and update_pcm_pointers() to remove its overhead. With RME Fireface 800, this lead to a regression since Kernels 5.14.0, causing an AB/BA deadlock competition for the substream lock with eventual system freeze under ALSA operation: thread 0: * (lock A) acquire substream lock by snd_pcm_stream_lock_irq() in snd_pcm_status64() * (lock B) wait for tasklet to finish by calling tasklet_unlock_spin_wait() in tasklet_disable_in_atomic() in ohci_flush_iso_completions() of ohci.c thread 1: * (lock B) enter tasklet * (lock A) attempt to acquire substream lock, waiting for it to be released: snd_pcm_stream_lock_irqsave() in snd_pcm_period_elapsed() in update_pcm_pointers() in process_ctx_payloads() in process_rx_packets() of amdtp-stream.c ? tasklet_unlock_spin_wait </NMI> <TASK> ohci_flush_iso_completions firewire_ohci amdtp_domain_stream_pcm_pointer snd_firewire_lib snd_pcm_update_hw_ptr0 snd_pcm snd_pcm_status64 snd_pcm ? native_queued_spin_lock_slowpath </NMI> <IRQ> _raw_spin_lock_irqsave snd_pcm_period_elapsed snd_pcm process_rx_packets snd_firewire_lib irq_target_callback snd_firewire_lib handle_it_packet firewire_ohci context_tasklet firewire_ohci Restore the process context work queue to prevent deadlock AB/BA deadlock competition for ALSA substream lock of snd_pcm_stream_lock_irq() in snd_pcm_status64() and snd_pcm_stream_lock_irqsave() in snd_pcm_period_elapsed(). revert commit 7ba5ca32fe6e ("ALSA: firewire-lib: operate for period elapse event in process context") Replace inline description to prevent future deadlock. Уязвимость компонента amdtp-stream.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvme-pci: add missing condition check for existence of mapped data nvme_map_data() is called when request has physical segments, hence the nvme_unmap_data() should have same condition to avoid dereference. Уязвимость компонента nvme-pci ядра операционной системы Linux связана с неправильной проверкой ввода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iommu: sprd: Avoid NULL deref in sprd_iommu_hw_en In sprd_iommu_cleanup() before calling function sprd_iommu_hw_en() dom->sdev is equal to NULL, which leads to null dereference. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента iommu ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mISDN: Fix a use after free in hfcmulti_tx() Don't dereference *sp after calling dev_kfree_skb(*sp). Уязвимость функции hfcmulti_tx() в модуле drivers/isdn/hardware/mISDN/hfcmulti.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix a segment issue when downgrading gso_size Linearize the skb when downgrading gso_size because it may trigger a BUG_ON() later when the skb is segmented as described in [1,2]. Уязвимость компонента bpf ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: nexthop: Initialize all fields in dumped nexthops struct nexthop_grp contains two reserved fields that are not initialized by nla_put_nh_group(), and carry garbage. This can be observed e.g. with strace (edited for clarity): # ip nexthop add id 1 dev lo # ip nexthop add id 101 group 1 # strace -e recvmsg ip nexthop get id 101 ... recvmsg(... [{nla_len=12, nla_type=NHA_GROUP}, [{id=1, weight=0, resvd1=0x69, resvd2=0x67}]] ...) = 52 The fields are reserved and therefore not currently used. But as they are, they leak kernel memory, and the fact they are not just zero complicates repurposing of the fields for new ends. Initialize the full structure. Уязвимость компонента net ядра операционной системы Linux связана с утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: validate nvme_local_port correctly The driver load failed with error message, qla2xxx [0000:04:00.0]-ffff:0: register_localport failed: ret=ffffffef and with a kernel crash, BUG: unable to handle kernel NULL pointer dereference at 0000000000000070 Workqueue: events_unbound qla_register_fcport_fn [qla2xxx] RIP: 0010:nvme_fc_register_remoteport+0x16/0x430 [nvme_fc] RSP: 0018:ffffaaa040eb3d98 EFLAGS: 00010282 RAX: 0000000000000000 RBX: ffff9dfb46b78c00 RCX: 0000000000000000 RDX: ffff9dfb46b78da8 RSI: ffffaaa040eb3e08 RDI: 0000000000000000 RBP: ffff9dfb612a0a58 R08: ffffffffaf1d6270 R09: 3a34303a30303030 R10: 34303a303030305b R11: 2078787832616c71 R12: ffff9dfb46b78dd4 R13: ffff9dfb46b78c24 R14: ffff9dfb41525300 R15: ffff9dfb46b78da8 FS: 0000000000000000(0000) GS:ffff9dfc67c00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000070 CR3: 000000018da10004 CR4: 00000000000206f0 Call Trace: qla_nvme_register_remote+0xeb/0x1f0 [qla2xxx] ? qla2x00_dfs_create_rport+0x231/0x270 [qla2xxx] qla2x00_update_fcport+0x2a1/0x3c0 [qla2xxx] qla_register_fcport_fn+0x54/0xc0 [qla2xxx] Exit the qla_nvme_register_remote() function when qla_nvme_register_hba() fails and correctly validate nvme_local_port. Уязвимость компонента scsi ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Complete command early within lock A crash was observed while performing NPIV and FW reset, BUG: kernel NULL pointer dereference, address: 000000000000001c #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: 0000 1 PREEMPT_RT SMP NOPTI RIP: 0010:dma_direct_unmap_sg+0x51/0x1e0 RSP: 0018:ffffc90026f47b88 EFLAGS: 00010246 RAX: 0000000000000000 RBX: 0000000000000021 RCX: 0000000000000002 RDX: 0000000000000021 RSI: 0000000000000000 RDI: ffff8881041130d0 RBP: ffff8881041130d0 R08: 0000000000000000 R09: 0000000000000034 R10: ffffc90026f47c48 R11: 0000000000000031 R12: 0000000000000000 R13: 0000000000000000 R14: ffff8881565e4a20 R15: 0000000000000000 FS: 00007f4c69ed3d00(0000) GS:ffff889faac80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000000000001c CR3: 0000000288a50002 CR4: 00000000007706e0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? __die_body+0x1a/0x60 ? page_fault_oops+0x16f/0x4a0 ? do_user_addr_fault+0x174/0x7f0 ? exc_page_fault+0x69/0x1a0 ? asm_exc_page_fault+0x22/0x30 ? dma_direct_unmap_sg+0x51/0x1e0 ? preempt_count_sub+0x96/0xe0 qla2xxx_qpair_sp_free_dma+0x29f/0x3b0 [qla2xxx] qla2xxx_qpair_sp_compl+0x60/0x80 [qla2xxx] __qla2x00_abort_all_cmds+0xa2/0x450 [qla2xxx] The command completion was done early while aborting the commands in driver unload path but outside lock to avoid the WARN_ON condition of performing dma_free_attr within the lock. However this caused race condition while command completion via multiple paths causing system crash. Hence complete the command early in unload path but within the lock to avoid race condition. Уязвимость компонента scsi ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Fix for possible memory corruption Init Control Block is dereferenced incorrectly. Correctly dereference ICB Уязвимость компонента scsi ядра операционной системы Linux связана с выходом операции за границы буфера памяти. Эксплуатация уязвимости может позволить нарушителю повысить привилегии [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: During vport delete send async logout explicitly During vport delete, it is observed that during unload we hit a crash because of stale entries in outstanding command array. For all these stale I/O entries, eh_abort was issued and aborted (fast_fail_io = 2009h) but I/Os could not complete while vport delete is in process of deleting. BUG: kernel NULL pointer dereference, address: 000000000000001c #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: 0000 [#1] PREEMPT SMP NOPTI Workqueue: qla2xxx_wq qla_do_work [qla2xxx] RIP: 0010:dma_direct_unmap_sg+0x51/0x1e0 RSP: 0018:ffffa1e1e150fc68 EFLAGS: 00010046 RAX: 0000000000000000 RBX: 0000000000000021 RCX: 0000000000000001 RDX: 0000000000000021 RSI: 0000000000000000 RDI: ffff8ce208a7a0d0 RBP: ffff8ce208a7a0d0 R08: 0000000000000000 R09: ffff8ce378aac9c8 R10: ffff8ce378aac8a0 R11: ffffa1e1e150f9d8 R12: 0000000000000000 R13: 0000000000000000 R14: ffff8ce378aac9c8 R15: 0000000000000000 FS: 0000000000000000(0000) GS:ffff8d217f000000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000000000001c CR3: 0000002089acc000 CR4: 0000000000350ee0 Call Trace: <TASK> qla2xxx_qpair_sp_free_dma+0x417/0x4e0 ? qla2xxx_qpair_sp_compl+0x10d/0x1a0 ? qla2x00_status_entry+0x768/0x2830 ? newidle_balance+0x2f0/0x430 ? dequeue_entity+0x100/0x3c0 ? qla24xx_process_response_queue+0x6a1/0x19e0 ? __schedule+0x2d5/0x1140 ? qla_do_work+0x47/0x60 ? process_one_work+0x267/0x440 ? process_one_work+0x440/0x440 ? worker_thread+0x2d/0x3d0 ? process_one_work+0x440/0x440 ? kthread+0x156/0x180 ? set_kthread_struct+0x50/0x50 ? ret_from_fork+0x22/0x30 </TASK> Send out async logout explicitly for all the ports during vport delete. Уязвимость компонента scsi ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: irqchip/imx-irqsteer: Handle runtime power management correctly The power domain is automatically activated from clk_prepare(). However, on certain platforms like i.MX8QM and i.MX8QXP, the power-on handling invokes sleeping functions, which triggers the 'scheduling while atomic' bug in the context switch path during device probing: BUG: scheduling while atomic: kworker/u13:1/48/0x00000002 Call trace: __schedule_bug+0x54/0x6c __schedule+0x7f0/0xa94 schedule+0x5c/0xc4 schedule_preempt_disabled+0x24/0x40 __mutex_lock.constprop.0+0x2c0/0x540 __mutex_lock_slowpath+0x14/0x20 mutex_lock+0x48/0x54 clk_prepare_lock+0x44/0xa0 clk_prepare+0x20/0x44 imx_irqsteer_resume+0x28/0xe0 pm_generic_runtime_resume+0x2c/0x44 __genpd_runtime_resume+0x30/0x80 genpd_runtime_resume+0xc8/0x2c0 __rpm_callback+0x48/0x1d8 rpm_callback+0x6c/0x78 rpm_resume+0x490/0x6b4 __pm_runtime_resume+0x50/0x94 irq_chip_pm_get+0x2c/0xa0 __irq_do_set_handler+0x178/0x24c irq_set_chained_handler_and_data+0x60/0xa4 mxc_gpio_probe+0x160/0x4b0 Cure this by implementing the irq_bus_lock/sync_unlock() interrupt chip callbacks and handle power management in them as they are invoked from non-atomic context. [ tglx: Rewrote change log, added Fixes tag ] Уязвимость компонентов irqchip/imx-irqsteer ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ice: Add a per-VF limit on number of FDIR filters While the iavf driver adds a s/w limit (128) on the number of FDIR filters that the VF can request, a malicious VF driver can request more than that and exhaust the resources for other VFs. Add a similar limit in ice. Уязвимость компонента ice ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kobject_uevent: Fix OOB access within zap_modalias_env() zap_modalias_env() wrongly calculates size of memory block to move, so will cause OOB memory access issue if variable MODALIAS is not the last one within its @env parameter, fixed by correcting size to memmove. Уязвимость компонентов kobject_uevent ядра операционной системы Linux связана с ошибки чтения за пределами границ. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: handle inconsistent state in nilfs_btnode_create_block() Syzbot reported that a buffer state inconsistency was detected in nilfs_btnode_create_block(), triggering a kernel bug. It is not appropriate to treat this inconsistency as a bug; it can occur if the argument block address (the buffer index of the newly created block) is a virtual block number and has been reallocated due to corruption of the bitmap used to manage its allocation state. So, modify nilfs_btnode_create_block() and its callers to treat it as a possible filesystem error, rather than triggering a kernel bug. Уязвимость компонента nilfs2 ядра операционной системы Linux связана с неправильной обработкой ошибок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix return value of f2fs_convert_inline_inode() If device is readonly, make f2fs_convert_inline_inode() return EROFS instead of zero, otherwise it may trigger panic during writeback of inline inode's dirty page as below: f2fs_write_single_data_page+0xbb6/0x1e90 fs/f2fs/data.c:2888 f2fs_write_cache_pages fs/f2fs/data.c:3187 [inline] __f2fs_write_data_pages fs/f2fs/data.c:3342 [inline] f2fs_write_data_pages+0x1efe/0x3a90 fs/f2fs/data.c:3369 do_writepages+0x359/0x870 mm/page-writeback.c:2634 filemap_fdatawrite_wbc+0x125/0x180 mm/filemap.c:397 __filemap_fdatawrite_range mm/filemap.c:430 [inline] file_write_and_wait_range+0x1aa/0x290 mm/filemap.c:788 f2fs_do_sync_file+0x68a/0x1ae0 fs/f2fs/file.c:276 generic_write_sync include/linux/fs.h:2806 [inline] f2fs_file_write_iter+0x7bd/0x24e0 fs/f2fs/file.c:4977 call_write_iter include/linux/fs.h:2114 [inline] new_sync_write fs/read_write.c:497 [inline] vfs_write+0xa72/0xc90 fs/read_write.c:590 ksys_write+0x1a0/0x2c0 fs/read_write.c:643 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента f2fs ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to don't dirty inode for readonly filesystem syzbot reports f2fs bug as below: kernel BUG at fs/f2fs/inode.c:933! RIP: 0010:f2fs_evict_inode+0x1576/0x1590 fs/f2fs/inode.c:933 Call Trace: evict+0x2a4/0x620 fs/inode.c:664 dispose_list fs/inode.c:697 [inline] evict_inodes+0x5f8/0x690 fs/inode.c:747 generic_shutdown_super+0x9d/0x2c0 fs/super.c:675 kill_block_super+0x44/0x90 fs/super.c:1667 kill_f2fs_super+0x303/0x3b0 fs/f2fs/super.c:4894 deactivate_locked_super+0xc1/0x130 fs/super.c:484 cleanup_mnt+0x426/0x4c0 fs/namespace.c:1256 task_work_run+0x24a/0x300 kernel/task_work.c:180 ptrace_notify+0x2cd/0x380 kernel/signal.c:2399 ptrace_report_syscall include/linux/ptrace.h:411 [inline] ptrace_report_syscall_exit include/linux/ptrace.h:473 [inline] syscall_exit_work kernel/entry/common.c:251 [inline] syscall_exit_to_user_mode_prepare kernel/entry/common.c:278 [inline] __syscall_exit_to_user_mode_work kernel/entry/common.c:283 [inline] syscall_exit_to_user_mode+0x15c/0x280 kernel/entry/common.c:296 do_syscall_64+0x50/0x110 arch/x86/entry/common.c:88 entry_SYSCALL_64_after_hwframe+0x63/0x6b The root cause is: - do_sys_open - f2fs_lookup - __f2fs_find_entry - f2fs_i_depth_write - f2fs_mark_inode_dirty_sync - f2fs_dirty_inode - set_inode_flag(inode, FI_DIRTY_INODE) - umount - kill_f2fs_super - kill_block_super - generic_shutdown_super - sync_filesystem : sb is readonly, skip sync_filesystem() - evict_inodes - iput - f2fs_evict_inode - f2fs_bug_on(sbi, is_inode_flag_set(inode, FI_DIRTY_INODE)) : trigger kernel panic When we try to repair i_current_depth in readonly filesystem, let's skip dirty inode to avoid panic in later f2fs_evict_inode(). Уязвимость компонента f2fs ядра операционной системы Linux связана с неправильной обработкой ошибок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Update log->page_{mask,bits} if log->page_size changed If an NTFS file system is mounted to another system with different PAGE_SIZE from the original system, log->page_size will change in log_replay(), but log->page_{mask,bits} don't change correspondingly. This will cause a panic because "u32 bytes = log->page_size - page_off" will get a negative value in the later read_log_page(). Уязвимость компонента bpf ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI/DPC: Fix use-after-free on concurrent DPC and hot-removal Keith reports a use-after-free when a DPC event occurs concurrently to hot-removal of the same portion of the hierarchy: The dpc_handler() awaits readiness of the secondary bus below the Downstream Port where the DPC event occurred. To do so, it polls the config space of the first child device on the secondary bus. If that child device is concurrently removed, accesses to its struct pci_dev cause the kernel to oops. That's because pci_bridge_wait_for_secondary_bus() neglects to hold a reference on the child device. Before v6.3, the function was only called on resume from system sleep or on runtime resume. Holding a reference wasn't necessary back then because the pciehp IRQ thread could never run concurrently. (On resume from system sleep, IRQs are not enabled until after the resume_noirq phase. And runtime resume is always awaited before a PCI device is removed.) However starting with v6.3, pci_bridge_wait_for_secondary_bus() is also called on a DPC event. Commit 53b54ad074de ("PCI/DPC: Await readiness of secondary bus after reset"), which introduced that, failed to appreciate that pci_bridge_wait_for_secondary_bus() now needs to hold a reference on the child device because dpc_handler() and pciehp may indeed run concurrently. The commit was backported to v5.10+ stable kernels, so that's the oldest one affected. Add the missing reference acquisition. Abridged stack trace: BUG: unable to handle page fault for address: 00000000091400c0 CPU: 15 PID: 2464 Comm: irq/53-pcie-dpc 6.9.0 RIP: pci_bus_read_config_dword+0x17/0x50 pci_dev_wait() pci_bridge_wait_for_secondary_bus() dpc_reset_link() pcie_do_recovery() dpc_handler() Уязвимость функции pci_bridge_wait_for_secondary_bus() компонента drivers/pci/pci.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: make sure the first directory block is not a hole The syzbot constructs a directory that has no dirblock but is non-inline, i.e. the first directory block is a hole. And no errors are reported when creating files in this directory in the following flow. ext4_mknod ... ext4_add_entry // Read block 0 ext4_read_dirblock(dir, block, DIRENT) bh = ext4_bread(NULL, inode, block, 0) if (!bh && (type == INDEX || type == DIRENT_HTREE)) // The first directory block is a hole // But type == DIRENT, so no error is reported. After that, we get a directory block without '.' and '..' but with a valid dentry. This may cause some code that relies on dot or dotdot (such as make_indexed_dir()) to crash. Therefore when ext4_read_dirblock() finds that the first directory block is a hole report that the filesystem is corrupted and return an error to avoid loading corrupted data from disk causing something bad. Уязвимость компонента ext4 ядра операционной системы Linux связана с неправильной обработкой ошибок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: check dot and dotdot of dx_root before making dir indexed Syzbot reports a issue as follows: ============================================ BUG: unable to handle page fault for address: ffffed11022e24fe PGD 23ffee067 P4D 23ffee067 PUD 0 Oops: Oops: 0000 [#1] PREEMPT SMP KASAN PTI CPU: 0 PID: 5079 Comm: syz-executor306 Not tainted 6.10.0-rc5-g55027e689933 #0 Call Trace: <TASK> make_indexed_dir+0xdaf/0x13c0 fs/ext4/namei.c:2341 ext4_add_entry+0x222a/0x25d0 fs/ext4/namei.c:2451 ext4_rename fs/ext4/namei.c:3936 [inline] ext4_rename2+0x26e5/0x4370 fs/ext4/namei.c:4214 [...] ============================================ The immediate cause of this problem is that there is only one valid dentry for the block to be split during do_split, so split==0 results in out of bounds accesses to the map triggering the issue. do_split unsigned split dx_make_map count = 1 split = count/2 = 0; continued = hash2 == map[split - 1].hash; ---> map[4294967295] The maximum length of a filename is 255 and the minimum block size is 1024, so it is always guaranteed that the number of entries is greater than or equal to 2 when do_split() is called. But syzbot's crafted image has no dot and dotdot in dir, and the dentry distribution in dirblock is as follows: bus dentry1 hole dentry2 free |xx--|xx-------------|...............|xx-------------|...............| 0 12 (8+248)=256 268 256 524 (8+256)=264 788 236 1024 So when renaming dentry1 increases its name_len length by 1, neither hole nor free is sufficient to hold the new dentry, and make_indexed_dir() is called. In make_indexed_dir() it is assumed that the first two entries of the dirblock must be dot and dotdot, so bus and dentry1 are left in dx_root because they are treated as dot and dotdot, and only dentry2 is moved to the new leaf block. That's why count is equal to 1. Therefore add the ext4_check_dx_root() helper function to add more sanity checks to dot and dotdot before starting the conversion to avoid the above issue. Уязвимость компонента ext4 ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: udf: Avoid using corrupted block bitmap buffer When the filesystem block bitmap is corrupted, we detect the corruption while loading the bitmap and fail the allocation with error. However the next allocation from the same bitmap will notice the bitmap buffer is already loaded and tries to allocate from the bitmap with mixed results (depending on the exact nature of the bitmap corruption). Fix the problem by using BH_verified bit to indicate whether the bitmap is valid or not. Уязвимость компонента fs/udf ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cifs: fix potential null pointer use in destroy_workqueue in init_cifs error path Dan Carpenter reported a Smack static checker warning: fs/smb/client/cifsfs.c:1981 init_cifs() error: we previously assumed 'serverclose_wq' could be null (see line 1895) The patch which introduced the serverclose workqueue used the wrong oredering in error paths in init_cifs() for freeing it on errors. Уязвимость функции init_cifs() компонента fs/smb/client/cifsfs.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/gma500: fix null pointer dereference in psb_intel_lvds_get_modes In psb_intel_lvds_get_modes(), the return value of drm_mode_duplicate() is assigned to mode, which will lead to a possible NULL pointer dereference on failure of drm_mode_duplicate(). Add a check to avoid npd. Уязвимость компонентов drm/gma500 ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/gma500: fix null pointer dereference in cdv_intel_lvds_get_modes In cdv_intel_lvds_get_modes(), the return value of drm_mode_duplicate() is assigned to mode, which will lead to a NULL pointer dereference on failure of drm_mode_duplicate(). Add a check to avoid npd. Уязвимость компонентов drm/gma500 ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfs: fix to initialize fields of hfs_inode_info after hfs_alloc_inode() Syzbot reports uninitialized value access issue as below: loop0: detected capacity change from 0 to 64 ===================================================== BUG: KMSAN: uninit-value in hfs_revalidate_dentry+0x307/0x3f0 fs/hfs/sysdep.c:30 hfs_revalidate_dentry+0x307/0x3f0 fs/hfs/sysdep.c:30 d_revalidate fs/namei.c:862 [inline] lookup_fast+0x89e/0x8e0 fs/namei.c:1649 walk_component fs/namei.c:2001 [inline] link_path_walk+0x817/0x1480 fs/namei.c:2332 path_lookupat+0xd9/0x6f0 fs/namei.c:2485 filename_lookup+0x22e/0x740 fs/namei.c:2515 user_path_at_empty+0x8b/0x390 fs/namei.c:2924 user_path_at include/linux/namei.h:57 [inline] do_mount fs/namespace.c:3689 [inline] __do_sys_mount fs/namespace.c:3898 [inline] __se_sys_mount+0x66b/0x810 fs/namespace.c:3875 __x64_sys_mount+0xe4/0x140 fs/namespace.c:3875 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcf/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x63/0x6b BUG: KMSAN: uninit-value in hfs_ext_read_extent fs/hfs/extent.c:196 [inline] BUG: KMSAN: uninit-value in hfs_get_block+0x92d/0x1620 fs/hfs/extent.c:366 hfs_ext_read_extent fs/hfs/extent.c:196 [inline] hfs_get_block+0x92d/0x1620 fs/hfs/extent.c:366 block_read_full_folio+0x4ff/0x11b0 fs/buffer.c:2271 hfs_read_folio+0x55/0x60 fs/hfs/inode.c:39 filemap_read_folio+0x148/0x4f0 mm/filemap.c:2426 do_read_cache_folio+0x7c8/0xd90 mm/filemap.c:3553 do_read_cache_page mm/filemap.c:3595 [inline] read_cache_page+0xfb/0x2f0 mm/filemap.c:3604 read_mapping_page include/linux/pagemap.h:755 [inline] hfs_btree_open+0x928/0x1ae0 fs/hfs/btree.c:78 hfs_mdb_get+0x260c/0x3000 fs/hfs/mdb.c:204 hfs_fill_super+0x1fb1/0x2790 fs/hfs/super.c:406 mount_bdev+0x628/0x920 fs/super.c:1359 hfs_mount+0xcd/0xe0 fs/hfs/super.c:456 legacy_get_tree+0x167/0x2e0 fs/fs_context.c:610 vfs_get_tree+0xdc/0x5d0 fs/super.c:1489 do_new_mount+0x7a9/0x16f0 fs/namespace.c:3145 path_mount+0xf98/0x26a0 fs/namespace.c:3475 do_mount fs/namespace.c:3488 [inline] __do_sys_mount fs/namespace.c:3697 [inline] __se_sys_mount+0x919/0x9e0 fs/namespace.c:3674 __ia32_sys_mount+0x15b/0x1b0 fs/namespace.c:3674 do_syscall_32_irqs_on arch/x86/entry/common.c:112 [inline] __do_fast_syscall_32+0xa2/0x100 arch/x86/entry/common.c:178 do_fast_syscall_32+0x37/0x80 arch/x86/entry/common.c:203 do_SYSENTER_32+0x1f/0x30 arch/x86/entry/common.c:246 entry_SYSENTER_compat_after_hwframe+0x70/0x82 Uninit was created at: __alloc_pages+0x9a6/0xe00 mm/page_alloc.c:4590 __alloc_pages_node include/linux/gfp.h:238 [inline] alloc_pages_node include/linux/gfp.h:261 [inline] alloc_slab_page mm/slub.c:2190 [inline] allocate_slab mm/slub.c:2354 [inline] new_slab+0x2d7/0x1400 mm/slub.c:2407 ___slab_alloc+0x16b5/0x3970 mm/slub.c:3540 __slab_alloc mm/slub.c:3625 [inline] __slab_alloc_node mm/slub.c:3678 [inline] slab_alloc_node mm/slub.c:3850 [inline] kmem_cache_alloc_lru+0x64d/0xb30 mm/slub.c:3879 alloc_inode_sb include/linux/fs.h:3018 [inline] hfs_alloc_inode+0x5a/0xc0 fs/hfs/super.c:165 alloc_inode+0x83/0x440 fs/inode.c:260 new_inode_pseudo fs/inode.c:1005 [inline] new_inode+0x38/0x4f0 fs/inode.c:1031 hfs_new_inode+0x61/0x1010 fs/hfs/inode.c:186 hfs_mkdir+0x54/0x250 fs/hfs/dir.c:228 vfs_mkdir+0x49a/0x700 fs/namei.c:4126 do_mkdirat+0x529/0x810 fs/namei.c:4149 __do_sys_mkdirat fs/namei.c:4164 [inline] __se_sys_mkdirat fs/namei.c:4162 [inline] __x64_sys_mkdirat+0xc8/0x120 fs/namei.c:4162 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcf/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x63/0x6b It missed to initialize .tz_secondswest, .cached_start and .cached_blocks fields in struct hfs_inode_info after hfs_alloc_inode(), fix it. Уязвимость компонента sched ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sysctl: always initialize i_uid/i_gid Always initialize i_uid/i_gid inside the sysfs core so set_ownership() can safely skip setting them. Commit 5ec27ec735ba ("fs/proc/proc_sysctl.c: fix the default values of i_uid/i_gid on /proc/sys inodes.") added defaults for i_uid/i_gid when set_ownership() was not implemented. It also missed adjusting net_ctl_set_ownership() to use the same default values in case the computation of a better value failed. Уязвимость компонента sysctl ядра операционной системы Linux связана с неправильной проверкой входных данных в функции proc_sys_make_inode(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/mglru: fix div-by-zero in vmpressure_calc_level() evict_folios() uses a second pass to reclaim folios that have gone through page writeback and become clean before it finishes the first pass, since folio_rotate_reclaimable() cannot handle those folios due to the isolation. The second pass tries to avoid potential double counting by deducting scan_control->nr_scanned. However, this can result in underflow of nr_scanned, under a condition where shrink_folio_list() does not increment nr_scanned, i.e., when folio_trylock() fails. The underflow can cause the divisor, i.e., scale=scanned+reclaimed in vmpressure_calc_level(), to become zero, resulting in the following crash: [exception RIP: vmpressure_work_fn+101] process_one_work at ffffffffa3313f2b Since scan_control->nr_scanned has no established semantics, the potential double counting has minimal risks. Therefore, fix the problem by not deducting scan_control->nr_scanned in evict_folios(). Уязвимость ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: landlock: Don't lose track of restrictions on cred_transfer When a process' cred struct is replaced, this _almost_ always invokes the cred_prepare LSM hook; but in one special case (when KEYCTL_SESSION_TO_PARENT updates the parent's credentials), the cred_transfer LSM hook is used instead. Landlock only implements the cred_prepare hook, not cred_transfer, so KEYCTL_SESSION_TO_PARENT causes all information on Landlock restrictions to be lost. This basically means that a process with the ability to use the fork() and keyctl() syscalls can get rid of all Landlock restrictions on itself. Fix it by adding a cred_transfer hook that does the same thing as the existing cred_prepare hook. (Implemented by having hook_cred_prepare() call hook_cred_transfer() so that the two functions are less likely to accidentally diverge in the future.) Уязвимость компонента landlock ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mailbox: mtk-cmdq: Move devm_mbox_controller_register() after devm_pm_runtime_enable() When mtk-cmdq unbinds, a WARN_ON message with condition pm_runtime_get_sync() < 0 occurs. According to the call tracei below: cmdq_mbox_shutdown mbox_free_channel mbox_controller_unregister __devm_mbox_controller_unregister ... The root cause can be deduced to be calling pm_runtime_get_sync() after calling pm_runtime_disable() as observed below: 1. CMDQ driver uses devm_mbox_controller_register() in cmdq_probe() to bind the cmdq device to the mbox_controller, so devm_mbox_controller_unregister() will automatically unregister the device bound to the mailbox controller when the device-managed resource is removed. That means devm_mbox_controller_unregister() and cmdq_mbox_shoutdown() will be called after cmdq_remove(). 2. CMDQ driver also uses devm_pm_runtime_enable() in cmdq_probe() after devm_mbox_controller_register(), so that devm_pm_runtime_disable() will be called after cmdq_remove(), but before devm_mbox_controller_unregister(). To fix this problem, cmdq_probe() needs to move devm_mbox_controller_register() after devm_pm_runtime_enable() to make devm_pm_runtime_disable() be called after devm_mbox_controller_unregister(). Уязвимость компонента mtk-cmdq ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/dasd: fix error checks in dasd_copy_pair_store() dasd_add_busid() can return an error via ERR_PTR() if an allocation fails. However, two callsites in dasd_copy_pair_store() do not check the result, potentially resulting in a NULL pointer dereference. Fix this by checking the result with IS_ERR() and returning the error up the stack. Уязвимость функции dasd_copy_pair_store() компонента drivers/s390/block/dasd_devmap.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: flow_dissector: use DEBUG_NET_WARN_ON_ONCE The following splat is easy to reproduce upstream as well as in -stable kernels. Florian Westphal provided the following commit: d1dab4f71d37 ("net: add and use __skb_get_hash_symmetric_net") but this complementary fix has been also suggested by Willem de Bruijn and it can be easily backported to -stable kernel which consists in using DEBUG_NET_WARN_ON_ONCE instead to silence the following splat given __skb_get_hash() is used by the nftables tracing infrastructure to to identify packets in traces. [69133.561393] ------------[ cut here ]------------ [69133.561404] WARNING: CPU: 0 PID: 43576 at net/core/flow_dissector.c:1104 __skb_flow_dissect+0x134f/ [...] [69133.561944] CPU: 0 PID: 43576 Comm: socat Not tainted 6.10.0-rc7+ #379 [69133.561959] RIP: 0010:__skb_flow_dissect+0x134f/0x2ad0 [69133.561970] Code: 83 f9 04 0f 84 b3 00 00 00 45 85 c9 0f 84 aa 00 00 00 41 83 f9 02 0f 84 81 fc ff ff 44 0f b7 b4 24 80 00 00 00 e9 8b f9 ff ff <0f> 0b e9 20 f3 ff ff 41 f6 c6 20 0f 84 e4 ef ff ff 48 8d 7b 12 e8 [69133.561979] RSP: 0018:ffffc90000006fc0 EFLAGS: 00010246 [69133.561988] RAX: 0000000000000000 RBX: ffffffff82f33e20 RCX: ffffffff81ab7e19 [69133.561994] RDX: dffffc0000000000 RSI: ffffc90000007388 RDI: ffff888103a1b418 [69133.562001] RBP: ffffc90000007310 R08: 0000000000000000 R09: 0000000000000000 [69133.562007] R10: ffffc90000007388 R11: ffffffff810cface R12: ffff888103a1b400 [69133.562013] R13: 0000000000000000 R14: ffffffff82f33e2a R15: ffffffff82f33e28 [69133.562020] FS: 00007f40f7131740(0000) GS:ffff888390800000(0000) knlGS:0000000000000000 [69133.562027] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [69133.562033] CR2: 00007f40f7346ee0 CR3: 000000015d200001 CR4: 00000000001706f0 [69133.562040] Call Trace: [69133.562044] <IRQ> [69133.562049] ? __warn+0x9f/0x1a0 [ 1211.841384] ? __skb_flow_dissect+0x107e/0x2860 [...] [ 1211.841496] ? bpf_flow_dissect+0x160/0x160 [ 1211.841753] __skb_get_hash+0x97/0x280 [ 1211.841765] ? __skb_get_hash_symmetric+0x230/0x230 [ 1211.841776] ? mod_find+0xbf/0xe0 [ 1211.841786] ? get_stack_info_noinstr+0x12/0xe0 [ 1211.841798] ? bpf_ksym_find+0x56/0xe0 [ 1211.841807] ? __rcu_read_unlock+0x2a/0x70 [ 1211.841819] nft_trace_init+0x1b9/0x1c0 [nf_tables] [ 1211.841895] ? nft_trace_notify+0x830/0x830 [nf_tables] [ 1211.841964] ? get_stack_info+0x2b/0x80 [ 1211.841975] ? nft_do_chain_arp+0x80/0x80 [nf_tables] [ 1211.842044] nft_do_chain+0x79c/0x850 [nf_tables] Уязвимость компонента flow_dissector ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipvs: properly dereference pe in ip_vs_add_service Use pe directly to resolve sparse warning: net/netfilter/ipvs/ip_vs_ctl.c:1471:27: warning: dereference of noderef expression Уязвимость компонента ipvs ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 zabbix A non-admin user account on the Zabbix frontend with the default User role, or with any other role that gives API access can exploit this vulnerability. An SQLi exists in the CUser class in the addRelatedObjects function, this function is being called from the CUser.get function which is available for every user who has API access. Уязвимость системы мониторинга Zabbix связана с непринятием мер по защите структуры SQL-запроса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-89')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=9.9) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix When the webdriver for the Browser object downloads data from a HTTP server, the data pointer is set to NULL and is allocated only in curl_write_cb when receiving data. If the server's response is an empty document, then wd->data in the code below will remain NULL and an attempt to read from it will result in a crash. Уязвимость функции curl_write_cb() универсальной системы мониторинга Zabbix связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании (DoS) [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix The HttpRequest object allows to get the HTTP headers from the server's response after sending the request. The problem is that the returned strings are created directly from the data returned by the server and are not correctly encoded for JavaScript. This allows to create internal strings that can be used to access hidden properties of objects. Уязвимость сервера универсальной системы мониторинга Zabbix связана с использованием неконтролируемых форматных строк при обработке объектов HttpRequest. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-134')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H', score=9.1) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix In the src/libs/zbxembed/browser.c file, the es_browser_ctor method retrieves a heap pointer from the Duktape JavaScript engine. This heap pointer is subsequently utilized by the browser_push_error method in the src/libs/zbxembed/browser_error.c file. A use-after-free bug can occur at this stage if the wd->browser heap pointer is freed by garbage collection. Уязвимость метода es_browser_ctor компонента src/libs/zbxembed/browser.c универсальной системы мониторинга Zabbix связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix The researcher is showing that due to the way the SNMP trap log is parsed, an attacker can craft an SNMP trap with additional lines of information and have forged data show in the Zabbix UI. This attack requires SNMP auth to be off and/or the attacker to know the community/auth details. The attack requires an SNMP item to be configured as text on the target host. Уязвимость универсальной системы мониторинга Zabbix связана с неправильной обработкой выходных данных для журналов регистрации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N', score=3.7) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix The researcher is showing that it is possible to leak a small amount of Zabbix Server memory using an out of bounds read in src/libs/zbxmedia/email.c Уязвимость функции str_base64_encode_rfc2047() компонента src/libs/zbxmedia/email.c системы мониторинга Zabbix связана с чтением за границами буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-126')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N', score=2.7) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i3c: Use i3cdev->desc->info instead of calling i3c_device_get_info() to avoid deadlock A deadlock may happen since the i3c_master_register() acquires &i3cbus->lock twice. See the log below. Use i3cdev->desc->info instead of calling i3c_device_info() to avoid acquiring the lock twice. v2: - Modified the title and commit message ============================================ WARNING: possible recursive locking detected 6.11.0-mainline -------------------------------------------- init/1 is trying to acquire lock: f1ffff80a6a40dc0 (&i3cbus->lock){++++}-{3:3}, at: i3c_bus_normaluse_lock but task is already holding lock: f1ffff80a6a40dc0 (&i3cbus->lock){++++}-{3:3}, at: i3c_master_register other info that might help us debug this: Possible unsafe locking scenario: CPU0 ---- lock(&i3cbus->lock); lock(&i3cbus->lock); *** DEADLOCK *** May be due to missing lock nesting notation 2 locks held by init/1: #0: fcffff809b6798f8 (&dev->mutex){....}-{3:3}, at: __driver_attach #1: f1ffff80a6a40dc0 (&i3cbus->lock){++++}-{3:3}, at: i3c_master_register stack backtrace: CPU: 6 UID: 0 PID: 1 Comm: init Call trace: dump_backtrace+0xfc/0x17c show_stack+0x18/0x28 dump_stack_lvl+0x40/0xc0 dump_stack+0x18/0x24 print_deadlock_bug+0x388/0x390 __lock_acquire+0x18bc/0x32ec lock_acquire+0x134/0x2b0 down_read+0x50/0x19c i3c_bus_normaluse_lock+0x14/0x24 i3c_device_get_info+0x24/0x58 i3c_device_uevent+0x34/0xa4 dev_uevent+0x310/0x384 kobject_uevent_env+0x244/0x414 kobject_uevent+0x14/0x20 device_add+0x278/0x460 device_register+0x20/0x34 i3c_master_register_new_i3c_devs+0x78/0x154 i3c_master_register+0x6a0/0x6d4 mtk_i3c_master_probe+0x3b8/0x4d8 platform_probe+0xa0/0xe0 really_probe+0x114/0x454 __driver_probe_device+0xa0/0x15c driver_probe_device+0x3c/0x1ac __driver_attach+0xc4/0x1f0 bus_for_each_dev+0x104/0x160 driver_attach+0x24/0x34 bus_add_driver+0x14c/0x294 driver_register+0x68/0x104 __platform_driver_register+0x20/0x30 init_module+0x20/0xfe4 do_one_initcall+0x184/0x464 do_init_module+0x58/0x1ec load_module+0xefc/0x10c8 __arm64_sys_finit_module+0x238/0x33c invoke_syscall+0x58/0x10c el0_svc_common+0xa8/0xdc do_el0_svc+0x1c/0x28 el0_svc+0x50/0xac el0t_64_sync_handler+0x70/0xbc el0t_64_sync+0x1a8/0x1ac Уязвимость компонента drivers/i3c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: missing check virtio Two missing check in virtio_net_hdr_to_skb() allowed syzbot to crash kernels again 1. After the skb_segment function the buffer may become non-linear (nr_frags != 0), but since the SKBTX_SHARED_FRAG flag is not set anywhere the __skb_linearize function will not be executed, then the buffer will remain non-linear. Then the condition (offset >= skb_headlen(skb)) becomes true, which causes WARN_ON_ONCE in skb_checksum_help. 2. The struct sk_buff and struct virtio_net_hdr members must be mathematically related. (gso_size) must be greater than (needed) otherwise WARN_ON_ONCE. (remainder) must be greater than (needed) otherwise WARN_ON_ONCE. (remainder) may be 0 if division is without remainder. offset+2 (4191) > skb_headlen() (1116) WARNING: CPU: 1 PID: 5084 at net/core/dev.c:3303 skb_checksum_help+0x5e2/0x740 net/core/dev.c:3303 Modules linked in: CPU: 1 PID: 5084 Comm: syz-executor336 Not tainted 6.7.0-rc3-syzkaller-00014-gdf60cee26a2e #0 Hardware name: Google Compute Engine/Google Compute Engine, BIOS Google 11/10/2023 RIP: 0010:skb_checksum_help+0x5e2/0x740 net/core/dev.c:3303 Code: 89 e8 83 e0 07 83 c0 03 38 d0 7c 08 84 d2 0f 85 52 01 00 00 44 89 e2 2b 53 74 4c 89 ee 48 c7 c7 40 57 e9 8b e8 af 8f dd f8 90 <0f> 0b 90 90 e9 87 fe ff ff e8 40 0f 6e f9 e9 4b fa ff ff 48 89 ef RSP: 0018:ffffc90003a9f338 EFLAGS: 00010286 RAX: 0000000000000000 RBX: ffff888025125780 RCX: ffffffff814db209 RDX: ffff888015393b80 RSI: ffffffff814db216 RDI: 0000000000000001 RBP: ffff8880251257f4 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000001 R12: 000000000000045c R13: 000000000000105f R14: ffff8880251257f0 R15: 000000000000105d FS: 0000555555c24380(0000) GS:ffff8880b9900000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000002000f000 CR3: 0000000023151000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ip_do_fragment+0xa1b/0x18b0 net/ipv4/ip_output.c:777 ip_fragment.constprop.0+0x161/0x230 net/ipv4/ip_output.c:584 ip_finish_output_gso net/ipv4/ip_output.c:286 [inline] __ip_finish_output net/ipv4/ip_output.c:308 [inline] __ip_finish_output+0x49c/0x650 net/ipv4/ip_output.c:295 ip_finish_output+0x31/0x310 net/ipv4/ip_output.c:323 NF_HOOK_COND include/linux/netfilter.h:303 [inline] ip_output+0x13b/0x2a0 net/ipv4/ip_output.c:433 dst_output include/net/dst.h:451 [inline] ip_local_out+0xaf/0x1a0 net/ipv4/ip_output.c:129 iptunnel_xmit+0x5b4/0x9b0 net/ipv4/ip_tunnel_core.c:82 ipip6_tunnel_xmit net/ipv6/sit.c:1034 [inline] sit_tunnel_xmit+0xed2/0x28f0 net/ipv6/sit.c:1076 __netdev_start_xmit include/linux/netdevice.h:4940 [inline] netdev_start_xmit include/linux/netdevice.h:4954 [inline] xmit_one net/core/dev.c:3545 [inline] dev_hard_start_xmit+0x13d/0x6d0 net/core/dev.c:3561 __dev_queue_xmit+0x7c1/0x3d60 net/core/dev.c:4346 dev_queue_xmit include/linux/netdevice.h:3134 [inline] packet_xmit+0x257/0x380 net/packet/af_packet.c:276 packet_snd net/packet/af_packet.c:3087 [inline] packet_sendmsg+0x24ca/0x5240 net/packet/af_packet.c:3119 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0xd5/0x180 net/socket.c:745 __sys_sendto+0x255/0x340 net/socket.c:2190 __do_sys_sendto net/socket.c:2202 [inline] __se_sys_sendto net/socket.c:2198 [inline] __x64_sys_sendto+0xe0/0x1b0 net/socket.c:2198 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x40/0x110 arch/x86/entry/common.c:82 entry_SYSCALL_64_after_hwframe+0x63/0x6b Found by Linux Verification Center (linuxtesting.org) with Syzkaller Уязвимость компонента net ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: amd: Adjust error handling in case of absent codec device acpi_get_first_physical_node() can return NULL in several cases (no such device, ACPI table error, reference count drop to 0, etc). Existing check just emit error message, but doesn't perform return. Then this NULL pointer is passed to devm_acpi_dev_add_driver_gpios() where it is dereferenced. Adjust this error handling by adding error code return. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента sound/soc/amd/acp-es8336.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: keystone: Fix NULL pointer dereference in case of DT error in ks_pcie_setup_rc_app_regs() If IORESOURCE_MEM is not provided in Device Tree due to any error, resource_list_first_type() will return NULL and pci_parse_request_of_pci_ranges() will just emit a warning. This will cause a NULL pointer dereference. Fix this bug by adding NULL return check. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента keystone ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix infinite loop when replaying fast_commit When doing fast_commit replay an infinite loop may occur due to an uninitialized extent_status struct. ext4_ext_determine_insert_hole() does not detect the replay and calls ext4_es_find_extent_range(), which will return immediately without initializing the 'es' variable. Because 'es' contains garbage, an integer overflow may happen causing an infinite loop in this function, easily reproducible using fstest generic/039. This commit fixes this issue by unconditionally initializing the structure in function ext4_es_find_extent_range(). Thanks to Zhang Yi, for figuring out the real problem! Уязвимость компонента ext4 ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/qxl: Add check for drm_cvt_mode Add check for the return value of drm_cvt_mode() and return the error if it fails in order to avoid NULL pointer dereference. Уязвимость компонента drm/qxl ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: leds: trigger: Unregister sysfs attributes before calling deactivate() Triggers which have trigger specific sysfs attributes typically store related data in trigger-data allocated by the activate() callback and freed by the deactivate() callback. Calling device_remove_groups() after calling deactivate() leaves a window where the sysfs attributes show/store functions could be called after deactivation and then operate on the just freed trigger-data. Move the device_remove_groups() call to before deactivate() to close this race window. This also makes the deactivation path properly do things in reverse order of the activation path which calls the activate() callback before calling device_add_groups(). Уязвимость компонента leds ядра операционной системы Linux связана с ошибкой повторного освобождения памяти в функции led_trigger_set(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/uv: Don't call folio_wait_writeback() without a folio reference folio_wait_writeback() requires that no spinlocks are held and that a folio reference is held, as documented. After we dropped the PTL, the folio could get freed concurrently. So grab a temporary reference. Уязвимость компонента s390/uv ядра операционной системы Linux связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: v4l: async: Fix NULL pointer dereference in adding ancillary links In v4l2_async_create_ancillary_links(), ancillary links are created for lens and flash sub-devices. These are sub-device to sub-device links and if the async notifier is related to a V4L2 device, the source sub-device of the ancillary link is NULL, leading to a NULL pointer dereference. Check the notifier's sd field is non-NULL in v4l2_async_create_ancillary_links(). [Sakari Ailus: Reword the subject and commit messages slightly.] Уязвимость функции v4l2_async_create_ancillary_links() компонента drivers/media/v4l2-core/v4l2-async.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xdp: fix invalid wait context of page_pool_destroy() If the driver uses a page pool, it creates a page pool with page_pool_create(). The reference count of page pool is 1 as default. A page pool will be destroyed only when a reference count reaches 0. page_pool_destroy() is used to destroy page pool, it decreases a reference count. When a page pool is destroyed, ->disconnect() is called, which is mem_allocator_disconnect(). This function internally acquires mutex_lock(). If the driver uses XDP, it registers a memory model with xdp_rxq_info_reg_mem_model(). The xdp_rxq_info_reg_mem_model() internally increases a page pool reference count if a memory model is a page pool. Now the reference count is 2. To destroy a page pool, the driver should call both page_pool_destroy() and xdp_unreg_mem_model(). The xdp_unreg_mem_model() internally calls page_pool_destroy(). Only page_pool_destroy() decreases a reference count. If a driver calls page_pool_destroy() then xdp_unreg_mem_model(), we will face an invalid wait context warning. Because xdp_unreg_mem_model() calls page_pool_destroy() with rcu_read_lock(). The page_pool_destroy() internally acquires mutex_lock(). Splat looks like: ============================= [ BUG: Invalid wait context ] 6.10.0-rc6+ #4 Tainted: G W ----------------------------- ethtool/1806 is trying to lock: ffffffff90387b90 (mem_id_lock){+.+.}-{4:4}, at: mem_allocator_disconnect+0x73/0x150 other info that might help us debug this: context-{5:5} 3 locks held by ethtool/1806: stack backtrace: CPU: 0 PID: 1806 Comm: ethtool Tainted: G W 6.10.0-rc6+ #4 f916f41f172891c800f2fed Hardware name: ASUS System Product Name/PRIME Z690-P D4, BIOS 0603 11/01/2021 Call Trace: <TASK> dump_stack_lvl+0x7e/0xc0 __lock_acquire+0x1681/0x4de0 ? _printk+0x64/0xe0 ? __pfx_mark_lock.part.0+0x10/0x10 ? __pfx___lock_acquire+0x10/0x10 lock_acquire+0x1b3/0x580 ? mem_allocator_disconnect+0x73/0x150 ? __wake_up_klogd.part.0+0x16/0xc0 ? __pfx_lock_acquire+0x10/0x10 ? dump_stack_lvl+0x91/0xc0 __mutex_lock+0x15c/0x1690 ? mem_allocator_disconnect+0x73/0x150 ? __pfx_prb_read_valid+0x10/0x10 ? mem_allocator_disconnect+0x73/0x150 ? __pfx_llist_add_batch+0x10/0x10 ? console_unlock+0x193/0x1b0 ? lockdep_hardirqs_on+0xbe/0x140 ? __pfx___mutex_lock+0x10/0x10 ? tick_nohz_tick_stopped+0x16/0x90 ? __irq_work_queue_local+0x1e5/0x330 ? irq_work_queue+0x39/0x50 ? __wake_up_klogd.part.0+0x79/0xc0 ? mem_allocator_disconnect+0x73/0x150 mem_allocator_disconnect+0x73/0x150 ? __pfx_mem_allocator_disconnect+0x10/0x10 ? mark_held_locks+0xa5/0xf0 ? rcu_is_watching+0x11/0xb0 page_pool_release+0x36e/0x6d0 page_pool_destroy+0xd7/0x440 xdp_unreg_mem_model+0x1a7/0x2a0 ? __pfx_xdp_unreg_mem_model+0x10/0x10 ? kfree+0x125/0x370 ? bnxt_free_ring.isra.0+0x2eb/0x500 ? bnxt_free_mem+0x5ac/0x2500 xdp_rxq_info_unreg+0x4a/0xd0 bnxt_free_mem+0x1356/0x2500 bnxt_close_nic+0xf0/0x3b0 ? __pfx_bnxt_close_nic+0x10/0x10 ? ethnl_parse_bit+0x2c6/0x6d0 ? __pfx___nla_validate_parse+0x10/0x10 ? __pfx_ethnl_parse_bit+0x10/0x10 bnxt_set_features+0x2a8/0x3e0 __netdev_update_features+0x4dc/0x1370 ? ethnl_parse_bitset+0x4ff/0x750 ? __pfx_ethnl_parse_bitset+0x10/0x10 ? __pfx___netdev_update_features+0x10/0x10 ? mark_held_locks+0xa5/0xf0 ? _raw_spin_unlock_irqrestore+0x42/0x70 ? __pm_runtime_resume+0x7d/0x110 ethnl_set_features+0x32d/0xa20 To fix this problem, it uses rhashtable_lookup_fast() instead of rhashtable_lookup() with rcu_read_lock(). Using xa without rcu_read_lock() here is safe. xa is freed by __xdp_mem_allocator_rcu_free() and this is called by call_rcu() of mem_xa_remove(). The mem_xa_remove() is called by page_pool_destroy() if a reference count reaches 0. The xa is already protected by the reference count mechanism well in the control plane. So removing rcu_read_lock() for page_pool_destroy() is safe. Уязвимость компонента xdp ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: virtio_net: Fix napi_skb_cache_put warning After the commit bdacf3e34945 ("net: Use nested-BH locking for napi_alloc_cache.") was merged, the following warning began to appear: WARNING: CPU: 5 PID: 1 at net/core/skbuff.c:1451 napi_skb_cache_put+0x82/0x4b0 __warn+0x12f/0x340 napi_skb_cache_put+0x82/0x4b0 napi_skb_cache_put+0x82/0x4b0 report_bug+0x165/0x370 handle_bug+0x3d/0x80 exc_invalid_op+0x1a/0x50 asm_exc_invalid_op+0x1a/0x20 __free_old_xmit+0x1c8/0x510 napi_skb_cache_put+0x82/0x4b0 __free_old_xmit+0x1c8/0x510 __free_old_xmit+0x1c8/0x510 __pfx___free_old_xmit+0x10/0x10 The issue arises because virtio is assuming it's running in NAPI context even when it's not, such as in the netpoll case. To resolve this, modify virtnet_poll_tx() to only set NAPI when budget is available. Same for virtnet_poll_cleantx(), which always assumed that it was in a NAPI context. Уязвимость компонента virtio_net ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix null pointer dereference in resolve_prog_type() for BPF_PROG_TYPE_EXT When loading a EXT program without specifying `attr->attach_prog_fd`, the `prog->aux->dst_prog` will be null. At this time, calling resolve_prog_type() anywhere will result in a null pointer dereference. Example stack trace: [ 8.107863] Unable to handle kernel NULL pointer dereference at virtual address 0000000000000004 [ 8.108262] Mem abort info: [ 8.108384] ESR = 0x0000000096000004 [ 8.108547] EC = 0x25: DABT (current EL), IL = 32 bits [ 8.108722] SET = 0, FnV = 0 [ 8.108827] EA = 0, S1PTW = 0 [ 8.108939] FSC = 0x04: level 0 translation fault [ 8.109102] Data abort info: [ 8.109203] ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 [ 8.109399] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 8.109614] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 8.109836] user pgtable: 4k pages, 48-bit VAs, pgdp=0000000101354000 [ 8.110011] [0000000000000004] pgd=0000000000000000, p4d=0000000000000000 [ 8.112624] Internal error: Oops: 0000000096000004 [#1] PREEMPT SMP [ 8.112783] Modules linked in: [ 8.113120] CPU: 0 PID: 99 Comm: may_access_dire Not tainted 6.10.0-rc3-next-20240613-dirty #1 [ 8.113230] Hardware name: linux,dummy-virt (DT) [ 8.113390] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 8.113429] pc : may_access_direct_pkt_data+0x24/0xa0 [ 8.113746] lr : add_subprog_and_kfunc+0x634/0x8e8 [ 8.113798] sp : ffff80008283b9f0 [ 8.113813] x29: ffff80008283b9f0 x28: ffff800082795048 x27: 0000000000000001 [ 8.113881] x26: ffff0000c0bb2600 x25: 0000000000000000 x24: 0000000000000000 [ 8.113897] x23: ffff0000c1134000 x22: 000000000001864f x21: ffff0000c1138000 [ 8.113912] x20: 0000000000000001 x19: ffff0000c12b8000 x18: ffffffffffffffff [ 8.113929] x17: 0000000000000000 x16: 0000000000000000 x15: 0720072007200720 [ 8.113944] x14: 0720072007200720 x13: 0720072007200720 x12: 0720072007200720 [ 8.113958] x11: 0720072007200720 x10: 0000000000f9fca4 x9 : ffff80008021f4e4 [ 8.113991] x8 : 0101010101010101 x7 : 746f72705f6d656d x6 : 000000001e0e0f5f [ 8.114006] x5 : 000000000001864f x4 : ffff0000c12b8000 x3 : 000000000000001c [ 8.114020] x2 : 0000000000000002 x1 : 0000000000000000 x0 : 0000000000000000 [ 8.114126] Call trace: [ 8.114159] may_access_direct_pkt_data+0x24/0xa0 [ 8.114202] bpf_check+0x3bc/0x28c0 [ 8.114214] bpf_prog_load+0x658/0xa58 [ 8.114227] __sys_bpf+0xc50/0x2250 [ 8.114240] __arm64_sys_bpf+0x28/0x40 [ 8.114254] invoke_syscall.constprop.0+0x54/0xf0 [ 8.114273] do_el0_svc+0x4c/0xd8 [ 8.114289] el0_svc+0x3c/0x140 [ 8.114305] el0t_64_sync_handler+0x134/0x150 [ 8.114331] el0t_64_sync+0x168/0x170 [ 8.114477] Code: 7100707f 54000081 f9401c00 f9403800 (b9400403) [ 8.118672] ---[ end trace 0000000000000000 ]--- One way to fix it is by forcing `attach_prog_fd` non-empty when bpf_prog_load(). But this will lead to `libbpf_probe_bpf_prog_type` API broken which use verifier log to probe prog type and will log nothing if we reject invalid EXT prog before bpf_check(). Another way is by adding null check in resolve_prog_type(). The issue was introduced by commit 4a9c7bbe2ed4 ("bpf: Resolve to prog->aux->dst_prog->type only for BPF_PROG_TYPE_EXT") which wanted to correct type resolution for BPF_PROG_TYPE_TRACING programs. Before that, the type resolution of BPF_PROG_TYPE_EXT prog actually follows the logic below: prog->aux->dst_prog ? prog->aux->dst_prog->type : prog->type; It implies that when EXT program is not yet attached to `dst_prog`, the prog type should be EXT itself. This code worked fine in the past. So just keep using it. Fix this by returning `prog->type` for BPF_PROG_TYPE_EXT if `dst_prog` is not present in resolve_prog_type(). Уязвимость функции resolve_prog_type() компонента include/linux/bpf_verifier.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bna: adjust 'name' buf size of bna_tcb and bna_ccb structures To have enough space to write all possible sprintf() args. Currently 'name' size is 16, but the first '%s' specifier may already need at least 16 characters, since 'bnad->netdev->name' is used there. For '%d' specifiers, assume that they require: * 1 char for 'tx_id + tx_info->tcb[i]->id' sum, BNAD_MAX_TXQ_PER_TX is 8 * 2 chars for 'rx_id + rx_info->rx_ctrl[i].ccb->id', BNAD_MAX_RXP_PER_RX is 16 And replace sprintf with snprintf. Detected using the static analysis tool - Svace. Уязвимость компонента bna ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw89: Fix array index mistake in rtw89_sta_info_get_iter() In rtw89_sta_info_get_iter() 'status->he_gi' is compared to array size. But then 'rate->he_gi' is used as array index instead of 'status->he_gi'. This can lead to go beyond array boundaries in case of 'rate->he_gi' is not equal to 'status->he_gi' and is bigger than array size. Looks like "copy-paste" mistake. Fix this mistake by replacing 'rate->he_gi' with 'status->he_gi'. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции rtw89_sta_info_get_iter() в модуле drivers/net/wireless/realtek/rtw89/debug.c драйвера беспроводных адаптеров Realtek ядра операционной системы Linux связана с некорректным вычислением индекса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: lib: objagg: Fix general protection fault The library supports aggregation of objects into other objects only if the parent object does not have a parent itself. That is, nesting is not supported. Aggregation happens in two cases: Without and with hints, where hints are a pre-computed recommendation on how to aggregate the provided objects. Nesting is not possible in the first case due to a check that prevents it, but in the second case there is no check because the assumption is that nesting cannot happen when creating objects based on hints. The violation of this assumption leads to various warnings and eventually to a general protection fault [1]. Before fixing the root cause, error out when nesting happens and warn. [1] general protection fault, probably for non-canonical address 0xdead000000000d90: 0000 [#1] PREEMPT SMP PTI CPU: 1 PID: 1083 Comm: kworker/1:9 Tainted: G W 6.9.0-rc6-custom-gd9b4f1cca7fb #7 Hardware name: Mellanox Technologies Ltd. MSN3700/VMOD0005, BIOS 5.11 01/06/2019 Workqueue: mlxsw_core mlxsw_sp_acl_tcam_vregion_rehash_work RIP: 0010:mlxsw_sp_acl_erp_bf_insert+0x25/0x80 [...] Call Trace: <TASK> mlxsw_sp_acl_atcam_entry_add+0x256/0x3c0 mlxsw_sp_acl_tcam_entry_create+0x5e/0xa0 mlxsw_sp_acl_tcam_vchunk_migrate_one+0x16b/0x270 mlxsw_sp_acl_tcam_vregion_rehash_work+0xbe/0x510 process_one_work+0x151/0x370 worker_thread+0x2cb/0x3e0 kthread+0xd0/0x100 ret_from_fork+0x34/0x50 ret_from_fork_asm+0x1a/0x30 </TASK> Уязвимость компонента objagg ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: qcom: pdr: protect locator_addr with the main mutex If the service locator server is restarted fast enough, the PDR can rewrite locator_addr fields concurrently. Protect them by placing modification of those fields under the main pdr->lock. Уязвимость компонента pdr ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: xilinx: rename cpu_number1 to dummy_cpu_number The per cpu variable cpu_number1 is passed to xlnx_event_handler as argument "dev_id", but it is not used in this function. So drop the initialization of this variable and rename it to dummy_cpu_number. This patch is to fix the following call trace when the kernel option CONFIG_DEBUG_ATOMIC_SLEEP is enabled: BUG: sleeping function called from invalid context at include/linux/sched/mm.h:274 in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 1, name: swapper/0 preempt_count: 1, expected: 0 CPU: 0 PID: 1 Comm: swapper/0 Not tainted 6.1.0 #53 Hardware name: Xilinx Versal vmk180 Eval board rev1.1 (QSPI) (DT) Call trace: dump_backtrace+0xd0/0xe0 show_stack+0x18/0x40 dump_stack_lvl+0x7c/0xa0 dump_stack+0x18/0x34 __might_resched+0x10c/0x140 __might_sleep+0x4c/0xa0 __kmem_cache_alloc_node+0xf4/0x168 kmalloc_trace+0x28/0x38 __request_percpu_irq+0x74/0x138 xlnx_event_manager_probe+0xf8/0x298 platform_probe+0x68/0xd8 Уязвимость компонента drivers/soc/xilinx/xlnx_event_manager.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cgroup/cpuset: Prevent UAF in proc_cpuset_show() An UAF can happen when /proc/cpuset is read as reported in [1]. This can be reproduced by the following methods: 1.add an mdelay(1000) before acquiring the cgroup_lock In the cgroup_path_ns function. 2.$cat /proc/<pid>/cpuset repeatly. 3.$mount -t cgroup -o cpuset cpuset /sys/fs/cgroup/cpuset/ $umount /sys/fs/cgroup/cpuset/ repeatly. The race that cause this bug can be shown as below: (umount) | (cat /proc/<pid>/cpuset) css_release | proc_cpuset_show css_release_work_fn | css = task_get_css(tsk, cpuset_cgrp_id); css_free_rwork_fn | cgroup_path_ns(css->cgroup, ...); cgroup_destroy_root | mutex_lock(&cgroup_mutex); rebind_subsystems | cgroup_free_root | | // cgrp was freed, UAF | cgroup_path_ns_locked(cgrp,..); When the cpuset is initialized, the root node top_cpuset.css.cgrp will point to &cgrp_dfl_root.cgrp. In cgroup v1, the mount operation will allocate cgroup_root, and top_cpuset.css.cgrp will point to the allocated &cgroup_root.cgrp. When the umount operation is executed, top_cpuset.css.cgrp will be rebound to &cgrp_dfl_root.cgrp. The problem is that when rebinding to cgrp_dfl_root, there are cases where the cgroup_root allocated by setting up the root for cgroup v1 is cached. This could lead to a Use-After-Free (UAF) if it is subsequently freed. The descendant cgroups of cgroup v1 can only be freed after the css is released. However, the css of the root will never be released, yet the cgroup_root should be freed when it is unmounted. This means that obtaining a reference to the css of the root does not guarantee that css.cgrp->root will not be freed. Fix this problem by using rcu_read_lock in proc_cpuset_show(). As cgroup_root is kfree_rcu after commit d23b5c577715 ("cgroup: Make operations on the cgroup root_list RCU safe"), css->cgroup won't be freed during the critical section. To call cgroup_path_ns_locked, css_set_lock is needed, so it is safe to replace task_get_css with task_css. [1] https://syzkaller.appspot.com/bug?extid=9b1ff7be974a403aa4cd Уязвимость функции proc_cpuset_show() (kernel/cgroup/cpuset.c) ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: block: initialize integrity buffer to zero before writing it to media Metadata added by bio_integrity_prep is using plain kmalloc, which leads to random kernel memory being written media. For PI metadata this is limited to the app tag that isn't used by kernel generated metadata, but for non-PI metadata the entire buffer leaks kernel memory. Fix this by adding the __GFP_ZERO flag to allocations for writes. Уязвимость компонента block ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: md: fix deadlock between mddev_suspend and flush bio Deadlock occurs when mddev is being suspended while some flush bio is in progress. It is a complex issue. T1. the first flush is at the ending stage, it clears 'mddev->flush_bio' and tries to submit data, but is blocked because mddev is suspended by T4. T2. the second flush sets 'mddev->flush_bio', and attempts to queue md_submit_flush_data(), which is already running (T1) and won't execute again if on the same CPU as T1. T3. the third flush inc active_io and tries to flush, but is blocked because 'mddev->flush_bio' is not NULL (set by T2). T4. mddev_suspend() is called and waits for active_io dec to 0 which is inc by T3. T1 T2 T3 T4 (flush 1) (flush 2) (third 3) (suspend) md_submit_flush_data mddev->flush_bio = NULL; . . md_flush_request . mddev->flush_bio = bio . queue submit_flushes . . . . md_handle_request . . active_io + 1 . . md_flush_request . . wait !mddev->flush_bio . . . . mddev_suspend . . wait !active_io . . . submit_flushes . queue_work md_submit_flush_data . //md_submit_flush_data is already running (T1) . md_handle_request wait resume The root issue is non-atomic inc/dec of active_io during flush process. active_io is dec before md_submit_flush_data is queued, and inc soon after md_submit_flush_data() run. md_flush_request active_io + 1 submit_flushes active_io - 1 md_submit_flush_data md_handle_request active_io + 1 make_request active_io - 1 If active_io is dec after md_handle_request() instead of within submit_flushes(), make_request() can be called directly intead of md_handle_request() in md_submit_flush_data(), and active_io will only inc and dec once in the whole flush process. Deadlock will be fixed. Additionally, the only difference between fixing the issue and before is that there is no return error handling of make_request(). But after previous patch cleaned md_write_start(), make_requst() only return error in raid5_make_request() by dm-raid, see commit 41425f96d7aa ("dm-raid456, md/raid456: fix a deadlock for dm-raid456 while io concurrent with reshape)". Since dm always splits data and flush operation into two separate io, io size of flush submitted by dm always is 0, make_request() will not be called in md_submit_flush_data(). To prevent future modifications from introducing issues, add WARN_ON to ensure make_request() no error is returned in this context. Уязвимость компонента drivers/md/md.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dma: fix call order in dmam_free_coherent dmam_free_coherent() frees a DMA allocation, which makes the freed vaddr available for reuse, then calls devres_destroy() to remove and free the data structure used to track the DMA allocation. Between the two calls, it is possible for a concurrent task to make an allocation with the same vaddr and add it to the devres list. If this happens, there will be two entries in the devres list with the same vaddr and devres_destroy() can free the wrong entry, triggering the WARN_ON() in dmam_match. Fix by destroying the devres entry before freeing the DMA allocation. kokonut //net/encryption http://sponge2/b9145fe6-0f72-4325-ac2f-a84d81075b03 Уязвимость компонента dma ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to truncate preallocated blocks in f2fs_file_open() chenyuwen reports a f2fs bug as below: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000011 fscrypt_set_bio_crypt_ctx+0x78/0x1e8 f2fs_grab_read_bio+0x78/0x208 f2fs_submit_page_read+0x44/0x154 f2fs_get_read_data_page+0x288/0x5f4 f2fs_get_lock_data_page+0x60/0x190 truncate_partial_data_page+0x108/0x4fc f2fs_do_truncate_blocks+0x344/0x5f0 f2fs_truncate_blocks+0x6c/0x134 f2fs_truncate+0xd8/0x200 f2fs_iget+0x20c/0x5ac do_garbage_collect+0x5d0/0xf6c f2fs_gc+0x22c/0x6a4 f2fs_disable_checkpoint+0xc8/0x310 f2fs_fill_super+0x14bc/0x1764 mount_bdev+0x1b4/0x21c f2fs_mount+0x20/0x30 legacy_get_tree+0x50/0xbc vfs_get_tree+0x5c/0x1b0 do_new_mount+0x298/0x4cc path_mount+0x33c/0x5fc __arm64_sys_mount+0xcc/0x15c invoke_syscall+0x60/0x150 el0_svc_common+0xb8/0xf8 do_el0_svc+0x28/0xa0 el0_svc+0x24/0x84 el0t_64_sync_handler+0x88/0xec It is because inode.i_crypt_info is not initialized during below path: - mount - f2fs_fill_super - f2fs_disable_checkpoint - f2fs_gc - f2fs_iget - f2fs_truncate So, let's relocate truncation of preallocated blocks to f2fs_file_open(), after fscrypt_file_open(). Уязвимость функции f2fs_file_open() компонента fs/f2fs ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: remoteproc: imx_rproc: Skip over memory region when node value is NULL In imx_rproc_addr_init() "nph = of_count_phandle_with_args()" just counts number of phandles. But phandles may be empty. So of_parse_phandle() in the parsing loop (0 < a < nph) may return NULL which is later dereferenced. Adjust this issue by adding NULL-return check. Found by Linux Verification Center (linuxtesting.org) with SVACE. [Fixed title to fit within the prescribed 70-75 charcters] Уязвимость компонента remoteproc ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: qmi_wwan: fix memory leak for not ip packets Free the unused skb when not ip packets arrive. Уязвимость компонента qmi_wwan ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vmwgfx: Fix a deadlock in dma buf fence polling Introduce a version of the fence ops that on release doesn't remove the fence from the pending list, and thus doesn't require a lock to fix poll->fence wait->fence unref deadlocks. vmwgfx overwrites the wait callback to iterate over the list of all fences and update their status, to do that it holds a lock to prevent the list modifcations from other threads. The fence destroy callback both deletes the fence and removes it from the list of pending fences, for which it holds a lock. dma buf polling cb unrefs a fence after it's been signaled: so the poll calls the wait, which signals the fences, which are being destroyed. The destruction tries to acquire the lock on the pending fences list which it can never get because it's held by the wait from which it was called. Old bug, but not a lot of userspace apps were using dma-buf polling interfaces. Fix those, in particular this fixes KDE stalls/deadlock. Уязвимость компонента drm/vmwgfx ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Always drain health in shutdown callback There is no point in recovery during device shutdown. if health work started need to wait for it to avoid races and NULL pointer access. Hence, drain health WQ on shutdown callback. Уязвимость компонента drivers/net/ethernet/mellanox/mlx5 ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/nouveau: prime: fix refcount underflow Calling nouveau_bo_ref() on a nouveau_bo without initializing it (and hence the backing ttm_bo) leads to a refcount underflow. Instead of calling nouveau_bo_ref() in the unwind path of drm_gem_object_init(), clean things up manually. (cherry picked from commit 1b93f3e89d03cfc576636e195466a0d728ad8de5) Уязвимость компонентов drm/nouveau ядра операционной системы Linux связана с целочисленной потерей значимости в функции nouveau_gem_prime_import_sg_table(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: riscv/purgatory: align riscv_kernel_entry When alignment handling is delegated to the kernel, everything must be word-aligned in purgatory, since the trap handler is then set to the kexec one. Without the alignment, hitting the exception would ultimately crash. On other occasions, the kernel's handler would take care of exceptions. This has been tested on a JH7110 SoC with oreboot and its SBI delegating unaligned access exceptions and the kernel configured to handle them. Уязвимость функции SYM_CODE_END() компонентов riscv/purgatory ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf: Fix event leak upon exec and file release The perf pending task work is never waited upon the matching event release. In the case of a child event, released via free_event() directly, this can potentially result in a leaked event, such as in the following scenario that doesn't even require a weak IRQ work implementation to trigger: schedule() prepare_task_switch() =======> <NMI> perf_event_overflow() event->pending_sigtrap = ... irq_work_queue(&event->pending_irq) <======= </NMI> perf_event_task_sched_out() event_sched_out() event->pending_sigtrap = 0; atomic_long_inc_not_zero(&event->refcount) task_work_add(&event->pending_task) finish_lock_switch() =======> <IRQ> perf_pending_irq() //do nothing, rely on pending task work <======= </IRQ> begin_new_exec() perf_event_exit_task() perf_event_exit_event() // If is child event free_event() WARN(atomic_long_cmpxchg(&event->refcount, 1, 0) != 1) // event is leaked Similar scenarios can also happen with perf_event_remove_on_exec() or simply against concurrent perf_event_release(). Fix this with synchonizing against the possibly remaining pending task work while freeing the event, just like is done with remaining pending IRQ work. This means that the pending task callback neither need nor should hold a reference to the event, preventing it from ever beeing freed. Уязвимость компонентов net/mlx5e ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf: Fix event leak upon exit When a task is scheduled out, pending sigtrap deliveries are deferred to the target task upon resume to userspace via task_work. However failures while adding an event's callback to the task_work engine are ignored. And since the last call for events exit happen after task work is eventually closed, there is a small window during which pending sigtrap can be queued though ignored, leaking the event refcount addition such as in the following scenario: TASK A ----- do_exit() exit_task_work(tsk); <IRQ> perf_event_overflow() event->pending_sigtrap = pending_id; irq_work_queue(&event->pending_irq); </IRQ> =========> PREEMPTION: TASK A -> TASK B event_sched_out() event->pending_sigtrap = 0; atomic_long_inc_not_zero(&event->refcount) // FAILS: task work has exited task_work_add(&event->pending_task) [...] <IRQ WORK> perf_pending_irq() // early return: event->oncpu = -1 </IRQ WORK> [...] =========> TASK B -> TASK A perf_event_exit_task(tsk) perf_event_exit_event() free_event() WARN(atomic_long_cmpxchg(&event->refcount, 1, 0) != 1) // leak event due to unexpected refcount == 2 As a result the event is never released while the task exits. Fix this with appropriate task_work_add()'s error handling. Уязвимость компонента perf ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы в функции event_sched_out(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: devres: Fix memory leakage caused by driver API devm_free_percpu() It will cause memory leakage when use driver API devm_free_percpu() to free memory allocated by devm_alloc_percpu(), fixed by using devres_release() instead of devres_destroy() within devm_free_percpu(). Уязвимость компонента devres ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: endpoint: Clean up error handling in vpci_scan_bus() Smatch complains about inconsistent NULL checking in vpci_scan_bus(): drivers/pci/endpoint/functions/pci-epf-vntb.c:1024 vpci_scan_bus() error: we previously assumed 'vpci_bus' could be null (see line 1021) Instead of printing an error message and then crashing we should return an error code and clean up. Also the NULL check is reversed so it prints an error for success instead of failure. Уязвимость компонента endpoint ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: rcar: Demote WARN() to dev_warn_ratelimited() in rcar_pcie_wakeup() Avoid large backtrace, it is sufficient to warn the user that there has been a link problem. Either the link has failed and the system is in need of maintenance, or the link continues to work and user has been informed. The message from the warning can be looked up in the sources. This makes an actual link issue less verbose. First of all, this controller has a limitation in that the controller driver has to assist the hardware with transition to L1 link state by writing L1IATN to PMCTRL register, the L1 and L0 link state switching is not fully automatic on this controller. In case of an ASMedia ASM1062 PCIe SATA controller which does not support ASPM, on entry to suspend or during platform pm_test, the SATA controller enters D3hot state and the link enters L1 state. If the SATA controller wakes up before rcar_pcie_wakeup() was called and returns to D0, the link returns to L0 before the controller driver even started its transition to L1 link state. At this point, the SATA controller did send an PM_ENTER_L1 DLLP to the PCIe controller and the PCIe controller received it, and the PCIe controller did set PMSR PMEL1RX bit. Once rcar_pcie_wakeup() is called, if the link is already back in L0 state and PMEL1RX bit is set, the controller driver has no way to determine if it should perform the link transition to L1 state, or treat the link as if it is in L0 state. Currently the driver attempts to perform the transition to L1 link state unconditionally, which in this specific case fails with a PMSR L1FAEG poll timeout, however the link still works as it is already back in L0 state. Reduce this warning verbosity. In case the link is really broken, the rcar_pcie_config_access() would fail, otherwise it will succeed and any system with this controller and ASM1062 can suspend without generating a backtrace. Уязвимость компонента rcar ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: pci: ivtv: Add check for DMA map result In case DMA fails, 'dma->SG_length' is 0. This value is later used to access 'dma->SGarray[dma->SG_length - 1]', which will cause out of bounds access. Add check to return early on invalid value. Adjust warnings accordingly. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента ivtv ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: handle 2x996 RU allocation in cfg80211_calculate_bitrate_he() Currently NL80211_RATE_INFO_HE_RU_ALLOC_2x996 is not handled in cfg80211_calculate_bitrate_he(), leading to below warning: kernel: invalid HE MCS: bw:6, ru:6 kernel: WARNING: CPU: 0 PID: 2312 at net/wireless/util.c:1501 cfg80211_calculate_bitrate_he+0x22b/0x270 [cfg80211] Fix it by handling 2x996 RU allocation in the same way as 160 MHz bandwidth. Уязвимость компонента cfg80211 ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mlxsw: spectrum_acl_erp: Fix object nesting warning ACLs in Spectrum-2 and newer ASICs can reside in the algorithmic TCAM (A-TCAM) or in the ordinary circuit TCAM (C-TCAM). The former can contain more ACLs (i.e., tc filters), but the number of masks in each region (i.e., tc chain) is limited. In order to mitigate the effects of the above limitation, the device allows filters to share a single mask if their masks only differ in up to 8 consecutive bits. For example, dst_ip/25 can be represented using dst_ip/24 with a delta of 1 bit. The C-TCAM does not have a limit on the number of masks being used (and therefore does not support mask aggregation), but can contain a limited number of filters. The driver uses the "objagg" library to perform the mask aggregation by passing it objects that consist of the filter's mask and whether the filter is to be inserted into the A-TCAM or the C-TCAM since filters in different TCAMs cannot share a mask. The set of created objects is dependent on the insertion order of the filters and is not necessarily optimal. Therefore, the driver will periodically ask the library to compute a more optimal set ("hints") by looking at all the existing objects. When the library asks the driver whether two objects can be aggregated the driver only compares the provided masks and ignores the A-TCAM / C-TCAM indication. This is the right thing to do since the goal is to move as many filters as possible to the A-TCAM. The driver also forbids two identical masks from being aggregated since this can only happen if one was intentionally put in the C-TCAM to avoid a conflict in the A-TCAM. The above can result in the following set of hints: H1: {mask X, A-TCAM} -> H2: {mask Y, A-TCAM} // X is Y + delta H3: {mask Y, C-TCAM} -> H4: {mask Z, A-TCAM} // Y is Z + delta After getting the hints from the library the driver will start migrating filters from one region to another while consulting the computed hints and instructing the device to perform a lookup in both regions during the transition. Assuming a filter with mask X is being migrated into the A-TCAM in the new region, the hints lookup will return H1. Since H2 is the parent of H1, the library will try to find the object associated with it and create it if necessary in which case another hints lookup (recursive) will be performed. This hints lookup for {mask Y, A-TCAM} will either return H2 or H3 since the driver passes the library an object comparison function that ignores the A-TCAM / C-TCAM indication. This can eventually lead to nested objects which are not supported by the library [1]. Fix by removing the object comparison function from both the driver and the library as the driver was the only user. That way the lookup will only return exact matches. I do not have a reliable reproducer that can reproduce the issue in a timely manner, but before the fix the issue would reproduce in several minutes and with the fix it does not reproduce in over an hour. Note that the current usefulness of the hints is limited because they include the C-TCAM indication and represent aggregation that cannot actually happen. This will be addressed in net-next. [1] WARNING: CPU: 0 PID: 153 at lib/objagg.c:170 objagg_obj_parent_assign+0xb5/0xd0 Modules linked in: CPU: 0 PID: 153 Comm: kworker/0:18 Not tainted 6.9.0-rc6-custom-g70fbc2c1c38b #42 Hardware name: Mellanox Technologies Ltd. MSN3700C/VMOD0008, BIOS 5.11 10/10/2018 Workqueue: mlxsw_core mlxsw_sp_acl_tcam_vregion_rehash_work RIP: 0010:objagg_obj_parent_assign+0xb5/0xd0 [...] Call Trace: <TASK> __objagg_obj_get+0x2bb/0x580 objagg_obj_get+0xe/0x80 mlxsw_sp_acl_erp_mask_get+0xb5/0xf0 mlxsw_sp_acl_atcam_entry_add+0xe8/0x3c0 mlxsw_sp_acl_tcam_entry_create+0x5e/0xa0 mlxsw_sp_acl_tcam_vchunk_migrate_one+0x16b/0x270 mlxsw_sp_acl_tcam_vregion_rehash_work+0xbe/0x510 process_one_work+0x151/0x370 Уязвимость компонента spectrum_acl_erp ядра операционной системы Linux связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: exec: Fix ToCToU between perm check and set-uid/gid usage When opening a file for exec via do_filp_open(), permission checking is done against the file's metadata at that moment, and on success, a file pointer is passed back. Much later in the execve() code path, the file metadata (specifically mode, uid, and gid) is used to determine if/how to set the uid and gid. However, those values may have changed since the permissions check, meaning the execution may gain unintended privileges. For example, if a file could change permissions from executable and not set-id: ---------x 1 root root 16048 Aug 7 13:16 target to set-id and non-executable: ---S------ 1 root root 16048 Aug 7 13:16 target it is possible to gain root privileges when execution should have been disallowed. While this race condition is rare in real-world scenarios, it has been observed (and proven exploitable) when package managers are updating the setuid bits of installed programs. Such files start with being world-executable but then are adjusted to be group-exec with a set-uid bit. For example, "chmod o-x,u+s target" makes "target" executable only by uid "root" and gid "cdrom", while also becoming setuid-root: -rwxr-xr-x 1 root cdrom 16048 Aug 7 13:16 target becomes: -rwsr-xr-- 1 root cdrom 16048 Aug 7 13:16 target But racing the chmod means users without group "cdrom" membership can get the permission to execute "target" just before the chmod, and when the chmod finishes, the exec reaches brpm_fill_uid(), and performs the setuid to root, violating the expressed authorization of "only cdrom group members can setuid to root". Re-check that we still have execute permissions in case the metadata has changed. It would be better to keep a copy from the perm-check time, but until we can do that refactoring, the least-bad option is to do a full inode_permission() call (under inode lock). It is understood that this is safe against dead-locks, but hardly optimal. Уязвимость функции bprm_fill_uid() в модуле fs/exec.c ядра операционной системы Linux связана с недостаточной проверкой прав доступа из-за конкурентного доступа к ресурсу. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-367'), NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: vhci-hcd: Do not drop references before new references are gained At a few places the driver carries stale pointers to references that can still be used. Make sure that does not happen. This strictly speaking closes ZDI-CAN-22273, though there may be similar races in the driver. Уязвимость компонента vhci-hcd ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: Add error handling to pair_device() hci_conn_params_add() never checks for a NULL value and could lead to a NULL pointer dereference causing a crash. Fixed by adding error handling in the function. Уязвимость компонента Bluetooth ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: padata: Fix possible divide-by-0 panic in padata_mt_helper() We are hit with a not easily reproducible divide-by-0 panic in padata.c at bootup time. [ 10.017908] Oops: divide error: 0000 1 PREEMPT SMP NOPTI [ 10.017908] CPU: 26 PID: 2627 Comm: kworker/u1666:1 Not tainted 6.10.0-15.el10.x86_64 #1 [ 10.017908] Hardware name: Lenovo ThinkSystem SR950 [7X12CTO1WW]/[7X12CTO1WW], BIOS [PSE140J-2.30] 07/20/2021 [ 10.017908] Workqueue: events_unbound padata_mt_helper [ 10.017908] RIP: 0010:padata_mt_helper+0x39/0xb0 : [ 10.017963] Call Trace: [ 10.017968] <TASK> [ 10.018004] ? padata_mt_helper+0x39/0xb0 [ 10.018084] process_one_work+0x174/0x330 [ 10.018093] worker_thread+0x266/0x3a0 [ 10.018111] kthread+0xcf/0x100 [ 10.018124] ret_from_fork+0x31/0x50 [ 10.018138] ret_from_fork_asm+0x1a/0x30 [ 10.018147] </TASK> Looking at the padata_mt_helper() function, the only way a divide-by-0 panic can happen is when ps->chunk_size is 0. The way that chunk_size is initialized in padata_do_multithreaded(), chunk_size can be 0 when the min_chunk in the passed-in padata_mt_job structure is 0. Fix this divide-by-0 panic by making sure that chunk_size will be at least 1 no matter what the input parameters are. Уязвимость компонента padata ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Fix overflow in get_free_elt() "tracing_map->next_elt" in get_free_elt() is at risk of overflowing. Once it overflows, new elements can still be inserted into the tracing_map even though the maximum number of elements (`max_elts`) has been reached. Continuing to insert elements after the overflow could result in the tracing_map containing "tracing_map->max_size" elements, leaving no empty entries. If any attempt is made to insert an element into a full tracing_map using `__tracing_map_insert()`, it will cause an infinite loop with preemption disabled, leading to a CPU hang problem. Fix this by preventing any further increments to "tracing_map->next_elt" once it reaches "tracing_map->max_elt". Уязвимость компонента tracing ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: memcg: protect concurrent access to mem_cgroup_idr Commit 73f576c04b94 ("mm: memcontrol: fix cgroup creation failure after many small jobs") decoupled the memcg IDs from the CSS ID space to fix the cgroup creation failures. It introduced IDR to maintain the memcg ID space. The IDR depends on external synchronization mechanisms for modifications. For the mem_cgroup_idr, the idr_alloc() and idr_replace() happen within css callback and thus are protected through cgroup_mutex from concurrent modifications. However idr_remove() for mem_cgroup_idr was not protected against concurrency and can be run concurrently for different memcgs when they hit their refcnt to zero. Fix that. We have been seeing list_lru based kernel crashes at a low frequency in our fleet for a long time. These crashes were in different part of list_lru code including list_lru_add(), list_lru_del() and reparenting code. Upon further inspection, it looked like for a given object (dentry and inode), the super_block's list_lru didn't have list_lru_one for the memcg of that object. The initial suspicions were either the object is not allocated through kmem_cache_alloc_lru() or somehow memcg_list_lru_alloc() failed to allocate list_lru_one() for a memcg but returned success. No evidence were found for these cases. Looking more deeply, we started seeing situations where valid memcg's id is not present in mem_cgroup_idr and in some cases multiple valid memcgs have same id and mem_cgroup_idr is pointing to one of them. So, the most reasonable explanation is that these situations can happen due to race between multiple idr_remove() calls or race between idr_alloc()/idr_replace() and idr_remove(). These races are causing multiple memcgs to acquire the same ID and then offlining of one of them would cleanup list_lrus on the system for all of them. Later access from other memcgs to the list_lru cause crashes due to missing list_lru_one. Уязвимость компонента memcg ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю повысить привилегии в системе [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: core: check uartclk for zero to avoid divide by zero Calling ioctl TIOCSSERIAL with an invalid baud_base can result in uartclk being zero, which will result in a divide by zero error in uart_get_divisor(). The check for uartclk being zero in uart_set_info() needs to be done before other settings are made as subsequent calls to ioctl TIOCSSERIAL for the same port would be impacted if the uartclk check was done where uartclk gets set. Oops: divide error: 0000 PREEMPT SMP KASAN PTI RIP: 0010:uart_get_divisor (drivers/tty/serial/serial_core.c:580) Call Trace: <TASK> serial8250_get_divisor (drivers/tty/serial/8250/8250_port.c:2576 drivers/tty/serial/8250/8250_port.c:2589) serial8250_do_set_termios (drivers/tty/serial/8250/8250_port.c:502 drivers/tty/serial/8250/8250_port.c:2741) serial8250_set_termios (drivers/tty/serial/8250/8250_port.c:2862) uart_change_line_settings (./include/linux/spinlock.h:376 ./include/linux/serial_core.h:608 drivers/tty/serial/serial_core.c:222) uart_port_startup (drivers/tty/serial/serial_core.c:342) uart_startup (drivers/tty/serial/serial_core.c:368) uart_set_info (drivers/tty/serial/serial_core.c:1034) uart_set_info_user (drivers/tty/serial/serial_core.c:1059) tty_set_serial (drivers/tty/tty_io.c:2637) tty_ioctl (drivers/tty/tty_io.c:2647 drivers/tty/tty_io.c:2791) __x64_sys_ioctl (fs/ioctl.c:52 fs/ioctl.c:907 fs/ioctl.c:893 fs/ioctl.c:893) do_syscall_64 (arch/x86/entry/common.c:52 (discriminator 1) arch/x86/entry/common.c:83 (discriminator 1)) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) Rule: add Уязвимость компонента serial ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/client: fix null pointer dereference in drm_client_modeset_probe In drm_client_modeset_probe(), the return value of drm_mode_duplicate() is assigned to modeset->mode, which will lead to a possible NULL pointer dereference on failure of drm_mode_duplicate(). Add a check to avoid npd. Уязвимость компонента drm/client ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add null checker before passing variables Checks null pointer before passing variables to functions. This fixes 3 NULL_RETURNS issues reported by Coverity. Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add null checks for 'stream' and 'plane' before dereferencing This commit adds null checks for the 'stream' and 'plane' variables in the dcn30_apply_idle_power_optimizations function. These variables were previously assumed to be null at line 922, but they were used later in the code without checking if they were null. This could potentially lead to a null pointer dereference, which would cause a crash. The null checks ensure that 'stream' and 'plane' are not null before they are used, preventing potential crashes. Fixes the below static smatch checker: drivers/gpu/drm/amd/amdgpu/../display/dc/hwss/dcn30/dcn30_hwseq.c:938 dcn30_apply_idle_power_optimizations() error: we previously assumed 'stream' could be null (see line 922) drivers/gpu/drm/amd/amdgpu/../display/dc/hwss/dcn30/dcn30_hwseq.c:940 dcn30_apply_idle_power_optimizations() error: we previously assumed 'plane' could be null (see line 922) Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Fix the null pointer dereference for vega10_hwmgr Check return value and conduct null pointer handling to avoid null pointer dereference. Уязвимость компонента drm/amd/pm ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu/pm: Fix the null pointer dereference for smu7 optimize the code to avoid pass a null pointer (hwmgr->backend) to function smu7_update_edc_leakage_table. Уязвимость компонента drm/amdgpu/pm ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: nl80211: disallow setting special AP channel widths Setting the AP channel width is meant for use with the normal 20/40/... MHz channel width progression, and switching around in S1G or narrow channels isn't supported. Disallow that. Уязвимость функции __nl80211_set_channel() модуля net/wireless/nl80211.c ядра операционной системы Linux связана с неправильной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 17.6, iOS 17.6 and iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3, watchOS 10.6. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A cross-origin issue existed with "iframe" elements. This was addressed with improved tracking of security origins. This issue is fixed in Safari 18, iOS 18 and iPadOS 18, macOS Sequoia 15, tvOS 18, visionOS 2, watchOS 11. A malicious website may exfiltrate data cross-origin. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-346'), NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 18, iOS 18 and iPadOS 18, macOS Sequoia 15, tvOS 18, visionOS 2, watchOS 11. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A memory corruption issue was addressed with improved input validation. This issue is fixed in Safari 18.1, iOS 18.1 and iPadOS 18.1, macOS Sequoia 15.1, tvOS 18.1, visionOS 2.1, watchOS 11.1. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 18.1, iOS 17.7.1 and iPadOS 17.7.1, iOS 18.1 and iPadOS 18.1, macOS Sequoia 15.1, tvOS 18.1, visionOS 2.1, watchOS 11.1. Processing maliciously crafted web content may prevent Content Security Policy from being enforced. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 18.1.1, iOS 17.7.2 and iPadOS 17.7.2, iOS 18.1.1 and iPadOS 18.1.1, macOS Sequoia 15.1.1, visionOS 2.1.1. Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited on Intel-based Mac systems. Уязвимость модуля отображения веб-страниц WebKitGTK, модуля отображения веб-страниц WPE WebKit связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A cookie management issue was addressed with improved state management. This issue is fixed in Safari 18.1.1, iOS 17.7.2 and iPadOS 17.7.2, iOS 18.1.1 and iPadOS 18.1.1, macOS Sequoia 15.1.1, visionOS 2.1.1. Processing maliciously crafted web content may lead to a cross site scripting attack. Apple is aware of a report that this issue may have been actively exploited on Intel-based Mac systems. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: bridge: mcast: wait for previous gc cycles when removing port syzbot hit a use-after-free[1] which is caused because the bridge doesn't make sure that all previous garbage has been collected when removing a port. What happens is: CPU 1 CPU 2 start gc cycle remove port acquire gc lock first wait for lock call br_multicasg_gc() directly acquire lock now but free port the port can be freed while grp timers still running Make sure all previous gc cycles have finished by using flush_work before freeing the port. [1] BUG: KASAN: slab-use-after-free in br_multicast_port_group_expired+0x4c0/0x550 net/bridge/br_multicast.c:861 Read of size 8 at addr ffff888071d6d000 by task syz.5.1232/9699 CPU: 1 PID: 9699 Comm: syz.5.1232 Not tainted 6.10.0-rc5-syzkaller-00021-g24ca36a562d6 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 06/07/2024 Call Trace: <IRQ> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:114 print_address_description mm/kasan/report.c:377 [inline] print_report+0xc3/0x620 mm/kasan/report.c:488 kasan_report+0xd9/0x110 mm/kasan/report.c:601 br_multicast_port_group_expired+0x4c0/0x550 net/bridge/br_multicast.c:861 call_timer_fn+0x1a3/0x610 kernel/time/timer.c:1792 expire_timers kernel/time/timer.c:1843 [inline] __run_timers+0x74b/0xaf0 kernel/time/timer.c:2417 __run_timer_base kernel/time/timer.c:2428 [inline] __run_timer_base kernel/time/timer.c:2421 [inline] run_timer_base+0x111/0x190 kernel/time/timer.c:2437 Уязвимость функции br_multicast_del_port() компонента net/bridge/br_multicast.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: Fix null-ptr-deref in reuseport_add_sock(). syzbot reported a null-ptr-deref while accessing sk2->sk_reuseport_cb in reuseport_add_sock(). [0] The repro first creates a listener with SO_REUSEPORT. Then, it creates another listener on the same port and concurrently closes the first listener. The second listen() calls reuseport_add_sock() with the first listener as sk2, where sk2->sk_reuseport_cb is not expected to be cleared concurrently, but the close() does clear it by reuseport_detach_sock(). The problem is SCTP does not properly synchronise reuseport_alloc(), reuseport_add_sock(), and reuseport_detach_sock(). The caller of reuseport_alloc() and reuseport_{add,detach}_sock() must provide synchronisation for sockets that are classified into the same reuseport group. Otherwise, such sockets form multiple identical reuseport groups, and all groups except one would be silently dead. 1. Two sockets call listen() concurrently 2. No socket in the same group found in sctp_ep_hashtable[] 3. Two sockets call reuseport_alloc() and form two reuseport groups 4. Only one group hit first in __sctp_rcv_lookup_endpoint() receives incoming packets Also, the reported null-ptr-deref could occur. TCP/UDP guarantees that would not happen by holding the hash bucket lock. Let's apply the locking strategy to __sctp_hash_endpoint() and __sctp_unhash_endpoint(). [0]: Oops: general protection fault, probably for non-canonical address 0xdffffc0000000002: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000010-0x0000000000000017] CPU: 1 UID: 0 PID: 10230 Comm: syz-executor119 Not tainted 6.10.0-syzkaller-12585-g301927d2d2eb #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 06/27/2024 RIP: 0010:reuseport_add_sock+0x27e/0x5e0 net/core/sock_reuseport.c:350 Code: 00 0f b7 5d 00 bf 01 00 00 00 89 de e8 1b a4 ff f7 83 fb 01 0f 85 a3 01 00 00 e8 6d a0 ff f7 49 8d 7e 12 48 89 f8 48 c1 e8 03 <42> 0f b6 04 28 84 c0 0f 85 4b 02 00 00 41 0f b7 5e 12 49 8d 7e 14 RSP: 0018:ffffc9000b947c98 EFLAGS: 00010202 RAX: 0000000000000002 RBX: ffff8880252ddf98 RCX: ffff888079478000 RDX: 0000000000000000 RSI: 0000000000000001 RDI: 0000000000000012 RBP: 0000000000000001 R08: ffffffff8993e18d R09: 1ffffffff1fef385 R10: dffffc0000000000 R11: fffffbfff1fef386 R12: ffff8880252ddac0 R13: dffffc0000000000 R14: 0000000000000000 R15: 0000000000000000 FS: 00007f24e45b96c0(0000) GS:ffff8880b9300000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007ffcced5f7b8 CR3: 00000000241be000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> __sctp_hash_endpoint net/sctp/input.c:762 [inline] sctp_hash_endpoint+0x52a/0x600 net/sctp/input.c:790 sctp_listen_start net/sctp/socket.c:8570 [inline] sctp_inet_listen+0x767/0xa20 net/sctp/socket.c:8625 __sys_listen_socket net/socket.c:1883 [inline] __sys_listen+0x1b7/0x230 net/socket.c:1894 __do_sys_listen net/socket.c:1902 [inline] __se_sys_listen net/socket.c:1900 [inline] __x64_sys_listen+0x5a/0x70 net/socket.c:1900 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f24e46039b9 Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 91 1a 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b0 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f24e45b9228 EFLAGS: 00000246 ORIG_RAX: 0000000000000032 RAX: ffffffffffffffda RBX: 00007f24e468e428 RCX: 00007f24e46039b9 RDX: 00007f24e46039b9 RSI: 0000000000000003 RDI: 0000000000000004 RBP: 00007f24e468e420 R08: 00007f24e45b96c0 R09: 00007f24e45b96c0 R10: 00007f24e45b96c0 R11: 0000000000000246 R12: 00007f24e468e42c R13: ---truncated--- Уязвимость компонента sctp ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: fix null ptr deref in dtInsertEntry [syzbot reported] general protection fault, probably for non-canonical address 0xdffffc0000000001: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000008-0x000000000000000f] CPU: 0 PID: 5061 Comm: syz-executor404 Not tainted 6.8.0-syzkaller-08951-gfe46a7dd189e #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 RIP: 0010:dtInsertEntry+0xd0c/0x1780 fs/jfs/jfs_dtree.c:3713 ... [Analyze] In dtInsertEntry(), when the pointer h has the same value as p, after writing name in UniStrncpy_to_le(), p->header.flag will be cleared. This will cause the previously true judgment "p->header.flag & BT-LEAF" to change to no after writing the name operation, this leads to entering an incorrect branch and accessing the uninitialized object ih when judging this condition for the second time. [Fix] After got the page, check freelist first, if freelist == 0 then exit dtInsert() and return -EINVAL. Уязвимость функции dtInsert() файловой системы JFS ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2024-44939 необходимо запретить загрузку модуля jfs.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль jfs в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep jfs ``` или ``` kmod list | grep jfs ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod jfs ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install jfs /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fou: remove warn in gue_gro_receive on unsupported protocol Drop the WARN_ON_ONCE inn gue_gro_receive if the encapsulated type is not known or does not have a GRO handler. Such a packet is easily constructed. Syzbot generates them and sets off this warning. Remove the warning as it is expected and not actionable. The warning was previously reduced from WARN_ON to WARN_ON_ONCE in commit 270136613bf7 ("fou: Do WARN_ON_ONCE in gue_gro_receive for bad proto callbacks"). Уязвимость функции gue_gro_receive() в модуле net/ipv4/fou_core.c реализации протокола IPv4 ядра операционной системы Linux связана с некорректной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: ctnetlink: use helper function to calculate expect ID Delete expectation path is missing a call to the nf_expect_get_id() helper function to calculate the expectation ID, otherwise LSB of the expectation object address is leaked to userspace. Уязвимость функции ctnetlink_del_expect() в модуле net/netfilter/nf_conntrack_netlink.c компонента netfilter ядра операционной системы Linux связана с использованием некорректного набора функций. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kcm: Serialise kcm_sendmsg() for the same socket. syzkaller reported UAF in kcm_release(). [0] The scenario is 1. Thread A builds a skb with MSG_MORE and sets kcm->seq_skb. 2. Thread A resumes building skb from kcm->seq_skb but is blocked by sk_stream_wait_memory() 3. Thread B calls sendmsg() concurrently, finishes building kcm->seq_skb and puts the skb to the write queue 4. Thread A faces an error and finally frees skb that is already in the write queue 5. kcm_release() does double-free the skb in the write queue When a thread is building a MSG_MORE skb, another thread must not touch it. Let's add a per-sk mutex and serialise kcm_sendmsg(). [0]: BUG: KASAN: slab-use-after-free in __skb_unlink include/linux/skbuff.h:2366 [inline] BUG: KASAN: slab-use-after-free in __skb_dequeue include/linux/skbuff.h:2385 [inline] BUG: KASAN: slab-use-after-free in __skb_queue_purge_reason include/linux/skbuff.h:3175 [inline] BUG: KASAN: slab-use-after-free in __skb_queue_purge include/linux/skbuff.h:3181 [inline] BUG: KASAN: slab-use-after-free in kcm_release+0x170/0x4c8 net/kcm/kcmsock.c:1691 Read of size 8 at addr ffff0000ced0fc80 by task syz-executor329/6167 CPU: 1 PID: 6167 Comm: syz-executor329 Tainted: G B 6.8.0-rc5-syzkaller-g9abbc24128bc #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 01/25/2024 Call trace: dump_backtrace+0x1b8/0x1e4 arch/arm64/kernel/stacktrace.c:291 show_stack+0x2c/0x3c arch/arm64/kernel/stacktrace.c:298 __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0xd0/0x124 lib/dump_stack.c:106 print_address_description mm/kasan/report.c:377 [inline] print_report+0x178/0x518 mm/kasan/report.c:488 kasan_report+0xd8/0x138 mm/kasan/report.c:601 __asan_report_load8_noabort+0x20/0x2c mm/kasan/report_generic.c:381 __skb_unlink include/linux/skbuff.h:2366 [inline] __skb_dequeue include/linux/skbuff.h:2385 [inline] __skb_queue_purge_reason include/linux/skbuff.h:3175 [inline] __skb_queue_purge include/linux/skbuff.h:3181 [inline] kcm_release+0x170/0x4c8 net/kcm/kcmsock.c:1691 __sock_release net/socket.c:659 [inline] sock_close+0xa4/0x1e8 net/socket.c:1421 __fput+0x30c/0x738 fs/file_table.c:376 ____fput+0x20/0x30 fs/file_table.c:404 task_work_run+0x230/0x2e0 kernel/task_work.c:180 exit_task_work include/linux/task_work.h:38 [inline] do_exit+0x618/0x1f64 kernel/exit.c:871 do_group_exit+0x194/0x22c kernel/exit.c:1020 get_signal+0x1500/0x15ec kernel/signal.c:2893 do_signal+0x23c/0x3b44 arch/arm64/kernel/signal.c:1249 do_notify_resume+0x74/0x1f4 arch/arm64/kernel/entry-common.c:148 exit_to_user_mode_prepare arch/arm64/kernel/entry-common.c:169 [inline] exit_to_user_mode arch/arm64/kernel/entry-common.c:178 [inline] el0_svc+0xac/0x168 arch/arm64/kernel/entry-common.c:713 el0t_64_sync_handler+0x84/0xfc arch/arm64/kernel/entry-common.c:730 el0t_64_sync+0x190/0x194 arch/arm64/kernel/entry.S:598 Allocated by task 6166: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x40/0x78 mm/kasan/common.c:68 kasan_save_alloc_info+0x70/0x84 mm/kasan/generic.c:626 unpoison_slab_object mm/kasan/common.c:314 [inline] __kasan_slab_alloc+0x74/0x8c mm/kasan/common.c:340 kasan_slab_alloc include/linux/kasan.h:201 [inline] slab_post_alloc_hook mm/slub.c:3813 [inline] slab_alloc_node mm/slub.c:3860 [inline] kmem_cache_alloc_node+0x204/0x4c0 mm/slub.c:3903 __alloc_skb+0x19c/0x3d8 net/core/skbuff.c:641 alloc_skb include/linux/skbuff.h:1296 [inline] kcm_sendmsg+0x1d3c/0x2124 net/kcm/kcmsock.c:783 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg net/socket.c:745 [inline] sock_sendmsg+0x220/0x2c0 net/socket.c:768 splice_to_socket+0x7cc/0xd58 fs/splice.c:889 do_splice_from fs/splice.c:941 [inline] direct_splice_actor+0xec/0x1d8 fs/splice.c:1164 splice_direct_to_actor+0x438/0xa0c fs/splice.c:1108 do_splice_direct_actor ---truncated--- Уязвимость функции kcm_sendmsg в модуле net/kcm/kcmsock.c реализации KCM (Kernel Connection Multiplexor) сокетов ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fuse: Initialize beyond-EOF page contents before setting uptodate fuse_notify_store(), unlike fuse_do_readpage(), does not enable page zeroing (because it can be used to change partial page contents). So fuse_notify_store() must be more careful to fully initialize page contents (including parts of the page that are beyond end-of-file) before marking the page uptodate. The current code can leave beyond-EOF page contents uninitialized, which makes these uninitialized page contents visible to userspace via mmap(). This is an information leak, but only affects systems which do not enable init-on-alloc (via CONFIG_INIT_ON_ALLOC_DEFAULT_ON=y or the corresponding kernel command line parameter). Уязвимость функции fuse_notify_store() в модуле fs/fuse/dev.c файловой системы fuse ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [NistCWE(cwe='CWE-665')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: line6: Fix racy access to midibuf There can be concurrent accesses to line6 midibuf from both the URB completion callback and the rawmidi API access. This could be a cause of KMSAN warning triggered by syzkaller below (so put as reported-by here). This patch protects the midibuf call of the former code path with a spinlock for avoiding the possible races. Уязвимость компонента line6 ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sched/smt: Fix unbalance sched_smt_present dec/inc I got the following warn report while doing stress test: jump label: negative count! WARNING: CPU: 3 PID: 38 at kernel/jump_label.c:263 static_key_slow_try_dec+0x9d/0xb0 Call Trace: <TASK> __static_key_slow_dec_cpuslocked+0x16/0x70 sched_cpu_deactivate+0x26e/0x2a0 cpuhp_invoke_callback+0x3ad/0x10d0 cpuhp_thread_fun+0x3f5/0x680 smpboot_thread_fn+0x56d/0x8d0 kthread+0x309/0x400 ret_from_fork+0x41/0x70 ret_from_fork_asm+0x1b/0x30 </TASK> Because when cpuset_cpu_inactive() fails in sched_cpu_deactivate(), the cpu offline failed, but sched_smt_present is decremented before calling sched_cpu_deactivate(), it leads to unbalanced dec/inc, so fix it by incrementing sched_smt_present in the error path. Уязвимость компонентов sched/smt ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: core: Check for unset descriptor Make sure the descriptor has been set before looking at maxpacket. This fixes a null pointer panic in this case. This may happen if the gadget doesn't properly set up the endpoint for the current speed, or the gadget descriptors are malformed and the descriptor for the speed/endpoint are not found. No current gadget driver is known to have this problem, but this may cause a hard-to-find bug during development of new gadgets. Уязвимость компонента drivers/usb/gadget/udc/core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/mm: Fix pti_clone_pgtable() alignment assumption Guenter reported dodgy crashes on an i386-nosmp build using GCC-11 that had the form of endless traps until entry stack exhaust and then #DF from the stack guard. It turned out that pti_clone_pgtable() had alignment assumptions on the start address, notably it hard assumes start is PMD aligned. This is true on x86_64, but very much not true on i386. These assumptions can cause the end condition to malfunction, leading to a 'short' clone. Guess what happens when the user mapping has a short copy of the entry text? Use the correct increment form for addr to avoid alignment assumptions. Уязвимость компонентов x86/mm ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: binfmt_flat: Fix corruption when not offsetting data start Commit 04d82a6d0881 ("binfmt_flat: allow not offsetting data start") introduced a RISC-V specific variant of the FLAT format which does not allocate any space for the (obsolete) array of shared library pointers. However, it did not disable the code which initializes the array, resulting in the corruption of sizeof(long) bytes before the DATA segment, generally the end of the TEXT segment. Introduce MAX_SHARED_LIBS_UPDATE which depends on the state of CONFIG_BINFMT_FLAT_NO_DATA_START_OFFSET to guard the initialization of the shared library pointer region so that it will only be initialized if space is reserved for it. Уязвимость компонента binfmt_flat ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/mgag200: Bind I2C lifetime to DRM device Managed cleanup with devm_add_action_or_reset() will release the I2C adapter when the underlying Linux device goes away. But the connector still refers to it, so this cleanup leaves behind a stale pointer in struct drm_connector.ddc. Bind the lifetime of the I2C adapter to the connector's lifetime by using DRM's managed release. When the DRM device goes away (after the Linux device) DRM will first clean up the connector and then clean up the I2C adapter. Уязвимость компонентов drm/mgag200 ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/sclp: Prevent release of buffer in I/O When a task waiting for completion of a Store Data operation is interrupted, an attempt is made to halt this operation. If this attempt fails due to a hardware or firmware problem, there is a chance that the SCLP facility might store data into buffers referenced by the original operation at a later time. Handle this situation by not releasing the referenced data buffers if the halt attempt fails. For current use cases, this might result in a leak of few pages of memory in case of a rare hardware/firmware malfunction. Уязвимость компонента s390/sclp ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: SHAMPO, Fix invalid WQ linked list unlink When all the strides in a WQE have been consumed, the WQE is unlinked from the WQ linked list (mlx5_wq_ll_pop()). For SHAMPO, it is possible to receive CQEs with 0 consumed strides for the same WQE even after the WQE is fully consumed and unlinked. This triggers an additional unlink for the same wqe which corrupts the linked list. Fix this scenario by accepting 0 sized consumed strides without unlinking the WQE again. Уязвимость функции mlx5e_handle_rx_cqe_mpwrq_shampo() драйвера сетевых адаптеров Ethernet Mellanox ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dsa: bcm_sf2: Fix a possible memory leak in bcm_sf2_mdio_register() bcm_sf2_mdio_register() calls of_phy_find_device() and then phy_device_remove() in a loop to remove existing PHY devices. of_phy_find_device() eventually calls bus_find_device(), which calls get_device() on the returned struct device * to increment the refcount. The current implementation does not decrement the refcount, which causes memory leak. This commit adds the missing phy_device_free() call to decrement the refcount via put_device() to balance the refcount. Уязвимость компонента bcm_sf2 ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: pm: avoid possible UaF when selecting endp select_local_address() and select_signal_address() both select an endpoint entry from the list inside an RCU protected section, but return a reference to it, to be read later on. If the entry is dereferenced after the RCU unlock, reading info could cause a Use-after-Free. A simple solution is to copy the required info while inside the RCU protected section to avoid any risk of UaF later. The address ID might need to be modified later to handle the ID0 case later, so a copy seems OK to deal with. Уязвимость функции select_local_address компонента mptcp ядра операционной системы Linux связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Validate TA binary size Add TA binary size validation to avoid OOB write. (cherry picked from commit c0a04e3570d72aaf090962156ad085e37c62e442) Уязвимость функции ta_if_load_debugfs_write() в модуле drivers/gpu/drm/amd/amdgpu/amdgpu_psp_ta.c драйвера amdgpu ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/msm/dpu: cleanup FB if dpu_format_populate_layout fails If the dpu_format_populate_layout() fails, then FB is prepared, but not cleaned up. This ends up leaking the pin_count on the GEM object and causes a splat during DRM file closure: msm_obj->pin_count WARNING: CPU: 2 PID: 569 at drivers/gpu/drm/msm/msm_gem.c:121 update_lru_locked+0xc4/0xcc [...] Call trace: update_lru_locked+0xc4/0xcc put_pages+0xac/0x100 msm_gem_free_object+0x138/0x180 drm_gem_object_free+0x1c/0x30 drm_gem_object_handle_put_unlocked+0x108/0x10c drm_gem_object_release_handle+0x58/0x70 idr_for_each+0x68/0xec drm_gem_release+0x28/0x40 drm_file_free+0x174/0x234 drm_release+0xb0/0x160 __fput+0xc0/0x2c8 __fput_sync+0x50/0x5c __arm64_sys_close+0x38/0x7c invoke_syscall+0x48/0x118 el0_svc_common.constprop.0+0x40/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x4c/0x120 el0t_64_sync_handler+0x100/0x12c el0t_64_sync+0x190/0x194 irq event stamp: 129818 hardirqs last enabled at (129817): [<ffffa5f6d953fcc0>] console_unlock+0x118/0x124 hardirqs last disabled at (129818): [<ffffa5f6da7dcf04>] el1_dbg+0x24/0x8c softirqs last enabled at (129808): [<ffffa5f6d94afc18>] handle_softirqs+0x4c8/0x4e8 softirqs last disabled at (129785): [<ffffa5f6d94105e4>] __do_softirq+0x14/0x20 Patchwork: https://patchwork.freedesktop.org/patch/600714/ Уязвимость компонента drm/msm/dpu ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: flowtable: validate vlan header Ensure there is sufficient room to access the protocol field of the VLAN header, validate it once before the flowtable lookup. ===================================================== BUG: KMSAN: uninit-value in nf_flow_offload_inet_hook+0x45a/0x5f0 net/netfilter/nf_flow_table_inet.c:32 nf_flow_offload_inet_hook+0x45a/0x5f0 net/netfilter/nf_flow_table_inet.c:32 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xf4/0x400 net/netfilter/core.c:626 nf_hook_ingress include/linux/netfilter_netdev.h:34 [inline] nf_ingress net/core/dev.c:5440 [inline] Уязвимость функций nf_flow_offload_inet_hook() в модуле net/netfilter/nf_flow_table_inet.c и nf_flow_skb_encap_protocol() в модуле net/netfilter/nf_flow_table_ip.c компонента netfilter ядра операционной системы Linux связана с использованием памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: prevent possible UAF in ip6_xmit() If skb_expand_head() returns NULL, skb has been freed and the associated dst/idev could also have been freed. We must use rcu_read_lock() to prevent a possible UAF. Уязвимость функции ip6_xmit() ядра операционных систем Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: fix possible UAF in ip6_finish_output2() If skb_expand_head() returns NULL, skb has been freed and associated dst/idev could also have been freed. We need to hold rcu_read_lock() to make sure the dst and associated idev are alive. Уязвимость функции ip6_finish_output2 компонента net/ipv6/ip6_output.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: prevent UAF in ip6_send_skb() syzbot reported an UAF in ip6_send_skb() [1] After ip6_local_out() has returned, we no longer can safely dereference rt, unless we hold rcu_read_lock(). A similar issue has been fixed in commit a688caa34beb ("ipv6: take rcu lock in rawv6_send_hdrinc()") Another potential issue in ip6_finish_output2() is handled in a separate patch. [1] BUG: KASAN: slab-use-after-free in ip6_send_skb+0x18d/0x230 net/ipv6/ip6_output.c:1964 Read of size 8 at addr ffff88806dde4858 by task syz.1.380/6530 CPU: 1 UID: 0 PID: 6530 Comm: syz.1.380 Not tainted 6.11.0-rc3-syzkaller-00306-gdf6cbc62cc9b #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/06/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:93 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:119 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 ip6_send_skb+0x18d/0x230 net/ipv6/ip6_output.c:1964 rawv6_push_pending_frames+0x75c/0x9e0 net/ipv6/raw.c:588 rawv6_sendmsg+0x19c7/0x23c0 net/ipv6/raw.c:926 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x1a6/0x270 net/socket.c:745 sock_write_iter+0x2dd/0x400 net/socket.c:1160 do_iter_readv_writev+0x60a/0x890 vfs_writev+0x37c/0xbb0 fs/read_write.c:971 do_writev+0x1b1/0x350 fs/read_write.c:1018 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f936bf79e79 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f936cd7f038 EFLAGS: 00000246 ORIG_RAX: 0000000000000014 RAX: ffffffffffffffda RBX: 00007f936c115f80 RCX: 00007f936bf79e79 RDX: 0000000000000001 RSI: 0000000020000040 RDI: 0000000000000004 RBP: 00007f936bfe7916 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 00007f936c115f80 R15: 00007fff2860a7a8 </TASK> Allocated by task 6530: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 unpoison_slab_object mm/kasan/common.c:312 [inline] __kasan_slab_alloc+0x66/0x80 mm/kasan/common.c:338 kasan_slab_alloc include/linux/kasan.h:201 [inline] slab_post_alloc_hook mm/slub.c:3988 [inline] slab_alloc_node mm/slub.c:4037 [inline] kmem_cache_alloc_noprof+0x135/0x2a0 mm/slub.c:4044 dst_alloc+0x12b/0x190 net/core/dst.c:89 ip6_blackhole_route+0x59/0x340 net/ipv6/route.c:2670 make_blackhole net/xfrm/xfrm_policy.c:3120 [inline] xfrm_lookup_route+0xd1/0x1c0 net/xfrm/xfrm_policy.c:3313 ip6_dst_lookup_flow+0x13e/0x180 net/ipv6/ip6_output.c:1257 rawv6_sendmsg+0x1283/0x23c0 net/ipv6/raw.c:898 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x1a6/0x270 net/socket.c:745 ____sys_sendmsg+0x525/0x7d0 net/socket.c:2597 ___sys_sendmsg net/socket.c:2651 [inline] __sys_sendmsg+0x2b0/0x3a0 net/socket.c:2680 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 45: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x40/0x50 mm/kasan/generic.c:579 poison_slab_object+0xe0/0x150 mm/kasan/common.c:240 __kasan_slab_free+0x37/0x60 mm/kasan/common.c:256 kasan_slab_free include/linux/kasan.h:184 [inline] slab_free_hook mm/slub.c:2252 [inline] slab_free mm/slub.c:4473 [inline] kmem_cache_free+0x145/0x350 mm/slub.c:4548 dst_destroy+0x2ac/0x460 net/core/dst.c:124 rcu_do_batch kernel/rcu/tree.c:2569 [inline] rcu_core+0xafd/0x1830 kernel/rcu/tree. ---truncated--- Уязвимость функции ip6_send_skb() в модуле net/ipv6/ip6_output.c реализации протокола IPv6 ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dsa: mv88e6xxx: Fix out-of-bound access If an ATU violation was caused by a CPU Load operation, the SPID could be larger than DSA_MAX_PORTS (the size of mv88e6xxx_chip.ports[] array). Уязвимость компонента drivers/net/dsa/mv88e6xxx/global1_atu.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bonding: fix xfrm real_dev null pointer dereference We shouldn't set real_dev to NULL because packets can be in transit and xfrm might call xdo_dev_offload_ok() in parallel. All callbacks assume real_dev is set. Example trace: kernel: BUG: unable to handle page fault for address: 0000000000001030 kernel: bond0: (slave eni0np1): making interface the new active one kernel: #PF: supervisor write access in kernel mode kernel: #PF: error_code(0x0002) - not-present page kernel: PGD 0 P4D 0 kernel: Oops: 0002 [#1] PREEMPT SMP kernel: CPU: 4 PID: 2237 Comm: ping Not tainted 6.7.7+ #12 kernel: Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-2.fc40 04/01/2014 kernel: RIP: 0010:nsim_ipsec_offload_ok+0xc/0x20 [netdevsim] kernel: bond0: (slave eni0np1): bond_ipsec_add_sa_all: failed to add SA kernel: Code: e0 0f 0b 48 83 7f 38 00 74 de 0f 0b 48 8b 47 08 48 8b 37 48 8b 78 40 e9 b2 e5 9a d7 66 90 0f 1f 44 00 00 48 8b 86 80 02 00 00 <83> 80 30 10 00 00 01 b8 01 00 00 00 c3 0f 1f 80 00 00 00 00 0f 1f kernel: bond0: (slave eni0np1): making interface the new active one kernel: RSP: 0018:ffffabde81553b98 EFLAGS: 00010246 kernel: bond0: (slave eni0np1): bond_ipsec_add_sa_all: failed to add SA kernel: kernel: RAX: 0000000000000000 RBX: ffff9eb404e74900 RCX: ffff9eb403d97c60 kernel: RDX: ffffffffc090de10 RSI: ffff9eb404e74900 RDI: ffff9eb3c5de9e00 kernel: RBP: ffff9eb3c0a42000 R08: 0000000000000010 R09: 0000000000000014 kernel: R10: 7974203030303030 R11: 3030303030303030 R12: 0000000000000000 kernel: R13: ffff9eb3c5de9e00 R14: ffffabde81553cc8 R15: ffff9eb404c53000 kernel: FS: 00007f2a77a3ad00(0000) GS:ffff9eb43bd00000(0000) knlGS:0000000000000000 kernel: CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 kernel: CR2: 0000000000001030 CR3: 00000001122ab000 CR4: 0000000000350ef0 kernel: bond0: (slave eni0np1): making interface the new active one kernel: Call Trace: kernel: <TASK> kernel: ? __die+0x1f/0x60 kernel: bond0: (slave eni0np1): bond_ipsec_add_sa_all: failed to add SA kernel: ? page_fault_oops+0x142/0x4c0 kernel: ? do_user_addr_fault+0x65/0x670 kernel: ? kvm_read_and_reset_apf_flags+0x3b/0x50 kernel: bond0: (slave eni0np1): making interface the new active one kernel: ? exc_page_fault+0x7b/0x180 kernel: ? asm_exc_page_fault+0x22/0x30 kernel: ? nsim_bpf_uninit+0x50/0x50 [netdevsim] kernel: bond0: (slave eni0np1): bond_ipsec_add_sa_all: failed to add SA kernel: ? nsim_ipsec_offload_ok+0xc/0x20 [netdevsim] kernel: bond0: (slave eni0np1): making interface the new active one kernel: bond_ipsec_offload_ok+0x7b/0x90 [bonding] kernel: xfrm_output+0x61/0x3b0 kernel: bond0: (slave eni0np1): bond_ipsec_add_sa_all: failed to add SA kernel: ip_push_pending_frames+0x56/0x80 Уязвимость компонента bonding ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bonding: fix null pointer deref in bond_ipsec_offload_ok We must check if there is an active slave before dereferencing the pointer. Уязвимость компонента bonding ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: prevent concurrent execution of tcp_sk_exit_batch Its possible that two threads call tcp_sk_exit_batch() concurrently, once from the cleanup_net workqueue, once from a task that failed to clone a new netns. In the latter case, error unwinding calls the exit handlers in reverse order for the 'failed' netns. tcp_sk_exit_batch() calls tcp_twsk_purge(). Problem is that since commit b099ce2602d8 ("net: Batch inet_twsk_purge"), this function picks up twsk in any dying netns, not just the one passed in via exit_batch list. This means that the error unwind of setup_net() can "steal" and destroy timewait sockets belonging to the exiting netns. This allows the netns exit worker to proceed to call WARN_ON_ONCE(!refcount_dec_and_test(&net->ipv4.tcp_death_row.tw_refcount)); without the expected 1 -> 0 transition, which then splats. At same time, error unwind path that is also running inet_twsk_purge() will splat as well: WARNING: .. at lib/refcount.c:31 refcount_warn_saturate+0x1ed/0x210 ... refcount_dec include/linux/refcount.h:351 [inline] inet_twsk_kill+0x758/0x9c0 net/ipv4/inet_timewait_sock.c:70 inet_twsk_deschedule_put net/ipv4/inet_timewait_sock.c:221 inet_twsk_purge+0x725/0x890 net/ipv4/inet_timewait_sock.c:304 tcp_sk_exit_batch+0x1c/0x170 net/ipv4/tcp_ipv4.c:3522 ops_exit_list+0x128/0x180 net/core/net_namespace.c:178 setup_net+0x714/0xb40 net/core/net_namespace.c:375 copy_net_ns+0x2f0/0x670 net/core/net_namespace.c:508 create_new_namespaces+0x3ea/0xb10 kernel/nsproxy.c:110 ... because refcount_dec() of tw_refcount unexpectedly dropped to 0. This doesn't seem like an actual bug (no tw sockets got lost and I don't see a use-after-free) but as erroneous trigger of debug check. Add a mutex to force strict ordering: the task that calls tcp_twsk_purge() blocks other task from doing final _dec_and_test before mutex-owner has removed all tw sockets of dying netns. Уязвимость функции tcp_sk_exit_batch() компонента net/ipv4/tcp_ipv4.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: hns3: fix a deadlock problem when config TC during resetting When config TC during the reset process, may cause a deadlock, the flow is as below: pf reset start │ ▼ ...... setup tc │ │ ▼ ▼ DOWN: napi_disable() napi_disable()(skip) │ │ │ ▼ ▼ ...... ...... │ │ ▼ │ napi_enable() │ ▼ UINIT: netif_napi_del() │ ▼ ...... │ ▼ INIT: netif_napi_add() │ ▼ ...... global reset start │ │ ▼ ▼ UP: napi_enable()(skip) ...... │ │ ▼ ▼ ...... napi_disable() In reset process, the driver will DOWN the port and then UINIT, in this case, the setup tc process will UP the port before UINIT, so cause the problem. Adds a DOWN process in UINIT to fix it. Уязвимость компонента drivers/net/ethernet/hisilicon/hns3/hns3_enet.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: atm: idt77252: prevent use after free in dequeue_rx() We can't dereference "skb" after calling vcc->push() because the skb is released. Уязвимость функций dequeue_rx(), vcc->push() ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gtp: pull network headers in gtp_dev_xmit() syzbot/KMSAN reported use of uninit-value in get_dev_xmit() [1] We must make sure the IPv4 or Ipv6 header is pulled in skb->head before accessing fields in them. Use pskb_inet_may_pull() to fix this issue. [1] BUG: KMSAN: uninit-value in ipv6_pdp_find drivers/net/gtp.c:220 [inline] BUG: KMSAN: uninit-value in gtp_build_skb_ip6 drivers/net/gtp.c:1229 [inline] BUG: KMSAN: uninit-value in gtp_dev_xmit+0x1424/0x2540 drivers/net/gtp.c:1281 ipv6_pdp_find drivers/net/gtp.c:220 [inline] gtp_build_skb_ip6 drivers/net/gtp.c:1229 [inline] gtp_dev_xmit+0x1424/0x2540 drivers/net/gtp.c:1281 __netdev_start_xmit include/linux/netdevice.h:4913 [inline] netdev_start_xmit include/linux/netdevice.h:4922 [inline] xmit_one net/core/dev.c:3580 [inline] dev_hard_start_xmit+0x247/0xa20 net/core/dev.c:3596 __dev_queue_xmit+0x358c/0x5610 net/core/dev.c:4423 dev_queue_xmit include/linux/netdevice.h:3105 [inline] packet_xmit+0x9c/0x6c0 net/packet/af_packet.c:276 packet_snd net/packet/af_packet.c:3145 [inline] packet_sendmsg+0x90e3/0xa3a0 net/packet/af_packet.c:3177 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x30f/0x380 net/socket.c:745 __sys_sendto+0x685/0x830 net/socket.c:2204 __do_sys_sendto net/socket.c:2216 [inline] __se_sys_sendto net/socket.c:2212 [inline] __x64_sys_sendto+0x125/0x1d0 net/socket.c:2212 x64_sys_call+0x3799/0x3c10 arch/x86/include/generated/asm/syscalls_64.h:45 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:3994 [inline] slab_alloc_node mm/slub.c:4037 [inline] kmem_cache_alloc_node_noprof+0x6bf/0xb80 mm/slub.c:4080 kmalloc_reserve+0x13d/0x4a0 net/core/skbuff.c:583 __alloc_skb+0x363/0x7b0 net/core/skbuff.c:674 alloc_skb include/linux/skbuff.h:1320 [inline] alloc_skb_with_frags+0xc8/0xbf0 net/core/skbuff.c:6526 sock_alloc_send_pskb+0xa81/0xbf0 net/core/sock.c:2815 packet_alloc_skb net/packet/af_packet.c:2994 [inline] packet_snd net/packet/af_packet.c:3088 [inline] packet_sendmsg+0x749c/0xa3a0 net/packet/af_packet.c:3177 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x30f/0x380 net/socket.c:745 __sys_sendto+0x685/0x830 net/socket.c:2204 __do_sys_sendto net/socket.c:2216 [inline] __se_sys_sendto net/socket.c:2212 [inline] __x64_sys_sendto+0x125/0x1d0 net/socket.c:2212 x64_sys_call+0x3799/0x3c10 arch/x86/include/generated/asm/syscalls_64.h:45 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f CPU: 0 UID: 0 PID: 7115 Comm: syz.1.515 Not tainted 6.11.0-rc1-syzkaller-00043-g94ede2a3e913 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 06/27/2024 Уязвимость функции gtp_dev_xmit() модуля drivers/net/gtp.c ядра операционных систем Linux связана с использованием неинициализированных переменных при обработке заголовков IPv4 и IPv6. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/netfs/fscache_cookie: add missing "n_accesses" check This fixes a NULL pointer dereference bug due to a data race which looks like this: BUG: kernel NULL pointer dereference, address: 0000000000000008 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: 0000 [#1] SMP PTI CPU: 33 PID: 16573 Comm: kworker/u97:799 Not tainted 6.8.7-cm4all1-hp+ #43 Hardware name: HP ProLiant DL380 Gen9/ProLiant DL380 Gen9, BIOS P89 10/17/2018 Workqueue: events_unbound netfs_rreq_write_to_cache_work RIP: 0010:cachefiles_prepare_write+0x30/0xa0 Code: 57 41 56 45 89 ce 41 55 49 89 cd 41 54 49 89 d4 55 53 48 89 fb 48 83 ec 08 48 8b 47 08 48 83 7f 10 00 48 89 34 24 48 8b 68 20 <48> 8b 45 08 4c 8b 38 74 45 49 8b 7f 50 e8 4e a9 b0 ff 48 8b 73 10 RSP: 0018:ffffb4e78113bde0 EFLAGS: 00010286 RAX: ffff976126be6d10 RBX: ffff97615cdb8438 RCX: 0000000000020000 RDX: ffff97605e6c4c68 RSI: ffff97605e6c4c60 RDI: ffff97615cdb8438 RBP: 0000000000000000 R08: 0000000000278333 R09: 0000000000000001 R10: ffff97605e6c4600 R11: 0000000000000001 R12: ffff97605e6c4c68 R13: 0000000000020000 R14: 0000000000000001 R15: ffff976064fe2c00 FS: 0000000000000000(0000) GS:ffff9776dfd40000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000008 CR3: 000000005942c002 CR4: 00000000001706f0 Call Trace: <TASK> ? __die+0x1f/0x70 ? page_fault_oops+0x15d/0x440 ? search_module_extables+0xe/0x40 ? fixup_exception+0x22/0x2f0 ? exc_page_fault+0x5f/0x100 ? asm_exc_page_fault+0x22/0x30 ? cachefiles_prepare_write+0x30/0xa0 netfs_rreq_write_to_cache_work+0x135/0x2e0 process_one_work+0x137/0x2c0 worker_thread+0x2e9/0x400 ? __pfx_worker_thread+0x10/0x10 kthread+0xcc/0x100 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x30/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1b/0x30 </TASK> Modules linked in: CR2: 0000000000000008 ---[ end trace 0000000000000000 ]--- This happened because fscache_cookie_state_machine() was slow and was still running while another process invoked fscache_unuse_cookie(); this led to a fscache_cookie_lru_do_one() call, setting the FSCACHE_COOKIE_DO_LRU_DISCARD flag, which was picked up by fscache_cookie_state_machine(), withdrawing the cookie via cachefiles_withdraw_cookie(), clearing cookie->cache_priv. At the same time, yet another process invoked cachefiles_prepare_write(), which found a NULL pointer in this code line: struct cachefiles_object *object = cachefiles_cres_object(cres); The next line crashes, obviously: struct cachefiles_cache *cache = object->volume->cache; During cachefiles_prepare_write(), the "n_accesses" counter is non-zero (via fscache_begin_operation()). The cookie must not be withdrawn until it drops to zero. The counter is checked by fscache_cookie_state_machine() before switching to FSCACHE_COOKIE_STATE_RELINQUISHING and FSCACHE_COOKIE_STATE_WITHDRAWING (in "case FSCACHE_COOKIE_STATE_FAILED"), but not for FSCACHE_COOKIE_STATE_LRU_DISCARDING ("case FSCACHE_COOKIE_STATE_ACTIVE"). This patch adds the missing check. With a non-zero access counter, the function returns and the next fscache_end_cookie_access() call will queue another fscache_cookie_state_machine() call to handle the still-pending FSCACHE_COOKIE_DO_LRU_DISCARD. Уязвимость компонента fs/netfs/fscache_cookie.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rtla/osnoise: Prevent NULL dereference in error handling If the "tool->data" allocation fails then there is no need to call osnoise_free_top() and, in fact, doing so will lead to a NULL dereference. Уязвимость компонента tools/tracing/rtla/src/osnoise_top.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vfs: Don't evict inode under the inode lru traversing context The inode reclaiming process(See function prune_icache_sb) collects all reclaimable inodes and mark them with I_FREEING flag at first, at that time, other processes will be stuck if they try getting these inodes (See function find_inode_fast), then the reclaiming process destroy the inodes by function dispose_list(). Some filesystems(eg. ext4 with ea_inode feature, ubifs with xattr) may do inode lookup in the inode evicting callback function, if the inode lookup is operated under the inode lru traversing context, deadlock problems may happen. Case 1: In function ext4_evict_inode(), the ea inode lookup could happen if ea_inode feature is enabled, the lookup process will be stuck under the evicting context like this: 1. File A has inode i_reg and an ea inode i_ea 2. getfattr(A, xattr_buf) // i_ea is added into lru // lru->i_ea 3. Then, following three processes running like this: PA PB echo 2 > /proc/sys/vm/drop_caches shrink_slab prune_dcache_sb // i_reg is added into lru, lru->i_ea->i_reg prune_icache_sb list_lru_walk_one inode_lru_isolate i_ea->i_state |= I_FREEING // set inode state inode_lru_isolate __iget(i_reg) spin_unlock(&i_reg->i_lock) spin_unlock(lru_lock) rm file A i_reg->nlink = 0 iput(i_reg) // i_reg->nlink is 0, do evict ext4_evict_inode ext4_xattr_delete_inode ext4_xattr_inode_dec_ref_all ext4_xattr_inode_iget ext4_iget(i_ea->i_ino) iget_locked find_inode_fast __wait_on_freeing_inode(i_ea) ----→ AA deadlock dispose_list // cannot be executed by prune_icache_sb wake_up_bit(&i_ea->i_state) Case 2: In deleted inode writing function ubifs_jnl_write_inode(), file deleting process holds BASEHD's wbuf->io_mutex while getting the xattr inode, which could race with inode reclaiming process(The reclaiming process could try locking BASEHD's wbuf->io_mutex in inode evicting function), then an ABBA deadlock problem would happen as following: 1. File A has inode ia and a xattr(with inode ixa), regular file B has inode ib and a xattr. 2. getfattr(A, xattr_buf) // ixa is added into lru // lru->ixa 3. Then, following three processes running like this: PA PB PC echo 2 > /proc/sys/vm/drop_caches shrink_slab prune_dcache_sb // ib and ia are added into lru, lru->ixa->ib->ia prune_icache_sb list_lru_walk_one inode_lru_isolate ixa->i_state |= I_FREEING // set inode state inode_lru_isolate __iget(ib) spin_unlock(&ib->i_lock) spin_unlock(lru_lock) rm file B ib->nlink = 0 rm file A iput(ia) ubifs_evict_inode(ia) ubifs_jnl_delete_inode(ia) ubifs_jnl_write_inode(ia) make_reservation(BASEHD) // Lock wbuf->io_mutex ubifs_iget(ixa->i_ino) iget_locked find_inode_fast __wait_on_freeing_inode(ixa) | iput(ib) // ib->nlink is 0, do evict | ubifs_evict_inode | ubifs_jnl_delete_inode(ib) ↓ ubifs_jnl_write_inode ABBA deadlock ←-----make_reservation(BASEHD) dispose_list // cannot be executed by prune_icache_sb wake_up_bit(&ixa->i_state) Fix the possible deadlock by using new inode state flag I_LRU_ISOLATING to pin the inode in memory while inode_lru_isolate( ---truncated--- Уязвимость функции dispose_list в компоненте vfs ядра операционной системы Linux связана c некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xhci: Fix Panther point NULL pointer deref at full-speed re-enumeration re-enumerating full-speed devices after a failed address device command can trigger a NULL pointer dereference. Full-speed devices may need to reconfigure the endpoint 0 Max Packet Size value during enumeration. Usb core calls usb_ep0_reinit() in this case, which ends up calling xhci_configure_endpoint(). On Panther point xHC the xhci_configure_endpoint() function will additionally check and reserve bandwidth in software. Other hosts do this in hardware If xHC address device command fails then a new xhci_virt_device structure is allocated as part of re-enabling the slot, but the bandwidth table pointers are not set up properly here. This triggers the NULL pointer dereference the next time usb_ep0_reinit() is called and xhci_configure_endpoint() tries to check and reserve bandwidth [46710.713538] usb 3-1: new full-speed USB device number 5 using xhci_hcd [46710.713699] usb 3-1: Device not responding to setup address. [46710.917684] usb 3-1: Device not responding to setup address. [46711.125536] usb 3-1: device not accepting address 5, error -71 [46711.125594] BUG: kernel NULL pointer dereference, address: 0000000000000008 [46711.125600] #PF: supervisor read access in kernel mode [46711.125603] #PF: error_code(0x0000) - not-present page [46711.125606] PGD 0 P4D 0 [46711.125610] Oops: Oops: 0000 [#1] PREEMPT SMP PTI [46711.125615] CPU: 1 PID: 25760 Comm: kworker/1:2 Not tainted 6.10.3_2 #1 [46711.125620] Hardware name: Gigabyte Technology Co., Ltd. [46711.125623] Workqueue: usb_hub_wq hub_event [usbcore] [46711.125668] RIP: 0010:xhci_reserve_bandwidth (drivers/usb/host/xhci.c Fix this by making sure bandwidth table pointers are set up correctly after a failed address device command, and additionally by avoiding checking for bandwidth in cases like this where no actual endpoints are added or removed, i.e. only context for default control endpoint 0 is evaluated. Уязвимость компонента drivers/usb/host/xhci.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: char: xillybus: Don't destroy workqueue from work item running on it Triggered by a kref decrement, destroy_workqueue() may be called from within a work item for destroying its own workqueue. This illegal situation is averted by adding a module-global workqueue for exclusive use of the offending work item. Other work items continue to be queued on per-device workqueues to ensure performance. Уязвимость компонента xillybus ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: MT - limit max slots syzbot is reporting too large allocation at input_mt_init_slots(), for num_slots is supplied from userspace using ioctl(UI_DEV_CREATE). Since nobody knows possible max slots, this patch chose 1024. Уязвимость функции input_mt_init_slots() ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: pm: only decrement add_addr_accepted for MPJ req Adding the following warning ... WARN_ON_ONCE(msk->pm.add_addr_accepted == 0) ... before decrementing the add_addr_accepted counter helped to find a bug when running the "remove single subflow" subtest from the mptcp_join.sh selftest. Removing a 'subflow' endpoint will first trigger a RM_ADDR, then the subflow closure. Before this patch, and upon the reception of the RM_ADDR, the other peer will then try to decrement this add_addr_accepted. That's not correct because the attached subflows have not been created upon the reception of an ADD_ADDR. A way to solve that is to decrement the counter only if the attached subflow was an MP_JOIN to a remote id that was not 0, and initiated by the host receiving the RM_ADDR. Уязвимость компонента net/mptcp/pm_netlink.c ядра операционной системы Linux связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=8.2) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: pm: only mark 'subflow' endp as available Adding the following warning ... WARN_ON_ONCE(msk->pm.local_addr_used == 0) ... before decrementing the local_addr_used counter helped to find a bug when running the "remove single address" subtest from the mptcp_join.sh selftests. Removing a 'signal' endpoint will trigger the removal of all subflows linked to this endpoint via mptcp_pm_nl_rm_addr_or_subflow() with rm_type == MPTCP_MIB_RMSUBFLOW. This will decrement the local_addr_used counter, which is wrong in this case because this counter is linked to 'subflow' endpoints, and here it is a 'signal' endpoint that is being removed. Now, the counter is decremented, only if the ID is being used outside of mptcp_pm_nl_rm_addr_or_subflow(), only for 'subflow' endpoints, and if the ID is not 0 -- local_addr_used is not taking into account these ones. This marking of the ID as being available, and the decrement is done no matter if a subflow using this ID is currently available, because the subflow could have been closed before. Уязвимость компонента net/mptcp/pm_netlink.c ядра операционной системы Linux связана с недостаточным использованием потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: char: xillybus: Check USB endpoints when probing device Ensure, as the driver probes the device, that all endpoints that the driver may attempt to access exist and are of the correct type. All XillyUSB devices must have a Bulk IN and Bulk OUT endpoint at address 1. This is verified in xillyusb_setup_base_eps(). On top of that, a XillyUSB device may have additional Bulk OUT endpoints. The information about these endpoints' addresses is deduced from a data structure (the IDT) that the driver fetches from the device while probing it. These endpoints are checked in setup_channels(). A XillyUSB device never has more than one IN endpoint, as all data towards the host is multiplexed in this single Bulk IN endpoint. This is why setup_channels() only checks OUT endpoints. Уязвимость компонента drivers/char/xillybus/xillyusb.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netem: fix return value if duplicate enqueue fails There is a bug in netem_enqueue() introduced by commit 5845f706388a ("net: netem: fix skb length BUG_ON in __skb_to_sgvec") that can lead to a use-after-free. This commit made netem_enqueue() always return NET_XMIT_SUCCESS when a packet is duplicated, which can cause the parent qdisc's q.qlen to be mistakenly incremented. When this happens qlen_notify() may be skipped on the parent during destruction, leaving a dangling pointer for some classful qdiscs like DRR. There are two ways for the bug happen: - If the duplicated packet is dropped by rootq->enqueue() and then the original packet is also dropped. - If rootq->enqueue() sends the duplicated packet to a different qdisc and the original packet is dropped. In both cases NET_XMIT_SUCCESS is returned even though no packets are enqueued at the netem qdisc. The fix is to defer the enqueue of the duplicate packet until after the original packet has been guaranteed to return NET_XMIT_SUCCESS. Уязвимость функции netem_enqueue() компонента net/sched/sch_netem.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модулей sch_netem.ko, sch_drr.ko, sch_hfsc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружены ли модули sch_netem, sch_drr, sch_hfsc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_netem lsmod | grep sch_drr lsmod | grep sch_hfsc ``` или ``` kmod list | grep sch_netem kmod list | grep sch_drr kmod list | grep sch_hfsc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_netem sudo rmmod sch_drr sudo rmmod sch_hfsc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install sch_netem /bin/true install sch_drr /bin/true install sch_hfsc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: flowtable: initialise extack before use Fix missing initialisation of extack in flow offload. Уязвимость компонента net/netfilter/nf_flow_table_offload.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-665')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Take state lock during tx timeout reporter mlx5e_safe_reopen_channels() requires the state lock taken. The referenced changed in the Fixes tag removed the lock to fix another issue. This patch adds it back but at a later point (when calling mlx5e_safe_reopen_channels()) to avoid the deadlock referenced in the Fixes tag. Уязвимость компонента drivers/net/ethernet/mellanox/mlx5/core/en/reporter_tx.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: memcg_write_event_control(): fix a user-triggerable oops we are *not* guaranteed that anything past the terminating NUL is mapped (let alone initialized with anything sane). Уязвимость компонента mm/memcontrol-v1.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fix bitmap corruption on close_range() with CLOSE_RANGE_UNSHARE copy_fd_bitmaps(new, old, count) is expected to copy the first count/BITS_PER_LONG bits from old->full_fds_bits[] and fill the rest with zeroes. What it does is copying enough words (BITS_TO_LONGS(count/BITS_PER_LONG)), then memsets the rest. That works fine, *if* all bits past the cutoff point are clear. Otherwise we are risking garbage from the last word we'd copied. For most of the callers that is true - expand_fdtable() has count equal to old->max_fds, so there's no open descriptors past count, let alone fully occupied words in ->open_fds[], which is what bits in ->full_fds_bits[] correspond to. The other caller (dup_fd()) passes sane_fdtable_size(old_fdt, max_fds), which is the smallest multiple of BITS_PER_LONG that covers all opened descriptors below max_fds. In the common case (copying on fork()) max_fds is ~0U, so all opened descriptors will be below it and we are fine, by the same reasons why the call in expand_fdtable() is safe. Unfortunately, there is a case where max_fds is less than that and where we might, indeed, end up with junk in ->full_fds_bits[] - close_range(from, to, CLOSE_RANGE_UNSHARE) with * descriptor table being currently shared * 'to' being above the current capacity of descriptor table * 'from' being just under some chunk of opened descriptors. In that case we end up with observably wrong behaviour - e.g. spawn a child with CLONE_FILES, get all descriptors in range 0..127 open, then close_range(64, ~0U, CLOSE_RANGE_UNSHARE) and watch dup(0) ending up with descriptor #128, despite #64 being observably not open. The minimally invasive fix would be to deal with that in dup_fd(). If this proves to add measurable overhead, we can go that way, but let's try to fix copy_fd_bitmaps() first. * new helper: bitmap_copy_and_expand(to, from, bits_to_copy, size). * make copy_fd_bitmaps() take the bitmap size in words, rather than bits; it's 'count' argument is always a multiple of BITS_PER_LONG, so we are not losing any information, and that way we can use the same helper for all three bitmaps - compiler will see that count is a multiple of BITS_PER_LONG for the large ones, so it'll generate plain memcpy()+memset(). Reproducer added to tools/testing/selftests/core/close_range_test.c Уязвимость функции close_range() ядра операционной системы Linux связана с некорректным расчетом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/dasd: fix error recovery leading to data corruption on ESE devices Extent Space Efficient (ESE) or thin provisioned volumes need to be formatted on demand during usual IO processing. The dasd_ese_needs_format function checks for error codes that signal the non existence of a proper track format. The check for incorrect length is to imprecise since other error cases leading to transport of insufficient data also have this flag set. This might lead to data corruption in certain error cases for example during a storage server warmstart. Fix by removing the check for incorrect length and replacing by explicitly checking for invalid track format in transport mode. Also remove the check for file protected since this is not a valid ESE handling case. Уязвимость функции dasd_ese_needs_format() ядра операционной системы Linux на платформе связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mmc: mmc_test: Fix NULL dereference on allocation failure If the "test->highmem = alloc_pages()" allocation fails then calling __free_pages(test->highmem) will result in a NULL dereference. Also change the error code to -ENOMEM instead of returning success. Уязвимость компонента drivers/mmc/core/mmc_test.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i2c: tegra: Do not mark ACPI devices as irq safe On ACPI machines, the tegra i2c module encounters an issue due to a mutex being called inside a spinlock. This leads to the following bug: BUG: sleeping function called from invalid context at kernel/locking/mutex.c:585 ... Call trace: __might_sleep __mutex_lock_common mutex_lock_nested acpi_subsys_runtime_resume rpm_resume tegra_i2c_xfer The problem arises because during __pm_runtime_resume(), the spinlock &dev->power.lock is acquired before rpm_resume() is called. Later, rpm_resume() invokes acpi_subsys_runtime_resume(), which relies on mutexes, triggering the error. To address this issue, devices on ACPI are now marked as not IRQ-safe, considering the dependency of acpi_subsys_runtime_resume() on mutexes. Уязвимость компонента drivers/i2c/busses/i2c-tegra.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 opensc A vulnerability was found in OpenSC, OpenSC tools, PKCS#11 module, minidriver, and CTK. The problem is missing initialization of variables expected to be initialized (as arguments to other functions, etc.). Уязвимость библиотеки работы со смарт-картами OpenSC связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=3.9) opensc: - Использовать пакет opensc только при отсутствии альтернатив - Обеспечить возможность запуска opensc только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 opensc A vulnerability was found in OpenSC, OpenSC tools, PKCS#11 module, minidriver, and CTK. An attacker could use a crafted USB Device or Smart Card, which would present the system with a specially crafted response to APDUs. The following problems were caused by insufficient control of the response APDU buffer and its length when communicating with the card. Уязвимость библиотеки работы со смарт-картами OpenSC связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=3.9) opensc: - Использовать пакет opensc только при отсутствии альтернатив - Обеспечить возможность запуска opensc только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 opensc A vulnerability was found in OpenSC, OpenSC tools, PKCS#11 module, minidriver, and CTK. An attacker could use a crafted USB Device or Smart Card, which would present the system with a specially crafted response to APDUs. Insufficient or missing checking of return values of functions leads to unexpected work with variables that have not been initialized. Уязвимость библиотеки работы со смарт-картами OpenSC связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=3.9) opensc: - Использовать пакет opensc только при отсутствии альтернатив - Обеспечить возможность запуска opensc только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 opensc A vulnerability was found in pkcs15-init in OpenSC. An attacker could use a crafted USB Device or Smart Card, which would present the system with a specially crafted response to APDUs. Insufficient or missing checking of return values of functions leads to unexpected work with variables that have not been initialized. Уязвимость компонента pkcs15-init библиотеки работы со смарт-картами OpenSC связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=3.9) opensc: - Использовать пакет opensc только при отсутствии альтернатив - Обеспечить возможность запуска opensc только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 opensc A vulnerability was found in OpenSC, OpenSC tools, PKCS#11 module, minidriver, and CTK. An attacker could use a crafted USB Device or Smart Card, which would present the system with a specially crafted response to APDUs. When buffers are partially filled with data, initialized parts of the buffer can be incorrectly accessed. Уязвимость модуля PKCS#11 библиотеки работы со смарт-картами OpenSC связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:P/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=4.3) opensc: - Использовать пакет opensc только при отсутствии альтернатив - Обеспечить возможность запуска opensc только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 opensc A vulnerability was found in the pkcs15-init tool in OpenSC. An attacker could use a crafted USB Device or Smart Card, which would present the system with a specially crafted response to APDUs. When buffers are partially filled with data, initialized parts of the buffer can be incorrectly accessed. Уязвимость библиотеки работы со смарт-картами OpenSC связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=3.9) opensc: - Использовать пакет opensc только при отсутствии альтернатив - Обеспечить возможность запуска opensc только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 pgpool2 Exposure of sensitive information due to incompatible policies issue exists in Pgpool-II. If a database user accesses a query cache, table data unauthorized for the user may be retrieved. Уязвимость утилиты для управления пулами соединений баз данных Pgpool-II связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) pgpool2: - Запускайте приложения, использующие pgpool2, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Убедитесь, что ваши веб-приложения, использующие pgpool2, корректно проверяют все входные данные, чтобы предотвратить атаки, такие как SQL-инъекции и XSS. - Настройте веб-сервер для использования HTTPS, чтобы защитить данные, передаваемые между клиентом и сервером. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i3c: mipi-i3c-hci: Mask ring interrupts before ring stop request Bus cleanup path in DMA mode may trigger a RING_OP_STAT interrupt when the ring is being stopped. Depending on timing between ring stop request completion, interrupt handler removal and code execution this may lead to a NULL pointer dereference in hci_dma_irq_handler() if it gets to run after the io_data pointer is set to NULL in hci_dma_cleanup(). Prevent this my masking the ring interrupts before ring stop request. Уязвимость компонента drivers/i3c/master/mipi-i3c-hci ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 vlc VLC media player 3.0.20 and earlier is vulnerable to denial of service through an integer overflow which could be triggered with a maliciously crafted mms stream (heap based overflow). If successful, a malicious third party could trigger either a crash of VLC or an arbitrary code execution with the target user's privileges. Уязвимость медиаплеера VLC Media Player связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=8.0) Для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: - Запускать VLC в изолированной программной среде с применением инструмента Firejail - Запускать VLC с минимально необходимыми правами доступа - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: aacraid: Fix double-free on probe failure aac_probe_one() calls hardware-specific init functions through the aac_driver_ident::init pointer, all of which eventually call down to aac_init_adapter(). If aac_init_adapter() fails after allocating memory for aac_dev::queues, it frees the memory but does not clear that member. After the hardware-specific init function returns an error, aac_probe_one() goes down an error path that frees the memory pointed to by aac_dev::queues, resulting.in a double-free. Уязвимость функции aac_init_adapter() в модуле drivers/scsi/aacraid/comminit.c драйвера Adaptec AACRAID ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: st: fix probed platform device ref count on probe error path The probe function never performs any paltform device allocation, thus error path "undo_platform_dev_alloc" is entirely bogus. It drops the reference count from the platform device being probed. If error path is triggered, this will lead to unbalanced device reference counts and premature release of device resources, thus possible use-after-free when releasing remaining devm-managed resources. Уязвимость функции st_dwc3_probe() в модуле drivers/usb/dwc3/dwc3-st.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: core: Prevent USB core invalid event buffer address access This commit addresses an issue where the USB core could access an invalid event buffer address during runtime suspend, potentially causing SMMU faults and other memory issues in Exynos platforms. The problem arises from the following sequence. 1. In dwc3_gadget_suspend, there is a chance of a timeout when moving the USB core to the halt state after clearing the run/stop bit by software. 2. In dwc3_core_exit, the event buffer is cleared regardless of the USB core's status, which may lead to an SMMU faults and other memory issues. if the USB core tries to access the event buffer address. To prevent this hardware quirk on Exynos platforms, this commit ensures that the event buffer address is not cleared by software when the USB core is active during runtime suspend by checking its status before clearing the buffer address. Уязвимость компонента drivers/usb/dwc3/core.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfc: pn533: Add poll mod list filling check In case of im_protocols value is 1 and tm_protocols value is 0 this combination successfully passes the check 'if (!im_protocols && !tm_protocols)' in the nfc_start_poll(). But then after pn533_poll_create_mod_list() call in pn533_start_poll() poll mod list will remain empty and dev->poll_mod_count will remain 0 which lead to division by zero. Normally no im protocol has value 1 in the mask, so this combination is not expected by driver. But these protocol values actually come from userspace via Netlink interface (NFC_CMD_START_POLL operation). So a broken or malicious program may pass a message containing a "bad" combination of protocol parameter values so that dev->poll_mod_count is not incremented inside pn533_poll_create_mod_list(), thus leading to division by zero. Call trace looks like: nfc_genl_start_poll() nfc_start_poll() ->start_poll() pn533_start_poll() Add poll mod list filling check. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drivers/nfc/pn533/pn533.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gtp: fix a potential NULL pointer dereference When sockfd_lookup() fails, gtp_encap_enable_socket() returns a NULL pointer, but its callers only check for error pointers thus miss the NULL pointer case. Fix it by returning an error pointer with the error code carried from sockfd_lookup(). (I found this bug during code inspection.) Уязвимость компонента drivers/net/gtp.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ethtool: check device is present when getting link settings A sysfs reader can race with a device reset or removal, attempting to read device state when the device is not actually present. eg: [exception RIP: qed_get_current_link+17] #8 [ffffb9e4f2907c48] qede_get_link_ksettings at ffffffffc07a994a [qede] #9 [ffffb9e4f2907cd8] __rh_call_get_link_ksettings at ffffffff992b01a3 #10 [ffffb9e4f2907d38] __ethtool_get_link_ksettings at ffffffff992b04e4 #11 [ffffb9e4f2907d90] duplex_show at ffffffff99260300 #12 [ffffb9e4f2907e38] dev_attr_show at ffffffff9905a01c #13 [ffffb9e4f2907e50] sysfs_kf_seq_show at ffffffff98e0145b #14 [ffffb9e4f2907e68] seq_read at ffffffff98d902e3 #15 [ffffb9e4f2907ec8] vfs_read at ffffffff98d657d1 #16 [ffffb9e4f2907f00] ksys_read at ffffffff98d65c3f #17 [ffffb9e4f2907f38] do_syscall_64 at ffffffff98a052fb crash> struct net_device.state ffff9a9d21336000 state = 5, state 5 is __LINK_STATE_START (0b1) and __LINK_STATE_NOCARRIER (0b100). The device is not present, note lack of __LINK_STATE_PRESENT (0b10). This is the same sort of panic as observed in commit 4224cfd7fb65 ("net-sysfs: add check for netdevice being present to speed_show"). There are many other callers of __ethtool_get_link_ksettings() which don't have a device presence check. Move this check into ethtool to protect all callers. Уязвимость компонента ethtool ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: single: fix potential NULL dereference in pcs_get_function() pinmux_generic_get_function() can return NULL and the pointer 'function' was dereferenced without checking against NULL. Add checking of pointer 'function' in pcs_get_function(). Found by code review. Уязвимость компонента drivers/pinctrl/pinctrl-single.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb/client: avoid dereferencing rdata=NULL in smb2_new_read_req() This happens when called from SMB2_read() while using rdma and reaching the rdma_readwrite_threshold. Уязвимость функции smb2_new_read_req() компонента fs/smb/client/smb2pdu.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: qcom: cmd-db: Map shared memory as WC, not WB Linux does not write into cmd-db region. This region of memory is write protected by XPU. XPU may sometime falsely detect clean cache eviction as "write" into the write protected region leading to secure interrupt which causes an endless loop somewhere in Trust Zone. The only reason it is working right now is because Qualcomm Hypervisor maps the same region as Non-Cacheable memory in Stage 2 translation tables. The issue manifests if we want to use another hypervisor (like Xen or KVM), which does not know anything about those specific mappings. Changing the mapping of cmd-db memory from MEMREMAP_WB to MEMREMAP_WT/WC removes dependency on correct mappings in Stage 2 tables. This patch fixes the issue by updating the mapping to MEMREMAP_WC. I tested this on SA8155P with Xen. Уязвимость компонента drivers/soc/qcom/cmd-db.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: avoid using null object of framebuffer Instead of using state->fb->obj[0] directly, get object from framebuffer by calling drm_gem_fb_get_obj() and return error code when object is null to avoid using null object of framebuffer. (cherry picked from commit 73dd0ad9e5dad53766ea3e631303430116f834b3) Уязвимость компонента drivers/gpu/drm/amd/display/amdgpu_dm/amdgpu_dm_plane.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: thunderbolt: Mark XDomain as unplugged when router is removed I noticed that when we do discrete host router NVM upgrade and it gets hot-removed from the PCIe side as a result of NVM firmware authentication, if there is another host connected with enabled paths we hang in tearing them down. This is due to fact that the Thunderbolt networking driver also tries to cleanup the paths and ends up blocking in tb_disconnect_xdomain_paths() waiting for the domain lock. However, at this point we already cleaned the paths in tb_stop() so there is really no need for tb_disconnect_xdomain_paths() to do that anymore. Furthermore it already checks if the XDomain is unplugged and bails out early so take advantage of that and mark the XDomain as unplugged when we remove the parent router. Уязвимость компонента thunderbolt ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: arm64: Make ICC_*SGI*_EL1 undef in the absence of a vGICv3 On a system with a GICv3, if a guest hasn't been configured with GICv3 and that the host is not capable of GICv2 emulation, a write to any of the ICC_*SGI*_EL1 registers is trapped to EL2. We therefore try to emulate the SGI access, only to hit a NULL pointer as no private interrupt is allocated (no GIC, remember?). The obvious fix is to give the guest what it deserves, in the shape of a UNDEF exception. Уязвимость компонента KVM ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vmwgfx: Prevent unmapping active read buffers The kms paths keep a persistent map active to read and compare the cursor buffer. These maps can race with each other in simple scenario where: a) buffer "a" mapped for update b) buffer "a" mapped for compare c) do the compare d) unmap "a" for compare e) update the cursor f) unmap "a" for update At step "e" the buffer has been unmapped and the read contents is bogus. Prevent unmapping of active read buffers by simply keeping a count of how many paths have currently active maps and unmap only when the count reaches 0. Уязвимость компонента drivers/gpu/drm/vmwgfx ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: pm: fix ID 0 endp usage after multiple re-creations 'local_addr_used' and 'add_addr_accepted' are decremented for addresses not related to the initial subflow (ID0), because the source and destination addresses of the initial subflows are known from the beginning: they don't count as "additional local address being used" or "ADD_ADDR being accepted". It is then required not to increment them when the entrypoint used by the initial subflow is removed and re-added during a connection. Without this modification, this entrypoint cannot be removed and re-added more than once. Уязвимость компонента net/mptcp/pm_netlink.c ядра операционной системы Linux связана с некорректным вычислением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf/aux: Fix AUX buffer serialization Ole reported that event->mmap_mutex is strictly insufficient to serialize the AUX buffer, add a per RB mutex to fully serialize it. Note that in the lock order comment the perf_event::mmap_mutex order was already wrong, that is, it nesting under mmap_lock is not new with this patch. Уязвимость функции mmap_mutex ядра операционной системы Linux связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Skip wbscl_set_scaler_filter if filter is null Callers can pass null in filter (i.e. from returned from the function wbscl_get_filter_coeffs_16p) and a null check is added to ensure that is not the case. This fixes 4 NULL_RETURNS issues reported by Coverity. Уязвимость компонента drivers/gpu/drm/amd/display/dc/dcn20/dcn20_dwb_scl.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: driver: iio: add missing checks on iio_info's callback access Some callbacks from iio_info structure are accessed without any check, so if a driver doesn't implement them trying to access the corresponding sysfs entries produce a kernel oops such as: [ 2203.527791] Unable to handle kernel NULL pointer dereference at virtual address 00000000 when execute [...] [ 2203.783416] Call trace: [ 2203.783429] iio_read_channel_info_avail from dev_attr_show+0x18/0x48 [ 2203.789807] dev_attr_show from sysfs_kf_seq_show+0x90/0x120 [ 2203.794181] sysfs_kf_seq_show from seq_read_iter+0xd0/0x4e4 [ 2203.798555] seq_read_iter from vfs_read+0x238/0x2a0 [ 2203.802236] vfs_read from ksys_read+0xa4/0xd4 [ 2203.805385] ksys_read from ret_fast_syscall+0x0/0x54 [ 2203.809135] Exception stack(0xe0badfa8 to 0xe0badff0) [ 2203.812880] dfa0: 00000003 b6f10f80 00000003 b6eab000 00020000 00000000 [ 2203.819746] dfc0: 00000003 b6f10f80 7ff00000 00000003 00000003 00000000 00020000 00000000 [ 2203.826619] dfe0: b6e1bc88 bed80958 b6e1bc94 b6e1bcb0 [ 2203.830363] Code: bad PC value [ 2203.832695] ---[ end trace 0000000000000000 ]--- Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: altera-msgdma: properly free descriptor in msgdma_free_descriptor Remove list_del call in msgdma_chan_desc_cleanup, this should be the role of msgdma_free_descriptor. In consequence replace list_add_tail with list_move_tail in msgdma_free_descriptor. This fixes the path: msgdma_free_chan_resources -> msgdma_free_descriptors -> msgdma_free_desc_list -> msgdma_free_descriptor which does not correctly free the descriptors as first nodes were not removed from the list. Уязвимость компонента altera-msgdma ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: SHAMPO, Fix incorrect page release Under the following conditions: 1) No skb created yet 2) header_size == 0 (no SHAMPO header) 3) header_index + 1 % MLX5E_SHAMPO_WQ_HEADER_PER_PAGE == 0 (this is the last page fragment of a SHAMPO header page) a new skb is formed with a page that is NOT a SHAMPO header page (it is a regular data page). Further down in the same function (mlx5e_handle_rx_cqe_mpwrq_shampo()), a SHAMPO header page from header_index is released. This is wrong and it leads to SHAMPO header pages being released more than once. Уязвимость компонента net/mlx5e ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: ucsi: Fix null pointer dereference in trace ucsi_register_altmode checks IS_ERR for the alt pointer and treats NULL as valid. When CONFIG_TYPEC_DP_ALTMODE is not enabled, ucsi_register_displayport returns NULL which causes a NULL pointer dereference in trace. Rather than return NULL, call typec_port_register_altmode to register DisplayPort alternate mode as a non-controllable mode when CONFIG_TYPEC_DP_ALTMODE is not enabled. Уязвимость компонента drivers/usb/typec/ucsi/ucsi.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix dereference after null check check the pointer hive before use. Уязвимость компонента drivers/gpu/drm/amd/amdgpu/amdgpu_device.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix mc_data out-of-bounds read warning Clear warning that read mc_data[i-1] may out-of-bounds. Уязвимость функции amdgpu_atombios_init_mc_reg_table() в модуле drivers/gpu/drm/amd/amdgpu/amdgpu_atombios.c драйвера amdgpu ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix ucode out-of-bounds read warning Clear warning that read ucode[] may out-of-bounds. Уязвимость функции amdgpu_cgs_get_firmware_info() ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Fix out-of-bounds read of df_v1_7_channel_number Check the fb_channel_number range to avoid the array out-of-bounds read error Уязвимость функции df_v1_7_get_hbm_channel_number() ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Fix out-of-bounds write warning Check the ring type value to fix the out-of-bounds write warning Уязвимость функции amdgpu_ring_init() в модуле drivers/gpu/drm/amd/amdgpu/amdgpu_ring.c драйвера amdgpu ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Ensure index calculation will not overflow [WHY & HOW] Make sure vmid0p72_idx, vnom0p8_idx and vmax0p9_idx calculation will never overflow and exceess array size. This fixes 3 OVERRUN and 1 INTEGER_OVERFLOW issues reported by Coverity. Уязвимость компонента drivers/gpu/drm/amd/display/dc/dml/calcs/dcn_calcs.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: fix the Out-of-bounds read warning using index i - 1U may beyond element index for mc_data[] when i = 0. Уязвимость функции atomctrl_retrieve_ac_timing() в модуле drivers/gpu/drm/amd/pm/powerplay/hwmgr/ppatomctrl.c драйвера amdgpu ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Assign linear_pitch_alignment even for VM [Description] Assign linear_pitch_alignment so we don't cause a divide by 0 error in VM environments Уязвимость компонента drivers/gpu/drm/amd/display/dc/core/dc.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ublk_drv: fix NULL pointer dereference in ublk_ctrl_start_recovery() When two UBLK_CMD_START_USER_RECOVERY commands are submitted, the first one sets 'ubq->ubq_daemon' to NULL, and the second one triggers WARN in ublk_queue_reinit() and subsequently a NULL pointer dereference issue. Fix it by adding the check in ublk_ctrl_start_recovery() and return immediately in case of zero 'ub->nr_queues_ready'. BUG: kernel NULL pointer dereference, address: 0000000000000028 RIP: 0010:ublk_ctrl_start_recovery.constprop.0+0x82/0x180 Call Trace: <TASK> ? __die+0x20/0x70 ? page_fault_oops+0x75/0x170 ? exc_page_fault+0x64/0x140 ? asm_exc_page_fault+0x22/0x30 ? ublk_ctrl_start_recovery.constprop.0+0x82/0x180 ublk_ctrl_uring_cmd+0x4f7/0x6c0 ? pick_next_task_idle+0x26/0x40 io_uring_cmd+0x9a/0x1b0 io_issue_sqe+0x193/0x3f0 io_wq_submit_work+0x9b/0x390 io_worker_handle_work+0x165/0x360 io_wq_worker+0xcb/0x2f0 ? finish_task_switch.isra.0+0x203/0x290 ? finish_task_switch.isra.0+0x203/0x290 ? __pfx_io_wq_worker+0x10/0x10 ret_from_fork+0x2d/0x50 ? __pfx_io_wq_worker+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Уязвимость функции ublk_ctrl_start_recovery() компонента drivers/block/ublk_drv.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvmet-tcp: fix kernel crash if commands allocation fails If the commands allocation fails in nvmet_tcp_alloc_cmds() the kernel crashes in nvmet_tcp_release_queue_work() because of a NULL pointer dereference. nvmet: failed to install queue 0 cntlid 1 ret 6 Unable to handle kernel NULL pointer dereference at virtual address 0000000000000008 Fix the bug by setting queue->nr_cmds to zero in case nvmet_tcp_alloc_cmd() fails. Уязвимость компонента drivers/nvme/target/tcp.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: VMCI: Fix use-after-free when removing resource in vmci_resource_remove() When removing a resource from vmci_resource_table in vmci_resource_remove(), the search is performed using the resource handle by comparing context and resource fields. It is possible though to create two resources with different types but same handle (same context and resource fields). When trying to remove one of the resources, vmci_resource_remove() may not remove the intended one, but the object will still be freed as in the case of the datagram type in vmci_datagram_destroy_handle(). vmci_resource_table will still hold a pointer to this freed resource leading to a use-after-free vulnerability. BUG: KASAN: use-after-free in vmci_handle_is_equal include/linux/vmw_vmci_defs.h:142 [inline] BUG: KASAN: use-after-free in vmci_resource_remove+0x3a1/0x410 drivers/misc/vmw_vmci/vmci_resource.c:147 Read of size 4 at addr ffff88801c16d800 by task syz-executor197/1592 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x82/0xa9 lib/dump_stack.c:106 print_address_description.constprop.0+0x21/0x366 mm/kasan/report.c:239 __kasan_report.cold+0x7f/0x132 mm/kasan/report.c:425 kasan_report+0x38/0x51 mm/kasan/report.c:442 vmci_handle_is_equal include/linux/vmw_vmci_defs.h:142 [inline] vmci_resource_remove+0x3a1/0x410 drivers/misc/vmw_vmci/vmci_resource.c:147 vmci_qp_broker_detach+0x89a/0x11b9 drivers/misc/vmw_vmci/vmci_queue_pair.c:2182 ctx_free_ctx+0x473/0xbe1 drivers/misc/vmw_vmci/vmci_context.c:444 kref_put include/linux/kref.h:65 [inline] vmci_ctx_put drivers/misc/vmw_vmci/vmci_context.c:497 [inline] vmci_ctx_destroy+0x170/0x1d6 drivers/misc/vmw_vmci/vmci_context.c:195 vmci_host_close+0x125/0x1ac drivers/misc/vmw_vmci/vmci_host.c:143 __fput+0x261/0xa34 fs/file_table.c:282 task_work_run+0xf0/0x194 kernel/task_work.c:164 tracehook_notify_resume include/linux/tracehook.h:189 [inline] exit_to_user_mode_loop+0x184/0x189 kernel/entry/common.c:187 exit_to_user_mode_prepare+0x11b/0x123 kernel/entry/common.c:220 __syscall_exit_to_user_mode_work kernel/entry/common.c:302 [inline] syscall_exit_to_user_mode+0x18/0x42 kernel/entry/common.c:313 do_syscall_64+0x41/0x85 arch/x86/entry/common.c:86 entry_SYSCALL_64_after_hwframe+0x6e/0x0 This change ensures the type is also checked when removing the resource from vmci_resource_table in vmci_resource_remove(). Уязвимость функции vmci_resource_remove() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: uio_hv_generic: Fix kernel NULL pointer dereference in hv_uio_rescind For primary VM Bus channels, primary_channel pointer is always NULL. This pointer is valid only for the secondary channels. Also, rescind callback is meant for primary channels only. Fix NULL pointer dereference by retrieving the device_obj from the parent for the primary channel. Уязвимость компонента drivers/uio/uio_hv_generic.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: binder: fix UAF caused by offsets overwrite Binder objects are processed and copied individually into the target buffer during transactions. Any raw data in-between these objects is copied as well. However, this raw data copy lacks an out-of-bounds check. If the raw data exceeds the data section size then the copy overwrites the offsets section. This eventually triggers an error that attempts to unwind the processed objects. However, at this point the offsets used to index these objects are now corrupted. Unwinding with corrupted offsets can result in decrements of arbitrary nodes and lead to their premature release. Other users of such nodes are left with a dangling pointer triggering a use-after-free. This issue is made evident by the following KASAN report (trimmed): ================================================================== BUG: KASAN: slab-use-after-free in _raw_spin_lock+0xe4/0x19c Write of size 4 at addr ffff47fc91598f04 by task binder-util/743 CPU: 9 UID: 0 PID: 743 Comm: binder-util Not tainted 6.11.0-rc4 #1 Hardware name: linux,dummy-virt (DT) Call trace: _raw_spin_lock+0xe4/0x19c binder_free_buf+0x128/0x434 binder_thread_write+0x8a4/0x3260 binder_ioctl+0x18f0/0x258c [...] Allocated by task 743: __kmalloc_cache_noprof+0x110/0x270 binder_new_node+0x50/0x700 binder_transaction+0x413c/0x6da8 binder_thread_write+0x978/0x3260 binder_ioctl+0x18f0/0x258c [...] Freed by task 745: kfree+0xbc/0x208 binder_thread_read+0x1c5c/0x37d4 binder_ioctl+0x16d8/0x258c [...] ================================================================== To avoid this issue, let's check that the raw data copy is within the boundaries of the data section. Уязвимость функции binder_transaction() ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: of/irq: Prevent device address out-of-bounds read in interrupt map walk When of_irq_parse_raw() is invoked with a device address smaller than the interrupt parent node (from #address-cells property), KASAN detects the following out-of-bounds read when populating the initial match table (dyndbg="func of_irq_parse_* +p"): OF: of_irq_parse_one: dev=/soc@0/picasso/watchdog, index=0 OF: parent=/soc@0/pci@878000000000/gpio0@17,0, intsize=2 OF: intspec=4 OF: of_irq_parse_raw: ipar=/soc@0/pci@878000000000/gpio0@17,0, size=2 OF: -> addrsize=3 ================================================================== BUG: KASAN: slab-out-of-bounds in of_irq_parse_raw+0x2b8/0x8d0 Read of size 4 at addr ffffff81beca5608 by task bash/764 CPU: 1 PID: 764 Comm: bash Tainted: G O 6.1.67-484c613561-nokia_sm_arm64 #1 Hardware name: Unknown Unknown Product/Unknown Product, BIOS 2023.01-12.24.03-dirty 01/01/2023 Call trace: dump_backtrace+0xdc/0x130 show_stack+0x1c/0x30 dump_stack_lvl+0x6c/0x84 print_report+0x150/0x448 kasan_report+0x98/0x140 __asan_load4+0x78/0xa0 of_irq_parse_raw+0x2b8/0x8d0 of_irq_parse_one+0x24c/0x270 parse_interrupts+0xc0/0x120 of_fwnode_add_links+0x100/0x2d0 fw_devlink_parse_fwtree+0x64/0xc0 device_add+0xb38/0xc30 of_device_add+0x64/0x90 of_platform_device_create_pdata+0xd0/0x170 of_platform_bus_create+0x244/0x600 of_platform_notify+0x1b0/0x254 blocking_notifier_call_chain+0x9c/0xd0 __of_changeset_entry_notify+0x1b8/0x230 __of_changeset_apply_notify+0x54/0xe4 of_overlay_fdt_apply+0xc04/0xd94 ... The buggy address belongs to the object at ffffff81beca5600 which belongs to the cache kmalloc-128 of size 128 The buggy address is located 8 bytes inside of 128-byte region [ffffff81beca5600, ffffff81beca5680) The buggy address belongs to the physical page: page:00000000230d3d03 refcount:1 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x1beca4 head:00000000230d3d03 order:1 compound_mapcount:0 compound_pincount:0 flags: 0x8000000000010200(slab|head|zone=2) raw: 8000000000010200 0000000000000000 dead000000000122 ffffff810000c300 raw: 0000000000000000 0000000000200020 00000001ffffffff 0000000000000000 page dumped because: kasan: bad access detected Memory state around the buggy address: ffffff81beca5500: 04 fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc ffffff81beca5580: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc >ffffff81beca5600: 00 fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc ^ ffffff81beca5680: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc ffffff81beca5700: 00 00 00 00 00 00 fc fc fc fc fc fc fc fc fc fc ================================================================== OF: -> got it ! Prevent the out-of-bounds read by copying the device address into a buffer of sufficient size. Уязвимость функции of_irq_parse_one() ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Squashfs: sanity check symbolic link size Syzkiller reports a "KMSAN: uninit-value in pick_link" bug. This is caused by an uninitialised page, which is ultimately caused by a corrupted symbolic link size read from disk. The reason why the corrupted symlink size causes an uninitialised page is due to the following sequence of events: 1. squashfs_read_inode() is called to read the symbolic link from disk. This assigns the corrupted value 3875536935 to inode->i_size. 2. Later squashfs_symlink_read_folio() is called, which assigns this corrupted value to the length variable, which being a signed int, overflows producing a negative number. 3. The following loop that fills in the page contents checks that the copied bytes is less than length, which being negative means the loop is skipped, producing an uninitialised page. This patch adds a sanity check which checks that the symbolic link size is not larger than expected. -- V2: fix spelling mistake. Уязвимость функции squashfs_read_inode() в модуле fs/squashfs/inode.c файловой системы squashfs ядра операционной системы Linux связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-59')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: uinput - reject requests with unreasonable number of slots When exercising uinput interface syzkaller may try setting up device with a really large number of slots, which causes memory allocation failure in input_mt_init_slots(). While this allocation failure is handled properly and request is rejected, it results in syzkaller reports. Additionally, such request may put undue burden on the system which will try to free a lot of memory for a bogus request. Fix it by limiting allowed number of slots to 100. This can easily be extended if we see devices that can track more than 100 contacts. Уязвимость компонента Input ядра операционной системы Linux связана с ошибками использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю повысить привилегии в системе [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: amd_sfh: free driver_data after destroying hid device HID driver callbacks aren't called anymore once hid_destroy_device() has been called. Hence, hid driver_data should be freed only after the hid_destroy_device() function returned as driver_data is used in several callbacks. I observed a crash with kernel 6.10.0 on my T14s Gen 3, after enabling KASAN to debug memory allocation, I got this output: [ 13.050438] ================================================================== [ 13.054060] BUG: KASAN: slab-use-after-free in amd_sfh_get_report+0x3ec/0x530 [amd_sfh] [ 13.054809] psmouse serio1: trackpoint: Synaptics TrackPoint firmware: 0x02, buttons: 3/3 [ 13.056432] Read of size 8 at addr ffff88813152f408 by task (udev-worker)/479 [ 13.060970] CPU: 5 PID: 479 Comm: (udev-worker) Not tainted 6.10.0-arch1-2 #1 893bb55d7f0073f25c46adbb49eb3785fefd74b0 [ 13.063978] Hardware name: LENOVO 21CQCTO1WW/21CQCTO1WW, BIOS R22ET70W (1.40 ) 03/21/2024 [ 13.067860] Call Trace: [ 13.069383] input: TPPS/2 Synaptics TrackPoint as /devices/platform/i8042/serio1/input/input8 [ 13.071486] <TASK> [ 13.071492] dump_stack_lvl+0x5d/0x80 [ 13.074870] snd_hda_intel 0000:33:00.6: enabling device (0000 -> 0002) [ 13.078296] ? amd_sfh_get_report+0x3ec/0x530 [amd_sfh 05f43221435b5205f734cd9da29399130f398a38] [ 13.082199] print_report+0x174/0x505 [ 13.085776] ? __pfx__raw_spin_lock_irqsave+0x10/0x10 [ 13.089367] ? srso_alias_return_thunk+0x5/0xfbef5 [ 13.093255] ? amd_sfh_get_report+0x3ec/0x530 [amd_sfh 05f43221435b5205f734cd9da29399130f398a38] [ 13.097464] kasan_report+0xc8/0x150 [ 13.101461] ? amd_sfh_get_report+0x3ec/0x530 [amd_sfh 05f43221435b5205f734cd9da29399130f398a38] [ 13.105802] amd_sfh_get_report+0x3ec/0x530 [amd_sfh 05f43221435b5205f734cd9da29399130f398a38] [ 13.110303] amdtp_hid_request+0xb8/0x110 [amd_sfh 05f43221435b5205f734cd9da29399130f398a38] [ 13.114879] ? srso_alias_return_thunk+0x5/0xfbef5 [ 13.119450] sensor_hub_get_feature+0x1d3/0x540 [hid_sensor_hub 3f13be3016ff415bea03008d45d99da837ee3082] [ 13.124097] hid_sensor_parse_common_attributes+0x4d0/0xad0 [hid_sensor_iio_common c3a5cbe93969c28b122609768bbe23efe52eb8f5] [ 13.127404] ? srso_alias_return_thunk+0x5/0xfbef5 [ 13.131925] ? __pfx_hid_sensor_parse_common_attributes+0x10/0x10 [hid_sensor_iio_common c3a5cbe93969c28b122609768bbe23efe52eb8f5] [ 13.136455] ? _raw_spin_lock_irqsave+0x96/0xf0 [ 13.140197] ? __pfx__raw_spin_lock_irqsave+0x10/0x10 [ 13.143602] ? devm_iio_device_alloc+0x34/0x50 [industrialio 3d261d5e5765625d2b052be40e526d62b1d2123b] [ 13.147234] ? srso_alias_return_thunk+0x5/0xfbef5 [ 13.150446] ? __devm_add_action+0x167/0x1d0 [ 13.155061] hid_gyro_3d_probe+0x120/0x7f0 [hid_sensor_gyro_3d 63da36a143b775846ab2dbb86c343b401b5e3172] [ 13.158581] ? srso_alias_return_thunk+0x5/0xfbef5 [ 13.161814] platform_probe+0xa2/0x150 [ 13.165029] really_probe+0x1e3/0x8a0 [ 13.168243] __driver_probe_device+0x18c/0x370 [ 13.171500] driver_probe_device+0x4a/0x120 [ 13.175000] __driver_attach+0x190/0x4a0 [ 13.178521] ? __pfx___driver_attach+0x10/0x10 [ 13.181771] bus_for_each_dev+0x106/0x180 [ 13.185033] ? __pfx__raw_spin_lock+0x10/0x10 [ 13.188229] ? __pfx_bus_for_each_dev+0x10/0x10 [ 13.191446] ? srso_alias_return_thunk+0x5/0xfbef5 [ 13.194382] bus_add_driver+0x29e/0x4d0 [ 13.197328] driver_register+0x1a5/0x360 [ 13.200283] ? __pfx_hid_gyro_3d_platform_driver_init+0x10/0x10 [hid_sensor_gyro_3d 63da36a143b775846ab2dbb86c343b401b5e3172] [ 13.203362] do_one_initcall+0xa7/0x380 [ 13.206432] ? __pfx_do_one_initcall+0x10/0x10 [ 13.210175] ? srso_alias_return_thunk+0x5/0xfbef5 [ 13.213211] ? kasan_unpoison+0x44/0x70 [ 13.216688] do_init_module+0x238/0x750 [ 13.2196 ---truncated--- Уязвимость функции amdtp_hid_remove() в модуле drivers/hid/amd-sfh-hid/amd_sfh_hid.c драйвера AMD Sensor Fusion Hub ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: cougar: fix slab-out-of-bounds Read in cougar_report_fixup report_fixup for the Cougar 500k Gaming Keyboard was not verifying that the report descriptor size was correct before accessing it Уязвимость функции cougar_report_fixup() ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: Add missing bridge lock to pci_bus_lock() One of the true positives that the cfg_access_lock lockdep effort identified is this sequence: WARNING: CPU: 14 PID: 1 at drivers/pci/pci.c:4886 pci_bridge_secondary_bus_reset+0x5d/0x70 RIP: 0010:pci_bridge_secondary_bus_reset+0x5d/0x70 Call Trace: <TASK> ? __warn+0x8c/0x190 ? pci_bridge_secondary_bus_reset+0x5d/0x70 ? report_bug+0x1f8/0x200 ? handle_bug+0x3c/0x70 ? exc_invalid_op+0x18/0x70 ? asm_exc_invalid_op+0x1a/0x20 ? pci_bridge_secondary_bus_reset+0x5d/0x70 pci_reset_bus+0x1d8/0x270 vmd_probe+0x778/0xa10 pci_device_probe+0x95/0x120 Where pci_reset_bus() users are triggering unlocked secondary bus resets. Ironically pci_bus_reset(), several calls down from pci_reset_bus(), uses pci_bus_lock() before issuing the reset which locks everything *but* the bridge itself. For the same motivation as adding: bridge = pci_upstream_bridge(dev); if (bridge) pci_dev_lock(bridge); to pci_reset_function() for the "bus" and "cxl_bus" reset cases, add pci_dev_lock() for @bus->self to pci_bus_lock(). [bhelgaas: squash in recursive locking deadlock fix from Keith Busch: https://lore.kernel.org/r/20240711193650.701834-1-kbusch@meta.com] Уязвимость компонента drivers/pci/pci.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: replace BUG_ON() with error handling at update_ref_for_cow() Instead of a BUG_ON() just return an error, log an error message and abort the transaction in case we find an extent buffer belonging to the relocation tree that doesn't have the full backref flag set. This is unexpected and should never happen (save for bugs or a potential bad memory). Уязвимость компонента btrfs ядра операционной системы Linux связана с неправильной обработкой ошибок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-404')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mwifiex: Do not return unused priv in mwifiex_get_priv_by_id() mwifiex_get_priv_by_id() returns the priv pointer corresponding to the bss_num and bss_type, but without checking if the priv is actually currently in use. Unused priv pointers do not have a wiphy attached to them which can lead to NULL pointer dereferences further down the callstack. Fix this by returning only used priv pointers which have priv->bss_mode set to something else than NL80211_IFTYPE_UNSPECIFIED. Said NULL pointer dereference happened when an Accesspoint was started with wpa_supplicant -i mlan0 with this config: network={ ssid="somessid" mode=2 frequency=2412 key_mgmt=WPA-PSK WPA-PSK-SHA256 proto=RSN group=CCMP pairwise=CCMP psk="12345678" } When waiting for the AP to be established, interrupting wpa_supplicant with <ctrl-c> and starting it again this happens: | Unable to handle kernel NULL pointer dereference at virtual address 0000000000000140 | Mem abort info: | ESR = 0x0000000096000004 | EC = 0x25: DABT (current EL), IL = 32 bits | SET = 0, FnV = 0 | EA = 0, S1PTW = 0 | FSC = 0x04: level 0 translation fault | Data abort info: | ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 | CM = 0, WnR = 0, TnD = 0, TagAccess = 0 | GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 | user pgtable: 4k pages, 48-bit VAs, pgdp=0000000046d96000 | [0000000000000140] pgd=0000000000000000, p4d=0000000000000000 | Internal error: Oops: 0000000096000004 [#1] PREEMPT SMP | Modules linked in: caam_jr caamhash_desc spidev caamalg_desc crypto_engine authenc libdes mwifiex_sdio +mwifiex crct10dif_ce cdc_acm onboard_usb_hub fsl_imx8_ddr_perf imx8m_ddrc rtc_ds1307 lm75 rtc_snvs +imx_sdma caam imx8mm_thermal spi_imx error imx_cpufreq_dt fuse ip_tables x_tables ipv6 | CPU: 0 PID: 8 Comm: kworker/0:1 Not tainted 6.9.0-00007-g937242013fce-dirty #18 | Hardware name: somemachine (DT) | Workqueue: events sdio_irq_work | pstate: 00000005 (nzcv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) | pc : mwifiex_get_cfp+0xd8/0x15c [mwifiex] | lr : mwifiex_get_cfp+0x34/0x15c [mwifiex] | sp : ffff8000818b3a70 | x29: ffff8000818b3a70 x28: ffff000006bfd8a5 x27: 0000000000000004 | x26: 000000000000002c x25: 0000000000001511 x24: 0000000002e86bc9 | x23: ffff000006bfd996 x22: 0000000000000004 x21: ffff000007bec000 | x20: 000000000000002c x19: 0000000000000000 x18: 0000000000000000 | x17: 000000040044ffff x16: 00500072b5503510 x15: ccc283740681e517 | x14: 0201000101006d15 x13: 0000000002e8ff43 x12: 002c01000000ffb1 | x11: 0100000000000000 x10: 02e8ff43002c0100 x9 : 0000ffb100100157 | x8 : ffff000003d20000 x7 : 00000000000002f1 x6 : 00000000ffffe124 | x5 : 0000000000000001 x4 : 0000000000000003 x3 : 0000000000000000 | x2 : 0000000000000000 x1 : 0001000000011001 x0 : 0000000000000000 | Call trace: | mwifiex_get_cfp+0xd8/0x15c [mwifiex] | mwifiex_parse_single_response_buf+0x1d0/0x504 [mwifiex] | mwifiex_handle_event_ext_scan_report+0x19c/0x2f8 [mwifiex] | mwifiex_process_sta_event+0x298/0xf0c [mwifiex] | mwifiex_process_event+0x110/0x238 [mwifiex] | mwifiex_main_process+0x428/0xa44 [mwifiex] | mwifiex_sdio_interrupt+0x64/0x12c [mwifiex_sdio] | process_sdio_pending_irqs+0x64/0x1b8 | sdio_irq_work+0x4c/0x7c | process_one_work+0x148/0x2a0 | worker_thread+0x2fc/0x40c | kthread+0x110/0x114 | ret_from_fork+0x10/0x20 | Code: a94153f3 a8c37bfd d50323bf d65f03c0 (f940a000) | ---[ end trace 0000000000000000 ]--- Уязвимость компонента drivers/net/wireless/marvell/mwifiex/main.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hwmon: (adc128d818) Fix underflows seen when writing limit attributes DIV_ROUND_CLOSEST() after kstrtol() results in an underflow if a large negative number such as -9223372036854775808 is provided by the user. Fix it by reordering clamp_val() and DIV_ROUND_CLOSEST() operations. Уязвимость функции adc128_in_store() в модуле drivers/hwmon/adc128d818.c драйвера hwmon ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pci/hotplug/pnv_php: Fix hotplug driver crash on Powernv The hotplug driver for powerpc (pci/hotplug/pnv_php.c) causes a kernel crash when we try to hot-unplug/disable the PCIe switch/bridge from the PHB. The crash occurs because although the MSI data structure has been released during disable/hot-unplug path and it has been assigned with NULL, still during unregistration the code was again trying to explicitly disable the MSI which causes the NULL pointer dereference and kernel crash. The patch fixes the check during unregistration path to prevent invoking pci_disable_msi/msix() since its data structure is already freed. Уязвимость компонента drivers/pci/hotplug/pnv_php.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fou: Fix null-ptr-deref in GRO. We observed a null-ptr-deref in fou_gro_receive() while shutting down a host. [0] The NULL pointer is sk->sk_user_data, and the offset 8 is of protocol in struct fou. When fou_release() is called due to netns dismantle or explicit tunnel teardown, udp_tunnel_sock_release() sets NULL to sk->sk_user_data. Then, the tunnel socket is destroyed after a single RCU grace period. So, in-flight udp4_gro_receive() could find the socket and execute the FOU GRO handler, where sk->sk_user_data could be NULL. Let's use rcu_dereference_sk_user_data() in fou_from_sock() and add NULL checks in FOU GRO handlers. [0]: BUG: kernel NULL pointer dereference, address: 0000000000000008 PF: supervisor read access in kernel mode PF: error_code(0x0000) - not-present page PGD 80000001032f4067 P4D 80000001032f4067 PUD 103240067 PMD 0 SMP PTI CPU: 0 PID: 0 Comm: swapper/0 Not tainted 5.10.216-204.855.amzn2.x86_64 #1 Hardware name: Amazon EC2 c5.large/, BIOS 1.0 10/16/2017 RIP: 0010:fou_gro_receive (net/ipv4/fou.c:233) [fou] Code: 41 5f c3 cc cc cc cc e8 e7 2e 69 f4 0f 1f 80 00 00 00 00 0f 1f 44 00 00 49 89 f8 41 54 48 89 f7 48 89 d6 49 8b 80 88 02 00 00 <0f> b6 48 08 0f b7 42 4a 66 25 fd fd 80 cc 02 66 89 42 4a 0f b6 42 RSP: 0018:ffffa330c0003d08 EFLAGS: 00010297 RAX: 0000000000000000 RBX: ffff93d9e3a6b900 RCX: 0000000000000010 RDX: ffff93d9e3a6b900 RSI: ffff93d9e3a6b900 RDI: ffff93dac2e24d08 RBP: ffff93d9e3a6b900 R08: ffff93dacbce6400 R09: 0000000000000002 R10: 0000000000000000 R11: ffffffffb5f369b0 R12: ffff93dacbce6400 R13: ffff93dac2e24d08 R14: 0000000000000000 R15: ffffffffb4edd1c0 FS: 0000000000000000(0000) GS:ffff93daee800000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000008 CR3: 0000000102140001 CR4: 00000000007706f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <IRQ> ? show_trace_log_lvl (arch/x86/kernel/dumpstack.c:259) ? __die_body.cold (arch/x86/kernel/dumpstack.c:478 arch/x86/kernel/dumpstack.c:420) ? no_context (arch/x86/mm/fault.c:752) ? exc_page_fault (arch/x86/include/asm/irqflags.h:49 arch/x86/include/asm/irqflags.h:89 arch/x86/mm/fault.c:1435 arch/x86/mm/fault.c:1483) ? asm_exc_page_fault (arch/x86/include/asm/idtentry.h:571) ? fou_gro_receive (net/ipv4/fou.c:233) [fou] udp_gro_receive (include/linux/netdevice.h:2552 net/ipv4/udp_offload.c:559) udp4_gro_receive (net/ipv4/udp_offload.c:604) inet_gro_receive (net/ipv4/af_inet.c:1549 (discriminator 7)) dev_gro_receive (net/core/dev.c:6035 (discriminator 4)) napi_gro_receive (net/core/dev.c:6170) ena_clean_rx_irq (drivers/amazon/net/ena/ena_netdev.c:1558) [ena] ena_io_poll (drivers/amazon/net/ena/ena_netdev.c:1742) [ena] napi_poll (net/core/dev.c:6847) net_rx_action (net/core/dev.c:6917) __do_softirq (arch/x86/include/asm/jump_label.h:25 include/linux/jump_label.h:200 include/trace/events/irq.h:142 kernel/softirq.c:299) asm_call_irq_on_stack (arch/x86/entry/entry_64.S:809) </IRQ> do_softirq_own_stack (arch/x86/include/asm/irq_stack.h:27 arch/x86/include/asm/irq_stack.h:77 arch/x86/kernel/irq_64.c:77) irq_exit_rcu (kernel/softirq.c:393 kernel/softirq.c:423 kernel/softirq.c:435) common_interrupt (arch/x86/kernel/irq.c:239) asm_common_interrupt (arch/x86/include/asm/idtentry.h:626) RIP: 0010:acpi_idle_do_entry (arch/x86/include/asm/irqflags.h:49 arch/x86/include/asm/irqflags.h:89 drivers/acpi/processor_idle.c:114 drivers/acpi/processor_idle.c:575) Code: 8b 15 d1 3c c4 02 ed c3 cc cc cc cc 65 48 8b 04 25 40 ef 01 00 48 8b 00 a8 08 75 eb 0f 1f 44 00 00 0f 00 2d d5 09 55 00 fb f4 <fa> c3 cc cc cc cc e9 be fc ff ff 66 66 2e 0f 1f 84 00 00 00 00 00 RSP: 0018:ffffffffb5603e58 EFLAGS: 00000246 RAX: 0000000000004000 RBX: ffff93dac0929c00 RCX: ffff93daee833900 RDX: ffff93daee800000 RSI: ffff93d ---truncated--- Уязвимость компонента net/ipv4/fou.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ice: Add netif_device_attach/detach into PF reset flow Ethtool callbacks can be executed while reset is in progress and try to access deleted resources, e.g. getting coalesce settings can result in a NULL pointer dereference seen below. Reproduction steps: Once the driver is fully initialized, trigger reset: # echo 1 > /sys/class/net/<interface>/device/reset when reset is in progress try to get coalesce settings using ethtool: # ethtool -c <interface> BUG: kernel NULL pointer dereference, address: 0000000000000020 PGD 0 P4D 0 Oops: Oops: 0000 [#1] PREEMPT SMP PTI CPU: 11 PID: 19713 Comm: ethtool Tainted: G S 6.10.0-rc7+ #7 RIP: 0010:ice_get_q_coalesce+0x2e/0xa0 [ice] RSP: 0018:ffffbab1e9bcf6a8 EFLAGS: 00010206 RAX: 000000000000000c RBX: ffff94512305b028 RCX: 0000000000000000 RDX: 0000000000000000 RSI: ffff9451c3f2e588 RDI: ffff9451c3f2e588 RBP: 0000000000000000 R08: 0000000000000000 R09: 0000000000000000 R10: ffff9451c3f2e580 R11: 000000000000001f R12: ffff945121fa9000 R13: ffffbab1e9bcf760 R14: 0000000000000013 R15: ffffffff9e65dd40 FS: 00007faee5fbe740(0000) GS:ffff94546fd80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000020 CR3: 0000000106c2e005 CR4: 00000000001706f0 Call Trace: <TASK> ice_get_coalesce+0x17/0x30 [ice] coalesce_prepare_data+0x61/0x80 ethnl_default_doit+0xde/0x340 genl_family_rcv_msg_doit+0xf2/0x150 genl_rcv_msg+0x1b3/0x2c0 netlink_rcv_skb+0x5b/0x110 genl_rcv+0x28/0x40 netlink_unicast+0x19c/0x290 netlink_sendmsg+0x222/0x490 __sys_sendto+0x1df/0x1f0 __x64_sys_sendto+0x24/0x30 do_syscall_64+0x82/0x160 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7faee60d8e27 Calling netif_device_detach() before reset makes the net core not call the driver when ethtool command is issued, the attempt to execute an ethtool command during reset will result in the following message: netlink error: No such device instead of NULL pointer dereference. Once reset is done and ice_rebuild() is executing, the netif_device_attach() is called to allow for ethtool operations to occur again in a safe manner. Уязвимость компонента drivers/net/ethernet/intel/ice/ice_main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: bcm: Remove proc entry when dev is unregistered. syzkaller reported a warning in bcm_connect() below. [0] The repro calls connect() to vxcan1, removes vxcan1, and calls connect() with ifindex == 0. Calling connect() for a BCM socket allocates a proc entry. Then, bcm_sk(sk)->bound is set to 1 to prevent further connect(). However, removing the bound device resets bcm_sk(sk)->bound to 0 in bcm_notify(). The 2nd connect() tries to allocate a proc entry with the same name and sets NULL to bcm_sk(sk)->bcm_proc_read, leaking the original proc entry. Since the proc entry is available only for connect()ed sockets, let's clean up the entry when the bound netdev is unregistered. [0]: proc_dir_entry 'can-bcm/2456' already registered WARNING: CPU: 1 PID: 394 at fs/proc/generic.c:376 proc_register+0x645/0x8f0 fs/proc/generic.c:375 Modules linked in: CPU: 1 PID: 394 Comm: syz-executor403 Not tainted 6.10.0-rc7-g852e42cc2dd4 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 RIP: 0010:proc_register+0x645/0x8f0 fs/proc/generic.c:375 Code: 00 00 00 00 00 48 85 ed 0f 85 97 02 00 00 4d 85 f6 0f 85 9f 02 00 00 48 c7 c7 9b cb cf 87 48 89 de 4c 89 fa e8 1c 6f eb fe 90 <0f> 0b 90 90 48 c7 c7 98 37 99 89 e8 cb 7e 22 05 bb 00 00 00 10 48 RSP: 0018:ffa0000000cd7c30 EFLAGS: 00010246 RAX: 9e129be1950f0200 RBX: ff1100011b51582c RCX: ff1100011857cd80 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000002 RBP: 0000000000000000 R08: ffd400000000000f R09: ff1100013e78cac0 R10: ffac800000cd7980 R11: ff1100013e12b1f0 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000000 R15: ff1100011a99a2ec FS: 00007fbd7086f740(0000) GS:ff1100013fd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000200071c0 CR3: 0000000118556004 CR4: 0000000000771ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe07f0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> proc_create_net_single+0x144/0x210 fs/proc/proc_net.c:220 bcm_connect+0x472/0x840 net/can/bcm.c:1673 __sys_connect_file net/socket.c:2049 [inline] __sys_connect+0x5d2/0x690 net/socket.c:2066 __do_sys_connect net/socket.c:2076 [inline] __se_sys_connect net/socket.c:2073 [inline] __x64_sys_connect+0x8f/0x100 net/socket.c:2073 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xd9/0x1c0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x7fbd708b0e5d Code: ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d 73 9f 1b 00 f7 d8 64 89 01 48 RSP: 002b:00007fff8cd33f08 EFLAGS: 00000246 ORIG_RAX: 000000000000002a RAX: ffffffffffffffda RBX: 0000000000000003 RCX: 00007fbd708b0e5d RDX: 0000000000000010 RSI: 0000000020000040 RDI: 0000000000000003 RBP: 0000000000000000 R08: 0000000000000040 R09: 0000000000000040 R10: 0000000000000040 R11: 0000000000000246 R12: 00007fff8cd34098 R13: 0000000000401280 R14: 0000000000406de8 R15: 00007fbd70ab9000 </TASK> remove_proc_entry: removing non-empty directory 'net/can-bcm', leaking at least '2456' Уязвимость компонента net/can/bcm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check denominator pbn_div before used [WHAT & HOW] A denominator cannot be 0, and is checked before used. This fixes 1 DIVIDE_BY_ZERO issue reported by Coverity. Уязвимость компонента drivers/gpu/drm/amd/display/amdgpu_dm/amdgpu_dm.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: udf: Avoid excessive partition lengths Avoid mounting filesystems where the partition would overflow the 32-bits used for block number. Also refuse to mount filesystems where the partition length is so large we cannot safely index bits in a block bitmap. Уязвимость компонента fs/udf/super.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: protect references to superblock parameters exposed in sysfs The superblock buffers of nilfs2 can not only be overwritten at runtime for modifications/repairs, but they are also regularly swapped, replaced during resizing, and even abandoned when degrading to one side due to backing device issues. So, accessing them requires mutual exclusion using the reader/writer semaphore "nilfs->ns_sem". Some sysfs attribute show methods read this superblock buffer without the necessary mutual exclusion, which can cause problems with pointer dereferencing and memory access, so fix it. Уязвимость компонента fs/nilfs2/sysfs.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix missing cleanup on rollforward recovery error In an error injection test of a routine for mount-time recovery, KASAN found a use-after-free bug. It turned out that if data recovery was performed using partial logs created by dsync writes, but an error occurred before starting the log writer to create a recovered checkpoint, the inodes whose data had been recovered were left in the ns_dirty_files list of the nilfs object and were not freed. Fix this issue by cleaning up inodes that have read the recovery data if the recovery routine fails midway before the log writer starts. Уязвимость компонента fs/nilfs2/recovery.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ila: call nf_unregister_net_hooks() sooner syzbot found an use-after-free Read in ila_nf_input [1] Issue here is that ila_xlat_exit_net() frees the rhashtable, then call nf_unregister_net_hooks(). It should be done in the reverse way, with a synchronize_rcu(). This is a good match for a pre_exit() method. [1] BUG: KASAN: use-after-free in rht_key_hashfn include/linux/rhashtable.h:159 [inline] BUG: KASAN: use-after-free in __rhashtable_lookup include/linux/rhashtable.h:604 [inline] BUG: KASAN: use-after-free in rhashtable_lookup include/linux/rhashtable.h:646 [inline] BUG: KASAN: use-after-free in rhashtable_lookup_fast+0x77a/0x9b0 include/linux/rhashtable.h:672 Read of size 4 at addr ffff888064620008 by task ksoftirqd/0/16 CPU: 0 UID: 0 PID: 16 Comm: ksoftirqd/0 Not tainted 6.11.0-rc4-syzkaller-00238-g2ad6d23f465a #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/06/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:93 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:119 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 rht_key_hashfn include/linux/rhashtable.h:159 [inline] __rhashtable_lookup include/linux/rhashtable.h:604 [inline] rhashtable_lookup include/linux/rhashtable.h:646 [inline] rhashtable_lookup_fast+0x77a/0x9b0 include/linux/rhashtable.h:672 ila_lookup_wildcards net/ipv6/ila/ila_xlat.c:132 [inline] ila_xlat_addr net/ipv6/ila/ila_xlat.c:652 [inline] ila_nf_input+0x1fe/0x3c0 net/ipv6/ila/ila_xlat.c:190 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xc3/0x220 net/netfilter/core.c:626 nf_hook include/linux/netfilter.h:269 [inline] NF_HOOK+0x29e/0x450 include/linux/netfilter.h:312 __netif_receive_skb_one_core net/core/dev.c:5661 [inline] __netif_receive_skb+0x1ea/0x650 net/core/dev.c:5775 process_backlog+0x662/0x15b0 net/core/dev.c:6108 __napi_poll+0xcb/0x490 net/core/dev.c:6772 napi_poll net/core/dev.c:6841 [inline] net_rx_action+0x89b/0x1240 net/core/dev.c:6963 handle_softirqs+0x2c4/0x970 kernel/softirq.c:554 run_ksoftirqd+0xca/0x130 kernel/softirq.c:928 smpboot_thread_fn+0x544/0xa30 kernel/smpboot.c:164 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> The buggy address belongs to the physical page: page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x64620 flags: 0xfff00000000000(node=0|zone=1|lastcpupid=0x7ff) page_type: 0xbfffffff(buddy) raw: 00fff00000000000 ffffea0000959608 ffffea00019d9408 0000000000000000 raw: 0000000000000000 0000000000000003 00000000bfffffff 0000000000000000 page dumped because: kasan: bad access detected page_owner tracks the page as freed page last allocated via order 3, migratetype Unmovable, gfp_mask 0x52dc0(GFP_KERNEL|__GFP_NOWARN|__GFP_NORETRY|__GFP_COMP|__GFP_ZERO), pid 5242, tgid 5242 (syz-executor), ts 73611328570, free_ts 618981657187 set_page_owner include/linux/page_owner.h:32 [inline] post_alloc_hook+0x1f3/0x230 mm/page_alloc.c:1493 prep_new_page mm/page_alloc.c:1501 [inline] get_page_from_freelist+0x2e4c/0x2f10 mm/page_alloc.c:3439 __alloc_pages_noprof+0x256/0x6c0 mm/page_alloc.c:4695 __alloc_pages_node_noprof include/linux/gfp.h:269 [inline] alloc_pages_node_noprof include/linux/gfp.h:296 [inline] ___kmalloc_large_node+0x8b/0x1d0 mm/slub.c:4103 __kmalloc_large_node_noprof+0x1a/0x80 mm/slub.c:4130 __do_kmalloc_node mm/slub.c:4146 [inline] __kmalloc_node_noprof+0x2d2/0x440 mm/slub.c:4164 __kvmalloc_node_noprof+0x72/0x190 mm/util.c:650 bucket_table_alloc lib/rhashtable.c:186 [inline] rhashtable_init_noprof+0x534/0xa60 lib/rhashtable.c:1071 ila_xlat_init_net+0xa0/0x110 net/ipv6/ila/ila_xlat.c:613 ops_ini ---truncated--- Уязвимость функции ila_xlat_exit_net() в модуле net/ipv6/ila/ila_xlat.c реализации Identifier Locator Addressing (ILA) протокола IPv6 ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp_bpf: fix return value of tcp_bpf_sendmsg() When we cork messages in psock->cork, the last message triggers the flushing will result in sending a sk_msg larger than the current message size. In this case, in tcp_bpf_send_verdict(), 'copied' becomes negative at least in the following case: 468 case __SK_DROP: 469 default: 470 sk_msg_free_partial(sk, msg, tosend); 471 sk_msg_apply_bytes(psock, tosend); 472 *copied -= (tosend + delta); // <==== HERE 473 return -EACCES; Therefore, it could lead to the following BUG with a proper value of 'copied' (thanks to syzbot). We should not use negative 'copied' as a return value here. ------------[ cut here ]------------ kernel BUG at net/socket.c:733! Internal error: Oops - BUG: 00000000f2000800 [#1] PREEMPT SMP Modules linked in: CPU: 0 UID: 0 PID: 3265 Comm: syz-executor510 Not tainted 6.11.0-rc3-syzkaller-00060-gd07b43284ab3 #0 Hardware name: linux,dummy-virt (DT) pstate: 61400009 (nZCv daif +PAN -UAO -TCO +DIT -SSBS BTYPE=--) pc : sock_sendmsg_nosec net/socket.c:733 [inline] pc : sock_sendmsg_nosec net/socket.c:728 [inline] pc : __sock_sendmsg+0x5c/0x60 net/socket.c:745 lr : sock_sendmsg_nosec net/socket.c:730 [inline] lr : __sock_sendmsg+0x54/0x60 net/socket.c:745 sp : ffff800088ea3b30 x29: ffff800088ea3b30 x28: fbf00000062bc900 x27: 0000000000000000 x26: ffff800088ea3bc0 x25: ffff800088ea3bc0 x24: 0000000000000000 x23: f9f00000048dc000 x22: 0000000000000000 x21: ffff800088ea3d90 x20: f9f00000048dc000 x19: ffff800088ea3d90 x18: 0000000000000001 x17: 0000000000000000 x16: 0000000000000000 x15: 000000002002ffaf x14: 0000000000000000 x13: 0000000000000000 x12: 0000000000000000 x11: 0000000000000000 x10: ffff8000815849c0 x9 : ffff8000815b49c0 x8 : 0000000000000000 x7 : 000000000000003f x6 : 0000000000000000 x5 : 00000000000007e0 x4 : fff07ffffd239000 x3 : fbf00000062bc900 x2 : 0000000000000000 x1 : 0000000000000000 x0 : 00000000fffffdef Call trace: sock_sendmsg_nosec net/socket.c:733 [inline] __sock_sendmsg+0x5c/0x60 net/socket.c:745 ____sys_sendmsg+0x274/0x2ac net/socket.c:2597 ___sys_sendmsg+0xac/0x100 net/socket.c:2651 __sys_sendmsg+0x84/0xe0 net/socket.c:2680 __do_sys_sendmsg net/socket.c:2689 [inline] __se_sys_sendmsg net/socket.c:2687 [inline] __arm64_sys_sendmsg+0x24/0x30 net/socket.c:2687 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x48/0x110 arch/arm64/kernel/syscall.c:49 el0_svc_common.constprop.0+0x40/0xe0 arch/arm64/kernel/syscall.c:132 do_el0_svc+0x1c/0x28 arch/arm64/kernel/syscall.c:151 el0_svc+0x34/0xec arch/arm64/kernel/entry-common.c:712 el0t_64_sync_handler+0x100/0x12c arch/arm64/kernel/entry-common.c:730 el0t_64_sync+0x19c/0x1a0 arch/arm64/kernel/entry.S:598 Code: f9404463 d63f0060 3108441f 54fffe81 (d4210000) ---[ end trace 0000000000000000 ]--- Уязвимость компонента tcp_bpf ядра операционной системы Linux связана с некорректной обработкой ошибок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: mana: Fix error handling in mana_create_txq/rxq's NAPI cleanup Currently napi_disable() gets called during rxq and txq cleanup, even before napi is enabled and hrtimer is initialized. It causes kernel panic. ? page_fault_oops+0x136/0x2b0 ? page_counter_cancel+0x2e/0x80 ? do_user_addr_fault+0x2f2/0x640 ? refill_obj_stock+0xc4/0x110 ? exc_page_fault+0x71/0x160 ? asm_exc_page_fault+0x27/0x30 ? __mmdrop+0x10/0x180 ? __mmdrop+0xec/0x180 ? hrtimer_active+0xd/0x50 hrtimer_try_to_cancel+0x2c/0xf0 hrtimer_cancel+0x15/0x30 napi_disable+0x65/0x90 mana_destroy_rxq+0x4c/0x2f0 mana_create_rxq.isra.0+0x56c/0x6d0 ? mana_uncfg_vport+0x50/0x50 mana_alloc_queues+0x21b/0x320 ? skb_dequeue+0x5f/0x80 Уязвимость компонента drivers/net/ethernet/microsoft/mana/mana_en.cядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: mcp251x: fix deadlock if an interrupt occurs during mcp251x_open The mcp251x_hw_wake() function is called with the mpc_lock mutex held and disables the interrupt handler so that no interrupts can be processed while waking the device. If an interrupt has already occurred then waiting for the interrupt handler to complete will deadlock because it will be trying to acquire the same mutex. CPU0 CPU1 ---- ---- mcp251x_open() mutex_lock(&priv->mcp_lock) request_threaded_irq() <interrupt> mcp251x_can_ist() mutex_lock(&priv->mcp_lock) mcp251x_hw_wake() disable_irq() <-- deadlock Use disable_irq_nosync() instead because the interrupt handler does everything while holding the mutex so it doesn't matter if it's still running. Уязвимость компонента mcp251x ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/tdx: Fix data leak in mmio_read() The mmio_read() function makes a TDVMCALL to retrieve MMIO data for an address from the VMM. Sean noticed that mmio_read() unintentionally exposes the value of an initialized variable (val) on the stack to the VMM. This variable is only needed as an output value. It did not need to be passed to the VMM in the first place. Do not send the original value of *val to the VMM. [ dhansen: clarify what 'val' is used for. ] Уязвимость функции mmio_read() компонента arch/x86/coco/tdx/tdx.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: unset the binding mark of a reused connection Steve French reported null pointer dereference error from sha256 lib. cifs.ko can send session setup requests on reused connection. If reused connection is used for binding session, conn->binding can still remain true and generate_preauth_hash() will not set sess->Preauth_HashValue and it will be NULL. It is used as a material to create an encryption key in ksmbd_gen_smb311_encryptionkey. ->Preauth_HashValue cause null pointer dereference error from crypto_shash_update(). BUG: kernel NULL pointer dereference, address: 0000000000000000 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: 0000 [#1] PREEMPT SMP PTI CPU: 8 PID: 429254 Comm: kworker/8:39 Hardware name: LENOVO 20MAS08500/20MAS08500, BIOS N2CET69W (1.52 ) Workqueue: ksmbd-io handle_ksmbd_work [ksmbd] RIP: 0010:lib_sha256_base_do_update.isra.0+0x11e/0x1d0 [sha256_ssse3] <TASK> ? show_regs+0x6d/0x80 ? __die+0x24/0x80 ? page_fault_oops+0x99/0x1b0 ? do_user_addr_fault+0x2ee/0x6b0 ? exc_page_fault+0x83/0x1b0 ? asm_exc_page_fault+0x27/0x30 ? __pfx_sha256_transform_rorx+0x10/0x10 [sha256_ssse3] ? lib_sha256_base_do_update.isra.0+0x11e/0x1d0 [sha256_ssse3] ? __pfx_sha256_transform_rorx+0x10/0x10 [sha256_ssse3] ? __pfx_sha256_transform_rorx+0x10/0x10 [sha256_ssse3] _sha256_update+0x77/0xa0 [sha256_ssse3] sha256_avx2_update+0x15/0x30 [sha256_ssse3] crypto_shash_update+0x1e/0x40 hmac_update+0x12/0x20 crypto_shash_update+0x1e/0x40 generate_key+0x234/0x380 [ksmbd] generate_smb3encryptionkey+0x40/0x1c0 [ksmbd] ksmbd_gen_smb311_encryptionkey+0x72/0xa0 [ksmbd] ntlm_authenticate.isra.0+0x423/0x5d0 [ksmbd] smb2_sess_setup+0x952/0xaa0 [ksmbd] __process_request+0xa3/0x1d0 [ksmbd] __handle_ksmbd_work+0x1c4/0x2f0 [ksmbd] handle_ksmbd_work+0x2d/0xa0 [ksmbd] process_one_work+0x16c/0x350 worker_thread+0x306/0x440 ? __pfx_worker_thread+0x10/0x10 kthread+0xef/0x120 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x44/0x70 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1b/0x30 </TASK> Уязвимость компонента ksmbd ядра операционной системы Linux связана с разыменованием NULL указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: dapm: Fix UAF for snd_soc_pcm_runtime object When using kernel with the following extra config, - CONFIG_KASAN=y - CONFIG_KASAN_GENERIC=y - CONFIG_KASAN_INLINE=y - CONFIG_KASAN_VMALLOC=y - CONFIG_FRAME_WARN=4096 kernel detects that snd_pcm_suspend_all() access a freed 'snd_soc_pcm_runtime' object when the system is suspended, which leads to a use-after-free bug: [ 52.047746] BUG: KASAN: use-after-free in snd_pcm_suspend_all+0x1a8/0x270 [ 52.047765] Read of size 1 at addr ffff0000b9434d50 by task systemd-sleep/2330 [ 52.047785] Call trace: [ 52.047787] dump_backtrace+0x0/0x3c0 [ 52.047794] show_stack+0x34/0x50 [ 52.047797] dump_stack_lvl+0x68/0x8c [ 52.047802] print_address_description.constprop.0+0x74/0x2c0 [ 52.047809] kasan_report+0x210/0x230 [ 52.047815] __asan_report_load1_noabort+0x3c/0x50 [ 52.047820] snd_pcm_suspend_all+0x1a8/0x270 [ 52.047824] snd_soc_suspend+0x19c/0x4e0 The snd_pcm_sync_stop() has a NULL check on 'substream->runtime' before making any access. So we need to always set 'substream->runtime' to NULL everytime we kfree() it. Уязвимость функции snd_pcm_suspend_all() компонента dapm ядра операционной системы Linux связана с использованием памяти после ее освобождения при обработке объекта snd_soc_pcm_runtime. Эксплуатация уязвимости может позволить нарушителю повысить привилегии в системе [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sch/netem: fix use after free in netem_dequeue If netem_dequeue() enqueues packet to inner qdisc and that qdisc returns __NET_XMIT_STOLEN. The packet is dropped but qdisc_tree_reduce_backlog() is not called to update the parent's q.qlen, leading to the similar use-after-free as Commit e04991a48dbaf382 ("netem: fix return value if duplicate enqueue fails") Commands to trigger KASAN UaF: ip link add type dummy ip link set lo up ip link set dummy0 up tc qdisc add dev lo parent root handle 1: drr tc filter add dev lo parent 1: basic classid 1:1 tc class add dev lo classid 1:1 drr tc qdisc add dev lo parent 1:1 handle 2: netem tc qdisc add dev lo parent 2: handle 3: drr tc filter add dev lo parent 3: basic classid 3:1 action mirred egress redirect dev dummy0 tc class add dev lo classid 3:1 drr ping -c1 -W0.01 localhost # Trigger bug tc class del dev lo classid 1:1 tc class add dev lo classid 1:1 drr ping -c1 -W0.01 localhost # UaF Уязвимость компонента sch/netem ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: added NULL check at start of dc_validate_stream [Why] prevent invalid memory access [How] check if dc and stream are NULL Уязвимость компонента drivers/gpu/drm/amd/display/dc/core/dc_resource.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add array index check for hdcp ddc access [Why] Coverity reports OVERRUN warning. Do not check if array index valid. [How] Check msg_id valid and valid array index. Уязвимость функций read() и write()] в модуле drivers/gpu/drm/amd/display/modules/hdcp/hdcp_ddc.c драйвера amdpgu ядра операционной системы Linux связана с некорректным вычислением индекса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix the waring dereferencing hive Check the amdgpu_hive_info *hive that maybe is NULL. Уязвимость компонента drivers/gpu/drm/amd/amdgpu/amdgpu_psp.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/amdgpu: Check tbo resource pointer Validate tbo resource pointer, skip if NULL Уязвимость компонента drivers/gpu/drm/amd/amdgpu/amdgpu_device.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check BIOS images before it is used BIOS images may fail to load and null checks are added before they are used. This fixes 6 NULL_RETURNS issues reported by Coverity. Уязвимость компонента drivers/gpu/drm/amd/display/dc/bios/bios_parser.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/bridge: tc358767: Check if fully initialized before signalling HPD event via IRQ Make sure the connector is fully initialized before signalling any HPD events via drm_kms_helper_hotplug_event(), otherwise this may lead to NULL pointer dereference. Уязвимость компонента drivers/gpu/drm/bridge/tc358767.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Skip inactive planes within ModeSupportAndSystemConfiguration [Why] Coverity reports Memory - illegal accesses. [How] Skip inactive planes. Уязвимость функции ModeSupportAndSystemConfiguration() драйвера drivers/gpu/drm/amd/display/dc/dml/display_mode_vba.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check msg_id before processing transcation [WHY & HOW] HDCP_MESSAGE_ID_INVALID (-1) is not a valid msg_id nor is it a valid array index, and it needs checking before used. This fixes 4 OVERRUN issues reported by Coverity. Уязвимость компонента drivers/gpu/drm/amd/display/dc/hdcp/hdcp_msg.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check num_valid_sets before accessing reader_wm_sets[] [WHY & HOW] num_valid_sets needs to be checked to avoid a negative index when accessing reader_wm_sets[num_valid_sets - 1]. This fixes an OVERRUN issue reported by Coverity. Уязвимость функции num_valid_sets() компонента drivers/gpu/drm/amd/display/dc/clk_mgr/dcn21/rn_clk_mgr.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Stop amdgpu_dm initialize when stream nums greater than 6 [Why] Coverity reports OVERRUN warning. Should abort amdgpu_dm initialize. [How] Return failure to amdgpu_dm_init. Уязвимость компонента drivers/gpu/drm/amd/display/amdgpu_dm/amdgpu_dm.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) - использовать hardened ядро ОС; - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check gpio_id before used as array index [WHY & HOW] GPIO_ID_UNKNOWN (-1) is not a valid value for array index and therefore should be checked in advance. This fixes 5 OVERRUN issues reported by Coverity. Уязвимость компонента drivers/gpu/drm/amd/display/dc/gpio/gpio_service.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: the warning dereferencing obj for nbio_v7_4 if ras_manager obj null, don't print NBIO err data Уязвимость компонента drivers/gpu/drm/amd/amdgpu/nbio_v7_4.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Fix negative array index read Avoid using the negative values for clk_idex as an index into an array pptable->DpmDescriptor. V2: fix clk_index return check (Tim Huang) Уязвимость функции navi10_is_support_fine_grained_dpm() компонента drivers/gpu/drm/amd/pm/swsmu/smu11/navi10_ppt.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64: acpi: Harden get_cpu_for_acpi_id() against missing CPU entry In a review discussion of the changes to support vCPU hotplug where a check was added on the GICC being enabled if was online, it was noted that there is need to map back to the cpu and use that to index into a cpumask. As such, a valid ID is needed. If an MPIDR check fails in acpi_map_gic_cpu_interface() it is possible for the entry in cpu_madt_gicc[cpu] == NULL. This function would then cause a NULL pointer dereference. Whilst a path to trigger this has not been established, harden this caller against the possibility. Уязвимость компонента arch/arm64/include/asm/acpi.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ELF: fix kernel.randomize_va_space double read ELF loader uses "randomize_va_space" twice. It is sysctl and can change at any moment, so 2 loads could see 2 different values in theory with unpredictable consequences. Issue exactly one load for consistent value across one exec. Уязвимость компонента fs/binfmt_elf.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sched: sch_cake: fix bulk flow accounting logic for host fairness In sch_cake, we keep track of the count of active bulk flows per host, when running in dst/src host fairness mode, which is used as the round-robin weight when iterating through flows. The count of active bulk flows is updated whenever a flow changes state. This has a peculiar interaction with the hash collision handling: when a hash collision occurs (after the set-associative hashing), the state of the hash bucket is simply updated to match the new packet that collided, and if host fairness is enabled, that also means assigning new per-host state to the flow. For this reason, the bulk flow counters of the host(s) assigned to the flow are decremented, before new state is assigned (and the counters, which may not belong to the same host anymore, are incremented again). Back when this code was introduced, the host fairness mode was always enabled, so the decrement was unconditional. When the configuration flags were introduced the *increment* was made conditional, but the *decrement* was not. Which of course can lead to a spurious decrement (and associated wrap-around to U16_MAX). AFAICT, when host fairness is disabled, the decrement and wrap-around happens as soon as a hash collision occurs (which is not that common in itself, due to the set-associative hashing). However, in most cases this is harmless, as the value is only used when host fairness mode is enabled. So in order to trigger an array overflow, sch_cake has to first be configured with host fairness disabled, and while running in this mode, a hash collision has to occur to cause the overflow. Then, the qdisc has to be reconfigured to enable host fairness, which leads to the array out-of-bounds because the wrapped-around value is retained and used as an array index. It seems that syzbot managed to trigger this, which is quite impressive in its own right. This patch fixes the issue by introducing the same conditional check on decrement as is used on increment. The original bug predates the upstreaming of cake, but the commit listed in the Fixes tag touched that code, meaning that this patch won't apply before that. Уязвимость компонента net/sched/sch_cake.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rtmutex: Drop rt_mutex::wait_lock before scheduling rt_mutex_handle_deadlock() is called with rt_mutex::wait_lock held. In the good case it returns with the lock held and in the deadlock case it emits a warning and goes into an endless scheduling loop with the lock held, which triggers the 'scheduling in atomic' warning. Unlock rt_mutex::wait_lock in the dead lock case before issuing the warning and dropping into the schedule for ever loop. [ tglx: Moved unlock before the WARN(), removed the pointless comment, massaged changelog, added Fixes tag ] Уязвимость компонента kernel/locking/rtmutex.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Acquire kvm->srcu when handling KVM_SET_VCPU_EVENTS Grab kvm->srcu when processing KVM_SET_VCPU_EVENTS, as KVM will forcibly leave nested VMX/SVM if SMM mode is being toggled, and leaving nested VMX reads guest memory. Note, kvm_vcpu_ioctl_x86_set_vcpu_events() can also be called from KVM_RUN via sync_regs(), which already holds SRCU. I.e. trying to precisely use kvm_vcpu_srcu_read_lock() around the problematic SMM code would cause problems. Acquiring SRCU isn't all that expensive, so for simplicity, grab it unconditionally for KVM_SET_VCPU_EVENTS. ============================= WARNING: suspicious RCU usage 6.10.0-rc7-332d2c1d713e-next-vm #552 Not tainted ----------------------------- include/linux/kvm_host.h:1027 suspicious rcu_dereference_check() usage! other info that might help us debug this: rcu_scheduler_active = 2, debug_locks = 1 1 lock held by repro/1071: #0: ffff88811e424430 (&vcpu->mutex){+.+.}-{3:3}, at: kvm_vcpu_ioctl+0x7d/0x970 [kvm] stack backtrace: CPU: 15 PID: 1071 Comm: repro Not tainted 6.10.0-rc7-332d2c1d713e-next-vm #552 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 0.0.0 02/06/2015 Call Trace: <TASK> dump_stack_lvl+0x7f/0x90 lockdep_rcu_suspicious+0x13f/0x1a0 kvm_vcpu_gfn_to_memslot+0x168/0x190 [kvm] kvm_vcpu_read_guest+0x3e/0x90 [kvm] nested_vmx_load_msr+0x6b/0x1d0 [kvm_intel] load_vmcs12_host_state+0x432/0xb40 [kvm_intel] vmx_leave_nested+0x30/0x40 [kvm_intel] kvm_vcpu_ioctl_x86_set_vcpu_events+0x15d/0x2b0 [kvm] kvm_arch_vcpu_ioctl+0x1107/0x1750 [kvm] ? mark_held_locks+0x49/0x70 ? kvm_vcpu_ioctl+0x7d/0x970 [kvm] ? kvm_vcpu_ioctl+0x497/0x970 [kvm] kvm_vcpu_ioctl+0x497/0x970 [kvm] ? lock_acquire+0xba/0x2d0 ? find_held_lock+0x2b/0x80 ? do_user_addr_fault+0x40c/0x6f0 ? lock_release+0xb7/0x270 __x64_sys_ioctl+0x82/0xb0 do_syscall_64+0x6c/0x170 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x7ff11eb1b539 </TASK> Уязвимость компонента arch/x86/kvm/x86.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: MIPS: cevt-r4k: Don't call get_c0_compare_int if timer irq is installed This avoids warning: [ 0.118053] BUG: sleeping function called from invalid context at kernel/locking/mutex.c:283 Caused by get_c0_compare_int on secondary CPU. We also skipped saving IRQ number to struct clock_event_device *cd as it's never used by clockevent core, as per comments it's only meant for "non CPU local devices". Уязвимость компонента arch/mips/kernel/cevt-r4k.c ядра операционной системы Linux связана с недостаточным сравнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Fix smatch static checker warning adev->gfx.imu.funcs could be NULL Уязвимость компонента drivers/gpu/drm/amd/amdgpu/gfx_v11_0.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: aspeed_udc: validate endpoint index for ast udc We should verify the bound of the array to assure that host may not manipulate the index to point past endpoint array. Found by static analysis. Уязвимость функции ast_udc_getstatus() в модуле drivers/usb/gadget/udc/aspeed_udc.c драйвера usb gadget ядра операционной системы Linux связана с некорректным вычислением индекса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: clean up our handling of refs == 0 in snapshot delete In reada we BUG_ON(refs == 0), which could be unkind since we aren't holding a lock on the extent leaf and thus could get a transient incorrect answer. In walk_down_proc we also BUG_ON(refs == 0), which could happen if we have extent tree corruption. Change that to return -EUCLEAN. In do_walk_down() we catch this case and handle it correctly, however we return -EIO, which -EUCLEAN is a more appropriate error code. Finally in walk_up_proc we have the same BUG_ON(refs == 0), so convert that to proper error handling. Also adjust the error message so we can actually do something with the information. Уязвимость компонента fs/btrfs/extent-tree.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: don't BUG_ON on ENOMEM from btrfs_lookup_extent_info() in walk_down_proc() We handle errors here properly, ENOMEM isn't fatal, return the error. Уязвимость компонента fs/btrfs/extent-tree.c ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: um: line: always fill *error_out in setup_one_line() The pointer isn't initialized by callers, but I have encountered cases where it's still printed; initialize it in all possible cases in setup_one_line(). Уязвимость функции setup_one_line() в модуле arch/um/drivers/line.c ядра операционной системы Linux в режиме User-mode-Linux (UML) связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spi: rockchip: Resolve unbalanced runtime PM / system PM handling Commit e882575efc77 ("spi: rockchip: Suspend and resume the bus during NOIRQ_SYSTEM_SLEEP_PM ops") stopped respecting runtime PM status and simply disabled clocks unconditionally when suspending the system. This causes problems when the device is already runtime suspended when we go to sleep -- in which case we double-disable clocks and produce a WARNing. Switch back to pm_runtime_force_{suspend,resume}(), because that still seems like the right thing to do, and the aforementioned commit makes no explanation why it stopped using it. Also, refactor some of the resume() error handling, because it's not actually a good idea to re-disable clocks on failure. Уязвимость компонента drivers/spi/spi-rockchip.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: perf/x86/intel: Limit the period on Haswell Running the ltp test cve-2015-3290 concurrently reports the following warnings. perfevents: irq loop stuck! WARNING: CPU: 31 PID: 32438 at arch/x86/events/intel/core.c:3174 intel_pmu_handle_irq+0x285/0x370 Call Trace: <NMI> ? __warn+0xa4/0x220 ? intel_pmu_handle_irq+0x285/0x370 ? __report_bug+0x123/0x130 ? intel_pmu_handle_irq+0x285/0x370 ? __report_bug+0x123/0x130 ? intel_pmu_handle_irq+0x285/0x370 ? report_bug+0x3e/0xa0 ? handle_bug+0x3c/0x70 ? exc_invalid_op+0x18/0x50 ? asm_exc_invalid_op+0x1a/0x20 ? irq_work_claim+0x1e/0x40 ? intel_pmu_handle_irq+0x285/0x370 perf_event_nmi_handler+0x3d/0x60 nmi_handle+0x104/0x330 Thanks to Thomas Gleixner's analysis, the issue is caused by the low initial period (1) of the frequency estimation algorithm, which triggers the defects of the HW, specifically erratum HSW11 and HSW143. (For the details, please refer https://lore.kernel.org/lkml/87plq9l5d2.ffs@tglx/) The HSW11 requires a period larger than 100 for the INST_RETIRED.ALL event, but the initial period in the freq mode is 1. The erratum is the same as the BDM11, which has been supported in the kernel. A minimum period of 128 is enforced as well on HSW. HSW143 is regarding that the fixed counter 1 may overcount 32 with the Hyper-Threading is enabled. However, based on the test, the hardware has more issues than it tells. Besides the fixed counter 1, the message 'interrupt took too long' can be observed on any counter which was armed with a period < 32 and two events expired in the same NMI. A minimum period of 32 is enforced for the rest of the events. The recommended workaround code of the HSW143 is not implemented. Because it only addresses the issue for the fixed counter. It brings extra overhead through extra MSR writing. No related overcounting issue has been reported so far. Уязвимость компонента arch/x86/events/intel/core.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: meson: axg-card: fix 'use-after-free' Buffer 'card->dai_link' is reallocated in 'meson_card_reallocate_links()', so move 'pad' pointer initialization after this function when memory is already reallocated. Kasan bug report: ================================================================== BUG: KASAN: slab-use-after-free in axg_card_add_link+0x76c/0x9bc Read of size 8 at addr ffff000000e8b260 by task modprobe/356 CPU: 0 PID: 356 Comm: modprobe Tainted: G O 6.9.12-sdkernel #1 Call trace: dump_backtrace+0x94/0xec show_stack+0x18/0x24 dump_stack_lvl+0x78/0x90 print_report+0xfc/0x5c0 kasan_report+0xb8/0xfc __asan_load8+0x9c/0xb8 axg_card_add_link+0x76c/0x9bc [snd_soc_meson_axg_sound_card] meson_card_probe+0x344/0x3b8 [snd_soc_meson_card_utils] platform_probe+0x8c/0xf4 really_probe+0x110/0x39c __driver_probe_device+0xb8/0x18c driver_probe_device+0x108/0x1d8 __driver_attach+0xd0/0x25c bus_for_each_dev+0xe0/0x154 driver_attach+0x34/0x44 bus_add_driver+0x134/0x294 driver_register+0xa8/0x1e8 __platform_driver_register+0x44/0x54 axg_card_pdrv_init+0x20/0x1000 [snd_soc_meson_axg_sound_card] do_one_initcall+0xdc/0x25c do_init_module+0x10c/0x334 load_module+0x24c4/0x26cc init_module_from_file+0xd4/0x128 __arm64_sys_finit_module+0x1f4/0x41c invoke_syscall+0x60/0x188 el0_svc_common.constprop.0+0x78/0x13c do_el0_svc+0x30/0x40 el0_svc+0x38/0x78 el0t_64_sync_handler+0x100/0x12c el0t_64_sync+0x190/0x194 Уязвимость функции axg_card_add_tdm_loopback() компонента sound/soc/meson/axg-card.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dma-buf: heaps: Fix off-by-one in CMA heap fault handler Until VM_DONTEXPAND was added in commit 1c1914d6e8c6 ("dma-buf: heaps: Don't track CMA dma-buf pages under RssFile") it was possible to obtain a mapping larger than the buffer size via mremap and bypass the overflow check in dma_buf_mmap_internal. When using such a mapping to attempt to fault past the end of the buffer, the CMA heap fault handler also checks the fault offset against the buffer size, but gets the boundary wrong by 1. Fix the boundary check so that we don't read off the end of the pages array and insert an arbitrary page in the mapping. Уязвимость функции cma_heap_vm_fault() компонента drivers/dma-buf/heaps/cma_heap.c ядра операционной системы Linux связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spi: nxp-fspi: fix the KASAN report out-of-bounds bug Change the memcpy length to fix the out-of-bounds issue when writing the data that is not 4 byte aligned to TX FIFO. To reproduce the issue, write 3 bytes data to NOR chip. dd if=3b of=/dev/mtd0 [ 36.926103] ================================================================== [ 36.933409] BUG: KASAN: slab-out-of-bounds in nxp_fspi_exec_op+0x26ec/0x2838 [ 36.940514] Read of size 4 at addr ffff00081037c2a0 by task dd/455 [ 36.946721] [ 36.948235] CPU: 3 UID: 0 PID: 455 Comm: dd Not tainted 6.11.0-rc5-gc7b0e37c8434 #1070 [ 36.956185] Hardware name: Freescale i.MX8QM MEK (DT) [ 36.961260] Call trace: [ 36.963723] dump_backtrace+0x90/0xe8 [ 36.967414] show_stack+0x18/0x24 [ 36.970749] dump_stack_lvl+0x78/0x90 [ 36.974451] print_report+0x114/0x5cc [ 36.978151] kasan_report+0xa4/0xf0 [ 36.981670] __asan_report_load_n_noabort+0x1c/0x28 [ 36.986587] nxp_fspi_exec_op+0x26ec/0x2838 [ 36.990800] spi_mem_exec_op+0x8ec/0xd30 [ 36.994762] spi_mem_no_dirmap_read+0x190/0x1e0 [ 36.999323] spi_mem_dirmap_write+0x238/0x32c [ 37.003710] spi_nor_write_data+0x220/0x374 [ 37.007932] spi_nor_write+0x110/0x2e8 [ 37.011711] mtd_write_oob_std+0x154/0x1f0 [ 37.015838] mtd_write_oob+0x104/0x1d0 [ 37.019617] mtd_write+0xb8/0x12c [ 37.022953] mtdchar_write+0x224/0x47c [ 37.026732] vfs_write+0x1e4/0x8c8 [ 37.030163] ksys_write+0xec/0x1d0 [ 37.033586] __arm64_sys_write+0x6c/0x9c [ 37.037539] invoke_syscall+0x6c/0x258 [ 37.041327] el0_svc_common.constprop.0+0x160/0x22c [ 37.046244] do_el0_svc+0x44/0x5c [ 37.049589] el0_svc+0x38/0x78 [ 37.052681] el0t_64_sync_handler+0x13c/0x158 [ 37.057077] el0t_64_sync+0x190/0x194 [ 37.060775] [ 37.062274] Allocated by task 455: [ 37.065701] kasan_save_stack+0x2c/0x54 [ 37.069570] kasan_save_track+0x20/0x3c [ 37.073438] kasan_save_alloc_info+0x40/0x54 [ 37.077736] __kasan_kmalloc+0xa0/0xb8 [ 37.081515] __kmalloc_noprof+0x158/0x2f8 [ 37.085563] mtd_kmalloc_up_to+0x120/0x154 [ 37.089690] mtdchar_write+0x130/0x47c [ 37.093469] vfs_write+0x1e4/0x8c8 [ 37.096901] ksys_write+0xec/0x1d0 [ 37.100332] __arm64_sys_write+0x6c/0x9c [ 37.104287] invoke_syscall+0x6c/0x258 [ 37.108064] el0_svc_common.constprop.0+0x160/0x22c [ 37.112972] do_el0_svc+0x44/0x5c [ 37.116319] el0_svc+0x38/0x78 [ 37.119401] el0t_64_sync_handler+0x13c/0x158 [ 37.123788] el0t_64_sync+0x190/0x194 [ 37.127474] [ 37.128977] The buggy address belongs to the object at ffff00081037c2a0 [ 37.128977] which belongs to the cache kmalloc-8 of size 8 [ 37.141177] The buggy address is located 0 bytes inside of [ 37.141177] allocated 3-byte region [ffff00081037c2a0, ffff00081037c2a3) [ 37.153465] [ 37.154971] The buggy address belongs to the physical page: [ 37.160559] page: refcount:1 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x89037c [ 37.168596] flags: 0xbfffe0000000000(node=0|zone=2|lastcpupid=0x1ffff) [ 37.175149] page_type: 0xfdffffff(slab) [ 37.179021] raw: 0bfffe0000000000 ffff000800002500 dead000000000122 0000000000000000 [ 37.186788] raw: 0000000000000000 0000000080800080 00000001fdffffff 0000000000000000 [ 37.194553] page dumped because: kasan: bad access detected [ 37.200144] [ 37.201647] Memory state around the buggy address: [ 37.206460] ffff00081037c180: fa fc fc fc fa fc fc fc fa fc fc fc fa fc fc fc [ 37.213701] ffff00081037c200: fa fc fc fc 05 fc fc fc 03 fc fc fc 02 fc fc fc [ 37.220946] >ffff00081037c280: 06 fc fc fc 03 fc fc fc fc fc fc fc fc fc fc fc [ 37.228186] ^ [ 37.232473] ffff00081037c300: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc [ 37.239718] ffff00081037c380: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc [ 37.246962] ============================================================== ---truncated--- Уязвимость функции nxp_fspi_fill_txfifo() в модуле drivers/spi/spi-nxp-fspi.c драйвера Serial Peripheral Interface (SPI) ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dpaa: Pad packets to ETH_ZLEN When sending packets under 60 bytes, up to three bytes of the buffer following the data may be leaked. Avoid this by extending all packets to ETH_ZLEN, ensuring nothing is leaked in the padding. This bug can be reproduced by running $ ping -s 11 destination Уязвимость функции dpaa_start_xmit() в модуле drivers/net/ethernet/freescale/dpaa/dpaa_eth.c ядра операционной системы Linux связана с утечкой данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_socket: fix sk refcount leaks We must put 'sk' reference before returning. Уязвимость компонента net/netfilter/nft_socket.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Fix bridge mode operations when there are no VFs Currently, trying to set the bridge mode attribute when numvfs=0 leads to a crash: bridge link set dev eth2 hwmode vepa [ 168.967392] BUG: kernel NULL pointer dereference, address: 0000000000000030 [...] [ 168.969989] RIP: 0010:mlx5_add_flow_rules+0x1f/0x300 [mlx5_core] [...] [ 168.976037] Call Trace: [ 168.976188] <TASK> [ 168.978620] _mlx5_eswitch_set_vepa_locked+0x113/0x230 [mlx5_core] [ 168.979074] mlx5_eswitch_set_vepa+0x7f/0xa0 [mlx5_core] [ 168.979471] rtnl_bridge_setlink+0xe9/0x1f0 [ 168.979714] rtnetlink_rcv_msg+0x159/0x400 [ 168.980451] netlink_rcv_skb+0x54/0x100 [ 168.980675] netlink_unicast+0x241/0x360 [ 168.980918] netlink_sendmsg+0x1f6/0x430 [ 168.981162] ____sys_sendmsg+0x3bb/0x3f0 [ 168.982155] ___sys_sendmsg+0x88/0xd0 [ 168.985036] __sys_sendmsg+0x59/0xa0 [ 168.985477] do_syscall_64+0x79/0x150 [ 168.987273] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 168.987773] RIP: 0033:0x7f8f7950f917 (esw->fdb_table.legacy.vepa_fdb is null) The bridge mode is only relevant when there are multiple functions per port. Therefore, prevent setting and getting this setting when there are no VFs. Note that after this change, there are no settings to change on the PF interface using `bridge link` when there are no VFs, so the interface no longer appears in the `bridge link` output. Уязвимость компонента drivers/net/ethernet/mellanox/mlx5/core/esw/legacy.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: pm: Fix uaf in __timer_delete_sync There are two paths to access mptcp_pm_del_add_timer, result in a race condition: CPU1 CPU2 ==== ==== net_rx_action napi_poll netlink_sendmsg __napi_poll netlink_unicast process_backlog netlink_unicast_kernel __netif_receive_skb genl_rcv __netif_receive_skb_one_core netlink_rcv_skb NF_HOOK genl_rcv_msg ip_local_deliver_finish genl_family_rcv_msg ip_protocol_deliver_rcu genl_family_rcv_msg_doit tcp_v4_rcv mptcp_pm_nl_flush_addrs_doit tcp_v4_do_rcv mptcp_nl_remove_addrs_list tcp_rcv_established mptcp_pm_remove_addrs_and_subflows tcp_data_queue remove_anno_list_by_saddr mptcp_incoming_options mptcp_pm_del_add_timer mptcp_pm_del_add_timer kfree(entry) In remove_anno_list_by_saddr(running on CPU2), after leaving the critical zone protected by "pm.lock", the entry will be released, which leads to the occurrence of uaf in the mptcp_pm_del_add_timer(running on CPU1). Keeping a reference to add_timer inside the lock, and calling sk_stop_timer_sync() with this reference, instead of "entry->add_timer". Move list_del(&entry->list) to mptcp_pm_del_add_timer and inside the pm lock, do not directly access any members of the entry outside the pm lock, which can avoid similar "entry->x" uaf. Уязвимость функции mptcp_pm_del_add_timer() в модуле net/mptcp/pm_netlink.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86: panasonic-laptop: Fix SINF array out of bounds accesses The panasonic laptop code in various places uses the SINF array with index values of 0 - SINF_CUR_BRIGHT(0x0d) without checking that the SINF array is big enough. Not all panasonic laptops have this many SINF array entries, for example the Toughbook CF-18 model only has 10 SINF array entries. So it only supports the AC+DC brightness entries and mute. Check that the SINF array has a minimum size which covers all AC+DC brightness entries and refuse to load if the SINF array is smaller. For higher SINF indexes hide the sysfs attributes when the SINF array does not contain an entry for that attribute, avoiding show()/store() accessing the array out of bounds and add bounds checking to the probe() and resume() code accessing these. Уязвимость функции acpi_pcc_hotkey_add() в модуле drivers/platform/x86/panasonic-laptop.c ядра операционной системы Linux связана с некорректным вычислением индекса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Correct the defined value for AMDGPU_DMUB_NOTIFICATION_MAX [Why & How] It actually exposes '6' types in enum dmub_notification_type. Not 5. Using smaller number to create array dmub_callback & dmub_thread_offload has potential to access item out of array bound. Fix it. Уязвимость определения массивов dmub_callback и dmub_thread_offload в модуле drivers/gpu/drm/amd/display/amdgpu_dm/amdgpu_dm.h ядра операционной системы Linux связана с недостаточным выделением памяти, приводящем к чтению памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dma-debug: fix a possible deadlock on radix_lock radix_lock() shouldn't be held while holding dma_hash_entry[idx].lock otherwise, there's a possible deadlock scenario when dma debug API is called holding rq_lock(): CPU0 CPU1 CPU2 dma_free_attrs() check_unmap() add_dma_entry() __schedule() //out (A) rq_lock() get_hash_bucket() (A) dma_entry_hash check_sync() (A) radix_lock() (W) dma_entry_hash dma_entry_free() (W) radix_lock() // CPU2's one (W) rq_lock() CPU1 situation can happen when it extending radix tree and it tries to wake up kswapd via wake_all_kswapd(). CPU2 situation can happen while perf_event_task_sched_out() (i.e. dma sync operation is called while deleting perf_event using etm and etr tmc which are Arm Coresight hwtracing driver backends). To remove this possible situation, call dma_entry_free() after put_hash_bucket() in check_unmap(). Уязвимость компонента kernel/dma/debug.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/smc: check smcd_v2_ext_offset when receiving proposal msg When receiving proposal msg in server, the field smcd_v2_ext_offset in proposal msg is from the remote client and can not be fully trusted. Once the value of smcd_v2_ext_offset exceed the max value, there has the chance to access wrong address, and crash may happen. This patch checks the value of smcd_v2_ext_offset before using it. Уязвимость компонента net/smc ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 gst-plugins-base1.0 GStreamer is a library for constructing graphs of media-handling components. A stack-buffer overflow has been detected in the `vorbis_handle_identification_packet` function within `gstvorbisdec.c`. The position array is a stack-allocated buffer of size 64. If vd->vi.channels exceeds 64, the for loop will write beyond the boundaries of the position array. The value written will always be `GST_AUDIO_CHANNEL_POSITION_NONE`. This vulnerability allows someone to overwrite the EIP address allocated in the stack. Additionally, this bug can overwrite the `GstAudioInfo` info structure. This vulnerability is fixed in 1.24.10. Уязвимость мультимедийного фреймворка Gstreamer связана с переполнением буфера на стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) gst-plugins-base1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-base1.0 GStreamer is a library for constructing graphs of media-handling components. An OOB-write vulnerability has been identified in the gst_ssa_parse_remove_override_codes function of the gstssaparse.c file. This function is responsible for parsing and removing SSA (SubStation Alpha) style override codes, which are enclosed in curly brackets ({}). The issue arises when a closing curly bracket "}" appears before an opening curly bracket "{" in the input string. In this case, memmove() incorrectly duplicates a substring. With each successive loop iteration, the size passed to memmove() becomes progressively larger (strlen(end+1)), leading to a write beyond the allocated memory bounds. This vulnerability is fixed in 1.24.10. Уязвимость функции gst_ssa_parse_remove_override_codes компонента gstssaparse.c мультимедийного фреймворка Gstreamer связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Отказаться от использования фреймворка Gstreamer. - При использовании ПО, использующего фреймворк Gstreamer, выполнять обработку только файлов, полученных из доверенных источников. - Обеспечить возможность запуска ПО, использующего фреймворк Gstreamer, только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Запускать прикладное ПО, использующее фреймворк Gstreamer, только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. - Включить режим замкнутой программной среды. Astra Linux 1.8 gst-plugins-base1.0 GStreamer is a library for constructing graphs of media-handling components. A null pointer dereference has been discovered in the id3v2_read_synch_uint function, located in id3v2.c. If id3v2_read_synch_uint is called with a null work->hdr.frame_data, the pointer guint8 *data is accessed without validation, resulting in a null pointer dereference. This vulnerability can result in a Denial of Service (DoS) by triggering a segmentation fault (SEGV). This vulnerability is fixed in 1.24.10. Уязвимость функции id3v2_read_synch_uint мультимедийного фреймворка Gstreamer связана с ошибками разыменования указателя NULL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gst-plugins-base1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-base1.0 GStreamer is a library for constructing graphs of media-handling components. An OOB-read vulnerability has been detected in the format_channel_mask function in gst-discoverer.c. The vulnerability affects the local array position, which is defined with a fixed size of 64 elements. However, the function gst_discoverer_audio_info_get_channels may return a guint channels value greater than 64. This causes the for loop to attempt access beyond the bounds of the position array, resulting in an OOB-read when an index greater than 63 is used. This vulnerability can result in reading unintended bytes from the stack. Additionally, the dereference of value->value_nick after the OOB-read can lead to further memory corruption or undefined behavior. This vulnerability is fixed in 1.24.10. Уязвимость функции format_channel_mask мультимедийного фреймворка Gstreamer связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) gst-plugins-base1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gstreamer1.0, gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An integer underflow has been detected in the function qtdemux_parse_theora_extension within qtdemux.c. The vulnerability occurs due to an underflow of the gint size variable, which causes size to hold a large unintended value when cast to an unsigned integer. This 32-bit negative value is then cast to a 64-bit unsigned integer (0xfffffffffffffffa) in a subsequent call to gst_buffer_new_and_alloc. The function gst_buffer_new_allocate then attempts to allocate memory, eventually calling _sysmem_new_block. The function _sysmem_new_block adds alignment and header size to the (unsigned) size, causing the overflow of the 'slice_size' variable. As a result, only 0x89 bytes are allocated, despite the large input size. When the following memcpy call occurs in gst_buffer_fill, the data from the input file will overwrite the content of the GstMapInfo info structure. Finally, during the call to gst_memory_unmap, the overwritten memory may cause a function pointer hijack, as the mem->allocator->mem_unmap_full function is called with a corrupted pointer. This function pointer overwrite could allow an attacker to alter the execution flow of the program, leading to arbitrary code execution. This vulnerability is fixed in 1.24.10. Уязвимость функции qtdemux_parse_theora_extension мультимедийного фреймворка Gstreamer связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 gst-plugins-base1.0 GStreamer is a library for constructing graphs of media-handling components. stack-buffer overflow has been detected in the gst_opus_dec_parse_header function within `gstopusdec.c'. The pos array is a stack-allocated buffer of size 64. If n_channels exceeds 64, the for loop will write beyond the boundaries of the pos array. The value written will always be GST_AUDIO_CHANNEL_POSITION_NONE. This bug allows to overwrite the EIP address allocated in the stack. This vulnerability is fixed in 1.24.10. Уязвимость функции gst_opus_dec_parse_header компонента gstopusdec.c мультимедийного фреймворка Gstreamer связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) gst-plugins-base1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-base1.0 GStreamer is a library for constructing graphs of media-handling components. An OOB-Write has been detected in the function gst_parse_vorbis_setup_packet within vorbis_parse.c. The integer size is read from the input file without proper validation. As a result, size can exceed the fixed size of the pad->vorbis_mode_sizes array (which size is 256). When this happens, the for loop overwrites the entire pad structure with 0s and 1s, affecting adjacent memory as well. This OOB-write can overwrite up to 380 bytes of memory beyond the boundaries of the pad->vorbis_mode_sizes array. This vulnerability is fixed in 1.24.10. Уязвимость функции gst_parse_vorbis_setup_packet компонента vorbis_parse.c мультимедийного фреймворка Gstreamer связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) gst-plugins-base1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smack: tcp: ipv4, fix incorrect labeling Currently, Smack mirrors the label of incoming tcp/ipv4 connections: when a label 'foo' connects to a label 'bar' with tcp/ipv4, 'foo' always gets 'foo' in returned ipv4 packets. So, 1) returned packets are incorrectly labeled ('foo' instead of 'bar') 2) 'bar' can write to 'foo' without being authorized to write. Here is a scenario how to see this: * Take two machines, let's call them C and S, with active Smack in the default state (no settings, no rules, no labeled hosts, only builtin labels) * At S, add Smack rule 'foo bar w' (labels 'foo' and 'bar' are instantiated at S at this moment) * At S, at label 'bar', launch a program that listens for incoming tcp/ipv4 connections * From C, at label 'foo', connect to the listener at S. (label 'foo' is instantiated at C at this moment) Connection succeedes and works. * Send some data in both directions. * Collect network traffic of this connection. All packets in both directions are labeled with the CIPSO of the label 'foo'. Hence, label 'bar' writes to 'foo' without being authorized, and even without ever being known at C. If anybody cares: exactly the same happens with DCCP. This behavior 1st manifested in release 2.6.29.4 (see Fixes below) and it looks unintentional. At least, no explanation was provided. I changed returned packes label into the 'bar', to bring it into line with the Smack documentation claims. Уязвимость функции smack_inet_conn_request() реализации протокола IPv4 в модуле security/smack/smack_lsm.c ядра операционной системы Linux связана с некорректными метками пакетов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fsnotify: clear PARENT_WATCHED flags lazily In some setups directories can have many (usually negative) dentries. Hence __fsnotify_update_child_dentry_flags() function can take a significant amount of time. Since the bulk of this function happens under inode->i_lock this causes a significant contention on the lock when we remove the watch from the directory as the __fsnotify_update_child_dentry_flags() call from fsnotify_recalc_mask() races with __fsnotify_update_child_dentry_flags() calls from __fsnotify_parent() happening on children. This can lead upto softlockup reports reported by users. Fix the problem by calling fsnotify_update_children_dentry_flags() to set PARENT_WATCHED flags only when parent starts watching children. When parent stops watching children, clear false positive PARENT_WATCHED flags lazily in __fsnotify_parent() for each accessed child. Уязвимость ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: staging: iio: frequency: ad9834: Validate frequency parameter value In ad9834_write_frequency() clk_get_rate() can return 0. In such case ad9834_calc_freqreg() call will lead to division by zero. Checking 'if (fout > (clk_freq / 2))' doesn't protect in case of 'fout' is 0. ad9834_write_frequency() is called from ad9834_write(), where fout is taken from text buffer, which can contain any value. Modify parameters checking. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drivers/staging/iio/frequency/ad9834.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i3c: mipi-i3c-hci: Error out instead on BUG_ON() in IBI DMA setup Definitely condition dma_get_cache_alignment * defined value > 256 during driver initialization is not reason to BUG_ON(). Turn that to graceful error out with -EINVAL. Уязвимость компонента drivers/i3c/master/mipi-i3c-hci/dma.c ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: keystone: Add workaround for Errata #i2037 (AM65x SR 1.0) Errata #i2037 in AM65x/DRA80xM Processors Silicon Revision 1.0 (SPRZ452D_July 2018_Revised December 2019 [1]) mentions when an inbound PCIe TLP spans more than two internal AXI 128-byte bursts, the bus may corrupt the packet payload and the corrupt data may cause associated applications or the processor to hang. The workaround for Errata #i2037 is to limit the maximum read request size and maximum payload size to 128 bytes. Add workaround for Errata #i2037 here. The errata and workaround is applicable only to AM65x SR 1.0 and later versions of the silicon will have this fixed. [1] -> https://www.ti.com/lit/er/sprz452i/sprz452i.pdf Уязвимость компонента drivers/pci/controller/dwc/pci-keystone.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: lib/generic-radix-tree.c: Fix rare race in __genradix_ptr_alloc() If we need to increase the tree depth, allocate a new node, and then race with another thread that increased the tree depth before us, we'll still have a preallocated node that might be used later. If we then use that node for a new non-root node, it'll still have a pointer to the old root instead of being zeroed - fix this by zeroing it in the cmpxchg failure path. Уязвимость компонента lib/generic-radix-tree.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix state management in error path of log writing function After commit a694291a6211 ("nilfs2: separate wait function from nilfs_segctor_write") was applied, the log writing function nilfs_segctor_do_construct() was able to issue I/O requests continuously even if user data blocks were split into multiple logs across segments, but two potential flaws were introduced in its error handling. First, if nilfs_segctor_begin_construction() fails while creating the second or subsequent logs, the log writing function returns without calling nilfs_segctor_abort_construction(), so the writeback flag set on pages/folios will remain uncleared. This causes page cache operations to hang waiting for the writeback flag. For example, truncate_inode_pages_final(), which is called via nilfs_evict_inode() when an inode is evicted from memory, will hang. Second, the NILFS_I_COLLECTED flag set on normal inodes remain uncleared. As a result, if the next log write involves checkpoint creation, that's fine, but if a partial log write is performed that does not, inodes with NILFS_I_COLLECTED set are erroneously removed from the "sc_dirty_files" list, and their data and b-tree blocks may not be written to the device, corrupting the block mapping. Fix these issues by uniformly calling nilfs_segctor_abort_construction() on failure of each step in the loop in nilfs_segctor_do_construct(), having it clean up logs and segment usages according to progress, and correcting the conditions for calling nilfs_redirty_inodes() to ensure that the NILFS_I_COLLECTED flag is cleared. Уязвимость компонента fs/nilfs2/segment.c ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: add bounds checking to ocfs2_xattr_find_entry() Add a paranoia check to make sure it doesn't stray beyond valid memory region containing ocfs2 xattr entries when scanning for a match. It will prevent out-of-bound access in case of crafted images. Уязвимость функции ocfs2_xattr_find_entry() в модуле fs/ocfs2/xattr.c файловой системы ocfs2 ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: USB: usbtmc: prevent kernel-usb-infoleak The syzbot reported a kernel-usb-infoleak in usbtmc_write, we need to clear the structure before filling fields. Уязвимость компонента drivers/usb/class/usbtmc.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: pause TCM when the firmware is stopped Not doing so will make us send a host command to the transport while the firmware is not alive, which will trigger a WARNING. bad state = 0 WARNING: CPU: 2 PID: 17434 at drivers/net/wireless/intel/iwlwifi/iwl-trans.c:115 iwl_trans_send_cmd+0x1cb/0x1e0 [iwlwifi] RIP: 0010:iwl_trans_send_cmd+0x1cb/0x1e0 [iwlwifi] Call Trace: <TASK> iwl_mvm_send_cmd+0x40/0xc0 [iwlmvm] iwl_mvm_config_scan+0x198/0x260 [iwlmvm] iwl_mvm_recalc_tcm+0x730/0x11d0 [iwlmvm] iwl_mvm_tcm_work+0x1d/0x30 [iwlmvm] process_one_work+0x29e/0x640 worker_thread+0x2df/0x690 ? rescuer_thread+0x540/0x540 kthread+0x192/0x1e0 ? set_kthread_struct+0x90/0x90 ret_from_fork+0x22/0x30 Уязвимость компонента drivers/net/wireless/intel/iwlwifi/mvm/ops.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: avoid leaving partial pfn mappings around in error case As Jann points out, PFN mappings are special, because unlike normal memory mappings, there is no lifetime information associated with the mapping - it is just a raw mapping of PFNs with no reference counting of a 'struct page'. That's all very much intentional, but it does mean that it's easy to mess up the cleanup in case of errors. Yes, a failed mmap() will always eventually clean up any partial mappings, but without any explicit lifetime in the page table mapping itself, it's very easy to do the error handling in the wrong order. In particular, it's easy to mistakenly free the physical backing store before the page tables are actually cleaned up and (temporarily) have stale dangling PTE entries. To make this situation less error-prone, just make sure that any partial pfn mapping is torn down early, before any other error handling. Уязвимость функции mmap() ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: icmp: change the order of rate limits ICMP messages are ratelimited : After the blamed commits, the two rate limiters are applied in this order: 1) host wide ratelimit (icmp_global_allow()) 2) Per destination ratelimit (inetpeer based) In order to avoid side-channels attacks, we need to apply the per destination check first. This patch makes the following change : 1) icmp_global_allow() checks if the host wide limit is reached. But credits are not yet consumed. This is deferred to 3) 2) The per destination limit is checked/updated. This might add a new node in inetpeer tree. 3) icmp_global_consume() consumes tokens if prior operations succeeded. This means that host wide ratelimit is still effective in keeping inetpeer tree small even under DDOS. As a bonus, I removed icmp_global.lock as the fast path can use a lock-free operation. Уязвимость функции ip_cmsg_recv() ядра операционной системы Linux связана с раскрытием информации в результате расхождений. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L', score=9.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vfs: fix race between evice_inodes() and find_inode()&iput() Hi, all Recently I noticed a bug[1] in btrfs, after digged it into and I believe it'a race in vfs. Let's assume there's a inode (ie ino 261) with i_count 1 is called by iput(), and there's a concurrent thread calling generic_shutdown_super(). cpu0: cpu1: iput() // i_count is 1 ->spin_lock(inode) ->dec i_count to 0 ->iput_final() generic_shutdown_super() ->__inode_add_lru() ->evict_inodes() // cause some reason[2] ->if (atomic_read(inode->i_count)) continue; // return before // inode 261 passed the above check // list_lru_add_obj() // and then schedule out ->spin_unlock() // note here: the inode 261 // was still at sb list and hash list, // and I_FREEING|I_WILL_FREE was not been set btrfs_iget() // after some function calls ->find_inode() // found the above inode 261 ->spin_lock(inode) // check I_FREEING|I_WILL_FREE // and passed ->__iget() ->spin_unlock(inode) // schedule back ->spin_lock(inode) // check (I_NEW|I_FREEING|I_WILL_FREE) flags, // passed and set I_FREEING iput() ->spin_unlock(inode) ->spin_lock(inode) ->evict() // dec i_count to 0 ->iput_final() ->spin_unlock() ->evict() Now, we have two threads simultaneously evicting the same inode, which may trigger the BUG(inode->i_state & I_CLEAR) statement both within clear_inode() and iput(). To fix the bug, recheck the inode->i_count after holding i_lock. Because in the most scenarios, the first check is valid, and the overhead of spin_lock() can be reduced. If there is any misunderstanding, please let me know, thanks. [1]: https://lore.kernel.org/linux-btrfs/000000000000eabe1d0619c48986@google.com/ [2]: The reason might be 1. SB_ACTIVE was removed or 2. mapping_shrinkable() return false when I reproduced the bug. Уязвимость компонента fs/inode.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: sd: Fix off-by-one error in sd_read_block_characteristics() Ff the device returns page 0xb1 with length 8 (happens with qemu v2.x, for example), sd_read_block_characteristics() may attempt an out-of-bounds memory access when accessing the zoned field at offset 8. Уязвимость функции sd_read_block_characteristics() в модуле drivers/scsi/sd.c драйвера SCSI ядра операционной системы Linux связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=8.6) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Skip Recompute DSC Params if no Stream on Link [why] Encounter NULL pointer dereference uner mst + dsc setup. BUG: kernel NULL pointer dereference, address: 0000000000000008 PGD 0 P4D 0 Oops: 0000 [#1] PREEMPT SMP NOPTI CPU: 4 PID: 917 Comm: sway Not tainted 6.3.9-arch1-1 #1 124dc55df4f5272ccb409f39ef4872fc2b3376a2 Hardware name: LENOVO 20NKS01Y00/20NKS01Y00, BIOS R12ET61W(1.31 ) 07/28/2022 RIP: 0010:drm_dp_atomic_find_time_slots+0x5e/0x260 [drm_display_helper] Code: 01 00 00 48 8b 85 60 05 00 00 48 63 80 88 00 00 00 3b 43 28 0f 8d 2e 01 00 00 48 8b 53 30 48 8d 04 80 48 8d 04 c2 48 8b 40 18 <48> 8> RSP: 0018:ffff960cc2df77d8 EFLAGS: 00010293 RAX: 0000000000000000 RBX: ffff8afb87e81280 RCX: 0000000000000224 RDX: ffff8afb9ee37c00 RSI: ffff8afb8da1a578 RDI: ffff8afb87e81280 RBP: ffff8afb83d67000 R08: 0000000000000001 R09: ffff8afb9652f850 R10: ffff960cc2df7908 R11: 0000000000000002 R12: 0000000000000000 R13: ffff8afb8d7688a0 R14: ffff8afb8da1a578 R15: 0000000000000224 FS: 00007f4dac35ce00(0000) GS:ffff8afe30b00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000008 CR3: 000000010ddc6000 CR4: 00000000003506e0 Call Trace: <TASK> ? __die+0x23/0x70 ? page_fault_oops+0x171/0x4e0 ? plist_add+0xbe/0x100 ? exc_page_fault+0x7c/0x180 ? asm_exc_page_fault+0x26/0x30 ? drm_dp_atomic_find_time_slots+0x5e/0x260 [drm_display_helper 0e67723696438d8e02b741593dd50d80b44c2026] ? drm_dp_atomic_find_time_slots+0x28/0x260 [drm_display_helper 0e67723696438d8e02b741593dd50d80b44c2026] compute_mst_dsc_configs_for_link+0x2ff/0xa40 [amdgpu 62e600d2a75e9158e1cd0a243bdc8e6da040c054] ? fill_plane_buffer_attributes+0x419/0x510 [amdgpu 62e600d2a75e9158e1cd0a243bdc8e6da040c054] compute_mst_dsc_configs_for_state+0x1e1/0x250 [amdgpu 62e600d2a75e9158e1cd0a243bdc8e6da040c054] amdgpu_dm_atomic_check+0xecd/0x1190 [amdgpu 62e600d2a75e9158e1cd0a243bdc8e6da040c054] drm_atomic_check_only+0x5c5/0xa40 drm_mode_atomic_ioctl+0x76e/0xbc0 [how] dsc recompute should be skipped if no mode change detected on the new request. If detected, keep checking whether the stream is already on current state or not. Уязвимость компонента drivers/gpu/drm/amd/display/amdgpu_dm/amdgpu_dm_mst_types.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: check skb is non-NULL in tcp_rto_delta_us() We have some machines running stock Ubuntu 20.04.6 which is their 5.4.0-174-generic kernel that are running ceph and recently hit a null ptr dereference in tcp_rearm_rto(). Initially hitting it from the TLP path, but then later we also saw it getting hit from the RACK case as well. Here are examples of the oops messages we saw in each of those cases: Jul 26 15:05:02 rx [11061395.780353] BUG: kernel NULL pointer dereference, address: 0000000000000020 Jul 26 15:05:02 rx [11061395.787572] #PF: supervisor read access in kernel mode Jul 26 15:05:02 rx [11061395.792971] #PF: error_code(0x0000) - not-present page Jul 26 15:05:02 rx [11061395.798362] PGD 0 P4D 0 Jul 26 15:05:02 rx [11061395.801164] Oops: 0000 [#1] SMP NOPTI Jul 26 15:05:02 rx [11061395.805091] CPU: 0 PID: 9180 Comm: msgr-worker-1 Tainted: G W 5.4.0-174-generic #193-Ubuntu Jul 26 15:05:02 rx [11061395.814996] Hardware name: Supermicro SMC 2x26 os-gen8 64C NVME-Y 256G/H12SSW-NTR, BIOS 2.5.V1.2U.NVMe.UEFI 05/09/2023 Jul 26 15:05:02 rx [11061395.825952] RIP: 0010:tcp_rearm_rto+0xe4/0x160 Jul 26 15:05:02 rx [11061395.830656] Code: 87 ca 04 00 00 00 5b 41 5c 41 5d 5d c3 c3 49 8b bc 24 40 06 00 00 eb 8d 48 bb cf f7 53 e3 a5 9b c4 20 4c 89 ef e8 0c fe 0e 00 <48> 8b 78 20 48 c1 ef 03 48 89 f8 41 8b bc 24 80 04 00 00 48 f7 e3 Jul 26 15:05:02 rx [11061395.849665] RSP: 0018:ffffb75d40003e08 EFLAGS: 00010246 Jul 26 15:05:02 rx [11061395.855149] RAX: 0000000000000000 RBX: 20c49ba5e353f7cf RCX: 0000000000000000 Jul 26 15:05:02 rx [11061395.862542] RDX: 0000000062177c30 RSI: 000000000000231c RDI: ffff9874ad283a60 Jul 26 15:05:02 rx [11061395.869933] RBP: ffffb75d40003e20 R08: 0000000000000000 R09: ffff987605e20aa8 Jul 26 15:05:02 rx [11061395.877318] R10: ffffb75d40003f00 R11: ffffb75d4460f740 R12: ffff9874ad283900 Jul 26 15:05:02 rx [11061395.884710] R13: ffff9874ad283a60 R14: ffff9874ad283980 R15: ffff9874ad283d30 Jul 26 15:05:02 rx [11061395.892095] FS: 00007f1ef4a2e700(0000) GS:ffff987605e00000(0000) knlGS:0000000000000000 Jul 26 15:05:02 rx [11061395.900438] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 Jul 26 15:05:02 rx [11061395.906435] CR2: 0000000000000020 CR3: 0000003e450ba003 CR4: 0000000000760ef0 Jul 26 15:05:02 rx [11061395.913822] PKRU: 55555554 Jul 26 15:05:02 rx [11061395.916786] Call Trace: Jul 26 15:05:02 rx [11061395.919488] Jul 26 15:05:02 rx [11061395.921765] ? show_regs.cold+0x1a/0x1f Jul 26 15:05:02 rx [11061395.925859] ? __die+0x90/0xd9 Jul 26 15:05:02 rx [11061395.929169] ? no_context+0x196/0x380 Jul 26 15:05:02 rx [11061395.933088] ? ip6_protocol_deliver_rcu+0x4e0/0x4e0 Jul 26 15:05:02 rx [11061395.938216] ? ip6_sublist_rcv_finish+0x3d/0x50 Jul 26 15:05:02 rx [11061395.943000] ? __bad_area_nosemaphore+0x50/0x1a0 Jul 26 15:05:02 rx [11061395.947873] ? bad_area_nosemaphore+0x16/0x20 Jul 26 15:05:02 rx [11061395.952486] ? do_user_addr_fault+0x267/0x450 Jul 26 15:05:02 rx [11061395.957104] ? ipv6_list_rcv+0x112/0x140 Jul 26 15:05:02 rx [11061395.961279] ? __do_page_fault+0x58/0x90 Jul 26 15:05:02 rx [11061395.965458] ? do_page_fault+0x2c/0xe0 Jul 26 15:05:02 rx [11061395.969465] ? page_fault+0x34/0x40 Jul 26 15:05:02 rx [11061395.973217] ? tcp_rearm_rto+0xe4/0x160 Jul 26 15:05:02 rx [11061395.977313] ? tcp_rearm_rto+0xe4/0x160 Jul 26 15:05:02 rx [11061395.981408] tcp_send_loss_probe+0x10b/0x220 Jul 26 15:05:02 rx [11061395.985937] tcp_write_timer_handler+0x1b4/0x240 Jul 26 15:05:02 rx [11061395.990809] tcp_write_timer+0x9e/0xe0 Jul 26 15:05:02 rx [11061395.994814] ? tcp_write_timer_handler+0x240/0x240 Jul 26 15:05:02 rx [11061395.999866] call_timer_fn+0x32/0x130 Jul 26 15:05:02 rx [11061396.003782] __run_timers.part.0+0x180/0x280 Jul 26 15:05:02 rx [11061396.008309] ? recalibrate_cpu_khz+0x10/0x10 Jul 26 15:05:02 rx [11061396.012841] ? native_x2apic_icr_write+0x30/0x30 Jul 26 15:05:02 rx [11061396.017718] ? lapic_next_even ---truncated--- Уязвимость компонента include/net/tcp.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_reject_ipv6: fix nf_reject_ip6_tcphdr_put() syzbot reported that nf_reject_ip6_tcphdr_put() was possibly sending garbage on the four reserved tcp bits (th->res1) Use skb_put_zero() to clear the whole TCP header, as done in nf_reject_ip_tcphdr_put() BUG: KMSAN: uninit-value in nf_reject_ip6_tcphdr_put+0x688/0x6c0 net/ipv6/netfilter/nf_reject_ipv6.c:255 nf_reject_ip6_tcphdr_put+0x688/0x6c0 net/ipv6/netfilter/nf_reject_ipv6.c:255 nf_send_reset6+0xd84/0x15b0 net/ipv6/netfilter/nf_reject_ipv6.c:344 nft_reject_inet_eval+0x3c1/0x880 net/netfilter/nft_reject_inet.c:48 expr_call_ops_eval net/netfilter/nf_tables_core.c:240 [inline] nft_do_chain+0x438/0x22a0 net/netfilter/nf_tables_core.c:288 nft_do_chain_inet+0x41a/0x4f0 net/netfilter/nft_chain_filter.c:161 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xf4/0x400 net/netfilter/core.c:626 nf_hook include/linux/netfilter.h:269 [inline] NF_HOOK include/linux/netfilter.h:312 [inline] ipv6_rcv+0x29b/0x390 net/ipv6/ip6_input.c:310 __netif_receive_skb_one_core net/core/dev.c:5661 [inline] __netif_receive_skb+0x1da/0xa00 net/core/dev.c:5775 process_backlog+0x4ad/0xa50 net/core/dev.c:6108 __napi_poll+0xe7/0x980 net/core/dev.c:6772 napi_poll net/core/dev.c:6841 [inline] net_rx_action+0xa5a/0x19b0 net/core/dev.c:6963 handle_softirqs+0x1ce/0x800 kernel/softirq.c:554 __do_softirq+0x14/0x1a kernel/softirq.c:588 do_softirq+0x9a/0x100 kernel/softirq.c:455 __local_bh_enable_ip+0x9f/0xb0 kernel/softirq.c:382 local_bh_enable include/linux/bottom_half.h:33 [inline] rcu_read_unlock_bh include/linux/rcupdate.h:908 [inline] __dev_queue_xmit+0x2692/0x5610 net/core/dev.c:4450 dev_queue_xmit include/linux/netdevice.h:3105 [inline] neigh_resolve_output+0x9ca/0xae0 net/core/neighbour.c:1565 neigh_output include/net/neighbour.h:542 [inline] ip6_finish_output2+0x2347/0x2ba0 net/ipv6/ip6_output.c:141 __ip6_finish_output net/ipv6/ip6_output.c:215 [inline] ip6_finish_output+0xbb8/0x14b0 net/ipv6/ip6_output.c:226 NF_HOOK_COND include/linux/netfilter.h:303 [inline] ip6_output+0x356/0x620 net/ipv6/ip6_output.c:247 dst_output include/net/dst.h:450 [inline] NF_HOOK include/linux/netfilter.h:314 [inline] ip6_xmit+0x1ba6/0x25d0 net/ipv6/ip6_output.c:366 inet6_csk_xmit+0x442/0x530 net/ipv6/inet6_connection_sock.c:135 __tcp_transmit_skb+0x3b07/0x4880 net/ipv4/tcp_output.c:1466 tcp_transmit_skb net/ipv4/tcp_output.c:1484 [inline] tcp_connect+0x35b6/0x7130 net/ipv4/tcp_output.c:4143 tcp_v6_connect+0x1bcc/0x1e40 net/ipv6/tcp_ipv6.c:333 __inet_stream_connect+0x2ef/0x1730 net/ipv4/af_inet.c:679 inet_stream_connect+0x6a/0xd0 net/ipv4/af_inet.c:750 __sys_connect_file net/socket.c:2061 [inline] __sys_connect+0x606/0x690 net/socket.c:2078 __do_sys_connect net/socket.c:2088 [inline] __se_sys_connect net/socket.c:2085 [inline] __x64_sys_connect+0x91/0xe0 net/socket.c:2085 x64_sys_call+0x27a5/0x3ba0 arch/x86/include/generated/asm/syscalls_64.h:43 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was stored to memory at: nf_reject_ip6_tcphdr_put+0x60c/0x6c0 net/ipv6/netfilter/nf_reject_ipv6.c:249 nf_send_reset6+0xd84/0x15b0 net/ipv6/netfilter/nf_reject_ipv6.c:344 nft_reject_inet_eval+0x3c1/0x880 net/netfilter/nft_reject_inet.c:48 expr_call_ops_eval net/netfilter/nf_tables_core.c:240 [inline] nft_do_chain+0x438/0x22a0 net/netfilter/nf_tables_core.c:288 nft_do_chain_inet+0x41a/0x4f0 net/netfilter/nft_chain_filter.c:161 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xf4/0x400 net/netfilter/core.c:626 nf_hook include/linux/netfilter.h:269 [inline] NF_HOOK include/linux/netfilter.h:312 [inline] ipv6_rcv+0x29b/0x390 net/ipv6/ip6_input.c:310 __netif_receive_skb_one_core ---truncated--- Уязвимость функции nf_reject_ip6_tcphdr_put() в модуле net/ipv6/netfilter/nf_reject_ipv6.c компонента netfilter ядра операционной системы Linux связана с использованием неинициализированной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) Существующий метод эксплуатации уязвимости CVE-2024-47685 полагается на наличие возможности CAP_NET_ADMIN. Решением проблемы является отключение возможности CAP_NET_ADMIN для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: 1. Используя полномочия администратора системы с высоким уровнем целостности запустить команды ``` echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf sysctl -p /etc/sysctl.d/userns.conf ``` 2. Выполнить перезагрузку ОС 3. Убедиться в том, что настройка применилась: ``` cat /etc/sysctl.d/userns.conf ``` Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ep93xx: clock: Fix off by one in ep93xx_div_recalc_rate() The psc->div[] array has psc->num_div elements. These values come from when we call clk_hw_register_div(). It's adc_divisors and ARRAY_SIZE(adc_divisors)) and so on. So this condition needs to be >= instead of > to prevent an out of bounds read. Уязвимость функции ep93xx_div_recalc_rate() компонента arch/arm/mach-ep93xx/clock.c ядра операционной системы Linux связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: get rid of online repaire on corrupted directory syzbot reports a f2fs bug as below: kernel BUG at fs/f2fs/inode.c:896! RIP: 0010:f2fs_evict_inode+0x1598/0x15c0 fs/f2fs/inode.c:896 Call Trace: evict+0x532/0x950 fs/inode.c:704 dispose_list fs/inode.c:747 [inline] evict_inodes+0x5f9/0x690 fs/inode.c:797 generic_shutdown_super+0x9d/0x2d0 fs/super.c:627 kill_block_super+0x44/0x90 fs/super.c:1696 kill_f2fs_super+0x344/0x690 fs/f2fs/super.c:4898 deactivate_locked_super+0xc4/0x130 fs/super.c:473 cleanup_mnt+0x41f/0x4b0 fs/namespace.c:1373 task_work_run+0x24f/0x310 kernel/task_work.c:228 ptrace_notify+0x2d2/0x380 kernel/signal.c:2402 ptrace_report_syscall include/linux/ptrace.h:415 [inline] ptrace_report_syscall_exit include/linux/ptrace.h:477 [inline] syscall_exit_work+0xc6/0x190 kernel/entry/common.c:173 syscall_exit_to_user_mode_prepare kernel/entry/common.c:200 [inline] __syscall_exit_to_user_mode_work kernel/entry/common.c:205 [inline] syscall_exit_to_user_mode+0x279/0x370 kernel/entry/common.c:218 do_syscall_64+0x100/0x230 arch/x86/entry/common.c:89 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0010:f2fs_evict_inode+0x1598/0x15c0 fs/f2fs/inode.c:896 Online repaire on corrupted directory in f2fs_lookup() can generate dirty data/meta while racing w/ readonly remount, it may leave dirty inode after filesystem becomes readonly, however, checkpoint() will skips flushing dirty inode in a state of readonly mode, result in above panic. Let's get rid of online repaire in f2fs_lookup(), and leave the work to fsck.f2fs. Уязвимость компонента fs/f2fs ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: return -EINVAL when namelen is 0 When we have a corrupted main.sqlite in /var/lib/nfs/nfsdcld/, it may result in namelen being 0, which will cause memdup_user() to return ZERO_SIZE_PTR. When we access the name.data that has been assigned the value of ZERO_SIZE_PTR in nfs4_client_to_reclaim(), null pointer dereference is triggered. [ T1205] ================================================================== [ T1205] BUG: KASAN: null-ptr-deref in nfs4_client_to_reclaim+0xe9/0x260 [ T1205] Read of size 1 at addr 0000000000000010 by task nfsdcld/1205 [ T1205] [ T1205] CPU: 11 PID: 1205 Comm: nfsdcld Not tainted 5.10.0-00003-g2c1423731b8d #406 [ T1205] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS ?-20190727_073836-buildvm-ppc64le-16.ppc.fedoraproject.org-3.fc31 04/01/2014 [ T1205] Call Trace: [ T1205] dump_stack+0x9a/0xd0 [ T1205] ? nfs4_client_to_reclaim+0xe9/0x260 [ T1205] __kasan_report.cold+0x34/0x84 [ T1205] ? nfs4_client_to_reclaim+0xe9/0x260 [ T1205] kasan_report+0x3a/0x50 [ T1205] nfs4_client_to_reclaim+0xe9/0x260 [ T1205] ? nfsd4_release_lockowner+0x410/0x410 [ T1205] cld_pipe_downcall+0x5ca/0x760 [ T1205] ? nfsd4_cld_tracking_exit+0x1d0/0x1d0 [ T1205] ? down_write_killable_nested+0x170/0x170 [ T1205] ? avc_policy_seqno+0x28/0x40 [ T1205] ? selinux_file_permission+0x1b4/0x1e0 [ T1205] rpc_pipe_write+0x84/0xb0 [ T1205] vfs_write+0x143/0x520 [ T1205] ksys_write+0xc9/0x170 [ T1205] ? __ia32_sys_read+0x50/0x50 [ T1205] ? ktime_get_coarse_real_ts64+0xfe/0x110 [ T1205] ? ktime_get_coarse_real_ts64+0xa2/0x110 [ T1205] do_syscall_64+0x33/0x40 [ T1205] entry_SYSCALL_64_after_hwframe+0x67/0xd1 [ T1205] RIP: 0033:0x7fdbdb761bc7 [ T1205] Code: 0f 00 f7 d8 64 89 02 48 c7 c0 ff ff ff ff eb b7 0f 1f 00 f3 0f 1e fa 64 8b 04 25 18 00 00 00 85 c0 75 10 b8 01 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 514 [ T1205] RSP: 002b:00007fff8c4b7248 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 [ T1205] RAX: ffffffffffffffda RBX: 000000000000042b RCX: 00007fdbdb761bc7 [ T1205] RDX: 000000000000042b RSI: 00007fff8c4b75f0 RDI: 0000000000000008 [ T1205] RBP: 00007fdbdb761bb0 R08: 0000000000000000 R09: 0000000000000001 [ T1205] R10: 0000000000000000 R11: 0000000000000246 R12: 000000000000042b [ T1205] R13: 0000000000000008 R14: 00007fff8c4b75f0 R15: 0000000000000000 [ T1205] ================================================================== Fix it by checking namelen. Уязвимость компонента fs/nfsd/nfs4recover.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: IB/core: Fix ib_cache_setup_one error flow cleanup When ib_cache_update return an error, we exit ib_cache_setup_one instantly with no proper cleanup, even though before this we had already successfully done gid_table_setup_one, that results in the kernel WARN below. Do proper cleanup using gid_table_cleanup_one before returning the err in order to fix the issue. WARNING: CPU: 4 PID: 922 at drivers/infiniband/core/cache.c:806 gid_table_release_one+0x181/0x1a0 Modules linked in: CPU: 4 UID: 0 PID: 922 Comm: c_repro Not tainted 6.11.0-rc1+ #3 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:gid_table_release_one+0x181/0x1a0 Code: 44 8b 38 75 0c e8 2f cb 34 ff 4d 8b b5 28 05 00 00 e8 23 cb 34 ff 44 89 f9 89 da 4c 89 f6 48 c7 c7 d0 58 14 83 e8 4f de 21 ff <0f> 0b 4c 8b 75 30 e9 54 ff ff ff 48 8 3 c4 10 5b 5d 41 5c 41 5d 41 RSP: 0018:ffffc90002b835b0 EFLAGS: 00010286 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffffffff811c8527 RDX: 0000000000000000 RSI: ffffffff811c8534 RDI: 0000000000000001 RBP: ffff8881011b3d00 R08: ffff88810b3abe00 R09: 205d303839303631 R10: 666572207972746e R11: 72746e6520444947 R12: 0000000000000001 R13: ffff888106390000 R14: ffff8881011f2110 R15: 0000000000000001 FS: 00007fecc3b70800(0000) GS:ffff88813bd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000020000340 CR3: 000000010435a001 CR4: 00000000003706b0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? show_regs+0x94/0xa0 ? __warn+0x9e/0x1c0 ? gid_table_release_one+0x181/0x1a0 ? report_bug+0x1f9/0x340 ? gid_table_release_one+0x181/0x1a0 ? handle_bug+0xa2/0x110 ? exc_invalid_op+0x31/0xa0 ? asm_exc_invalid_op+0x16/0x20 ? __warn_printk+0xc7/0x180 ? __warn_printk+0xd4/0x180 ? gid_table_release_one+0x181/0x1a0 ib_device_release+0x71/0xe0 ? __pfx_ib_device_release+0x10/0x10 device_release+0x44/0xd0 kobject_put+0x135/0x3d0 put_device+0x20/0x30 rxe_net_add+0x7d/0xa0 rxe_newlink+0xd7/0x190 nldev_newlink+0x1b0/0x2a0 ? __pfx_nldev_newlink+0x10/0x10 rdma_nl_rcv_msg+0x1ad/0x2e0 rdma_nl_rcv_skb.constprop.0+0x176/0x210 netlink_unicast+0x2de/0x400 netlink_sendmsg+0x306/0x660 __sock_sendmsg+0x110/0x120 ____sys_sendmsg+0x30e/0x390 ___sys_sendmsg+0x9b/0xf0 ? kstrtouint+0x6e/0xa0 ? kstrtouint_from_user+0x7c/0xb0 ? get_pid_task+0xb0/0xd0 ? proc_fail_nth_write+0x5b/0x140 ? __fget_light+0x9a/0x200 ? preempt_count_add+0x47/0xa0 __sys_sendmsg+0x61/0xd0 do_syscall_64+0x50/0x110 entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость компонента drivers/infiniband/core/cache.c ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/rtrs-clt: Reset cid to con_num - 1 to stay in bounds In the function init_conns(), after the create_con() and create_cm() for loop if something fails. In the cleanup for loop after the destroy tag, we access out of bound memory because cid is set to clt_path->s.con_num. This commits resets the cid to clt_path->s.con_num - 1, to stay in bounds in the cleanup loop later. Уязвимость функции init_conns() драйвера drivers/infiniband/ulp/rtrs/rtrs-clt.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers: media: dvb-frontends/rtl2830: fix an out-of-bounds write error Ensure index in rtl2830_pid_filter does not exceed 31 to prevent out-of-bounds access. dev->filters is a 32-bit value, so set_bit and clear_bit functions should only operate on indices from 0 to 31. If index is 32, it will attempt to access a non-existent 33rd bit, leading to out-of-bounds access. Change the boundary check from index > 32 to index >= 32 to resolve this issue. Уязвимость функции rtl2830_pid_filter() в модуле drivers/media/dvb-frontends/rtl2830.c драйвера Realtek RTL2830 DVB-T ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers: media: dvb-frontends/rtl2832: fix an out-of-bounds write error Ensure index in rtl2832_pid_filter does not exceed 31 to prevent out-of-bounds access. dev->filters is a 32-bit value, so set_bit and clear_bit functions should only operate on indices from 0 to 31. If index is 32, it will attempt to access a non-existent 33rd bit, leading to out-of-bounds access. Change the boundary check from index > 32 to index >= 32 to resolve this issue. [hverkuil: added fixes tag, rtl2830_pid_filter -> rtl2832_pid_filter in logmsg] Уязвимость функции rtl2832_pid_filter() в модуле drivers/media/dvb-frontends/rtl2832.c драйвера Realtek RTL2830 DVB-T ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix potential null-ptr-deref in nilfs_btree_insert() Patch series "nilfs2: fix potential issues with empty b-tree nodes". This series addresses three potential issues with empty b-tree nodes that can occur with corrupted filesystem images, including one recently discovered by syzbot. This patch (of 3): If a b-tree is broken on the device, and the b-tree height is greater than 2 (the level of the root node is greater than 1) even if the number of child nodes of the b-tree root is 0, a NULL pointer dereference occurs in nilfs_btree_prepare_insert(), which is called from nilfs_btree_insert(). This is because, when the number of child nodes of the b-tree root is 0, nilfs_btree_do_lookup() does not set the block buffer head in any of path[x].bp_bh, leaving it as the initial value of NULL, but if the level of the b-tree root node is greater than 1, nilfs_btree_get_nonroot_node(), which accesses the buffer memory of path[x].bp_bh, is called. Fix this issue by adding a check to nilfs_btree_root_broken(), which performs sanity checks when reading the root node from the device, to detect this inconsistency. Thanks to Lizhi Xu for trying to solve the bug and clarifying the cause early on. Уязвимость компонента fs/nilfs2/btree.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью искажённого filesystem изображения [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: avoid OOB when system.data xattr changes underneath the filesystem When looking up for an entry in an inlined directory, if e_value_offs is changed underneath the filesystem by some change in the block device, it will lead to an out-of-bounds access that KASAN detects as an UAF. EXT4-fs (loop0): mounted filesystem 00000000-0000-0000-0000-000000000000 r/w without journal. Quota mode: none. loop0: detected capacity change from 2048 to 2047 ================================================================== BUG: KASAN: use-after-free in ext4_search_dir+0xf2/0x1c0 fs/ext4/namei.c:1500 Read of size 1 at addr ffff88803e91130f by task syz-executor269/5103 CPU: 0 UID: 0 PID: 5103 Comm: syz-executor269 Not tainted 6.11.0-rc4-syzkaller #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:93 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:119 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 ext4_search_dir+0xf2/0x1c0 fs/ext4/namei.c:1500 ext4_find_inline_entry+0x4be/0x5e0 fs/ext4/inline.c:1697 __ext4_find_entry+0x2b4/0x1b30 fs/ext4/namei.c:1573 ext4_lookup_entry fs/ext4/namei.c:1727 [inline] ext4_lookup+0x15f/0x750 fs/ext4/namei.c:1795 lookup_one_qstr_excl+0x11f/0x260 fs/namei.c:1633 filename_create+0x297/0x540 fs/namei.c:3980 do_symlinkat+0xf9/0x3a0 fs/namei.c:4587 __do_sys_symlinkat fs/namei.c:4610 [inline] __se_sys_symlinkat fs/namei.c:4607 [inline] __x64_sys_symlinkat+0x95/0xb0 fs/namei.c:4607 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f3e73ced469 Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 21 18 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007fff4d40c258 EFLAGS: 00000246 ORIG_RAX: 000000000000010a RAX: ffffffffffffffda RBX: 0032656c69662f2e RCX: 00007f3e73ced469 RDX: 0000000020000200 RSI: 00000000ffffff9c RDI: 00000000200001c0 RBP: 0000000000000000 R08: 00007fff4d40c290 R09: 00007fff4d40c290 R10: 0023706f6f6c2f76 R11: 0000000000000246 R12: 00007fff4d40c27c R13: 0000000000000003 R14: 431bde82d7b634db R15: 00007fff4d40c2b0 </TASK> Calling ext4_xattr_ibody_find right after reading the inode with ext4_get_inode_loc will lead to a check of the validity of the xattrs, avoiding this problem. Уязвимость функции struct buffer_head *ext4_find_inline_entry() модуля fs/ext4/inline.c ядра операционной системы Linux связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: block: fix potential invalid pointer dereference in blk_add_partition The blk_add_partition() function initially used a single if-condition (IS_ERR(part)) to check for errors when adding a partition. This was modified to handle the specific case of -ENXIO separately, allowing the function to proceed without logging the error in this case. However, this change unintentionally left a path where md_autodetect_dev() could be called without confirming that part is a valid pointer. This commit separates the error handling logic by splitting the initial if-condition, improving code readability and handling specific error scenarios explicitly. The function now distinguishes the general error case from -ENXIO without altering the existing behavior of md_autodetect_dev() calls. Уязвимость компонента block/partitions/core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: block, bfq: fix possible UAF for bfqq->bic with merge chain 1) initial state, three tasks: Process 1 Process 2 Process 3 (BIC1) (BIC2) (BIC3) | Λ | Λ | Λ | | | | | | V | V | V | bfqq1 bfqq2 bfqq3 process ref: 1 1 1 2) bfqq1 merged to bfqq2: Process 1 Process 2 Process 3 (BIC1) (BIC2) (BIC3) | | | Λ \--------------\| | | V V | bfqq1--------->bfqq2 bfqq3 process ref: 0 2 1 3) bfqq2 merged to bfqq3: Process 1 Process 2 Process 3 (BIC1) (BIC2) (BIC3) here -> Λ | | \--------------\ \-------------\| V V bfqq1--------->bfqq2---------->bfqq3 process ref: 0 1 3 In this case, IO from Process 1 will get bfqq2 from BIC1 first, and then get bfqq3 through merge chain, and finially handle IO by bfqq3. Howerver, current code will think bfqq2 is owned by BIC1, like initial state, and set bfqq2->bic to BIC1. bfq_insert_request -> by Process 1 bfqq = bfq_init_rq(rq) bfqq = bfq_get_bfqq_handle_split bfqq = bic_to_bfqq -> get bfqq2 from BIC1 bfqq->ref++ rq->elv.priv[0] = bic rq->elv.priv[1] = bfqq if (bfqq_process_refs(bfqq) == 1) bfqq->bic = bic -> record BIC1 to bfqq2 __bfq_insert_request new_bfqq = bfq_setup_cooperator -> get bfqq3 from bfqq2->new_bfqq bfqq_request_freed(bfqq) new_bfqq->ref++ rq->elv.priv[1] = new_bfqq -> handle IO by bfqq3 Fix the problem by checking bfqq is from merge chain fist. And this might fix a following problem reported by our syzkaller(unreproducible): ================================================================== BUG: KASAN: slab-use-after-free in bfq_do_early_stable_merge block/bfq-iosched.c:5692 [inline] BUG: KASAN: slab-use-after-free in bfq_do_or_sched_stable_merge block/bfq-iosched.c:5805 [inline] BUG: KASAN: slab-use-after-free in bfq_get_queue+0x25b0/0x2610 block/bfq-iosched.c:5889 Write of size 1 at addr ffff888123839eb8 by task kworker/0:1H/18595 CPU: 0 PID: 18595 Comm: kworker/0:1H Tainted: G L 6.6.0-07439-gba2303cacfda #6 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.14.0-0-g155821a1990b-prebuilt.qemu.org 04/01/2014 Workqueue: kblockd blk_mq_requeue_work Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x91/0xf0 lib/dump_stack.c:106 print_address_description mm/kasan/report.c:364 [inline] print_report+0x10d/0x610 mm/kasan/report.c:475 kasan_report+0x8e/0xc0 mm/kasan/report.c:588 bfq_do_early_stable_merge block/bfq-iosched.c:5692 [inline] bfq_do_or_sched_stable_merge block/bfq-iosched.c:5805 [inline] bfq_get_queue+0x25b0/0x2610 block/bfq-iosched.c:5889 bfq_get_bfqq_handle_split+0x169/0x5d0 block/bfq-iosched.c:6757 bfq_init_rq block/bfq-iosched.c:6876 [inline] bfq_insert_request block/bfq-iosched.c:6254 [inline] bfq_insert_requests+0x1112/0x5cf0 block/bfq-iosched.c:6304 blk_mq_insert_request+0x290/0x8d0 block/blk-mq.c:2593 blk_mq_requeue_work+0x6bc/0xa70 block/blk-mq.c:1502 process_one_work kernel/workqueue.c:2627 [inline] process_scheduled_works+0x432/0x13f0 kernel/workqueue.c:2700 worker_thread+0x6f2/0x1160 kernel/workqueue.c:2781 kthread+0x33c/0x440 kernel/kthread.c:388 ret_from_fork+0x4d/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1b/0x30 arch/x86/entry/entry_64.S:305 </TASK> Allocated by task 20776: kasan_save_stack+0x20/0x40 mm/kasan/common.c:45 kasan_set_track+0x25/0x30 mm/kasan/common.c:52 __kasan_slab_alloc+0x87/0x90 mm/kasan/common.c:328 kasan_slab_alloc include/linux/kasan.h:188 [inline] slab_post_alloc_hook mm/slab.h:763 [inline] slab_alloc_node mm/slub.c:3458 [inline] kmem_cache_alloc_node+0x1a4/0x6f0 mm/slub.c:3503 ioc_create_icq block/blk-ioc.c:370 [inline] ---truncated--- Уязвимость компонента block/bfq-iosched.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: avoid possible NULL deref in rt6_uncached_list_flush_dev() Blamed commit accidentally removed a check for rt->rt6i_idev being NULL, as spotted by syzbot: Oops: general protection fault, probably for non-canonical address 0xdffffc0000000000: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] CPU: 1 UID: 0 PID: 10998 Comm: syz-executor Not tainted 6.11.0-rc6-syzkaller-00208-g625403177711 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/06/2024 RIP: 0010:rt6_uncached_list_flush_dev net/ipv6/route.c:177 [inline] RIP: 0010:rt6_disable_ip+0x33e/0x7e0 net/ipv6/route.c:4914 Code: 41 80 3c 04 00 74 0a e8 90 d0 9b f7 48 8b 7c 24 08 48 8b 07 48 89 44 24 10 4c 89 f0 48 c1 e8 03 48 b9 00 00 00 00 00 fc ff df <80> 3c 08 00 74 08 4c 89 f7 e8 64 d0 9b f7 48 8b 44 24 18 49 39 06 RSP: 0018:ffffc900047374e0 EFLAGS: 00010246 RAX: 0000000000000000 RBX: 1ffff1100fdf8f33 RCX: dffffc0000000000 RDX: 0000000000000000 RSI: 0000000000000004 RDI: ffff88807efc78c0 RBP: ffffc900047375d0 R08: 0000000000000003 R09: fffff520008e6e8c R10: dffffc0000000000 R11: fffff520008e6e8c R12: 1ffff1100fdf8f18 R13: ffff88807efc7998 R14: 0000000000000000 R15: ffff88807efc7930 FS: 0000000000000000(0000) GS:ffff8880b8900000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000020002a80 CR3: 0000000022f62000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> addrconf_ifdown+0x15d/0x1bd0 net/ipv6/addrconf.c:3856 addrconf_notify+0x3cb/0x1020 notifier_call_chain+0x19f/0x3e0 kernel/notifier.c:93 call_netdevice_notifiers_extack net/core/dev.c:2032 [inline] call_netdevice_notifiers net/core/dev.c:2046 [inline] unregister_netdevice_many_notify+0xd81/0x1c40 net/core/dev.c:11352 unregister_netdevice_many net/core/dev.c:11414 [inline] unregister_netdevice_queue+0x303/0x370 net/core/dev.c:11289 unregister_netdevice include/linux/netdevice.h:3129 [inline] __tun_detach+0x6b9/0x1600 drivers/net/tun.c:685 tun_detach drivers/net/tun.c:701 [inline] tun_chr_close+0x108/0x1b0 drivers/net/tun.c:3510 __fput+0x24a/0x8a0 fs/file_table.c:422 task_work_run+0x24f/0x310 kernel/task_work.c:228 exit_task_work include/linux/task_work.h:40 [inline] do_exit+0xa2f/0x27f0 kernel/exit.c:882 do_group_exit+0x207/0x2c0 kernel/exit.c:1031 __do_sys_exit_group kernel/exit.c:1042 [inline] __se_sys_exit_group kernel/exit.c:1040 [inline] __x64_sys_exit_group+0x3f/0x40 kernel/exit.c:1040 x64_sys_call+0x2634/0x2640 arch/x86/include/generated/asm/syscalls_64.h:232 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f1acc77def9 Code: Unable to access opcode bytes at 0x7f1acc77decf. RSP: 002b:00007ffeb26fa738 EFLAGS: 00000246 ORIG_RAX: 00000000000000e7 RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007f1acc77def9 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000043 RBP: 00007f1acc7dd508 R08: 00007ffeb26f84d7 R09: 0000000000000003 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000001 R13: 0000000000000003 R14: 00000000ffffffff R15: 00007ffeb26fa8e0 </TASK> Modules linked in: ---[ end trace 0000000000000000 ]--- RIP: 0010:rt6_uncached_list_flush_dev net/ipv6/route.c:177 [inline] RIP: 0010:rt6_disable_ip+0x33e/0x7e0 net/ipv6/route.c:4914 Code: 41 80 3c 04 00 74 0a e8 90 d0 9b f7 48 8b 7c 24 08 48 8b 07 48 89 44 24 10 4c 89 f0 48 c1 e8 03 48 b9 00 00 00 00 00 fc ff df <80> 3c 08 00 74 08 4c 89 f7 e8 64 d0 9b f7 48 8b 44 24 18 49 39 06 RSP: 0018:ffffc900047374e0 EFLAGS: 00010246 RAX: 0000000000000000 RBX: 1ffff1100fdf8f33 RCX: dffffc0000000000 RDX: 0000000000000000 RSI: 0000000000000004 RDI: ffff88807efc78c0 R ---truncated--- Уязвимость компонента net/ipv6/route.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sock_map: Add a cond_resched() in sock_hash_free() Several syzbot soft lockup reports all have in common sock_hash_free() If a map with a large number of buckets is destroyed, we need to yield the cpu when needed. Уязвимость компонента net/core/sock_map.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: wilc1000: fix potential RCU dereference issue in wilc_parse_join_bss_param In the `wilc_parse_join_bss_param` function, the TSF field of the `ies` structure is accessed after the RCU read-side critical section is unlocked. According to RCU usage rules, this is illegal. Reusing this pointer can lead to unpredictable behavior, including accessing memory that has been updated or causing use-after-free issues. This possible bug was identified using a static analysis tool developed by myself, specifically designed to detect RCU-related issues. To address this, the TSF value is now stored in a local variable `ies_tsf` before the RCU lock is released. The `param->tsf_lo` field is then assigned using this local variable, ensuring that the TSF value is safely accessed. Уязвимость компонента drivers/net/wireless/microchip/wilc1000/hif.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=8.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: use two-phase skb reclamation in ieee80211_do_stop() Since '__dev_queue_xmit()' should be called with interrupts enabled, the following backtrace: ieee80211_do_stop() ... spin_lock_irqsave(&local->queue_stop_reason_lock, flags) ... ieee80211_free_txskb() ieee80211_report_used_skb() ieee80211_report_ack_skb() cfg80211_mgmt_tx_status_ext() nl80211_frame_tx_status() genlmsg_multicast_netns() genlmsg_multicast_netns_filtered() nlmsg_multicast_filtered() netlink_broadcast_filtered() do_one_broadcast() netlink_broadcast_deliver() __netlink_sendskb() netlink_deliver_tap() __netlink_deliver_tap_skb() dev_queue_xmit() __dev_queue_xmit() ; with IRQS disabled ... spin_unlock_irqrestore(&local->queue_stop_reason_lock, flags) issues the warning (as reported by syzbot reproducer): WARNING: CPU: 2 PID: 5128 at kernel/softirq.c:362 __local_bh_enable_ip+0xc3/0x120 Fix this by implementing a two-phase skb reclamation in 'ieee80211_do_stop()', where actual work is performed outside of a section with interrupts disabled. Уязвимость компонента net/mac80211/iface.c ядра операционной системы Linux связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw88: always wait for both firmware loading attempts In 'rtw_wait_firmware_completion()', always wait for both (regular and wowlan) firmware loading attempts. Otherwise if 'rtw_usb_intf_init()' has failed in 'rtw_usb_probe()', 'rtw_usb_disconnect()' may issue 'ieee80211_free_hw()' when one of 'rtw_load_firmware_cb()' (usually the wowlan one) is still in progress, causing UAF detected by KASAN. Уязвимость функции rtw_wait_firmware_completion() модуля drivers/net/wireless/realtek/rtw88/main.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add null check for set_output_gamma in dcn30_set_output_transfer_func This commit adds a null check for the set_output_gamma function pointer in the dcn30_set_output_transfer_func function. Previously, set_output_gamma was being checked for nullity at line 386, but then it was being dereferenced without any nullity check at line 401. This could potentially lead to a null pointer dereference error if set_output_gamma is indeed null. To fix this, we now ensure that set_output_gamma is not null before dereferencing it. We do this by adding a nullity check for set_output_gamma before the call to set_output_gamma at line 401. If set_output_gamma is null, we log an error message and do not call the function. This fix prevents a potential null pointer dereference error. drivers/gpu/drm/amd/amdgpu/../display/dc/hwss/dcn30/dcn30_hwseq.c:401 dcn30_set_output_transfer_func() error: we previously assumed 'mpc->funcs->set_output_gamma' could be null (see line 386) drivers/gpu/drm/amd/amdgpu/../display/dc/hwss/dcn30/dcn30_hwseq.c 373 bool dcn30_set_output_transfer_func(struct dc *dc, 374 struct pipe_ctx *pipe_ctx, 375 const struct dc_stream_state *stream) 376 { 377 int mpcc_id = pipe_ctx->plane_res.hubp->inst; 378 struct mpc *mpc = pipe_ctx->stream_res.opp->ctx->dc->res_pool->mpc; 379 const struct pwl_params *params = NULL; 380 bool ret = false; 381 382 /* program OGAM or 3DLUT only for the top pipe*/ 383 if (pipe_ctx->top_pipe == NULL) { 384 /*program rmu shaper and 3dlut in MPC*/ 385 ret = dcn30_set_mpc_shaper_3dlut(pipe_ctx, stream); 386 if (ret == false && mpc->funcs->set_output_gamma) { ^^^^^^^^^^^^^^^^^^^^^^^^^^^^ If this is NULL 387 if (stream->out_transfer_func.type == TF_TYPE_HWPWL) 388 params = &stream->out_transfer_func.pwl; 389 else if (pipe_ctx->stream->out_transfer_func.type == 390 TF_TYPE_DISTRIBUTED_POINTS && 391 cm3_helper_translate_curve_to_hw_format( 392 &stream->out_transfer_func, 393 &mpc->blender_params, false)) 394 params = &mpc->blender_params; 395 /* there are no ROM LUTs in OUTGAM */ 396 if (stream->out_transfer_func.type == TF_TYPE_PREDEFINED) 397 BREAK_TO_DEBUGGER(); 398 } 399 } 400 --> 401 mpc->funcs->set_output_gamma(mpc, mpcc_id, params); ^^^^^^^^^^^^^^^^^^^^^^^^^^^^ Then it will crash 402 return ret; 403 } Уязвимость компонента drivers/gpu/drm/amd/display/dc/hwss/dcn30/dcn30_hwseq.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: fix out-of-bounds in dbNextAG() and diAlloc() In dbNextAG() , there is no check for the case where bmp->db_numag is greater or same than MAXAG due to a polluted image, which causes an out-of-bounds. Therefore, a bounds check should be added in dbMount(). And in dbNextAG(), a check for the case where agpref is greater than bmp->db_numag should be added, so an out-of-bounds exception should be prevented. Additionally, a check for the case where agno is greater or same than MAXAG should be added in diAlloc() to prevent out-of-bounds. Уязвимость функции dbMount() модуля fs/jfs/jfs_dmap.c ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/tdx: Fix "in-kernel MMIO" check TDX only supports kernel-initiated MMIO operations. The handle_mmio() function checks if the #VE exception occurred in the kernel and rejects the operation if it did not. However, userspace can deceive the kernel into performing MMIO on its behalf. For example, if userspace can point a syscall to an MMIO address, syscall does get_user() or put_user() on it, triggering MMIO #VE. The kernel will treat the #VE as in-kernel MMIO. Ensure that the target MMIO address is within the kernel before decoding instruction. Уязвимость функции handle_mmio() в модуле arch/x86/coco/tdx/tdx.c ядра операционной системы Linux связана с отсутствием проверки адреса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Zero former ARG_PTR_TO_{LONG,INT} args in case of error For all non-tracing helpers which formerly had ARG_PTR_TO_{LONG,INT} as input arguments, zero the value for the case of an error as otherwise it could leak memory. For tracing, it is not needed given CAP_PERFMON can already read all kernel memory anyway hence bpf_get_func_arg() and bpf_get_func_ret() is skipped in here. Also, the MTU helpers mtu_len pointer value is being written but also read. Technically, the MEM_UNINIT should not be there in order to always force init. Removing MEM_UNINIT needs more verifier rework though: MEM_UNINIT right now implies two things actually: i) write into memory, ii) memory does not have to be initialized. If we lift MEM_UNINIT, it then becomes: i) read into memory, ii) memory must be initialized. This means that for bpf_*_check_mtu() we're readding the issue we're trying to fix, that is, it would then be able to write back into things like .rodata BPF maps. Follow-up work will rework the MEM_UNINIT semantics such that the intent can be better expressed. For now just clear the *mtu_len on error path which can be lifted later again. Уязвимость подсистемы bpf ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: hisilicon/qm - inject error before stopping queue The master ooo cannot be completely closed when the accelerator core reports memory error. Therefore, the driver needs to inject the qm error to close the master ooo. Currently, the qm error is injected after stopping queue, memory may be released immediately after stopping queue, causing the device to access the released memory. Therefore, error is injected to close master ooo before stopping queue to ensure that the device does not access the released memory. Уязвимость функции qm_soft_reset_prepare() модуля drivers/crypto/hisilicon/qm.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers/perf: Fix ali_drw_pmu driver interrupt status clearing The alibaba_uncore_pmu driver forgot to clear all interrupt status in the interrupt processing function. After the PMU counter overflow interrupt occurred, an interrupt storm occurred, causing the system to hang. Therefore, clear the correct interrupt status in the interrupt handling function to fix it. Уязвимость компонента drivers/perf/alibaba_uncore_drw_pmu.c ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bonding: Fix unnecessary warnings and logs from bond_xdp_get_xmit_slave() syzbot reported a WARNING in bond_xdp_get_xmit_slave. To reproduce this[1], one bond device (bond1) has xdpdrv, which increases bpf_master_redirect_enabled_key. Another bond device (bond0) which is unsupported by XDP but its slave (veth3) has xdpgeneric that returns XDP_TX. This triggers WARN_ON_ONCE() from the xdp_master_redirect(). To reduce unnecessary warnings and improve log management, we need to delete the WARN_ON_ONCE() and add ratelimit to the netdev_err(). [1] Steps to reproduce: # Needs tx_xdp with return XDP_TX; ip l add veth0 type veth peer veth1 ip l add veth3 type veth peer veth4 ip l add bond0 type bond mode 6 # BOND_MODE_ALB, unsupported by XDP ip l add bond1 type bond # BOND_MODE_ROUNDROBIN by default ip l set veth0 master bond1 ip l set bond1 up # Increases bpf_master_redirect_enabled_key ip l set dev bond1 xdpdrv object tx_xdp.o section xdp_tx ip l set veth3 master bond0 ip l set bond0 up ip l set veth4 up # Triggers WARN_ON_ONCE() from the xdp_master_redirect() ip l set veth3 xdpgeneric object tx_xdp.o section xdp_tx Уязвимость компонента drivers/net/bonding/bond_main.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Fix spin_unlock_irqrestore() called with IRQs enabled Fix missuse of spin_lock_irq()/spin_unlock_irq() when spin_lock_irqsave()/spin_lock_irqrestore() was hold. This was discovered through the lock debugging, and the corresponding log is as follows: raw_local_irq_restore() called with IRQs enabled WARNING: CPU: 96 PID: 2074 at kernel/locking/irqflag-debug.c:10 warn_bogus_irq_restore+0x30/0x40 ... Call trace: warn_bogus_irq_restore+0x30/0x40 _raw_spin_unlock_irqrestore+0x84/0xc8 add_qp_to_list+0x11c/0x148 [hns_roce_hw_v2] hns_roce_create_qp_common.constprop.0+0x240/0x780 [hns_roce_hw_v2] hns_roce_create_qp+0x98/0x160 [hns_roce_hw_v2] create_qp+0x138/0x258 ib_create_qp_kernel+0x50/0xe8 create_mad_qp+0xa8/0x128 ib_mad_port_open+0x218/0x448 ib_mad_init_device+0x70/0x1f8 add_client_context+0xfc/0x220 enable_device_and_get+0xd0/0x140 ib_register_device.part.0+0xf4/0x1c8 ib_register_device+0x34/0x50 hns_roce_register_device+0x174/0x3d0 [hns_roce_hw_v2] hns_roce_init+0xfc/0x2c0 [hns_roce_hw_v2] __hns_roce_hw_v2_init_instance+0x7c/0x1d0 [hns_roce_hw_v2] hns_roce_hw_v2_init_instance+0x9c/0x180 [hns_roce_hw_v2] Уязвимость компонента drivers/infiniband/hw/hns/hns_roce_qp.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: call cache_put if xdr_reserve_space returns NULL If not enough buffer space available, but idmap_lookup has triggered lookup_fn which calls cache_get and returns successfully. Then we missed to call cache_put here which pairs with cache_get. Reviwed-by: Jeff Layton <jlayton@kernel.org> Уязвимость компонента fs/nfsd/nfs4idmap.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: don't use rate mask for offchannel TX either Like the commit ab9177d83c04 ("wifi: mac80211: don't use rate mask for scanning"), ignore incorrect settings to avoid no supported rate warning reported by syzbot. The syzbot did bisect and found cause is commit 9df66d5b9f45 ("cfg80211: fix default HE tx bitrate mask in 2G band"), which however corrects bitmask of HE MCS and recognizes correctly settings of empty legacy rate plus HE MCS rate instead of returning -EINVAL. As suggestions [1], follow the change of SCAN TX to consider this case of offchannel TX as well. [1] https://lore.kernel.org/linux-wireless/6ab2dc9c3afe753ca6fdcdd1421e7a1f47e87b84.camel@sipsolutions.net/T/#m2ac2a6d2be06a37c9c47a3d8a44b4f647ed4f024 Уязвимость компонента net/mac80211 ядра операционной системы Linux связана с недостатками в обработке исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: padata: use integer wrap around to prevent deadlock on seq_nr overflow When submitting more than 2^32 padata objects to padata_do_serial, the current sorting implementation incorrectly sorts padata objects with overflowed seq_nr, causing them to be placed before existing objects in the reorder list. This leads to a deadlock in the serialization process as padata_find_next cannot match padata->seq_nr and pd->processed because the padata instance with overflowed seq_nr will be selected next. To fix this, we use an unsigned integer wrap around to correctly sort padata objects in scenarios with integer overflow. Уязвимость компонента kernel/padata.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: Require FMODE_WRITE for atomic write ioctls The F2FS ioctls for starting and committing atomic writes check for inode_owner_or_capable(), but this does not give LSMs like SELinux or Landlock an opportunity to deny the write access - if the caller's FSUID matches the inode's UID, inode_owner_or_capable() immediately returns true. There are scenarios where LSMs want to deny a process the ability to write particular files, even files that the FSUID of the process owns; but this can currently partially be bypassed using atomic write ioctls in two ways: - F2FS_IOC_START_ATOMIC_REPLACE + F2FS_IOC_COMMIT_ATOMIC_WRITE can truncate an inode to size 0 - F2FS_IOC_START_ATOMIC_WRITE + F2FS_IOC_ABORT_ATOMIC_WRITE can revert changes another process concurrently made to a file Fix it by requiring FMODE_WRITE for these operations, just like for F2FS_IOC_MOVE_RANGE. Since any legitimate caller should only be using these ioctls when intending to write into the file, that seems unlikely to break anything. Уязвимость компонента f2fs ядра операционной системы Linux связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firmware_loader: Block path traversal Most firmware names are hardcoded strings, or are constructed from fairly constrained format strings where the dynamic parts are just some hex numbers or such. However, there are a couple codepaths in the kernel where firmware file names contain string components that are passed through from a device or semi-privileged userspace; the ones I could find (not counting interfaces that require root privileges) are: - lpfc_sli4_request_firmware_update() seems to construct the firmware filename from "ModelName", a string that was previously parsed out of some descriptor ("Vital Product Data") in lpfc_fill_vpd() - nfp_net_fw_find() seems to construct a firmware filename from a model name coming from nfp_hwinfo_lookup(pf->hwinfo, "nffw.partno"), which I think parses some descriptor that was read from the device. (But this case likely isn't exploitable because the format string looks like "netronome/nic_%s", and there shouldn't be any *folders* starting with "netronome/nic_". The previous case was different because there, the "%s" is *at the start* of the format string.) - module_flash_fw_schedule() is reachable from the ETHTOOL_MSG_MODULE_FW_FLASH_ACT netlink command, which is marked as GENL_UNS_ADMIN_PERM (meaning CAP_NET_ADMIN inside a user namespace is enough to pass the privilege check), and takes a userspace-provided firmware name. (But I think to reach this case, you need to have CAP_NET_ADMIN over a network namespace that a special kind of ethernet device is mapped into, so I think this is not a viable attack path in practice.) Fix it by rejecting any firmware names containing ".." path components. For what it's worth, I went looking and haven't found any USB device drivers that use the firmware loader dangerously. Уязвимость функции _request_firmware() модуля drivers/base/firmware_loader/main.c ядра операционной системы Linux связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KEYS: prevent NULL pointer dereference in find_asymmetric_key() In find_asymmetric_key(), if all NULLs are passed in the id_{0,1,2} arguments, the kernel will first emit WARN but then have an oops because id_2 gets dereferenced anyway. Add the missing id_2 check and move WARN_ON() to the final else branch to avoid duplicate NULL checks. Found by Linux Verification Center (linuxtesting.org) with Svace static analysis tool. Уязвимость функции find_asymmetric_key() компонента crypto/asymmetric_keys/asymmetric_type.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: seeq: Fix use after free vulnerability in ether3 Driver Due to Race Condition In the ether3_probe function, a timer is initialized with a callback function ether3_ledoff, bound to &prev(dev)->timer. Once the timer is started, there is a risk of a race condition if the module or device is removed, triggering the ether3_remove function to perform cleanup. The sequence of operations that may lead to a UAF bug is as follows: CPU0 CPU1 | ether3_ledoff ether3_remove | free_netdev(dev); | put_devic | kfree(dev); | | ether3_outw(priv(dev)->regs.config2 |= CFG2_CTRLO, REG_CONFIG2); | // use dev Fix it by ensuring that the timer is canceled before proceeding with the cleanup in ether3_remove. Уязвимость функции ether3_remove() в модуле drivers/net/ethernet/seeq/ether3.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vhost_vdpa: assign irq bypass producer token correctly We used to call irq_bypass_unregister_producer() in vhost_vdpa_setup_vq_irq() which is problematic as we don't know if the token pointer is still valid or not. Actually, we use the eventfd_ctx as the token so the life cycle of the token should be bound to the VHOST_SET_VRING_CALL instead of vhost_vdpa_setup_vq_irq() which could be called by set_status(). Fixing this by setting up irq bypass producer's token when handling VHOST_SET_VRING_CALL and un-registering the producer before calling vhost_vring_ioctl() to prevent a possible use after free as eventfd could have been released in vhost_vring_ioctl(). And such registering and unregistering will only be done if DRIVER_OK is set. Уязвимость функции vhost_vdpa_vring_ioctl() модуля drivers/vhost/vdpa.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/cxgb4: Added NULL check for lookup_atid The lookup_atid() function can return NULL if the ATID is invalid or does not exist in the identifier table, which could lead to dereferencing a null pointer without a check in the `act_establish()` and `act_open_rpl()` functions. Add a NULL check to prevent null pointer dereferencing. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drivers/infiniband/hw/cxgb4/cm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Fix Use-After-Free of rsv_qp on HIP08 Currently rsv_qp is freed before ib_unregister_device() is called on HIP08. During the time interval, users can still dereg MR and rsv_qp will be used in this process, leading to a UAF. Move the release of rsv_qp after calling ib_unregister_device() to fix it. Уязвимость функции hns_roce_v2_exit() в модуле drivers/infiniband/hw/hns/hns_roce_hw_v2.c драйвера Hisilicon Hip08 ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: kirin: Fix buffer overflow in kirin_pcie_parse_port() Within kirin_pcie_parse_port(), the pcie->num_slots is compared to pcie->gpio_id_reset size (MAX_PCI_SLOTS) which is correct and would lead to an overflow. Thus, fix condition to pcie->num_slots + 1 >= MAX_PCI_SLOTS and move pcie->num_slots increment below the if-statement to avoid out-of-bounds array access. Found by Linux Verification Center (linuxtesting.org) with SVACE. [kwilczynski: commit log] Уязвимость функции kirin_pcie_parse_port() в модуле drivers/pci/controller/dwc/pcie-kirin.c ядра операционной системы Linux связана с некорректным вычислением границы буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix potential oob read in nilfs_btree_check_delete() The function nilfs_btree_check_delete(), which checks whether degeneration to direct mapping occurs before deleting a b-tree entry, causes memory access outside the block buffer when retrieving the maximum key if the root node has no entries. This does not usually happen because b-tree mappings with 0 child nodes are never created by mkfs.nilfs2 or nilfs2 itself. However, it can happen if the b-tree root node read from a device is configured that way, so fix this potential issue by adding a check for that case. Уязвимость функции nilfs_btree_check_delete() в модуле fs/nilfs2/btree.c файловой системы nilfs2 ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 dcmtk An improper array index validation vulnerability exists in the nowindow functionality of OFFIS DCMTK 3.6.8. A specially crafted DICOM file can lead to an out-of-bounds write. An attacker can provide a malicious file to trigger this vulnerability. Уязвимость библиотеки для работы с форматом DICOM DCMTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного DICOM файла [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-base1.0 GStreamer is a library for constructing graphs of media-handling components. A null pointer dereference vulnerability has been detected in the parse_lrc function within gstsubparse.c. The parse_lrc function calls strchr() to find the character ']' in the string line. The pointer returned by this call is then passed to g_strdup(). However, if the string line does not contain the character ']', strchr() returns NULL, and a call to g_strdup(start + 1) leads to a null pointer dereference. This vulnerability is fixed in 1.24.10. Уязвимость функции parse_lrc компонента gstsubparse.c мультимедийного фреймворка Gstreamer связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gst-plugins-base1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bcache: revert replacing IS_ERR_OR_NULL with IS_ERR again Commit 028ddcac477b ("bcache: Remove unnecessary NULL point check in node allocations") leads a NULL pointer deference in cache_set_flush(). 1721 if (!IS_ERR_OR_NULL(c->root)) 1722 list_add(&c->root->list, &c->btree_cache); >From the above code in cache_set_flush(), if previous registration code fails before allocating c->root, it is possible c->root is NULL as what it is initialized. __bch_btree_node_alloc() never returns NULL but c->root is possible to be NULL at above line 1721. This patch replaces IS_ERR() by IS_ERR_OR_NULL() to fix this. Уязвимость компонента drivers/md/bcache ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/smc: check iparea_offset and ipv6_prefixes_cnt when receiving proposal msg When receiving proposal msg in server, the field iparea_offset and the field ipv6_prefixes_cnt in proposal msg are from the remote client and can not be fully trusted. Especially the field iparea_offset, once exceed the max value, there has the chance to access wrong address, and crash may happen. This patch checks iparea_offset and ipv6_prefixes_cnt before using them. Уязвимость компонента net/smc ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 ruby3.1 REXML is an XML toolkit for Ruby. The REXML gem before 3.3.9 has a ReDoS vulnerability when it parses an XML that has many digits between &# and x...; in a hex numeric character reference (&#x...;). This does not happen with Ruby 3.2 or later. Ruby 3.1 is the only affected maintained Ruby. The REXML gem 3.3.9 or later include the patch to fix the vulnerability. Уязвимость набора инструментов XML для языка программирования Ruby связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 python-werkzeug Werkzeug is a Web Server Gateway Interface web application library. Applications using `werkzeug.formparser.MultiPartParser` corresponding to a version of Werkzeug prior to 3.0.6 to parse `multipart/form-data` requests (e.g. all flask applications) are vulnerable to a relatively simple but effective resource exhaustion (denial of service) attack. A specifically crafted form submission request can cause the parser to allocate and block 3 to 8 times the upload size in main memory. There is no upper limit; a single upload at 1 Gbit/s can exhaust 32 GB of RAM in less than 60 seconds. Werkzeug version 3.0.6 fixes this issue. Уязвимость библиотеки веб-приложений Pallets Werkzeug связана с неконтролируемым расходом ресурсов в werkzeug.formparser.MultiPartParser. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python-werkzeug: - Использовать ПО python-werkzeug только на низком или отдельно выделенном уровне целостности - При использовании ПО python-werkzeug выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-werkzeug только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 waitress Waitress is a Web Server Gateway Interface server for Python 2 and 3. A remote client may send a request that is exactly recv_bytes (defaults to 8192) long, followed by a secondary request using HTTP pipelining. When request lookahead is disabled (default) we won't read any more requests, and when the first request fails due to a parsing error, we simply close the connection. However when request lookahead is enabled, it is possible to process and receive the first request, start sending the error message back to the client while we read the next request and queue it. This will allow the secondary request to be serviced by the worker thread while the connection should be closed. Waitress 3.0.1 fixes the race condition. As a workaround, disable channel_request_lookahead, this is set to 0 by default disabling this feature. Уязвимость WSGI сервера для python Waitress связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) Astra Linux 1.8 waitress Waitress is a Web Server Gateway Interface server for Python 2 and 3. When a remote client closes the connection before waitress has had the opportunity to call getpeername() waitress won't correctly clean up the connection leading to the main thread attempting to write to a socket that no longer exists, but not removing it from the list of sockets to attempt to process. This leads to a busy-loop calling the write function. A remote attacker could run waitress out of available sockets with very little resources required. Waitress 3.0.1 contains fixes that remove the race condition. Уязвимость функции getpeername() WSGI сервера для python Waitress связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-772')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: correctly handle malformed BPF_CORE_TYPE_ID_LOCAL relos In case of malformed relocation record of kind BPF_CORE_TYPE_ID_LOCAL referencing a non-existing BTF type, function bpf_core_calc_relo_insn would cause a null pointer deference. Fix this by adding a proper check upper in call stack, as malformed relocation records could be passed from user space. Simplest reproducer is a program: r0 = 0 exit With a single relocation record: .insn_off = 0, /* patch first instruction */ .type_id = 100500, /* this type id does not exist */ .access_str_off = 6, /* offset of string "0" */ .kind = BPF_CORE_TYPE_ID_LOCAL, See the link for original reproducer or next commit for a test case. Уязвимость функции bpf_core_apply() (kernel/bpf/btf.c) компонента BPF ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tpm: Clean up TPM space after command failure tpm_dev_transmit prepares the TPM space before attempting command transmission. However if the command fails no rollback of this preparation is done. This can result in transient handles being leaked if the device is subsequently closed with no further commands performed. Fix this by flushing the space in the event of command transmission failure. Уязвимость компонента drivers/char/tpm ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: elx: libefc: Fix potential use after free in efc_nport_vport_del() The kref_put() function will call nport->release if the refcount drops to zero. The nport->release release function is _efc_nport_free() which frees "nport". But then we dereference "nport" on the next line which is a use after free. Re-order these lines to avoid the use after free. Уязвимость компонента drivers/scsi/elx/libefc/efc_nport.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firmware: arm_scmi: Fix double free in OPTEE transport Channels can be shared between protocols, avoid freeing the same channel descriptors twice when unloading the stack. Уязвимость функции scmi_optee_chan_free() в модуле drivers/firmware/arm_scmi/optee.c ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nbd: fix race between timeout and normal completion If request timetout is handled by nbd_requeue_cmd(), normal completion has to be stopped for avoiding to complete this requeued request, other use-after-free can be triggered. Fix the race by clearing NBD_CMD_INFLIGHT in nbd_requeue_cmd(), meantime make sure that cmd->lock is grabbed for clearing the flag and the requeue. Уязвимость функции nbd_requeue_cmd() в модуле drivers/block/nbd.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/sgx: Fix deadlock in SGX NUMA node search When the current node doesn't have an EPC section configured by firmware and all other EPC sections are used up, CPU can get stuck inside the while loop that looks for an available EPC page from remote nodes indefinitely, leading to a soft lockup. Note how nid_of_current will never be equal to nid in that while loop because nid_of_current is not set in sgx_numa_mask. Also worth mentioning is that it's perfectly fine for the firmware not to setup an EPC section on a node. While setting up an EPC section on each node can enhance performance, it is not a requirement for functionality. Rework the loop to start and end on *a* node that has SGX memory. This avoids the deadlock looking for the current SGX-lacking node to show up in the loop when it never will. Уязвимость компонента arch/x86/kernel/cpu/sgx/main.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: efistub/tpm: Use ACPI reclaim memory for event log to avoid corruption The TPM event log table is a Linux specific construct, where the data produced by the GetEventLog() boot service is cached in memory, and passed on to the OS using an EFI configuration table. The use of EFI_LOADER_DATA here results in the region being left unreserved in the E820 memory map constructed by the EFI stub, and this is the memory description that is passed on to the incoming kernel by kexec, which is therefore unaware that the region should be reserved. Even though the utility of the TPM2 event log after a kexec is questionable, any corruption might send the parsing code off into the weeds and crash the kernel. So let's use EFI_ACPI_RECLAIM_MEMORY instead, which is always treated as reserved by the E820 conversion logic. Уязвимость компонента drivers/firmware/efi/libstub/tpm.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to check atomic_file in f2fs ioctl interfaces Some f2fs ioctl interfaces like f2fs_ioc_set_pin_file(), f2fs_move_file_range(), and f2fs_defragment_range() missed to check atomic_write status, which may cause potential race issue, fix it. Уязвимость компонента fs/f2fs/file.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPI: sysfs: validate return type of _STR method Only buffer objects are valid return values of _STR. If something else is returned description_show() will access invalid memory. Уязвимость функции acpi_device_setup_files() модуля drivers/acpi/device_sysfs.c ядра операционной системы Linux связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix helper writes to read-only maps Lonial found an issue that despite user- and BPF-side frozen BPF map (like in case of .rodata), it was still possible to write into it from a BPF program side through specific helpers having ARG_PTR_TO_{LONG,INT} as arguments. In check_func_arg() when the argument is as mentioned, the meta->raw_mode is never set. Later, check_helper_mem_access(), under the case of PTR_TO_MAP_VALUE as register base type, it assumes BPF_READ for the subsequent call to check_map_access_type() and given the BPF map is read-only it succeeds. The helpers really need to be annotated as ARG_PTR_TO_{LONG,INT} | MEM_UNINIT when results are written into them as opposed to read out of them. The latter indicates that it's okay to pass a pointer to uninitialized memory as the memory is written to anyway. However, ARG_PTR_TO_{LONG,INT} is a special case of ARG_PTR_TO_FIXED_SIZE_MEM just with additional alignment requirement. So it is better to just get rid of the ARG_PTR_TO_{LONG,INT} special cases altogether and reuse the fixed size memory types. For this, add MEM_ALIGNED to additionally ensure alignment given these helpers write directly into the args via *<ptr> = val. The .arg*_size has been initialized reflecting the actual sizeof(*<ptr>). MEM_ALIGNED can only be used in combination with MEM_FIXED_SIZE annotated argument types, since in !MEM_FIXED_SIZE cases the verifier does not know the buffer size a priori and therefore cannot blindly write *<ptr> = val. Уязвимость компонента bpf ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для сокращения поверхности атаки настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: ``` kernel.unprivileged_bpf_disabled=1 ``` Сохраните файл. 2. Примените изменения: ``` sudo sysctl -p ``` 3. Проверьте текущее состояние sysctl: ``` cat /proc/sys/kernel/unprivileged_bpf_disabled ``` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vhost/scsi: null-ptr-dereference in vhost_scsi_get_req() Since commit 3f8ca2e115e5 ("vhost/scsi: Extract common handling code from control queue handler") a null pointer dereference bug can be triggered when guest sends an SCSI AN request. In vhost_scsi_ctl_handle_vq(), `vc.target` is assigned with `&v_req.tmf.lun[1]` within a switch-case block and is then passed to vhost_scsi_get_req() which extracts `vc->req` and `tpg`. However, for a `VIRTIO_SCSI_T_AN_*` request, tpg is not required, so `vc.target` is set to NULL in this branch. Later, in vhost_scsi_get_req(), `vc->target` is dereferenced without being checked, leading to a null pointer dereference bug. This bug can be triggered from guest. When this bug occurs, the vhost_worker process is killed while holding `vq->mutex` and the corresponding tpg will remain occupied indefinitely. Below is the KASAN report: Oops: general protection fault, probably for non-canonical address 0xdffffc0000000000: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] CPU: 1 PID: 840 Comm: poc Not tainted 6.10.0+ #1 Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:vhost_scsi_get_req+0x165/0x3a0 Code: 00 fc ff df 48 89 fa 48 c1 ea 03 80 3c 02 00 0f 85 2b 02 00 00 48 b8 00 00 00 00 00 fc ff df 4d 8b 65 30 4c 89 e2 48 c1 ea 03 <0f> b6 04 02 4c 89 e2 83 e2 07 38 d0 7f 08 84 c0 0f 85 be 01 00 00 RSP: 0018:ffff888017affb50 EFLAGS: 00010246 RAX: dffffc0000000000 RBX: ffff88801b000000 RCX: 0000000000000000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: ffff888017affcb8 RBP: ffff888017affb80 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000000 R12: 0000000000000000 R13: ffff888017affc88 R14: ffff888017affd1c R15: ffff888017993000 FS: 000055556e076500(0000) GS:ffff88806b100000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000200027c0 CR3: 0000000010ed0004 CR4: 0000000000370ef0 Call Trace: <TASK> ? show_regs+0x86/0xa0 ? die_addr+0x4b/0xd0 ? exc_general_protection+0x163/0x260 ? asm_exc_general_protection+0x27/0x30 ? vhost_scsi_get_req+0x165/0x3a0 vhost_scsi_ctl_handle_vq+0x2a4/0xca0 ? __pfx_vhost_scsi_ctl_handle_vq+0x10/0x10 ? __switch_to+0x721/0xeb0 ? __schedule+0xda5/0x5710 ? __kasan_check_write+0x14/0x30 ? _raw_spin_lock+0x82/0xf0 vhost_scsi_ctl_handle_kick+0x52/0x90 vhost_run_work_list+0x134/0x1b0 vhost_task_fn+0x121/0x350 ... </TASK> ---[ end trace 0000000000000000 ]--- Let's add a check in vhost_scsi_get_req. [whitespace fixes] Уязвимость функции vhost_scsi_get_req() компонента drivers/vhost/scsi.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing/timerlat: Fix a race during cpuhp processing There is another found exception that the "timerlat/1" thread was scheduled on CPU0, and lead to timer corruption finally: ``` ODEBUG: init active (active state 0) object: ffff888237c2e108 object type: hrtimer hint: timerlat_irq+0x0/0x220 WARNING: CPU: 0 PID: 426 at lib/debugobjects.c:518 debug_print_object+0x7d/0xb0 Modules linked in: CPU: 0 UID: 0 PID: 426 Comm: timerlat/1 Not tainted 6.11.0-rc7+ #45 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.13.0-1ubuntu1.1 04/01/2014 RIP: 0010:debug_print_object+0x7d/0xb0 ... Call Trace: <TASK> ? __warn+0x7c/0x110 ? debug_print_object+0x7d/0xb0 ? report_bug+0xf1/0x1d0 ? prb_read_valid+0x17/0x20 ? handle_bug+0x3f/0x70 ? exc_invalid_op+0x13/0x60 ? asm_exc_invalid_op+0x16/0x20 ? debug_print_object+0x7d/0xb0 ? debug_print_object+0x7d/0xb0 ? __pfx_timerlat_irq+0x10/0x10 __debug_object_init+0x110/0x150 hrtimer_init+0x1d/0x60 timerlat_main+0xab/0x2d0 ? __pfx_timerlat_main+0x10/0x10 kthread+0xb7/0xe0 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x2d/0x40 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> ``` After tracing the scheduling event, it was discovered that the migration of the "timerlat/1" thread was performed during thread creation. Further analysis confirmed that it is because the CPU online processing for osnoise is implemented through workers, which is asynchronous with the offline processing. When the worker was scheduled to create a thread, the CPU may has already been removed from the cpu_online_mask during the offline process, resulting in the inability to select the right CPU: T1 | T2 [CPUHP_ONLINE] | cpu_device_down() osnoise_hotplug_workfn() | | cpus_write_lock() | takedown_cpu(1) | cpus_write_unlock() [CPUHP_OFFLINE] | cpus_read_lock() | start_kthread(1) | cpus_read_unlock() | To fix this, skip online processing if the CPU is already offline. Уязвимость компонента tracing/timerlat ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: wait for fixup workers before stopping cleaner kthread during umount During unmount, at close_ctree(), we have the following steps in this order: 1) Park the cleaner kthread - this doesn't destroy the kthread, it basically halts its execution (wake ups against it work but do nothing); 2) We stop the cleaner kthread - this results in freeing the respective struct task_struct; 3) We call btrfs_stop_all_workers() which waits for any jobs running in all the work queues and then free the work queues. Syzbot reported a case where a fixup worker resulted in a crash when doing a delayed iput on its inode while attempting to wake up the cleaner at btrfs_add_delayed_iput(), because the task_struct of the cleaner kthread was already freed. This can happen during unmount because we don't wait for any fixup workers still running before we call kthread_stop() against the cleaner kthread, which stops and free all its resources. Fix this by waiting for any fixup workers at close_ctree() before we call kthread_stop() against the cleaner and run pending delayed iputs. The stack traces reported by syzbot were the following: BUG: KASAN: slab-use-after-free in __lock_acquire+0x77/0x2050 kernel/locking/lockdep.c:5065 Read of size 8 at addr ffff8880272a8a18 by task kworker/u8:3/52 CPU: 1 UID: 0 PID: 52 Comm: kworker/u8:3 Not tainted 6.12.0-rc1-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Workqueue: btrfs-fixup btrfs_work_helper Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 __lock_acquire+0x77/0x2050 kernel/locking/lockdep.c:5065 lock_acquire+0x1ed/0x550 kernel/locking/lockdep.c:5825 __raw_spin_lock_irqsave include/linux/spinlock_api_smp.h:110 [inline] _raw_spin_lock_irqsave+0xd5/0x120 kernel/locking/spinlock.c:162 class_raw_spinlock_irqsave_constructor include/linux/spinlock.h:551 [inline] try_to_wake_up+0xb0/0x1480 kernel/sched/core.c:4154 btrfs_writepage_fixup_worker+0xc16/0xdf0 fs/btrfs/inode.c:2842 btrfs_work_helper+0x390/0xc50 fs/btrfs/async-thread.c:314 process_one_work kernel/workqueue.c:3229 [inline] process_scheduled_works+0xa63/0x1850 kernel/workqueue.c:3310 worker_thread+0x870/0xd30 kernel/workqueue.c:3391 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Allocated by task 2: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 unpoison_slab_object mm/kasan/common.c:319 [inline] __kasan_slab_alloc+0x66/0x80 mm/kasan/common.c:345 kasan_slab_alloc include/linux/kasan.h:247 [inline] slab_post_alloc_hook mm/slub.c:4086 [inline] slab_alloc_node mm/slub.c:4135 [inline] kmem_cache_alloc_node_noprof+0x16b/0x320 mm/slub.c:4187 alloc_task_struct_node kernel/fork.c:180 [inline] dup_task_struct+0x57/0x8c0 kernel/fork.c:1107 copy_process+0x5d1/0x3d50 kernel/fork.c:2206 kernel_clone+0x223/0x880 kernel/fork.c:2787 kernel_thread+0x1bc/0x240 kernel/fork.c:2849 create_kthread kernel/kthread.c:412 [inline] kthreadd+0x60d/0x810 kernel/kthread.c:765 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 Freed by task 61: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x40/0x50 mm/kasan/generic.c:579 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x59/0x70 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:230 [inline] slab_free_h ---truncated--- Уязвимость компонента fs/btrfs/disk-io.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix a NULL pointer dereference when failed to start a new trasacntion [BUG] Syzbot reported a NULL pointer dereference with the following crash: FAULT_INJECTION: forcing a failure. start_transaction+0x830/0x1670 fs/btrfs/transaction.c:676 prepare_to_relocate+0x31f/0x4c0 fs/btrfs/relocation.c:3642 relocate_block_group+0x169/0xd20 fs/btrfs/relocation.c:3678 ... BTRFS info (device loop0): balance: ended with status: -12 Oops: general protection fault, probably for non-canonical address 0xdffffc00000000cc: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000660-0x0000000000000667] RIP: 0010:btrfs_update_reloc_root+0x362/0xa80 fs/btrfs/relocation.c:926 Call Trace: <TASK> commit_fs_roots+0x2ee/0x720 fs/btrfs/transaction.c:1496 btrfs_commit_transaction+0xfaf/0x3740 fs/btrfs/transaction.c:2430 del_balance_item fs/btrfs/volumes.c:3678 [inline] reset_balance_state+0x25e/0x3c0 fs/btrfs/volumes.c:3742 btrfs_balance+0xead/0x10c0 fs/btrfs/volumes.c:4574 btrfs_ioctl_balance+0x493/0x7c0 fs/btrfs/ioctl.c:3673 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl+0xf9/0x170 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f [CAUSE] The allocation failure happens at the start_transaction() inside prepare_to_relocate(), and during the error handling we call unset_reloc_control(), which makes fs_info->balance_ctl to be NULL. Then we continue the error path cleanup in btrfs_balance() by calling reset_balance_state() which will call del_balance_item() to fully delete the balance item in the root tree. However during the small window between set_reloc_contrl() and unset_reloc_control(), we can have a subvolume tree update and created a reloc_root for that subvolume. Then we go into the final btrfs_commit_transaction() of del_balance_item(), and into btrfs_update_reloc_root() inside commit_fs_roots(). That function checks if fs_info->reloc_ctl is in the merge_reloc_tree stage, but since fs_info->reloc_ctl is NULL, it results a NULL pointer dereference. [FIX] Just add extra check on fs_info->reloc_ctl inside btrfs_update_reloc_root(), before checking fs_info->reloc_ctl->merge_reloc_tree. That DEAD_RELOC_TREE handling is to prevent further modification to the reloc tree during merge stage, but since there is no reloc_ctl at all, we do not need to bother that. Уязвимость компонента fs/btrfs/relocation.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: fix dentry leak in cachefiles_open_file() A dentry leak may be caused when a lookup cookie and a cull are concurrent: P1 | P2 ----------------------------------------------------------- cachefiles_lookup_cookie cachefiles_look_up_object lookup_one_positive_unlocked // get dentry cachefiles_cull inode->i_flags |= S_KERNEL_FILE; cachefiles_open_file cachefiles_mark_inode_in_use __cachefiles_mark_inode_in_use can_use = false if (!(inode->i_flags & S_KERNEL_FILE)) can_use = true return false return false // Returns an error but doesn't put dentry After that the following WARNING will be triggered when the backend folder is umounted: ================================================================== BUG: Dentry 000000008ad87947{i=7a,n=Dx_1_1.img} still in use (1) [unmount of ext4 sda] WARNING: CPU: 4 PID: 359261 at fs/dcache.c:1767 umount_check+0x5d/0x70 CPU: 4 PID: 359261 Comm: umount Not tainted 6.6.0-dirty #25 RIP: 0010:umount_check+0x5d/0x70 Call Trace: <TASK> d_walk+0xda/0x2b0 do_one_tree+0x20/0x40 shrink_dcache_for_umount+0x2c/0x90 generic_shutdown_super+0x20/0x160 kill_block_super+0x1a/0x40 ext4_kill_sb+0x22/0x40 deactivate_locked_super+0x35/0x80 cleanup_mnt+0x104/0x160 ================================================================== Whether cachefiles_open_file() returns true or false, the reference count obtained by lookup_positive_unlocked() in cachefiles_look_up_object() should be released. Therefore release that reference count in cachefiles_look_up_object() to fix the above issue and simplify the code. Уязвимость функции cachefiles_open_file() компонента fs/cachefiles/namei.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: adp5589-keys - fix NULL pointer dereference We register a devm action to call adp5589_clear_config() and then pass the i2c client as argument so that we can call i2c_get_clientdata() in order to get our device object. However, i2c_set_clientdata() is only being set at the end of the probe function which means that we'll get a NULL pointer dereference in case the probe function fails early. Уязвимость компонента drivers/input/keyboard/adp5589-keys.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: map the EBADMSG to nfserr_io to avoid warning Ext4 will throw -EBADMSG through ext4_readdir when a checksum error occurs, resulting in the following WARNING. Fix it by mapping EBADMSG to nfserr_io. nfsd_buffered_readdir iterate_dir // -EBADMSG -74 ext4_readdir // .iterate_shared ext4_dx_readdir ext4_htree_fill_tree htree_dirblock_to_tree ext4_read_dirblock __ext4_read_dirblock ext4_dirblock_csum_verify warn_no_space_for_csum __warn_no_space_for_csum return ERR_PTR(-EFSBADCRC) // -EBADMSG -74 nfserrno // WARNING [ 161.115610] ------------[ cut here ]------------ [ 161.116465] nfsd: non-standard errno: -74 [ 161.117315] WARNING: CPU: 1 PID: 780 at fs/nfsd/nfsproc.c:878 nfserrno+0x9d/0xd0 [ 161.118596] Modules linked in: [ 161.119243] CPU: 1 PID: 780 Comm: nfsd Not tainted 5.10.0-00014-g79679361fd5d #138 [ 161.120684] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.14.0-0-g155821a1990b-prebuilt.qe mu.org 04/01/2014 [ 161.123601] RIP: 0010:nfserrno+0x9d/0xd0 [ 161.124676] Code: 0f 87 da 30 dd 00 83 e3 01 b8 00 00 00 05 75 d7 44 89 ee 48 c7 c7 c0 57 24 98 89 44 24 04 c6 05 ce 2b 61 03 01 e8 99 20 d8 00 <0f> 0b 8b 44 24 04 eb b5 4c 89 e6 48 c7 c7 a0 6d a4 99 e8 cc 15 33 [ 161.127797] RSP: 0018:ffffc90000e2f9c0 EFLAGS: 00010286 [ 161.128794] RAX: 0000000000000000 RBX: 0000000000000000 RCX: 0000000000000000 [ 161.130089] RDX: 1ffff1103ee16f6d RSI: 0000000000000008 RDI: fffff520001c5f2a [ 161.131379] RBP: 0000000000000022 R08: 0000000000000001 R09: ffff8881f70c1827 [ 161.132664] R10: ffffed103ee18304 R11: 0000000000000001 R12: 0000000000000021 [ 161.133949] R13: 00000000ffffffb6 R14: ffff8881317c0000 R15: ffffc90000e2fbd8 [ 161.135244] FS: 0000000000000000(0000) GS:ffff8881f7080000(0000) knlGS:0000000000000000 [ 161.136695] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 161.137761] CR2: 00007fcaad70b348 CR3: 0000000144256006 CR4: 0000000000770ee0 [ 161.139041] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 161.140291] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [ 161.141519] PKRU: 55555554 [ 161.142076] Call Trace: [ 161.142575] ? __warn+0x9b/0x140 [ 161.143229] ? nfserrno+0x9d/0xd0 [ 161.143872] ? report_bug+0x125/0x150 [ 161.144595] ? handle_bug+0x41/0x90 [ 161.145284] ? exc_invalid_op+0x14/0x70 [ 161.146009] ? asm_exc_invalid_op+0x12/0x20 [ 161.146816] ? nfserrno+0x9d/0xd0 [ 161.147487] nfsd_buffered_readdir+0x28b/0x2b0 [ 161.148333] ? nfsd4_encode_dirent_fattr+0x380/0x380 [ 161.149258] ? nfsd_buffered_filldir+0xf0/0xf0 [ 161.150093] ? wait_for_concurrent_writes+0x170/0x170 [ 161.151004] ? generic_file_llseek_size+0x48/0x160 [ 161.151895] nfsd_readdir+0x132/0x190 [ 161.152606] ? nfsd4_encode_dirent_fattr+0x380/0x380 [ 161.153516] ? nfsd_unlink+0x380/0x380 [ 161.154256] ? override_creds+0x45/0x60 [ 161.155006] nfsd4_encode_readdir+0x21a/0x3d0 [ 161.155850] ? nfsd4_encode_readlink+0x210/0x210 [ 161.156731] ? write_bytes_to_xdr_buf+0x97/0xe0 [ 161.157598] ? __write_bytes_to_xdr_buf+0xd0/0xd0 [ 161.158494] ? lock_downgrade+0x90/0x90 [ 161.159232] ? nfs4svc_decode_voidarg+0x10/0x10 [ 161.160092] nfsd4_encode_operation+0x15a/0x440 [ 161.160959] nfsd4_proc_compound+0x718/0xe90 [ 161.161818] nfsd_dispatch+0x18e/0x2c0 [ 161.162586] svc_process_common+0x786/0xc50 [ 161.163403] ? nfsd_svc+0x380/0x380 [ 161.164137] ? svc_printk+0x160/0x160 [ 161.164846] ? svc_xprt_do_enqueue.part.0+0x365/0x380 [ 161.165808] ? nfsd_svc+0x380/0x380 [ 161.166523] ? rcu_is_watching+0x23/0x40 [ 161.167309] svc_process+0x1a5/0x200 [ 161.168019] nfsd+0x1f5/0x380 [ 161.168663] ? nfsd_shutdown_threads+0x260/0x260 [ 161.169554] kthread+0x1c4/0x210 [ 161.170224] ? kthread_insert_work_sanity_check+0x80/0x80 [ 161.171246] ret_from_fork+0x1f/0x30 Уязвимость компонента fs/nfsd/vfs.c ядра операционной системы Linux связана с недостатками алгоритма вычисления контрольной суммы. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-354')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix possible null-ptr-deref in ocfs2_set_buffer_uptodate When doing cleanup, if flags without OCFS2_BH_READAHEAD, it may trigger NULL pointer dereference in the following ocfs2_set_buffer_uptodate() if bh is NULL. Уязвимость компонента fs/ocfs2/buffer_head_io.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: resource: fix region_intersects() vs add_memory_driver_managed() On a system with CXL memory, the resource tree (/proc/iomem) related to CXL memory may look like something as follows. 490000000-50fffffff : CXL Window 0 490000000-50fffffff : region0 490000000-50fffffff : dax0.0 490000000-50fffffff : System RAM (kmem) Because drivers/dax/kmem.c calls add_memory_driver_managed() during onlining CXL memory, which makes "System RAM (kmem)" a descendant of "CXL Window X". This confuses region_intersects(), which expects all "System RAM" resources to be at the top level of iomem_resource. This can lead to bugs. For example, when the following command line is executed to write some memory in CXL memory range via /dev/mem, $ dd if=data of=/dev/mem bs=$((1 << 10)) seek=$((0x490000000 >> 10)) count=1 dd: error writing '/dev/mem': Bad address 1+0 records in 0+0 records out 0 bytes copied, 0.0283507 s, 0.0 kB/s the command fails as expected. However, the error code is wrong. It should be "Operation not permitted" instead of "Bad address". More seriously, the /dev/mem permission checking in devmem_is_allowed() passes incorrectly. Although the accessing is prevented later because ioremap() isn't allowed to map system RAM, it is a potential security issue. During command executing, the following warning is reported in the kernel log for calling ioremap() on system RAM. ioremap on RAM at 0x0000000490000000 - 0x0000000490000fff WARNING: CPU: 2 PID: 416 at arch/x86/mm/ioremap.c:216 __ioremap_caller.constprop.0+0x131/0x35d Call Trace: memremap+0xcb/0x184 xlate_dev_mem_ptr+0x25/0x2f write_mem+0x94/0xfb vfs_write+0x128/0x26d ksys_write+0xac/0xfe do_syscall_64+0x9a/0xfd entry_SYSCALL_64_after_hwframe+0x4b/0x53 The details of command execution process are as follows. In the above resource tree, "System RAM" is a descendant of "CXL Window 0" instead of a top level resource. So, region_intersects() will report no System RAM resources in the CXL memory region incorrectly, because it only checks the top level resources. Consequently, devmem_is_allowed() will return 1 (allow access via /dev/mem) for CXL memory region incorrectly. Fortunately, ioremap() doesn't allow to map System RAM and reject the access. So, region_intersects() needs to be fixed to work correctly with the resource tree with "System RAM" not at top level as above. To fix it, if we found a unmatched resource in the top level, we will continue to search matched resources in its descendant resources. So, we will not miss any matched resources in resource tree anymore. In the new implementation, an example resource tree |------------- "CXL Window 0" ------------| |-- "System RAM" --| will behave similar as the following fake resource tree for region_intersects(, IORESOURCE_SYSTEM_RAM, ), |-- "System RAM" --||-- "CXL Window 0a" --| Where "CXL Window 0a" is part of the original "CXL Window 0" that isn't covered by "System RAM". Уязвимость компонента kernel/resource.c ядра операционной системы Linux связана с некорректным присваиванием привилегий. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm: omapdrm: Add missing check for alloc_ordered_workqueue As it may return NULL pointer and cause NULL pointer dereference. Add check for the return value of alloc_ordered_workqueue. Уязвимость функций omapdrm_init() и omap_gem_deinit() драйвера DRM (drivers/gpu/drm/omapdrm/omap_drv.c) ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: update orig_path in ext4_find_extent() In ext4_find_extent(), if the path is not big enough, we free it and set *orig_path to NULL. But after reallocating and successfully initializing the path, we don't update *orig_path, in which case the caller gets a valid path but a NULL ppath, and this may cause a NULL pointer dereference or a path memory leak. For example: ext4_split_extent path = *ppath = 2000 ext4_find_extent if (depth > path[0].p_maxdepth) kfree(path = 2000); *orig_path = path = NULL; path = kcalloc() = 3000 ext4_split_extent_at(*ppath = NULL) path = *ppath; ex = path[depth].p_ext; // NULL pointer dereference! ================================================================== BUG: kernel NULL pointer dereference, address: 0000000000000010 CPU: 6 UID: 0 PID: 576 Comm: fsstress Not tainted 6.11.0-rc2-dirty #847 RIP: 0010:ext4_split_extent_at+0x6d/0x560 Call Trace: <TASK> ext4_split_extent.isra.0+0xcb/0x1b0 ext4_ext_convert_to_initialized+0x168/0x6c0 ext4_ext_handle_unwritten_extents+0x325/0x4d0 ext4_ext_map_blocks+0x520/0xdb0 ext4_map_blocks+0x2b0/0x690 ext4_iomap_begin+0x20e/0x2c0 [...] ================================================================== Therefore, *orig_path is updated when the extent lookup succeeds, so that the caller can safely use path or *ppath. Уязвимость функций get_ext_path(), ext4_find_extent() и ext4_split_extent_at() ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix double brelse() the buffer of the extents path In ext4_ext_try_to_merge_up(), set path[1].p_bh to NULL after it has been released, otherwise it may be released twice. An example of what triggers this is as follows: split2 map split1 |--------|-------|--------| ext4_ext_map_blocks ext4_ext_handle_unwritten_extents ext4_split_convert_extents // path->p_depth == 0 ext4_split_extent // 1. do split1 ext4_split_extent_at |ext4_ext_insert_extent | ext4_ext_create_new_leaf | ext4_ext_grow_indepth | le16_add_cpu(&neh->eh_depth, 1) | ext4_find_extent | // return -ENOMEM |// get error and try zeroout |path = ext4_find_extent | path->p_depth = 1 |ext4_ext_try_to_merge | ext4_ext_try_to_merge_up | path->p_depth = 0 | brelse(path[1].p_bh) ---> not set to NULL here |// zeroout success // 2. update path ext4_find_extent // 3. do split2 ext4_split_extent_at ext4_ext_insert_extent ext4_ext_create_new_leaf ext4_ext_grow_indepth le16_add_cpu(&neh->eh_depth, 1) ext4_find_extent path[0].p_bh = NULL; path->p_depth = 1 read_extent_tree_block ---> return err // path[1].p_bh is still the old value ext4_free_ext_path ext4_ext_drop_refs // path->p_depth == 1 brelse(path[1].p_bh) ---> brelse a buffer twice Finally got the following WARRNING when removing the buffer from lru: ============================================ VFS: brelse: Trying to free free buffer WARNING: CPU: 2 PID: 72 at fs/buffer.c:1241 __brelse+0x58/0x90 CPU: 2 PID: 72 Comm: kworker/u19:1 Not tainted 6.9.0-dirty #716 RIP: 0010:__brelse+0x58/0x90 Call Trace: <TASK> __find_get_block+0x6e7/0x810 bdev_getblk+0x2b/0x480 __ext4_get_inode_loc+0x48a/0x1240 ext4_get_inode_loc+0xb2/0x150 ext4_reserve_inode_write+0xb7/0x230 __ext4_mark_inode_dirty+0x144/0x6a0 ext4_ext_insert_extent+0x9c8/0x3230 ext4_ext_map_blocks+0xf45/0x2dc0 ext4_map_blocks+0x724/0x1700 ext4_do_writepages+0x12d6/0x2a70 [...] ============================================ Уязвимость компонента fs/ext4/extents.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: aovid use-after-free in ext4_ext_insert_extent() As Ojaswin mentioned in Link, in ext4_ext_insert_extent(), if the path is reallocated in ext4_ext_create_new_leaf(), we'll use the stale path and cause UAF. Below is a sample trace with dummy values: ext4_ext_insert_extent path = *ppath = 2000 ext4_ext_create_new_leaf(ppath) ext4_find_extent(ppath) path = *ppath = 2000 if (depth > path[0].p_maxdepth) kfree(path = 2000); *ppath = path = NULL; path = kcalloc() = 3000 *ppath = 3000; return path; /* here path is still 2000, UAF! */ eh = path[depth].p_hdr ================================================================== BUG: KASAN: slab-use-after-free in ext4_ext_insert_extent+0x26d4/0x3330 Read of size 8 at addr ffff8881027bf7d0 by task kworker/u36:1/179 CPU: 3 UID: 0 PID: 179 Comm: kworker/u6:1 Not tainted 6.11.0-rc2-dirty #866 Call Trace: <TASK> ext4_ext_insert_extent+0x26d4/0x3330 ext4_ext_map_blocks+0xe22/0x2d40 ext4_map_blocks+0x71e/0x1700 ext4_do_writepages+0x1290/0x2800 [...] Allocated by task 179: ext4_find_extent+0x81c/0x1f70 ext4_ext_map_blocks+0x146/0x2d40 ext4_map_blocks+0x71e/0x1700 ext4_do_writepages+0x1290/0x2800 ext4_writepages+0x26d/0x4e0 do_writepages+0x175/0x700 [...] Freed by task 179: kfree+0xcb/0x240 ext4_find_extent+0x7c0/0x1f70 ext4_ext_insert_extent+0xa26/0x3330 ext4_ext_map_blocks+0xe22/0x2d40 ext4_map_blocks+0x71e/0x1700 ext4_do_writepages+0x1290/0x2800 ext4_writepages+0x26d/0x4e0 do_writepages+0x175/0x700 [...] ================================================================== So use *ppath to update the path to avoid the above problem. Уязвимость компонента fs/ext4/extents.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix slab-use-after-free in ext4_split_extent_at() We hit the following use-after-free: ================================================================== BUG: KASAN: slab-use-after-free in ext4_split_extent_at+0xba8/0xcc0 Read of size 2 at addr ffff88810548ed08 by task kworker/u20:0/40 CPU: 0 PID: 40 Comm: kworker/u20:0 Not tainted 6.9.0-dirty #724 Call Trace: <TASK> kasan_report+0x93/0xc0 ext4_split_extent_at+0xba8/0xcc0 ext4_split_extent.isra.0+0x18f/0x500 ext4_split_convert_extents+0x275/0x750 ext4_ext_handle_unwritten_extents+0x73e/0x1580 ext4_ext_map_blocks+0xe20/0x2dc0 ext4_map_blocks+0x724/0x1700 ext4_do_writepages+0x12d6/0x2a70 [...] Allocated by task 40: __kmalloc_noprof+0x1ac/0x480 ext4_find_extent+0xf3b/0x1e70 ext4_ext_map_blocks+0x188/0x2dc0 ext4_map_blocks+0x724/0x1700 ext4_do_writepages+0x12d6/0x2a70 [...] Freed by task 40: kfree+0xf1/0x2b0 ext4_find_extent+0xa71/0x1e70 ext4_ext_insert_extent+0xa22/0x3260 ext4_split_extent_at+0x3ef/0xcc0 ext4_split_extent.isra.0+0x18f/0x500 ext4_split_convert_extents+0x275/0x750 ext4_ext_handle_unwritten_extents+0x73e/0x1580 ext4_ext_map_blocks+0xe20/0x2dc0 ext4_map_blocks+0x724/0x1700 ext4_do_writepages+0x12d6/0x2a70 [...] ================================================================== The flow of issue triggering is as follows: ext4_split_extent_at path = *ppath ext4_ext_insert_extent(ppath) ext4_ext_create_new_leaf(ppath) ext4_find_extent(orig_path) path = *orig_path read_extent_tree_block // return -ENOMEM or -EIO ext4_free_ext_path(path) kfree(path) *orig_path = NULL a. If err is -ENOMEM: ext4_ext_dirty(path + path->p_depth) // path use-after-free !!! b. If err is -EIO and we have EXT_DEBUG defined: ext4_ext_show_leaf(path) eh = path[depth].p_hdr // path also use-after-free !!! So when trying to zeroout or fix the extent length, call ext4_find_extent() to update the path. In addition we use *ppath directly as an ext4_ext_show_leaf() input to avoid possible use-after-free when EXT_DEBUG is defined, and to avoid unnecessary path updates. Уязвимость функции ext4_split_extent_at() в модуле fs/ext4/extents.c файловой системы ext4 ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86: ISST: Fix the KASAN report slab-out-of-bounds bug Attaching SST PCI device to VM causes "BUG: KASAN: slab-out-of-bounds". kasan report: [ 19.411889] ================================================================== [ 19.413702] BUG: KASAN: slab-out-of-bounds in _isst_if_get_pci_dev+0x3d5/0x400 [isst_if_common] [ 19.415634] Read of size 8 at addr ffff888829e65200 by task cpuhp/16/113 [ 19.417368] [ 19.418627] CPU: 16 PID: 113 Comm: cpuhp/16 Tainted: G E 6.9.0 #10 [ 19.420435] Hardware name: VMware, Inc. VMware20,1/440BX Desktop Reference Platform, BIOS VMW201.00V.20192059.B64.2207280713 07/28/2022 [ 19.422687] Call Trace: [ 19.424091] <TASK> [ 19.425448] dump_stack_lvl+0x5d/0x80 [ 19.426963] ? _isst_if_get_pci_dev+0x3d5/0x400 [isst_if_common] [ 19.428694] print_report+0x19d/0x52e [ 19.430206] ? __pfx__raw_spin_lock_irqsave+0x10/0x10 [ 19.431837] ? _isst_if_get_pci_dev+0x3d5/0x400 [isst_if_common] [ 19.433539] kasan_report+0xf0/0x170 [ 19.435019] ? _isst_if_get_pci_dev+0x3d5/0x400 [isst_if_common] [ 19.436709] _isst_if_get_pci_dev+0x3d5/0x400 [isst_if_common] [ 19.438379] ? __pfx_sched_clock_cpu+0x10/0x10 [ 19.439910] isst_if_cpu_online+0x406/0x58f [isst_if_common] [ 19.441573] ? __pfx_isst_if_cpu_online+0x10/0x10 [isst_if_common] [ 19.443263] ? ttwu_queue_wakelist+0x2c1/0x360 [ 19.444797] cpuhp_invoke_callback+0x221/0xec0 [ 19.446337] cpuhp_thread_fun+0x21b/0x610 [ 19.447814] ? __pfx_cpuhp_thread_fun+0x10/0x10 [ 19.449354] smpboot_thread_fn+0x2e7/0x6e0 [ 19.450859] ? __pfx_smpboot_thread_fn+0x10/0x10 [ 19.452405] kthread+0x29c/0x350 [ 19.453817] ? __pfx_kthread+0x10/0x10 [ 19.455253] ret_from_fork+0x31/0x70 [ 19.456685] ? __pfx_kthread+0x10/0x10 [ 19.458114] ret_from_fork_asm+0x1a/0x30 [ 19.459573] </TASK> [ 19.460853] [ 19.462055] Allocated by task 1198: [ 19.463410] kasan_save_stack+0x30/0x50 [ 19.464788] kasan_save_track+0x14/0x30 [ 19.466139] __kasan_kmalloc+0xaa/0xb0 [ 19.467465] __kmalloc+0x1cd/0x470 [ 19.468748] isst_if_cdev_register+0x1da/0x350 [isst_if_common] [ 19.470233] isst_if_mbox_init+0x108/0xff0 [isst_if_mbox_msr] [ 19.471670] do_one_initcall+0xa4/0x380 [ 19.472903] do_init_module+0x238/0x760 [ 19.474105] load_module+0x5239/0x6f00 [ 19.475285] init_module_from_file+0xd1/0x130 [ 19.476506] idempotent_init_module+0x23b/0x650 [ 19.477725] __x64_sys_finit_module+0xbe/0x130 [ 19.476506] idempotent_init_module+0x23b/0x650 [ 19.477725] __x64_sys_finit_module+0xbe/0x130 [ 19.478920] do_syscall_64+0x82/0x160 [ 19.480036] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 19.481292] [ 19.482205] The buggy address belongs to the object at ffff888829e65000 which belongs to the cache kmalloc-512 of size 512 [ 19.484818] The buggy address is located 0 bytes to the right of allocated 512-byte region [ffff888829e65000, ffff888829e65200) [ 19.487447] [ 19.488328] The buggy address belongs to the physical page: [ 19.489569] page: refcount:1 mapcount:0 mapping:0000000000000000 index:0xffff888829e60c00 pfn:0x829e60 [ 19.491140] head: order:3 entire_mapcount:0 nr_pages_mapped:0 pincount:0 [ 19.492466] anon flags: 0x57ffffc0000840(slab|head|node=1|zone=2|lastcpupid=0x1fffff) [ 19.493914] page_type: 0xffffffff() [ 19.494988] raw: 0057ffffc0000840 ffff88810004cc80 0000000000000000 0000000000000001 [ 19.496451] raw: ffff888829e60c00 0000000080200018 00000001ffffffff 0000000000000000 [ 19.497906] head: 0057ffffc0000840 ffff88810004cc80 0000000000000000 0000000000000001 [ 19.499379] head: ffff888829e60c00 0000000080200018 00000001ffffffff 0000000000000000 [ 19.500844] head: 0057ffffc0000003 ffffea0020a79801 ffffea0020a79848 00000000ffffffff [ 19.502316] head: 0000000800000000 0000000000000000 00000000ffffffff 0000000000000000 [ 19.503784] page dumped because: k ---truncated--- Уязвимость компонента platform/x86 ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: avoid use-after-free in ext4_ext_show_leaf() In ext4_find_extent(), path may be freed by error or be reallocated, so using a previously saved *ppath may have been freed and thus may trigger use-after-free, as follows: ext4_split_extent path = *ppath; ext4_split_extent_at(ppath) path = ext4_find_extent(ppath) ext4_split_extent_at(ppath) // ext4_find_extent fails to free path // but zeroout succeeds ext4_ext_show_leaf(inode, path) eh = path[depth].p_hdr // path use-after-free !!! Similar to ext4_split_extent_at(), we use *ppath directly as an input to ext4_ext_show_leaf(). Fix a spelling error by the way. Same problem in ext4_ext_handle_unwritten_extents(). Since 'path' is only used in ext4_ext_show_leaf(), remove 'path' and use *ppath directly. This issue is triggered only when EXT_DEBUG is defined and therefore does not affect functionality. Уязвимость компонента fs/ext4/extents.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: ensure the fw_info is not null before using it This resolves the dereference null return value warning reported by Coverity. Уязвимость функции init_overdrive_limits() в модуле drivers/gpu/drm/amd/pm/powerplay/hwmgr/processpptables.c ядра операционной системы Linux связана с разыменованием разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Validate hdwq pointers before dereferencing in reset/errata paths When the HBA is undergoing a reset or is handling an errata event, NULL ptr dereference crashes may occur in routines such as lpfc_sli_flush_io_rings(), lpfc_dev_loss_tmo_callbk(), or lpfc_abort_handler(). Add NULL ptr checks before dereferencing hdwq pointers that may have been freed due to operations colliding with a reset or errata event handler. Уязвимость функции lpfc_sli_flush_io_rings() ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Initialize get_bytes_per_element's default to 1 Variables, used as denominators and maybe not assigned to other values, should not be 0. bytes_per_element_y & bytes_per_element_c are initialized by get_bytes_per_element() which should never return 0. This fixes 10 DIVIDE_BY_ZERO issues reported by Coverity. Уязвимость функций calculate_ttu_cursor(), calculate_ttu_cursor() ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix index out of bounds in degamma hardware format translation Fixes index out of bounds issue in `cm_helper_translate_curve_to_degamma_hw_format` function. The issue could occur when the index 'i' exceeds the number of transfer function points (TRANSFER_FUNC_POINTS). The fix adds a check to ensure 'i' is within bounds before accessing the transfer function points. If 'i' is out of bounds the function returns false to indicate an error. Reported by smatch: drivers/gpu/drm/amd/amdgpu/../display/dc/dcn10/dcn10_cm_common.c:594 cm_helper_translate_curve_to_degamma_hw_format() error: buffer overflow 'output_tf->tf_pts.red' 1025 <= s32max drivers/gpu/drm/amd/amdgpu/../display/dc/dcn10/dcn10_cm_common.c:595 cm_helper_translate_curve_to_degamma_hw_format() error: buffer overflow 'output_tf->tf_pts.green' 1025 <= s32max drivers/gpu/drm/amd/amdgpu/../display/dc/dcn10/dcn10_cm_common.c:596 cm_helper_translate_curve_to_degamma_hw_format() error: buffer overflow 'output_tf->tf_pts.blue' 1025 <= s32max Уязвимость компонента drivers/gpu/drm/amd/display/dc/dcn10/dcn10_cm_common.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix index out of bounds in DCN30 degamma hardware format translation This commit addresses a potential index out of bounds issue in the `cm3_helper_translate_curve_to_degamma_hw_format` function in the DCN30 color management module. The issue could occur when the index 'i' exceeds the number of transfer function points (TRANSFER_FUNC_POINTS). The fix adds a check to ensure 'i' is within bounds before accessing the transfer function points. If 'i' is out of bounds, the function returns false to indicate an error. Reported by smatch: drivers/gpu/drm/amd/amdgpu/../display/dc/dcn30/dcn30_cm_common.c:338 cm3_helper_translate_curve_to_degamma_hw_format() error: buffer overflow 'output_tf->tf_pts.red' 1025 <= s32max drivers/gpu/drm/amd/amdgpu/../display/dc/dcn30/dcn30_cm_common.c:339 cm3_helper_translate_curve_to_degamma_hw_format() error: buffer overflow 'output_tf->tf_pts.green' 1025 <= s32max drivers/gpu/drm/amd/amdgpu/../display/dc/dcn30/dcn30_cm_common.c:340 cm3_helper_translate_curve_to_degamma_hw_format() error: buffer overflow 'output_tf->tf_pts.blue' 1025 <= s32max Уязвимость компонента drivers/gpu/drm/amd/display/dc/dcn30/dcn30_cm_common.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check stream before comparing them [WHAT & HOW] amdgpu_dm can pass a null stream to dc_is_stream_unchanged. It is necessary to check for null before dereferencing them. This fixes 1 FORWARD_NULL issue reported by Coverity. Уязвимость функции are_stream_backends_same() модуля drivers/gpu/drm/amd/display/dc/core/dc_resource.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check null-initialized variables [WHAT & HOW] drr_timing and subvp_pipe are initialized to null and they are not always assigned new values. It is necessary to check for null before dereferencing. This fixes 2 FORWARD_NULL issues reported by Coverity. Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Initialize denominators' default to 1 [WHAT & HOW] Variables used as denominators and maybe not assigned to other values, should not be 0. Change their default to 1 so they are never 0. This fixes 10 DIVIDE_BY_ZERO issues reported by Coverity. Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: Fix uninit-value access of new_ea in ea_buffer syzbot reports that lzo1x_1_do_compress is using uninit-value: ===================================================== BUG: KMSAN: uninit-value in lzo1x_1_do_compress+0x19f9/0x2510 lib/lzo/lzo1x_compress.c:178 ... Uninit was stored to memory at: ea_put fs/jfs/xattr.c:639 [inline] ... Local variable ea_buf created at: __jfs_setxattr+0x5d/0x1ae0 fs/jfs/xattr.c:662 __jfs_xattr_set+0xe6/0x1f0 fs/jfs/xattr.c:934 ===================================================== The reason is ea_buf->new_ea is not initialized properly. Fix this by using memset to empty its content at the beginning in ea_get(). Уязвимость компонента fs/jfs/xattr.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: check if leafidx greater than num leaves per dmap tree syzbot report a out of bounds in dbSplit, it because dmt_leafidx greater than num leaves per dmap tree, add a checking for dmt_leafidx in dbFindLeaf. Shaggy: Modified sanity check to apply to control pages as well as leaf pages. Уязвимость функций dbAdjTree() и dbFindLeaf() модуля fs/jfs/jfs_dmap.c ядра операционной системы Linux связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: Fix uaf in dbFreeBits [syzbot reported] ================================================================== BUG: KASAN: slab-use-after-free in __mutex_lock_common kernel/locking/mutex.c:587 [inline] BUG: KASAN: slab-use-after-free in __mutex_lock+0xfe/0xd70 kernel/locking/mutex.c:752 Read of size 8 at addr ffff8880229254b0 by task syz-executor357/5216 CPU: 0 UID: 0 PID: 5216 Comm: syz-executor357 Not tainted 6.11.0-rc3-syzkaller-00156-gd7a5aa4b3c00 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 06/27/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:93 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:119 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 __mutex_lock_common kernel/locking/mutex.c:587 [inline] __mutex_lock+0xfe/0xd70 kernel/locking/mutex.c:752 dbFreeBits+0x7ea/0xd90 fs/jfs/jfs_dmap.c:2390 dbFreeDmap fs/jfs/jfs_dmap.c:2089 [inline] dbFree+0x35b/0x680 fs/jfs/jfs_dmap.c:409 dbDiscardAG+0x8a9/0xa20 fs/jfs/jfs_dmap.c:1650 jfs_ioc_trim+0x433/0x670 fs/jfs/jfs_discard.c:100 jfs_ioctl+0x2d0/0x3e0 fs/jfs/ioctl.c:131 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 Freed by task 5218: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x40/0x50 mm/kasan/generic.c:579 poison_slab_object+0xe0/0x150 mm/kasan/common.c:240 __kasan_slab_free+0x37/0x60 mm/kasan/common.c:256 kasan_slab_free include/linux/kasan.h:184 [inline] slab_free_hook mm/slub.c:2252 [inline] slab_free mm/slub.c:4473 [inline] kfree+0x149/0x360 mm/slub.c:4594 dbUnmount+0x11d/0x190 fs/jfs/jfs_dmap.c:278 jfs_mount_rw+0x4ac/0x6a0 fs/jfs/jfs_mount.c:247 jfs_remount+0x3d1/0x6b0 fs/jfs/super.c:454 reconfigure_super+0x445/0x880 fs/super.c:1083 vfs_cmd_reconfigure fs/fsopen.c:263 [inline] vfs_fsconfig_locked fs/fsopen.c:292 [inline] __do_sys_fsconfig fs/fsopen.c:473 [inline] __se_sys_fsconfig+0xb6e/0xf80 fs/fsopen.c:345 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f [Analysis] There are two paths (dbUnmount and jfs_ioc_trim) that generate race condition when accessing bmap, which leads to the occurrence of uaf. Use the lock s_umount to synchronize them, in order to avoid uaf caused by race condition. Уязвимость функции jfs_ioc_trim() в модуле fs/jfs/jfs_discard.c файловой системы jfs ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add null check for 'afb' in amdgpu_dm_plane_handle_cursor_update (v2) This commit adds a null check for the 'afb' variable in the amdgpu_dm_plane_handle_cursor_update function. Previously, 'afb' was assumed to be null, but was used later in the code without a null check. This could potentially lead to a null pointer dereference. Changes since v1: - Moved the null check for 'afb' to the line where 'afb' is used. (Alex) Fixes the below: drivers/gpu/drm/amd/amdgpu/../display/amdgpu_dm/amdgpu_dm_plane.c:1298 amdgpu_dm_plane_handle_cursor_update() error: we previously assumed 'afb' could be null (see line 1252) Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check null pointers before using dc->clk_mgr [WHY & HOW] dc->clk_mgr is null checked previously in the same function, indicating it might be null. Passing "dc" to "dc->hwss.apply_idle_power_optimizations", which dereferences null "dc->clk_mgr". (The function pointer resolves to "dcn35_apply_idle_power_optimizations".) This fixes 1 FORWARD_NULL issue reported by Coverity. Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add NULL check for function pointer in dcn32_set_output_transfer_func This commit adds a null check for the set_output_gamma function pointer in the dcn32_set_output_transfer_func function. Previously, set_output_gamma was being checked for null, but then it was being dereferenced without any null check. This could lead to a null pointer dereference if set_output_gamma is null. To fix this, we now ensure that set_output_gamma is not null before dereferencing it. We do this by adding a null check for set_output_gamma before the call to set_output_gamma. Уязвимость компонентов drm/amd/display ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Handle null 'stream_status' in 'planes_changed_for_existing_stream' This commit adds a null check for 'stream_status' in the function 'planes_changed_for_existing_stream'. Previously, the code assumed 'stream_status' could be null, but did not handle the case where it was actually null. This could lead to a null pointer dereference. Reported by smatch: drivers/gpu/drm/amd/amdgpu/../display/dc/core/dc_resource.c:3784 planes_changed_for_existing_stream() error: we previously assumed 'stream_status' could be null (see line 3774) Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add null check for top_pipe_to_program in commit_planes_for_stream This commit addresses a null pointer dereference issue in the `commit_planes_for_stream` function at line 4140. The issue could occur when `top_pipe_to_program` is null. The fix adds a check to ensure `top_pipe_to_program` is not null before accessing its stream_res. This prevents a null pointer dereference. Reported by smatch: drivers/gpu/drm/amd/amdgpu/../display/dc/core/dc.c:4140 commit_planes_for_stream() error: we previously assumed 'top_pipe_to_program' could be null (see line 3906) Уязвимость функции commit_planes_for_stream() модуля drivers/gpu/drm/amd/display/dc/core/dc.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: pxafb: Fix possible use after free in pxafb_task() In the pxafb_probe function, it calls the pxafb_init_fbinfo function, after which &fbi->task is associated with pxafb_task. Moreover, within this pxafb_init_fbinfo function, the pxafb_blank function within the &pxafb_ops struct is capable of scheduling work. If we remove the module which will call pxafb_remove to make cleanup, it will call unregister_framebuffer function which can call do_unregister_framebuffer to free fbi->fb through put_fb_info(fb_info), while the work mentioned above will be used. The sequence of operations that may lead to a UAF bug is as follows: CPU0 CPU1 | pxafb_task pxafb_remove | unregister_framebuffer(info) | do_unregister_framebuffer(fb_info) | put_fb_info(fb_info) | // free fbi->fb | set_ctrlr_state(fbi, state) | __pxafb_lcd_power(fbi, 0) | fbi->lcd_power(on, &fbi->fb.var) | //use fbi->fb Fix it by ensuring that the work is canceled before proceeding with the cleanup in pxafb_remove. Note that only root user can remove the driver at runtime. Уязвимость функции pxafb_remove() в модуле drivers/video/fbdev/pxafb.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: efifb: Register sysfs groups through driver core The driver core can register and cleanup sysfs groups already. Make use of that functionality to simplify the error handling and cleanup. Also avoid a UAF race during unregistering where the sysctl attributes were usable after the info struct was freed. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rcu-tasks: Fix access non-existent percpu rtpcp variable in rcu_tasks_need_gpcb() For kernels built with CONFIG_FORCE_NR_CPUS=y, the nr_cpu_ids is defined as NR_CPUS instead of the number of possible cpus, this will cause the following system panic: smpboot: Allowing 4 CPUs, 0 hotplug CPUs ... setup_percpu: NR_CPUS:512 nr_cpumask_bits:512 nr_cpu_ids:512 nr_node_ids:1 ... BUG: unable to handle page fault for address: ffffffff9911c8c8 Oops: 0000 [#1] PREEMPT SMP PTI CPU: 0 PID: 15 Comm: rcu_tasks_trace Tainted: G W 6.6.21 #1 5dc7acf91a5e8e9ac9dcfc35bee0245691283ea6 RIP: 0010:rcu_tasks_need_gpcb+0x25d/0x2c0 RSP: 0018:ffffa371c00a3e60 EFLAGS: 00010082 CR2: ffffffff9911c8c8 CR3: 000000040fa20005 CR4: 00000000001706f0 Call Trace: <TASK> ? __die+0x23/0x80 ? page_fault_oops+0xa4/0x180 ? exc_page_fault+0x152/0x180 ? asm_exc_page_fault+0x26/0x40 ? rcu_tasks_need_gpcb+0x25d/0x2c0 ? __pfx_rcu_tasks_kthread+0x40/0x40 rcu_tasks_one_gp+0x69/0x180 rcu_tasks_kthread+0x94/0xc0 kthread+0xe8/0x140 ? __pfx_kthread+0x40/0x40 ret_from_fork+0x34/0x80 ? __pfx_kthread+0x40/0x40 ret_from_fork_asm+0x1b/0x80 </TASK> Considering that there may be holes in the CPU numbers, use the maximum possible cpu number, instead of nr_cpu_ids, for configuring enqueue and dequeue limits. [ neeraj.upadhyay: Fix htmldocs build error reported by Stephen Rothwell ] Уязвимость функции void() модуля kernel/rcu/tasks.h подсистемы синхронизации в многопоточных системах ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/ioapic: Handle allocation failures gracefully Breno observed panics when using failslab under certain conditions during runtime: can not alloc irq_pin_list (-1,0,20) Kernel panic - not syncing: IO-APIC: failed to add irq-pin. Can not proceed panic+0x4e9/0x590 mp_irqdomain_alloc+0x9ab/0xa80 irq_domain_alloc_irqs_locked+0x25d/0x8d0 __irq_domain_alloc_irqs+0x80/0x110 mp_map_pin_to_irq+0x645/0x890 acpi_register_gsi_ioapic+0xe6/0x150 hpet_open+0x313/0x480 That's a pointless panic which is a leftover of the historic IO/APIC code which panic'ed during early boot when the interrupt allocation failed. The only place which might justify panic is the PIT/HPET timer_check() code which tries to figure out whether the timer interrupt is delivered through the IO/APIC. But that code does not require to handle interrupt allocation failures. If the interrupt cannot be allocated then timer delivery fails and it either panics due to that or falls back to legacy mode. Cure this by removing the panic wrapper around __add_pin_to_irq_node() and making mp_irqdomain_alloc() aware of the failure condition and handle it as any other failure in this function gracefully. Уязвимость модуля arch/x86/kernel/apic/io_apic.c ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: avoid NULL pointer dereference iwl_mvm_tx_skb_sta() and iwl_mvm_tx_mpdu() verify that the mvmvsta pointer is not NULL. It retrieves this pointer using iwl_mvm_sta_from_mac80211, which is dereferencing the ieee80211_sta pointer. If sta is NULL, iwl_mvm_sta_from_mac80211 will dereference a NULL pointer. Fix this by checking the sta pointer before retrieving the mvmsta from it. If sta is not NULL, then mvmsta isn't either. Уязвимость функций iwl_mvm_tx_skb_sta(), iwl_mvm_tx_mpdu() ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: fix array out-of-bound access in SoC stats Currently, the ath11k_soc_dp_stats::hal_reo_error array is defined with a maximum size of DP_REO_DST_RING_MAX. However, the ath11k_dp_process_rx() function access ath11k_soc_dp_stats::hal_reo_error using the REO destination SRNG ring ID, which is incorrect. SRNG ring ID differ from normal ring ID, and this usage leads to out-of-bounds array access. To fix this issue, modify ath11k_dp_process_rx() to use the normal ring ID directly instead of the SRNG ring ID to avoid out-of-bounds array access. Tested-on: QCN9074 hw1.0 PCI WLAN.HK.2.7.0.1-01744-QCAHKSWPL_SILICONZ-1 Уязвимость компонента drivers/net/wireless/ath/ath11k/dp_rx.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: blk_iocost: fix more out of bound shifts Recently running UBSAN caught few out of bound shifts in the ioc_forgive_debts() function: UBSAN: shift-out-of-bounds in block/blk-iocost.c:2142:38 shift exponent 80 is too large for 64-bit type 'u64' (aka 'unsigned long long') ... UBSAN: shift-out-of-bounds in block/blk-iocost.c:2144:30 shift exponent 80 is too large for 64-bit type 'u64' (aka 'unsigned long long') ... Call Trace: <IRQ> dump_stack_lvl+0xca/0x130 __ubsan_handle_shift_out_of_bounds+0x22c/0x280 ? __lock_acquire+0x6441/0x7c10 ioc_timer_fn+0x6cec/0x7750 ? blk_iocost_init+0x720/0x720 ? call_timer_fn+0x5d/0x470 call_timer_fn+0xfa/0x470 ? blk_iocost_init+0x720/0x720 __run_timer_base+0x519/0x700 ... Actual impact of this issue was not identified but I propose to fix the undefined behaviour. The proposed fix to prevent those out of bound shifts consist of precalculating exponent before using it the shift operations by taking min value from the actual exponent and maximum possible number of bits. Уязвимость ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/inode: Prevent dump_mapping() accessing invalid dentry.d_name.name It's observed that a crash occurs during hot-remove a memory device, in which user is accessing the hugetlb. See calltrace as following: ------------[ cut here ]------------ WARNING: CPU: 1 PID: 14045 at arch/x86/mm/fault.c:1278 do_user_addr_fault+0x2a0/0x790 Modules linked in: kmem device_dax cxl_mem cxl_pmem cxl_port cxl_pci dax_hmem dax_pmem nd_pmem cxl_acpi nd_btt cxl_core crc32c_intel nvme virtiofs fuse nvme_core nfit libnvdimm dm_multipath scsi_dh_rdac scsi_dh_emc s mirror dm_region_hash dm_log dm_mod CPU: 1 PID: 14045 Comm: daxctl Not tainted 6.10.0-rc2-lizhijian+ #492 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 RIP: 0010:do_user_addr_fault+0x2a0/0x790 Code: 48 8b 00 a8 04 0f 84 b5 fe ff ff e9 1c ff ff ff 4c 89 e9 4c 89 e2 be 01 00 00 00 bf 02 00 00 00 e8 b5 ef 24 00 e9 42 fe ff ff <0f> 0b 48 83 c4 08 4c 89 ea 48 89 ee 4c 89 e7 5b 5d 41 5c 41 5d 41 RSP: 0000:ffffc90000a575f0 EFLAGS: 00010046 RAX: ffff88800c303600 RBX: 0000000000000000 RCX: 0000000000000000 RDX: 0000000000001000 RSI: ffffffff82504162 RDI: ffffffff824b2c36 RBP: 0000000000000000 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000000 R12: ffffc90000a57658 R13: 0000000000001000 R14: ffff88800bc2e040 R15: 0000000000000000 FS: 00007f51cb57d880(0000) GS:ffff88807fd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000001000 CR3: 00000000072e2004 CR4: 00000000001706f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? __warn+0x8d/0x190 ? do_user_addr_fault+0x2a0/0x790 ? report_bug+0x1c3/0x1d0 ? handle_bug+0x3c/0x70 ? exc_invalid_op+0x14/0x70 ? asm_exc_invalid_op+0x16/0x20 ? do_user_addr_fault+0x2a0/0x790 ? exc_page_fault+0x31/0x200 exc_page_fault+0x68/0x200 <...snip...> BUG: unable to handle page fault for address: 0000000000001000 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 800000000ad92067 P4D 800000000ad92067 PUD 7677067 PMD 0 Oops: Oops: 0000 [#1] PREEMPT SMP PTI ---[ end trace 0000000000000000 ]--- BUG: unable to handle page fault for address: 0000000000001000 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 800000000ad92067 P4D 800000000ad92067 PUD 7677067 PMD 0 Oops: Oops: 0000 [#1] PREEMPT SMP PTI CPU: 1 PID: 14045 Comm: daxctl Kdump: loaded Tainted: G W 6.10.0-rc2-lizhijian+ #492 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 RIP: 0010:dentry_name+0x1f4/0x440 <...snip...> ? dentry_name+0x2fa/0x440 vsnprintf+0x1f3/0x4f0 vprintk_store+0x23a/0x540 vprintk_emit+0x6d/0x330 _printk+0x58/0x80 dump_mapping+0x10b/0x1a0 ? __pfx_free_object_rcu+0x10/0x10 __dump_page+0x26b/0x3e0 ? vprintk_emit+0xe0/0x330 ? _printk+0x58/0x80 ? dump_page+0x17/0x50 dump_page+0x17/0x50 do_migrate_range+0x2f7/0x7f0 ? do_migrate_range+0x42/0x7f0 ? offline_pages+0x2f4/0x8c0 offline_pages+0x60a/0x8c0 memory_subsys_offline+0x9f/0x1c0 ? lockdep_hardirqs_on+0x77/0x100 ? _raw_spin_unlock_irqrestore+0x38/0x60 device_offline+0xe3/0x110 state_store+0x6e/0xc0 kernfs_fop_write_iter+0x143/0x200 vfs_write+0x39f/0x560 ksys_write+0x65/0xf0 do_syscall_64+0x62/0x130 Previously, some sanity check have been done in dump_mapping() before the print facility parsing '%pd' though, it's still possible to run into an invalid dentry.d_name.name. Since dump_mapping() only needs to dump the filename only, retrieve it by itself in a safer way to prevent an unnecessary crash. Note that either retrieving the filename with '%pd' or strncpy_from_kernel_nofault(), the filename could be unreliable. Уязвимость компонента fs/inode ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPI: PAD: fix crash in exit_round_robin() The kernel occasionally crashes in cpumask_clear_cpu(), which is called within exit_round_robin(), because when executing clear_bit(nr, addr) with nr set to 0xffffffff, the address calculation may cause misalignment within the memory, leading to access to an invalid memory address. ---------- BUG: unable to handle kernel paging request at ffffffffe0740618 ... CPU: 3 PID: 2919323 Comm: acpi_pad/14 Kdump: loaded Tainted: G OE X --------- - - 4.18.0-425.19.2.el8_7.x86_64 #1 ... RIP: 0010:power_saving_thread+0x313/0x411 [acpi_pad] Code: 89 cd 48 89 d3 eb d1 48 c7 c7 55 70 72 c0 e8 64 86 b0 e4 c6 05 0d a1 02 00 01 e9 bc fd ff ff 45 89 e4 42 8b 04 a5 20 82 72 c0 <f0> 48 0f b3 05 f4 9c 01 00 42 c7 04 a5 20 82 72 c0 ff ff ff ff 31 RSP: 0018:ff72a5d51fa77ec8 EFLAGS: 00010202 RAX: 00000000ffffffff RBX: ff462981e5d8cb80 RCX: 0000000000000000 RDX: 0000000000000000 RSI: 0000000000000246 RDI: 0000000000000246 RBP: ff46297556959d80 R08: 0000000000000382 R09: ff46297c8d0f38d8 R10: 0000000000000000 R11: 0000000000000001 R12: 000000000000000e R13: 0000000000000000 R14: ffffffffffffffff R15: 000000000000000e FS: 0000000000000000(0000) GS:ff46297a800c0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffffffe0740618 CR3: 0000007e20410004 CR4: 0000000000771ee0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: ? acpi_pad_add+0x120/0x120 [acpi_pad] kthread+0x10b/0x130 ? set_kthread_struct+0x50/0x50 ret_from_fork+0x1f/0x40 ... CR2: ffffffffe0740618 crash> dis -lr ffffffffc0726923 ... /usr/src/debug/kernel-4.18.0-425.19.2.el8_7/linux-4.18.0-425.19.2.el8_7.x86_64/./include/linux/cpumask.h: 114 0xffffffffc0726918 <power_saving_thread+776>: mov %r12d,%r12d /usr/src/debug/kernel-4.18.0-425.19.2.el8_7/linux-4.18.0-425.19.2.el8_7.x86_64/./include/linux/cpumask.h: 325 0xffffffffc072691b <power_saving_thread+779>: mov -0x3f8d7de0(,%r12,4),%eax /usr/src/debug/kernel-4.18.0-425.19.2.el8_7/linux-4.18.0-425.19.2.el8_7.x86_64/./arch/x86/include/asm/bitops.h: 80 0xffffffffc0726923 <power_saving_thread+787>: lock btr %rax,0x19cf4(%rip) # 0xffffffffc0740620 <pad_busy_cpus_bits> crash> px tsk_in_cpu[14] $66 = 0xffffffff crash> px 0xffffffffc072692c+0x19cf4 $99 = 0xffffffffc0740620 crash> sym 0xffffffffc0740620 ffffffffc0740620 (b) pad_busy_cpus_bits [acpi_pad] crash> px pad_busy_cpus_bits[0] $42 = 0xfffc0 ---------- To fix this, ensure that tsk_in_cpu[tsk_index] != -1 before calling cpumask_clear_cpu() in exit_round_robin(), just as it is done in round_robin_cpu(). [ rjw: Subject edit, avoid updates to the same value ] Уязвимость компонентов ACPI/PAD ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/xen-netback: prevent UAF in xenvif_flush_hash() During the list_for_each_entry_rcu iteration call of xenvif_flush_hash, kfree_rcu does not exist inside the rcu read critical section, so if kfree_rcu is called when the rcu grace period ends during the iteration, UAF occurs when accessing head->next after the entry becomes free. Therefore, to solve this, you need to change it to list_for_each_entry_safe. Уязвимость функции xenvif_flush_hash() в модуле drivers/net/xen-netback/hash.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: Set correct chandef when starting CAC When starting CAC in a mode other than AP mode, it return a "WARNING: CPU: 0 PID: 63 at cfg80211_chandef_dfs_usable+0x20/0xaf [cfg80211]" caused by the chandef.chan being null at the end of CAC. Solution: Ensure the channel definition is set for the different modes when starting CAC to avoid getting a NULL 'chan' at the end of CAC. Call Trace: ? show_regs.part.0+0x14/0x16 ? __warn+0x67/0xc0 ? cfg80211_chandef_dfs_usable+0x20/0xaf [cfg80211] ? report_bug+0xa7/0x130 ? exc_overflow+0x30/0x30 ? handle_bug+0x27/0x50 ? exc_invalid_op+0x18/0x60 ? handle_exception+0xf6/0xf6 ? exc_overflow+0x30/0x30 ? cfg80211_chandef_dfs_usable+0x20/0xaf [cfg80211] ? exc_overflow+0x30/0x30 ? cfg80211_chandef_dfs_usable+0x20/0xaf [cfg80211] ? regulatory_propagate_dfs_state.cold+0x1b/0x4c [cfg80211] ? cfg80211_propagate_cac_done_wk+0x1a/0x30 [cfg80211] ? process_one_work+0x165/0x280 ? worker_thread+0x120/0x3f0 ? kthread+0xc2/0xf0 ? process_one_work+0x280/0x280 ? kthread_complete_and_exit+0x20/0x20 ? ret_from_fork+0x19/0x24 [shorten subject, remove OCB, reorder cases to match previous list] Уязвимость ядра операционной системы Linux связана с ошибками разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ath9k_htc: Use __skb_set_length() for resetting urb before resubmit Syzbot points out that skb_trim() has a sanity check on the existing length of the skb, which can be uninitialised in some error paths. The intent here is clearly just to reset the length to zero before resubmitting, so switch to calling __skb_set_length(skb, 0) directly. In addition, __skb_set_length() already contains a call to skb_reset_tail_pointer(), so remove the redundant call. The syzbot report came from ath9k_hif_usb_reg_in_cb(), but there's a similar usage of skb_trim() in ath9k_hif_usb_rx_cb(), change both while we're at it. Уязвимость компонента ath9k_htc ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw89: avoid to add interface to list twice when SER If SER L2 occurs during the WoWLAN resume flow, the add interface flow is triggered by ieee80211_reconfig(). However, due to rtw89_wow_resume() return failure, it will cause the add interface flow to be executed again, resulting in a double add list and causing a kernel panic. Therefore, we have added a check to prevent double adding of the list. list_add double add: new=ffff99d6992e2010, prev=ffff99d6992e2010, next=ffff99d695302628. ------------[ cut here ]------------ kernel BUG at lib/list_debug.c:37! invalid opcode: 0000 [#1] PREEMPT SMP NOPTI CPU: 0 PID: 9 Comm: kworker/0:1 Tainted: G W O 6.6.30-02659-gc18865c4dfbd #1 770df2933251a0e3c888ba69d1053a817a6376a7 Hardware name: HP Grunt/Grunt, BIOS Google_Grunt.11031.169.0 06/24/2021 Workqueue: events_freezable ieee80211_restart_work [mac80211] RIP: 0010:__list_add_valid_or_report+0x5e/0xb0 Code: c7 74 18 48 39 ce 74 13 b0 01 59 5a 5e 5f 41 58 41 59 41 5a 5d e9 e2 d6 03 00 cc 48 c7 c7 8d 4f 17 83 48 89 c2 e8 02 c0 00 00 <0f> 0b 48 c7 c7 aa 8c 1c 83 e8 f4 bf 00 00 0f 0b 48 c7 c7 c8 bc 12 RSP: 0018:ffffa91b8007bc50 EFLAGS: 00010246 RAX: 0000000000000058 RBX: ffff99d6992e0900 RCX: a014d76c70ef3900 RDX: ffffa91b8007bae8 RSI: 00000000ffffdfff RDI: 0000000000000001 RBP: ffffa91b8007bc88 R08: 0000000000000000 R09: ffffa91b8007bae0 R10: 00000000ffffdfff R11: ffffffff83a79800 R12: ffff99d695302060 R13: ffff99d695300900 R14: ffff99d6992e1be0 R15: ffff99d6992e2010 FS: 0000000000000000(0000) GS:ffff99d6aac00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000078fbdba43480 CR3: 000000010e464000 CR4: 00000000001506f0 Call Trace: <TASK> ? __die_body+0x1f/0x70 ? die+0x3d/0x60 ? do_trap+0xa4/0x110 ? __list_add_valid_or_report+0x5e/0xb0 ? do_error_trap+0x6d/0x90 ? __list_add_valid_or_report+0x5e/0xb0 ? handle_invalid_op+0x30/0x40 ? __list_add_valid_or_report+0x5e/0xb0 ? exc_invalid_op+0x3c/0x50 ? asm_exc_invalid_op+0x16/0x20 ? __list_add_valid_or_report+0x5e/0xb0 rtw89_ops_add_interface+0x309/0x310 [rtw89_core 7c32b1ee6854761c0321027c8a58c5160e41f48f] drv_add_interface+0x5c/0x130 [mac80211 83e989e6e616bd5b4b8a2b0a9f9352a2c385a3bc] ieee80211_reconfig+0x241/0x13d0 [mac80211 83e989e6e616bd5b4b8a2b0a9f9352a2c385a3bc] ? finish_wait+0x3e/0x90 ? synchronize_rcu_expedited+0x174/0x260 ? sync_rcu_exp_done_unlocked+0x50/0x50 ? wake_bit_function+0x40/0x40 ieee80211_restart_work+0xf0/0x140 [mac80211 83e989e6e616bd5b4b8a2b0a9f9352a2c385a3bc] process_scheduled_works+0x1e5/0x480 worker_thread+0xea/0x1e0 kthread+0xdb/0x110 ? move_linked_works+0x90/0x90 ? kthread_associate_blkcg+0xa0/0xa0 ret_from_fork+0x3b/0x50 ? kthread_associate_blkcg+0xa0/0xa0 ret_from_fork_asm+0x11/0x20 </TASK> Modules linked in: dm_integrity async_xor xor async_tx lz4 lz4_compress zstd zstd_compress zram zsmalloc rfcomm cmac uinput algif_hash algif_skcipher af_alg btusb btrtl iio_trig_hrtimer industrialio_sw_trigger btmtk industrialio_configfs btbcm btintel uvcvideo videobuf2_vmalloc iio_trig_sysfs videobuf2_memops videobuf2_v4l2 videobuf2_common uvc snd_hda_codec_hdmi veth snd_hda_intel snd_intel_dspcfg acpi_als snd_hda_codec industrialio_triggered_buffer kfifo_buf snd_hwdep industrialio i2c_piix4 snd_hda_core designware_i2s ip6table_nat snd_soc_max98357a xt_MASQUERADE xt_cgroup snd_soc_acp_rt5682_mach fuse rtw89_8922ae(O) rtw89_8922a(O) rtw89_pci(O) rtw89_core(O) 8021q mac80211(O) bluetooth ecdh_generic ecc cfg80211 r8152 mii joydev gsmi: Log Shutdown Reason 0x03 ---[ end trace 0000000000000000 ]--- Уязвимость ядра операционной системы Linux связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: set sk_state back to CLOSED if autobind fails in sctp_listen_start In sctp_listen_start() invoked by sctp_inet_listen(), it should set the sk_state back to CLOSED if sctp_autobind() fails due to whatever reason. Otherwise, next time when calling sctp_inet_listen(), if sctp_sk(sk)->reuse is already set via setsockopt(SCTP_REUSE_PORT), sctp_sk(sk)->bind_hash will be dereferenced as sk_state is LISTENING, which causes a crash as bind_hash is NULL. KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] RIP: 0010:sctp_inet_listen+0x7f0/0xa20 net/sctp/socket.c:8617 Call Trace: <TASK> __sys_listen_socket net/socket.c:1883 [inline] __sys_listen+0x1b7/0x230 net/socket.c:1894 __do_sys_listen net/socket.c:1902 [inline] Уязвимость компонента net/socket.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ppp: do not assume bh is held in ppp_channel_bridge_input() Networking receive path is usually handled from BH handler. However, some protocols need to acquire the socket lock, and packets might be stored in the socket backlog is the socket was owned by a user process. In this case, release_sock(), __release_sock(), and sk_backlog_rcv() might call the sk->sk_backlog_rcv() handler in process context. sybot caught ppp was not considering this case in ppp_channel_bridge_input() : WARNING: inconsistent lock state 6.11.0-rc7-syzkaller-g5f5673607153 #0 Not tainted -------------------------------- inconsistent {SOFTIRQ-ON-W} -> {IN-SOFTIRQ-W} usage. ksoftirqd/1/24 [HC0[0]:SC1[1]:HE1:SE0] takes: ffff0000db7f11e0 (&pch->downl){+.?.}-{2:2}, at: spin_lock include/linux/spinlock.h:351 [inline] ffff0000db7f11e0 (&pch->downl){+.?.}-{2:2}, at: ppp_channel_bridge_input drivers/net/ppp/ppp_generic.c:2272 [inline] ffff0000db7f11e0 (&pch->downl){+.?.}-{2:2}, at: ppp_input+0x16c/0x854 drivers/net/ppp/ppp_generic.c:2304 {SOFTIRQ-ON-W} state was registered at: lock_acquire+0x240/0x728 kernel/locking/lockdep.c:5759 __raw_spin_lock include/linux/spinlock_api_smp.h:133 [inline] _raw_spin_lock+0x48/0x60 kernel/locking/spinlock.c:154 spin_lock include/linux/spinlock.h:351 [inline] ppp_channel_bridge_input drivers/net/ppp/ppp_generic.c:2272 [inline] ppp_input+0x16c/0x854 drivers/net/ppp/ppp_generic.c:2304 pppoe_rcv_core+0xfc/0x314 drivers/net/ppp/pppoe.c:379 sk_backlog_rcv include/net/sock.h:1111 [inline] __release_sock+0x1a8/0x3d8 net/core/sock.c:3004 release_sock+0x68/0x1b8 net/core/sock.c:3558 pppoe_sendmsg+0xc8/0x5d8 drivers/net/ppp/pppoe.c:903 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg net/socket.c:745 [inline] __sys_sendto+0x374/0x4f4 net/socket.c:2204 __do_sys_sendto net/socket.c:2216 [inline] __se_sys_sendto net/socket.c:2212 [inline] __arm64_sys_sendto+0xd8/0xf8 net/socket.c:2212 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x98/0x2b8 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x130/0x23c arch/arm64/kernel/syscall.c:132 do_el0_svc+0x48/0x58 arch/arm64/kernel/syscall.c:151 el0_svc+0x54/0x168 arch/arm64/kernel/entry-common.c:712 el0t_64_sync_handler+0x84/0xfc arch/arm64/kernel/entry-common.c:730 el0t_64_sync+0x190/0x194 arch/arm64/kernel/entry.S:598 irq event stamp: 282914 hardirqs last enabled at (282914): [<ffff80008b42e30c>] __raw_spin_unlock_irqrestore include/linux/spinlock_api_smp.h:151 [inline] hardirqs last enabled at (282914): [<ffff80008b42e30c>] _raw_spin_unlock_irqrestore+0x38/0x98 kernel/locking/spinlock.c:194 hardirqs last disabled at (282913): [<ffff80008b42e13c>] __raw_spin_lock_irqsave include/linux/spinlock_api_smp.h:108 [inline] hardirqs last disabled at (282913): [<ffff80008b42e13c>] _raw_spin_lock_irqsave+0x2c/0x7c kernel/locking/spinlock.c:162 softirqs last enabled at (282904): [<ffff8000801f8e88>] softirq_handle_end kernel/softirq.c:400 [inline] softirqs last enabled at (282904): [<ffff8000801f8e88>] handle_softirqs+0xa3c/0xbfc kernel/softirq.c:582 softirqs last disabled at (282909): [<ffff8000801fbdf8>] run_ksoftirqd+0x70/0x158 kernel/softirq.c:928 other info that might help us debug this: Possible unsafe locking scenario: CPU0 ---- lock(&pch->downl); <Interrupt> lock(&pch->downl); *** DEADLOCK *** 1 lock held by ksoftirqd/1/24: #0: ffff80008f74dfa0 (rcu_read_lock){....}-{1:2}, at: rcu_lock_acquire+0x10/0x4c include/linux/rcupdate.h:325 stack backtrace: CPU: 1 UID: 0 PID: 24 Comm: ksoftirqd/1 Not tainted 6.11.0-rc7-syzkaller-g5f5673607153 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/06/2024 Call trace: dump_backtrace+0x1b8/0x1e4 arch/arm64/kernel/stacktrace.c:319 show_stack+0x2c/0x3c arch/arm64/kernel/stacktrace.c:326 __dump_sta ---truncated--- Уязвимость функции ppp_channel_bridge_input() компонента ppp ядра операционной системы Linux связана с недостаточной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: add more sanity checks to qdisc_pkt_len_init() One path takes care of SKB_GSO_DODGY, assuming skb->len is bigger than hdr_len. virtio_net_hdr_to_skb() does not fully dissect TCP headers, it only make sure it is at least 20 bytes. It is possible for an user to provide a malicious 'GSO' packet, total length of 80 bytes. - 20 bytes of IPv4 header - 60 bytes TCP header - a small gso_size like 8 virtio_net_hdr_to_skb() would declare this packet as a normal GSO packet, because it would see 40 bytes of payload, bigger than gso_size. We need to make detect this case to not underflow qdisc_skb_cb(skb)->pkt_len. Уязвимость функции qdisc_pkt_len_init() ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью вредоносного GSO пакета [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: avoid potential underflow in qdisc_pkt_len_init() with UFO After commit 7c6d2ecbda83 ("net: be more gentle about silly gso requests coming from user") virtio_net_hdr_to_skb() had sanity check to detect malicious attempts from user space to cook a bad GSO packet. Then commit cf9acc90c80ec ("net: virtio_net_hdr_to_skb: count transport header in UFO") while fixing one issue, allowed user space to cook a GSO packet with the following characteristic : IPv4 SKB_GSO_UDP, gso_size=3, skb->len = 28. When this packet arrives in qdisc_pkt_len_init(), we end up with hdr_len = 28 (IPv4 header + UDP header), matching skb->len Then the following sets gso_segs to 0 : gso_segs = DIV_ROUND_UP(skb->len - hdr_len, shinfo->gso_size); Then later we set qdisc_skb_cb(skb)->pkt_len to back to zero :/ qdisc_skb_cb(skb)->pkt_len += (gso_segs - 1) * hdr_len; This leads to the following crash in fq_codel [1] qdisc_pkt_len_init() is best effort, we only want an estimation of the bytes sent on the wire, not crashing the kernel. This patch is fixing this particular issue, a following one adds more sanity checks for another potential bug. [1] [ 70.724101] BUG: kernel NULL pointer dereference, address: 0000000000000000 [ 70.724561] #PF: supervisor read access in kernel mode [ 70.724561] #PF: error_code(0x0000) - not-present page [ 70.724561] PGD 10ac61067 P4D 10ac61067 PUD 107ee2067 PMD 0 [ 70.724561] Oops: Oops: 0000 [#1] SMP NOPTI [ 70.724561] CPU: 11 UID: 0 PID: 2163 Comm: b358537762 Not tainted 6.11.0-virtme #991 [ 70.724561] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 70.724561] RIP: 0010:fq_codel_enqueue (net/sched/sch_fq_codel.c:120 net/sched/sch_fq_codel.c:168 net/sched/sch_fq_codel.c:230) sch_fq_codel [ 70.724561] Code: 24 08 49 c1 e1 06 44 89 7c 24 18 45 31 ed 45 31 c0 31 ff 89 44 24 14 4c 03 8b 90 01 00 00 eb 04 39 ca 73 37 4d 8b 39 83 c7 01 <49> 8b 17 49 89 11 41 8b 57 28 45 8b 5f 34 49 c7 07 00 00 00 00 49 All code ======== 0: 24 08 and $0x8,%al 2: 49 c1 e1 06 shl $0x6,%r9 6: 44 89 7c 24 18 mov %r15d,0x18(%rsp) b: 45 31 ed xor %r13d,%r13d e: 45 31 c0 xor %r8d,%r8d 11: 31 ff xor %edi,%edi 13: 89 44 24 14 mov %eax,0x14(%rsp) 17: 4c 03 8b 90 01 00 00 add 0x190(%rbx),%r9 1e: eb 04 jmp 0x24 20: 39 ca cmp %ecx,%edx 22: 73 37 jae 0x5b 24: 4d 8b 39 mov (%r9),%r15 27: 83 c7 01 add $0x1,%edi 2a:* 49 8b 17 mov (%r15),%rdx <-- trapping instruction 2d: 49 89 11 mov %rdx,(%r9) 30: 41 8b 57 28 mov 0x28(%r15),%edx 34: 45 8b 5f 34 mov 0x34(%r15),%r11d 38: 49 c7 07 00 00 00 00 movq $0x0,(%r15) 3f: 49 rex.WB Code starting with the faulting instruction =========================================== 0: 49 8b 17 mov (%r15),%rdx 3: 49 89 11 mov %rdx,(%r9) 6: 41 8b 57 28 mov 0x28(%r15),%edx a: 45 8b 5f 34 mov 0x34(%r15),%r11d e: 49 c7 07 00 00 00 00 movq $0x0,(%r15) 15: 49 rex.WB [ 70.724561] RSP: 0018:ffff95ae85e6fb90 EFLAGS: 00000202 [ 70.724561] RAX: 0000000002000000 RBX: ffff95ae841de000 RCX: 0000000000000000 [ 70.724561] RDX: 0000000000000000 RSI: 0000000000000001 RDI: 0000000000000001 [ 70.724561] RBP: ffff95ae85e6fbf8 R08: 0000000000000000 R09: ffff95b710a30000 [ 70.724561] R10: 0000000000000000 R11: bdf289445ce31881 R12: ffff95ae85e6fc58 [ 70.724561] R13: 0000000000000000 R14: 0000000000000040 R15: 0000000000000000 [ 70.724561] FS: 000000002c5c1380(0000) GS:ffff95bd7fcc0000(0000) knlGS:0000000000000000 [ 70.724561] CS: 0010 DS: 0000 ES: 0000 C ---truncated--- Уязвимость функции qdisc_pkt_len_init() модуля net/core/dev.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: L2CAP: Fix uaf in l2cap_connect [Syzbot reported] BUG: KASAN: slab-use-after-free in l2cap_connect.constprop.0+0x10d8/0x1270 net/bluetooth/l2cap_core.c:3949 Read of size 8 at addr ffff8880241e9800 by task kworker/u9:0/54 CPU: 0 UID: 0 PID: 54 Comm: kworker/u9:0 Not tainted 6.11.0-rc6-syzkaller-00268-g788220eee30d #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/06/2024 Workqueue: hci2 hci_rx_work Call Trace: <TASK> __dump_stack lib/dump_stack.c:93 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:119 print_address_description mm/kasan/report.c:377 [inline] print_report+0xc3/0x620 mm/kasan/report.c:488 kasan_report+0xd9/0x110 mm/kasan/report.c:601 l2cap_connect.constprop.0+0x10d8/0x1270 net/bluetooth/l2cap_core.c:3949 l2cap_connect_req net/bluetooth/l2cap_core.c:4080 [inline] l2cap_bredr_sig_cmd net/bluetooth/l2cap_core.c:4772 [inline] l2cap_sig_channel net/bluetooth/l2cap_core.c:5543 [inline] l2cap_recv_frame+0xf0b/0x8eb0 net/bluetooth/l2cap_core.c:6825 l2cap_recv_acldata+0x9b4/0xb70 net/bluetooth/l2cap_core.c:7514 hci_acldata_packet net/bluetooth/hci_core.c:3791 [inline] hci_rx_work+0xaab/0x1610 net/bluetooth/hci_core.c:4028 process_one_work+0x9c5/0x1b40 kernel/workqueue.c:3231 process_scheduled_works kernel/workqueue.c:3312 [inline] worker_thread+0x6c8/0xed0 kernel/workqueue.c:3389 kthread+0x2c1/0x3a0 kernel/kthread.c:389 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 ... Freed by task 5245: kasan_save_stack+0x33/0x60 mm/kasan/common.c:47 kasan_save_track+0x14/0x30 mm/kasan/common.c:68 kasan_save_free_info+0x3b/0x60 mm/kasan/generic.c:579 poison_slab_object+0xf7/0x160 mm/kasan/common.c:240 __kasan_slab_free+0x32/0x50 mm/kasan/common.c:256 kasan_slab_free include/linux/kasan.h:184 [inline] slab_free_hook mm/slub.c:2256 [inline] slab_free mm/slub.c:4477 [inline] kfree+0x12a/0x3b0 mm/slub.c:4598 l2cap_conn_free net/bluetooth/l2cap_core.c:1810 [inline] kref_put include/linux/kref.h:65 [inline] l2cap_conn_put net/bluetooth/l2cap_core.c:1822 [inline] l2cap_conn_del+0x59d/0x730 net/bluetooth/l2cap_core.c:1802 l2cap_connect_cfm+0x9e6/0xf80 net/bluetooth/l2cap_core.c:7241 hci_connect_cfm include/net/bluetooth/hci_core.h:1960 [inline] hci_conn_failed+0x1c3/0x370 net/bluetooth/hci_conn.c:1265 hci_abort_conn_sync+0x75a/0xb50 net/bluetooth/hci_sync.c:5583 abort_conn_sync+0x197/0x360 net/bluetooth/hci_conn.c:2917 hci_cmd_sync_work+0x1a4/0x410 net/bluetooth/hci_sync.c:328 process_one_work+0x9c5/0x1b40 kernel/workqueue.c:3231 process_scheduled_works kernel/workqueue.c:3312 [inline] worker_thread+0x6c8/0xed0 kernel/workqueue.c:3389 kthread+0x2c1/0x3a0 kernel/kthread.c:389 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 Уязвимость функции hci_acldata_packet() в модуле net/bluetooth/hci_core.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: Fix possible crash on mgmt_index_removed If mgmt_index_removed is called while there are commands queued on cmd_sync it could lead to crashes like the bellow trace: 0x0000053D: __list_del_entry_valid_or_report+0x98/0xdc 0x0000053D: mgmt_pending_remove+0x18/0x58 [bluetooth] 0x0000053E: mgmt_remove_adv_monitor_complete+0x80/0x108 [bluetooth] 0x0000053E: hci_cmd_sync_work+0xbc/0x164 [bluetooth] So while handling mgmt_index_removed this attempts to dequeue commands passed as user_data to cmd_sync. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: prevent nf_skb_duplicated corruption syzbot found that nf_dup_ipv4() or nf_dup_ipv6() could write per-cpu variable nf_skb_duplicated in an unsafe way [1]. Disabling preemption as hinted by the splat is not enough, we have to disable soft interrupts as well. [1] BUG: using __this_cpu_write() in preemptible [00000000] code: syz.4.282/6316 caller is nf_dup_ipv4+0x651/0x8f0 net/ipv4/netfilter/nf_dup_ipv4.c:87 CPU: 0 UID: 0 PID: 6316 Comm: syz.4.282 Not tainted 6.11.0-rc7-syzkaller-00104-g7052622fccb1 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/06/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:93 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:119 check_preemption_disabled+0x10e/0x120 lib/smp_processor_id.c:49 nf_dup_ipv4+0x651/0x8f0 net/ipv4/netfilter/nf_dup_ipv4.c:87 nft_dup_ipv4_eval+0x1db/0x300 net/ipv4/netfilter/nft_dup_ipv4.c:30 expr_call_ops_eval net/netfilter/nf_tables_core.c:240 [inline] nft_do_chain+0x4ad/0x1da0 net/netfilter/nf_tables_core.c:288 nft_do_chain_ipv4+0x202/0x320 net/netfilter/nft_chain_filter.c:23 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xc3/0x220 net/netfilter/core.c:626 nf_hook+0x2c4/0x450 include/linux/netfilter.h:269 NF_HOOK_COND include/linux/netfilter.h:302 [inline] ip_output+0x185/0x230 net/ipv4/ip_output.c:433 ip_local_out net/ipv4/ip_output.c:129 [inline] ip_send_skb+0x74/0x100 net/ipv4/ip_output.c:1495 udp_send_skb+0xacf/0x1650 net/ipv4/udp.c:981 udp_sendmsg+0x1c21/0x2a60 net/ipv4/udp.c:1269 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x1a6/0x270 net/socket.c:745 ____sys_sendmsg+0x525/0x7d0 net/socket.c:2597 ___sys_sendmsg net/socket.c:2651 [inline] __sys_sendmmsg+0x3b2/0x740 net/socket.c:2737 __do_sys_sendmmsg net/socket.c:2766 [inline] __se_sys_sendmmsg net/socket.c:2763 [inline] __x64_sys_sendmmsg+0xa0/0xb0 net/socket.c:2763 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f4ce4f7def9 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f4ce5d4a038 EFLAGS: 00000246 ORIG_RAX: 0000000000000133 RAX: ffffffffffffffda RBX: 00007f4ce5135f80 RCX: 00007f4ce4f7def9 RDX: 0000000000000001 RSI: 0000000020005d40 RDI: 0000000000000006 RBP: 00007f4ce4ff0b76 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 00007f4ce5135f80 R15: 00007ffd4cbc6d68 </TASK> Уязвимость компонента net/ipv4/netfilter/nf_dup_ipv4.c ядра операционной системы Linux связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Есть метод. рекомендации Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: static_call: Replace pointless WARN_ON() in static_call_module_notify() static_call_module_notify() triggers a WARN_ON(), when memory allocation fails in __static_call_add_module(). That's not really justified, because the failure case must be correctly handled by the well known call chain and the error code is passed through to the initiating userspace application. A memory allocation fail is not a fatal problem, but the WARN_ON() takes the machine out when panic_on_warn is set. Replace it with a pr_warn(). Уязвимость функции static_call_module_notify() ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPI: battery: Fix possible crash when unregistering a battery hook When a battery hook returns an error when adding a new battery, then the battery hook is automatically unregistered. However the battery hook provider cannot know that, so it will later call battery_hook_unregister() on the already unregistered battery hook, resulting in a crash. Fix this by using the list head to mark already unregistered battery hooks as already being unregistered so that they can be ignored by battery_hook_unregister(). Уязвимость функции battery_hook_unregister() ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-672')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix null-ptr-deref when journal load failed. During the mounting process, if journal_reset() fails because of too short journal, then lead to jbd2_journal_load() fails with NULL j_sb_buffer. Subsequently, ocfs2_journal_shutdown() calls jbd2_journal_flush()->jbd2_cleanup_journal_tail()-> __jbd2_update_log_tail()->jbd2_journal_update_sb_log_tail() ->lock_buffer(journal->j_sb_buffer), resulting in a null-pointer dereference error. To resolve this issue, we should check the JBD2_LOADED flag to ensure the journal was properly loaded. Additionally, use journal instead of osb->journal directly to simplify the code. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: reserve space for inline xattr before attaching reflink tree One of our customers reported a crash and a corrupted ocfs2 filesystem. The crash was due to the detection of corruption. Upon troubleshooting, the fsck -fn output showed the below corruption [EXTENT_LIST_FREE] Extent list in owner 33080590 claims 230 as the next free chain record, but fsck believes the largest valid value is 227. Clamp the next record value? n The stat output from the debugfs.ocfs2 showed the following corruption where the "Next Free Rec:" had overshot the "Count:" in the root metadata block. Inode: 33080590 Mode: 0640 Generation: 2619713622 (0x9c25a856) FS Generation: 904309833 (0x35e6ac49) CRC32: 00000000 ECC: 0000 Type: Regular Attr: 0x0 Flags: Valid Dynamic Features: (0x16) HasXattr InlineXattr Refcounted Extended Attributes Block: 0 Extended Attributes Inline Size: 256 User: 0 (root) Group: 0 (root) Size: 281320357888 Links: 1 Clusters: 141738 ctime: 0x66911b56 0x316edcb8 -- Fri Jul 12 06:02:30.829349048 2024 atime: 0x66911d6b 0x7f7a28d -- Fri Jul 12 06:11:23.133669517 2024 mtime: 0x66911b56 0x12ed75d7 -- Fri Jul 12 06:02:30.317552087 2024 dtime: 0x0 -- Wed Dec 31 17:00:00 1969 Refcount Block: 2777346 Last Extblk: 2886943 Orphan Slot: 0 Sub Alloc Slot: 0 Sub Alloc Bit: 14 Tree Depth: 1 Count: 227 Next Free Rec: 230 ## Offset Clusters Block# 0 0 2310 2776351 1 2310 2139 2777375 2 4449 1221 2778399 3 5670 731 2779423 4 6401 566 2780447 ....... .... ....... ....... .... ....... The issue was in the reflink workfow while reserving space for inline xattr. The problematic function is ocfs2_reflink_xattr_inline(). By the time this function is called the reflink tree is already recreated at the destination inode from the source inode. At this point, this function reserves space for inline xattrs at the destination inode without even checking if there is space at the root metadata block. It simply reduces the l_count from 243 to 227 thereby making space of 256 bytes for inline xattr whereas the inode already has extents beyond this index (in this case up to 230), thereby causing corruption. The fix for this is to reserve space for inline metadata at the destination inode before the reflink tree gets recreated. The customer has verified the fix. Уязвимость ядра операционной системы Linux связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью искажённого ocfs2 файла [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jbd2: stop waiting for space when jbd2_cleanup_journal_tail() returns error In __jbd2_log_wait_for_space(), we might call jbd2_cleanup_journal_tail() to recover some journal space. But if an error occurs while executing jbd2_cleanup_journal_tail() (e.g., an EIO), we don't stop waiting for free space right away, we try other branches, and if j_committing_transaction is NULL (i.e., the tid is 0), we will get the following complain: ============================================ JBD2: I/O error when updating journal superblock for sdd-8. __jbd2_log_wait_for_space: needed 256 blocks and only had 217 space available __jbd2_log_wait_for_space: no way to get more journal space in sdd-8 ------------[ cut here ]------------ WARNING: CPU: 2 PID: 139804 at fs/jbd2/checkpoint.c:109 __jbd2_log_wait_for_space+0x251/0x2e0 Modules linked in: CPU: 2 PID: 139804 Comm: kworker/u8:3 Not tainted 6.6.0+ #1 RIP: 0010:__jbd2_log_wait_for_space+0x251/0x2e0 Call Trace: <TASK> add_transaction_credits+0x5d1/0x5e0 start_this_handle+0x1ef/0x6a0 jbd2__journal_start+0x18b/0x340 ext4_dirty_inode+0x5d/0xb0 __mark_inode_dirty+0xe4/0x5d0 generic_update_time+0x60/0x70 [...] ============================================ So only if jbd2_cleanup_journal_tail() returns 1, i.e., there is nothing to clean up at the moment, continue to try to reclaim free space in other ways. Note that this fix relies on commit 6f6a6fda2945 ("jbd2: fix ocfs2 corrupt when updating journal superblock fails") to make jbd2_cleanup_journal_tail return the correct error code. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix timer use-after-free on failed mount Syzbot has found an ODEBUG bug in ext4_fill_super The del_timer_sync function cancels the s_err_report timer, which reminds about filesystem errors daily. We should guarantee the timer is no longer active before kfree(sbi). When filesystem mounting fails, the flow goes to failed_mount3, where an error occurs when ext4_stop_mmpd is called, causing a read I/O failure. This triggers the ext4_handle_error function that ultimately re-arms the timer, leaving the s_err_report timer active before kfree(sbi) is called. Fix the issue by canceling the s_err_report timer after calling ext4_stop_mmpd. Уязвимость функции __ext4_fill_super() в модуле fs/ext4/super.c файловой системы ext4 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: i2c: ar0521: Use cansleep version of gpiod_set_value() If we use GPIO reset from I2C port expander, we must use *_cansleep() variant of GPIO functions. This was not done in ar0521_power_on()/ar0521_power_off() functions. Let's fix that. ------------[ cut here ]------------ WARNING: CPU: 0 PID: 11 at drivers/gpio/gpiolib.c:3496 gpiod_set_value+0x74/0x7c Modules linked in: CPU: 0 PID: 11 Comm: kworker/u16:0 Not tainted 6.10.0 #53 Hardware name: Diasom DS-RK3568-SOM-EVB (DT) Workqueue: events_unbound deferred_probe_work_func pstate: 80400009 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : gpiod_set_value+0x74/0x7c lr : ar0521_power_on+0xcc/0x290 sp : ffffff8001d7ab70 x29: ffffff8001d7ab70 x28: ffffff80027dcc90 x27: ffffff8003c82000 x26: ffffff8003ca9250 x25: ffffffc080a39c60 x24: ffffff8003ca9088 x23: ffffff8002402720 x22: ffffff8003ca9080 x21: ffffff8003ca9088 x20: 0000000000000000 x19: ffffff8001eb2a00 x18: ffffff80efeeac80 x17: 756d2d6332692f30 x16: 0000000000000000 x15: 0000000000000000 x14: ffffff8001d91d40 x13: 0000000000000016 x12: ffffffc080e98930 x11: ffffff8001eb2880 x10: 0000000000000890 x9 : ffffff8001d7a9f0 x8 : ffffff8001d92570 x7 : ffffff80efeeac80 x6 : 000000003fc6e780 x5 : ffffff8001d91c80 x4 : 0000000000000002 x3 : 0000000000000000 x2 : 0000000000000000 x1 : 0000000000000000 x0 : 0000000000000001 Call trace: gpiod_set_value+0x74/0x7c ar0521_power_on+0xcc/0x290 ... Уязвимость ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPICA: check null return of ACPI_ALLOCATE_ZEROED() in acpi_db_convert_to_package() ACPICA commit 4d4547cf13cca820ff7e0f859ba83e1a610b9fd0 ACPI_ALLOCATE_ZEROED() may fail, elements might be NULL and will cause NULL pointer dereference later. [ rjw: Subject and changelog edits ] Уязвимость компонента ACPICA ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mailbox: bcm2835: Fix timeout during suspend mode During noirq suspend phase the Raspberry Pi power driver suffer of firmware property timeouts. The reason is that the IRQ of the underlying BCM2835 mailbox is disabled and rpi_firmware_property_list() will always run into a timeout [1]. Since the VideoCore side isn't consider as a wakeup source, set the IRQF_NO_SUSPEND flag for the mailbox IRQ in order to keep it enabled during suspend-resume cycle. [1] PM: late suspend of devices complete after 1.754 msecs WARNING: CPU: 0 PID: 438 at drivers/firmware/raspberrypi.c:128 rpi_firmware_property_list+0x204/0x22c Firmware transaction 0x00028001 timeout Modules linked in: CPU: 0 PID: 438 Comm: bash Tainted: G C 6.9.3-dirty #17 Hardware name: BCM2835 Call trace: unwind_backtrace from show_stack+0x18/0x1c show_stack from dump_stack_lvl+0x34/0x44 dump_stack_lvl from __warn+0x88/0xec __warn from warn_slowpath_fmt+0x7c/0xb0 warn_slowpath_fmt from rpi_firmware_property_list+0x204/0x22c rpi_firmware_property_list from rpi_firmware_property+0x68/0x8c rpi_firmware_property from rpi_firmware_set_power+0x54/0xc0 rpi_firmware_set_power from _genpd_power_off+0xe4/0x148 _genpd_power_off from genpd_sync_power_off+0x7c/0x11c genpd_sync_power_off from genpd_finish_suspend+0xcc/0xe0 genpd_finish_suspend from dpm_run_callback+0x78/0xd0 dpm_run_callback from device_suspend_noirq+0xc0/0x238 device_suspend_noirq from dpm_suspend_noirq+0xb0/0x168 dpm_suspend_noirq from suspend_devices_and_enter+0x1b8/0x5ac suspend_devices_and_enter from pm_suspend+0x254/0x2e4 pm_suspend from state_store+0xa8/0xd4 state_store from kernfs_fop_write_iter+0x154/0x1a0 kernfs_fop_write_iter from vfs_write+0x12c/0x184 vfs_write from ksys_write+0x78/0xc0 ksys_write from ret_fast_syscall+0x0/0x54 Exception stack(0xcc93dfa8 to 0xcc93dff0) [...] PM: noirq suspend of devices complete after 3095.584 msecs Уязвимость ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: remove unreasonable unlock in ocfs2_read_blocks Patch series "Misc fixes for ocfs2_read_blocks", v5. This series contains 2 fixes for ocfs2_read_blocks(). The first patch fix the issue reported by syzbot, which detects bad unlock balance in ocfs2_read_blocks(). The second patch fixes an issue reported by Heming Zhao when reviewing above fix. This patch (of 2): There was a lock release before exiting, so remove the unreasonable unlock. Уязвимость компонента ocfs2 ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: cancel dqi_sync_work before freeing oinfo ocfs2_global_read_info() will initialize and schedule dqi_sync_work at the end, if error occurs after successfully reading global quota, it will trigger the following warning with CONFIG_DEBUG_OBJECTS_* enabled: ODEBUG: free active (active state 0) object: 00000000d8b0ce28 object type: timer_list hint: qsync_work_fn+0x0/0x16c This reports that there is an active delayed work when freeing oinfo in error handling, so cancel dqi_sync_work first. BTW, return status instead of -1 when .read_file_info fails. Уязвимость компонента fs/ocfs2/quota_local.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix index out of bounds in DCN30 color transformation This commit addresses a potential index out of bounds issue in the `cm3_helper_translate_curve_to_hw_format` function in the DCN30 color management module. The issue could occur when the index 'i' exceeds the number of transfer function points (TRANSFER_FUNC_POINTS). The fix adds a check to ensure 'i' is within bounds before accessing the transfer function points. If 'i' is out of bounds, the function returns false to indicate an error. drivers/gpu/drm/amd/amdgpu/../display/dc/dcn30/dcn30_cm_common.c:180 cm3_helper_translate_curve_to_hw_format() error: buffer overflow 'output_tf->tf_pts.red' 1025 <= s32max drivers/gpu/drm/amd/amdgpu/../display/dc/dcn30/dcn30_cm_common.c:181 cm3_helper_translate_curve_to_hw_format() error: buffer overflow 'output_tf->tf_pts.green' 1025 <= s32max drivers/gpu/drm/amd/amdgpu/../display/dc/dcn30/dcn30_cm_common.c:182 cm3_helper_translate_curve_to_hw_format() error: buffer overflow 'output_tf->tf_pts.blue' 1025 <= s32max Уязвимость компонента drivers/gpu/drm/amd/display/dc/dcn30/dcn30_cm_common.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: r8169: add tally counter fields added with RTL8125 RTL8125 added fields to the tally counter, what may result in the chip dma'ing these new fields to unallocated memory. Therefore make sure that the allocated memory area is big enough to hold all of the tally counter values, even if we use only parts of it. Уязвимость компонента r8169 ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSD: Limit the number of concurrent async COPY operations Nothing appears to limit the number of concurrent async COPY operations that clients can start. In addition, AFAICT each async COPY can copy an unlimited number of 4MB chunks, so can run for a long time. Thus IMO async COPY can become a DoS vector. Add a restriction mechanism that bounds the number of concurrent background COPY operations. Start simple and try to be fair -- this patch implements a per-namespace limit. An async COPY request that occurs while this limit is exceeded gets NFS4ERR_DELAY. The requesting client can choose to send the request again after a delay or fall back to a traditional read/write style copy. If there is need to make the mechanism more sophisticated, we can visit that in future patches. Уязвимость ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: uprobes: fix kernel info leak via "[uprobes]" vma xol_add_vma() maps the uninitialized page allocated by __create_xol_area() into userspace. On some architectures (x86) this memory is readable even without VM_READ, VM_EXEC results in the same pgprot_t as VM_EXEC|VM_READ, although this doesn't really matter, debugger can read this memory anyway. Уязвимость компонента uprobes ядра операционной системы Linux связана с утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gso: fix udp gso fraglist segmentation after pull from frag_list Detect gso fraglist skbs with corrupted geometry (see below) and pass these to skb_segment instead of skb_segment_list, as the first can segment them correctly. Valid SKB_GSO_FRAGLIST skbs - consist of two or more segments - the head_skb holds the protocol headers plus first gso_size - one or more frag_list skbs hold exactly one segment - all but the last must be gso_size Optional datapath hooks such as NAT and BPF (bpf_skb_pull_data) can modify these skbs, breaking these invariants. In extreme cases they pull all data into skb linear. For UDP, this causes a NULL ptr deref in __udpv4_gso_segment_list_csum at udp_hdr(seg->next)->dest. Detect invalid geometry due to pull, by checking head_skb size. Don't just drop, as this may blackhole a destination. Convert to be able to pass to regular skb_segment. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: venus: fix use after free bug in venus_remove due to race condition in venus_probe, core->work is bound with venus_sys_error_handler, which is used to handle error. The code use core->sys_err_done to make sync work. The core->work is started in venus_event_notify. If we call venus_remove, there might be an unfished work. The possible sequence is as follows: CPU0 CPU1 |venus_sys_error_handler venus_remove | hfi_destroy | venus_hfi_destroy | kfree(hdev); | |hfi_reinit |venus_hfi_queues_reinit |//use hdev Fix it by canceling the work in venus_remove. Уязвимость функции venus_remove() в модуле drivers/media/platform/qcom/venus/core.c драйвера Qualcomm Venus V4L2 ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: aoe: fix the potential use-after-free problem in more places For fixing CVE-2023-6270, f98364e92662 ("aoe: fix the potential use-after-free problem in aoecmd_cfg_pkts") makes tx() calling dev_put() instead of doing in aoecmd_cfg_pkts(). It avoids that the tx() runs into use-after-free. Then Nicolai Stange found more places in aoe have potential use-after-free problem with tx(). e.g. revalidate(), aoecmd_ata_rw(), resend(), probe() and aoecmd_cfg_rsp(). Those functions also use aoenet_xmit() to push packet to tx queue. So they should also use dev_hold() to increase the refcnt of skb->dev. On the other hand, moving dev_put() to tx() causes that the refcnt of skb->dev be reduced to a negative value, because corresponding dev_hold() are not called in revalidate(), aoecmd_ata_rw(), resend(), probe(), and aoecmd_cfg_rsp(). This patch fixed this issue. Уязвимость функции tx() в модуле drivers/block/aoe/aoenet.c ядра операционной системы Linux связана с некорректным подсчётом ссылок на объект структуры net_device. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: drop ppath from ext4_ext_replay_update_ex() to avoid double-free When calling ext4_force_split_extent_at() in ext4_ext_replay_update_ex(), the 'ppath' is updated but it is the 'path' that is freed, thus potentially triggering a double-free in the following process: ext4_ext_replay_update_ex ppath = path ext4_force_split_extent_at(&ppath) ext4_split_extent_at ext4_ext_insert_extent ext4_ext_create_new_leaf ext4_ext_grow_indepth ext4_find_extent if (depth > path[0].p_maxdepth) kfree(path) ---> path First freed *orig_path = path = NULL ---> null ppath kfree(path) ---> path double-free !!! So drop the unnecessary ppath and use path directly to avoid this problem. And use ext4_find_extent() directly to update path, avoiding unnecessary memory allocation and freeing. Also, propagate the error returned by ext4_find_extent() instead of using strange error codes. Уязвимость функции ext4_ext_replay_update_ex() в модуле fs/ext4/extents.c файловой системы ext4 ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i2c: stm32f7: Do not prepare/unprepare clock during runtime suspend/resume In case there is any sort of clock controller attached to this I2C bus controller, for example Versaclock or even an AIC32x4 I2C codec, then an I2C transfer triggered from the clock controller clk_ops .prepare callback may trigger a deadlock on drivers/clk/clk.c prepare_lock mutex. This is because the clock controller first grabs the prepare_lock mutex and then performs the prepare operation, including its I2C access. The I2C access resumes this I2C bus controller via .runtime_resume callback, which calls clk_prepare_enable(), which attempts to grab the prepare_lock mutex again and deadlocks. Since the clock are already prepared since probe() and unprepared in remove(), use simple clk_enable()/clk_disable() calls to enable and disable the clock on runtime suspend and resume, to avoid hitting the prepare_lock mutex. Уязвимость ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании(DoS) [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86: x86-android-tablets: Fix use after free on platform_device_register() errors x86_android_tablet_remove() frees the pdevs[] array, so it should not be used after calling x86_android_tablet_remove(). When platform_device_register() fails, store the pdevs[x] PTR_ERR() value into the local ret variable before calling x86_android_tablet_remove() to avoid using pdevs[] after it has been freed. Уязвимость функции x86_android_tablet_probe() в модуле drivers/platform/x86/x86-android-tablets/core.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: amdkfd_free_gtt_mem clear the correct pointer Pass pointer reference to amdgpu_bo_unref to clear the correct pointer, otherwise amdgpu_bo_unref clear the local variable, the original pointer not set to NULL, this could cause use-after-free bug. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/stm: Avoid use-after-free issues with crtc and plane ltdc_load() calls functions drm_crtc_init_with_planes(), drm_universal_plane_init() and drm_encoder_init(). These functions should not be called with parameters allocated with devm_kzalloc() to avoid use-after-free issues [1]. Use allocations managed by the DRM framework. Found by Linux Verification Center (linuxtesting.org). [1] https://lore.kernel.org/lkml/u366i76e3qhh3ra5oxrtngjtm2u5lterkekcz6y2jkndhuxzli@diujon4h7qwb/ Уязвимость функции ltdc_plane_create() в модуле drivers/gpu/drm/stm/ltdc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority. Уязвимость компонента net/tipc/bearer.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cifs: Fix buffer overflow when parsing NFS reparse points ReparseDataLength is sum of the InodeType size and DataBuffer size. So to get DataBuffer size it is needed to subtract InodeType's size from ReparseDataLength. Function cifs_strndup_from_utf16() is currentlly accessing buf->DataBuffer at position after the end of the buffer because it does not subtract InodeType size from the length. Fix this problem and correctly subtract variable len. Member InodeType is present only when reparse buffer is large enough. Check for ReparseDataLength before accessing InodeType to prevent another invalid memory access. Major and minor rdev values are present also only when reparse buffer is large enough. Check for reparse buffer size before calling reparse_mkdev(). Уязвимость компонента fs/smb/client/reparse.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=9.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: lantiq_etop: fix memory disclosure When applying padding, the buffer is not zeroed, which results in memory disclosure. The mentioned data is observed on the wire. This patch uses skb_put_padto() to pad Ethernet frames properly. The mentioned function zeroes the expanded buffer. In case the packet cannot be padded it is silently dropped. Statistics are also not incremented. This driver does not support statistics in the old 32-bit format or the new 64-bit format. These will be added in the future. In its current form, the patch should be easily backported to stable versions. Ethernet MACs on Amazon-SE and Danube cannot do padding of the packets in hardware, so software padding must be applied. Уязвимость компонента drivers/net/ethernet/lantiq_etop.c ядра операционной системы Linux связана с неправильным межграничным удалением критичных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-212')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Fix NULL deref in mlx5e_tir_builder_alloc() In mlx5e_tir_builder_alloc() kvzalloc() may return NULL which is dereferenced on the next line in a reference to the modify field. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции mlx5e_tir_builder_alloc() компонента net/mlx5e ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Fix error path in multi-packet WQE transmit Remove the erroneous unmap in case no DMA mapping was established The multi-packet WQE transmit code attempts to obtain a DMA mapping for the skb. This could fail, e.g. under memory pressure, when the IOMMU driver just can't allocate more memory for page tables. While the code tries to handle this in the path below the err_unmap label it erroneously unmaps one entry from the sq's FIFO list of active mappings. Since the current map attempt failed this unmap is removing some random DMA mapping that might still be required. If the PCI function now presents that IOVA, the IOMMU may assumes a rogue DMA access and e.g. on s390 puts the PCI function in error state. The erroneous behavior was seen in a stress-test environment that created memory pressure. Уязвимость компонента net/mlx5 ядра операционной системы Linux связана с недостатками в обработке исключительных состояний. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-755')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: static_call: Handle module init failure correctly in static_call_del_module() Module insertion invokes static_call_add_module() to initialize the static calls in a module. static_call_add_module() invokes __static_call_init(), which allocates a struct static_call_mod to either encapsulate the built-in static call sites of the associated key into it so further modules can be added or to append the module to the module chain. If that allocation fails the function returns with an error code and the module core invokes static_call_del_module() to clean up eventually added static_call_mod entries. This works correctly, when all keys used by the module were converted over to a module chain before the failure. If not then static_call_del_module() causes a #GP as it blindly assumes that key::mods points to a valid struct static_call_mod. The problem is that key::mods is not a individual struct member of struct static_call_key, it's part of a union to save space: union { /* bit 0: 0 = mods, 1 = sites */ unsigned long type; struct static_call_mod *mods; struct static_call_site *sites; }; key::sites is a pointer to the list of built-in usage sites of the static call. The type of the pointer is differentiated by bit 0. A mods pointer has the bit clear, the sites pointer has the bit set. As static_call_del_module() blidly assumes that the pointer is a valid static_call_mod type, it fails to check for this failure case and dereferences the pointer to the list of built-in call sites, which is obviously bogus. Cure it by checking whether the key has a sites or a mods pointer. If it's a sites pointer then the key is not to be touched. As the sites are walked in the same order as in __static_call_init() the site walk can be terminated because all subsequent sites have not been touched by the init code due to the error exit. If it was converted before the allocation fail, then the inner loop which searches for a module match will find nothing. A fail in the second allocation in __static_call_init() is harmless and does not require special treatment. The first allocation succeeded and converted the key to a module chain. That first entry has mod::mod == NULL and mod::next == NULL, so the inner loop of static_call_del_module() will neither find a module match nor a module chain. The next site in the walk was either already converted, but can't match the module, or it will exit the outer loop because it has a static_call_site pointer and not a static_call_mod pointer. Уязвимость ядра операционной системы Linux связана с недостатками в обработке исключительных состояний. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-755')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix system hang while resume with TBT monitor [Why] Connected with a Thunderbolt monitor and do the suspend and the system may hang while resume. The TBT monitor HPD will be triggered during the resume procedure and call the drm_client_modeset_probe() while struct drm_connector connector->dev->master is NULL. It will mess up the pipe topology after resume. [How] Skip the TBT monitor HPD during the resume procedure because we currently will probe the connectors after resume by default. (cherry picked from commit 453f86a26945207a16b8f66aaed5962dc2b95b85) Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix i_data_sem unlock order in ext4_ind_migrate() Fuzzing reports a possible deadlock in jbd2_log_wait_commit. This issue is triggered when an EXT4_IOC_MIGRATE ioctl is set to require synchronous updates because the file descriptor is opened with O_SYNC. This can lead to the jbd2_journal_stop() function calling jbd2_might_wait_for_commit(), potentially causing a deadlock if the EXT4_IOC_MIGRATE call races with a write(2) system call. This problem only arises when CONFIG_PROVE_LOCKING is enabled. In this case, the jbd2_might_wait_for_commit macro locks jbd2_handle in the jbd2_journal_stop function while i_data_sem is locked. This triggers lockdep because the jbd2_journal_start function might also lock the same jbd2_handle simultaneously. Found by Linux Verification Center (linuxtesting.org) with syzkaller. Rule: add Уязвимость функции ext4_ind_migrate() ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: asihpi: Fix potential OOB array access ASIHPI driver stores some values in the static array upon a response from the driver, and its index depends on the firmware. We shouldn't trust it blindly. This patch adds a sanity check of the array index to fit in the array size. Уязвимость компонента sound/pci/asihpi/hpimsgx.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mwifiex: Fix memcpy() field-spanning write warning in mwifiex_cmd_802_11_scan_ext() Replace one-element array with a flexible-array member in `struct host_cmd_ds_802_11_scan_ext`. With this, fix the following warning: elo 16 17:51:58 surfacebook kernel: ------------[ cut here ]------------ elo 16 17:51:58 surfacebook kernel: memcpy: detected field-spanning write (size 243) of single field "ext_scan->tlv_buffer" at drivers/net/wireless/marvell/mwifiex/scan.c:2239 (size 1) elo 16 17:51:58 surfacebook kernel: WARNING: CPU: 0 PID: 498 at drivers/net/wireless/marvell/mwifiex/scan.c:2239 mwifiex_cmd_802_11_scan_ext+0x83/0x90 [mwifiex] Уязвимость функции mwifiex_cmd_802_11_scan_ext() компонента drivers/net/wireless/marvell/mwifiex/scan.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: exec: don't WARN for racy path_noexec check Both i_mode and noexec checks wrapped in WARN_ON stem from an artifact of the previous implementation. They used to legitimately check for the condition, but that got moved up in two commits: 633fb6ac3980 ("exec: move S_ISREG() check earlier") 0fd338b2d2cd ("exec: move path_noexec() check earlier") Instead of being removed said checks are WARN_ON'ed instead, which has some debug value. However, the spurious path_noexec check is racy, resulting in unwarranted warnings should someone race with setting the noexec flag. One can note there is more to perm-checking whether execve is allowed and none of the conditions are guaranteed to still hold after they were tested for. Additionally this does not validate whether the code path did any perm checking to begin with -- it will pass if the inode happens to be regular. Keep the redundant path_noexec() check even though it's mindless nonsense checking for guarantee that isn't given so drop the WARN. Reword the commentary and do small tidy ups while here. [brauner: keep redundant path_noexec() check] Уязвимость компонента fs/exec.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cpufreq: Avoid a bad reference count on CPU node In the parse_perf_domain function, if the call to of_parse_phandle_with_args returns an error, then the reference to the CPU device node that was acquired at the start of the function would not be properly decremented. Address this by declaring the variable with the __free(device_node) cleanup attribute. Уязвимость ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: exfat: fix memory leak in exfat_load_bitmap() If the first directory entry in the root directory is not a bitmap directory entry, 'bh' will not be released and reassigned, which will cause a memory leak. Уязвимость функции exfat_load_bitmap() ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: dax: fix overflowing extents beyond inode size when partially writing The dax_iomap_rw() does two things in each iteration: map written blocks and copy user data to blocks. If the process is killed by user(See signal handling in dax_iomap_iter()), the copied data will be returned and added on inode size, which means that the length of written extents may exceed the inode size, then fsck will fail. An example is given as: dd if=/dev/urandom of=file bs=4M count=1 dax_iomap_rw iomap_iter // round 1 ext4_iomap_begin ext4_iomap_alloc // allocate 0~2M extents(written flag) dax_iomap_iter // copy 2M data iomap_iter // round 2 iomap_iter_advance iter->pos += iter->processed // iter->pos = 2M ext4_iomap_begin ext4_iomap_alloc // allocate 2~4M extents(written flag) dax_iomap_iter fatal_signal_pending done = iter->pos - iocb->ki_pos // done = 2M ext4_handle_inode_extension ext4_update_inode_size // inode size = 2M fsck reports: Inode 13, i_size is 2097152, should be 4194304. Fix? Fix the problem by truncating extents if the written length is smaller than expected. Уязвимость ядра операционной системы Linux связана с чрезмерным итерированием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kthread: unpark only parked kthread Calling into kthread unparking unconditionally is mostly harmless when the kthread is already unparked. The wake up is then simply ignored because the target is not in TASK_PARKED state. However if the kthread is per CPU, the wake up is preceded by a call to kthread_bind() which expects the task to be inactive and in TASK_PARKED state, which obviously isn't the case if it is unparked. As a result, calling kthread_stop() on an unparked per-cpu kthread triggers such a warning: WARNING: CPU: 0 PID: 11 at kernel/kthread.c:525 __kthread_bind_mask kernel/kthread.c:525 <TASK> kthread_stop+0x17a/0x630 kernel/kthread.c:707 destroy_workqueue+0x136/0xc40 kernel/workqueue.c:5810 wg_destruct+0x1e2/0x2e0 drivers/net/wireguard/device.c:257 netdev_run_todo+0xe1a/0x1000 net/core/dev.c:10693 default_device_exit_batch+0xa14/0xa90 net/core/dev.c:11769 ops_exit_list net/core/net_namespace.c:178 [inline] cleanup_net+0x89d/0xcc0 net/core/net_namespace.c:640 process_one_work kernel/workqueue.c:3231 [inline] process_scheduled_works+0xa2c/0x1830 kernel/workqueue.c:3312 worker_thread+0x86d/0xd70 kernel/workqueue.c:3393 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Fix this with skipping unecessary unparking while stopping a kthread. Уязвимость ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: device-dax: correct pgoff align in dax_set_mapping() pgoff should be aligned using ALIGN_DOWN() instead of ALIGN(). Otherwise, vmf->address not aligned to fault_size will be aligned to the next alignment, that can result in memory failure getting the wrong address. It's a subtle situation that only can be observed in page_mapped_in_vma() after the page is page fault handled by dev_dax_huge_fault. Generally, there is little chance to perform page_mapped_in_vma in dev-dax's page unless in specific error injection to the dax device to trigger an MCE - memory-failure. In that case, page_mapped_in_vma() will be triggered to determine which task is accessing the failure address and kill that task in the end. We used self-developed dax device (which is 2M aligned mapping) , to perform error injection to random address. It turned out that error injected to non-2M-aligned address was causing endless MCE until panic. Because page_mapped_in_vma() kept resulting wrong address and the task accessing the failure address was never killed properly: [ 3783.719419] Memory failure: 0x200c9742: recovery action for dax page: Recovered [ 3784.049006] mce: Uncorrected hardware memory error in user-access at 200c9742380 [ 3784.049190] Memory failure: 0x200c9742: recovery action for dax page: Recovered [ 3784.448042] mce: Uncorrected hardware memory error in user-access at 200c9742380 [ 3784.448186] Memory failure: 0x200c9742: recovery action for dax page: Recovered [ 3784.792026] mce: Uncorrected hardware memory error in user-access at 200c9742380 [ 3784.792179] Memory failure: 0x200c9742: recovery action for dax page: Recovered [ 3785.162502] mce: Uncorrected hardware memory error in user-access at 200c9742380 [ 3785.162633] Memory failure: 0x200c9742: recovery action for dax page: Recovered [ 3785.461116] mce: Uncorrected hardware memory error in user-access at 200c9742380 [ 3785.461247] Memory failure: 0x200c9742: recovery action for dax page: Recovered [ 3785.764730] mce: Uncorrected hardware memory error in user-access at 200c9742380 [ 3785.764859] Memory failure: 0x200c9742: recovery action for dax page: Recovered [ 3786.042128] mce: Uncorrected hardware memory error in user-access at 200c9742380 [ 3786.042259] Memory failure: 0x200c9742: recovery action for dax page: Recovered [ 3786.464293] mce: Uncorrected hardware memory error in user-access at 200c9742380 [ 3786.464423] Memory failure: 0x200c9742: recovery action for dax page: Recovered [ 3786.818090] mce: Uncorrected hardware memory error in user-access at 200c9742380 [ 3786.818217] Memory failure: 0x200c9742: recovery action for dax page: Recovered [ 3787.085297] mce: Uncorrected hardware memory error in user-access at 200c9742380 [ 3787.085424] Memory failure: 0x200c9742: recovery action for dax page: Recovered It took us several weeks to pinpoint this problem,  but we eventually used bpftrace to trace the page fault and mce address and successfully identified the issue. Joao added: ; Likely we never reproduce in production because we always pin : device-dax regions in the region align they provide (Qemu does : similarly with prealloc in hugetlb/file backed memory). I think this : bug requires that we touch *unpinned* device-dax regions unaligned to : the device-dax selected alignment (page size i.e. 4K/2M/1G) Уязвимость ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: Fix an unsafe loop on the list The kernel may crash when deleting a genetlink family if there are still listeners for that family: Oops: Kernel access of bad area, sig: 11 [#1] ... NIP [c000000000c080bc] netlink_update_socket_mc+0x3c/0xc0 LR [c000000000c0f764] __netlink_clear_multicast_users+0x74/0xc0 Call Trace: __netlink_clear_multicast_users+0x74/0xc0 genl_unregister_family+0xd4/0x2d0 Change the unsafe loop on the list to a safe one, because inside the loop there is an element removal from this list. Уязвимость ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: wd33c93: Don't use stale scsi_pointer value A regression was introduced with commit dbb2da557a6a ("scsi: wd33c93: Move the SCSI pointer to private command data") which results in an oops in wd33c93_intr(). That commit added the scsi_pointer variable and initialized it from hostdata->connected. However, during selection, hostdata->connected is not yet valid. Fix this by getting the current scsi_pointer from hostdata->selecting. Уязвимость ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/v3d: Stop the active perfmon before being destroyed When running `kmscube` with one or more performance monitors enabled via `GALLIUM_HUD`, the following kernel panic can occur: [ 55.008324] Unable to handle kernel paging request at virtual address 00000000052004a4 [ 55.008368] Mem abort info: [ 55.008377] ESR = 0x0000000096000005 [ 55.008387] EC = 0x25: DABT (current EL), IL = 32 bits [ 55.008402] SET = 0, FnV = 0 [ 55.008412] EA = 0, S1PTW = 0 [ 55.008421] FSC = 0x05: level 1 translation fault [ 55.008434] Data abort info: [ 55.008442] ISV = 0, ISS = 0x00000005, ISS2 = 0x00000000 [ 55.008455] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 55.008467] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 55.008481] user pgtable: 4k pages, 39-bit VAs, pgdp=00000001046c6000 [ 55.008497] [00000000052004a4] pgd=0000000000000000, p4d=0000000000000000, pud=0000000000000000 [ 55.008525] Internal error: Oops: 0000000096000005 [#1] PREEMPT SMP [ 55.008542] Modules linked in: rfcomm [...] vc4 v3d snd_soc_hdmi_codec drm_display_helper gpu_sched drm_shmem_helper cec drm_dma_helper drm_kms_helper i2c_brcmstb drm drm_panel_orientation_quirks snd_soc_core snd_compress snd_pcm_dmaengine snd_pcm snd_timer snd backlight [ 55.008799] CPU: 2 PID: 166 Comm: v3d_bin Tainted: G C 6.6.47+rpt-rpi-v8 #1 Debian 1:6.6.47-1+rpt1 [ 55.008824] Hardware name: Raspberry Pi 4 Model B Rev 1.5 (DT) [ 55.008838] pstate: 20000005 (nzCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 55.008855] pc : __mutex_lock.constprop.0+0x90/0x608 [ 55.008879] lr : __mutex_lock.constprop.0+0x58/0x608 [ 55.008895] sp : ffffffc080673cf0 [ 55.008904] x29: ffffffc080673cf0 x28: 0000000000000000 x27: ffffff8106188a28 [ 55.008926] x26: ffffff8101e78040 x25: ffffff8101baa6c0 x24: ffffffd9d989f148 [ 55.008947] x23: ffffffda1c2a4008 x22: 0000000000000002 x21: ffffffc080673d38 [ 55.008968] x20: ffffff8101238000 x19: ffffff8104f83188 x18: 0000000000000000 [ 55.008988] x17: 0000000000000000 x16: ffffffda1bd04d18 x15: 00000055bb08bc90 [ 55.009715] x14: 0000000000000000 x13: 0000000000000000 x12: ffffffda1bd4cbb0 [ 55.010433] x11: 00000000fa83b2da x10: 0000000000001a40 x9 : ffffffda1bd04d04 [ 55.011162] x8 : ffffff8102097b80 x7 : 0000000000000000 x6 : 00000000030a5857 [ 55.011880] x5 : 00ffffffffffffff x4 : 0300000005200470 x3 : 0300000005200470 [ 55.012598] x2 : ffffff8101238000 x1 : 0000000000000021 x0 : 0300000005200470 [ 55.013292] Call trace: [ 55.013959] __mutex_lock.constprop.0+0x90/0x608 [ 55.014646] __mutex_lock_slowpath+0x1c/0x30 [ 55.015317] mutex_lock+0x50/0x68 [ 55.015961] v3d_perfmon_stop+0x40/0xe0 [v3d] [ 55.016627] v3d_bin_job_run+0x10c/0x2d8 [v3d] [ 55.017282] drm_sched_main+0x178/0x3f8 [gpu_sched] [ 55.017921] kthread+0x11c/0x128 [ 55.018554] ret_from_fork+0x10/0x20 [ 55.019168] Code: f9400260 f1001c1f 54001ea9 927df000 (b9403401) [ 55.019776] ---[ end trace 0000000000000000 ]--- [ 55.020411] note: v3d_bin[166] exited with preempt_count 1 This issue arises because, upon closing the file descriptor (which happens when we interrupt `kmscube`), the active performance monitor is not stopped. Although all perfmons are destroyed in `v3d_perfmon_close_file()`, the active performance monitor's pointer (`v3d->active_perfmon`) is still retained. If `kmscube` is run again, the driver will attempt to stop the active performance monitor using the stale pointer in `v3d->active_perfmon`. However, this pointer is no longer valid because the previous process has already terminated, and all performance monitors associated with it have been destroyed and freed. To fix this, when the active performance monitor belongs to a given process, explicitly stop it before destroying and freeing it. Уязвимость компонента drm/v3d ядра операционной системы Linux связана с истощением дескриптора файлов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: slip: make slhc_remember() more robust against malicious packets syzbot found that slhc_remember() was missing checks against malicious packets [1]. slhc_remember() only checked the size of the packet was at least 20, which is not good enough. We need to make sure the packet includes the IPv4 and TCP header that are supposed to be carried. Add iph and th pointers to make the code more readable. [1] BUG: KMSAN: uninit-value in slhc_remember+0x2e8/0x7b0 drivers/net/slip/slhc.c:666 slhc_remember+0x2e8/0x7b0 drivers/net/slip/slhc.c:666 ppp_receive_nonmp_frame+0xe45/0x35e0 drivers/net/ppp/ppp_generic.c:2455 ppp_receive_frame drivers/net/ppp/ppp_generic.c:2372 [inline] ppp_do_recv+0x65f/0x40d0 drivers/net/ppp/ppp_generic.c:2212 ppp_input+0x7dc/0xe60 drivers/net/ppp/ppp_generic.c:2327 pppoe_rcv_core+0x1d3/0x720 drivers/net/ppp/pppoe.c:379 sk_backlog_rcv+0x13b/0x420 include/net/sock.h:1113 __release_sock+0x1da/0x330 net/core/sock.c:3072 release_sock+0x6b/0x250 net/core/sock.c:3626 pppoe_sendmsg+0x2b8/0xb90 drivers/net/ppp/pppoe.c:903 sock_sendmsg_nosec net/socket.c:729 [inline] __sock_sendmsg+0x30f/0x380 net/socket.c:744 ____sys_sendmsg+0x903/0xb60 net/socket.c:2602 ___sys_sendmsg+0x28d/0x3c0 net/socket.c:2656 __sys_sendmmsg+0x3c1/0x960 net/socket.c:2742 __do_sys_sendmmsg net/socket.c:2771 [inline] __se_sys_sendmmsg net/socket.c:2768 [inline] __x64_sys_sendmmsg+0xbc/0x120 net/socket.c:2768 x64_sys_call+0xb6e/0x3ba0 arch/x86/include/generated/asm/syscalls_64.h:308 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:4091 [inline] slab_alloc_node mm/slub.c:4134 [inline] kmem_cache_alloc_node_noprof+0x6bf/0xb80 mm/slub.c:4186 kmalloc_reserve+0x13d/0x4a0 net/core/skbuff.c:587 __alloc_skb+0x363/0x7b0 net/core/skbuff.c:678 alloc_skb include/linux/skbuff.h:1322 [inline] sock_wmalloc+0xfe/0x1a0 net/core/sock.c:2732 pppoe_sendmsg+0x3a7/0xb90 drivers/net/ppp/pppoe.c:867 sock_sendmsg_nosec net/socket.c:729 [inline] __sock_sendmsg+0x30f/0x380 net/socket.c:744 ____sys_sendmsg+0x903/0xb60 net/socket.c:2602 ___sys_sendmsg+0x28d/0x3c0 net/socket.c:2656 __sys_sendmmsg+0x3c1/0x960 net/socket.c:2742 __do_sys_sendmmsg net/socket.c:2771 [inline] __se_sys_sendmmsg net/socket.c:2768 [inline] __x64_sys_sendmmsg+0xbc/0x120 net/socket.c:2768 x64_sys_call+0xb6e/0x3ba0 arch/x86/include/generated/asm/syscalls_64.h:308 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f CPU: 0 UID: 0 PID: 5460 Comm: syz.2.33 Not tainted 6.12.0-rc2-syzkaller-00006-g87d6aab2389e #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Уязвимость компонента drivers/net/slip/slhc.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью вредоносного пакета [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ppp: fix ppp_async_encode() illegal access syzbot reported an issue in ppp_async_encode() [1] In this case, pppoe_sendmsg() is called with a zero size. Then ppp_async_encode() is called with an empty skb. BUG: KMSAN: uninit-value in ppp_async_encode drivers/net/ppp/ppp_async.c:545 [inline] BUG: KMSAN: uninit-value in ppp_async_push+0xb4f/0x2660 drivers/net/ppp/ppp_async.c:675 ppp_async_encode drivers/net/ppp/ppp_async.c:545 [inline] ppp_async_push+0xb4f/0x2660 drivers/net/ppp/ppp_async.c:675 ppp_async_send+0x130/0x1b0 drivers/net/ppp/ppp_async.c:634 ppp_channel_bridge_input drivers/net/ppp/ppp_generic.c:2280 [inline] ppp_input+0x1f1/0xe60 drivers/net/ppp/ppp_generic.c:2304 pppoe_rcv_core+0x1d3/0x720 drivers/net/ppp/pppoe.c:379 sk_backlog_rcv+0x13b/0x420 include/net/sock.h:1113 __release_sock+0x1da/0x330 net/core/sock.c:3072 release_sock+0x6b/0x250 net/core/sock.c:3626 pppoe_sendmsg+0x2b8/0xb90 drivers/net/ppp/pppoe.c:903 sock_sendmsg_nosec net/socket.c:729 [inline] __sock_sendmsg+0x30f/0x380 net/socket.c:744 ____sys_sendmsg+0x903/0xb60 net/socket.c:2602 ___sys_sendmsg+0x28d/0x3c0 net/socket.c:2656 __sys_sendmmsg+0x3c1/0x960 net/socket.c:2742 __do_sys_sendmmsg net/socket.c:2771 [inline] __se_sys_sendmmsg net/socket.c:2768 [inline] __x64_sys_sendmmsg+0xbc/0x120 net/socket.c:2768 x64_sys_call+0xb6e/0x3ba0 arch/x86/include/generated/asm/syscalls_64.h:308 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:4092 [inline] slab_alloc_node mm/slub.c:4135 [inline] kmem_cache_alloc_node_noprof+0x6bf/0xb80 mm/slub.c:4187 kmalloc_reserve+0x13d/0x4a0 net/core/skbuff.c:587 __alloc_skb+0x363/0x7b0 net/core/skbuff.c:678 alloc_skb include/linux/skbuff.h:1322 [inline] sock_wmalloc+0xfe/0x1a0 net/core/sock.c:2732 pppoe_sendmsg+0x3a7/0xb90 drivers/net/ppp/pppoe.c:867 sock_sendmsg_nosec net/socket.c:729 [inline] __sock_sendmsg+0x30f/0x380 net/socket.c:744 ____sys_sendmsg+0x903/0xb60 net/socket.c:2602 ___sys_sendmsg+0x28d/0x3c0 net/socket.c:2656 __sys_sendmmsg+0x3c1/0x960 net/socket.c:2742 __do_sys_sendmmsg net/socket.c:2771 [inline] __se_sys_sendmmsg net/socket.c:2768 [inline] __x64_sys_sendmmsg+0xbc/0x120 net/socket.c:2768 x64_sys_call+0xb6e/0x3ba0 arch/x86/include/generated/asm/syscalls_64.h:308 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f CPU: 1 UID: 0 PID: 5411 Comm: syz.1.14 Not tainted 6.12.0-rc1-syzkaller-00165-g360c1f1f24c6 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Уязвимость функции ppp_async_encode() модуля drivers/net/ppp/ppp_async.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: do not delay dst_entries_add() in dst_release() dst_entries_add() uses per-cpu data that might be freed at netns dismantle from ip6_route_net_exit() calling dst_entries_destroy() Before ip6_route_net_exit() can be called, we release all the dsts associated with this netns, via calls to dst_release(), which waits an rcu grace period before calling dst_destroy() dst_entries_add() use in dst_destroy() is racy, because dst_entries_destroy() could have been called already. Decrementing the number of dsts must happen sooner. Notes: 1) in CONFIG_XFRM case, dst_destroy() can call dst_release_immediate(child), this might also cause UAF if the child does not have DST_NOCOUNT set. IPSEC maintainers might take a look and see how to address this. 2) There is also discussion about removing this count of dst, which might happen in future kernels. Уязвимость функции dst_entries_add() ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: xtables: avoid NFPROTO_UNSPEC where needed syzbot managed to call xt_cluster match via ebtables: WARNING: CPU: 0 PID: 11 at net/netfilter/xt_cluster.c:72 xt_cluster_mt+0x196/0x780 [..] ebt_do_table+0x174b/0x2a40 Module registers to NFPROTO_UNSPEC, but it assumes ipv4/ipv6 packet processing. As this is only useful to restrict locally terminating TCP/UDP traffic, register this for ipv4 and ipv6 family only. Pablo points out that this is a general issue, direct users of the set/getsockopt interface can call into targets/matches that were only intended for use with ip(6)tables. Check all UNSPEC matches and targets for similar issues: - matches and targets are fine except if they assume skb_network_header() is valid -- this is only true when called from inet layer: ip(6) stack pulls the ip/ipv6 header into linear data area. - targets that return XT_CONTINUE or other xtables verdicts must be restricted too, they are incompatbile with the ebtables traverser, e.g. EBT_CONTINUE is a completely different value than XT_CONTINUE. Most matches/targets are changed to register for NFPROTO_IPV4/IPV6, as they are provided for use by ip(6)tables. The MARK target is also used by arptables, so register for NFPROTO_ARP too. While at it, bail out if connbytes fails to enable the corresponding conntrack family. This change passes the selftests in iptables.git. Уязвимость компонента net/netfilter/xt_cluster.c ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: accept TCA_STAB only for root qdisc Most qdiscs maintain their backlog using qdisc_pkt_len(skb) on the assumption it is invariant between the enqueue() and dequeue() handlers. Unfortunately syzbot can crash a host rather easily using a TBF + SFQ combination, with an STAB on SFQ [1] We can't support TCA_STAB on arbitrary level, this would require to maintain per-qdisc storage. [1] [ 88.796496] BUG: kernel NULL pointer dereference, address: 0000000000000000 [ 88.798611] #PF: supervisor read access in kernel mode [ 88.799014] #PF: error_code(0x0000) - not-present page [ 88.799506] PGD 0 P4D 0 [ 88.799829] Oops: Oops: 0000 [#1] SMP NOPTI [ 88.800569] CPU: 14 UID: 0 PID: 2053 Comm: b371744477 Not tainted 6.12.0-rc1-virtme #1117 [ 88.801107] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 88.801779] RIP: 0010:sfq_dequeue (net/sched/sch_sfq.c:272 net/sched/sch_sfq.c:499) sch_sfq [ 88.802544] Code: 0f b7 50 12 48 8d 04 d5 00 00 00 00 48 89 d6 48 29 d0 48 8b 91 c0 01 00 00 48 c1 e0 03 48 01 c2 66 83 7a 1a 00 7e c0 48 8b 3a <4c> 8b 07 4c 89 02 49 89 50 08 48 c7 47 08 00 00 00 00 48 c7 07 00 All code ======== 0: 0f b7 50 12 movzwl 0x12(%rax),%edx 4: 48 8d 04 d5 00 00 00 lea 0x0(,%rdx,8),%rax b: 00 c: 48 89 d6 mov %rdx,%rsi f: 48 29 d0 sub %rdx,%rax 12: 48 8b 91 c0 01 00 00 mov 0x1c0(%rcx),%rdx 19: 48 c1 e0 03 shl $0x3,%rax 1d: 48 01 c2 add %rax,%rdx 20: 66 83 7a 1a 00 cmpw $0x0,0x1a(%rdx) 25: 7e c0 jle 0xffffffffffffffe7 27: 48 8b 3a mov (%rdx),%rdi 2a:* 4c 8b 07 mov (%rdi),%r8 <-- trapping instruction 2d: 4c 89 02 mov %r8,(%rdx) 30: 49 89 50 08 mov %rdx,0x8(%r8) 34: 48 c7 47 08 00 00 00 movq $0x0,0x8(%rdi) 3b: 00 3c: 48 rex.W 3d: c7 .byte 0xc7 3e: 07 (bad) ... Code starting with the faulting instruction =========================================== 0: 4c 8b 07 mov (%rdi),%r8 3: 4c 89 02 mov %r8,(%rdx) 6: 49 89 50 08 mov %rdx,0x8(%r8) a: 48 c7 47 08 00 00 00 movq $0x0,0x8(%rdi) 11: 00 12: 48 rex.W 13: c7 .byte 0xc7 14: 07 (bad) ... [ 88.803721] RSP: 0018:ffff9a1f892b7d58 EFLAGS: 00000206 [ 88.804032] RAX: 0000000000000000 RBX: ffff9a1f8420c800 RCX: ffff9a1f8420c800 [ 88.804560] RDX: ffff9a1f81bc1440 RSI: 0000000000000000 RDI: 0000000000000000 [ 88.805056] RBP: ffffffffc04bb0e0 R08: 0000000000000001 R09: 00000000ff7f9a1f [ 88.805473] R10: 000000000001001b R11: 0000000000009a1f R12: 0000000000000140 [ 88.806194] R13: 0000000000000001 R14: ffff9a1f886df400 R15: ffff9a1f886df4ac [ 88.806734] FS: 00007f445601a740(0000) GS:ffff9a2e7fd80000(0000) knlGS:0000000000000000 [ 88.807225] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 88.807672] CR2: 0000000000000000 CR3: 000000050cc46000 CR4: 00000000000006f0 [ 88.808165] Call Trace: [ 88.808459] <TASK> [ 88.808710] ? __die (arch/x86/kernel/dumpstack.c:421 arch/x86/kernel/dumpstack.c:434) [ 88.809261] ? page_fault_oops (arch/x86/mm/fault.c:715) [ 88.809561] ? exc_page_fault (./arch/x86/include/asm/irqflags.h:26 ./arch/x86/include/asm/irqflags.h:87 ./arch/x86/include/asm/irqflags.h:147 arch/x86/mm/fault.c:1489 arch/x86/mm/fault.c:1539) [ 88.809806] ? asm_exc_page_fault (./arch/x86/include/asm/idtentry.h:623) [ 88.810074] ? sfq_dequeue (net/sched/sch_sfq.c:272 net/sched/sch_sfq.c:499) sch_sfq [ 88.810411] sfq_reset (net/sched/sch_sfq.c:525) sch_sfq [ 88.810671] qdisc_reset (./include/linux/skbuff.h:2135 ./include/linux/skbuff.h:2441 ./include/linux/skbuff.h:3304 ./include/linux/skbuff.h:3310 net/sched/sch_g ---truncated--- Уязвимость компонента net/sched ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: igb: Do not bring the device up after non-fatal error Commit 004d25060c78 ("igb: Fix igb_down hung on surprise removal") changed igb_io_error_detected() to ignore non-fatal pcie errors in order to avoid hung task that can happen when igb_down() is called multiple times. This caused an issue when processing transient non-fatal errors. igb_io_resume(), which is called after igb_io_error_detected(), assumes that device is brought down by igb_io_error_detected() if the interface is up. This resulted in panic with stacktrace below. [ T3256] igb 0000:09:00.0 haeth0: igb: haeth0 NIC Link is Down [ T292] pcieport 0000:00:1c.5: AER: Uncorrected (Non-Fatal) error received: 0000:09:00.0 [ T292] igb 0000:09:00.0: PCIe Bus Error: severity=Uncorrected (Non-Fatal), type=Transaction Layer, (Requester ID) [ T292] igb 0000:09:00.0: device [8086:1537] error status/mask=00004000/00000000 [ T292] igb 0000:09:00.0: [14] CmpltTO [ 200.105524,009][ T292] igb 0000:09:00.0: AER: TLP Header: 00000000 00000000 00000000 00000000 [ T292] pcieport 0000:00:1c.5: AER: broadcast error_detected message [ T292] igb 0000:09:00.0: Non-correctable non-fatal error reported. [ T292] pcieport 0000:00:1c.5: AER: broadcast mmio_enabled message [ T292] pcieport 0000:00:1c.5: AER: broadcast resume message [ T292] ------------[ cut here ]------------ [ T292] kernel BUG at net/core/dev.c:6539! [ T292] invalid opcode: 0000 [#1] PREEMPT SMP [ T292] RIP: 0010:napi_enable+0x37/0x40 [ T292] Call Trace: [ T292] <TASK> [ T292] ? die+0x33/0x90 [ T292] ? do_trap+0xdc/0x110 [ T292] ? napi_enable+0x37/0x40 [ T292] ? do_error_trap+0x70/0xb0 [ T292] ? napi_enable+0x37/0x40 [ T292] ? napi_enable+0x37/0x40 [ T292] ? exc_invalid_op+0x4e/0x70 [ T292] ? napi_enable+0x37/0x40 [ T292] ? asm_exc_invalid_op+0x16/0x20 [ T292] ? napi_enable+0x37/0x40 [ T292] igb_up+0x41/0x150 [ T292] igb_io_resume+0x25/0x70 [ T292] report_resume+0x54/0x70 [ T292] ? report_frozen_detected+0x20/0x20 [ T292] pci_walk_bus+0x6c/0x90 [ T292] ? aer_print_port_info+0xa0/0xa0 [ T292] pcie_do_recovery+0x22f/0x380 [ T292] aer_process_err_devices+0x110/0x160 [ T292] aer_isr+0x1c1/0x1e0 [ T292] ? disable_irq_nosync+0x10/0x10 [ T292] irq_thread_fn+0x1a/0x60 [ T292] irq_thread+0xe3/0x1a0 [ T292] ? irq_set_affinity_notifier+0x120/0x120 [ T292] ? irq_affinity_notify+0x100/0x100 [ T292] kthread+0xe2/0x110 [ T292] ? kthread_complete_and_exit+0x20/0x20 [ T292] ret_from_fork+0x2d/0x50 [ T292] ? kthread_complete_and_exit+0x20/0x20 [ T292] ret_from_fork_asm+0x11/0x20 [ T292] </TASK> To fix this issue igb_io_resume() checks if the interface is running and the device is not down this means igb_io_error_detected() did not bring the device down and there is no need to bring it up. Уязвимость ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i40e: Fix macvlan leak by synchronizing access to mac_filter_hash This patch addresses a macvlan leak issue in the i40e driver caused by concurrent access to vsi->mac_filter_hash. The leak occurs when multiple threads attempt to modify the mac_filter_hash simultaneously, leading to inconsistent state and potential memory leaks. To fix this, we now wrap the calls to i40e_del_mac_filter() and zeroing vf->default_lan_addr.addr with spin_lock/unlock_bh(&vsi->mac_filter_hash_lock), ensuring atomic operations and preventing concurrent access. Additionally, we add lockdep_assert_held(&vsi->mac_filter_hash_lock) in i40e_add_mac_filter() to help catch similar issues in the future. Reproduction steps: 1. Spawn VFs and configure port vlan on them. 2. Trigger concurrent macvlan operations (e.g., adding and deleting portvlan and/or mac filters). 3. Observe the potential memory leak and inconsistent state in the mac_filter_hash. This synchronization ensures the integrity of the mac_filter_hash and prevents the described leak. Уязвимость компонента i40e ядра операционной системы Linux связана с некорректной блокировкой ресурсов в функции i40e_vc_get_vf_resources_msg(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: RFCOMM: FIX possible deadlock in rfcomm_sk_state_change rfcomm_sk_state_change attempts to use sock_lock so it must never be called with it locked but rfcomm_sock_ioctl always attempt to lock it causing the following trace: ====================================================== WARNING: possible circular locking dependency detected 6.8.0-syzkaller-08951-gfe46a7dd189e #0 Not tainted ------------------------------------------------------ syz-executor386/5093 is trying to acquire lock: ffff88807c396258 (sk_lock-AF_BLUETOOTH-BTPROTO_RFCOMM){+.+.}-{0:0}, at: lock_sock include/net/sock.h:1671 [inline] ffff88807c396258 (sk_lock-AF_BLUETOOTH-BTPROTO_RFCOMM){+.+.}-{0:0}, at: rfcomm_sk_state_change+0x5b/0x310 net/bluetooth/rfcomm/sock.c:73 but task is already holding lock: ffff88807badfd28 (&d->lock){+.+.}-{3:3}, at: __rfcomm_dlc_close+0x226/0x6a0 net/bluetooth/rfcomm/core.c:491 Уязвимость компонента Bluetooth ядра операционной системы Linux связана с некорректной блокировкой ресурсов в функции rfcomm_sock_ioctl(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: br_netfilter: fix panic with metadata_dst skb Fix a kernel panic in the br_netfilter module when sending untagged traffic via a VxLAN device. This happens during the check for fragmentation in br_nf_dev_queue_xmit. It is dependent on: 1) the br_netfilter module being loaded; 2) net.bridge.bridge-nf-call-iptables set to 1; 3) a bridge with a VxLAN (single-vxlan-device) netdevice as a bridge port; 4) untagged frames with size higher than the VxLAN MTU forwarded/flooded When forwarding the untagged packet to the VxLAN bridge port, before the netfilter hooks are called, br_handle_egress_vlan_tunnel is called and changes the skb_dst to the tunnel dst. The tunnel_dst is a metadata type of dst, i.e., skb_valid_dst(skb) is false, and metadata->dst.dev is NULL. Then in the br_netfilter hooks, in br_nf_dev_queue_xmit, there's a check for frames that needs to be fragmented: frames with higher MTU than the VxLAN device end up calling br_nf_ip_fragment, which in turns call ip_skb_dst_mtu. The ip_dst_mtu tries to use the skb_dst(skb) as if it was a valid dst with valid dst->dev, thus the crash. This case was never supported in the first place, so drop the packet instead. PING 10.0.0.2 (10.0.0.2) from 0.0.0.0 h1-eth0: 2000(2028) bytes of data. [ 176.291791] Unable to handle kernel NULL pointer dereference at virtual address 0000000000000110 [ 176.292101] Mem abort info: [ 176.292184] ESR = 0x0000000096000004 [ 176.292322] EC = 0x25: DABT (current EL), IL = 32 bits [ 176.292530] SET = 0, FnV = 0 [ 176.292709] EA = 0, S1PTW = 0 [ 176.292862] FSC = 0x04: level 0 translation fault [ 176.293013] Data abort info: [ 176.293104] ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 [ 176.293488] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 176.293787] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 176.293995] user pgtable: 4k pages, 48-bit VAs, pgdp=0000000043ef5000 [ 176.294166] [0000000000000110] pgd=0000000000000000, p4d=0000000000000000 [ 176.294827] Internal error: Oops: 0000000096000004 [#1] PREEMPT SMP [ 176.295252] Modules linked in: vxlan ip6_udp_tunnel udp_tunnel veth br_netfilter bridge stp llc ipv6 crct10dif_ce [ 176.295923] CPU: 0 PID: 188 Comm: ping Not tainted 6.8.0-rc3-g5b3fbd61b9d1 #2 [ 176.296314] Hardware name: linux,dummy-virt (DT) [ 176.296535] pstate: 80000005 (Nzcv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 176.296808] pc : br_nf_dev_queue_xmit+0x390/0x4ec [br_netfilter] [ 176.297382] lr : br_nf_dev_queue_xmit+0x2ac/0x4ec [br_netfilter] [ 176.297636] sp : ffff800080003630 [ 176.297743] x29: ffff800080003630 x28: 0000000000000008 x27: ffff6828c49ad9f8 [ 176.298093] x26: ffff6828c49ad000 x25: 0000000000000000 x24: 00000000000003e8 [ 176.298430] x23: 0000000000000000 x22: ffff6828c4960b40 x21: ffff6828c3b16d28 [ 176.298652] x20: ffff6828c3167048 x19: ffff6828c3b16d00 x18: 0000000000000014 [ 176.298926] x17: ffffb0476322f000 x16: ffffb7e164023730 x15: 0000000095744632 [ 176.299296] x14: ffff6828c3f1c880 x13: 0000000000000002 x12: ffffb7e137926a70 [ 176.299574] x11: 0000000000000001 x10: ffff6828c3f1c898 x9 : 0000000000000000 [ 176.300049] x8 : ffff6828c49bf070 x7 : 0008460f18d5f20e x6 : f20e0100bebafeca [ 176.300302] x5 : ffff6828c7f918fe x4 : ffff6828c49bf070 x3 : 0000000000000000 [ 176.300586] x2 : 0000000000000000 x1 : ffff6828c3c7ad00 x0 : ffff6828c7f918f0 [ 176.300889] Call trace: [ 176.301123] br_nf_dev_queue_xmit+0x390/0x4ec [br_netfilter] [ 176.301411] br_nf_post_routing+0x2a8/0x3e4 [br_netfilter] [ 176.301703] nf_hook_slow+0x48/0x124 [ 176.302060] br_forward_finish+0xc8/0xe8 [bridge] [ 176.302371] br_nf_hook_thresh+0x124/0x134 [br_netfilter] [ 176.302605] br_nf_forward_finish+0x118/0x22c [br_netfilter] [ 176.302824] br_nf_forward_ip.part.0+0x264/0x290 [br_netfilter] [ 176.303136] br_nf_forward+0x2b8/0x4e0 [br_netfilter] [ 176.303359] nf_hook_slow+0x48/0x124 [ 176.303 ---truncated--- Уязвимость компонента netfilter ядра операционной системы Linux связана с неправильной проверкой входных данных в функции br_nf_dev_queue_xmit(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSv4: Prevent NULL-pointer dereference in nfs42_complete_copies() On the node of an NFS client, some files saved in the mountpoint of the NFS server were copied to another location of the same NFS server. Accidentally, the nfs42_complete_copies() got a NULL-pointer dereference crash with the following syslog: [232064.838881] NFSv4: state recovery failed for open file nfs/pvc-12b5200d-cd0f-46a3-b9f0-af8f4fe0ef64.qcow2, error = -116 [232064.839360] NFSv4: state recovery failed for open file nfs/pvc-12b5200d-cd0f-46a3-b9f0-af8f4fe0ef64.qcow2, error = -116 [232066.588183] Unable to handle kernel NULL pointer dereference at virtual address 0000000000000058 [232066.588586] Mem abort info: [232066.588701] ESR = 0x0000000096000007 [232066.588862] EC = 0x25: DABT (current EL), IL = 32 bits [232066.589084] SET = 0, FnV = 0 [232066.589216] EA = 0, S1PTW = 0 [232066.589340] FSC = 0x07: level 3 translation fault [232066.589559] Data abort info: [232066.589683] ISV = 0, ISS = 0x00000007 [232066.589842] CM = 0, WnR = 0 [232066.589967] user pgtable: 64k pages, 48-bit VAs, pgdp=00002000956ff400 [232066.590231] [0000000000000058] pgd=08001100ae100003, p4d=08001100ae100003, pud=08001100ae100003, pmd=08001100b3c00003, pte=0000000000000000 [232066.590757] Internal error: Oops: 96000007 [#1] SMP [232066.590958] Modules linked in: rpcsec_gss_krb5 auth_rpcgss nfsv4 dns_resolver nfs lockd grace fscache netfs ocfs2_dlmfs ocfs2_stack_o2cb ocfs2_dlm vhost_net vhost vhost_iotlb tap tun ipt_rpfilter xt_multiport ip_set_hash_ip ip_set_hash_net xfrm_interface xfrm6_tunnel tunnel4 tunnel6 esp4 ah4 wireguard libcurve25519_generic veth xt_addrtype xt_set nf_conntrack_netlink ip_set_hash_ipportnet ip_set_hash_ipportip ip_set_bitmap_port ip_set_hash_ipport dummy ip_set ip_vs_sh ip_vs_wrr ip_vs_rr ip_vs iptable_filter sch_ingress nfnetlink_cttimeout vport_gre ip_gre ip_tunnel gre vport_geneve geneve vport_vxlan vxlan ip6_udp_tunnel udp_tunnel openvswitch nf_conncount dm_round_robin dm_service_time dm_multipath xt_nat xt_MASQUERADE nft_chain_nat nf_nat xt_mark xt_conntrack xt_comment nft_compat nft_counter nf_tables nfnetlink ocfs2 ocfs2_nodemanager ocfs2_stackglue iscsi_tcp libiscsi_tcp libiscsi scsi_transport_iscsi ipmi_ssif nbd overlay 8021q garp mrp bonding tls rfkill sunrpc ext4 mbcache jbd2 [232066.591052] vfat fat cas_cache cas_disk ses enclosure scsi_transport_sas sg acpi_ipmi ipmi_si ipmi_devintf ipmi_msghandler ip_tables vfio_pci vfio_pci_core vfio_virqfd vfio_iommu_type1 vfio dm_mirror dm_region_hash dm_log dm_mod nf_conntrack nf_defrag_ipv6 nf_defrag_ipv4 br_netfilter bridge stp llc fuse xfs libcrc32c ast drm_vram_helper qla2xxx drm_kms_helper syscopyarea crct10dif_ce sysfillrect ghash_ce sysimgblt sha2_ce fb_sys_fops cec sha256_arm64 sha1_ce drm_ttm_helper ttm nvme_fc igb sbsa_gwdt nvme_fabrics drm nvme_core i2c_algo_bit i40e scsi_transport_fc megaraid_sas aes_neon_bs [232066.596953] CPU: 6 PID: 4124696 Comm: 10.253.166.125- Kdump: loaded Not tainted 5.15.131-9.cl9_ocfs2.aarch64 #1 [232066.597356] Hardware name: Great Wall .\x93\x8e...RF6260 V5/GWMSSE2GL1T, BIOS T656FBE_V3.0.18 2024-01-06 [232066.597721] pstate: 20400009 (nzCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [232066.598034] pc : nfs4_reclaim_open_state+0x220/0x800 [nfsv4] [232066.598327] lr : nfs4_reclaim_open_state+0x12c/0x800 [nfsv4] [232066.598595] sp : ffff8000f568fc70 [232066.598731] x29: ffff8000f568fc70 x28: 0000000000001000 x27: ffff21003db33000 [232066.599030] x26: ffff800005521ae0 x25: ffff0100f98fa3f0 x24: 0000000000000001 [232066.599319] x23: ffff800009920008 x22: ffff21003db33040 x21: ffff21003db33050 [232066.599628] x20: ffff410172fe9e40 x19: ffff410172fe9e00 x18: 0000000000000000 [232066.599914] x17: 0000000000000000 x16: 0000000000000004 x15: 0000000000000000 [232066.600195] x14: 0000000000000000 x13: ffff800008e685a8 x12: 00000000eac0c6e6 [232066.600498] x11: 00000000000000 ---truncated--- Уязвимость компонента NFSv4 ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbcon: Fix a NULL pointer dereference issue in fbcon_putcs syzbot has found a NULL pointer dereference bug in fbcon. Here is the simplified C reproducer: struct param { uint8_t type; struct tiocl_selection ts; }; int main() { struct fb_con2fbmap con2fb; struct param param; int fd = open("/dev/fb1", 0, 0); con2fb.console = 0x19; con2fb.framebuffer = 0; ioctl(fd, FBIOPUT_CON2FBMAP, &con2fb); param.type = 2; param.ts.xs = 0; param.ts.ys = 0; param.ts.xe = 0; param.ts.ye = 0; param.ts.sel_mode = 0; int fd1 = open("/dev/tty1", O_RDWR, 0); ioctl(fd1, TIOCLINUX, &param); con2fb.console = 1; con2fb.framebuffer = 0; ioctl(fd, FBIOPUT_CON2FBMAP, &con2fb); return 0; } After calling ioctl(fd1, TIOCLINUX, &param), the subsequent ioctl(fd, FBIOPUT_CON2FBMAP, &con2fb) causes the kernel to follow a different execution path: set_con2fb_map -> con2fb_init_display -> fbcon_set_disp -> redraw_screen -> hide_cursor -> clear_selection -> highlight -> invert_screen -> do_update_region -> fbcon_putcs -> ops->putcs Since ops->putcs is a NULL pointer, this leads to a kernel panic. To prevent this, we need to call set_blitting_type() within set_con2fb_map() to properly initialize ops->putcs. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check null pointer before dereferencing se [WHAT & HOW] se is null checked previously in the same function, indicating it might be null; therefore, it must be checked when used again. This fixes 1 FORWARD_NULL issue reported by Coverity. Уязвимость компонентов drm/amd/display ядра операционной системы Linux связана с неправильной проверкой входных данных в функции dc_validate_seamless_boot_timing(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spi: mpc52xx: Add cancel_work_sync before module remove If we remove the module which will call mpc52xx_spi_remove it will free 'ms' through spi_unregister_controller. while the work ms->work will be used. The sequence of operations that may lead to a UAF bug. Fix it by ensuring that the work is canceled before proceeding with the cleanup in mpc52xx_spi_remove. Уязвимость компонента drivers/spi/spi-mpc52xx.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: protect uart_port_dtr_rts() in uart_shutdown() too Commit af224ca2df29 (serial: core: Prevent unsafe uart port access, part 3) added few uport == NULL checks. It added one to uart_shutdown(), so the commit assumes, uport can be NULL in there. But right after that protection, there is an unprotected "uart_port_dtr_rts(uport, false);" call. That is invoked only if HUPCL is set, so I assume that is the reason why we do not see lots of these reports. Or it cannot be NULL at this point at all for some reason :P. Until the above is investigated, stay on the safe side and move this dereference to the if too. I got this inconsistency from Coverity under CID 1585130. Thanks. Уязвимость функции uart_shutdown() ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ntb: ntb_hw_switchtec: Fix use after free vulnerability in switchtec_ntb_remove due to race condition In the switchtec_ntb_add function, it can call switchtec_ntb_init_sndev function, then &sndev->check_link_status_work is bound with check_link_status_work. switchtec_ntb_link_notification may be called to start the work. If we remove the module which will call switchtec_ntb_remove to make cleanup, it will free sndev through kfree(sndev), while the work mentioned above will be used. The sequence of operations that may lead to a UAF bug is as follows: CPU0 CPU1 | check_link_status_work switchtec_ntb_remove | kfree(sndev); | | if (sndev->link_force_down) | // use sndev Fix it by ensuring that the work is canceled before proceeding with the cleanup in switchtec_ntb_remove. Уязвимость функции switchtec_ntb_remove() в модуле drivers/ntb/hw/mscc/ntb_hw_switchtec.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: io_uring: check if we need to reschedule during overflow flush In terms of normal application usage, this list will always be empty. And if an application does overflow a bit, it'll have a few entries. However, nothing obviously prevents syzbot from running a test case that generates a ton of overflow entries, and then flushing them can take quite a while. Check for needing to reschedule while flushing, and drop our locks and do so if necessary. There's no state to maintain here as overflows always prune from head-of-list, hence it's fine to drop and reacquire the locks at the end of the loop. Уязвимость ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/rtrs-srv: Avoid null pointer deref during path establishment For RTRS path establishment, RTRS client initiates and completes con_num of connections. After establishing all its connections, the information is exchanged between the client and server through the info_req message. During this exchange, it is essential that all connections have been established, and the state of the RTRS srv path is CONNECTED. So add these sanity checks, to make sure we detect and abort process in error scenarios to avoid null pointer deref. Уязвимость компонента RDMA/rtrs-srv ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: uprobe: avoid out-of-bounds memory access of fetching args Uprobe needs to fetch args into a percpu buffer, and then copy to ring buffer to avoid non-atomic context problem. Sometimes user-space strings, arrays can be very large, but the size of percpu buffer is only page size. And store_trace_args() won't check whether these data exceeds a single page or not, caused out-of-bounds memory access. It could be reproduced by following steps: 1. build kernel with CONFIG_KASAN enabled 2. save follow program as test.c ``` \#include <stdio.h> \#include <stdlib.h> \#include <string.h> // If string length large than MAX_STRING_SIZE, the fetch_store_strlen() // will return 0, cause __get_data_size() return shorter size, and // store_trace_args() will not trigger out-of-bounds access. // So make string length less than 4096. \#define STRLEN 4093 void generate_string(char *str, int n) { int i; for (i = 0; i < n; ++i) { char c = i % 26 + 'a'; str[i] = c; } str[n-1] = '\0'; } void print_string(char *str) { printf("%s\n", str); } int main() { char tmp[STRLEN]; generate_string(tmp, STRLEN); print_string(tmp); return 0; } ``` 3. compile program `gcc -o test test.c` 4. get the offset of `print_string()` ``` objdump -t test | grep -w print_string 0000000000401199 g F .text 000000000000001b print_string ``` 5. configure uprobe with offset 0x1199 ``` off=0x1199 cd /sys/kernel/debug/tracing/ echo "p /root/test:${off} arg1=+0(%di):ustring arg2=\$comm arg3=+0(%di):ustring" > uprobe_events echo 1 > events/uprobes/enable echo 1 > tracing_on ``` 6. run `test`, and kasan will report error. ================================================================== BUG: KASAN: use-after-free in strncpy_from_user+0x1d6/0x1f0 Write of size 8 at addr ffff88812311c004 by task test/499CPU: 0 UID: 0 PID: 499 Comm: test Not tainted 6.12.0-rc3+ #18 Hardware name: Red Hat KVM, BIOS 1.16.0-4.al8 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x55/0x70 print_address_description.constprop.0+0x27/0x310 kasan_report+0x10f/0x120 ? strncpy_from_user+0x1d6/0x1f0 strncpy_from_user+0x1d6/0x1f0 ? rmqueue.constprop.0+0x70d/0x2ad0 process_fetch_insn+0xb26/0x1470 ? __pfx_process_fetch_insn+0x10/0x10 ? _raw_spin_lock+0x85/0xe0 ? __pfx__raw_spin_lock+0x10/0x10 ? __pte_offset_map+0x1f/0x2d0 ? unwind_next_frame+0xc5f/0x1f80 ? arch_stack_walk+0x68/0xf0 ? is_bpf_text_address+0x23/0x30 ? kernel_text_address.part.0+0xbb/0xd0 ? __kernel_text_address+0x66/0xb0 ? unwind_get_return_address+0x5e/0xa0 ? __pfx_stack_trace_consume_entry+0x10/0x10 ? arch_stack_walk+0xa2/0xf0 ? _raw_spin_lock_irqsave+0x8b/0xf0 ? __pfx__raw_spin_lock_irqsave+0x10/0x10 ? depot_alloc_stack+0x4c/0x1f0 ? _raw_spin_unlock_irqrestore+0xe/0x30 ? stack_depot_save_flags+0x35d/0x4f0 ? kasan_save_stack+0x34/0x50 ? kasan_save_stack+0x24/0x50 ? mutex_lock+0x91/0xe0 ? __pfx_mutex_lock+0x10/0x10 prepare_uprobe_buffer.part.0+0x2cd/0x500 uprobe_dispatcher+0x2c3/0x6a0 ? __pfx_uprobe_dispatcher+0x10/0x10 ? __kasan_slab_alloc+0x4d/0x90 handler_chain+0xdd/0x3e0 handle_swbp+0x26e/0x3d0 ? __pfx_handle_swbp+0x10/0x10 ? uprobe_pre_sstep_notifier+0x151/0x1b0 irqentry_exit_to_user_mode+0xe2/0x1b0 asm_exc_int3+0x39/0x40 RIP: 0033:0x401199 Code: 01 c2 0f b6 45 fb 88 02 83 45 fc 01 8b 45 fc 3b 45 e4 7c b7 8b 45 e4 48 98 48 8d 50 ff 48 8b 45 e8 48 01 d0 ce RSP: 002b:00007ffdf00576a8 EFLAGS: 00000206 RAX: 00007ffdf00576b0 RBX: 0000000000000000 RCX: 0000000000000ff2 RDX: 0000000000000ffc RSI: 0000000000000ffd RDI: 00007ffdf00576b0 RBP: 00007ffdf00586b0 R08: 00007feb2f9c0d20 R09: 00007feb2f9c0d20 R10: 0000000000000001 R11: 0000000000000202 R12: 0000000000401040 R13: 00007ffdf0058780 R14: 0000000000000000 R15: 0000000000000000 </TASK> This commit enforces the buffer's maxlen less than a page-size to avoid store_trace_args() out-of-memory access. Уязвимость компонента kernel/trace/trace_uprobe.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: apple: check devm_kasprintf() returned value devm_kasprintf() can return a NULL pointer on failure but this returned value is not checked. Fix this lack and check the returned value. Found by code review. Уязвимость компонента pinctrl ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/bugs: Use code segment selector for VERW operand Robert Gill reported below #GP in 32-bit mode when dosemu software was executing vm86() system call: general protection fault: 0000 [#1] PREEMPT SMP CPU: 4 PID: 4610 Comm: dosemu.bin Not tainted 6.6.21-gentoo-x86 #1 Hardware name: Dell Inc. PowerEdge 1950/0H723K, BIOS 2.7.0 10/30/2010 EIP: restore_all_switch_stack+0xbe/0xcf EAX: 00000000 EBX: 00000000 ECX: 00000000 EDX: 00000000 ESI: 00000000 EDI: 00000000 EBP: 00000000 ESP: ff8affdc DS: 0000 ES: 0000 FS: 0000 GS: 0033 SS: 0068 EFLAGS: 00010046 CR0: 80050033 CR2: 00c2101c CR3: 04b6d000 CR4: 000406d0 Call Trace: show_regs+0x70/0x78 die_addr+0x29/0x70 exc_general_protection+0x13c/0x348 exc_bounds+0x98/0x98 handle_exception+0x14d/0x14d exc_bounds+0x98/0x98 restore_all_switch_stack+0xbe/0xcf exc_bounds+0x98/0x98 restore_all_switch_stack+0xbe/0xcf This only happens in 32-bit mode when VERW based mitigations like MDS/RFDS are enabled. This is because segment registers with an arbitrary user value can result in #GP when executing VERW. Intel SDM vol. 2C documents the following behavior for VERW instruction: #GP(0) - If a memory operand effective address is outside the CS, DS, ES, FS, or GS segment limit. CLEAR_CPU_BUFFERS macro executes VERW instruction before returning to user space. Use %cs selector to reference VERW operand. This ensures VERW will not #GP for an arbitrary user %ds. [ mingo: Fixed the SOB chain. ] Уязвимость ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tty: n_gsm: Fix use-after-free in gsm_cleanup_mux BUG: KASAN: slab-use-after-free in gsm_cleanup_mux+0x77b/0x7b0 drivers/tty/n_gsm.c:3160 [n_gsm] Read of size 8 at addr ffff88815fe99c00 by task poc/3379 CPU: 0 UID: 0 PID: 3379 Comm: poc Not tainted 6.11.0+ #56 Hardware name: VMware, Inc. VMware Virtual Platform/440BX Desktop Reference Platform, BIOS 6.00 11/12/2020 Call Trace: <TASK> gsm_cleanup_mux+0x77b/0x7b0 drivers/tty/n_gsm.c:3160 [n_gsm] __pfx_gsm_cleanup_mux+0x10/0x10 drivers/tty/n_gsm.c:3124 [n_gsm] __pfx_sched_clock_cpu+0x10/0x10 kernel/sched/clock.c:389 update_load_avg+0x1c1/0x27b0 kernel/sched/fair.c:4500 __pfx_min_vruntime_cb_rotate+0x10/0x10 kernel/sched/fair.c:846 __rb_insert_augmented+0x492/0xbf0 lib/rbtree.c:161 gsmld_ioctl+0x395/0x1450 drivers/tty/n_gsm.c:3408 [n_gsm] _raw_spin_lock_irqsave+0x92/0xf0 arch/x86/include/asm/atomic.h:107 __pfx_gsmld_ioctl+0x10/0x10 drivers/tty/n_gsm.c:3822 [n_gsm] ktime_get+0x5e/0x140 kernel/time/timekeeping.c:195 ldsem_down_read+0x94/0x4e0 arch/x86/include/asm/atomic64_64.h:79 __pfx_ldsem_down_read+0x10/0x10 drivers/tty/tty_ldsem.c:338 __pfx_do_vfs_ioctl+0x10/0x10 fs/ioctl.c:805 tty_ioctl+0x643/0x1100 drivers/tty/tty_io.c:2818 Allocated by task 65: gsm_data_alloc.constprop.0+0x27/0x190 drivers/tty/n_gsm.c:926 [n_gsm] gsm_send+0x2c/0x580 drivers/tty/n_gsm.c:819 [n_gsm] gsm1_receive+0x547/0xad0 drivers/tty/n_gsm.c:3038 [n_gsm] gsmld_receive_buf+0x176/0x280 drivers/tty/n_gsm.c:3609 [n_gsm] tty_ldisc_receive_buf+0x101/0x1e0 drivers/tty/tty_buffer.c:391 tty_port_default_receive_buf+0x61/0xa0 drivers/tty/tty_port.c:39 flush_to_ldisc+0x1b0/0x750 drivers/tty/tty_buffer.c:445 process_scheduled_works+0x2b0/0x10d0 kernel/workqueue.c:3229 worker_thread+0x3dc/0x950 kernel/workqueue.c:3391 kthread+0x2a3/0x370 kernel/kthread.c:389 ret_from_fork+0x2d/0x70 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:257 Freed by task 3367: kfree+0x126/0x420 mm/slub.c:4580 gsm_cleanup_mux+0x36c/0x7b0 drivers/tty/n_gsm.c:3160 [n_gsm] gsmld_ioctl+0x395/0x1450 drivers/tty/n_gsm.c:3408 [n_gsm] tty_ioctl+0x643/0x1100 drivers/tty/tty_io.c:2818 [Analysis] gsm_msg on the tx_ctrl_list or tx_data_list of gsm_mux can be freed by multi threads through ioctl,which leads to the occurrence of uaf. Protect it by gsm tx lock. Уязвимость функции gsm_cleanup_mux() компонента drivers/tty/n_gsm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: ISO: Fix multiple init when debugfs is disabled If bt_debugfs is not created successfully, which happens if either CONFIG_DEBUG_FS or CONFIG_DEBUG_FS_ALLOW_ALL is unset, then iso_init() returns early and does not set iso_inited to true. This means that a subsequent call to iso_init() will result in duplicate calls to proto_register(), bt_sock_register(), etc. With CONFIG_LIST_HARDENED and CONFIG_BUG_ON_DATA_CORRUPTION enabled, the duplicate call to proto_register() triggers this BUG(): list_add double add: new=ffffffffc0b280d0, prev=ffffffffbab56250, next=ffffffffc0b280d0. ------------[ cut here ]------------ kernel BUG at lib/list_debug.c:35! Oops: invalid opcode: 0000 [#1] PREEMPT SMP PTI CPU: 2 PID: 887 Comm: bluetoothd Not tainted 6.10.11-1-ao-desktop #1 RIP: 0010:__list_add_valid_or_report+0x9a/0xa0 ... __list_add_valid_or_report+0x9a/0xa0 proto_register+0x2b5/0x340 iso_init+0x23/0x150 [bluetooth] set_iso_socket_func+0x68/0x1b0 [bluetooth] kmem_cache_free+0x308/0x330 hci_sock_sendmsg+0x990/0x9e0 [bluetooth] __sock_sendmsg+0x7b/0x80 sock_write_iter+0x9a/0x110 do_iter_readv_writev+0x11d/0x220 vfs_writev+0x180/0x3e0 do_writev+0xca/0x100 ... This change removes the early return. The check for iso_debugfs being NULL was unnecessary, it is always NULL when iso_inited is false. Уязвимость компонента Bluetooth ядра операционной системы Linux связана с неправильной обработкой ошибок в функции iso_init() в net/bluetooth/iso.c. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Call iso_exit() on module unload If iso_init() has been called, iso_exit() must be called on module unload. Without that, the struct proto that iso_init() registered with proto_register() becomes invalid, which could cause unpredictable problems later. In my case, with CONFIG_LIST_HARDENED and CONFIG_BUG_ON_DATA_CORRUPTION enabled, loading the module again usually triggers this BUG(): list_add corruption. next->prev should be prev (ffffffffb5355fd0), but was 0000000000000068. (next=ffffffffc0a010d0). ------------[ cut here ]------------ kernel BUG at lib/list_debug.c:29! Oops: invalid opcode: 0000 [#1] PREEMPT SMP PTI CPU: 1 PID: 4159 Comm: modprobe Not tainted 6.10.11-4+bt2-ao-desktop #1 RIP: 0010:__list_add_valid_or_report+0x61/0xa0 ... __list_add_valid_or_report+0x61/0xa0 proto_register+0x299/0x320 hci_sock_init+0x16/0xc0 [bluetooth] bt_init+0x68/0xd0 [bluetooth] __pfx_bt_init+0x10/0x10 [bluetooth] do_one_initcall+0x80/0x2f0 do_init_module+0x8b/0x230 __do_sys_init_module+0x15f/0x190 do_syscall_64+0x68/0x110 ... Уязвимость компонента Bluetooth ядра операционной системы Linux связана с неправильной обработкой ошибок в функции bt_exit() в net/bluetooth/af_bluetooth.c. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: blk-rq-qos: fix crash on rq_qos_wait vs. rq_qos_wake_function race We're seeing crashes from rq_qos_wake_function that look like this: BUG: unable to handle page fault for address: ffffafe180a40084 #PF: supervisor write access in kernel mode #PF: error_code(0x0002) - not-present page PGD 100000067 P4D 100000067 PUD 10027c067 PMD 10115d067 PTE 0 Oops: Oops: 0002 [#1] PREEMPT SMP PTI CPU: 17 UID: 0 PID: 0 Comm: swapper/17 Not tainted 6.12.0-rc3-00013-geca631b8fe80 #11 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:_raw_spin_lock_irqsave+0x1d/0x40 Code: 90 90 90 90 90 90 90 90 90 90 90 90 90 f3 0f 1e fa 0f 1f 44 00 00 41 54 9c 41 5c fa 65 ff 05 62 97 30 4c 31 c0 ba 01 00 00 00 <f0> 0f b1 17 75 0a 4c 89 e0 41 5c c3 cc cc cc cc 89 c6 e8 2c 0b 00 RSP: 0018:ffffafe180580ca0 EFLAGS: 00010046 RAX: 0000000000000000 RBX: ffffafe180a3f7a8 RCX: 0000000000000011 RDX: 0000000000000001 RSI: 0000000000000003 RDI: ffffafe180a40084 RBP: 0000000000000000 R08: 00000000001e7240 R09: 0000000000000011 R10: 0000000000000028 R11: 0000000000000888 R12: 0000000000000002 R13: ffffafe180a40084 R14: 0000000000000000 R15: 0000000000000003 FS: 0000000000000000(0000) GS:ffff9aaf1f280000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffafe180a40084 CR3: 000000010e428002 CR4: 0000000000770ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <IRQ> try_to_wake_up+0x5a/0x6a0 rq_qos_wake_function+0x71/0x80 __wake_up_common+0x75/0xa0 __wake_up+0x36/0x60 scale_up.part.0+0x50/0x110 wb_timer_fn+0x227/0x450 ... So rq_qos_wake_function() calls wake_up_process(data->task), which calls try_to_wake_up(), which faults in raw_spin_lock_irqsave(&p->pi_lock). p comes from data->task, and data comes from the waitqueue entry, which is stored on the waiter's stack in rq_qos_wait(). Analyzing the core dump with drgn, I found that the waiter had already woken up and moved on to a completely unrelated code path, clobbering what was previously data->task. Meanwhile, the waker was passing the clobbered garbage in data->task to wake_up_process(), leading to the crash. What's happening is that in between rq_qos_wake_function() deleting the waitqueue entry and calling wake_up_process(), rq_qos_wait() is finding that it already got a token and returning. The race looks like this: rq_qos_wait() rq_qos_wake_function() ============================================================== prepare_to_wait_exclusive() data->got_token = true; list_del_init(&curr->entry); if (data.got_token) break; finish_wait(&rqw->wait, &data.wq); ^- returns immediately because list_empty_careful(&wq_entry->entry) is true ... return, go do something else ... wake_up_process(data->task) (NO LONGER VALID!)-^ Normally, finish_wait() is supposed to synchronize against the waker. But, as noted above, it is returning immediately because the waitqueue entry has already been removed from the waitqueue. The bug is that rq_qos_wake_function() is accessing the waitqueue entry AFTER deleting it. Note that autoremove_wake_function() wakes the waiter and THEN deletes the waitqueue entry, which is the proper order. Fix it by swapping the order. We also need to use list_del_init_careful() to match the list_empty_careful() in finish_wait(). Уязвимость компонента BLK-RQ-QOS ядра операционной системы Linux связана с неправильной блокировкой в функции rq_qos_wake_function() в block/blk-rq-qos.c. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: fix mptcp DSS corruption due to large pmtu xmit Syzkaller was able to trigger a DSS corruption: TCP: request_sock_subflow_v4: Possible SYN flooding on port [::]:20002. Sending cookies. ------------[ cut here ]------------ WARNING: CPU: 0 PID: 5227 at net/mptcp/protocol.c:695 __mptcp_move_skbs_from_subflow+0x20a9/0x21f0 net/mptcp/protocol.c:695 Modules linked in: CPU: 0 UID: 0 PID: 5227 Comm: syz-executor350 Not tainted 6.11.0-syzkaller-08829-gaf9c191ac2a0 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/06/2024 RIP: 0010:__mptcp_move_skbs_from_subflow+0x20a9/0x21f0 net/mptcp/protocol.c:695 Code: 0f b6 dc 31 ff 89 de e8 b5 dd ea f5 89 d8 48 81 c4 50 01 00 00 5b 41 5c 41 5d 41 5e 41 5f 5d c3 cc cc cc cc e8 98 da ea f5 90 <0f> 0b 90 e9 47 ff ff ff e8 8a da ea f5 90 0f 0b 90 e9 99 e0 ff ff RSP: 0018:ffffc90000006db8 EFLAGS: 00010246 RAX: ffffffff8ba9df18 RBX: 00000000000055f0 RCX: ffff888030023c00 RDX: 0000000000000100 RSI: 00000000000081e5 RDI: 00000000000055f0 RBP: 1ffff110062bf1ae R08: ffffffff8ba9cf12 R09: 1ffff110062bf1b8 R10: dffffc0000000000 R11: ffffed10062bf1b9 R12: 0000000000000000 R13: dffffc0000000000 R14: 00000000700cec61 R15: 00000000000081e5 FS: 000055556679c380(0000) GS:ffff8880b8600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000020287000 CR3: 0000000077892000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <IRQ> move_skbs_to_msk net/mptcp/protocol.c:811 [inline] mptcp_data_ready+0x29c/0xa90 net/mptcp/protocol.c:854 subflow_data_ready+0x34a/0x920 net/mptcp/subflow.c:1490 tcp_data_queue+0x20fd/0x76c0 net/ipv4/tcp_input.c:5283 tcp_rcv_established+0xfba/0x2020 net/ipv4/tcp_input.c:6237 tcp_v4_do_rcv+0x96d/0xc70 net/ipv4/tcp_ipv4.c:1915 tcp_v4_rcv+0x2dc0/0x37f0 net/ipv4/tcp_ipv4.c:2350 ip_protocol_deliver_rcu+0x22e/0x440 net/ipv4/ip_input.c:205 ip_local_deliver_finish+0x341/0x5f0 net/ipv4/ip_input.c:233 NF_HOOK+0x3a4/0x450 include/linux/netfilter.h:314 NF_HOOK+0x3a4/0x450 include/linux/netfilter.h:314 __netif_receive_skb_one_core net/core/dev.c:5662 [inline] __netif_receive_skb+0x2bf/0x650 net/core/dev.c:5775 process_backlog+0x662/0x15b0 net/core/dev.c:6107 __napi_poll+0xcb/0x490 net/core/dev.c:6771 napi_poll net/core/dev.c:6840 [inline] net_rx_action+0x89b/0x1240 net/core/dev.c:6962 handle_softirqs+0x2c5/0x980 kernel/softirq.c:554 do_softirq+0x11b/0x1e0 kernel/softirq.c:455 </IRQ> <TASK> __local_bh_enable_ip+0x1bb/0x200 kernel/softirq.c:382 local_bh_enable include/linux/bottom_half.h:33 [inline] rcu_read_unlock_bh include/linux/rcupdate.h:919 [inline] __dev_queue_xmit+0x1764/0x3e80 net/core/dev.c:4451 dev_queue_xmit include/linux/netdevice.h:3094 [inline] neigh_hh_output include/net/neighbour.h:526 [inline] neigh_output include/net/neighbour.h:540 [inline] ip_finish_output2+0xd41/0x1390 net/ipv4/ip_output.c:236 ip_local_out net/ipv4/ip_output.c:130 [inline] __ip_queue_xmit+0x118c/0x1b80 net/ipv4/ip_output.c:536 __tcp_transmit_skb+0x2544/0x3b30 net/ipv4/tcp_output.c:1466 tcp_transmit_skb net/ipv4/tcp_output.c:1484 [inline] tcp_mtu_probe net/ipv4/tcp_output.c:2547 [inline] tcp_write_xmit+0x641d/0x6bf0 net/ipv4/tcp_output.c:2752 __tcp_push_pending_frames+0x9b/0x360 net/ipv4/tcp_output.c:3015 tcp_push_pending_frames include/net/tcp.h:2107 [inline] tcp_data_snd_check net/ipv4/tcp_input.c:5714 [inline] tcp_rcv_established+0x1026/0x2020 net/ipv4/tcp_input.c:6239 tcp_v4_do_rcv+0x96d/0xc70 net/ipv4/tcp_ipv4.c:1915 sk_backlog_rcv include/net/sock.h:1113 [inline] __release_sock+0x214/0x350 net/core/sock.c:3072 release_sock+0x61/0x1f0 net/core/sock.c:3626 mptcp_push_ ---truncated--- Уязвимость компонента net/ipv4/tcp_output.c ядра операционной системы Linux связана с ошибками при обработке параметров длины. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix user-after-free from session log off There is racy issue between smb2 session log off and smb2 session setup. It will cause user-after-free from session log off. This add session_lock when setting SMB2_SESSION_EXPIRED and referece count to session struct not to free session while it is being used. Уязвимость функции ksmbd_expire_session() в модуле fs/smb/server/mgmt/user_session.c реализации сетевого протокола SMB (Server Message Block) внутриядерного CIFS/SMB3-сервера ksmbd ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix uninitialized pointer free on read_alloc_one_name() error The function read_alloc_one_name() does not initialize the name field of the passed fscrypt_str struct if kmalloc fails to allocate the corresponding buffer. Thus, it is not guaranteed that fscrypt_str.name is initialized when freeing it. This is a follow-up to the linked patch that fixes the remaining instances of the bug introduced by commit e43eec81c516 ("btrfs: use struct qstr instead of name and namelen pairs"). Уязвимость функции read_alloc_one_name() ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-824'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix uninitialized pointer free in add_inode_ref() The add_inode_ref() function does not initialize the "name" struct when it is declared. If any of the following calls to "read_one_inode() returns NULL, dir = read_one_inode(root, parent_objectid); if (!dir) { ret = -ENOENT; goto out; } inode = read_one_inode(root, inode_objectid); if (!inode) { ret = -EIO; goto out; } then "name.name" would be freed on "out" before being initialized. out: ... kfree(name.name); This issue was reported by Coverity with CID 1526744. Уязвимость функции add_inode_ref() в модуле fs/btrfs/tree-log.c файловой системы btrfs ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-824'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: thermal: intel: int340x: processor: Fix warning during module unload The processor_thermal driver uses pcim_device_enable() to enable a PCI device, which means the device will be automatically disabled on driver detach. Thus there is no need to call pci_disable_device() again on it. With recent PCI device resource management improvements, e.g. commit f748a07a0b64 ("PCI: Remove legacy pcim_release()"), this problem is exposed and triggers the warining below. [ 224.010735] proc_thermal_pci 0000:00:04.0: disabling already-disabled device [ 224.010747] WARNING: CPU: 8 PID: 4442 at drivers/pci/pci.c:2250 pci_disable_device+0xe5/0x100 ... [ 224.010844] Call Trace: [ 224.010845] <TASK> [ 224.010847] ? show_regs+0x6d/0x80 [ 224.010851] ? __warn+0x8c/0x140 [ 224.010854] ? pci_disable_device+0xe5/0x100 [ 224.010856] ? report_bug+0x1c9/0x1e0 [ 224.010859] ? handle_bug+0x46/0x80 [ 224.010862] ? exc_invalid_op+0x1d/0x80 [ 224.010863] ? asm_exc_invalid_op+0x1f/0x30 [ 224.010867] ? pci_disable_device+0xe5/0x100 [ 224.010869] ? pci_disable_device+0xe5/0x100 [ 224.010871] ? kfree+0x21a/0x2b0 [ 224.010873] pcim_disable_device+0x20/0x30 [ 224.010875] devm_action_release+0x16/0x20 [ 224.010878] release_nodes+0x47/0xc0 [ 224.010880] devres_release_all+0x9f/0xe0 [ 224.010883] device_unbind_cleanup+0x12/0x80 [ 224.010885] device_release_driver_internal+0x1ca/0x210 [ 224.010887] driver_detach+0x4e/0xa0 [ 224.010889] bus_remove_driver+0x6f/0xf0 [ 224.010890] driver_unregister+0x35/0x60 [ 224.010892] pci_unregister_driver+0x44/0x90 [ 224.010894] proc_thermal_pci_driver_exit+0x14/0x5f0 [processor_thermal_device_pci] ... [ 224.010921] ---[ end trace 0000000000000000 ]--- Remove the excess pci_disable_device() calls. [ rjw: Subject and changelog edits ] Уязвимость ядра операционной системы Linux связана с некорректным присваиванием привилегий. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/mad: Improve handling of timed out WRs of mad agent Current timeout handler of mad agent acquires/releases mad_agent_priv lock for every timed out WRs. This causes heavy locking contention when higher no. of WRs are to be handled inside timeout handler. This leads to softlockup with below trace in some use cases where rdma-cm path is used to establish connection between peer nodes Trace: ----- BUG: soft lockup - CPU#4 stuck for 26s! [kworker/u128:3:19767] CPU: 4 PID: 19767 Comm: kworker/u128:3 Kdump: loaded Tainted: G OE ------- --- 5.14.0-427.13.1.el9_4.x86_64 #1 Hardware name: Dell Inc. PowerEdge R740/01YM03, BIOS 2.4.8 11/26/2019 Workqueue: ib_mad1 timeout_sends [ib_core] RIP: 0010:__do_softirq+0x78/0x2ac RSP: 0018:ffffb253449e4f98 EFLAGS: 00000246 RAX: 00000000ffffffff RBX: 0000000000000000 RCX: 000000000000001f RDX: 000000000000001d RSI: 000000003d1879ab RDI: fff363b66fd3a86b RBP: ffffb253604cbcd8 R08: 0000009065635f3b R09: 0000000000000000 R10: 0000000000000040 R11: ffffb253449e4ff8 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000040 FS: 0000000000000000(0000) GS:ffff8caa1fc80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fd9ec9db900 CR3: 0000000891934006 CR4: 00000000007706e0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <IRQ> ? show_trace_log_lvl+0x1c4/0x2df ? show_trace_log_lvl+0x1c4/0x2df ? __irq_exit_rcu+0xa1/0xc0 ? watchdog_timer_fn+0x1b2/0x210 ? __pfx_watchdog_timer_fn+0x10/0x10 ? __hrtimer_run_queues+0x127/0x2c0 ? hrtimer_interrupt+0xfc/0x210 ? __sysvec_apic_timer_interrupt+0x5c/0x110 ? sysvec_apic_timer_interrupt+0x37/0x90 ? asm_sysvec_apic_timer_interrupt+0x16/0x20 ? __do_softirq+0x78/0x2ac ? __do_softirq+0x60/0x2ac __irq_exit_rcu+0xa1/0xc0 sysvec_call_function_single+0x72/0x90 </IRQ> <TASK> asm_sysvec_call_function_single+0x16/0x20 RIP: 0010:_raw_spin_unlock_irq+0x14/0x30 RSP: 0018:ffffb253604cbd88 EFLAGS: 00000247 RAX: 000000000001960d RBX: 0000000000000002 RCX: ffff8cad2a064800 RDX: 000000008020001b RSI: 0000000000000001 RDI: ffff8cad5d39f66c RBP: ffff8cad5d39f600 R08: 0000000000000001 R09: 0000000000000000 R10: ffff8caa443e0c00 R11: ffffb253604cbcd8 R12: ffff8cacb8682538 R13: 0000000000000005 R14: ffffb253604cbd90 R15: ffff8cad5d39f66c cm_process_send_error+0x122/0x1d0 [ib_cm] timeout_sends+0x1dd/0x270 [ib_core] process_one_work+0x1e2/0x3b0 ? __pfx_worker_thread+0x10/0x10 worker_thread+0x50/0x3a0 ? __pfx_worker_thread+0x10/0x10 kthread+0xdd/0x100 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x29/0x50 </TASK> Simplified timeout handler by creating local list of timed out WRs and invoke send handler post creating the list. The new method acquires/ releases lock once to fetch the list and hence helps to reduce locking contetiong when processing higher no. of WRs Уязвимость компонента mad.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nouveau/dmem: Fix vulnerability in migrate_to_ram upon copy error The `nouveau_dmem_copy_one` function ensures that the copy push command is sent to the device firmware but does not track whether it was executed successfully. In the case of a copy error (e.g., firmware or hardware failure), the copy push command will be sent via the firmware channel, and `nouveau_dmem_copy_one` will likely report success, leading to the `migrate_to_ram` function returning a dirty HIGH_USER page to the user. This can result in a security vulnerability, as a HIGH_USER page that may contain sensitive or corrupted data could be returned to the user. To prevent this vulnerability, we allocate a zero page. Thus, in case of an error, a non-dirty (zero) page will be returned to the user. Уязвимость ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: core: Set SDEV_OFFLINE when UFS is shut down There is a history of deadlock if reboot is performed at the beginning of booting. SDEV_QUIESCE was set for all LU's scsi_devices by UFS shutdown, and at that time the audio driver was waiting on blk_mq_submit_bio() holding a mutex_lock while reading the fw binary. After that, a deadlock issue occurred while audio driver shutdown was waiting for mutex_unlock of blk_mq_submit_bio(). To solve this, set SDEV_OFFLINE for all LUs except WLUN, so that any I/O that comes down after a UFS shutdown will return an error. [ 31.907781]I[0: swapper/0: 0] 1 130705007 1651079834 11289729804 0 D( 2) 3 ffffff882e208000 * init [device_shutdown] [ 31.907793]I[0: swapper/0: 0] Mutex: 0xffffff8849a2b8b0: owner[0xffffff882e28cb00 kworker/6:0 :49] [ 31.907806]I[0: swapper/0: 0] Call trace: [ 31.907810]I[0: swapper/0: 0] __switch_to+0x174/0x338 [ 31.907819]I[0: swapper/0: 0] __schedule+0x5ec/0x9cc [ 31.907826]I[0: swapper/0: 0] schedule+0x7c/0xe8 [ 31.907834]I[0: swapper/0: 0] schedule_preempt_disabled+0x24/0x40 [ 31.907842]I[0: swapper/0: 0] __mutex_lock+0x408/0xdac [ 31.907849]I[0: swapper/0: 0] __mutex_lock_slowpath+0x14/0x24 [ 31.907858]I[0: swapper/0: 0] mutex_lock+0x40/0xec [ 31.907866]I[0: swapper/0: 0] device_shutdown+0x108/0x280 [ 31.907875]I[0: swapper/0: 0] kernel_restart+0x4c/0x11c [ 31.907883]I[0: swapper/0: 0] __arm64_sys_reboot+0x15c/0x280 [ 31.907890]I[0: swapper/0: 0] invoke_syscall+0x70/0x158 [ 31.907899]I[0: swapper/0: 0] el0_svc_common+0xb4/0xf4 [ 31.907909]I[0: swapper/0: 0] do_el0_svc+0x2c/0xb0 [ 31.907918]I[0: swapper/0: 0] el0_svc+0x34/0xe0 [ 31.907928]I[0: swapper/0: 0] el0t_64_sync_handler+0x68/0xb4 [ 31.907937]I[0: swapper/0: 0] el0t_64_sync+0x1a0/0x1a4 [ 31.908774]I[0: swapper/0: 0] 49 0 11960702 11236868007 0 D( 2) 6 ffffff882e28cb00 * kworker/6:0 [__bio_queue_enter] [ 31.908783]I[0: swapper/0: 0] Call trace: [ 31.908788]I[0: swapper/0: 0] __switch_to+0x174/0x338 [ 31.908796]I[0: swapper/0: 0] __schedule+0x5ec/0x9cc [ 31.908803]I[0: swapper/0: 0] schedule+0x7c/0xe8 [ 31.908811]I[0: swapper/0: 0] __bio_queue_enter+0xb8/0x178 [ 31.908818]I[0: swapper/0: 0] blk_mq_submit_bio+0x194/0x67c [ 31.908827]I[0: swapper/0: 0] __submit_bio+0xb8/0x19c Уязвимость драйвера UFS ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64: probes: Remove broken LDR (literal) uprobe support The simulate_ldr_literal() and simulate_ldrsw_literal() functions are unsafe to use for uprobes. Both functions were originally written for use with kprobes, and access memory with plain C accesses. When uprobes was added, these were reused unmodified even though they cannot safely access user memory. There are three key problems: 1) The plain C accesses do not have corresponding extable entries, and thus if they encounter a fault the kernel will treat these as unintentional accesses to user memory, resulting in a BUG() which will kill the kernel thread, and likely lead to further issues (e.g. lockup or panic()). 2) The plain C accesses are subject to HW PAN and SW PAN, and so when either is in use, any attempt to simulate an access to user memory will fault. Thus neither simulate_ldr_literal() nor simulate_ldrsw_literal() can do anything useful when simulating a user instruction on any system with HW PAN or SW PAN. 3) The plain C accesses are privileged, as they run in kernel context, and in practice can access a small range of kernel virtual addresses. The instructions they simulate have a range of +/-1MiB, and since the simulated instructions must itself be a user instructions in the TTBR0 address range, these can address the final 1MiB of the TTBR1 acddress range by wrapping downwards from an address in the first 1MiB of the TTBR0 address range. In contemporary kernels the last 8MiB of TTBR1 address range is reserved, and accesses to this will always fault, meaning this is no worse than (1). Historically, it was theoretically possible for the linear map or vmemmap to spill into the final 8MiB of the TTBR1 address range, but in practice this is extremely unlikely to occur as this would require either: * Having enough physical memory to fill the entire linear map all the way to the final 1MiB of the TTBR1 address range. * Getting unlucky with KASLR randomization of the linear map such that the populated region happens to overlap with the last 1MiB of the TTBR address range. ... and in either case if we were to spill into the final page there would be larger problems as the final page would alias with error pointers. Practically speaking, (1) and (2) are the big issues. Given there have been no reports of problems since the broken code was introduced, it appears that no-one is relying on probing these instructions with uprobes. Avoid these issues by not allowing uprobes on LDR (literal) and LDRSW (literal), limiting the use of simulate_ldr_literal() and simulate_ldrsw_literal() to kprobes. Attempts to place uprobes on LDR (literal) and LDRSW (literal) will be rejected as arm_probe_decode_insn() will return INSN_REJECTED. In future we can consider introducing working uprobes support for these instructions, but this will require more significant work. Уязвимость компонента arch/arm64/kernel/probes ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iommu/vt-d: Fix incorrect pci_for_each_dma_alias() for non-PCI devices Previously, the domain_context_clear() function incorrectly called pci_for_each_dma_alias() to set up context entries for non-PCI devices. This could lead to kernel hangs or other unexpected behavior. Add a check to only call pci_for_each_dma_alias() for PCI devices. For non-PCI devices, domain_context_clear_one() is called directly. Уязвимость компонента drivers/iommu/intel/iommu.c ядра операционной системы Linux связана с использованием потенциально опасной функции. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: qcom: Fix NULL Dereference in asoc_qcom_lpass_cpu_platform_probe() A devm_kzalloc() in asoc_qcom_lpass_cpu_platform_probe() could possibly return NULL pointer. NULL Pointer Dereference may be triggerred without addtional check. Add a NULL check for the returned pointer. Уязвимость функции asoc_qcom_lpass_cpu_platform_probe() компонента sound/soc/qcom/lpass-cpu.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Disable PSR-SU on Parade 08-01 TCON too Stuart Hayhurst has found that both at bootup and fullscreen VA-API video is leading to black screens for around 1 second and kernel WARNING [1] traces when calling dmub_psr_enable() with Parade 08-01 TCON. These symptoms all go away with PSR-SU disabled for this TCON, so disable it for now while DMUB traces [2] from the failure can be analyzed and the failure state properly root caused. (cherry picked from commit afb634a6823d8d9db23c5fb04f79c5549349628b) Уязвимость компонента drivers/gpu/drm/amd/display ядра операционной системы Linux связана с ошибками синхронизации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfrm: fix one more kernel-infoleak in algo dumping During fuzz testing, the following issue was discovered: BUG: KMSAN: kernel-infoleak in _copy_to_iter+0x598/0x2a30 _copy_to_iter+0x598/0x2a30 __skb_datagram_iter+0x168/0x1060 skb_copy_datagram_iter+0x5b/0x220 netlink_recvmsg+0x362/0x1700 sock_recvmsg+0x2dc/0x390 __sys_recvfrom+0x381/0x6d0 __x64_sys_recvfrom+0x130/0x200 x64_sys_call+0x32c8/0x3cc0 do_syscall_64+0xd8/0x1c0 entry_SYSCALL_64_after_hwframe+0x79/0x81 Uninit was stored to memory at: copy_to_user_state_extra+0xcc1/0x1e00 dump_one_state+0x28c/0x5f0 xfrm_state_walk+0x548/0x11e0 xfrm_dump_sa+0x1e0/0x840 netlink_dump+0x943/0x1c40 __netlink_dump_start+0x746/0xdb0 xfrm_user_rcv_msg+0x429/0xc00 netlink_rcv_skb+0x613/0x780 xfrm_netlink_rcv+0x77/0xc0 netlink_unicast+0xe90/0x1280 netlink_sendmsg+0x126d/0x1490 __sock_sendmsg+0x332/0x3d0 ____sys_sendmsg+0x863/0xc30 ___sys_sendmsg+0x285/0x3e0 __x64_sys_sendmsg+0x2d6/0x560 x64_sys_call+0x1316/0x3cc0 do_syscall_64+0xd8/0x1c0 entry_SYSCALL_64_after_hwframe+0x79/0x81 Uninit was created at: __kmalloc+0x571/0xd30 attach_auth+0x106/0x3e0 xfrm_add_sa+0x2aa0/0x4230 xfrm_user_rcv_msg+0x832/0xc00 netlink_rcv_skb+0x613/0x780 xfrm_netlink_rcv+0x77/0xc0 netlink_unicast+0xe90/0x1280 netlink_sendmsg+0x126d/0x1490 __sock_sendmsg+0x332/0x3d0 ____sys_sendmsg+0x863/0xc30 ___sys_sendmsg+0x285/0x3e0 __x64_sys_sendmsg+0x2d6/0x560 x64_sys_call+0x1316/0x3cc0 do_syscall_64+0xd8/0x1c0 entry_SYSCALL_64_after_hwframe+0x79/0x81 Bytes 328-379 of 732 are uninitialized Memory access of size 732 starts at ffff88800e18e000 Data copied to user address 00007ff30f48aff0 CPU: 2 PID: 18167 Comm: syz-executor.0 Not tainted 6.8.11 #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 Fixes copying of xfrm algorithms where some random data of the structure fields can end up in userspace. Padding in structures may be filled with random (possibly sensitve) data and should never be given directly to user-space. A similar issue was resolved in the commit 8222d5910dae ("xfrm: Zero padding when dumping algos and encap") Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента net/xfrm/xfrm_user.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: nSVM: Ignore nCR3[4:0] when loading PDPTEs from memory Ignore nCR3[4:0] when loading PDPTEs from memory for nested SVM, as bits 4:0 of CR3 are ignored when PAE paging is used, and thus VMRUN doesn't enforce 32-byte alignment of nCR3. In the absolute worst case scenario, failure to ignore bits 4:0 can result in an out-of-bounds read, e.g. if the target page is at the end of a memslot, and the VMM isn't using guard pages. Per the APM: The CR3 register points to the base address of the page-directory-pointer table. The page-directory-pointer table is aligned on a 32-byte boundary, with the low 5 address bits 4:0 assumed to be 0. And the SDM's much more explicit: 4:0 Ignored Note, KVM gets this right when loading PDPTRs, it's only the nSVM flow that is broken. Уязвимость компонента arch/x86/kvm/svm ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:H', score=8.4) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля kvm-amd.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль kvm-amd в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep kvm-amd ``` или ``` kmod list | grep kvm-amd ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod kvm-amd ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install kvm-amd /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix kernel bug due to missing clearing of buffer delay flag Syzbot reported that after nilfs2 reads a corrupted file system image and degrades to read-only, the BUG_ON check for the buffer delay flag in submit_bh_wbc() may fail, causing a kernel bug. This is because the buffer delay flag is not cleared when clearing the buffer state flags to discard a page/folio or a buffer head. So, fix this. This became necessary when the use of nilfs2's own page clear routine was expanded. This state inconsistency does not occur if the buffer is written normally by log writing. Уязвимость компонента fs/nilfs2/page.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd: Guard against bad data for ATIF ACPI method If a BIOS provides bad data in response to an ATIF method call this causes a NULL pointer dereference in the caller. ``` ? show_regs (arch/x86/kernel/dumpstack.c:478 (discriminator 1)) ? __die (arch/x86/kernel/dumpstack.c:423 arch/x86/kernel/dumpstack.c:434) ? page_fault_oops (arch/x86/mm/fault.c:544 (discriminator 2) arch/x86/mm/fault.c:705 (discriminator 2)) ? do_user_addr_fault (arch/x86/mm/fault.c:440 (discriminator 1) arch/x86/mm/fault.c:1232 (discriminator 1)) ? acpi_ut_update_object_reference (drivers/acpi/acpica/utdelete.c:642) ? exc_page_fault (arch/x86/mm/fault.c:1542) ? asm_exc_page_fault (./arch/x86/include/asm/idtentry.h:623) ? amdgpu_atif_query_backlight_caps.constprop.0 (drivers/gpu/drm/amd/amdgpu/amdgpu_acpi.c:387 (discriminator 2)) amdgpu ? amdgpu_atif_query_backlight_caps.constprop.0 (drivers/gpu/drm/amd/amdgpu/amdgpu_acpi.c:386 (discriminator 1)) amdgpu ``` It has been encountered on at least one system, so guard for it. (cherry picked from commit c9b7c809b89f24e9372a4e7f02d64c950b07fdee) Уязвимость компонента drivers/gpu/drm/amd/amdgpu/amdgpu_acpi.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: cancel nfsd_shrinker_work using sync mode in nfs4_state_shutdown_net In the normal case, when we excute `echo 0 > /proc/fs/nfsd/threads`, the function `nfs4_state_destroy_net` in `nfs4_state_shutdown_net` will release all resources related to the hashed `nfs4_client`. If the `nfsd_client_shrinker` is running concurrently, the `expire_client` function will first unhash this client and then destroy it. This can lead to the following warning. Additionally, numerous use-after-free errors may occur as well. nfsd_client_shrinker echo 0 > /proc/fs/nfsd/threads expire_client nfsd_shutdown_net unhash_client ... nfs4_state_shutdown_net /* won't wait shrinker exit */ /* cancel_work(&nn->nfsd_shrinker_work) * nfsd_file for this /* won't destroy unhashed client1 */ * client1 still alive nfs4_state_destroy_net */ nfsd_file_cache_shutdown /* trigger warning */ kmem_cache_destroy(nfsd_file_slab) kmem_cache_destroy(nfsd_file_mark_slab) /* release nfsd_file and mark */ __destroy_client ==================================================================== BUG nfsd_file (Not tainted): Objects remaining in nfsd_file on __kmem_cache_shutdown() -------------------------------------------------------------------- CPU: 4 UID: 0 PID: 764 Comm: sh Not tainted 6.12.0-rc3+ #1 dump_stack_lvl+0x53/0x70 slab_err+0xb0/0xf0 __kmem_cache_shutdown+0x15c/0x310 kmem_cache_destroy+0x66/0x160 nfsd_file_cache_shutdown+0xac/0x210 [nfsd] nfsd_destroy_serv+0x251/0x2a0 [nfsd] nfsd_svc+0x125/0x1e0 [nfsd] write_threads+0x16a/0x2a0 [nfsd] nfsctl_transaction_write+0x74/0xa0 [nfsd] vfs_write+0x1a5/0x6d0 ksys_write+0xc1/0x160 do_syscall_64+0x5f/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e ==================================================================== BUG nfsd_file_mark (Tainted: G B W ): Objects remaining nfsd_file_mark on __kmem_cache_shutdown() -------------------------------------------------------------------- dump_stack_lvl+0x53/0x70 slab_err+0xb0/0xf0 __kmem_cache_shutdown+0x15c/0x310 kmem_cache_destroy+0x66/0x160 nfsd_file_cache_shutdown+0xc8/0x210 [nfsd] nfsd_destroy_serv+0x251/0x2a0 [nfsd] nfsd_svc+0x125/0x1e0 [nfsd] write_threads+0x16a/0x2a0 [nfsd] nfsctl_transaction_write+0x74/0xa0 [nfsd] vfs_write+0x1a5/0x6d0 ksys_write+0xc1/0x160 do_syscall_64+0x5f/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e To resolve this issue, cancel `nfsd_shrinker_work` using synchronous mode in nfs4_state_shutdown_net. Уязвимость компонента fs/nfsd/nfs4state.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: ISO: Fix UAF on iso_sock_timeout conn->sk maybe have been unlinked/freed while waiting for iso_conn_lock so this checks if the conn->sk is still valid by checking if it part of iso_sk_list. Уязвимость функции iso_sock_timeout() в модуле net/bluetooth/iso.c реализации протокола Bluetooth ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: SCO: Fix UAF on sco_sock_timeout conn->sk maybe have been unlinked/freed while waiting for sco_conn_lock so this checks if the conn->sk is still valid by checking if it part of sco_sk_list. Уязвимость компонента net/bluetooth/sco.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: sched: use RCU read-side critical section in taprio_dump() Fix possible use-after-free in 'taprio_dump()' by adding RCU read-side critical section there. Never seen on x86 but found on a KASAN-enabled arm64 system when investigating https://syzkaller.appspot.com/bug?extid=b65e0af58423fc8a73aa: [T15862] BUG: KASAN: slab-use-after-free in taprio_dump+0xa0c/0xbb0 [T15862] Read of size 4 at addr ffff0000d4bb88f8 by task repro/15862 [T15862] [T15862] CPU: 0 UID: 0 PID: 15862 Comm: repro Not tainted 6.11.0-rc1-00293-gdefaf1a2113a-dirty #2 [T15862] Hardware name: QEMU QEMU Virtual Machine, BIOS edk2-20240524-5.fc40 05/24/2024 [T15862] Call trace: [T15862] dump_backtrace+0x20c/0x220 [T15862] show_stack+0x2c/0x40 [T15862] dump_stack_lvl+0xf8/0x174 [T15862] print_report+0x170/0x4d8 [T15862] kasan_report+0xb8/0x1d4 [T15862] __asan_report_load4_noabort+0x20/0x2c [T15862] taprio_dump+0xa0c/0xbb0 [T15862] tc_fill_qdisc+0x540/0x1020 [T15862] qdisc_notify.isra.0+0x330/0x3a0 [T15862] tc_modify_qdisc+0x7b8/0x1838 [T15862] rtnetlink_rcv_msg+0x3c8/0xc20 [T15862] netlink_rcv_skb+0x1f8/0x3d4 [T15862] rtnetlink_rcv+0x28/0x40 [T15862] netlink_unicast+0x51c/0x790 [T15862] netlink_sendmsg+0x79c/0xc20 [T15862] __sock_sendmsg+0xe0/0x1a0 [T15862] ____sys_sendmsg+0x6c0/0x840 [T15862] ___sys_sendmsg+0x1ac/0x1f0 [T15862] __sys_sendmsg+0x110/0x1d0 [T15862] __arm64_sys_sendmsg+0x74/0xb0 [T15862] invoke_syscall+0x88/0x2e0 [T15862] el0_svc_common.constprop.0+0xe4/0x2a0 [T15862] do_el0_svc+0x44/0x60 [T15862] el0_svc+0x50/0x184 [T15862] el0t_64_sync_handler+0x120/0x12c [T15862] el0t_64_sync+0x190/0x194 [T15862] [T15862] Allocated by task 15857: [T15862] kasan_save_stack+0x3c/0x70 [T15862] kasan_save_track+0x20/0x3c [T15862] kasan_save_alloc_info+0x40/0x60 [T15862] __kasan_kmalloc+0xd4/0xe0 [T15862] __kmalloc_cache_noprof+0x194/0x334 [T15862] taprio_change+0x45c/0x2fe0 [T15862] tc_modify_qdisc+0x6a8/0x1838 [T15862] rtnetlink_rcv_msg+0x3c8/0xc20 [T15862] netlink_rcv_skb+0x1f8/0x3d4 [T15862] rtnetlink_rcv+0x28/0x40 [T15862] netlink_unicast+0x51c/0x790 [T15862] netlink_sendmsg+0x79c/0xc20 [T15862] __sock_sendmsg+0xe0/0x1a0 [T15862] ____sys_sendmsg+0x6c0/0x840 [T15862] ___sys_sendmsg+0x1ac/0x1f0 [T15862] __sys_sendmsg+0x110/0x1d0 [T15862] __arm64_sys_sendmsg+0x74/0xb0 [T15862] invoke_syscall+0x88/0x2e0 [T15862] el0_svc_common.constprop.0+0xe4/0x2a0 [T15862] do_el0_svc+0x44/0x60 [T15862] el0_svc+0x50/0x184 [T15862] el0t_64_sync_handler+0x120/0x12c [T15862] el0t_64_sync+0x190/0x194 [T15862] [T15862] Freed by task 6192: [T15862] kasan_save_stack+0x3c/0x70 [T15862] kasan_save_track+0x20/0x3c [T15862] kasan_save_free_info+0x4c/0x80 [T15862] poison_slab_object+0x110/0x160 [T15862] __kasan_slab_free+0x3c/0x74 [T15862] kfree+0x134/0x3c0 [T15862] taprio_free_sched_cb+0x18c/0x220 [T15862] rcu_core+0x920/0x1b7c [T15862] rcu_core_si+0x10/0x1c [T15862] handle_softirqs+0x2e8/0xd64 [T15862] __do_softirq+0x14/0x20 Уязвимость компонента net/sched/sch_taprio.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: sched: fix use-after-free in taprio_change() In 'taprio_change()', 'admin' pointer may become dangling due to sched switch / removal caused by 'advance_sched()', and critical section protected by 'q->current_entry_lock' is too small to prevent from such a scenario (which causes use-after-free detected by KASAN). Fix this by prefer 'rcu_replace_pointer()' over 'rcu_assign_pointer()' to update 'admin' immediately before an attempt to schedule freeing. Уязвимость компонента net/sched/sch_taprio.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: wwan: fix global oob in wwan_rtnl_policy The variable wwan_rtnl_link_ops assign a *bigger* maxtype which leads to a global out-of-bounds read when parsing the netlink attributes. Exactly same bug cause as the oob fixed in commit b33fb5b801c6 ("net: qualcomm: rmnet: fix global oob in rmnet_policy"). ================================================================== BUG: KASAN: global-out-of-bounds in validate_nla lib/nlattr.c:388 [inline] BUG: KASAN: global-out-of-bounds in __nla_validate_parse+0x19d7/0x29a0 lib/nlattr.c:603 Read of size 1 at addr ffffffff8b09cb60 by task syz.1.66276/323862 CPU: 0 PID: 323862 Comm: syz.1.66276 Not tainted 6.1.70 #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.13.0-1ubuntu1.1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x177/0x231 lib/dump_stack.c:106 print_address_description mm/kasan/report.c:284 [inline] print_report+0x14f/0x750 mm/kasan/report.c:395 kasan_report+0x139/0x170 mm/kasan/report.c:495 validate_nla lib/nlattr.c:388 [inline] __nla_validate_parse+0x19d7/0x29a0 lib/nlattr.c:603 __nla_parse+0x3c/0x50 lib/nlattr.c:700 nla_parse_nested_deprecated include/net/netlink.h:1269 [inline] __rtnl_newlink net/core/rtnetlink.c:3514 [inline] rtnl_newlink+0x7bc/0x1fd0 net/core/rtnetlink.c:3623 rtnetlink_rcv_msg+0x794/0xef0 net/core/rtnetlink.c:6122 netlink_rcv_skb+0x1de/0x420 net/netlink/af_netlink.c:2508 netlink_unicast_kernel net/netlink/af_netlink.c:1326 [inline] netlink_unicast+0x74b/0x8c0 net/netlink/af_netlink.c:1352 netlink_sendmsg+0x882/0xb90 net/netlink/af_netlink.c:1874 sock_sendmsg_nosec net/socket.c:716 [inline] __sock_sendmsg net/socket.c:728 [inline] ____sys_sendmsg+0x5cc/0x8f0 net/socket.c:2499 ___sys_sendmsg+0x21c/0x290 net/socket.c:2553 __sys_sendmsg net/socket.c:2582 [inline] __do_sys_sendmsg net/socket.c:2591 [inline] __se_sys_sendmsg+0x19e/0x270 net/socket.c:2589 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x45/0x90 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x63/0xcd RIP: 0033:0x7f67b19a24ad RSP: 002b:00007f67b17febb8 EFLAGS: 00000246 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 00007f67b1b45f80 RCX: 00007f67b19a24ad RDX: 0000000000000000 RSI: 0000000020005e40 RDI: 0000000000000004 RBP: 00007f67b1a1e01d R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 00007ffd2513764f R14: 00007ffd251376e0 R15: 00007f67b17fed40 </TASK> The buggy address belongs to the variable: wwan_rtnl_policy+0x20/0x40 The buggy address belongs to the physical page: page:ffffea00002c2700 refcount:1 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0xb09c flags: 0xfff00000001000(reserved|node=0|zone=1|lastcpupid=0x7ff) raw: 00fff00000001000 ffffea00002c2708 ffffea00002c2708 0000000000000000 raw: 0000000000000000 0000000000000000 00000001ffffffff 0000000000000000 page dumped because: kasan: bad access detected page_owner info is not present (never set?) Memory state around the buggy address: ffffffff8b09ca00: 05 f9 f9 f9 05 f9 f9 f9 00 01 f9 f9 00 01 f9 f9 ffffffff8b09ca80: 00 00 00 05 f9 f9 f9 f9 00 00 03 f9 f9 f9 f9 f9 >ffffffff8b09cb00: 00 00 00 00 05 f9 f9 f9 00 00 00 00 f9 f9 f9 f9 ^ ffffffff8b09cb80: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ================================================================== According to the comment of `nla_parse_nested_deprecated`, use correct size `IFLA_WWAN_MAX` here to fix this issue. Уязвимость компонента drivers/net/wwan/wwan_core.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Consider the NULL character when validating the event length strlen() returns a string length excluding the null byte. If the string length equals to the maximum buffer length, the buffer will have no space for the NULL terminating character. This commit checks this condition and returns failure for it. Уязвимость компонента kernel/trace/trace_probe.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Don't crash in stack_top() for tasks without vDSO Not all tasks have a vDSO mapped, for example kthreads never do. If such a task ever ends up calling stack_top(), it will derefence the NULL vdso pointer and crash. This can for example happen when using kunit: [<9000000000203874>] stack_top+0x58/0xa8 [<90000000002956cc>] arch_pick_mmap_layout+0x164/0x220 [<90000000003c284c>] kunit_vm_mmap_init+0x108/0x12c [<90000000003c1fbc>] __kunit_add_resource+0x38/0x8c [<90000000003c2704>] kunit_vm_mmap+0x88/0xc8 [<9000000000410b14>] usercopy_test_init+0xbc/0x25c [<90000000003c1db4>] kunit_try_run_case+0x5c/0x184 [<90000000003c3d54>] kunit_generic_run_threadfn_adapter+0x24/0x48 [<900000000022e4bc>] kthread+0xc8/0xd4 [<9000000000200ce8>] ret_from_kernel_thread+0xc/0xa4 Уязвимость функции stack_top() компонента arch/loongarch/kernel/process.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vboxvideo: Replace fake VLA at end of vbva_mouse_pointer_shape with real VLA Replace the fake VLA at end of the vbva_mouse_pointer_shape shape with a real VLA to fix a "memcpy: detected field-spanning write error" warning: [ 13.319813] memcpy: detected field-spanning write (size 16896) of single field "p->data" at drivers/gpu/drm/vboxvideo/hgsmi_base.c:154 (size 4) [ 13.319841] WARNING: CPU: 0 PID: 1105 at drivers/gpu/drm/vboxvideo/hgsmi_base.c:154 hgsmi_update_pointer_shape+0x192/0x1c0 [vboxvideo] [ 13.320038] Call Trace: [ 13.320173] hgsmi_update_pointer_shape [vboxvideo] [ 13.320184] vbox_cursor_atomic_update [vboxvideo] Note as mentioned in the added comment it seems the original length calculation for the allocated and send hgsmi buffer is 4 bytes too large. Changing this is not the goal of this patch, so this behavior is kept. Уязвимость компонента drivers/gpu/drm/vboxvideo ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Unregister notifier on eswitch init failure It otherwise remains registered and a subsequent attempt at eswitch enabling might trigger warnings of the sort: [ 682.589148] ------------[ cut here ]------------ [ 682.590204] notifier callback eswitch_vport_event [mlx5_core] already registered [ 682.590256] WARNING: CPU: 13 PID: 2660 at kernel/notifier.c:31 notifier_chain_register+0x3e/0x90 [...snipped] [ 682.610052] Call Trace: [ 682.610369] <TASK> [ 682.610663] ? __warn+0x7c/0x110 [ 682.611050] ? notifier_chain_register+0x3e/0x90 [ 682.611556] ? report_bug+0x148/0x170 [ 682.611977] ? handle_bug+0x36/0x70 [ 682.612384] ? exc_invalid_op+0x13/0x60 [ 682.612817] ? asm_exc_invalid_op+0x16/0x20 [ 682.613284] ? notifier_chain_register+0x3e/0x90 [ 682.613789] atomic_notifier_chain_register+0x25/0x40 [ 682.614322] mlx5_eswitch_enable_locked+0x1d4/0x3b0 [mlx5_core] [ 682.614965] mlx5_eswitch_enable+0xc9/0x100 [mlx5_core] [ 682.615551] mlx5_device_enable_sriov+0x25/0x340 [mlx5_core] [ 682.616170] mlx5_core_sriov_configure+0x50/0x170 [mlx5_core] [ 682.616789] sriov_numvfs_store+0xb0/0x1b0 [ 682.617248] kernfs_fop_write_iter+0x117/0x1a0 [ 682.617734] vfs_write+0x231/0x3f0 [ 682.618138] ksys_write+0x63/0xe0 [ 682.618536] do_syscall_64+0x4c/0x100 [ 682.618958] entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость компонента drivers/net/ethernet/mellanox/mlx5/core/eswitch.c ядра операционной системы Linux связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Use raw_spinlock_t in ringbuf The function __bpf_ringbuf_reserve is invoked from a tracepoint, which disables preemption. Using spinlock_t in this context can lead to a "sleep in atomic" warning in the RT variant. This issue is illustrated in the example below: BUG: sleeping function called from invalid context at kernel/locking/spinlock_rt.c:48 in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 556208, name: test_progs preempt_count: 1, expected: 0 RCU nest depth: 1, expected: 1 INFO: lockdep is turned off. Preemption disabled at: [<ffffd33a5c88ea44>] migrate_enable+0xc0/0x39c CPU: 7 PID: 556208 Comm: test_progs Tainted: G Hardware name: Qualcomm SA8775P Ride (DT) Call trace: dump_backtrace+0xac/0x130 show_stack+0x1c/0x30 dump_stack_lvl+0xac/0xe8 dump_stack+0x18/0x30 __might_resched+0x3bc/0x4fc rt_spin_lock+0x8c/0x1a4 __bpf_ringbuf_reserve+0xc4/0x254 bpf_ringbuf_reserve_dynptr+0x5c/0xdc bpf_prog_ac3d15160d62622a_test_read_write+0x104/0x238 trace_call_bpf+0x238/0x774 perf_call_bpf_enter.isra.0+0x104/0x194 perf_syscall_enter+0x2f8/0x510 trace_sys_enter+0x39c/0x564 syscall_trace_enter+0x220/0x3c0 do_el0_svc+0x138/0x1dc el0_svc+0x54/0x130 el0t_64_sync_handler+0x134/0x150 el0t_64_sync+0x17c/0x180 Switch the spinlock to raw_spinlock_t to avoid this error. Уязвимость компонента kernel/bpf/ringbuf.c ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPI: PRM: Find EFI_MEMORY_RUNTIME block for PRM handler and context PRMT needs to find the correct type of block to translate the PA-VA mapping for EFI runtime services. The issue arises because the PRMT is finding a block of type EFI_CONVENTIONAL_MEMORY, which is not appropriate for runtime services as described in Section 2.2.2 (Runtime Services) of the UEFI Specification [1]. Since the PRM handler is a type of runtime service, this causes an exception when the PRM handler is called. [Firmware Bug]: Unable to handle paging request in EFI runtime service WARNING: CPU: 22 PID: 4330 at drivers/firmware/efi/runtime-wrappers.c:341 __efi_queue_work+0x11c/0x170 Call trace: Let PRMT find a block with EFI_MEMORY_RUNTIME for PRM handler and PRM context. If no suitable block is found, a warning message will be printed, but the procedure continues to manage the next PRM handler. However, if the PRM handler is actually called without proper allocation, it would result in a failure during error handling. By using the correct memory types for runtime services, ensure that the PRM handler and the context are properly mapped in the virtual address space during runtime, preventing the paging request error. The issue is really that only memory that has been remapped for runtime by the firmware can be used by the PRM handler, and so the region needs to have the EFI_MEMORY_RUNTIME attribute. [ rjw: Subject and changelog edits ] Уязвимость компонента drivers/acpi/prmt.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfrm: validate new SA's prefixlen using SA family when sel.family is unset This expands the validation introduced in commit 07bf7908950a ("xfrm: Validate address prefix lengths in the xfrm selector.") syzbot created an SA with usersa.sel.family = AF_UNSPEC usersa.sel.prefixlen_s = 128 usersa.family = AF_INET Because of the AF_UNSPEC selector, verify_newsa_info doesn't put limits on prefixlen_{s,d}. But then copy_from_user_state sets x->sel.family to usersa.family (AF_INET). Do the same conversion in verify_newsa_info before validating prefixlen_{s,d}, since that's how prefixlen is going to be used later on. Уязвимость компонента net/xfrm/xfrm_user.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: udf: fix uninit-value use in udf_get_fileshortad Check for overflow when computing alen in udf_current_aext to mitigate later uninit-value use in udf_get_fileshortad KMSAN bug[1]. After applying the patch reproducer did not trigger any issue[2]. [1] https://syzkaller.appspot.com/bug?extid=8901c4560b7ab5c2f9df [2] https://syzkaller.appspot.com/x/log.txt?x=10242227980000 Уязвимость компонента fs/udf/inode.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля udf.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль udf в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep udf ``` или ``` kmod list | grep udf ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod udf ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install udf /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeon_ep: Add SKB allocation failures handling in __octep_oq_process_rx() build_skb() returns NULL in case of a memory allocation failure so handle it inside __octep_oq_process_rx() to avoid NULL pointer dereference. __octep_oq_process_rx() is called during NAPI polling by the driver. If skb allocation fails, keep on pulling packets out of the Rx DMA queue: we shouldn't break the polling immediately and thus falsely indicate to the octep_napi_poll() that the Rx pressure is going down. As there is no associated skb in this case, don't process the packets and don't push them up the network stack - they are skipped. Helper function is implemented to unmmap/flush all the fragment buffers used by the dropped packet. 'alloc_failures' counter is incremented to mark the skb allocation error in driver statistics. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции __octep_oq_process_rx() компонента drivers/net/ethernet/marvell/octeon_ep/octep_rx.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Don't call cleanup on profile rollback failure When profile rollback fails in mlx5e_netdev_change_profile, the netdev profile var is left set to NULL. Avoid a crash when unloading the driver by not calling profile->cleanup in such a case. This was encountered while testing, with the original trigger that the wq rescuer thread creation got interrupted (presumably due to Ctrl+C-ing modprobe), which gets converted to ENOMEM (-12) by mlx5e_priv_init, the profile rollback also fails for the same reason (signal still active) so the profile is left as NULL, leading to a crash later in _mlx5e_remove. [ 732.473932] mlx5_core 0000:08:00.1: E-Switch: Unload vfs: mode(OFFLOADS), nvfs(2), necvfs(0), active vports(2) [ 734.525513] workqueue: Failed to create a rescuer kthread for wq "mlx5e": -EINTR [ 734.557372] mlx5_core 0000:08:00.1: mlx5e_netdev_init_profile:6235:(pid 6086): mlx5e_priv_init failed, err=-12 [ 734.559187] mlx5_core 0000:08:00.1 eth3: mlx5e_netdev_change_profile: new profile init failed, -12 [ 734.560153] workqueue: Failed to create a rescuer kthread for wq "mlx5e": -EINTR [ 734.589378] mlx5_core 0000:08:00.1: mlx5e_netdev_init_profile:6235:(pid 6086): mlx5e_priv_init failed, err=-12 [ 734.591136] mlx5_core 0000:08:00.1 eth3: mlx5e_netdev_change_profile: failed to rollback to orig profile, -12 [ 745.537492] BUG: kernel NULL pointer dereference, address: 0000000000000008 [ 745.538222] #PF: supervisor read access in kernel mode <snipped> [ 745.551290] Call Trace: [ 745.551590] <TASK> [ 745.551866] ? __die+0x20/0x60 [ 745.552218] ? page_fault_oops+0x150/0x400 [ 745.555307] ? exc_page_fault+0x79/0x240 [ 745.555729] ? asm_exc_page_fault+0x22/0x30 [ 745.556166] ? mlx5e_remove+0x6b/0xb0 [mlx5_core] [ 745.556698] auxiliary_bus_remove+0x18/0x30 [ 745.557134] device_release_driver_internal+0x1df/0x240 [ 745.557654] bus_remove_device+0xd7/0x140 [ 745.558075] device_del+0x15b/0x3c0 [ 745.558456] mlx5_rescan_drivers_locked.part.0+0xb1/0x2f0 [mlx5_core] [ 745.559112] mlx5_unregister_device+0x34/0x50 [mlx5_core] [ 745.559686] mlx5_uninit_one+0x46/0xf0 [mlx5_core] [ 745.560203] remove_one+0x4e/0xd0 [mlx5_core] [ 745.560694] pci_device_remove+0x39/0xa0 [ 745.561112] device_release_driver_internal+0x1df/0x240 [ 745.561631] driver_detach+0x47/0x90 [ 745.562022] bus_remove_driver+0x84/0x100 [ 745.562444] pci_unregister_driver+0x3b/0x90 [ 745.562890] mlx5_cleanup+0xc/0x1b [mlx5_core] [ 745.563415] __x64_sys_delete_module+0x14d/0x2f0 [ 745.563886] ? kmem_cache_free+0x1b0/0x460 [ 745.564313] ? lockdep_hardirqs_on_prepare+0xe2/0x190 [ 745.564825] do_syscall_64+0x6d/0x140 [ 745.565223] entry_SYSCALL_64_after_hwframe+0x4b/0x53 [ 745.565725] RIP: 0033:0x7f1579b1288b Уязвимость компонента drivers/net/ethernet/mellanox/mlx5/core/en_main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Fix command bitmask initialization Command bitmask have a dedicated bit for MANAGE_PAGES command, this bit isn't Initialize during command bitmask Initialization, only during MANAGE_PAGES. In addition, mlx5_cmd_trigger_completions() is trying to trigger completion for MANAGE_PAGES command as well. Hence, in case health error occurred before any MANAGE_PAGES command have been invoke (for example, during mlx5_enable_hca()), mlx5_cmd_trigger_completions() will try to trigger completion for MANAGE_PAGES command, which will result in null-ptr-deref error.[1] Fix it by Initialize command bitmask correctly. While at it, re-write the code for better understanding. [1] BUG: KASAN: null-ptr-deref in mlx5_cmd_trigger_completions+0x1db/0x600 [mlx5_core] Write of size 4 at addr 0000000000000214 by task kworker/u96:2/12078 CPU: 10 PID: 12078 Comm: kworker/u96:2 Not tainted 6.9.0-rc2_for_upstream_debug_2024_04_07_19_01 #1 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 Workqueue: mlx5_health0000:08:00.0 mlx5_fw_fatal_reporter_err_work [mlx5_core] Call Trace: <TASK> dump_stack_lvl+0x7e/0xc0 kasan_report+0xb9/0xf0 kasan_check_range+0xec/0x190 mlx5_cmd_trigger_completions+0x1db/0x600 [mlx5_core] mlx5_cmd_flush+0x94/0x240 [mlx5_core] enter_error_state+0x6c/0xd0 [mlx5_core] mlx5_fw_fatal_reporter_err_work+0xf3/0x480 [mlx5_core] process_one_work+0x787/0x1490 ? lockdep_hardirqs_on_prepare+0x400/0x400 ? pwq_dec_nr_in_flight+0xda0/0xda0 ? assign_work+0x168/0x240 worker_thread+0x586/0xd30 ? rescuer_thread+0xae0/0xae0 kthread+0x2df/0x3b0 ? kthread_complete_and_exit+0x20/0x20 ret_from_fork+0x2d/0x70 ? kthread_complete_and_exit+0x20/0x20 ret_from_fork_asm+0x11/0x20 </TASK> Уязвимость компонента drivers/net/ethernet/mellanox/mlx5/core/cmd.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: bnep: fix wild-memory-access in proto_unregister There's issue as follows: KASAN: maybe wild-memory-access in range [0xdead...108-0xdead...10f] CPU: 3 UID: 0 PID: 2805 Comm: rmmod Tainted: G W RIP: 0010:proto_unregister+0xee/0x400 Call Trace: <TASK> __do_sys_delete_module+0x318/0x580 do_syscall_64+0xc1/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f As bnep_init() ignore bnep_sock_init()'s return value, and bnep_sock_init() will cleanup all resource. Then when remove bnep module will call bnep_sock_cleanup() to cleanup sock's resource. To solve above issue just return bnep_sock_init()'s return value in bnep_exit(). Уязвимость компонента net/bluetooth/bnep/core.c ядра операционной системы Linux связана с неправильной проверкой возвращаемого значения функции. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: altmode should keep reference to parent The altmode device release refers to its parent device, but without keeping a reference to it. When registering the altmode, get a reference to the parent and put it in the release function. Before this fix, when using CONFIG_DEBUG_KOBJECT_RELEASE, we see issues like this: [ 43.572860] kobject: 'port0.0' (ffff8880057ba008): kobject_release, parent 0000000000000000 (delayed 3000) [ 43.573532] kobject: 'port0.1' (ffff8880057bd008): kobject_release, parent 0000000000000000 (delayed 1000) [ 43.574407] kobject: 'port0' (ffff8880057b9008): kobject_release, parent 0000000000000000 (delayed 3000) [ 43.575059] kobject: 'port1.0' (ffff8880057ca008): kobject_release, parent 0000000000000000 (delayed 4000) [ 43.575908] kobject: 'port1.1' (ffff8880057c9008): kobject_release, parent 0000000000000000 (delayed 4000) [ 43.576908] kobject: 'typec' (ffff8880062dbc00): kobject_release, parent 0000000000000000 (delayed 4000) [ 43.577769] kobject: 'port1' (ffff8880057bf008): kobject_release, parent 0000000000000000 (delayed 3000) [ 46.612867] ================================================================== [ 46.613402] BUG: KASAN: slab-use-after-free in typec_altmode_release+0x38/0x129 [ 46.614003] Read of size 8 at addr ffff8880057b9118 by task kworker/2:1/48 [ 46.614538] [ 46.614668] CPU: 2 UID: 0 PID: 48 Comm: kworker/2:1 Not tainted 6.12.0-rc1-00138-gedbae730ad31 #535 [ 46.615391] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.15.0-1 04/01/2014 [ 46.616042] Workqueue: events kobject_delayed_cleanup [ 46.616446] Call Trace: [ 46.616648] <TASK> [ 46.616820] dump_stack_lvl+0x5b/0x7c [ 46.617112] ? typec_altmode_release+0x38/0x129 [ 46.617470] print_report+0x14c/0x49e [ 46.617769] ? rcu_read_unlock_sched+0x56/0x69 [ 46.618117] ? __virt_addr_valid+0x19a/0x1ab [ 46.618456] ? kmem_cache_debug_flags+0xc/0x1d [ 46.618807] ? typec_altmode_release+0x38/0x129 [ 46.619161] kasan_report+0x8d/0xb4 [ 46.619447] ? typec_altmode_release+0x38/0x129 [ 46.619809] ? process_scheduled_works+0x3cb/0x85f [ 46.620185] typec_altmode_release+0x38/0x129 [ 46.620537] ? process_scheduled_works+0x3cb/0x85f [ 46.620907] device_release+0xaf/0xf2 [ 46.621206] kobject_delayed_cleanup+0x13b/0x17a [ 46.621584] process_scheduled_works+0x4f6/0x85f [ 46.621955] ? __pfx_process_scheduled_works+0x10/0x10 [ 46.622353] ? hlock_class+0x31/0x9a [ 46.622647] ? lock_acquired+0x361/0x3c3 [ 46.622956] ? move_linked_works+0x46/0x7d [ 46.623277] worker_thread+0x1ce/0x291 [ 46.623582] ? __kthread_parkme+0xc8/0xdf [ 46.623900] ? __pfx_worker_thread+0x10/0x10 [ 46.624236] kthread+0x17e/0x190 [ 46.624501] ? kthread+0xfb/0x190 [ 46.624756] ? __pfx_kthread+0x10/0x10 [ 46.625015] ret_from_fork+0x20/0x40 [ 46.625268] ? __pfx_kthread+0x10/0x10 [ 46.625532] ret_from_fork_asm+0x1a/0x30 [ 46.625805] </TASK> [ 46.625953] [ 46.626056] Allocated by task 678: [ 46.626287] kasan_save_stack+0x24/0x44 [ 46.626555] kasan_save_track+0x14/0x2d [ 46.626811] __kasan_kmalloc+0x3f/0x4d [ 46.627049] __kmalloc_noprof+0x1bf/0x1f0 [ 46.627362] typec_register_port+0x23/0x491 [ 46.627698] cros_typec_probe+0x634/0xbb6 [ 46.628026] platform_probe+0x47/0x8c [ 46.628311] really_probe+0x20a/0x47d [ 46.628605] device_driver_attach+0x39/0x72 [ 46.628940] bind_store+0x87/0xd7 [ 46.629213] kernfs_fop_write_iter+0x1aa/0x218 [ 46.629574] vfs_write+0x1d6/0x29b [ 46.629856] ksys_write+0xcd/0x13b [ 46.630128] do_syscall_64+0xd4/0x139 [ 46.630420] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 46.630820] [ 46.630946] Freed by task 48: [ 46.631182] kasan_save_stack+0x24/0x44 [ 46.631493] kasan_save_track+0x14/0x2d [ 46.631799] kasan_save_free_info+0x3f/0x4d [ 46.632144] __kasan_slab_free+0x37/0x45 [ 46.632474] ---truncated--- Уязвимость функции typec_altmode_release() модуля drivers/usb/typec/class.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix OOBs when building SMB2_IOCTL request When using encryption, either enforced by the server or when using 'seal' mount option, the client will squash all compound request buffers down for encryption into a single iov in smb2_set_next_command(). SMB2_ioctl_init() allocates a small buffer (448 bytes) to hold the SMB2_IOCTL request in the first iov, and if the user passes an input buffer that is greater than 328 bytes, smb2_set_next_command() will end up writing off the end of @rqst->iov[0].iov_base as shown below: mount.cifs //srv/share /mnt -o ...,seal ln -s $(perl -e "print('a')for 1..1024") /mnt/link BUG: KASAN: slab-out-of-bounds in smb2_set_next_command.cold+0x1d6/0x24c [cifs] Write of size 4116 at addr ffff8881148fcab8 by task ln/859 CPU: 1 UID: 0 PID: 859 Comm: ln Not tainted 6.12.0-rc3 #1 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-2.fc40 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x5d/0x80 ? smb2_set_next_command.cold+0x1d6/0x24c [cifs] print_report+0x156/0x4d9 ? smb2_set_next_command.cold+0x1d6/0x24c [cifs] ? __virt_addr_valid+0x145/0x310 ? __phys_addr+0x46/0x90 ? smb2_set_next_command.cold+0x1d6/0x24c [cifs] kasan_report+0xda/0x110 ? smb2_set_next_command.cold+0x1d6/0x24c [cifs] kasan_check_range+0x10f/0x1f0 __asan_memcpy+0x3c/0x60 smb2_set_next_command.cold+0x1d6/0x24c [cifs] smb2_compound_op+0x238c/0x3840 [cifs] ? kasan_save_track+0x14/0x30 ? kasan_save_free_info+0x3b/0x70 ? vfs_symlink+0x1a1/0x2c0 ? do_symlinkat+0x108/0x1c0 ? __pfx_smb2_compound_op+0x10/0x10 [cifs] ? kmem_cache_free+0x118/0x3e0 ? cifs_get_writable_path+0xeb/0x1a0 [cifs] smb2_get_reparse_inode+0x423/0x540 [cifs] ? __pfx_smb2_get_reparse_inode+0x10/0x10 [cifs] ? rcu_is_watching+0x20/0x50 ? __kmalloc_noprof+0x37c/0x480 ? smb2_create_reparse_symlink+0x257/0x490 [cifs] ? smb2_create_reparse_symlink+0x38f/0x490 [cifs] smb2_create_reparse_symlink+0x38f/0x490 [cifs] ? __pfx_smb2_create_reparse_symlink+0x10/0x10 [cifs] ? find_held_lock+0x8a/0xa0 ? hlock_class+0x32/0xb0 ? __build_path_from_dentry_optional_prefix+0x19d/0x2e0 [cifs] cifs_symlink+0x24f/0x960 [cifs] ? __pfx_make_vfsuid+0x10/0x10 ? __pfx_cifs_symlink+0x10/0x10 [cifs] ? make_vfsgid+0x6b/0xc0 ? generic_permission+0x96/0x2d0 vfs_symlink+0x1a1/0x2c0 do_symlinkat+0x108/0x1c0 ? __pfx_do_symlinkat+0x10/0x10 ? strncpy_from_user+0xaa/0x160 __x64_sys_symlinkat+0xb9/0xf0 do_syscall_64+0xbb/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f08d75c13bb Уязвимость функции smb2_set_next_command() ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: target: core: Fix null-ptr-deref in target_alloc_device() There is a null-ptr-deref issue reported by KASAN: BUG: KASAN: null-ptr-deref in target_alloc_device+0xbc4/0xbe0 [target_core_mod] ... kasan_report+0xb9/0xf0 target_alloc_device+0xbc4/0xbe0 [target_core_mod] core_dev_setup_virtual_lun0+0xef/0x1f0 [target_core_mod] target_core_init_configfs+0x205/0x420 [target_core_mod] do_one_initcall+0xdd/0x4e0 ... entry_SYSCALL_64_after_hwframe+0x76/0x7e In target_alloc_device(), if allocing memory for dev queues fails, then dev will be freed by dev->transport->free_device(), but dev->transport is not initialized at that time, which will lead to a null pointer reference problem. Fixing this bug by freeing dev with hba->backend->ops->free_device(). Уязвимость компонента drivers/target/target_core_device.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp/dccp: Don't use timer_pending() in reqsk_queue_unlink(). Martin KaFai Lau reported use-after-free [0] in reqsk_timer_handler(). """ We are seeing a use-after-free from a bpf prog attached to trace_tcp_retransmit_synack. The program passes the req->sk to the bpf_sk_storage_get_tracing kernel helper which does check for null before using it. """ The commit 83fccfc3940c ("inet: fix potential deadlock in reqsk_queue_unlink()") added timer_pending() in reqsk_queue_unlink() not to call del_timer_sync() from reqsk_timer_handler(), but it introduced a small race window. Before the timer is called, expire_timers() calls detach_timer(timer, true) to clear timer->entry.pprev and marks it as not pending. If reqsk_queue_unlink() checks timer_pending() just after expire_timers() calls detach_timer(), TCP will miss del_timer_sync(); the reqsk timer will continue running and send multiple SYN+ACKs until it expires. The reported UAF could happen if req->sk is close()d earlier than the timer expiration, which is 63s by default. The scenario would be 1. inet_csk_complete_hashdance() calls inet_csk_reqsk_queue_drop(), but del_timer_sync() is missed 2. reqsk timer is executed and scheduled again 3. req->sk is accept()ed and reqsk_put() decrements rsk_refcnt, but reqsk timer still has another one, and inet_csk_accept() does not clear req->sk for non-TFO sockets 4. sk is close()d 5. reqsk timer is executed again, and BPF touches req->sk Let's not use timer_pending() by passing the caller context to __inet_csk_reqsk_queue_drop(). Note that reqsk timer is pinned, so the issue does not happen in most use cases. [1] [0] BUG: KFENCE: use-after-free read in bpf_sk_storage_get_tracing+0x2e/0x1b0 Use-after-free read at 0x00000000a891fb3a (in kfence-#1): bpf_sk_storage_get_tracing+0x2e/0x1b0 bpf_prog_5ea3e95db6da0438_tcp_retransmit_synack+0x1d20/0x1dda bpf_trace_run2+0x4c/0xc0 tcp_rtx_synack+0xf9/0x100 reqsk_timer_handler+0xda/0x3d0 run_timer_softirq+0x292/0x8a0 irq_exit_rcu+0xf5/0x320 sysvec_apic_timer_interrupt+0x6d/0x80 asm_sysvec_apic_timer_interrupt+0x16/0x20 intel_idle_irq+0x5a/0xa0 cpuidle_enter_state+0x94/0x273 cpu_startup_entry+0x15e/0x260 start_secondary+0x8a/0x90 secondary_startup_64_no_verify+0xfa/0xfb kfence-#1: 0x00000000a72cc7b6-0x00000000d97616d9, size=2376, cache=TCPv6 allocated by task 0 on cpu 9 at 260507.901592s: sk_prot_alloc+0x35/0x140 sk_clone_lock+0x1f/0x3f0 inet_csk_clone_lock+0x15/0x160 tcp_create_openreq_child+0x1f/0x410 tcp_v6_syn_recv_sock+0x1da/0x700 tcp_check_req+0x1fb/0x510 tcp_v6_rcv+0x98b/0x1420 ipv6_list_rcv+0x2258/0x26e0 napi_complete_done+0x5b1/0x2990 mlx5e_napi_poll+0x2ae/0x8d0 net_rx_action+0x13e/0x590 irq_exit_rcu+0xf5/0x320 common_interrupt+0x80/0x90 asm_common_interrupt+0x22/0x40 cpuidle_enter_state+0xfb/0x273 cpu_startup_entry+0x15e/0x260 start_secondary+0x8a/0x90 secondary_startup_64_no_verify+0xfa/0xfb freed by task 0 on cpu 9 at 260507.927527s: rcu_core_si+0x4ff/0xf10 irq_exit_rcu+0xf5/0x320 sysvec_apic_timer_interrupt+0x6d/0x80 asm_sysvec_apic_timer_interrupt+0x16/0x20 cpuidle_enter_state+0xfb/0x273 cpu_startup_entry+0x15e/0x260 start_secondary+0x8a/0x90 secondary_startup_64_no_verify+0xfa/0xfb Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях уменьшения риска эксплуатации уязвимости CVE-2024-50154 необходимо отключить BPF-трассировку для уязвимой функции tcp_retransmit_synack. Для этого необходимо выполнить следующую команду, используя полномочия администратора системы с высоким уровнем целостности: ``` echo 'echo 0 > /sys/kernel/debug/tracing/events/tcp/tcp_retransmit_synack/enable' >> /etc/rc.local ``` Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netdevsim: use cond_resched() in nsim_dev_trap_report_work() I am still seeing many syzbot reports hinting that syzbot might fool nsim_dev_trap_report_work() with hundreds of ports [1] Lets use cond_resched(), and system_unbound_wq instead of implicit system_wq. [1] INFO: task syz-executor:20633 blocked for more than 143 seconds. Not tainted 6.12.0-rc2-syzkaller-00205-g1d227fcc7222 #0 "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. task:syz-executor state:D stack:25856 pid:20633 tgid:20633 ppid:1 flags:0x00004006 ... NMI backtrace for cpu 1 CPU: 1 UID: 0 PID: 16760 Comm: kworker/1:0 Not tainted 6.12.0-rc2-syzkaller-00205-g1d227fcc7222 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Workqueue: events nsim_dev_trap_report_work RIP: 0010:__sanitizer_cov_trace_pc+0x0/0x70 kernel/kcov.c:210 Code: 89 fb e8 23 00 00 00 48 8b 3d 04 fb 9c 0c 48 89 de 5b e9 c3 c7 5d 00 0f 1f 00 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 <f3> 0f 1e fa 48 8b 04 24 65 48 8b 0c 25 c0 d7 03 00 65 8b 15 60 f0 RSP: 0018:ffffc90000a187e8 EFLAGS: 00000246 RAX: 0000000000000100 RBX: ffffc90000a188e0 RCX: ffff888027d3bc00 RDX: ffff888027d3bc00 RSI: 0000000000000000 RDI: 0000000000000000 RBP: ffff88804a2e6000 R08: ffffffff8a4bc495 R09: ffffffff89da3577 R10: 0000000000000004 R11: ffffffff8a4bc2b0 R12: dffffc0000000000 R13: ffff88806573b503 R14: dffffc0000000000 R15: ffff8880663cca00 FS: 0000000000000000(0000) GS:ffff8880b8700000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fc90a747f98 CR3: 000000000e734000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 000000000000002b DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000ffff0ff0 DR7: 0000000000000400 Call Trace: <NMI> </NMI> <TASK> __local_bh_enable_ip+0x1bb/0x200 kernel/softirq.c:382 spin_unlock_bh include/linux/spinlock.h:396 [inline] nsim_dev_trap_report drivers/net/netdevsim/dev.c:820 [inline] nsim_dev_trap_report_work+0x75d/0xaa0 drivers/net/netdevsim/dev.c:850 process_one_work kernel/workqueue.c:3229 [inline] process_scheduled_works+0xa63/0x1850 kernel/workqueue.c:3310 worker_thread+0x870/0xd30 kernel/workqueue.c:3391 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Уязвимость функции nsim_dev_trap_report_work() ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/msm: Avoid NULL dereference in msm_disp_state_print_regs() If the allocation in msm_disp_state_dump_regs() failed then `block->state` can be NULL. The msm_disp_state_print_regs() function _does_ have code to try to handle it with: if (*reg) dump_addr = *reg; ...but since "dump_addr" is initialized to NULL the above is actually a noop. The code then goes on to dereference `dump_addr`. Make the function print "Registers not stored" when it sees a NULL to solve this. Since we're touching the code, fix msm_disp_state_print_regs() not to pointlessly take a double-pointer and properly mark the pointer as `const`. Patchwork: https://patchwork.freedesktop.org/patch/619657/ Уязвимость функции msm_disp_state_print_regs() компонента drivers/gpu/drm/msm/disp/msm_disp_snapshot_util.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: hda/cs8409: Fix possible NULL dereference If snd_hda_gen_add_kctl fails to allocate memory and returns NULL, then NULL pointer dereference will occur in the next line. Since dolphin_fixups function is a hda_fixup function which is not supposed to return any errors, add simple check before dereference, ignore the fail. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента sound/pci/hda/patch_cs8409.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: devmap: provide rxq after redirect rxq contains a pointer to the device from where the redirect happened. Currently, the BPF program that was executed after a redirect via BPF_MAP_TYPE_DEVMAP* does not have it set. This is particularly bad since accessing ingress_ifindex, e.g. SEC("xdp") int prog(struct xdp_md *pkt) { return bpf_redirect_map(&dev_redirect_map, 0, 0); } SEC("xdp/devmap") int prog_after_redirect(struct xdp_md *pkt) { bpf_printk("ifindex %i", pkt->ingress_ifindex); return XDP_PASS; } depends on access to rxq, so a NULL pointer gets dereferenced: <1>[ 574.475170] BUG: kernel NULL pointer dereference, address: 0000000000000000 <1>[ 574.475188] #PF: supervisor read access in kernel mode <1>[ 574.475194] #PF: error_code(0x0000) - not-present page <6>[ 574.475199] PGD 0 P4D 0 <4>[ 574.475207] Oops: Oops: 0000 [#1] PREEMPT SMP NOPTI <4>[ 574.475217] CPU: 4 UID: 0 PID: 217 Comm: kworker/4:1 Not tainted 6.11.0-rc5-reduced-00859-g780801200300 #23 <4>[ 574.475226] Hardware name: Intel(R) Client Systems NUC13ANHi7/NUC13ANBi7, BIOS ANRPL357.0026.2023.0314.1458 03/14/2023 <4>[ 574.475231] Workqueue: mld mld_ifc_work <4>[ 574.475247] RIP: 0010:bpf_prog_5e13354d9cf5018a_prog_after_redirect+0x17/0x3c <4>[ 574.475257] Code: cc cc cc cc cc cc cc 80 00 00 00 cc cc cc cc cc cc cc cc f3 0f 1e fa 0f 1f 44 00 00 66 90 55 48 89 e5 f3 0f 1e fa 48 8b 57 20 <48> 8b 52 00 8b 92 e0 00 00 00 48 bf f8 a6 d5 c4 5d a0 ff ff be 0b <4>[ 574.475263] RSP: 0018:ffffa62440280c98 EFLAGS: 00010206 <4>[ 574.475269] RAX: ffffa62440280cd8 RBX: 0000000000000001 RCX: 0000000000000000 <4>[ 574.475274] RDX: 0000000000000000 RSI: ffffa62440549048 RDI: ffffa62440280ce0 <4>[ 574.475278] RBP: ffffa62440280c98 R08: 0000000000000002 R09: 0000000000000001 <4>[ 574.475281] R10: ffffa05dc8b98000 R11: ffffa05f577fca40 R12: ffffa05dcab24000 <4>[ 574.475285] R13: ffffa62440280ce0 R14: ffffa62440549048 R15: ffffa62440549000 <4>[ 574.475289] FS: 0000000000000000(0000) GS:ffffa05f4f700000(0000) knlGS:0000000000000000 <4>[ 574.475294] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 <4>[ 574.475298] CR2: 0000000000000000 CR3: 000000025522e000 CR4: 0000000000f50ef0 <4>[ 574.475303] PKRU: 55555554 <4>[ 574.475306] Call Trace: <4>[ 574.475313] <IRQ> <4>[ 574.475318] ? __die+0x23/0x70 <4>[ 574.475329] ? page_fault_oops+0x180/0x4c0 <4>[ 574.475339] ? skb_pp_cow_data+0x34c/0x490 <4>[ 574.475346] ? kmem_cache_free+0x257/0x280 <4>[ 574.475357] ? exc_page_fault+0x67/0x150 <4>[ 574.475368] ? asm_exc_page_fault+0x26/0x30 <4>[ 574.475381] ? bpf_prog_5e13354d9cf5018a_prog_after_redirect+0x17/0x3c <4>[ 574.475386] bq_xmit_all+0x158/0x420 <4>[ 574.475397] __dev_flush+0x30/0x90 <4>[ 574.475407] veth_poll+0x216/0x250 [veth] <4>[ 574.475421] __napi_poll+0x28/0x1c0 <4>[ 574.475430] net_rx_action+0x32d/0x3a0 <4>[ 574.475441] handle_softirqs+0xcb/0x2c0 <4>[ 574.475451] do_softirq+0x40/0x60 <4>[ 574.475458] </IRQ> <4>[ 574.475461] <TASK> <4>[ 574.475464] __local_bh_enable_ip+0x66/0x70 <4>[ 574.475471] __dev_queue_xmit+0x268/0xe40 <4>[ 574.475480] ? selinux_ip_postroute+0x213/0x420 <4>[ 574.475491] ? alloc_skb_with_frags+0x4a/0x1d0 <4>[ 574.475502] ip6_finish_output2+0x2be/0x640 <4>[ 574.475512] ? nf_hook_slow+0x42/0xf0 <4>[ 574.475521] ip6_finish_output+0x194/0x300 <4>[ 574.475529] ? __pfx_ip6_finish_output+0x10/0x10 <4>[ 574.475538] mld_sendpack+0x17c/0x240 <4>[ 574.475548] mld_ifc_work+0x192/0x410 <4>[ 574.475557] process_one_work+0x15d/0x380 <4>[ 574.475566] worker_thread+0x29d/0x3a0 <4>[ 574.475573] ? __pfx_worker_thread+0x10/0x10 <4>[ 574.475580] ? __pfx_worker_thread+0x10/0x10 <4>[ 574.475587] kthread+0xcd/0x100 <4>[ 574.475597] ? __pfx_kthread+0x10/0x10 <4>[ 574.475606] ret_from_fork+0x31/0x50 <4>[ 574.475615] ? __pfx_kthread+0x10/0x10 <4>[ 574.475623] ret_from_fork_asm+0x1a/0x ---truncated--- Уязвимость компонента kernel/bpf/devmap.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Make sure internal and UAPI bpf_redirect flags don't overlap The bpf_redirect_info is shared between the SKB and XDP redirect paths, and the two paths use the same numeric flag values in the ri->flags field (specifically, BPF_F_BROADCAST == BPF_F_NEXTHOP). This means that if skb bpf_redirect_neigh() is used with a non-NULL params argument and, subsequently, an XDP redirect is performed using the same bpf_redirect_info struct, the XDP path will get confused and end up crashing, which syzbot managed to trigger. With the stack-allocated bpf_redirect_info, the structure is no longer shared between the SKB and XDP paths, so the crash doesn't happen anymore. However, different code paths using identically-numbered flag values in the same struct field still seems like a bit of a mess, so this patch cleans that up by moving the flag definitions together and redefining the three flags in BPF_F_REDIRECT_INTERNAL to not overlap with the flags used for XDP. It also adds a BUILD_BUG_ON() check to make sure the overlap is not re-introduced by mistake. Уязвимость ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: be2net: fix potential memory leak in be_xmit() The be_xmit() returns NETDEV_TX_OK without freeing skb in case of be_xmit_enqueue() fails, add dev_kfree_skb_any() to fix it. Уязвимость функции be_xmit() компонента drivers/net/ethernet/emulex/benet/be_main.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sun3_82586: fix potential memory leak in sun3_82586_send_packet() The sun3_82586_send_packet() returns NETDEV_TX_OK without freeing skb in case of skb->len being too long, add dev_kfree_skb() to fix it. Уязвимость функции sun3_82586_send_packet() компонента drivers/net/ethernet/i825xx/sun3_82586.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: systemport: fix potential memory leak in bcm_sysport_xmit() The bcm_sysport_xmit() returns NETDEV_TX_OK without freeing skb in case of dma_map_single() fails, add dev_kfree_skb() to fix it. Уязвимость функции bcm_sysport_xmit() компонента drivers/net/ethernet/broadcom/bcmsysport.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ceph: remove the incorrect Fw reference check when dirtying pages When doing the direct-io reads it will also try to mark pages dirty, but for the read path it won't hold the Fw caps and there is case will it get the Fw reference. Уязвимость компонента fs/ceph ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: sisfb: Fix strbuf array overflow The values of the variables xres and yres are placed in strbuf. These variables are obtained from strbuf1. The strbuf1 array contains digit characters and a space if the array contains non-digit characters. Then, when executing sprintf(strbuf, "%ux%ux8", xres, yres); more than 16 bytes will be written to strbuf. It is suggested to increase the size of the strbuf array to 24. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции sisfb_search_mode() компонента drivers/video/fbdev/sis/sis_main.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: secretmem: disable memfd_secret() if arch cannot set direct map Return -ENOSYS from memfd_secret() syscall if !can_set_direct_map(). This is the case for example on some arm64 configurations, where marking 4k PTEs in the direct map not present can only be done if the direct map is set up at 4k granularity in the first place (as ARM's break-before-make semantics do not easily allow breaking apart large/gigantic pages). More precisely, on arm64 systems with !can_set_direct_map(), set_direct_map_invalid_noflush() is a no-op, however it returns success (0) instead of an error. This means that memfd_secret will seemingly "work" (e.g. syscall succeeds, you can mmap the fd and fault in pages), but it does not actually achieve its goal of removing its memory from the direct map. Note that with this patch, memfd_secret() will start erroring on systems where can_set_direct_map() returns false (arm64 with CONFIG_RODATA_FULL_DEFAULT_ENABLED=n, CONFIG_DEBUG_PAGEALLOC=n and CONFIG_KFENCE=n), but that still seems better than the current silent failure. Since CONFIG_RODATA_FULL_DEFAULT_ENABLED defaults to 'y', most arm64 systems actually have a working memfd_secret() and aren't be affected. From going through the iterations of the original memfd_secret patch series, it seems that disabling the syscall in these scenarios was the intended behavior [1] (preferred over having set_direct_map_invalid_noflush return an error as that would result in SIGBUSes at page-fault time), however the check for it got dropped between v16 [2] and v17 [3], when secretmem moved away from CMA allocations. [1]: https://lore.kernel.org/lkml/20201124164930.GK8537@kernel.org/ [2]: https://lore.kernel.org/lkml/20210121122723.3446-11-rppt@kernel.org/#t [3]: https://lore.kernel.org/lkml/20201125092208.12544-10-rppt@kernel.org/ Уязвимость компонента mm/secretmem.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Ensure DA_ID handling completion before deleting an NPIV instance Deleting an NPIV instance requires all fabric ndlps to be released before an NPIV's resources can be torn down. Failure to release fabric ndlps beforehand opens kref imbalance race conditions. Fix by forcing the DA_ID to complete synchronously with usage of wait_queue. Уязвимость компонента drivers/scsi/lpfc ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: virtio_pmem: Check device status before requesting flush If a pmem device is in a bad status, the driver side could wait for host ack forever in virtio_pmem_flush(), causing the system to hang. So add a status check in the beginning of virtio_pmem_flush() to return early if the device is not activated. Уязвимость ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: handle consistently DSS corruption Bugged peer implementation can send corrupted DSS options, consistently hitting a few warning in the data path. Use DEBUG_NET assertions, to avoid the splat on some builds and handle consistently the error, dumping related MIBs and performing fallback and/or reset according to the subflow type. Уязвимость компонента net/mptcp ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=8.2) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vc4: Stop the active perfmon before being destroyed Upon closing the file descriptor, the active performance monitor is not stopped. Although all perfmons are destroyed in `vc4_perfmon_close_file()`, the active performance monitor's pointer (`vc4->active_perfmon`) is still retained. If we open a new file descriptor and submit a few jobs with performance monitors, the driver will attempt to stop the active performance monitor using the stale pointer in `vc4->active_perfmon`. However, this pointer is no longer valid because the previous process has already terminated, and all performance monitors associated with it have been destroyed and freed. To fix this, when the active performance monitor belongs to a given process, explicitly stop it before destroying and freeing it. Уязвимость компонента drivers/gpu/drm/vc4 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: phy: dp83869: fix memory corruption when enabling fiber When configuring the fiber port, the DP83869 PHY driver incorrectly calls linkmode_set_bit() with a bit mask (1 << 10) rather than a bit number (10). This corrupts some other memory location -- in case of arm64 the priv pointer in the same structure. Since the advertising flags are updated from supported at the end of the function the incorrect line isn't needed at all and can be removed. Уязвимость компонента drivers/net/phy/dp83869.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: amd_sfh: Switch to device-managed dmam_alloc_coherent() Using the device-managed version allows to simplify clean-up in probe() error path. Additionally, this device-managed ensures proper cleanup, which helps to resolve memory errors, page faults, btrfs going read-only, and btrfs disk corruption. Уязвимость компонента drivers/hid/amd-sfh-hid ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: irqchip/gic-v4: Don't allow a VMOVP on a dying VPE Kunkun Jiang reported that there is a small window of opportunity for userspace to force a change of affinity for a VPE while the VPE has already been unmapped, but the corresponding doorbell interrupt still visible in /proc/irq/. Plug the race by checking the value of vmapp_count, which tracks whether the VPE is mapped ot not, and returning an error in this case. This involves making vmapp_count common to both GICv4.1 and its v4.0 ancestor. Уязвимость ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/entry_32: Clear CPU buffers after register restore in NMI return CPU buffers are currently cleared after call to exc_nmi, but before register state is restored. This may be okay for MDS mitigation but not for RDFS. Because RDFS mitigation requires CPU buffers to be cleared when registers don't have any sensitive data. Move CLEAR_CPU_BUFFERS after RESTORE_ALL_NMI. Уязвимость компонента arch/x86/entry/entry_32.S ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64: probes: Fix uprobes for big-endian kernels The arm64 uprobes code is broken for big-endian kernels as it doesn't convert the in-memory instruction encoding (which is always little-endian) into the kernel's native endianness before analyzing and simulating instructions. This may result in a few distinct problems: * The kernel may may erroneously reject probing an instruction which can safely be probed. * The kernel may erroneously erroneously permit stepping an instruction out-of-line when that instruction cannot be stepped out-of-line safely. * The kernel may erroneously simulate instruction incorrectly dur to interpretting the byte-swapped encoding. The endianness mismatch isn't caught by the compiler or sparse because: * The arch_uprobe::{insn,ixol} fields are encoded as arrays of u8, so the compiler and sparse have no idea these contain a little-endian 32-bit value. The core uprobes code populates these with a memcpy() which similarly does not handle endianness. * While the uprobe_opcode_t type is an alias for __le32, both arch_uprobe_analyze_insn() and arch_uprobe_skip_sstep() cast from u8[] to the similarly-named probe_opcode_t, which is an alias for u32. Hence there is no endianness conversion warning. Fix this by changing the arch_uprobe::{insn,ixol} fields to __le32 and adding the appropriate __le32_to_cpu() conversions prior to consuming the instruction encoding. The core uprobes copies these fields as opaque ranges of bytes, and so is unaffected by this change. At the same time, remove MAX_UINSN_BYTES and consistently use AARCH64_INSN_SIZE for clarity. Tested with the following: | #include <stdio.h> | #include <stdbool.h> | | #define noinline __attribute__((noinline)) | | static noinline void *adrp_self(void) | { | void *addr; | | asm volatile( | " adrp %x0, adrp_self\n" | " add %x0, %x0, :lo12:adrp_self\n" | : "=r" (addr)); | } | | | int main(int argc, char *argv) | { | void *ptr = adrp_self(); | bool equal = (ptr == adrp_self); | | printf("adrp_self => %p\n" | "adrp_self() => %p\n" | "%s\n", | adrp_self, ptr, equal ? "EQUAL" : "NOT EQUAL"); | | return 0; | } .... where the adrp_self() function was compiled to: | 00000000004007e0 <adrp_self>: | 4007e0: 90000000 adrp x0, 400000 <__ehdr_start> | 4007e4: 911f8000 add x0, x0, #0x7e0 | 4007e8: d65f03c0 ret Before this patch, the ADRP is not recognized, and is assumed to be steppable, resulting in corruption of the result: | # ./adrp-self | adrp_self => 0x4007e0 | adrp_self() => 0x4007e0 | EQUAL | # echo 'p /root/adrp-self:0x007e0' > /sys/kernel/tracing/uprobe_events | # echo 1 > /sys/kernel/tracing/events/uprobes/enable | # ./adrp-self | adrp_self => 0x4007e0 | adrp_self() => 0xffffffffff7e0 | NOT EQUAL After this patch, the ADRP is correctly recognized and simulated: | # ./adrp-self | adrp_self => 0x4007e0 | adrp_self() => 0x4007e0 | EQUAL | # | # echo 'p /root/adrp-self:0x007e0' > /sys/kernel/tracing/uprobe_events | # echo 1 > /sys/kernel/tracing/events/uprobes/enable | # ./adrp-self | adrp_self => 0x4007e0 | adrp_self() => 0x4007e0 | EQUAL Уязвимость ядра операционной системы Linux связана с ошибкой кодирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: posix-clock: Fix missing timespec64 check in pc_clock_settime() As Andrew pointed out, it will make sense that the PTP core checked timespec64 struct's tv_sec and tv_nsec range before calling ptp->info->settime64(). As the man manual of clock_settime() said, if tp.tv_sec is negative or tp.tv_nsec is outside the range [0..999,999,999], it should return EINVAL, which include dynamic clocks which handles PTP clock, and the condition is consistent with timespec64_valid(). As Thomas suggested, timespec64_valid() only check the timespec is valid, but not ensure that the time is in a valid range, so check it ahead using timespec64_valid_strict() in pc_clock_settime() and return -EINVAL if not valid. There are some drivers that use tp->tv_sec and tp->tv_nsec directly to write registers without validity checks and assume that the higher layer has checked it, which is dangerous and will benefit from this, such as hclge_ptp_settime(), igb_ptp_settime_i210(), _rcar_gen4_ptp_settime(), and some drivers can remove the checks of itself. Уязвимость функции pc_clock_settime() компонента kernel/time/posix-clock.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: ocelot: fix system hang on level based interrupts The current implementation only calls chained_irq_enter() and chained_irq_exit() if it detects pending interrupts. ``` for (i = 0; i < info->stride; i++) { uregmap_read(info->map, id_reg + 4 * i, &reg); if (!reg) continue; chained_irq_enter(parent_chip, desc); ``` However, in case of GPIO pin configured in level mode and the parent controller configured in edge mode, GPIO interrupt might be lowered by the hardware. In the result, if the interrupt is short enough, the parent interrupt is still pending while the GPIO interrupt is cleared; chained_irq_enter() never gets called and the system hangs trying to service the parent interrupt. Moving chained_irq_enter() and chained_irq_exit() outside the for loop ensures that they are called even when GPIO interrupt is lowered by the hardware. The similar code with chained_irq_enter() / chained_irq_exit() functions wrapping interrupt checking loop may be found in many other drivers: ``` grep -r -A 10 chained_irq_enter drivers/pinctrl ``` Уязвимость компонента drivers/pinctrl/pinctrl-ocelot.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: light: veml6030: fix IIO device retrieval from embedded device The dev pointer that is received as an argument in the in_illuminance_period_available_show function references the device embedded in the IIO device, not in the i2c client. dev_to_iio_dev() must be used to accessthe right data. The current implementation leads to a segmentation fault on every attempt to read the attribute because indio_dev gets a NULL assignment. This bug has been present since the first appearance of the driver, apparently since the last version (V6) before getting applied. A constant attribute was used until then, and the last modifications might have not been tested again. Уязвимость компонента drivers/iio/light/veml6030.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/swapfile: skip HugeTLB pages for unuse_vma I got a bad pud error and lost a 1GB HugeTLB when calling swapoff. The problem can be reproduced by the following steps: 1. Allocate an anonymous 1GB HugeTLB and some other anonymous memory. 2. Swapout the above anonymous memory. 3. run swapoff and we will get a bad pud error in kernel message: mm/pgtable-generic.c:42: bad pud 00000000743d215d(84000001400000e7) We can tell that pud_clear_bad is called by pud_none_or_clear_bad in unuse_pud_range() by ftrace. And therefore the HugeTLB pages will never be freed because we lost it from page table. We can skip HugeTLB pages for unuse_vma to fix it. Уязвимость компонента mm/swapfile ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: maple_tree: correct tree corruption on spanning store Patch series "maple_tree: correct tree corruption on spanning store", v3. There has been a nasty yet subtle maple tree corruption bug that appears to have been in existence since the inception of the algorithm. This bug seems far more likely to happen since commit f8d112a4e657 ("mm/mmap: avoid zeroing vma tree in mmap_region()"), which is the point at which reports started to be submitted concerning this bug. We were made definitely aware of the bug thanks to the kind efforts of Bert Karwatzki who helped enormously in my being able to track this down and identify the cause of it. The bug arises when an attempt is made to perform a spanning store across two leaf nodes, where the right leaf node is the rightmost child of the shared parent, AND the store completely consumes the right-mode node. This results in mas_wr_spanning_store() mitakenly duplicating the new and existing entries at the maximum pivot within the range, and thus maple tree corruption. The fix patch corrects this by detecting this scenario and disallowing the mistaken duplicate copy. The fix patch commit message goes into great detail as to how this occurs. This series also includes a test which reliably reproduces the issue, and asserts that the fix works correctly. Bert has kindly tested the fix and confirmed it resolved his issues. Also Mikhail Gavrilov kindly reported what appears to be precisely the same bug, which this fix should also resolve. This patch (of 2): There has been a subtle bug present in the maple tree implementation from its inception. This arises from how stores are performed - when a store occurs, it will overwrite overlapping ranges and adjust the tree as necessary to accommodate this. A range may always ultimately span two leaf nodes. In this instance we walk the two leaf nodes, determine which elements are not overwritten to the left and to the right of the start and end of the ranges respectively and then rebalance the tree to contain these entries and the newly inserted one. This kind of store is dubbed a 'spanning store' and is implemented by mas_wr_spanning_store(). In order to reach this stage, mas_store_gfp() invokes mas_wr_preallocate(), mas_wr_store_type() and mas_wr_walk() in turn to walk the tree and update the object (mas) to traverse to the location where the write should be performed, determining its store type. When a spanning store is required, this function returns false stopping at the parent node which contains the target range, and mas_wr_store_type() marks the mas->store_type as wr_spanning_store to denote this fact. When we go to perform the store in mas_wr_spanning_store(), we first determine the elements AFTER the END of the range we wish to store (that is, to the right of the entry to be inserted) - we do this by walking to the NEXT pivot in the tree (i.e. r_mas.last + 1), starting at the node we have just determined contains the range over which we intend to write. We then turn our attention to the entries to the left of the entry we are inserting, whose state is represented by l_mas, and copy these into a 'big node', which is a special node which contains enough slots to contain two leaf node's worth of data. We then copy the entry we wish to store immediately after this - the copy and the insertion of the new entry is performed by mas_store_b_node(). After this we copy the elements to the right of the end of the range which we are inserting, if we have not exceeded the length of the node (i.e. r_mas.offset <= r_mas.end). Herein lies the bug - under very specific circumstances, this logic can break and corrupt the maple tree. Consider the following tree: Height 0 Root Node / \ pivot = 0xffff / \ pivot = ULONG_MAX / ---truncated--- Уязвимость компонента maple_tree ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/radeon: Fix encoder->possible_clones Include the encoder itself in its possible_clones bitmask. In the past nothing validated that drivers were populating possible_clones correctly, but that changed in commit 74d2aacbe840 ("drm: Validate encoder->possible_clones"). Looks like radeon never got the memo and is still not following the rules 100% correctly. This results in some warnings during driver initialization: Bogus possible_clones: [ENCODER:46:TV-46] possible_clones=0x4 (full encoder mask=0x7) WARNING: CPU: 0 PID: 170 at drivers/gpu/drm/drm_mode_config.c:615 drm_mode_config_validate+0x113/0x39c ... (cherry picked from commit 3b6e7d40649c0d75572039aff9d0911864c689db) Уязвимость компонента drivers/gpu/drm/radeon/radeon_encoders.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: propagate directory read errors from nilfs_find_entry() Syzbot reported that a task hang occurs in vcs_open() during a fuzzing test for nilfs2. The root cause of this problem is that in nilfs_find_entry(), which searches for directory entries, ignores errors when loading a directory page/folio via nilfs_get_folio() fails. If the filesystem images is corrupted, and the i_size of the directory inode is large, and the directory page/folio is successfully read but fails the sanity check, for example when it is zero-filled, nilfs_check_folio() may continue to spit out error messages in bursts. Fix this issue by propagating the error to the callers when loading a page/folio fails in nilfs_find_entry(). The current interface of nilfs_find_entry() and its callers is outdated and cannot propagate error codes such as -EIO and -ENOMEM returned via nilfs_find_entry(), so fix it together. Уязвимость компонента fs/nilfs2 ядра операционной системы Linux связана с недостатками в обработке исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-755'), NistCWE(cwe='CWE-755')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: firewire-lib: Avoid division by zero in apply_constraint_to_size() The step variable is initialized to zero. It is changed in the loop, but if it's not changed it will remain zero. Add a variable check before the division. The observed behavior was introduced by commit 826b5de90c0b ("ALSA: firewire-lib: fix insufficient PCM rule for period/buffer size"), and it is difficult to show that any of the interval parameters will satisfy the snd_interval_test() condition with data from the amdtp_rate_table[] table. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции apply_constraint_to_size() компонента sound/firewire/amdtp-stream.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/bnxt_re: Fix a bug while setting up Level-2 PBL pages Avoid memory corruption while setting up Level-2 PBL pages for the non MR resources when num_pages > 256K. There will be a single PDE page address (contiguous pages in the case of > PAGE_SIZE), but, current logic assumes multiple pages, leading to invalid memory access after 256K PBL entries in the PDE. Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/bnxt_re: Add a check for memory allocation __alloc_pbl() can return error when memory allocation fails. Driver is not checking the status on one of the instances. Уязвимость функции bnxt_qplib_alloc_init_hwq() компонента drivers/infiniband/hw/bnxt_re/qplib_res.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvmet-auth: assign dh_key to NULL after kfree_sensitive ctrl->dh_key might be used across multiple calls to nvmet_setup_dhgroup() for the same controller. So it's better to nullify it after release on error path in order to avoid double free later in nvmet_destroy_auth(). Found by Linux Verification Center (linuxtesting.org) with Svace. Уязвимость компонента drivers/nvme/target/auth.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415'), NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: pass u64 to ocfs2_truncate_inline maybe overflow Syzbot reported a kernel BUG in ocfs2_truncate_inline. There are two reasons for this: first, the parameter value passed is greater than ocfs2_max_inline_data_with_xattr, second, the start and end parameters of ocfs2_truncate_inline are "unsigned int". So, we need to add a sanity check for byte_start and byte_len right before ocfs2_truncate_inline() in ocfs2_remove_inode_range(), if they are greater than ocfs2_max_inline_data_with_xattr return -EINVAL. Уязвимость компонента ocfs2 ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix potential deadlock with newly created symlinks Syzbot reported that page_symlink(), called by nilfs_symlink(), triggers memory reclamation involving the filesystem layer, which can result in circular lock dependencies among the reader/writer semaphore nilfs->ns_segctor_sem, s_writers percpu_rwsem (intwrite) and the fs_reclaim pseudo lock. This is because after commit 21fc61c73c39 ("don't put symlink bodies in pagecache into highmem"), the gfp flags of the page cache for symbolic links are overwritten to GFP_KERNEL via inode_nohighmem(). This is not a problem for symlinks read from the backing device, because the __GFP_FS flag is dropped after inode_nohighmem() is called. However, when a new symlink is created with nilfs_symlink(), the gfp flags remain overwritten to GFP_KERNEL. Then, memory allocation called from page_symlink() etc. triggers memory reclamation including the FS layer, which may call nilfs_evict_inode() or nilfs_dirty_inode(). And these can cause a deadlock if they are called while nilfs->ns_segctor_sem is held: Fix this issue by dropping the __GFP_FS flag from the page cache GFP flags of newly created symlinks in the same way that nilfs_new_inode() and __nilfs_read_inode() do, as a workaround until we adopt nofs allocation scope consistently or improve the locking constraints. Уязвимость компонента fs/nilfs2 ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix kernel bug due to missing clearing of checked flag Syzbot reported that in directory operations after nilfs2 detects filesystem corruption and degrades to read-only, __block_write_begin_int(), which is called to prepare block writes, may fail the BUG_ON check for accesses exceeding the folio/page size, triggering a kernel bug. This was found to be because the "checked" flag of a page/folio was not cleared when it was discarded by nilfs2's own routine, which causes the sanity check of directory entries to be skipped when the directory page/folio is reloaded. So, fix that. This was necessary when the use of nilfs2's own page discard routine was applied to more than just metadata files. Уязвимость функции nilfs_clear_folio_dirty() в модуле fs/nilfs2/page.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: adc: ad7124: fix division by zero in ad7124_set_channel_odr() In the ad7124_write_raw() function, parameter val can potentially be zero. This may lead to a division by zero when DIV_ROUND_CLOSEST() is called within ad7124_set_channel_odr(). The ad7124_write_raw() function is invoked through the sequence: iio_write_channel_raw() -> iio_write_channel_attribute() -> iio_channel_write(), with no checks in place to ensure val is non-zero. Уязвимость компонента drivers/iio/adc/ad7124.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: staging: iio: frequency: ad9832: fix division by zero in ad9832_calc_freqreg() In the ad9832_write_frequency() function, clk_get_rate() might return 0. This can lead to a division by zero when calling ad9832_calc_freqreg(). The check if (fout > (clk_get_rate(st->mclk) / 2)) does not protect against the case when fout is 0. The ad9832_write_frequency() function is called from ad9832_write(), and fout is derived from a text buffer, which can contain any value. Уязвимость функции ad9832_calc_freqreg() компонента drivers/staging/iio/frequency/ad9832.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlegacy: Clear stale interrupts before resuming device iwl4965 fails upon resume from hibernation on my laptop. The reason seems to be a stale interrupt which isn't being cleared out before interrupts are enabled. We end up with a race beween the resume trying to bring things back up, and the restart work (queued form the interrupt handler) trying to bring things down. Eventually the whole thing blows up. Fix the problem by clearing out any stale interrupts before interrupts get enabled during resume. Here's a debug log of the indicent: [ 12.042589] ieee80211 phy0: il_isr ISR inta 0x00000080, enabled 0xaa00008b, fh 0x00000000 [ 12.042625] ieee80211 phy0: il4965_irq_tasklet inta 0x00000080, enabled 0x00000000, fh 0x00000000 [ 12.042651] iwl4965 0000:10:00.0: RF_KILL bit toggled to enable radio. [ 12.042653] iwl4965 0000:10:00.0: On demand firmware reload [ 12.042690] ieee80211 phy0: il4965_irq_tasklet End inta 0x00000000, enabled 0xaa00008b, fh 0x00000000, flags 0x00000282 [ 12.052207] ieee80211 phy0: il4965_mac_start enter [ 12.052212] ieee80211 phy0: il_prep_station Add STA to driver ID 31: ff:ff:ff:ff:ff:ff [ 12.052244] ieee80211 phy0: il4965_set_hw_ready hardware ready [ 12.052324] ieee80211 phy0: il_apm_init Init card's basic functions [ 12.052348] ieee80211 phy0: il_apm_init L1 Enabled; Disabling L0S [ 12.055727] ieee80211 phy0: il4965_load_bsm Begin load bsm [ 12.056140] ieee80211 phy0: il4965_verify_bsm Begin verify bsm [ 12.058642] ieee80211 phy0: il4965_verify_bsm BSM bootstrap uCode image OK [ 12.058721] ieee80211 phy0: il4965_load_bsm BSM write complete, poll 1 iterations [ 12.058734] ieee80211 phy0: __il4965_up iwl4965 is coming up [ 12.058737] ieee80211 phy0: il4965_mac_start Start UP work done. [ 12.058757] ieee80211 phy0: __il4965_down iwl4965 is going down [ 12.058761] ieee80211 phy0: il_scan_cancel_timeout Scan cancel timeout [ 12.058762] ieee80211 phy0: il_do_scan_abort Not performing scan to abort [ 12.058765] ieee80211 phy0: il_clear_ucode_stations Clearing ucode stations in driver [ 12.058767] ieee80211 phy0: il_clear_ucode_stations No active stations found to be cleared [ 12.058819] ieee80211 phy0: _il_apm_stop Stop card, put in low power state [ 12.058827] ieee80211 phy0: _il_apm_stop_master stop master [ 12.058864] ieee80211 phy0: il4965_clear_free_frames 0 frames on pre-allocated heap on clear. [ 12.058869] ieee80211 phy0: Hardware restart was requested [ 16.132299] iwl4965 0000:10:00.0: START_ALIVE timeout after 4000ms. [ 16.132303] ------------[ cut here ]------------ [ 16.132304] Hardware became unavailable upon resume. This could be a software issue prior to suspend or a hardware issue. [ 16.132338] WARNING: CPU: 0 PID: 181 at net/mac80211/util.c:1826 ieee80211_reconfig+0x8f/0x14b0 [mac80211] [ 16.132390] Modules linked in: ctr ccm sch_fq_codel xt_tcpudp xt_multiport xt_state iptable_filter iptable_nat nf_nat nf_conntrack nf_defrag_ipv4 ip_tables x_tables binfmt_misc joydev mousedev btusb btrtl btintel btbcm bluetooth ecdh_generic ecc iTCO_wdt i2c_dev iwl4965 iwlegacy coretemp snd_hda_codec_analog pcspkr psmouse mac80211 snd_hda_codec_generic libarc4 sdhci_pci cqhci sha256_generic sdhci libsha256 firewire_ohci snd_hda_intel snd_intel_dspcfg mmc_core snd_hda_codec snd_hwdep firewire_core led_class iosf_mbi snd_hda_core uhci_hcd lpc_ich crc_itu_t cfg80211 ehci_pci ehci_hcd snd_pcm usbcore mfd_core rfkill snd_timer snd usb_common soundcore video parport_pc parport intel_agp wmi intel_gtt backlight e1000e agpgart evdev [ 16.132456] CPU: 0 UID: 0 PID: 181 Comm: kworker/u8:6 Not tainted 6.11.0-cl+ #143 [ 16.132460] Hardware name: Hewlett-Packard HP Compaq 6910p/30BE, BIOS 68MCU Ver. F.19 07/06/2010 [ 16.132463] Workqueue: async async_run_entry_fn [ 16.132469] RIP: 0010:ieee80211_reconfig+0x8f/0x14b0 [mac80211] [ 16.132501] Code: da 02 00 0 ---truncated--- Уязвимость ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367'), NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: clear wdev->cqm_config pointer on free When we free wdev->cqm_config when unregistering, we also need to clear out the pointer since the same wdev/netdev may get re-registered in another network namespace, then destroyed later, running this code again, which results in a double-free. Уязвимость функции _cfg80211_unregister_wdev() в модуле net/wireless/core.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415'), NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ath10k: Fix memory leak in management tx In the current logic, memory is allocated for storing the MSDU context during management packet TX but this memory is not being freed during management TX completion. Similar leaks are seen in the management TX cleanup logic. Kmemleak reports this problem as below, unreferenced object 0xffffff80b64ed250 (size 16): comm "kworker/u16:7", pid 148, jiffies 4294687130 (age 714.199s) hex dump (first 16 bytes): 00 2b d8 d8 80 ff ff ff c4 74 e9 fd 07 00 00 00 .+.......t...... backtrace: [<ffffffe6e7b245dc>] __kmem_cache_alloc_node+0x1e4/0x2d8 [<ffffffe6e7adde88>] kmalloc_trace+0x48/0x110 [<ffffffe6bbd765fc>] ath10k_wmi_tlv_op_gen_mgmt_tx_send+0xd4/0x1d8 [ath10k_core] [<ffffffe6bbd3eed4>] ath10k_mgmt_over_wmi_tx_work+0x134/0x298 [ath10k_core] [<ffffffe6e78d5974>] process_scheduled_works+0x1ac/0x400 [<ffffffe6e78d60b8>] worker_thread+0x208/0x328 [<ffffffe6e78dc890>] kthread+0x100/0x1c0 [<ffffffe6e78166c0>] ret_from_fork+0x10/0x20 Free the memory during completion and cleanup to fix the leak. Protect the mgmt_pending_tx idr_remove() operation in ath10k_wmi_tlv_op_cleanup_mgmt_tx_send() using ar->data_lock similar to other instances. Tested-on: WCN3990 hw1.0 SNOC WLAN.HL.2.0-01387-QCAHLSWMTPLZ-1 Уязвимость компонента drivers/net/wireless/ath/ath10k ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: do not pass a stopped vif to the driver in .get_txpower Avoid potentially crashing in the driver because of uninitialized private data Уязвимость ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Additional check in ntfs_file_release Уязвимость компонента fs/ntfs3/file.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Fix general protection fault in run_is_mapped_full Fixed deleating of a non-resident attribute in ntfs_create_inode() rollback. Уязвимость компонента fs/ntfs3/inode.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Additional check in ni_clear() Checking of NTFS_FLAGS_LOG_REPLAYING added to prevent access to uninitialized bitmap during replay process. Уязвимость компонента fs/ntfs3/frecord.c ядра операционной системы Linux связана с смещением указателя за границы выделенной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Fix possible deadlock in mi_read Mutex lock with another subclass used in ni_lock_dir(). Уязвимость компонента fs/ntfs3/namei.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Check if more than chunk-size bytes are written A incorrectly formatted chunk may decompress into more than LZNT_CHUNK_SIZE bytes and a index out of bounds will occur in s_max_off. Уязвимость компонента fs/ntfs3/lznt.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ntfs3: Add bounds checking to mi_enum_attr() Added bounds checking to make sure that every attr don't stray beyond valid memory region. Уязвимость компонента fs/ntfs3 ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_payload: sanitize offset and length before calling skb_checksum() If access to offset + length is larger than the skbuff length, then skb_checksum() triggers BUG_ON(). skb_checksum() internally subtracts the length parameter while iterating over skbuff, BUG_ON(len) at the end of it checks that the expected length to be included in the checksum calculation is fully consumed. Уязвимость компонента net/netfilter/nft_payload.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mlxsw: spectrum_ipip: Fix memory leak when changing remote IPv6 address The device stores IPv6 addresses that are used for encapsulation in linear memory that is managed by the driver. Changing the remote address of an ip6gre net device never worked properly, but since cited commit the following reproducer [1] would result in a warning [2] and a memory leak [3]. The problem is that the new remote address is never added by the driver to its hash table (and therefore the device) and the old address is never removed from it. Fix by programming the new address when the configuration of the ip6gre net device changes and removing the old one. If the address did not change, then the above would result in increasing the reference count of the address and then decreasing it. [1] # ip link add name bla up type ip6gre local 2001:db8:1::1 remote 2001:db8:2::1 tos inherit ttl inherit # ip link set dev bla type ip6gre remote 2001:db8:3::1 # ip link del dev bla # devlink dev reload pci/0000:01:00.0 [2] WARNING: CPU: 0 PID: 1682 at drivers/net/ethernet/mellanox/mlxsw/spectrum.c:3002 mlxsw_sp_ipv6_addr_put+0x140/0x1d0 Modules linked in: CPU: 0 UID: 0 PID: 1682 Comm: ip Not tainted 6.12.0-rc3-custom-g86b5b55bc835 #151 Hardware name: Nvidia SN5600/VMOD0013, BIOS 5.13 05/31/2023 RIP: 0010:mlxsw_sp_ipv6_addr_put+0x140/0x1d0 [...] Call Trace: <TASK> mlxsw_sp_router_netdevice_event+0x55f/0x1240 notifier_call_chain+0x5a/0xd0 call_netdevice_notifiers_info+0x39/0x90 unregister_netdevice_many_notify+0x63e/0x9d0 rtnl_dellink+0x16b/0x3a0 rtnetlink_rcv_msg+0x142/0x3f0 netlink_rcv_skb+0x50/0x100 netlink_unicast+0x242/0x390 netlink_sendmsg+0x1de/0x420 ____sys_sendmsg+0x2bd/0x320 ___sys_sendmsg+0x9a/0xe0 __sys_sendmsg+0x7a/0xd0 do_syscall_64+0x9e/0x1a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f [3] unreferenced object 0xffff898081f597a0 (size 32): comm "ip", pid 1626, jiffies 4294719324 hex dump (first 32 bytes): 20 01 0d b8 00 02 00 00 00 00 00 00 00 00 00 01 ............... 21 49 61 83 80 89 ff ff 00 00 00 00 01 00 00 00 !Ia............. backtrace (crc fd9be911): [<00000000df89c55d>] __kmalloc_cache_noprof+0x1da/0x260 [<00000000ff2a1ddb>] mlxsw_sp_ipv6_addr_kvdl_index_get+0x281/0x340 [<000000009ddd445d>] mlxsw_sp_router_netdevice_event+0x47b/0x1240 [<00000000743e7757>] notifier_call_chain+0x5a/0xd0 [<000000007c7b9e13>] call_netdevice_notifiers_info+0x39/0x90 [<000000002509645d>] register_netdevice+0x5f7/0x7a0 [<00000000c2e7d2a9>] ip6gre_newlink_common.isra.0+0x65/0x130 [<0000000087cd6d8d>] ip6gre_newlink+0x72/0x120 [<000000004df7c7cc>] rtnl_newlink+0x471/0xa20 [<0000000057ed632a>] rtnetlink_rcv_msg+0x142/0x3f0 [<0000000032e0d5b5>] netlink_rcv_skb+0x50/0x100 [<00000000908bca63>] netlink_unicast+0x242/0x390 [<00000000cdbe1c87>] netlink_sendmsg+0x1de/0x420 [<0000000011db153e>] ____sys_sendmsg+0x2bd/0x320 [<000000003b6d53eb>] ___sys_sendmsg+0x9a/0xe0 [<00000000cae27c62>] __sys_sendmsg+0x7a/0xd0 Уязвимость компонента drivers/net/ethernet/mellanox/mlxsw/spectrum_ipip.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci: fix null-ptr-deref in hci_read_supported_codecs Fix __hci_cmd_sync_sk() to return not NULL for unknown opcodes. __hci_cmd_sync_sk() returns NULL if a command returns a status event. However, it also returns NULL where an opcode doesn't exist in the hci_cc table because hci_cmd_complete_evt() assumes status = skb->data[0] for unknown opcodes. This leads to null-ptr-deref in cmd_sync for HCI_OP_READ_LOCAL_CODECS as there is no hci_cc for HCI_OP_READ_LOCAL_CODECS, which always assumes status = skb->data[0]. KASAN: null-ptr-deref in range [0x0000000000000070-0x0000000000000077] CPU: 1 PID: 2000 Comm: kworker/u9:5 Not tainted 6.9.0-ga6bcb805883c-dirty #10 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 Workqueue: hci7 hci_power_on RIP: 0010:hci_read_supported_codecs+0xb9/0x870 net/bluetooth/hci_codec.c:138 Code: 08 48 89 ef e8 b8 c1 8f fd 48 8b 75 00 e9 96 00 00 00 49 89 c6 48 ba 00 00 00 00 00 fc ff df 4c 8d 60 70 4c 89 e3 48 c1 eb 03 <0f> b6 04 13 84 c0 0f 85 82 06 00 00 41 83 3c 24 02 77 0a e8 bf 78 RSP: 0018:ffff888120bafac8 EFLAGS: 00010212 RAX: 0000000000000000 RBX: 000000000000000e RCX: ffff8881173f0040 RDX: dffffc0000000000 RSI: ffffffffa58496c0 RDI: ffff88810b9ad1e4 RBP: ffff88810b9ac000 R08: ffffffffa77882a7 R09: 1ffffffff4ef1054 R10: dffffc0000000000 R11: fffffbfff4ef1055 R12: 0000000000000070 R13: 0000000000000000 R14: 0000000000000000 R15: ffff88810b9ac000 FS: 0000000000000000(0000) GS:ffff8881f6c00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f6ddaa3439e CR3: 0000000139764003 CR4: 0000000000770ef0 PKRU: 55555554 Call Trace: <TASK> hci_read_local_codecs_sync net/bluetooth/hci_sync.c:4546 [inline] hci_init_stage_sync net/bluetooth/hci_sync.c:3441 [inline] hci_init4_sync net/bluetooth/hci_sync.c:4706 [inline] hci_init_sync net/bluetooth/hci_sync.c:4742 [inline] hci_dev_init_sync net/bluetooth/hci_sync.c:4912 [inline] hci_dev_open_sync+0x19a9/0x2d30 net/bluetooth/hci_sync.c:4994 hci_dev_do_open net/bluetooth/hci_core.c:483 [inline] hci_power_on+0x11e/0x560 net/bluetooth/hci_core.c:1015 process_one_work kernel/workqueue.c:3267 [inline] process_scheduled_works+0x8ef/0x14f0 kernel/workqueue.c:3348 worker_thread+0x91f/0xe50 kernel/workqueue.c:3429 kthread+0x2cb/0x360 kernel/kthread.c:388 ret_from_fork+0x4d/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 Уязвимость функции __hci_cmd_sync_sk() компонента net/bluetooth/hci_sync.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_reject_ipv6: fix potential crash in nf_send_reset6() I got a syzbot report without a repro [1] crashing in nf_send_reset6() I think the issue is that dev->hard_header_len is zero, and we attempt later to push an Ethernet header. Use LL_MAX_HEADER, as other functions in net/ipv6/netfilter/nf_reject_ipv6.c. [1] skbuff: skb_under_panic: text:ffffffff89b1d008 len:74 put:14 head:ffff88803123aa00 data:ffff88803123a9f2 tail:0x3c end:0x140 dev:syz_tun kernel BUG at net/core/skbuff.c:206 ! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN PTI CPU: 0 UID: 0 PID: 7373 Comm: syz.1.568 Not tainted 6.12.0-rc2-syzkaller-00631-g6d858708d465 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 RIP: 0010:skb_panic net/core/skbuff.c:206 [inline] RIP: 0010:skb_under_panic+0x14b/0x150 net/core/skbuff.c:216 Code: 0d 8d 48 c7 c6 60 a6 29 8e 48 8b 54 24 08 8b 0c 24 44 8b 44 24 04 4d 89 e9 50 41 54 41 57 41 56 e8 ba 30 38 02 48 83 c4 20 90 <0f> 0b 0f 1f 00 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 f3 RSP: 0018:ffffc900045269b0 EFLAGS: 00010282 RAX: 0000000000000088 RBX: dffffc0000000000 RCX: cd66dacdc5d8e800 RDX: 0000000000000000 RSI: 0000000000000200 RDI: 0000000000000000 RBP: ffff88802d39a3d0 R08: ffffffff8174afec R09: 1ffff920008a4ccc R10: dffffc0000000000 R11: fffff520008a4ccd R12: 0000000000000140 R13: ffff88803123aa00 R14: ffff88803123a9f2 R15: 000000000000003c FS: 00007fdbee5ff6c0(0000) GS:ffff8880b8600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 000000005d322000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> skb_push+0xe5/0x100 net/core/skbuff.c:2636 eth_header+0x38/0x1f0 net/ethernet/eth.c:83 dev_hard_header include/linux/netdevice.h:3208 [inline] nf_send_reset6+0xce6/0x1270 net/ipv6/netfilter/nf_reject_ipv6.c:358 nft_reject_inet_eval+0x3b9/0x690 net/netfilter/nft_reject_inet.c:48 expr_call_ops_eval net/netfilter/nf_tables_core.c:240 [inline] nft_do_chain+0x4ad/0x1da0 net/netfilter/nf_tables_core.c:288 nft_do_chain_inet+0x418/0x6b0 net/netfilter/nft_chain_filter.c:161 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xc3/0x220 net/netfilter/core.c:626 nf_hook include/linux/netfilter.h:269 [inline] NF_HOOK include/linux/netfilter.h:312 [inline] br_nf_pre_routing_ipv6+0x63e/0x770 net/bridge/br_netfilter_ipv6.c:184 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_bridge_pre net/bridge/br_input.c:277 [inline] br_handle_frame+0x9fd/0x1530 net/bridge/br_input.c:424 __netif_receive_skb_core+0x13e8/0x4570 net/core/dev.c:5562 __netif_receive_skb_one_core net/core/dev.c:5666 [inline] __netif_receive_skb+0x12f/0x650 net/core/dev.c:5781 netif_receive_skb_internal net/core/dev.c:5867 [inline] netif_receive_skb+0x1e8/0x890 net/core/dev.c:5926 tun_rx_batched+0x1b7/0x8f0 drivers/net/tun.c:1550 tun_get_user+0x3056/0x47e0 drivers/net/tun.c:2007 tun_chr_write_iter+0x10d/0x1f0 drivers/net/tun.c:2053 new_sync_write fs/read_write.c:590 [inline] vfs_write+0xa6d/0xc90 fs/read_write.c:683 ksys_write+0x183/0x2b0 fs/read_write.c:736 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fdbeeb7d1ff Code: 89 54 24 18 48 89 74 24 10 89 7c 24 08 e8 c9 8d 02 00 48 8b 54 24 18 48 8b 74 24 10 41 89 c0 8b 7c 24 08 b8 01 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 31 44 89 c7 48 89 44 24 08 e8 1c 8e 02 00 48 RSP: 002b:00007fdbee5ff000 EFLAGS: 00000293 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 00007fdbeed36058 RCX: 00007fdbeeb7d1ff RDX: 000000000000008e RSI: 0000000020000040 RDI: 00000000000000c8 RBP: 00007fdbeebf12be R08: 0000000 ---truncated--- Уязвимость функции nf_send_reset6() компонента net/ipv6/netfilter/nf_reject_ipv6.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: Fix use-after-free in get_info() ip6table_nat module unload has refcnt warning for UAF. call trace is: WARNING: CPU: 1 PID: 379 at kernel/module/main.c:853 module_put+0x6f/0x80 Modules linked in: ip6table_nat(-) CPU: 1 UID: 0 PID: 379 Comm: ip6tables Not tainted 6.12.0-rc4-00047-gc2ee9f594da8-dirty #205 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:module_put+0x6f/0x80 Call Trace: <TASK> get_info+0x128/0x180 do_ip6t_get_ctl+0x6a/0x430 nf_getsockopt+0x46/0x80 ipv6_getsockopt+0xb9/0x100 rawv6_getsockopt+0x42/0x190 do_sock_getsockopt+0xaa/0x180 __sys_getsockopt+0x70/0xc0 __x64_sys_getsockopt+0x20/0x30 do_syscall_64+0xa2/0x1a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f Concurrent execution of module unload and get_info() trigered the warning. The root cause is as follows: cpu0 cpu1 module_exit //mod->state = MODULE_STATE_GOING ip6table_nat_exit xt_unregister_template kfree(t) //removed from templ_list getinfo() t = xt_find_table_lock list_for_each_entry(tmpl, &xt_templates[af]...) if (strcmp(tmpl->name, name)) continue; //table not found try_module_get list_for_each_entry(t, &xt_net->tables[af]...) return t; //not get refcnt module_put(t->me) //uaf unregister_pernet_subsys //remove table from xt_net list While xt_table module was going away and has been removed from xt_templates list, we couldnt get refcnt of xt_table->me. Check module in xt_net->tables list re-traversal to fix it. Уязвимость компонента net/netfilter/x_tables.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fix crash when config small gso_max_size/gso_ipv4_max_size Config a small gso_max_size/gso_ipv4_max_size will lead to an underflow in sk_dst_gso_max_size(), which may trigger a BUG_ON crash, because sk->sk_gso_max_size would be much bigger than device limits. Call Trace: tcp_write_xmit tso_segs = tcp_init_tso_segs(skb, mss_now); tcp_set_skb_tso_segs tcp_skb_pcount_set // skb->len = 524288, mss_now = 8 // u16 tso_segs = 524288/8 = 65535 -> 0 tso_segs = DIV_ROUND_UP(skb->len, mss_now) BUG_ON(!tso_segs) Add check for the minimum value of gso_max_size and gso_ipv4_max_size. Уязвимость ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netdevsim: Add trailing zero to terminate the string in nsim_nexthop_bucket_activity_write() This was found by a static analyzer. We should not forget the trailing zero after copy_from_user() if we will further do some string operations, sscanf() in this case. Adding a trailing zero will ensure that the function performs properly. Уязвимость компонента drivers/net/netdevsim/fib.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: macsec: Fix use-after-free while sending the offloading packet KASAN reports the following UAF. The metadata_dst, which is used to store the SCI value for macsec offload, is already freed by metadata_dst_free() in macsec_free_netdev(), while driver still use it for sending the packet. To fix this issue, dst_release() is used instead to release metadata_dst. So it is not freed instantly in macsec_free_netdev() if still referenced by skb. BUG: KASAN: slab-use-after-free in mlx5e_xmit+0x1e8f/0x4190 [mlx5_core] Read of size 2 at addr ffff88813e42e038 by task kworker/7:2/714 [...] Workqueue: mld mld_ifc_work Call Trace: <TASK> dump_stack_lvl+0x51/0x60 print_report+0xc1/0x600 kasan_report+0xab/0xe0 mlx5e_xmit+0x1e8f/0x4190 [mlx5_core] dev_hard_start_xmit+0x120/0x530 sch_direct_xmit+0x149/0x11e0 __qdisc_run+0x3ad/0x1730 __dev_queue_xmit+0x1196/0x2ed0 vlan_dev_hard_start_xmit+0x32e/0x510 [8021q] dev_hard_start_xmit+0x120/0x530 __dev_queue_xmit+0x14a7/0x2ed0 macsec_start_xmit+0x13e9/0x2340 dev_hard_start_xmit+0x120/0x530 __dev_queue_xmit+0x14a7/0x2ed0 ip6_finish_output2+0x923/0x1a70 ip6_finish_output+0x2d7/0x970 ip6_output+0x1ce/0x3a0 NF_HOOK.constprop.0+0x15f/0x190 mld_sendpack+0x59a/0xbd0 mld_ifc_work+0x48a/0xa80 process_one_work+0x5aa/0xe50 worker_thread+0x79c/0x1290 kthread+0x28f/0x350 ret_from_fork+0x2d/0x70 ret_from_fork_asm+0x11/0x20 </TASK> Allocated by task 3922: kasan_save_stack+0x20/0x40 kasan_save_track+0x10/0x30 __kasan_kmalloc+0x77/0x90 __kmalloc_noprof+0x188/0x400 metadata_dst_alloc+0x1f/0x4e0 macsec_newlink+0x914/0x1410 __rtnl_newlink+0xe08/0x15b0 rtnl_newlink+0x5f/0x90 rtnetlink_rcv_msg+0x667/0xa80 netlink_rcv_skb+0x12c/0x360 netlink_unicast+0x551/0x770 netlink_sendmsg+0x72d/0xbd0 __sock_sendmsg+0xc5/0x190 ____sys_sendmsg+0x52e/0x6a0 ___sys_sendmsg+0xeb/0x170 __sys_sendmsg+0xb5/0x140 do_syscall_64+0x4c/0x100 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Freed by task 4011: kasan_save_stack+0x20/0x40 kasan_save_track+0x10/0x30 kasan_save_free_info+0x37/0x50 poison_slab_object+0x10c/0x190 __kasan_slab_free+0x11/0x30 kfree+0xe0/0x290 macsec_free_netdev+0x3f/0x140 netdev_run_todo+0x450/0xc70 rtnetlink_rcv_msg+0x66f/0xa80 netlink_rcv_skb+0x12c/0x360 netlink_unicast+0x551/0x770 netlink_sendmsg+0x72d/0xbd0 __sock_sendmsg+0xc5/0x190 ____sys_sendmsg+0x52e/0x6a0 ___sys_sendmsg+0xeb/0x170 __sys_sendmsg+0xb5/0x140 do_syscall_64+0x4c/0x100 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость компонента drivers/net/macsec.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix out-of-bounds write in trie_get_next_key() trie_get_next_key() allocates a node stack with size trie->max_prefixlen, while it writes (trie->max_prefixlen + 1) nodes to the stack when it has full paths from the root to leaves. For example, consider a trie with max_prefixlen is 8, and the nodes with key 0x00/0, 0x00/1, 0x00/2, ... 0x00/8 inserted. Subsequent calls to trie_get_next_key with _key with .prefixlen = 8 make 9 nodes be written on the node stack with size 8. Уязвимость функции trie_get_next_key() в модуле kernel/bpf/lpm_trie.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock/virtio: Initialization of the dangling pointer occurring in vsk->trans During loopback communication, a dangling pointer can be created in vsk->trans, potentially leading to a Use-After-Free condition. This issue is resolved by initializing vsk->trans to NULL. Уязвимость компонента vsock/virtio ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: remove entry once instead of null-ptr-dereference in ocfs2_xa_remove() Syzkaller is able to provoke null-ptr-dereference in ocfs2_xa_remove(): [ 57.319872] (a.out,1161,7):ocfs2_xa_remove:2028 ERROR: status = -12 [ 57.320420] (a.out,1161,7):ocfs2_xa_cleanup_value_truncate:1999 ERROR: Partial truncate while removing xattr overlay.upper. Leaking 1 clusters and removing the entry [ 57.321727] BUG: kernel NULL pointer dereference, address: 0000000000000004 [...] [ 57.325727] RIP: 0010:ocfs2_xa_block_wipe_namevalue+0x2a/0xc0 [...] [ 57.331328] Call Trace: [ 57.331477] <TASK> [...] [ 57.333511] ? do_user_addr_fault+0x3e5/0x740 [ 57.333778] ? exc_page_fault+0x70/0x170 [ 57.334016] ? asm_exc_page_fault+0x2b/0x30 [ 57.334263] ? __pfx_ocfs2_xa_block_wipe_namevalue+0x10/0x10 [ 57.334596] ? ocfs2_xa_block_wipe_namevalue+0x2a/0xc0 [ 57.334913] ocfs2_xa_remove_entry+0x23/0xc0 [ 57.335164] ocfs2_xa_set+0x704/0xcf0 [ 57.335381] ? _raw_spin_unlock+0x1a/0x40 [ 57.335620] ? ocfs2_inode_cache_unlock+0x16/0x20 [ 57.335915] ? trace_preempt_on+0x1e/0x70 [ 57.336153] ? start_this_handle+0x16c/0x500 [ 57.336410] ? preempt_count_sub+0x50/0x80 [ 57.336656] ? _raw_read_unlock+0x20/0x40 [ 57.336906] ? start_this_handle+0x16c/0x500 [ 57.337162] ocfs2_xattr_block_set+0xa6/0x1e0 [ 57.337424] __ocfs2_xattr_set_handle+0x1fd/0x5d0 [ 57.337706] ? ocfs2_start_trans+0x13d/0x290 [ 57.337971] ocfs2_xattr_set+0xb13/0xfb0 [ 57.338207] ? dput+0x46/0x1c0 [ 57.338393] ocfs2_xattr_trusted_set+0x28/0x30 [ 57.338665] ? ocfs2_xattr_trusted_set+0x28/0x30 [ 57.338948] __vfs_removexattr+0x92/0xc0 [ 57.339182] __vfs_removexattr_locked+0xd5/0x190 [ 57.339456] ? preempt_count_sub+0x50/0x80 [ 57.339705] vfs_removexattr+0x5f/0x100 [...] Reproducer uses faultinject facility to fail ocfs2_xa_remove() -> ocfs2_xa_value_truncate() with -ENOMEM. In this case the comment mentions that we can return 0 if ocfs2_xa_cleanup_value_truncate() is going to wipe the entry anyway. But the following 'rc' check is wrong and execution flow do 'ocfs2_xa_remove_entry(loc);' twice: * 1st: in ocfs2_xa_cleanup_value_truncate(); * 2nd: returning back to ocfs2_xa_remove() instead of going to 'out'. Fix this by skipping the 2nd removal of the same entry and making syzkaller repro happy. Уязвимость функции ocfs2_xa_remove() компонента fs/ocfs2/xattr.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: USB: serial: io_edgeport: fix use after free in debug printk The "dev_dbg(&urb->dev->dev, ..." which happens after usb_free_urb(urb) is a use after free of the "urb" pointer. Store the "dev" pointer at the start of the function to avoid this issue. Уязвимость функции edge_bulk_out_cmd_callback() в модуле drivers/usb/serial/io_edgeport.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: fix potential out of bounds in ucsi_ccg_update_set_new_cam_cmd() The "*cmd" variable can be controlled by the user via debugfs. That means "new_cam" can be as high as 255 while the size of the uc->updated[] array is UCSI_MAX_ALTMODES (30). The call tree is: ucsi_cmd() // val comes from simple_attr_write_xsigned() -> ucsi_send_command() -> ucsi_send_command_common() -> ucsi_run_command() // calls ucsi->ops->sync_control() -> ucsi_ccg_sync_control() Уязвимость функции ucsi_ccg_update_set_new_cam_cmd() в модуле drivers/usb/typec/ucsi/ucsi_ccg.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: musb: sunxi: Fix accessing an released usb phy Commit 6ed05c68cbca ("usb: musb: sunxi: Explicitly release USB PHY on exit") will cause that usb phy @glue->xceiv is accessed after released. 1) register platform driver @sunxi_musb_driver // get the usb phy @glue->xceiv sunxi_musb_probe() -> devm_usb_get_phy(). 2) register and unregister platform driver @musb_driver musb_probe() -> sunxi_musb_init() use the phy here //the phy is released here musb_remove() -> sunxi_musb_exit() -> devm_usb_put_phy() 3) register @musb_driver again musb_probe() -> sunxi_musb_init() use the phy here but the phy has been released at 2). ... Fixed by reverting the commit, namely, removing devm_usb_put_phy() from sunxi_musb_exit(). Уязвимость функции sunxi_musb_exit() компонента drivers/usb/musb/sunxi.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: signal: restore the override_rlimit logic Prior to commit d64696905554 ("Reimplement RLIMIT_SIGPENDING on top of ucounts") UCOUNT_RLIMIT_SIGPENDING rlimit was not enforced for a class of signals. However now it's enforced unconditionally, even if override_rlimit is set. This behavior change caused production issues. For example, if the limit is reached and a process receives a SIGSEGV signal, sigqueue_alloc fails to allocate the necessary resources for the signal delivery, preventing the signal from being delivered with siginfo. This prevents the process from correctly identifying the fault address and handling the error. From the user-space perspective, applications are unaware that the limit has been reached and that the siginfo is effectively 'corrupted'. This can lead to unpredictable behavior and crashes, as we observed with java applications. Fix this by passing override_rlimit into inc_rlimit_get_ucounts() and skip the comparison to max there if override_rlimit is set. This effectively restores the old behavior. Уязвимость ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: filemap: Fix bounds checking in filemap_read() If the caller supplies an iocb->ki_pos value that is close to the filesystem upper limit, and an iterator with a count that causes us to overflow that limit, then filemap_read() enters an infinite loop. This behaviour was discovered when testing xfstests generic/525 with the "localio" optimisation for loopback NFS mounts. Уязвимость функции filemap_read() компонента mm/filemap.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: reinitialize delayed ref list after deleting it from the list At insert_delayed_ref() if we need to update the action of an existing ref to BTRFS_DROP_DELAYED_REF, we delete the ref from its ref head's ref_add_list using list_del(), which leaves the ref's add_list member not reinitialized, as list_del() sets the next and prev members of the list to LIST_POISON1 and LIST_POISON2, respectively. If later we end up calling drop_delayed_ref() against the ref, which can happen during merging or when destroying delayed refs due to a transaction abort, we can trigger a crash since at drop_delayed_ref() we call list_empty() against the ref's add_list, which returns false since the list was not reinitialized after the list_del() and as a consequence we call list_del() again at drop_delayed_ref(). This results in an invalid list access since the next and prev members are set to poison pointers, resulting in a splat if CONFIG_LIST_HARDENED and CONFIG_DEBUG_LIST are set or invalid poison pointer dereferences otherwise. So fix this by deleting from the list with list_del_init() instead. Уязвимость компонента fs/btrfs ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: vertexcom: mse102x: Fix possible double free of TX skb The scope of the TX skb is wider than just mse102x_tx_frame_spi(), so in case the TX skb room needs to be expanded, we should free the the temporary skb instead of the original skb. Otherwise the original TX skb pointer would be freed again in mse102x_tx_work(), which leads to crashes: Internal error: Oops: 0000000096000004 [#2] PREEMPT SMP CPU: 0 PID: 712 Comm: kworker/0:1 Tainted: G D 6.6.23 Hardware name: chargebyte Charge SOM DC-ONE (DT) Workqueue: events mse102x_tx_work [mse102x] pstate: 20400009 (nzCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : skb_release_data+0xb8/0x1d8 lr : skb_release_data+0x1ac/0x1d8 sp : ffff8000819a3cc0 x29: ffff8000819a3cc0 x28: ffff0000046daa60 x27: ffff0000057f2dc0 x26: ffff000005386c00 x25: 0000000000000002 x24: 00000000ffffffff x23: 0000000000000000 x22: 0000000000000001 x21: ffff0000057f2e50 x20: 0000000000000006 x19: 0000000000000000 x18: ffff00003fdacfcc x17: e69ad452d0c49def x16: 84a005feff870102 x15: 0000000000000000 x14: 000000000000024a x13: 0000000000000002 x12: 0000000000000000 x11: 0000000000000400 x10: 0000000000000930 x9 : ffff00003fd913e8 x8 : fffffc00001bc008 x7 : 0000000000000000 x6 : 0000000000000008 x5 : ffff00003fd91340 x4 : 0000000000000000 x3 : 0000000000000009 x2 : 00000000fffffffe x1 : 0000000000000000 x0 : 0000000000000000 Call trace: skb_release_data+0xb8/0x1d8 kfree_skb_reason+0x48/0xb0 mse102x_tx_work+0x164/0x35c [mse102x] process_one_work+0x138/0x260 worker_thread+0x32c/0x438 kthread+0x118/0x11c ret_from_fork+0x10/0x20 Code: aa1303e0 97fffab6 72001c1f 54000141 (f9400660) Уязвимость функции mse102x_tx_frame_spi() в модуле drivers/net/ethernet/vertexcom/mse102x.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415'), NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dm cache: fix potential out-of-bounds access on the first resume Out-of-bounds access occurs if the fast device is expanded unexpectedly before the first-time resume of the cache table. This happens because expanding the fast device requires reloading the cache table for cache_create to allocate new in-core data structures that fit the new size, and the check in cache_preresume is not performed during the first resume, leading to the issue. Reproduce steps: 1. prepare component devices: dmsetup create cmeta --table "0 8192 linear /dev/sdc 0" dmsetup create cdata --table "0 65536 linear /dev/sdc 8192" dmsetup create corig --table "0 524288 linear /dev/sdc 262144" dd if=/dev/zero of=/dev/mapper/cmeta bs=4k count=1 oflag=direct 2. load a cache table of 512 cache blocks, and deliberately expand the fast device before resuming the cache, making the in-core data structures inadequate. dmsetup create cache --notable dmsetup reload cache --table "0 524288 cache /dev/mapper/cmeta \ /dev/mapper/cdata /dev/mapper/corig 128 2 metadata2 writethrough smq 0" dmsetup reload cdata --table "0 131072 linear /dev/sdc 8192" dmsetup resume cdata dmsetup resume cache 3. suspend the cache to write out the in-core dirty bitset and hint array, leading to out-of-bounds access to the dirty bitset at offset 0x40: dmsetup suspend cache KASAN reports: BUG: KASAN: vmalloc-out-of-bounds in is_dirty_callback+0x2b/0x80 Read of size 8 at addr ffffc90000085040 by task dmsetup/90 (...snip...) The buggy address belongs to the virtual mapping at [ffffc90000085000, ffffc90000087000) created by: cache_ctr+0x176a/0x35f0 (...snip...) Memory state around the buggy address: ffffc90000084f00: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 ffffc90000084f80: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 >ffffc90000085000: 00 00 00 00 00 00 00 00 f8 f8 f8 f8 f8 f8 f8 f8 ^ ffffc90000085080: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 ffffc90000085100: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 Fix by checking the size change on the first resume. Уязвимость функции cache_create() компонента dm-cache (drivers/md/dm-cache-target.c) ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dm cache: fix out-of-bounds access to the dirty bitset when resizing dm-cache checks the dirty bits of the cache blocks to be dropped when shrinking the fast device, but an index bug in bitset iteration causes out-of-bounds access. Reproduce steps: 1. create a cache device of 1024 cache blocks (128 bytes dirty bitset) dmsetup create cmeta --table "0 8192 linear /dev/sdc 0" dmsetup create cdata --table "0 131072 linear /dev/sdc 8192" dmsetup create corig --table "0 524288 linear /dev/sdc 262144" dd if=/dev/zero of=/dev/mapper/cmeta bs=4k count=1 oflag=direct dmsetup create cache --table "0 524288 cache /dev/mapper/cmeta \ /dev/mapper/cdata /dev/mapper/corig 128 2 metadata2 writethrough smq 0" 2. shrink the fast device to 512 cache blocks, triggering out-of-bounds access to the dirty bitset (offset 0x80) dmsetup suspend cache dmsetup reload cdata --table "0 65536 linear /dev/sdc 8192" dmsetup resume cdata dmsetup resume cache KASAN reports: BUG: KASAN: vmalloc-out-of-bounds in cache_preresume+0x269/0x7b0 Read of size 8 at addr ffffc900000f3080 by task dmsetup/131 (...snip...) The buggy address belongs to the virtual mapping at [ffffc900000f3000, ffffc900000f5000) created by: cache_ctr+0x176a/0x35f0 (...snip...) Memory state around the buggy address: ffffc900000f2f80: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 ffffc900000f3000: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 >ffffc900000f3080: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 ^ ffffc900000f3100: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 ffffc900000f3180: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 Fix by making the index post-incremented. Уязвимость компонента drivers/md/dm-cache-target.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dm cache: fix flushing uninitialized delayed_work on cache_ctr error An unexpected WARN_ON from flush_work() may occur when cache creation fails, caused by destroying the uninitialized delayed_work waker in the error path of cache_create(). For example, the warning appears on the superblock checksum error. Reproduce steps: dmsetup create cmeta --table "0 8192 linear /dev/sdc 0" dmsetup create cdata --table "0 65536 linear /dev/sdc 8192" dmsetup create corig --table "0 524288 linear /dev/sdc 262144" dd if=/dev/urandom of=/dev/mapper/cmeta bs=4k count=1 oflag=direct dmsetup create cache --table "0 524288 cache /dev/mapper/cmeta \ /dev/mapper/cdata /dev/mapper/corig 128 2 metadata2 writethrough smq 0" Kernel logs: (snip) WARNING: CPU: 0 PID: 84 at kernel/workqueue.c:4178 __flush_work+0x5d4/0x890 Fix by pulling out the cancel_delayed_work_sync() from the constructor's error path. This patch doesn't affect the use-after-free fix for concurrent dm_resume and dm_destroy (commit 6a459d8edbdb ("dm cache: Fix UAF in destroy()")) as cache_dtr is not changed. Уязвимость компонента drivers/md/dm-cache-target.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: add missing size check in amdgpu_debugfs_gprwave_read() Avoid a possible buffer overflow if size is larger than 4K. (cherry picked from commit f5d873f5825b40d886d03bd2aede91d4cf002434) Уязвимость функции amdgpu_debugfs_gprwave_read() компонента drivers/gpu/drm/amd/amdgpu/amdgpu_debugfs.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix slab-use-after-free in smb3_preauth_hash_rsp ksmbd_user_session_put should be called under smb3_preauth_hash_rsp(). It will avoid freeing session before calling smb3_preauth_hash_rsp(). Уязвимость внутриядерного CIFS/SMB3-сервера ksmbd server ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: Fix the missing xa_store error check xa_store() can fail, it return xa_err(-EINVAL) if the entry cannot be stored in an XArray, or xa_err(-ENOMEM) if memory allocation failed, so check error for xa_store() to fix it. Уязвимость ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix slab-use-after-free in ksmbd_smb2_session_create There is a race condition between ksmbd_smb2_session_create and ksmbd_expire_session. This patch add missing sessions_table_lock while adding/deleting session from global session table. Уязвимость внутриядерного CIFS/SMB3-сервера ksmbd server ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ksmbd.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль ksmbd в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ksmbd ``` или ``` kmod list | grep ksmbd ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ksmbd ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install ksmbd /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: v4l2-tpg: prevent the risk of a division by zero As reported by Coverity, the logic at tpg_precalculate_line() blindly rescales the buffer even when scaled_witdh is equal to zero. If this ever happens, this will cause a division by zero. Instead, add a WARN_ON_ONCE() to trigger such cases and return without doing any precalculation. Уязвимость функции tpg_precalculate_line() компонента drivers/media/common/v4l2-tpg/v4l2-tpg-core.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: cx24116: prevent overflows on SNR calculus as reported by Coverity, if reading SNR registers fail, a negative number will be returned, causing an underflow when reading SNR registers. Prevent that. Уязвимость компонента media ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-191'), NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: stm32: spdifrx: fix dma channel release in stm32_spdifrx_remove In case of error when requesting ctrl_chan DMA channel, ctrl_chan is not null. So the release of the dma channel leads to the following issue: [ 4.879000] st,stm32-spdifrx 500d0000.audio-controller: dma_request_slave_channel error -19 [ 4.888975] Unable to handle kernel NULL pointer dereference at virtual address 000000000000003d [...] [ 5.096577] Call trace: [ 5.099099] dma_release_channel+0x24/0x100 [ 5.103235] stm32_spdifrx_remove+0x24/0x60 [snd_soc_stm32_spdifrx] [ 5.109494] stm32_spdifrx_probe+0x320/0x4c4 [snd_soc_stm32_spdifrx] To avoid this issue, release channel only if the pointer is valid. Уязвимость компонента sound/soc/stm/stm32_spdifrx.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: arc: fix the device for dma_map_single/dma_unmap_single The ndev->dev and pdev->dev aren't the same device, use ndev->dev.parent which has dma_mask, ndev->dev.parent is just pdev->dev. Or it would cause the following issue: [ 39.933526] ------------[ cut here ]------------ [ 39.938414] WARNING: CPU: 1 PID: 501 at kernel/dma/mapping.c:149 dma_map_page_attrs+0x90/0x1f8 Уязвимость компонента arc ядра операционной системы Linux связана с некорректной защитой от модификации бита блокировки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: hns3: fix kernel crash when uninstalling driver When the driver is uninstalled and the VF is disabled concurrently, a kernel crash occurs. The reason is that the two actions call function pci_disable_sriov(). The num_VFs is checked to determine whether to release the corresponding resources. During the second calling, num_VFs is not 0 and the resource release function is called. However, the corresponding resource has been released during the first invoking. Therefore, the problem occurs: [15277.839633][T50670] Unable to handle kernel NULL pointer dereference at virtual address 0000000000000020 ... [15278.131557][T50670] Call trace: [15278.134686][T50670] klist_put+0x28/0x12c [15278.138682][T50670] klist_del+0x14/0x20 [15278.142592][T50670] device_del+0xbc/0x3c0 [15278.146676][T50670] pci_remove_bus_device+0x84/0x120 [15278.151714][T50670] pci_stop_and_remove_bus_device+0x6c/0x80 [15278.157447][T50670] pci_iov_remove_virtfn+0xb4/0x12c [15278.162485][T50670] sriov_disable+0x50/0x11c [15278.166829][T50670] pci_disable_sriov+0x24/0x30 [15278.171433][T50670] hnae3_unregister_ae_algo_prepare+0x60/0x90 [hnae3] [15278.178039][T50670] hclge_exit+0x28/0xd0 [hclge] [15278.182730][T50670] __se_sys_delete_module.isra.0+0x164/0x230 [15278.188550][T50670] __arm64_sys_delete_module+0x1c/0x30 [15278.193848][T50670] invoke_syscall+0x50/0x11c [15278.198278][T50670] el0_svc_common.constprop.0+0x158/0x164 [15278.203837][T50670] do_el0_svc+0x34/0xcc [15278.207834][T50670] el0_svc+0x20/0x30 For details, see the following figure. rmmod hclge disable VFs ---------------------------------------------------- hclge_exit() sriov_numvfs_store() ... device_lock() pci_disable_sriov() hns3_pci_sriov_configure() pci_disable_sriov() sriov_disable() sriov_disable() if !num_VFs : if !num_VFs : return; return; sriov_del_vfs() sriov_del_vfs() ... ... klist_put() klist_put() ... ... num_VFs = 0; num_VFs = 0; device_unlock(); In this patch, when driver is removing, we get the device_lock() to protect num_VFs, just like sriov_numvfs_store(). Уязвимость компонента drivers/net/ethernet/hisilicon/hns3/hnae3.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: properly validate chunk size in sctp_sf_ootb() A size validation fix similar to that in Commit 50619dbf8db7 ("sctp: add size validation when walking chunks") is also required in sctp_sf_ootb() to address a crash reported by syzbot: BUG: KMSAN: uninit-value in sctp_sf_ootb+0x7f5/0xce0 net/sctp/sm_statefuns.c:3712 sctp_sf_ootb+0x7f5/0xce0 net/sctp/sm_statefuns.c:3712 sctp_do_sm+0x181/0x93d0 net/sctp/sm_sideeffect.c:1166 sctp_endpoint_bh_rcv+0xc38/0xf90 net/sctp/endpointola.c:407 sctp_inq_push+0x2ef/0x380 net/sctp/inqueue.c:88 sctp_rcv+0x3831/0x3b20 net/sctp/input.c:243 sctp4_rcv+0x42/0x50 net/sctp/protocol.c:1159 ip_protocol_deliver_rcu+0xb51/0x13d0 net/ipv4/ip_input.c:205 ip_local_deliver_finish+0x336/0x500 net/ipv4/ip_input.c:233 Уязвимость компонента net/sctp/sm_statefuns.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=8.2) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: security/keys: fix slab-out-of-bounds in key_task_permission KASAN reports an out of bounds read: BUG: KASAN: slab-out-of-bounds in __kuid_val include/linux/uidgid.h:36 BUG: KASAN: slab-out-of-bounds in uid_eq include/linux/uidgid.h:63 [inline] BUG: KASAN: slab-out-of-bounds in key_task_permission+0x394/0x410 security/keys/permission.c:54 Read of size 4 at addr ffff88813c3ab618 by task stress-ng/4362 CPU: 2 PID: 4362 Comm: stress-ng Not tainted 5.10.0-14930-gafbffd6c3ede #15 Call Trace: __dump_stack lib/dump_stack.c:82 [inline] dump_stack+0x107/0x167 lib/dump_stack.c:123 print_address_description.constprop.0+0x19/0x170 mm/kasan/report.c:400 __kasan_report.cold+0x6c/0x84 mm/kasan/report.c:560 kasan_report+0x3a/0x50 mm/kasan/report.c:585 __kuid_val include/linux/uidgid.h:36 [inline] uid_eq include/linux/uidgid.h:63 [inline] key_task_permission+0x394/0x410 security/keys/permission.c:54 search_nested_keyrings+0x90e/0xe90 security/keys/keyring.c:793 This issue was also reported by syzbot. It can be reproduced by following these steps(more details [1]): 1. Obtain more than 32 inputs that have similar hashes, which ends with the pattern '0xxxxxxxe6'. 2. Reboot and add the keys obtained in step 1. The reproducer demonstrates how this issue happened: 1. In the search_nested_keyrings function, when it iterates through the slots in a node(below tag ascend_to_node), if the slot pointer is meta and node->back_pointer != NULL(it means a root), it will proceed to descend_to_node. However, there is an exception. If node is the root, and one of the slots points to a shortcut, it will be treated as a keyring. 2. Whether the ptr is keyring decided by keyring_ptr_is_keyring function. However, KEYRING_PTR_SUBTYPE is 0x2UL, the same as ASSOC_ARRAY_PTR_SUBTYPE_MASK. 3. When 32 keys with the similar hashes are added to the tree, the ROOT has keys with hashes that are not similar (e.g. slot 0) and it splits NODE A without using a shortcut. When NODE A is filled with keys that all hashes are xxe6, the keys are similar, NODE A will split with a shortcut. Finally, it forms the tree as shown below, where slot 6 points to a shortcut. NODE A +------>+---+ ROOT | | 0 | xxe6 +---+ | +---+ xxxx | 0 | shortcut : : xxe6 +---+ | +---+ xxe6 : : | | | xxe6 +---+ | +---+ | 6 |---+ : : xxe6 +---+ +---+ xxe6 : : | f | xxe6 +---+ +---+ xxe6 | f | +---+ 4. As mentioned above, If a slot(slot 6) of the root points to a shortcut, it may be mistakenly transferred to a key*, leading to a read out-of-bounds read. To fix this issue, one should jump to descend_to_node if the ptr is a shortcut, regardless of whether the node is root or not. [1] https://lore.kernel.org/linux-kernel/1cfa878e-8c7b-4570-8606-21daf5e13ce7@huaweicloud.com/ [jarkko: tweaked the commit message a bit to have an appropriate closes tag.] Уязвимость компонента security/keys ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: core: zero-initialize the report buffer Since the report buffer is used by all kinds of drivers in various ways, let's zero-initialize it during allocation to make sure that it can't be ever used to leak kernel memory via specially-crafted report. Уязвимость компонента drivers/hid/hid-core.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) Для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: - включить защиту файловой системы ("установить МКЦ на ФС"); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - по возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 thunderbird matrix-js-sdk is a Matrix messaging protocol Client-Server SDK for JavaScript. matrix-js-sdk before 34.11.0 is vulnerable to client-side path traversal via crafted MXC URIs. A malicious room member can trigger clients based on the matrix-js-sdk to issue arbitrary authenticated GET requests to the client's homeserver. Fixed in matrix-js-sdk 34.11.1. [NistCWE(cwe='CWE-22')] None None thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 symfony symfony/runtime is a module for the Symphony PHP framework which enables decoupling PHP applications from global state. When the `register_argv_argc` php directive is set to `on` , and users call any URL with a special crafted query string, they are able to change the environment or debug mode used by the kernel when handling the request. As of versions 5.4.46, 6.4.14, and 7.1.7 the `SymfonyRuntime` now ignores the `argv` values for non-SAPI PHP runtimes. All users are advised to upgrade. There are no known workarounds for this vulnerability. Уязвимость программной платформы для разработки и управления веб-приложениями Symfony существует из-за непринятия мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-74')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) Astra Linux 1.8 symfony symfony/http-client is a module for the Symphony PHP framework which provides powerful methods to fetch HTTP resources synchronously or asynchronously. When using the `NoPrivateNetworkHttpClient`, some internal information is still leaking during host resolution, which leads to possible IP/port enumeration. As of versions 5.4.46, 6.4.14, and 7.1.7 the `NoPrivateNetworkHttpClient` now filters blocked IPs earlier to prevent such leaks. All users are advised to upgrade. There are no known workarounds for this vulnerability. Уязвимость компонента http-client программной платформы для разработки и управления веб-приложениями Symfony связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.1) Astra Linux 1.8 symfony symfony/validator is a module for the Symphony PHP framework which provides tools to validate values. It is possible to trick a `Validator` configured with a regular expression using the `$` metacharacters, with an input ending with `\n`. Symfony as of versions 5.4.43, 6.4.11, and 7.1.4 now uses the `D` regex modifier to match the entire input. Users are advised to upgrade. There are no known workarounds for this vulnerability. Уязвимость компонента validator программной платформы для разработки и управления веб-приложениями Symfony связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.1) Astra Linux 1.8 symfony symfony/http-foundation is a module for the Symphony PHP framework which defines an object-oriented layer for the HTTP specification. The `Request` class, does not parse URI with special characters the same way browsers do. As a result, an attacker can trick a validator relying on the `Request` class to redirect users to another domain. The `Request::create` methods now assert the URI does not contain invalid characters as defined by https://url.spec.whatwg.org/. This issue has been patched in versions 5.4.46, 6.4.14, and 7.1.7. Users are advised to upgrade. There are no known workarounds for this vulnerability. Уязвимость компонента http-foundation программной платформы для разработки и управления веб-приложениями Symfony связана с использованием открытой переадресации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-601')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) Astra Linux 1.8 git Git is a fast, scalable, distributed revision control system with an unusually rich command set that provides both high-level operations and full access to internals. When Git asks for credentials via a terminal prompt (i.e. without using any credential helper), it prints out the host name for which the user is expected to provide a username and/or a password. At this stage, any URL-encoded parts have been decoded already, and are printed verbatim. This allows attackers to craft URLs that contain ANSI escape sequences that the terminal interpret to confuse users e.g. into providing passwords for trusted Git hosting sites when in fact they are then sent to untrusted sites that are under the attacker's control. This issue has been patch via commits `7725b81` and `c903985` which are included in release versions v2.48.1, v2.47.2, v2.46.3, v2.45.3, v2.44.3, v2.43.6, v2.42.4, v2.41.3, and v2.40.4. Users are advised to upgrade. Users unable to upgrade should avoid cloning from untrusted URLs, especially recursive clones. Уязвимость компонента ANSI Escape Sequence Handler распределенной системы управления версиями Git связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N', score=4.7) - Удалить ПО git, если оно не используется - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Не вводить учётные данные через терминал при использорвании ПО git - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды Astra Linux 1.8 symfony Symphony process is a module for the Symphony PHP framework which executes commands in sub-processes. When consuming a persisted remember-me cookie, Symfony does not check if the username persisted in the database matches the username attached with the cookie, leading to authentication bypass. This vulnerability is fixed in 5.4.47, 6.4.15, and 7.1.8. Уязвимость компонента Process программной платформы для разработки и управления веб-приложениями Symfony связана с недостатками процедуры аутентификации в результате использования cookie-файла Remember-me. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения безопасности [NistCWE(cwe='CWE-287')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Astra Linux 1.8 git Git is a fast, scalable, distributed revision control system with an unusually rich command set that provides both high-level operations and full access to internals. Git defines a line-based protocol that is used to exchange information between Git and Git credential helpers. Some ecosystems (most notably, .NET and node.js) interpret single Carriage Return characters as newlines, which renders the protections against CVE-2020-5260 incomplete for credential helpers that treat Carriage Returns in this way. This issue has been addressed in commit `b01b9b8` which is included in release versions v2.48.1, v2.47.2, v2.46.3, v2.45.3, v2.44.3, v2.43.6, v2.42.4, v2.41.3, and v2.40.4. Users are advised to upgrade. Users unable to upgrade should avoid cloning from untrusted URLs, especially recursive clones. Уязвимость распределенной системы управления версиями Git связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) - Удалить ПО git, если оно не используется - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) - Отключите Credential Helper: ```bash git config --unset credential.helper git config --global --unset credential.helper git config --system --unset credential.helper``` - Проверяйте URL перед выполнением git clone. Убедитесь, что `hostname` и `username` корректны, и что в адресе отсутствуют подозрительные символы или последовательности, например `%0a` - Не используйте submodules из непроверенных источников. Перед выполнением `git submodule update` проверьте содержимое файла `.gitmodules` и убедитесь, что все URL безопасны - Избегайте использования инструментов, которые автоматически запускают `git clone` без подтверждения - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: igb: Fix potential invalid memory access in igb_init_module() The pci_register_driver() can fail and when this happened, the dca_notifier needs to be unregistered, otherwise the dca_notifier can be called when igb fails to install, resulting to invalid memory access. Уязвимость функции igb_init_module() компонента drivers/net/ethernet/intel/igb/igb_main.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 dcmtk An improper array index validation vulnerability exists in the determineMinMax functionality of OFFIS DCMTK 3.6.8. A specially crafted DICOM file can lead to an out-of-bounds write. An attacker can provide a malicious file to trigger this vulnerability. Уязвимость библиотеки для работы с форматом DICOM DCMTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного DICOM файла [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 libsoup2.4, libsoup3 GNOME libsoup before 3.6.0 allows HTTP request smuggling in some configurations because '\0' characters at the end of header names are ignored, i.e., a "Transfer-Encoding\0: chunked" header is treated the same as a "Transfer-Encoding: chunked" header. Уязвимость библиотеки доступа к HTTP серверам LibSoup связана с недостатками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) Astra Linux 1.8 libsoup2.4, libsoup3 GNOME libsoup before 3.6.1 allows a buffer overflow in applications that perform conversion to UTF-8 in soup_header_parse_param_list_strict. There is a plausible way to reach this remotely via soup_message_headers_get_content_type (e.g., an application may want to retrieve the content type of a request or response). Уязвимость библиотеки доступа к HTTP серверам LibSoup связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:L', score=6.5) Astra Linux 1.8 libsoup2.4, libsoup3 GNOME libsoup before 3.6.1 has an infinite loop, and memory consumption. during the reading of certain patterns of WebSocket data from clients. Уязвимость библиотеки доступа к HTTP серверам LibSoup связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 glib2.0 gio/gsocks4aproxy.c in GNOME GLib before 2.82.1 has an off-by-one error and resultant buffer overflow because SOCKS4_CONN_MSG_LEN is not sufficient for a trailing '\0' character. Уязвимость компонента gio/gsocks4aproxy.c набора библиотек GLib связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимости необходимо запретить приложениям использовать прокси-сервер SOCKS4a. Для этого, используя полномочия администратора системы с высоким уровнем целостности, выполните следующие команды: ``` sudo sh -c 'echo "GIO_USE_PROXY=direct" >> /etc/environment' sudo sh -c 'echo "all_proxy=" >> /etc/environment' sudo systemctl restart systemd-user-sessions.service ``` Astra Linux 1.8 python-tornado Tornado is a Python web framework and asynchronous networking library. The algorithm used for parsing HTTP cookies in Tornado versions prior to 6.4.2 sometimes has quadratic complexity, leading to excessive CPU consumption when parsing maliciously-crafted cookie headers. This parsing occurs in the event loop thread and may block the processing of other requests. Version 6.4.2 fixes the issue. Уязвимость веб-фреймворка Python Tornado связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python-tornado: - Использовать ПО python-tornado только на низком или отдельно выделенном уровне целостности - При использовании ПО python-tornado выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-tornado только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 haproxy Inconsistent interpretation of HTTP requests ('HTTP Request/Response Smuggling') issue exists in HAProxy. If this vulnerability is exploited, a remote attacker may access a path that is restricted by ACL (Access Control List) set on the product. As a result, the attacker may obtain sensitive information. [NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) haproxy: - Обеспечить возможность запуска haproxy только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv4: ip_tunnel: Fix suspicious RCU usage warning in ip_tunnel_init_flow() There are code paths from which the function is called without holding the RCU read lock, resulting in a suspicious RCU usage warning [1]. Fix by using l3mdev_master_upper_ifindex_by_index() which will acquire the RCU read lock before calling l3mdev_master_upper_ifindex_by_index_rcu(). [1] WARNING: suspicious RCU usage 6.12.0-rc3-custom-gac8f72681cf2 #141 Not tainted ----------------------------- net/core/dev.c:876 RCU-list traversed in non-reader section!! other info that might help us debug this: rcu_scheduler_active = 2, debug_locks = 1 1 lock held by ip/361: #0: ffffffff86fc7cb0 (rtnl_mutex){+.+.}-{3:3}, at: rtnetlink_rcv_msg+0x377/0xf60 stack backtrace: CPU: 3 UID: 0 PID: 361 Comm: ip Not tainted 6.12.0-rc3-custom-gac8f72681cf2 #141 Hardware name: Bochs Bochs, BIOS Bochs 01/01/2011 Call Trace: <TASK> dump_stack_lvl+0xba/0x110 lockdep_rcu_suspicious.cold+0x4f/0xd6 dev_get_by_index_rcu+0x1d3/0x210 l3mdev_master_upper_ifindex_by_index_rcu+0x2b/0xf0 ip_tunnel_bind_dev+0x72f/0xa00 ip_tunnel_newlink+0x368/0x7a0 ipgre_newlink+0x14c/0x170 __rtnl_newlink+0x1173/0x19c0 rtnl_newlink+0x6c/0xa0 rtnetlink_rcv_msg+0x3cc/0xf60 netlink_rcv_skb+0x171/0x450 netlink_unicast+0x539/0x7f0 netlink_sendmsg+0x8c1/0xd80 ____sys_sendmsg+0x8f9/0xc20 ___sys_sendmsg+0x197/0x1e0 __sys_sendmsg+0x122/0x1f0 do_syscall_64+0xbb/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mctp i2c: handle NULL header address daddr can be NULL if there is no neighbour table entry present, in that case the tx packet should be dropped. saddr will usually be set by MCTP core, but check for NULL in case a packet is transmitted by a different protocol. Уязвимость компонента drivers/net/mctp/mctp-i2c.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: io_uring/rw: fix missing NOWAIT check for O_DIRECT start write When io_uring starts a write, it'll call kiocb_start_write() to bump the super block rwsem, preventing any freezes from happening while that write is in-flight. The freeze side will grab that rwsem for writing, excluding any new writers from happening and waiting for existing writes to finish. But io_uring unconditionally uses kiocb_start_write(), which will block if someone is currently attempting to freeze the mount point. This causes a deadlock where freeze is waiting for previous writes to complete, but the previous writes cannot complete, as the task that is supposed to complete them is blocked waiting on starting a new write. This results in the following stuck trace showing that dependency with the write blocked starting a new write: task:fio state:D stack:0 pid:886 tgid:886 ppid:876 Call trace: __switch_to+0x1d8/0x348 __schedule+0x8e8/0x2248 schedule+0x110/0x3f0 percpu_rwsem_wait+0x1e8/0x3f8 __percpu_down_read+0xe8/0x500 io_write+0xbb8/0xff8 io_issue_sqe+0x10c/0x1020 io_submit_sqes+0x614/0x2110 __arm64_sys_io_uring_enter+0x524/0x1038 invoke_syscall+0x74/0x268 el0_svc_common.constprop.0+0x160/0x238 do_el0_svc+0x44/0x60 el0_svc+0x44/0xb0 el0t_64_sync_handler+0x118/0x128 el0t_64_sync+0x168/0x170 INFO: task fsfreeze:7364 blocked for more than 15 seconds. Not tainted 6.12.0-rc5-00063-g76aaf945701c #7963 with the attempting freezer stuck trying to grab the rwsem: task:fsfreeze state:D stack:0 pid:7364 tgid:7364 ppid:995 Call trace: __switch_to+0x1d8/0x348 __schedule+0x8e8/0x2248 schedule+0x110/0x3f0 percpu_down_write+0x2b0/0x680 freeze_super+0x248/0x8a8 do_vfs_ioctl+0x149c/0x1b18 __arm64_sys_ioctl+0xd0/0x1a0 invoke_syscall+0x74/0x268 el0_svc_common.constprop.0+0x160/0x238 do_el0_svc+0x44/0x60 el0_svc+0x44/0xb0 el0t_64_sync_handler+0x118/0x128 el0t_64_sync+0x168/0x170 Fix this by having the io_uring side honor IOCB_NOWAIT, and only attempt a blocking grab of the super block rwsem if it isn't set. For normal issue where IOCB_NOWAIT would always be set, this returns -EAGAIN which will have io_uring core issue a blocking attempt of the write. That will in turn also get completions run, ensuring forward progress. Since freezing requires CAP_SYS_ADMIN in the first place, this isn't something that can be triggered by a regular user. Уязвимость компонента io_uring/rw.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: fix 6 GHz scan construction If more than 255 colocated APs exist for the set of all APs found during 2.4/5 GHz scanning, then the 6 GHz scan construction will loop forever since the loop variable has type u8, which can never reach the number found when that's bigger than 255, and is stored in a u32 variable. Also move it into the loops to have a smaller scope. Using a u32 there is fine, we limit the number of APs in the scan list and each has a limit on the number of RNR entries due to the frame size. With a limit of 1000 scan results, a frame size upper bound of 4096 (really it's more like ~2300) and a TBTT entry size of at least 11, we get an upper bound for the number of ~372k, well in the bounds of a u32. Уязвимость компонента drivers/net/wireless/intel/iwlwifi/mvm/scan.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835'), NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: stop qdisc_tree_reduce_backlog on TC_H_ROOT In qdisc_tree_reduce_backlog, Qdiscs with major handle ffff: are assumed to be either root or ingress. This assumption is bogus since it's valid to create egress qdiscs with major handle ffff: Budimir Markovic found that for qdiscs like DRR that maintain an active class list, it will cause a UAF with a dangling class pointer. In 066a3b5b2346, the concern was to avoid iterating over the ingress qdisc since its parent is itself. The proper fix is to stop when parent TC_H_ROOT is reached because the only way to retrieve ingress is when a hierarchy which does not contain a ffff: major handle call into qdisc_lookup with TC_H_MAJ(TC_H_ROOT). In the scenario where major ffff: is an egress qdisc in any of the tree levels, the updates will also propagate to TC_H_ROOT, which then the iteration must stop. net/sched/sch_api.c | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) Уязвимость функции qdisc_tree_reduce_backlog() компонента net/sched/sch_api.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: stmmac: TSO: Fix unbalanced DMA map/unmap for non-paged SKB data In case the non-paged data of a SKB carries protocol header and protocol payload to be transmitted on a certain platform that the DMA AXI address width is configured to 40-bit/48-bit, or the size of the non-paged data is bigger than TSO_MAX_BUFF_SIZE on a certain platform that the DMA AXI address width is configured to 32-bit, then this SKB requires at least two DMA transmit descriptors to serve it. For example, three descriptors are allocated to split one DMA buffer mapped from one piece of non-paged data: dma_desc[N + 0], dma_desc[N + 1], dma_desc[N + 2]. Then three elements of tx_q->tx_skbuff_dma[] will be allocated to hold extra information to be reused in stmmac_tx_clean(): tx_q->tx_skbuff_dma[N + 0], tx_q->tx_skbuff_dma[N + 1], tx_q->tx_skbuff_dma[N + 2]. Now we focus on tx_q->tx_skbuff_dma[entry].buf, which is the DMA buffer address returned by DMA mapping call. stmmac_tx_clean() will try to unmap the DMA buffer _ONLY_IF_ tx_q->tx_skbuff_dma[entry].buf is a valid buffer address. The expected behavior that saves DMA buffer address of this non-paged data to tx_q->tx_skbuff_dma[entry].buf is: tx_q->tx_skbuff_dma[N + 0].buf = NULL; tx_q->tx_skbuff_dma[N + 1].buf = NULL; tx_q->tx_skbuff_dma[N + 2].buf = dma_map_single(); Unfortunately, the current code misbehaves like this: tx_q->tx_skbuff_dma[N + 0].buf = dma_map_single(); tx_q->tx_skbuff_dma[N + 1].buf = NULL; tx_q->tx_skbuff_dma[N + 2].buf = NULL; On the stmmac_tx_clean() side, when dma_desc[N + 0] is closed by the DMA engine, tx_q->tx_skbuff_dma[N + 0].buf is a valid buffer address obviously, then the DMA buffer will be unmapped immediately. There may be a rare case that the DMA engine does not finish the pending dma_desc[N + 1], dma_desc[N + 2] yet. Now things will go horribly wrong, DMA is going to access a unmapped/unreferenced memory region, corrupted data will be transmited or iommu fault will be triggered :( In contrast, the for-loop that maps SKB fragments behaves perfectly as expected, and that is how the driver should do for both non-paged data and paged frags actually. This patch corrects DMA map/unmap sequences by fixing the array index for tx_q->tx_skbuff_dma[entry].buf when assigning DMA buffer address. Tested and verified on DWXGMAC CORE 3.20a Уязвимость компонента drivers/net/ethernet/stmicro/stmmac/stmmac_main.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=9.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: Fix response handling in iwl_mvm_send_recovery_cmd() 1. The size of the response packet is not validated. 2. The response buffer is not freed. Resolve these issues by switching to iwl_mvm_send_cmd_status(), which handles both size validation and frees the buffer. Уязвимость функции iwl_mvm_send_recovery_cmd компонента drivers/net/wireless/intel/iwlwifi/mvm/fw.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: prevent NULL pointer dereference if ATIF is not supported acpi_evaluate_object() may return AE_NOT_FOUND (failure), which would result in dereferencing buffer.pointer (obj) while being NULL. Although this case may be unrealistic for the current code, it is still better to protect against possible bugs. Bail out also when status is AE_NOT_FOUND. This fixes 1 FORWARD_NULL issue reported by Coverity Report: CID 1600951: Null pointer dereferences (FORWARD_NULL) (cherry picked from commit 91c9e221fe2553edf2db71627d8453f083de87a1) Уязвимость компонента drivers/gpu/drm/amd/amdgpu/amdgpu_acpi.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: s5p-jpeg: prevent buffer overflows The current logic allows word to be less than 2. If this happens, there will be buffer overflows, as reported by smatch. Add extra checks to prevent it. While here, remove an unused word = 0 assignment. Уязвимость компонента drivers/media/platform/samsung/s5p-jpeg/jpeg-core.c ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-191'), NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: dvbdev: prevent the risk of out of memory access The dvbdev contains a static variable used to store dvb minors. The behavior of it depends if CONFIG_DVB_DYNAMIC_MINORS is set or not. When not set, dvb_register_device() won't check for boundaries, as it will rely that a previous call to dvb_register_adapter() would already be enforcing it. On a similar way, dvb_device_open() uses the assumption that the register functions already did the needed checks. This can be fragile if some device ends using different calls. This also generate warnings on static check analysers like Coverity. So, add explicit guards to prevent potential risk of OOM issues. Уязвимость компонента drivers/media/dvb-core/dvbdev.c ядра операционной системы Linux связана с недостатками в обработке исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-755'), NistCWE(cwe='CWE-755')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfs: Fix KMSAN warning in decode_getfattr_attrs() Fix the following KMSAN warning: CPU: 1 UID: 0 PID: 7651 Comm: cp Tainted: G B Tainted: [B]=BAD_PAGE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009) ===================================================== ===================================================== BUG: KMSAN: uninit-value in decode_getfattr_attrs+0x2d6d/0x2f90 decode_getfattr_attrs+0x2d6d/0x2f90 decode_getfattr_generic+0x806/0xb00 nfs4_xdr_dec_getattr+0x1de/0x240 rpcauth_unwrap_resp_decode+0xab/0x100 rpcauth_unwrap_resp+0x95/0xc0 call_decode+0x4ff/0xb50 __rpc_execute+0x57b/0x19d0 rpc_execute+0x368/0x5e0 rpc_run_task+0xcfe/0xee0 nfs4_proc_getattr+0x5b5/0x990 __nfs_revalidate_inode+0x477/0xd00 nfs_access_get_cached+0x1021/0x1cc0 nfs_do_access+0x9f/0xae0 nfs_permission+0x1e4/0x8c0 inode_permission+0x356/0x6c0 link_path_walk+0x958/0x1330 path_lookupat+0xce/0x6b0 filename_lookup+0x23e/0x770 vfs_statx+0xe7/0x970 vfs_fstatat+0x1f2/0x2c0 __se_sys_newfstatat+0x67/0x880 __x64_sys_newfstatat+0xbd/0x120 x64_sys_call+0x1826/0x3cf0 do_syscall_64+0xd0/0x1b0 entry_SYSCALL_64_after_hwframe+0x77/0x7f The KMSAN warning is triggered in decode_getfattr_attrs(), when calling decode_attr_mdsthreshold(). It appears that fattr->mdsthreshold is not initialized. Fix the issue by initializing fattr->mdsthreshold to NULL in nfs_fattr_init(). Уязвимость компонента fs/nfs ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86/amd/pmc: Detect when STB is not available Loading the amd_pmc module as: amd_pmc enable_stb=1 ...can result in the following messages in the kernel ring buffer: amd_pmc AMDI0009:00: SMU cmd failed. err: 0xff ioremap on RAM at 0x0000000000000000 - 0x0000000000ffffff WARNING: CPU: 10 PID: 2151 at arch/x86/mm/ioremap.c:217 __ioremap_caller+0x2cd/0x340 Further debugging reveals that this occurs when the requests for S2D_PHYS_ADDR_LOW and S2D_PHYS_ADDR_HIGH return a value of 0, indicating that the STB is inaccessible. To prevent the ioremap warning and provide clarity to the user, handle the invalid address and display an error message. Уязвимость компонента drivers/platform/x86/amd/pmc/pmc.c ядра операционной системы Linux связана с раскрытием информации в сообщениях об ошибках. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: ar0521: don't overflow when checking PLL values The PLL checks are comparing 64 bit integers with 32 bit ones, as reported by Coverity. Depending on the values of the variables, this may underflow. Fix it ensuring that both sides of the expression are u64. Уязвимость компонента drivers/media/i2c/ar0521.c ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191'), NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: virtio_net: Add hash_key_length check Add hash_key_length check in virtnet_probe() to avoid possible out of bound errors when setting/reading the hash key. Уязвимость компонента drivers/net/virtio_net.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i40e: fix race condition by adding filter's intermediate sync state Fix a race condition in the i40e driver that leads to MAC/VLAN filters becoming corrupted and leaking. Address the issue that occurs under heavy load when multiple threads are concurrently modifying MAC/VLAN filters by setting mac and port VLAN. 1. Thread T0 allocates a filter in i40e_add_filter() within i40e_ndo_set_vf_port_vlan(). 2. Thread T1 concurrently frees the filter in __i40e_del_filter() within i40e_ndo_set_vf_mac(). 3. Subsequently, i40e_service_task() calls i40e_sync_vsi_filters(), which refers to the already freed filter memory, causing corruption. Reproduction steps: 1. Spawn multiple VFs. 2. Apply a concurrent heavy load by running parallel operations to change MAC addresses on the VFs and change port VLANs on the host. 3. Observe errors in dmesg: "Error I40E_AQ_RC_ENOSPC adding RX filters on VF XX, please set promiscuous on manually for VF XX". Exact code for stable reproduction Intel can't open-source now. The fix involves implementing a new intermediate filter state, I40E_FILTER_NEW_SYNC, for the time when a filter is on a tmp_add_list. These filters cannot be deleted from the hash list directly but must be removed using the full process. Уязвимость функции i40e_add_filter() компонента i40e ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvme-multipath: defer partition scanning We need to suppress the partition scan from occuring within the controller's scan_work context. If a path error occurs here, the IO will wait until a path becomes available or all paths are torn down, but that action also occurs within scan_work, so it would deadlock. Defer the partion scan to a different context that does not block scan_work. Уязвимость компонентов drivers/nvme/host ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: resolve faulty mmap_region() error path behaviour The mmap_region() function is somewhat terrifying, with spaghetti-like control flow and numerous means by which issues can arise and incomplete state, memory leaks and other unpleasantness can occur. A large amount of the complexity arises from trying to handle errors late in the process of mapping a VMA, which forms the basis of recently observed issues with resource leaks and observable inconsistent state. Taking advantage of previous patches in this series we move a number of checks earlier in the code, simplifying things by moving the core of the logic into a static internal function __mmap_region(). Doing this allows us to perform a number of checks up front before we do any real work, and allows us to unwind the writable unmap check unconditionally as required and to perform a CONFIG_DEBUG_VM_MAPLE_TREE validation unconditionally also. We move a number of things here: 1. We preallocate memory for the iterator before we call the file-backed memory hook, allowing us to exit early and avoid having to perform complicated and error-prone close/free logic. We carefully free iterator state on both success and error paths. 2. The enclosing mmap_region() function handles the mapping_map_writable() logic early. Previously the logic had the mapping_map_writable() at the point of mapping a newly allocated file-backed VMA, and a matching mapping_unmap_writable() on success and error paths. We now do this unconditionally if this is a file-backed, shared writable mapping. If a driver changes the flags to eliminate VM_MAYWRITE, however doing so does not invalidate the seal check we just performed, and we in any case always decrement the counter in the wrapper. We perform a debug assert to ensure a driver does not attempt to do the opposite. 3. We also move arch_validate_flags() up into the mmap_region() function. This is only relevant on arm64 and sparc64, and the check is only meaningful for SPARC with ADI enabled. We explicitly add a warning for this arch if a driver invalidates this check, though the code ought eventually to be fixed to eliminate the need for this. With all of these measures in place, we no longer need to explicitly close the VMA on error paths, as we place all checks which might fail prior to a call to any driver mmap hook. This eliminates an entire class of errors, makes the code easier to reason about and more robust. Уязвимость компонента mm/mmap.c ядра операционной системы Linux связана с реализацией некорректного потока управления. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Check validity of link->type in bpf_link_show_fdinfo() If a newly-added link type doesn't invoke BPF_LINK_TYPE(), accessing bpf_link_type_strs[link->type] may result in an out-of-bounds access. To spot such missed invocations early in the future, checking the validity of link->type in bpf_link_show_fdinfo() and emitting a warning when such invocations are missed. Уязвимость компонента kernel/bpf/syscall.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvme: tcp: avoid race between queue_lock lock and destroy Commit 76d54bf20cdc ("nvme-tcp: don't access released socket during error recovery") added a mutex_lock() call for the queue->queue_lock in nvme_tcp_get_address(). However, the mutex_lock() races with mutex_destroy() in nvme_tcp_free_queue(), and causes the WARN below. DEBUG_LOCKS_WARN_ON(lock->magic != lock) WARNING: CPU: 3 PID: 34077 at kernel/locking/mutex.c:587 __mutex_lock+0xcf0/0x1220 Modules linked in: nvmet_tcp nvmet nvme_tcp nvme_fabrics iw_cm ib_cm ib_core pktcdvd nft_fib_inet nft_fib_ipv4 nft_fib_ipv6 nft_fib nft_reject_inet nf_reject_ipv4 nf_reject_ipv6 nft_reject nft_ct nft_chain_nat nf_nat nf_conntrack nf_defrag_ipv6 nf_defrag_ipv4 ip_set nf_tables qrtr sunrpc ppdev 9pnet_virtio 9pnet pcspkr netfs parport_pc parport e1000 i2c_piix4 i2c_smbus loop fuse nfnetlink zram bochs drm_vram_helper drm_ttm_helper ttm drm_kms_helper xfs drm sym53c8xx floppy nvme scsi_transport_spi nvme_core nvme_auth serio_raw ata_generic pata_acpi dm_multipath qemu_fw_cfg [last unloaded: ib_uverbs] CPU: 3 UID: 0 PID: 34077 Comm: udisksd Not tainted 6.11.0-rc7 #319 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-2.fc40 04/01/2014 RIP: 0010:__mutex_lock+0xcf0/0x1220 Code: 08 84 d2 0f 85 c8 04 00 00 8b 15 ef b6 c8 01 85 d2 0f 85 78 f4 ff ff 48 c7 c6 20 93 ee af 48 c7 c7 60 91 ee af e8 f0 a7 6d fd <0f> 0b e9 5e f4 ff ff 48 b8 00 00 00 00 00 fc ff df 4c 89 f2 48 c1 RSP: 0018:ffff88811305f760 EFLAGS: 00010286 RAX: 0000000000000000 RBX: ffff88812c652058 RCX: 0000000000000000 RDX: 0000000000000000 RSI: 0000000000000004 RDI: 0000000000000001 RBP: ffff88811305f8b0 R08: 0000000000000001 R09: ffffed1075c36341 R10: ffff8883ae1b1a0b R11: 0000000000010498 R12: 0000000000000000 R13: 0000000000000000 R14: dffffc0000000000 R15: ffff88812c652058 FS: 00007f9713ae4980(0000) GS:ffff8883ae180000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fcd78483c7c CR3: 0000000122c38000 CR4: 00000000000006f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? __warn.cold+0x5b/0x1af ? __mutex_lock+0xcf0/0x1220 ? report_bug+0x1ec/0x390 ? handle_bug+0x3c/0x80 ? exc_invalid_op+0x13/0x40 ? asm_exc_invalid_op+0x16/0x20 ? __mutex_lock+0xcf0/0x1220 ? nvme_tcp_get_address+0xc2/0x1e0 [nvme_tcp] ? __pfx___mutex_lock+0x10/0x10 ? __lock_acquire+0xd6a/0x59e0 ? nvme_tcp_get_address+0xc2/0x1e0 [nvme_tcp] nvme_tcp_get_address+0xc2/0x1e0 [nvme_tcp] ? __pfx_nvme_tcp_get_address+0x10/0x10 [nvme_tcp] nvme_sysfs_show_address+0x81/0xc0 [nvme_core] dev_attr_show+0x42/0x80 ? __asan_memset+0x1f/0x40 sysfs_kf_seq_show+0x1f0/0x370 seq_read_iter+0x2cb/0x1130 ? rw_verify_area+0x3b1/0x590 ? __mutex_lock+0x433/0x1220 vfs_read+0x6a6/0xa20 ? lockdep_hardirqs_on+0x78/0x100 ? __pfx_vfs_read+0x10/0x10 ksys_read+0xf7/0x1d0 ? __pfx_ksys_read+0x10/0x10 ? __x64_sys_openat+0x105/0x1d0 do_syscall_64+0x93/0x180 ? lockdep_hardirqs_on_prepare+0x16d/0x400 ? do_syscall_64+0x9f/0x180 ? lockdep_hardirqs_on+0x78/0x100 ? do_syscall_64+0x9f/0x180 ? __pfx_ksys_read+0x10/0x10 ? lockdep_hardirqs_on_prepare+0x16d/0x400 ? do_syscall_64+0x9f/0x180 ? lockdep_hardirqs_on+0x78/0x100 ? do_syscall_64+0x9f/0x180 ? lockdep_hardirqs_on_prepare+0x16d/0x400 ? do_syscall_64+0x9f/0x180 ? lockdep_hardirqs_on+0x78/0x100 ? do_syscall_64+0x9f/0x180 ? lockdep_hardirqs_on_prepare+0x16d/0x400 ? do_syscall_64+0x9f/0x180 ? lockdep_hardirqs_on+0x78/0x100 ? do_syscall_64+0x9f/0x180 ? lockdep_hardirqs_on_prepare+0x16d/0x400 ? do_syscall_64+0x9f/0x180 ? lockdep_hardirqs_on+0x78/0x100 ? do_syscall_64+0x9f/0x180 ? do_syscall_64+0x9f/0x180 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f9713f55cfa Code: 55 48 89 e5 48 83 ec 20 48 89 55 e8 48 89 75 f0 89 7d f8 e8 e8 74 f8 ff 48 8b 55 e8 48 8b 75 f0 4 ---truncated--- Уязвимость компонента drivers/nvme/host/tcp.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs: Fix uninitialized value issue in from_kuid and from_kgid ocfs2_setattr() uses attr->ia_mode, attr->ia_uid and attr->ia_gid in a trace point even though ATTR_MODE, ATTR_UID and ATTR_GID aren't set. Initialize all fields of newattrs to avoid uninitialized variables, by checking if ATTR_MODE, ATTR_UID, ATTR_GID are initialized, otherwise 0. Уязвимость компонента fs/ocfs2/file.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hv_sock: Initializing vsk->trans to NULL to prevent a dangling pointer When hvs is released, there is a possibility that vsk->trans may not be initialized to NULL, which could lead to a dangling pointer. This issue is resolved by initializing vsk->trans to NULL. Уязвимость компонента net/vmw_vsock/hyperv_transport.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: uvcvideo: Skip parsing frames of type UVC_VS_UNDEFINED in uvc_parse_format This can lead to out of bounds writes since frames of this type were not taken into account when calculating the size of the frames buffer in uvc_parse_streaming. Уязвимость функции uvc_parse_format() компонента drivers/media/usb/uvc/uvc_driver.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля _uvcvideo.ko_ в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль _uvcvideo_ в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep uvcvideo ``` или ``` kmod list | grep uvcvideo ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod uvcvideo ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл _/etc/modprobe.d/blacklist.local.conf_ (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово {_}install{_}, название блокируемого модуля и shell-комманду: ``` install uvcvideo /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: page_alloc: move mlocked flag clearance into free_pages_prepare() Syzbot reported a bad page state problem caused by a page being freed using free_page() still having a mlocked flag at free_pages_prepare() stage: BUG: Bad page state in process syz.5.504 pfn:61f45 page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x61f45 flags: 0xfff00000080204(referenced|workingset|mlocked|node=0|zone=1|lastcpupid=0x7ff) raw: 00fff00000080204 0000000000000000 dead000000000122 0000000000000000 raw: 0000000000000000 0000000000000000 00000000ffffffff 0000000000000000 page dumped because: PAGE_FLAGS_CHECK_AT_FREE flag(s) set page_owner tracks the page as allocated page last allocated via order 0, migratetype Unmovable, gfp_mask 0x400dc0(GFP_KERNEL_ACCOUNT|__GFP_ZERO), pid 8443, tgid 8442 (syz.5.504), ts 201884660643, free_ts 201499827394 set_page_owner include/linux/page_owner.h:32 [inline] post_alloc_hook+0x1f3/0x230 mm/page_alloc.c:1537 prep_new_page mm/page_alloc.c:1545 [inline] get_page_from_freelist+0x303f/0x3190 mm/page_alloc.c:3457 __alloc_pages_noprof+0x292/0x710 mm/page_alloc.c:4733 alloc_pages_mpol_noprof+0x3e8/0x680 mm/mempolicy.c:2265 kvm_coalesced_mmio_init+0x1f/0xf0 virt/kvm/coalesced_mmio.c:99 kvm_create_vm virt/kvm/kvm_main.c:1235 [inline] kvm_dev_ioctl_create_vm virt/kvm/kvm_main.c:5488 [inline] kvm_dev_ioctl+0x12dc/0x2240 virt/kvm/kvm_main.c:5530 __do_compat_sys_ioctl fs/ioctl.c:1007 [inline] __se_compat_sys_ioctl+0x510/0xc90 fs/ioctl.c:950 do_syscall_32_irqs_on arch/x86/entry/common.c:165 [inline] __do_fast_syscall_32+0xb4/0x110 arch/x86/entry/common.c:386 do_fast_syscall_32+0x34/0x80 arch/x86/entry/common.c:411 entry_SYSENTER_compat_after_hwframe+0x84/0x8e page last free pid 8399 tgid 8399 stack trace: reset_page_owner include/linux/page_owner.h:25 [inline] free_pages_prepare mm/page_alloc.c:1108 [inline] free_unref_folios+0xf12/0x18d0 mm/page_alloc.c:2686 folios_put_refs+0x76c/0x860 mm/swap.c:1007 free_pages_and_swap_cache+0x5c8/0x690 mm/swap_state.c:335 __tlb_batch_free_encoded_pages mm/mmu_gather.c:136 [inline] tlb_batch_pages_flush mm/mmu_gather.c:149 [inline] tlb_flush_mmu_free mm/mmu_gather.c:366 [inline] tlb_flush_mmu+0x3a3/0x680 mm/mmu_gather.c:373 tlb_finish_mmu+0xd4/0x200 mm/mmu_gather.c:465 exit_mmap+0x496/0xc40 mm/mmap.c:1926 __mmput+0x115/0x390 kernel/fork.c:1348 exit_mm+0x220/0x310 kernel/exit.c:571 do_exit+0x9b2/0x28e0 kernel/exit.c:926 do_group_exit+0x207/0x2c0 kernel/exit.c:1088 __do_sys_exit_group kernel/exit.c:1099 [inline] __se_sys_exit_group kernel/exit.c:1097 [inline] __x64_sys_exit_group+0x3f/0x40 kernel/exit.c:1097 x64_sys_call+0x2634/0x2640 arch/x86/include/generated/asm/syscalls_64.h:232 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Modules linked in: CPU: 0 UID: 0 PID: 8442 Comm: syz.5.504 Not tainted 6.12.0-rc6-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 bad_page+0x176/0x1d0 mm/page_alloc.c:501 free_page_is_bad mm/page_alloc.c:918 [inline] free_pages_prepare mm/page_alloc.c:1100 [inline] free_unref_page+0xed0/0xf20 mm/page_alloc.c:2638 kvm_destroy_vm virt/kvm/kvm_main.c:1327 [inline] kvm_put_kvm+0xc75/0x1350 virt/kvm/kvm_main.c:1386 kvm_vcpu_release+0x54/0x60 virt/kvm/kvm_main.c:4143 __fput+0x23f/0x880 fs/file_table.c:431 task_work_run+0x24f/0x310 kernel/task_work.c:239 exit_task_work include/linux/task_work.h:43 [inline] do_exit+0xa2f/0x28e0 kernel/exit.c:939 do_group_exit+0x207/0x2c0 kernel/exit.c:1088 __do_sys_exit_group kernel/exit.c:1099 [in ---truncated--- Уязвимость компонента page_alloc ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ima: fix buffer overrun in ima_eventdigest_init_common Function ima_eventdigest_init() calls ima_eventdigest_init_common() with HASH_ALGO__LAST which is then used to access the array hash_digest_size[] leading to buffer overrun. Have a conditional statement to handle this. Уязвимость компонента security/integrity/ima/ima_template_lib.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vp_vdpa: fix id_table array not null terminated error Allocate one extra virtio_device_id as null terminator, otherwise vdpa_mgmtdev_get_classes() may iterate multiple times and visit undefined memory. Уязвимость компонента drivers/vdpa/virtio_pci/vp_vdpa.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: uncache inode which has failed entering the group Syzbot has reported the following BUG: kernel BUG at fs/ocfs2/uptodate.c:509! ... Call Trace: <TASK> ? __die_body+0x5f/0xb0 ? die+0x9e/0xc0 ? do_trap+0x15a/0x3a0 ? ocfs2_set_new_buffer_uptodate+0x145/0x160 ? do_error_trap+0x1dc/0x2c0 ? ocfs2_set_new_buffer_uptodate+0x145/0x160 ? __pfx_do_error_trap+0x10/0x10 ? handle_invalid_op+0x34/0x40 ? ocfs2_set_new_buffer_uptodate+0x145/0x160 ? exc_invalid_op+0x38/0x50 ? asm_exc_invalid_op+0x1a/0x20 ? ocfs2_set_new_buffer_uptodate+0x2e/0x160 ? ocfs2_set_new_buffer_uptodate+0x144/0x160 ? ocfs2_set_new_buffer_uptodate+0x145/0x160 ocfs2_group_add+0x39f/0x15a0 ? __pfx_ocfs2_group_add+0x10/0x10 ? __pfx_lock_acquire+0x10/0x10 ? mnt_get_write_access+0x68/0x2b0 ? __pfx_lock_release+0x10/0x10 ? rcu_read_lock_any_held+0xb7/0x160 ? __pfx_rcu_read_lock_any_held+0x10/0x10 ? smack_log+0x123/0x540 ? mnt_get_write_access+0x68/0x2b0 ? mnt_get_write_access+0x68/0x2b0 ? mnt_get_write_access+0x226/0x2b0 ocfs2_ioctl+0x65e/0x7d0 ? __pfx_ocfs2_ioctl+0x10/0x10 ? smack_file_ioctl+0x29e/0x3a0 ? __pfx_smack_file_ioctl+0x10/0x10 ? lockdep_hardirqs_on_prepare+0x43d/0x780 ? __pfx_lockdep_hardirqs_on_prepare+0x10/0x10 ? __pfx_ocfs2_ioctl+0x10/0x10 __se_sys_ioctl+0xfb/0x170 do_syscall_64+0xf3/0x230 entry_SYSCALL_64_after_hwframe+0x77/0x7f ... </TASK> When 'ioctl(OCFS2_IOC_GROUP_ADD, ...)' has failed for the particular inode in 'ocfs2_verify_group_and_input()', corresponding buffer head remains cached and subsequent call to the same 'ioctl()' for the same inode issues the BUG() in 'ocfs2_set_new_buffer_uptodate()' (trying to cache the same buffer head of that inode). Fix this by uncaching the buffer head with 'ocfs2_remove_from_cache()' on error path in 'ocfs2_group_add()'. Уязвимость компонента fs/ocfs2/resize.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: fix NULL pointer dereference in alloc_pages_bulk_noprof We triggered a NULL pointer dereference for ac.preferred_zoneref->zone in alloc_pages_bulk_noprof() when the task is migrated between cpusets. When cpuset is enabled, in prepare_alloc_pages(), ac->nodemask may be &current->mems_allowed. when first_zones_zonelist() is called to find preferred_zoneref, the ac->nodemask may be modified concurrently if the task is migrated between different cpusets. Assuming we have 2 NUMA Node, when traversing Node1 in ac->zonelist, the nodemask is 2, and when traversing Node2 in ac->zonelist, the nodemask is 1. As a result, the ac->preferred_zoneref points to NULL zone. In alloc_pages_bulk_noprof(), for_each_zone_zonelist_nodemask() finds a allowable zone and calls zonelist_node_idx(ac.preferred_zoneref), leading to NULL pointer dereference. __alloc_pages_noprof() fixes this issue by checking NULL pointer in commit ea57485af8f4 ("mm, page_alloc: fix check for NULL preferred_zone") and commit df76cee6bbeb ("mm, page_alloc: remove redundant checks from alloc fastpath"). To fix it, check NULL pointer for preferred_zoneref->zone. Уязвимость компонента mm/page_alloc.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: virtio/vsock: Fix accept_queue memory leak As the final stages of socket destruction may be delayed, it is possible that virtio_transport_recv_listen() will be called after the accept_queue has been flushed, but before the SOCK_DONE flag has been set. As a result, sockets enqueued after the flush would remain unremoved, leading to a memory leak. vsock_release __vsock_release lock virtio_transport_release virtio_transport_close schedule_delayed_work(close_work) sk_shutdown = SHUTDOWN_MASK (!) flush accept_queue release virtio_transport_recv_pkt vsock_find_bound_socket lock if flag(SOCK_DONE) return virtio_transport_recv_listen child = vsock_create_connected (!) vsock_enqueue_accept(child) release close_work lock virtio_transport_do_close set_flag(SOCK_DONE) virtio_transport_remove_sock vsock_remove_sock vsock_remove_bound release Introduce a sk_shutdown check to disallow vsock_enqueue_accept() during socket destruction. unreferenced object 0xffff888109e3f800 (size 2040): comm "kworker/5:2", pid 371, jiffies 4294940105 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 28 00 0b 40 00 00 00 00 00 00 00 00 00 00 00 00 (..@............ backtrace (crc 9e5f4e84): [<ffffffff81418ff1>] kmem_cache_alloc_noprof+0x2c1/0x360 [<ffffffff81d27aa0>] sk_prot_alloc+0x30/0x120 [<ffffffff81d2b54c>] sk_alloc+0x2c/0x4b0 [<ffffffff81fe049a>] __vsock_create.constprop.0+0x2a/0x310 [<ffffffff81fe6d6c>] virtio_transport_recv_pkt+0x4dc/0x9a0 [<ffffffff81fe745d>] vsock_loopback_work+0xfd/0x140 [<ffffffff810fc6ac>] process_one_work+0x20c/0x570 [<ffffffff810fce3f>] worker_thread+0x1bf/0x3a0 [<ffffffff811070dd>] kthread+0xdd/0x110 [<ffffffff81044fdd>] ret_from_fork+0x2d/0x50 [<ffffffff8100785a>] ret_from_fork_asm+0x1a/0x30 Уязвимость компонента rvirtio_transport_common.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: CT: Fix null-ptr-deref in add rule err flow In error flow of mlx5_tc_ct_entry_add_rule(), in case ct_rule_add() callback returns error, zone_rule->attr is used uninitiated. Fix it to use attr which has the needed pointer value. Kernel log: BUG: kernel NULL pointer dereference, address: 0000000000000110 RIP: 0010:mlx5_tc_ct_entry_add_rule+0x2b1/0x2f0 [mlx5_core] … Call Trace: <TASK> ? __die+0x20/0x70 ? page_fault_oops+0x150/0x3e0 ? exc_page_fault+0x74/0x140 ? asm_exc_page_fault+0x22/0x30 ? mlx5_tc_ct_entry_add_rule+0x2b1/0x2f0 [mlx5_core] ? mlx5_tc_ct_entry_add_rule+0x1d5/0x2f0 [mlx5_core] mlx5_tc_ct_block_flow_offload+0xc6a/0xf90 [mlx5_core] ? nf_flow_offload_tuple+0xd8/0x190 [nf_flow_table] nf_flow_offload_tuple+0xd8/0x190 [nf_flow_table] flow_offload_work_handler+0x142/0x320 [nf_flow_table] ? finish_task_switch.isra.0+0x15b/0x2b0 process_one_work+0x16c/0x320 worker_thread+0x28c/0x3a0 ? __pfx_worker_thread+0x10/0x10 kthread+0xb8/0xf0 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x2d/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Уязвимость компонента net/mlx5e ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: fs, lock FTE when checking if active The referenced commits introduced a two-step process for deleting FTEs: - Lock the FTE, delete it from hardware, set the hardware deletion function to NULL and unlock the FTE. - Lock the parent flow group, delete the software copy of the FTE, and remove it from the xarray. However, this approach encounters a race condition if a rule with the same match value is added simultaneously. In this scenario, fs_core may set the hardware deletion function to NULL prematurely, causing a panic during subsequent rule deletions. To prevent this, ensure the active flag of the FTE is checked under a lock, which will prevent the fs_core layer from attaching a new steering rule to an FTE that is in the process of deletion. [ 438.967589] MOSHE: 2496 mlx5_del_flow_rules del_hw_func [ 438.968205] ------------[ cut here ]------------ [ 438.968654] refcount_t: decrement hit 0; leaking memory. [ 438.969249] WARNING: CPU: 0 PID: 8957 at lib/refcount.c:31 refcount_warn_saturate+0xfb/0x110 [ 438.970054] Modules linked in: act_mirred cls_flower act_gact sch_ingress openvswitch nsh mlx5_vdpa vringh vhost_iotlb vdpa mlx5_ib mlx5_core xt_conntrack xt_MASQUERADE nf_conntrack_netlink nfnetlink xt_addrtype iptable_nat nf_nat br_netfilter rpcsec_gss_krb5 auth_rpcgss oid_registry overlay rpcrdma rdma_ucm ib_iser libiscsi scsi_transport_iscsi ib_umad rdma_cm ib_ipoib iw_cm ib_cm ib_uverbs ib_core zram zsmalloc fuse [last unloaded: cls_flower] [ 438.973288] CPU: 0 UID: 0 PID: 8957 Comm: tc Not tainted 6.12.0-rc1+ #8 [ 438.973888] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 [ 438.974874] RIP: 0010:refcount_warn_saturate+0xfb/0x110 [ 438.975363] Code: 40 66 3b 82 c6 05 16 e9 4d 01 01 e8 1f 7c a0 ff 0f 0b c3 cc cc cc cc 48 c7 c7 10 66 3b 82 c6 05 fd e8 4d 01 01 e8 05 7c a0 ff <0f> 0b c3 cc cc cc cc 66 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 00 90 [ 438.976947] RSP: 0018:ffff888124a53610 EFLAGS: 00010286 [ 438.977446] RAX: 0000000000000000 RBX: ffff888119d56de0 RCX: 0000000000000000 [ 438.978090] RDX: ffff88852c828700 RSI: ffff88852c81b3c0 RDI: ffff88852c81b3c0 [ 438.978721] RBP: ffff888120fa0e88 R08: 0000000000000000 R09: ffff888124a534b0 [ 438.979353] R10: 0000000000000001 R11: 0000000000000001 R12: ffff888119d56de0 [ 438.979979] R13: ffff888120fa0ec0 R14: ffff888120fa0ee8 R15: ffff888119d56de0 [ 438.980607] FS: 00007fe6dcc0f800(0000) GS:ffff88852c800000(0000) knlGS:0000000000000000 [ 438.983984] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 438.984544] CR2: 00000000004275e0 CR3: 0000000186982001 CR4: 0000000000372eb0 [ 438.985205] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 438.985842] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [ 438.986507] Call Trace: [ 438.986799] <TASK> [ 438.987070] ? __warn+0x7d/0x110 [ 438.987426] ? refcount_warn_saturate+0xfb/0x110 [ 438.987877] ? report_bug+0x17d/0x190 [ 438.988261] ? prb_read_valid+0x17/0x20 [ 438.988659] ? handle_bug+0x53/0x90 [ 438.989054] ? exc_invalid_op+0x14/0x70 [ 438.989458] ? asm_exc_invalid_op+0x16/0x20 [ 438.989883] ? refcount_warn_saturate+0xfb/0x110 [ 438.990348] mlx5_del_flow_rules+0x2f7/0x340 [mlx5_core] [ 438.990932] __mlx5_eswitch_del_rule+0x49/0x170 [mlx5_core] [ 438.991519] ? mlx5_lag_is_sriov+0x3c/0x50 [mlx5_core] [ 438.992054] ? xas_load+0x9/0xb0 [ 438.992407] mlx5e_tc_rule_unoffload+0x45/0xe0 [mlx5_core] [ 438.993037] mlx5e_tc_del_fdb_flow+0x2a6/0x2e0 [mlx5_core] [ 438.993623] mlx5e_flow_put+0x29/0x60 [mlx5_core] [ 438.994161] mlx5e_delete_flower+0x261/0x390 [mlx5_core] [ 438.994728] tc_setup_cb_destroy+0xb9/0x190 [ 438.995150] fl_hw_destroy_filter+0x94/0xc0 [cls_flower] [ 438.995650] fl_change+0x11a4/0x13c0 [cls_flower] [ 438.996105] tc_new_tfilter+0x347/0xbc0 [ 438.996503] ? __ ---truncated--- Уязвимость компонента net/mlx5 ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: cope racing subflow creation in mptcp_rcv_space_adjust Additional active subflows - i.e. created by the in kernel path manager - are included into the subflow list before starting the 3whs. A racing recvmsg() spooling data received on an already established subflow would unconditionally call tcp_cleanup_rbuf() on all the current subflows, potentially hitting a divide by zero error on the newly created ones. Explicitly check that the subflow is in a suitable state before invoking tcp_cleanup_rbuf(). Уязвимость компонента mptcp ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: error out earlier on disconnect Eric reported a division by zero splat in the MPTCP protocol: Oops: divide error: 0000 [#1] PREEMPT SMP KASAN PTI CPU: 1 UID: 0 PID: 6094 Comm: syz-executor317 Not tainted 6.12.0-rc5-syzkaller-00291-g05b92660cdfe #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 RIP: 0010:__tcp_select_window+0x5b4/0x1310 net/ipv4/tcp_output.c:3163 Code: f6 44 01 e3 89 df e8 9b 75 09 f8 44 39 f3 0f 8d 11 ff ff ff e8 0d 74 09 f8 45 89 f4 e9 04 ff ff ff e8 00 74 09 f8 44 89 f0 99 <f7> 7c 24 14 41 29 d6 45 89 f4 e9 ec fe ff ff e8 e8 73 09 f8 48 89 RSP: 0018:ffffc900041f7930 EFLAGS: 00010293 RAX: 0000000000017e67 RBX: 0000000000017e67 RCX: ffffffff8983314b RDX: 0000000000000000 RSI: ffffffff898331b0 RDI: 0000000000000004 RBP: 00000000005d6000 R08: 0000000000000004 R09: 0000000000017e67 R10: 0000000000003e80 R11: 0000000000000000 R12: 0000000000003e80 R13: ffff888031d9b440 R14: 0000000000017e67 R15: 00000000002eb000 FS: 00007feb5d7f16c0(0000) GS:ffff8880b8700000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007feb5d8adbb8 CR3: 0000000074e4c000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> __tcp_cleanup_rbuf+0x3e7/0x4b0 net/ipv4/tcp.c:1493 mptcp_rcv_space_adjust net/mptcp/protocol.c:2085 [inline] mptcp_recvmsg+0x2156/0x2600 net/mptcp/protocol.c:2289 inet_recvmsg+0x469/0x6a0 net/ipv4/af_inet.c:885 sock_recvmsg_nosec net/socket.c:1051 [inline] sock_recvmsg+0x1b2/0x250 net/socket.c:1073 __sys_recvfrom+0x1a5/0x2e0 net/socket.c:2265 __do_sys_recvfrom net/socket.c:2283 [inline] __se_sys_recvfrom net/socket.c:2279 [inline] __x64_sys_recvfrom+0xe0/0x1c0 net/socket.c:2279 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7feb5d857559 Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 51 18 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b0 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007feb5d7f1208 EFLAGS: 00000246 ORIG_RAX: 000000000000002d RAX: ffffffffffffffda RBX: 00007feb5d8e1318 RCX: 00007feb5d857559 RDX: 000000800000000e RSI: 0000000000000000 RDI: 0000000000000003 RBP: 00007feb5d8e1310 R08: 0000000000000000 R09: ffffffff81000000 R10: 0000000000000100 R11: 0000000000000246 R12: 00007feb5d8e131c R13: 00007feb5d8ae074 R14: 000000800000000e R15: 00000000fffffdef and provided a nice reproducer. The root cause is the current bad handling of racing disconnect. After the blamed commit below, sk_wait_data() can return (with error) with the underlying socket disconnected and a zero rcv_mss. Catch the error and return without performing any additional operations on the current socket. Уязвимость компонента net/mptcp/protocol.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: sync_linked_regs() must preserve subreg_def Range propagation must not affect subreg_def marks, otherwise the following example is rewritten by verifier incorrectly when BPF_F_TEST_RND_HI32 flag is set: 0: call bpf_ktime_get_ns call bpf_ktime_get_ns 1: r0 &= 0x7fffffff after verifier r0 &= 0x7fffffff 2: w1 = w0 rewrites w1 = w0 3: if w0 < 10 goto +0 --------------> r11 = 0x2f5674a6 (r) 4: r1 >>= 32 r11 <<= 32 (r) 5: r0 = r1 r1 |= r11 (r) 6: exit; if w0 < 0xa goto pc+0 r1 >>= 32 r0 = r1 exit (or zero extension of w1 at (2) is missing for architectures that require zero extension for upper register half). The following happens w/o this patch: - r0 is marked as not a subreg at (0); - w1 is marked as subreg at (2); - w1 subreg_def is overridden at (3) by copy_register_state(); - w1 is read at (5) but mark_insn_zext() does not mark (2) for zero extension, because w1 subreg_def is not set; - because of BPF_F_TEST_RND_HI32 flag verifier inserts random value for hi32 bits of (2) (marked (r)); - this random value is read at (5). Уязвимость компонента bpf ядра операционной системы Linux связана с некорректным вычислением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для сокращения поверхности атаки настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: ``` kernel.unprivileged_bpf_disabled=1 ``` Сохраните файл. 2. Примените изменения: ``` sudo sysctl -p ``` 3. Проверьте текущее состояние sysctl: ``` cat /proc/sys/kernel/unprivileged_bpf_disabled ``` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Также для нейтрализации уязвимости рекомендуется соблюдать следующее: - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/rockchip: vop: Fix a dereferenced before check warning The 'state' can't be NULL, we should check crtc_state. Fix warning: drivers/gpu/drm/rockchip/rockchip_drm_vop.c:1096 vop_plane_atomic_async_check() warn: variable dereferenced before check 'state' (see line 1077) Уязвимость компонента rockchip_drm_vop.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix null-ptr-deref in block_dirty_buffer tracepoint When using the "block:block_dirty_buffer" tracepoint, mark_buffer_dirty() may cause a NULL pointer dereference, or a general protection fault when KASAN is enabled. This happens because, since the tracepoint was added in mark_buffer_dirty(), it references the dev_t member bh->b_bdev->bd_dev regardless of whether the buffer head has a pointer to a block_device structure. In the current implementation, nilfs_grab_buffer(), which grabs a buffer to read (or create) a block of metadata, including b-tree node blocks, does not set the block device, but instead does so only if the buffer is not in the "uptodate" state for each of its caller block reading functions. However, if the uptodate flag is set on a folio/page, and the buffer heads are detached from it by try_to_free_buffers(), and new buffer heads are then attached by create_empty_buffers(), the uptodate flag may be restored to each buffer without the block device being set to bh->b_bdev, and mark_buffer_dirty() may be called later in that state, resulting in the bug mentioned above. Fix this issue by making nilfs_grab_buffer() always set the block device of the super block structure to the buffer head, regardless of the state of the buffer's uptodate flag. Уязвимость компонента block_dirty_buffer файловой системы NILFS ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix null-ptr-deref in block_touch_buffer tracepoint Patch series "nilfs2: fix null-ptr-deref bugs on block tracepoints". This series fixes null pointer dereference bugs that occur when using nilfs2 and two block-related tracepoints. This patch (of 2): It has been reported that when using "block:block_touch_buffer" tracepoint, touch_buffer() called from __nilfs_get_folio_block() causes a NULL pointer dereference, or a general protection fault when KASAN is enabled. This happens because since the tracepoint was added in touch_buffer(), it references the dev_t member bh->b_bdev->bd_dev regardless of whether the buffer head has a pointer to a block_device structure. In the current implementation, the block_device structure is set after the function returns to the caller. Here, touch_buffer() is used to mark the folio/page that owns the buffer head as accessed, but the common search helper for folio/page used by the caller function was optimized to mark the folio/page as accessed when it was reimplemented a long time ago, eliminating the need to call touch_buffer() here in the first place. So this solves the issue by eliminating the touch_buffer() call itself. Уязвимость компонента fs/nilfs2/page.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: VMX: Bury Intel PT virtualization (guest/host mode) behind CONFIG_BROKEN Hide KVM's pt_mode module param behind CONFIG_BROKEN, i.e. disable support for virtualizing Intel PT via guest/host mode unless BROKEN=y. There are myriad bugs in the implementation, some of which are fatal to the guest, and others which put the stability and health of the host at risk. For guest fatalities, the most glaring issue is that KVM fails to ensure tracing is disabled, and *stays* disabled prior to VM-Enter, which is necessary as hardware disallows loading (the guest's) RTIT_CTL if tracing is enabled (enforced via a VMX consistency check). Per the SDM: If the logical processor is operating with Intel PT enabled (if IA32_RTIT_CTL.TraceEn = 1) at the time of VM entry, the "load IA32_RTIT_CTL" VM-entry control must be 0. On the host side, KVM doesn't validate the guest CPUID configuration provided by userspace, and even worse, uses the guest configuration to decide what MSRs to save/load at VM-Enter and VM-Exit. E.g. configuring guest CPUID to enumerate more address ranges than are supported in hardware will result in KVM trying to passthrough, save, and load non-existent MSRs, which generates a variety of WARNs, ToPA ERRORs in the host, a potential deadlock, etc. Уязвимость компонента vmx.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: revert "mm: shmem: fix data-race in shmem_getattr()" Revert d949d1d14fa2 ("mm: shmem: fix data-race in shmem_getattr()") as suggested by Chuck [1]. It is causing deadlocks when accessing tmpfs over NFS. As Hugh commented, "added just to silence a syzbot sanitizer splat: added where there has never been any practical problem". Уязвимость компонента mm/shmem.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: kTLS, Fix incorrect page refcounting The kTLS tx handling code is using a mix of get_page() and page_ref_inc() APIs to increment the page reference. But on the release path (mlx5e_ktls_tx_handle_resync_dump_comp()), only put_page() is used. This is an issue when using pages from large folios: the get_page() references are stored on the folio page while the page_ref_inc() references are stored directly in the given page. On release the folio page will be dereferenced too many times. This was found while doing kTLS testing with sendfile() + ZC when the served file was read from NFS on a kernel with NFS large folios support (commit 49b29a573da8 ("nfs: add support for large folios")). Уязвимость компонента ktls_tx.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netlink: terminate outstanding dump on socket close Netlink supports iterative dumping of data. It provides the families the following ops: - start - (optional) kicks off the dumping process - dump - actual dump helper, keeps getting called until it returns 0 - done - (optional) pairs with .start, can be used for cleanup The whole process is asynchronous and the repeated calls to .dump don't actually happen in a tight loop, but rather are triggered in response to recvmsg() on the socket. This gives the user full control over the dump, but also means that the user can close the socket without getting to the end of the dump. To make sure .start is always paired with .done we check if there is an ongoing dump before freeing the socket, and if so call .done. The complication is that sockets can get freed from BH and .done is allowed to sleep. So we use a workqueue to defer the call, when needed. Unfortunately this does not work correctly. What we defer is not the cleanup but rather releasing a reference on the socket. We have no guarantee that we own the last reference, if someone else holds the socket they may release it in BH and we're back to square one. The whole dance, however, appears to be unnecessary. Only the user can interact with dumps, so we can clean up when socket is closed. And close always happens in process context. Some async code may still access the socket after close, queue notification skbs to it etc. but no dumps can start, end or otherwise make progress. Delete the workqueue and flush the dump state directly from the release handler. Note that further cleanup is possible in -next, for instance we now always call .done before releasing the main module reference, so dump doesn't have to take a reference of its own. Уязвимость компонента netlink ядра операционной системы Linux связана с ошибками двойного освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: ipset: add missing range check in bitmap_ip_uadt When tb[IPSET_ATTR_IP_TO] is not present but tb[IPSET_ATTR_CIDR] exists, the values of ip and ip_to are slightly swapped. Therefore, the range check for ip should be done later, but this part is missing and it seems that the vulnerability occurs. So we should add missing range checks and remove unnecessary range checks. Уязвимость функции bitmap_ip_uadt() компонента net/netfilter/ipset/ip_set_bitmap_ip.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2024-53141 необходимо запретить загрузку модуля netfilter в ядро Linux (Обратите внимание: отключение загрузки модуля _netfilter_ в ядре Linux приведёт к невозможности фильтрации и обработки сетевых пакетов, например, с помощью {_}iptables{_}). Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль br_netfilter в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep br_netfilter ``` или ``` kmod list | grep br_netfilter ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod br_netfilter ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install br_netfilter /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: initramfs: avoid filename buffer overrun The initramfs filename field is defined in Documentation/driver-api/early-userspace/buffer-format.rst as: 37 cpio_file := ALGN(4) + cpio_header + filename + "\0" + ALGN(4) + data ... 55 ============= ================== ========================= 56 Field name Field size Meaning 57 ============= ================== ========================= ... 70 c_namesize 8 bytes Length of filename, including final \0 When extracting an initramfs cpio archive, the kernel's do_name() path handler assumes a zero-terminated path at @collected, passing it directly to filp_open() / init_mkdir() / init_mknod(). If a specially crafted cpio entry carries a non-zero-terminated filename and is followed by uninitialized memory, then a file may be created with trailing characters that represent the uninitialized memory. The ability to create an initramfs entry would imply already having full control of the system, so the buffer overrun shouldn't be considered a security vulnerability. Append the output of the following bash script to an existing initramfs and observe any created /initramfs_test_fname_overrunAA* path. E.g. ./reproducer.sh | gzip >> /myinitramfs It's easiest to observe non-zero uninitialized memory when the output is gzipped, as it'll overflow the heap allocated @out_buf in __gunzip(), rather than the initrd_start+initrd_size block. ---- reproducer.sh ---- nilchar="A" # change to "\0" to properly zero terminate / pad magic="070701" ino=1 mode=$(( 0100777 )) uid=0 gid=0 nlink=1 mtime=1 filesize=0 devmajor=0 devminor=1 rdevmajor=0 rdevminor=0 csum=0 fname="initramfs_test_fname_overrun" namelen=$(( ${#fname} + 1 )) # plus one to account for terminator printf "%s%08x%08x%08x%08x%08x%08x%08x%08x%08x%08x%08x%08x%08x%s" \ $magic $ino $mode $uid $gid $nlink $mtime $filesize \ $devmajor $devminor $rdevmajor $rdevminor $namelen $csum $fname termpadlen=$(( 1 + ((4 - ((110 + $namelen) & 3)) % 4) )) printf "%.s${nilchar}" $(seq 1 $termpadlen) ---- reproducer.sh ---- Symlink filename fields handled in do_symlink() won't overrun past the data segment, due to the explicit zero-termination of the symlink target. Fix filename buffer overrun by aborting the initramfs FSM if any cpio entry doesn't carry a zero-terminator at the expected (name_len - 1) offset. Уязвимость компонента init/initramfs.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_event: Align BR/EDR JUST_WORKS paring with LE This aligned BR/EDR JUST_WORKS method with LE which since 92516cd97fd4 ("Bluetooth: Always request for user confirmation for Just Works") always request user confirmation with confirm_hint set since the likes of bluetoothd have dedicated policy around JUST_WORKS method (e.g. main.conf:JustWorksRepairing). CVE: CVE-2024-8805 Уязвимость функции hci_user_confirm_request_evt() ядра операционной системы Linux связана с некорректной авторизацией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность защищаемой информации [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: um: Fix potential integer overflow during physmem setup This issue happens when the real map size is greater than LONG_MAX, which can be easily triggered on UML/i386. Уязвимость компонента um ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSD: Prevent a potential integer overflow If the tag length is >= U32_MAX - 3 then the "length + 4" addition can result in an integer overflow. Address this by splitting the decoding into several steps so that decode_cb_compound4res() does not have to perform arithmetic on the unsafe length value. Уязвимость функции decode_cb_compound4res() ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: comedi: Flush partial mappings in error case If some remap_pfn_range() calls succeeded before one failed, we still have buffer pages mapped into the userspace page tables when we drop the buffer reference with comedi_buf_map_put(bm). The userspace mappings are only cleaned up later in the mmap error path. Fix it by explicitly flushing all mappings in our VMA on the error path. See commit 79a61cc3fc04 ("mm: avoid leaving partial pfn mappings around in error case"). Уязвимость функции start_clu ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix out of bounds reads when finding clock sources The current USB-audio driver code doesn't check bLength of each descriptor at traversing for clock descriptors. That is, when a device provides a bogus descriptor with a shorter bLength, the driver might hit out-of-bounds reads. For addressing it, this patch adds sanity checks to the validator functions for the clock descriptor traversal. When the descriptor length is shorter than expected, it's skipped in the loop. For the clock source and clock multiplier descriptors, we can just check bLength against the sizeof() of each descriptor type. OTOH, the clock selector descriptor of UAC2 and UAC3 has an array of bNrInPins elements and two more fields at its tail, hence those have to be checked in addition to the sizeof() check. Уязвимость компонента usb-audio ядра операционной системы Linux связана с ошибками чтения за пределами границ буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) В целях устранения угрозы эксплуатации уязвимости CVE-2024-53150 необходимо запретить загрузку модуля _snd-usb-audio.ko_ в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль _snd-usb-audio_ в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep snd-usb-audio ``` или ``` kmod list | grep snd-usb-audio ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod snd-usb-audio ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл _/etc/modprobe.d/blacklist.local.conf_ (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово {_}install{_}, название блокируемого модуля и shell-комманду: ``` install snd-usb-audio /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: svcrdma: Address an integer overflow Dan Carpenter reports: > Commit 78147ca8b4a9 ("svcrdma: Add a "parsed chunk list" data > structure") from Jun 22, 2020 (linux-next), leads to the following > Smatch static checker warning: > > net/sunrpc/xprtrdma/svc_rdma_recvfrom.c:498 xdr_check_write_chunk() > warn: potential user controlled sizeof overflow 'segcount * 4 * 4' > > net/sunrpc/xprtrdma/svc_rdma_recvfrom.c > 488 static bool xdr_check_write_chunk(struct svc_rdma_recv_ctxt *rctxt) > 489 { > 490 u32 segcount; > 491 __be32 *p; > 492 > 493 if (xdr_stream_decode_u32(&rctxt->rc_stream, &segcount)) > ^^^^^^^^ > > 494 return false; > 495 > 496 /* A bogus segcount causes this buffer overflow check to fail. */ > 497 p = xdr_inline_decode(&rctxt->rc_stream, > --> 498 segcount * rpcrdma_segment_maxsz * sizeof(*p)); > > > segcount is an untrusted u32. On 32bit systems anything >= SIZE_MAX / 16 will > have an integer overflow and some those values will be accepted by > xdr_inline_decode(). Уязвимость компонента svcrdma ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clk: clk-apple-nco: Add NULL check in applnco_probe Add NULL check in applnco_probe, to handle kernel NULL pointer dereference error. Уязвимость функции applnco_probet() ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании. [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix uninitialized value in ocfs2_file_read_iter() Syzbot has reported the following KMSAN splat: BUG: KMSAN: uninit-value in ocfs2_file_read_iter+0x9a4/0xf80 ocfs2_file_read_iter+0x9a4/0xf80 __io_read+0x8d4/0x20f0 io_read+0x3e/0xf0 io_issue_sqe+0x42b/0x22c0 io_wq_submit_work+0xaf9/0xdc0 io_worker_handle_work+0xd13/0x2110 io_wq_worker+0x447/0x1410 ret_from_fork+0x6f/0x90 ret_from_fork_asm+0x1a/0x30 Uninit was created at: __alloc_pages_noprof+0x9a7/0xe00 alloc_pages_mpol_noprof+0x299/0x990 alloc_pages_noprof+0x1bf/0x1e0 allocate_slab+0x33a/0x1250 ___slab_alloc+0x12ef/0x35e0 kmem_cache_alloc_bulk_noprof+0x486/0x1330 __io_alloc_req_refill+0x84/0x560 io_submit_sqes+0x172f/0x2f30 __se_sys_io_uring_enter+0x406/0x41c0 __x64_sys_io_uring_enter+0x11f/0x1a0 x64_sys_call+0x2b54/0x3ba0 do_syscall_64+0xcd/0x1e0 entry_SYSCALL_64_after_hwframe+0x77/0x7f Since an instance of 'struct kiocb' may be passed from the block layer with 'private' field uninitialized, introduce 'ocfs2_iocb_init_rw_locked()' and use it from where 'ocfs2_dio_end_io()' might take care, i.e. in 'ocfs2_file_read_iter()' and 'ocfs2_file_write_iter()'. Уязвимость функции ocfs2_file_read_iter() ядра операционной системы Linux связана с использованием неинициализированного указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании. [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ath9k: add range check for conn_rsp_epid in htc_connect_service() I found the following bug in my fuzzer: UBSAN: array-index-out-of-bounds in drivers/net/wireless/ath/ath9k/htc_hst.c:26:51 index 255 is out of range for type 'htc_endpoint [22]' CPU: 0 UID: 0 PID: 8 Comm: kworker/0:0 Not tainted 6.11.0-rc6-dirty #14 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 Workqueue: events request_firmware_work_func Call Trace: <TASK> dump_stack_lvl+0x180/0x1b0 __ubsan_handle_out_of_bounds+0xd4/0x130 htc_issue_send.constprop.0+0x20c/0x230 ? _raw_spin_unlock_irqrestore+0x3c/0x70 ath9k_wmi_cmd+0x41d/0x610 ? mark_held_locks+0x9f/0xe0 ... Since this bug has been confirmed to be caused by insufficient verification of conn_rsp_epid, I think it would be appropriate to add a range check for conn_rsp_epid to htc_connect_service() to prevent the bug from occurring. Уязвимость компонента drivers/net/wireless/ath/ath9k ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firmware: arm_scpi: Check the DVFS OPP count returned by the firmware Fix a kernel crash with the below call trace when the SCPI firmware returns OPP count of zero. dvfs_info.opp_count may be zero on some platforms during the reboot test, and the kernel will crash after dereferencing the pointer to kcalloc(info->count, sizeof(*opp), GFP_KERNEL). | Unable to handle kernel NULL pointer dereference at virtual address 0000000000000028 | Mem abort info: | ESR = 0x96000004 | Exception class = DABT (current EL), IL = 32 bits | SET = 0, FnV = 0 | EA = 0, S1PTW = 0 | Data abort info: | ISV = 0, ISS = 0x00000004 | CM = 0, WnR = 0 | user pgtable: 4k pages, 48-bit VAs, pgdp = 00000000faefa08c | [0000000000000028] pgd=0000000000000000 | Internal error: Oops: 96000004 [#1] SMP | scpi-hwmon: probe of PHYT000D:00 failed with error -110 | Process systemd-udevd (pid: 1701, stack limit = 0x00000000aaede86c) | CPU: 2 PID: 1701 Comm: systemd-udevd Not tainted 4.19.90+ #1 | Hardware name: PHYTIUM LTD Phytium FT2000/4/Phytium FT2000/4, BIOS | pstate: 60000005 (nZCv daif -PAN -UAO) | pc : scpi_dvfs_recalc_rate+0x40/0x58 [clk_scpi] | lr : clk_register+0x438/0x720 | Call trace: | scpi_dvfs_recalc_rate+0x40/0x58 [clk_scpi] | devm_clk_hw_register+0x50/0xa0 | scpi_clk_ops_init.isra.2+0xa0/0x138 [clk_scpi] | scpi_clocks_probe+0x528/0x70c [clk_scpi] | platform_drv_probe+0x58/0xa8 | really_probe+0x260/0x3d0 | driver_probe_device+0x12c/0x148 | device_driver_attach+0x74/0x98 | __driver_attach+0xb4/0xe8 | bus_for_each_dev+0x88/0xe0 | driver_attach+0x30/0x40 | bus_add_driver+0x178/0x2b0 | driver_register+0x64/0x118 | __platform_driver_register+0x54/0x60 | scpi_clocks_driver_init+0x24/0x1000 [clk_scpi] | do_one_initcall+0x54/0x220 | do_init_module+0x54/0x1c8 | load_module+0x14a4/0x1668 | __se_sys_finit_module+0xf8/0x110 | __arm64_sys_finit_module+0x24/0x30 | el0_svc_common+0x78/0x170 | el0_svc_handler+0x38/0x78 | el0_svc+0x8/0x340 | Code: 937d7c00 a94153f3 a8c27bfd f9400421 (b8606820) | ---[ end trace 06feb22469d89fa8 ]--- | Kernel panic - not syncing: Fatal exception | SMP: stopping secondary CPUs | Kernel Offset: disabled | CPU features: 0x10,a0002008 | Memory Limit: none Уязвимость функции scpi_dvfs_get_info() драйвера System Control and Power Interface (SCPI) Message Protocol Driver (drivers/firmware/arm_scpi.c) ядра операционных систем Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: qcom: geni-se: fix array underflow in geni_se_clk_tbl_get() This loop is supposed to break if the frequency returned from clk_round_rate() is the same as on the previous iteration. However, that check doesn't make sense on the first iteration through the loop. It leads to reading before the start of these->clk_perf_tbl[] array. Уязвимость функции geni_se_clk_tbl_get() драйвера QCOM GENI Serial Engine Driver (drivers/soc/qcom/qcom-geni-se.c) ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: EDAC/bluefield: Fix potential integer overflow The 64-bit argument for the "get DIMM info" SMC call consists of mem_ctrl_idx left-shifted 16 bits and OR-ed with DIMM index. With mem_ctrl_idx defined as 32-bits wide the left-shift operation truncates the upper 16 bits of information during the calculation of the SMC argument. The mem_ctrl_idx stack variable must be defined as 64-bits wide to prevent any potential integer overflow, i.e. loss of data from upper 16 bits. Уязвимость драйвера блока обработки данных (drivers/edac/bluefield_edac.c) операционных систем Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: sched: fix ordering of qlen adjustment Changes to sch->q.qlen around qdisc_tree_reduce_backlog() need to happen _before_ a call to said function because otherwise it may fail to notify parent qdiscs when the child is about to become empty. Уязвимость компонентов net/sched ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_cake.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_cake в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_cake ``` или ``` kmod list | grep sch_cake ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_cake ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install sch_cake /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sh: intc: Fix use-after-free bug in register_intc_controller() In the error handling for this function, d is freed without ever removing it from intc_list which would lead to a use after free. To fix this, let's only add it to the list after everything has succeeded. Уязвимость компонента intc ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ubifs: authentication: Fix use-after-free in ubifs_tnc_end_commit After an insertion in TNC, the tree might split and cause a node to change its `znode->parent`. A further deletion of other nodes in the tree (which also could free the nodes), the aforementioned node's `znode->cparent` could still point to a freed node. This `znode->cparent` may not be updated when getting nodes to commit in `ubifs_tnc_start_commit()`. This could then trigger a use-after-free when accessing the `znode->cparent` in `write_index()` in `ubifs_tnc_end_commit()`. This can be triggered by running rm -f /etc/test-file.bin dd if=/dev/urandom of=/etc/test-file.bin bs=1M count=60 conv=fsync in a loop, and with `CONFIG_UBIFS_FS_AUTHENTICATION`. KASAN then reports: BUG: KASAN: use-after-free in ubifs_tnc_end_commit+0xa5c/0x1950 Write of size 32 at addr ffffff800a3af86c by task ubifs_bgt0_20/153 Call trace: dump_backtrace+0x0/0x340 show_stack+0x18/0x24 dump_stack_lvl+0x9c/0xbc print_address_description.constprop.0+0x74/0x2b0 kasan_report+0x1d8/0x1f0 kasan_check_range+0xf8/0x1a0 memcpy+0x84/0xf4 ubifs_tnc_end_commit+0xa5c/0x1950 do_commit+0x4e0/0x1340 ubifs_bg_thread+0x234/0x2e0 kthread+0x36c/0x410 ret_from_fork+0x10/0x20 Allocated by task 401: kasan_save_stack+0x38/0x70 __kasan_kmalloc+0x8c/0xd0 __kmalloc+0x34c/0x5bc tnc_insert+0x140/0x16a4 ubifs_tnc_add+0x370/0x52c ubifs_jnl_write_data+0x5d8/0x870 do_writepage+0x36c/0x510 ubifs_writepage+0x190/0x4dc __writepage+0x58/0x154 write_cache_pages+0x394/0x830 do_writepages+0x1f0/0x5b0 filemap_fdatawrite_wbc+0x170/0x25c file_write_and_wait_range+0x140/0x190 ubifs_fsync+0xe8/0x290 vfs_fsync_range+0xc0/0x1e4 do_fsync+0x40/0x90 __arm64_sys_fsync+0x34/0x50 invoke_syscall.constprop.0+0xa8/0x260 do_el0_svc+0xc8/0x1f0 el0_svc+0x34/0x70 el0t_64_sync_handler+0x108/0x114 el0t_64_sync+0x1a4/0x1a8 Freed by task 403: kasan_save_stack+0x38/0x70 kasan_set_track+0x28/0x40 kasan_set_free_info+0x28/0x4c __kasan_slab_free+0xd4/0x13c kfree+0xc4/0x3a0 tnc_delete+0x3f4/0xe40 ubifs_tnc_remove_range+0x368/0x73c ubifs_tnc_remove_ino+0x29c/0x2e0 ubifs_jnl_delete_inode+0x150/0x260 ubifs_evict_inode+0x1d4/0x2e4 evict+0x1c8/0x450 iput+0x2a0/0x3c4 do_unlinkat+0x2cc/0x490 __arm64_sys_unlinkat+0x90/0x100 invoke_syscall.constprop.0+0xa8/0x260 do_el0_svc+0xc8/0x1f0 el0_svc+0x34/0x70 el0t_64_sync_handler+0x108/0x114 el0t_64_sync+0x1a4/0x1a8 The offending `memcpy()` in `ubifs_copy_hash()` has a use-after-free when a node becomes root in TNC but still has a `cparent` to an already freed node. More specifically, consider the following TNC: zroot / / zp1 / / zn Inserting a new node `zn_new` with a key smaller then `zn` will trigger a split in `tnc_insert()` if `zp1` is full: zroot / \ / \ zp1 zp2 / \ / \ zn_new zn `zn->parent` has now been moved to `zp2`, *but* `zn->cparent` still points to `zp1`. Now, consider a removal of all the nodes _except_ `zn`. Just when `tnc_delete()` is about to delete `zroot` and `zp2`: zroot \ \ zp2 \ \ zn `zroot` and `zp2` get freed and the tree collapses: zn `zn` now becomes the new `zroot`. `get_znodes_to_commit()` will now only find `zn`, the new `zroot`, and `write_index()` will check its `znode->cparent` that wrongly points to the already freed `zp1`. `ubifs_copy_hash()` thus gets wrongly called with `znode->cparent->zbranch[znode->iip].hash` that triggers the use-after-free! Fix this by explicitly setting `znode->cparent` to `NULL` in `get_znodes_to_commit()` for the root node. The search for the dirty nodes ---truncated--- Уязвимость функции get_znodes_to_commit() модуля fs/ubifs/tnc_commit.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ubi: fastmap: Fix duplicate slab cache names while attaching Since commit 4c39529663b9 ("slab: Warn on duplicate cache names when DEBUG_VM=y"), the duplicate slab cache names can be detected and a kernel WARNING is thrown out. In UBI fast attaching process, alloc_ai() could be invoked twice with the same slab cache name 'ubi_aeb_slab_cache', which will trigger following warning messages: kmem_cache of name 'ubi_aeb_slab_cache' already exists WARNING: CPU: 0 PID: 7519 at mm/slab_common.c:107 __kmem_cache_create_args+0x100/0x5f0 Modules linked in: ubi(+) nandsim [last unloaded: nandsim] CPU: 0 UID: 0 PID: 7519 Comm: modprobe Tainted: G 6.12.0-rc2 RIP: 0010:__kmem_cache_create_args+0x100/0x5f0 Call Trace: __kmem_cache_create_args+0x100/0x5f0 alloc_ai+0x295/0x3f0 [ubi] ubi_attach+0x3c3/0xcc0 [ubi] ubi_attach_mtd_dev+0x17cf/0x3fa0 [ubi] ubi_init+0x3fb/0x800 [ubi] do_init_module+0x265/0x7d0 __x64_sys_finit_module+0x7a/0xc0 The problem could be easily reproduced by loading UBI device by fastmap with CONFIG_DEBUG_VM=y. Fix it by using different slab names for alloc_ai() callers. Уязвимость компонента ubi ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSv4.0: Fix a use-after-free problem in the asynchronous open() Yang Erkun reports that when two threads are opening files at the same time, and are forced to abort before a reply is seen, then the call to nfs_release_seqid() in nfs4_opendata_free() can result in a use-after-free of the pointer to the defunct rpc task of the other thread. The fix is to ensure that if the RPC call is aborted before the call to nfs_wait_on_sequence() is complete, then we must call nfs_release_seqid() in nfs4_open_release() before the rpc_task is freed. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: SUNRPC: make sure cache entry active before cache_show The function `c_show` was called with protection from RCU. This only ensures that `cp` will not be freed. Therefore, the reference count for `cp` can drop to zero, which will trigger a refcount use-after-free warning when `cache_get` is called. To resolve this issue, use `cache_get_rcu` to ensure that `cp` remains active. ------------[ cut here ]------------ refcount_t: addition on 0; use-after-free. WARNING: CPU: 7 PID: 822 at lib/refcount.c:25 refcount_warn_saturate+0xb1/0x120 CPU: 7 UID: 0 PID: 822 Comm: cat Not tainted 6.12.0-rc3+ #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.1-2.fc37 04/01/2014 RIP: 0010:refcount_warn_saturate+0xb1/0x120 Call Trace: <TASK> c_show+0x2fc/0x380 [sunrpc] seq_read_iter+0x589/0x770 seq_read+0x1e5/0x270 proc_reg_read+0xe1/0x140 vfs_read+0x125/0x530 ksys_read+0xc1/0x160 do_syscall_64+0x5f/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость функции c_show() компонента net/sunrpc/cache.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipc: fix memleak if msg_init_ns failed in create_ipc_ns Percpu memory allocation may failed during create_ipc_ns however this fail is not handled properly since ipc sysctls and mq sysctls is not released properly. Fix this by release these two resource when failure. Here is the kmemleak stack when percpu failed: unreferenced object 0xffff88819de2a600 (size 512): comm "shmem_2nstest", pid 120711, jiffies 4300542254 hex dump (first 32 bytes): 60 aa 9d 84 ff ff ff ff fc 18 48 b2 84 88 ff ff `.........H..... 04 00 00 00 a4 01 00 00 20 e4 56 81 ff ff ff ff ........ .V..... backtrace (crc be7cba35): [<ffffffff81b43f83>] __kmalloc_node_track_caller_noprof+0x333/0x420 [<ffffffff81a52e56>] kmemdup_noprof+0x26/0x50 [<ffffffff821b2f37>] setup_mq_sysctls+0x57/0x1d0 [<ffffffff821b29cc>] copy_ipcs+0x29c/0x3b0 [<ffffffff815d6a10>] create_new_namespaces+0x1d0/0x920 [<ffffffff815d7449>] copy_namespaces+0x2e9/0x3e0 [<ffffffff815458f3>] copy_process+0x29f3/0x7ff0 [<ffffffff8154b080>] kernel_clone+0xc0/0x650 [<ffffffff8154b6b1>] __do_sys_clone+0xa1/0xe0 [<ffffffff843df8ff>] do_syscall_64+0xbf/0x1c0 [<ffffffff846000b0>] entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость компонента ipc/namespace.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: pcm: Add sanity NULL check for the default mmap fault handler A driver might allow the mmap access before initializing its runtime->dma_area properly. Add a proper NULL check before passing to virt_to_page() for avoiding a panic. Уязвимость компонента sound/core/pcm_native.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: um: vector: Do not use drvdata in release The drvdata is not available in release. Let's just use container_of() to get the vector_device instance. Otherwise, removing a vector device will result in a crash: RIP: 0033:vector_device_release+0xf/0x50 RSP: 00000000e187bc40 EFLAGS: 00010202 RAX: 0000000060028f61 RBX: 00000000600f1baf RCX: 00000000620074e0 RDX: 000000006220b9c0 RSI: 0000000060551c80 RDI: 0000000000000000 RBP: 00000000e187bc50 R08: 00000000603ad594 R09: 00000000e187bb70 R10: 000000000000135a R11: 00000000603ad422 R12: 00000000623ae028 R13: 000000006287a200 R14: 0000000062006d30 R15: 00000000623700b6 Kernel panic - not syncing: Segfault with no mm CPU: 0 UID: 0 PID: 16 Comm: kworker/0:1 Not tainted 6.12.0-rc6-g59b723cd2adb #1 Workqueue: events mc_work_proc Stack: 60028f61 623ae028 e187bc80 60276fcd 6220b9c0 603f5820 623ae028 00000000 e187bcb0 603a2bcd 623ae000 62370010 Call Trace: [<60028f61>] ? vector_device_release+0x0/0x50 [<60276fcd>] device_release+0x70/0xba [<603a2bcd>] kobject_put+0xba/0xe7 [<60277265>] put_device+0x19/0x1c [<60281266>] platform_device_put+0x26/0x29 [<60281e5f>] platform_device_unregister+0x2c/0x2e [<60029422>] vector_remove+0x52/0x58 [<60031316>] ? mconsole_reply+0x0/0x50 [<600310c8>] mconsole_remove+0x160/0x1cc [<603b19f4>] ? strlen+0x0/0x15 [<60066611>] ? __dequeue_entity+0x1a9/0x206 [<600666a7>] ? set_next_entity+0x39/0x63 [<6006666e>] ? set_next_entity+0x0/0x63 [<60038fa6>] ? um_set_signals+0x0/0x43 [<6003070c>] mc_work_proc+0x77/0x91 [<60057664>] process_scheduled_works+0x1b3/0x2dd [<60055f32>] ? assign_work+0x0/0x58 [<60057f0a>] worker_thread+0x1e9/0x293 [<6005406f>] ? set_pf_worker+0x0/0x64 [<6005d65d>] ? arch_local_irq_save+0x0/0x2d [<6005d748>] ? kthread_exit+0x0/0x3a [<60057d21>] ? worker_thread+0x0/0x293 [<6005dbf1>] kthread+0x126/0x12b [<600219c5>] new_thread_handler+0x85/0xb6 Уязвимость компонента vector ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: um: net: Do not use drvdata in release The drvdata is not available in release. Let's just use container_of() to get the uml_net instance. Otherwise, removing a network device will result in a crash: RIP: 0033:net_device_release+0x10/0x6f RSP: 00000000e20c7c40 EFLAGS: 00010206 RAX: 000000006002e4e7 RBX: 00000000600f1baf RCX: 00000000624074e0 RDX: 0000000062778000 RSI: 0000000060551c80 RDI: 00000000627af028 RBP: 00000000e20c7c50 R08: 00000000603ad594 R09: 00000000e20c7b70 R10: 000000000000135a R11: 00000000603ad422 R12: 0000000000000000 R13: 0000000062c7af00 R14: 0000000062406d60 R15: 00000000627700b6 Kernel panic - not syncing: Segfault with no mm CPU: 0 UID: 0 PID: 29 Comm: kworker/0:2 Not tainted 6.12.0-rc6-g59b723cd2adb #1 Workqueue: events mc_work_proc Stack: 627af028 62c7af00 e20c7c80 60276fcd 62778000 603f5820 627af028 00000000 e20c7cb0 603a2bcd 627af000 62770010 Call Trace: [<60276fcd>] device_release+0x70/0xba [<603a2bcd>] kobject_put+0xba/0xe7 [<60277265>] put_device+0x19/0x1c [<60281266>] platform_device_put+0x26/0x29 [<60281e5f>] platform_device_unregister+0x2c/0x2e [<6002ec9c>] net_remove+0x63/0x69 [<60031316>] ? mconsole_reply+0x0/0x50 [<600310c8>] mconsole_remove+0x160/0x1cc [<60087d40>] ? __remove_hrtimer+0x38/0x74 [<60087ff8>] ? hrtimer_try_to_cancel+0x8c/0x98 [<6006b3cf>] ? dl_server_stop+0x3f/0x48 [<6006b390>] ? dl_server_stop+0x0/0x48 [<600672e8>] ? dequeue_entities+0x327/0x390 [<60038fa6>] ? um_set_signals+0x0/0x43 [<6003070c>] mc_work_proc+0x77/0x91 [<60057664>] process_scheduled_works+0x1b3/0x2dd [<60055f32>] ? assign_work+0x0/0x58 [<60057f0a>] worker_thread+0x1e9/0x293 [<6005406f>] ? set_pf_worker+0x0/0x64 [<6005d65d>] ? arch_local_irq_save+0x0/0x2d [<6005d748>] ? kthread_exit+0x0/0x3a [<60057d21>] ? worker_thread+0x0/0x293 [<6005dbf1>] kthread+0x126/0x12b [<600219c5>] new_thread_handler+0x85/0xb6 Уязвимость компонента net ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: um: ubd: Do not use drvdata in release The drvdata is not available in release. Let's just use container_of() to get the ubd instance. Otherwise, removing a ubd device will result in a crash: RIP: 0033:blk_mq_free_tag_set+0x1f/0xba RSP: 00000000e2083bf0 EFLAGS: 00010246 RAX: 000000006021463a RBX: 0000000000000348 RCX: 0000000062604d00 RDX: 0000000004208060 RSI: 00000000605241a0 RDI: 0000000000000348 RBP: 00000000e2083c10 R08: 0000000062414010 R09: 00000000601603f7 R10: 000000000000133a R11: 000000006038c4bd R12: 0000000000000000 R13: 0000000060213a5c R14: 0000000062405d20 R15: 00000000604f7aa0 Kernel panic - not syncing: Segfault with no mm CPU: 0 PID: 17 Comm: kworker/0:1 Not tainted 6.8.0-rc3-00107-gba3f67c11638 #1 Workqueue: events mc_work_proc Stack: 00000000 604f7ef0 62c5d000 62405d20 e2083c30 6002c776 6002c755 600e47ff e2083c60 6025ffe3 04208060 603d36e0 Call Trace: [<6002c776>] ubd_device_release+0x21/0x55 [<6002c755>] ? ubd_device_release+0x0/0x55 [<600e47ff>] ? kfree+0x0/0x100 [<6025ffe3>] device_release+0x70/0xba [<60381d6a>] kobject_put+0xb5/0xe2 [<6026027b>] put_device+0x19/0x1c [<6026a036>] platform_device_put+0x26/0x29 [<6026ac5a>] platform_device_unregister+0x2c/0x2e [<6002c52e>] ubd_remove+0xb8/0xd6 [<6002bb74>] ? mconsole_reply+0x0/0x50 [<6002b926>] mconsole_remove+0x160/0x1cc [<6002bbbc>] ? mconsole_reply+0x48/0x50 [<6003379c>] ? um_set_signals+0x3b/0x43 [<60061c55>] ? update_min_vruntime+0x14/0x70 [<6006251f>] ? dequeue_task_fair+0x164/0x235 [<600620aa>] ? update_cfs_group+0x0/0x40 [<603a0e77>] ? __schedule+0x0/0x3ed [<60033761>] ? um_set_signals+0x0/0x43 [<6002af6a>] mc_work_proc+0x77/0x91 [<600520b4>] process_scheduled_works+0x1af/0x2c3 [<6004ede3>] ? assign_work+0x0/0x58 [<600527a1>] worker_thread+0x2f7/0x37a [<6004ee3b>] ? set_pf_worker+0x0/0x64 [<6005765d>] ? arch_local_irq_save+0x0/0x2d [<60058e07>] ? kthread_exit+0x0/0x3a [<600524aa>] ? worker_thread+0x0/0x37a [<60058f9f>] kthread+0x130/0x135 [<6002068e>] new_thread_handler+0x85/0xb6 Уязвимость компонента ubd ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: rtlwifi: Drastically reduce the attempts to read efuse in case of failures Syzkaller reported a hung task with uevent_show() on stack trace. That specific issue was addressed by another commit [0], but even with that fix applied (for example, running v6.12-rc5) we face another type of hung task that comes from the same reproducer [1]. By investigating that, we could narrow it to the following path: (a) Syzkaller emulates a Realtek USB WiFi adapter using raw-gadget and dummy_hcd infrastructure. (b) During the probe of rtl8192cu, the driver ends-up performing an efuse read procedure (which is related to EEPROM load IIUC), and here lies the issue: the function read_efuse() calls read_efuse_byte() many times, as loop iterations depending on the efuse size (in our example, 512 in total). This procedure for reading efuse bytes relies in a loop that performs an I/O read up to *10k* times in case of failures. We measured the time of the loop inside read_efuse_byte() alone, and in this reproducer (which involves the dummy_hcd emulation layer), it takes 15 seconds each. As a consequence, we have the driver stuck in its probe routine for big time, exposing a stack trace like below if we attempt to reboot the system, for example: task:kworker/0:3 state:D stack:0 pid:662 tgid:662 ppid:2 flags:0x00004000 Workqueue: usb_hub_wq hub_event Call Trace: __schedule+0xe22/0xeb6 schedule_timeout+0xe7/0x132 __wait_for_common+0xb5/0x12e usb_start_wait_urb+0xc5/0x1ef ? usb_alloc_urb+0x95/0xa4 usb_control_msg+0xff/0x184 _usbctrl_vendorreq_sync+0xa0/0x161 _usb_read_sync+0xb3/0xc5 read_efuse_byte+0x13c/0x146 read_efuse+0x351/0x5f0 efuse_read_all_map+0x42/0x52 rtl_efuse_shadow_map_update+0x60/0xef rtl_get_hwinfo+0x5d/0x1c2 rtl92cu_read_eeprom_info+0x10a/0x8d5 ? rtl92c_read_chip_version+0x14f/0x17e rtl_usb_probe+0x323/0x851 usb_probe_interface+0x278/0x34b really_probe+0x202/0x4a4 __driver_probe_device+0x166/0x1b2 driver_probe_device+0x2f/0xd8 [...] We propose hereby to drastically reduce the attempts of doing the I/O reads in case of failures, restricted to USB devices (given that they're inherently slower than PCIe ones). By retrying up to 10 times (instead of 10000), we got reponsiveness in the reproducer, while seems reasonable to believe that there's no sane USB device implementation in the field requiring this amount of retries at every I/O read in order to properly work. Based on that assumption, it'd be good to have it backported to stable but maybe not since driver implementation (the 10k number comes from day 0), perhaps up to 6.x series makes sense. [0] Commit 15fffc6a5624 ("driver core: Fix uevent_show() vs driver detach race") [1] A note about that: this syzkaller report presents multiple reproducers that differs by the type of emulated USB device. For this specific case, check the entry from 2024/08/08 06:23 in the list of crashes; the C repro is available at https://syzkaller.appspot.com/text?tag=ReproC&x=1521fc83980000. Уязвимость компонента rtlwifi ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: Fix use-after-free of slot->bus on hot remove Dennis reports a boot crash on recent Lenovo laptops with a USB4 dock. Since commit 0fc70886569c ("thunderbolt: Reset USB4 v2 host router") and commit 59a54c5f3dbd ("thunderbolt: Reset topology created by the boot firmware"), USB4 v2 and v1 Host Routers are reset on probe of the thunderbolt driver. The reset clears the Presence Detect State and Data Link Layer Link Active bits at the USB4 Host Router's Root Port and thus causes hot removal of the dock. The crash occurs when pciehp is unbound from one of the dock's Downstream Ports: pciehp creates a pci_slot on bind and destroys it on unbind. The pci_slot contains a pointer to the pci_bus below the Downstream Port, but a reference on that pci_bus is never acquired. The pci_bus is destroyed before the pci_slot, so a use-after-free ensues when pci_slot_release() accesses slot->bus. In principle this should not happen because pci_stop_bus_device() unbinds pciehp (and therefore destroys the pci_slot) before the pci_bus is destroyed by pci_remove_bus_device(). However the stacktrace provided by Dennis shows that pciehp is unbound from pci_remove_bus_device() instead of pci_stop_bus_device(). To understand the significance of this, one needs to know that the PCI core uses a two step process to remove a portion of the hierarchy: It first unbinds all drivers in the sub-hierarchy in pci_stop_bus_device() and then actually removes the devices in pci_remove_bus_device(). There is no precaution to prevent driver binding in-between pci_stop_bus_device() and pci_remove_bus_device(). In Dennis' case, it seems removal of the hierarchy by pciehp races with driver binding by pci_bus_add_devices(). pciehp is bound to the Downstream Port after pci_stop_bus_device() has run, so it is unbound by pci_remove_bus_device() instead of pci_stop_bus_device(). Because the pci_bus has already been destroyed at that point, accesses to it result in a use-after-free. One might conclude that driver binding needs to be prevented after pci_stop_bus_device() has run. However it seems risky that pci_slot points to pci_bus without holding a reference. Solely relying on correct ordering of driver unbind versus pci_bus destruction is certainly not defensive programming. If pci_slot has a need to access data in pci_bus, it ought to acquire a reference. Amend pci_create_slot() accordingly. Dennis reports that the crash is not reproducible with this change. Abridged stacktrace: pcieport 0000:00:07.0: PME: Signaling with IRQ 156 pcieport 0000:00:07.0: pciehp: Slot #12 AttnBtn- PwrCtrl- MRL- AttnInd- PwrInd- HotPlug+ Surprise+ Interlock- NoCompl+ IbPresDis- LLActRep+ pci_bus 0000:20: dev 00, created physical slot 12 pcieport 0000:00:07.0: pciehp: Slot(12): Card not present ... pcieport 0000:21:02.0: pciehp: pcie_disable_notification: SLOTCTRL d8 write cmd 0 Oops: general protection fault, probably for non-canonical address 0x6b6b6b6b6b6b6b6b: 0000 [#1] PREEMPT SMP NOPTI CPU: 13 UID: 0 PID: 134 Comm: irq/156-pciehp Not tainted 6.11.0-devel+ #1 RIP: 0010:dev_driver_string+0x12/0x40 pci_destroy_slot pciehp_remove pcie_port_remove_service device_release_driver_internal bus_remove_device device_del device_unregister remove_iter device_for_each_child pcie_portdrv_remove pci_device_remove device_release_driver_internal bus_remove_device device_del pci_remove_bus_device (recursive invocation) pci_remove_bus_device pciehp_unconfigure_device pciehp_disable_slot pciehp_handle_presence_or_link_change pciehp_ist Уязвимость компонента drivers/pci ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: arm64: Don't retire aborted MMIO instruction Returning an abort to the guest for an unsupported MMIO access is a documented feature of the KVM UAPI. Nevertheless, it's clear that this plumbing has seen limited testing, since userspace can trivially cause a WARN in the MMIO return: WARNING: CPU: 0 PID: 30558 at arch/arm64/include/asm/kvm_emulate.h:536 kvm_handle_mmio_return+0x46c/0x5c4 arch/arm64/include/asm/kvm_emulate.h:536 Call trace: kvm_handle_mmio_return+0x46c/0x5c4 arch/arm64/include/asm/kvm_emulate.h:536 kvm_arch_vcpu_ioctl_run+0x98/0x15b4 arch/arm64/kvm/arm.c:1133 kvm_vcpu_ioctl+0x75c/0xa78 virt/kvm/kvm_main.c:4487 __do_sys_ioctl fs/ioctl.c:51 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __arm64_sys_ioctl+0x14c/0x1c8 fs/ioctl.c:893 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x98/0x2b8 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x1e0/0x23c arch/arm64/kernel/syscall.c:132 do_el0_svc+0x48/0x58 arch/arm64/kernel/syscall.c:151 el0_svc+0x38/0x68 arch/arm64/kernel/entry-common.c:712 el0t_64_sync_handler+0x90/0xfc arch/arm64/kernel/entry-common.c:730 el0t_64_sync+0x190/0x194 arch/arm64/kernel/entry.S:598 The splat is complaining that KVM is advancing PC while an exception is pending, i.e. that KVM is retiring the MMIO instruction despite a pending synchronous external abort. Womp womp. Fix the glaring UAPI bug by skipping over all the MMIO emulation in case there is a pending synchronous exception. Note that while userspace is capable of pending an asynchronous exception (SError, IRQ, or FIQ), it is still safe to retire the MMIO instruction in this case as (1) they are by definition asynchronous, and (2) KVM relies on hardware support for pending/delivering these exceptions instead of the software state machine for advancing PC. Уязвимость компонента arm64/kvm/mmio.c ядра операционной системы Linux связана с недостатками в обработке исключительных состояний. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix potential out-of-bound accesses for Extigy and Mbox devices A bogus device can provide a bNumConfigurations value that exceeds the initial value used in usb_get_configuration for allocating dev->config. This can lead to out-of-bounds accesses later, e.g. in usb_destroy_configuration. Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2024-53197 необходимо запретить загрузку модуля _snd-usb-audio.ko_ в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль _snd-usb-audio_ в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep snd-usb-audio ``` или ``` kmod list | grep snd-usb-audio ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod snd-usb-audio ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл _/etc/modprobe.d/blacklist.local.conf_ (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово {_}install{_}, название блокируемого модуля и shell-комманду: ``` install snd-usb-audio /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xen: Fix the issue of resource not being properly released in xenbus_dev_probe() This patch fixes an issue in the function xenbus_dev_probe(). In the xenbus_dev_probe() function, within the if (err) branch at line 313, the program incorrectly returns err directly without releasing the resources allocated by err = drv->probe(dev, id). As the return value is non-zero, the upper layers assume the processing logic has failed. However, the probe operation was performed earlier without a corresponding remove operation. Since the probe actually allocates resources, failing to perform the remove operation could lead to problems. To fix this issue, we followed the resource release logic of the xenbus_dev_remove() function by adding a new block fail_remove before the fail_put block. After entering the branch if (err) at line 313, the function will use a goto statement to jump to the fail_remove block, ensuring that the previously acquired resources are correctly released, thus preventing the reference count leak. This bug was identified by an experimental static analysis tool developed by our team. The tool specializes in analyzing reference count operations and detecting potential issues where resources are not properly managed. In this case, the tool flagged the missing release operation as a potential problem, which led to the development of this patch. Уязвимость функции xenbus_dev_probe() компонента drivers/xen/xenbus/xenbus_probe.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: Fix slab-use-after-free Read in set_powered_sync This fixes the following crash: ================================================================== BUG: KASAN: slab-use-after-free in set_powered_sync+0x3a/0xc0 net/bluetooth/mgmt.c:1353 Read of size 8 at addr ffff888029b4dd18 by task kworker/u9:0/54 CPU: 1 UID: 0 PID: 54 Comm: kworker/u9:0 Not tainted 6.11.0-rc6-syzkaller-01155-gf723224742fc #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/06/2024 Workqueue: hci0 hci_cmd_sync_work Call Trace: <TASK> __dump_stack lib/dump_stack.c:93 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:119 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 q kasan_report+0x143/0x180 mm/kasan/report.c:601 set_powered_sync+0x3a/0xc0 net/bluetooth/mgmt.c:1353 hci_cmd_sync_work+0x22b/0x400 net/bluetooth/hci_sync.c:328 process_one_work kernel/workqueue.c:3231 [inline] process_scheduled_works+0xa2c/0x1830 kernel/workqueue.c:3312 worker_thread+0x86d/0xd10 kernel/workqueue.c:3389 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Allocated by task 5247: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:370 [inline] __kasan_kmalloc+0x98/0xb0 mm/kasan/common.c:387 kasan_kmalloc include/linux/kasan.h:211 [inline] __kmalloc_cache_noprof+0x19c/0x2c0 mm/slub.c:4193 kmalloc_noprof include/linux/slab.h:681 [inline] kzalloc_noprof include/linux/slab.h:807 [inline] mgmt_pending_new+0x65/0x250 net/bluetooth/mgmt_util.c:269 mgmt_pending_add+0x36/0x120 net/bluetooth/mgmt_util.c:296 set_powered+0x3cd/0x5e0 net/bluetooth/mgmt.c:1394 hci_mgmt_cmd+0xc47/0x11d0 net/bluetooth/hci_sock.c:1712 hci_sock_sendmsg+0x7b8/0x11c0 net/bluetooth/hci_sock.c:1832 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x221/0x270 net/socket.c:745 sock_write_iter+0x2dd/0x400 net/socket.c:1160 new_sync_write fs/read_write.c:497 [inline] vfs_write+0xa72/0xc90 fs/read_write.c:590 ksys_write+0x1a0/0x2c0 fs/read_write.c:643 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 5246: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x40/0x50 mm/kasan/generic.c:579 poison_slab_object+0xe0/0x150 mm/kasan/common.c:240 __kasan_slab_free+0x37/0x60 mm/kasan/common.c:256 kasan_slab_free include/linux/kasan.h:184 [inline] slab_free_hook mm/slub.c:2256 [inline] slab_free mm/slub.c:4477 [inline] kfree+0x149/0x360 mm/slub.c:4598 settings_rsp+0x2bc/0x390 net/bluetooth/mgmt.c:1443 mgmt_pending_foreach+0xd1/0x130 net/bluetooth/mgmt_util.c:259 __mgmt_power_off+0x112/0x420 net/bluetooth/mgmt.c:9455 hci_dev_close_sync+0x665/0x11a0 net/bluetooth/hci_sync.c:5191 hci_dev_do_close net/bluetooth/hci_core.c:483 [inline] hci_dev_close+0x112/0x210 net/bluetooth/hci_core.c:508 sock_do_ioctl+0x158/0x460 net/socket.c:1222 sock_ioctl+0x629/0x8e0 net/socket.c:1341 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83gv entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента net/bluetooth/mgmt.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/iucv: MSG_PEEK causes memory leak in iucv_sock_destruct() Passing MSG_PEEK flag to skb_recv_datagram() increments skb refcount (skb->users) and iucv_sock_recvmsg() does not decrement skb refcount at exit. This results in skb memory leak in skb_queue_purge() and WARN_ON in iucv_sock_destruct() during socket close. To fix this decrease skb refcount by one if MSG_PEEK is set in order to prevent memory leak and WARN_ON. WARNING: CPU: 2 PID: 6292 at net/iucv/af_iucv.c:286 iucv_sock_destruct+0x144/0x1a0 [af_iucv] CPU: 2 PID: 6292 Comm: afiucv_test_msg Kdump: loaded Tainted: G W 6.10.0-rc7 #1 Hardware name: IBM 3931 A01 704 (z/VM 7.3.0) Call Trace: [<001587c682c4aa98>] iucv_sock_destruct+0x148/0x1a0 [af_iucv] [<001587c682c4a9d0>] iucv_sock_destruct+0x80/0x1a0 [af_iucv] [<001587c704117a32>] __sk_destruct+0x52/0x550 [<001587c704104a54>] __sock_release+0xa4/0x230 [<001587c704104c0c>] sock_close+0x2c/0x40 [<001587c702c5f5a8>] __fput+0x2e8/0x970 [<001587c7024148c4>] task_work_run+0x1c4/0x2c0 [<001587c7023b0716>] do_exit+0x996/0x1050 [<001587c7023b13aa>] do_group_exit+0x13a/0x360 [<001587c7023b1626>] __s390x_sys_exit_group+0x56/0x60 [<001587c7022bccca>] do_syscall+0x27a/0x380 [<001587c7049a6a0c>] __do_syscall+0x9c/0x160 [<001587c7049ce8a8>] system_call+0x70/0x98 Last Breaking-Event-Address: [<001587c682c4a9d4>] iucv_sock_destruct+0x84/0x1a0 [af_iucv] Уязвимость функции iucv_sock_destruct() компонента net/iucv/af_iucv.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: lan78xx: Fix double free issue with interrupt buffer allocation In lan78xx_probe(), the buffer `buf` was being freed twice: once implicitly through `usb_free_urb(dev->urb_intr)` with the `URB_FREE_BUFFER` flag and again explicitly by `kfree(buf)`. This caused a double free issue. To resolve this, reordered `kmalloc()` and `usb_alloc_urb()` calls to simplify the initialization sequence and removed the redundant `kfree(buf)`. Now, `buf` is allocated after `usb_alloc_urb()`, ensuring it is correctly managed by `usb_fill_int_urb()` and freed by `usb_free_urb()` as intended. Уязвимость функции lan78xx_probe() модуля drivers/net/usb/lan78xx.c ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415'), NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vfio/pci: Properly hide first-in-list PCIe extended capability There are cases where a PCIe extended capability should be hidden from the user. For example, an unknown capability (i.e., capability with ID greater than PCI_EXT_CAP_ID_MAX) or a capability that is intentionally chosen to be hidden from the user. Hiding a capability is done by virtualizing and modifying the 'Next Capability Offset' field of the previous capability so it points to the capability after the one that should be hidden. The special case where the first capability in the list should be hidden is handled differently because there is no previous capability that can be modified. In this case, the capability ID and version are zeroed while leaving the next pointer intact. This hides the capability and leaves an anchor for the rest of the capability list. However, today, hiding the first capability in the list is not done properly if the capability is unknown, as struct vfio_pci_core_device->pci_config_map is set to the capability ID during initialization but the capability ID is not properly checked later when used in vfio_config_do_rw(). This leads to the following warning [1] and to an out-of-bounds access to ecap_perms array. Fix it by checking cap_id in vfio_config_do_rw(), and if it is greater than PCI_EXT_CAP_ID_MAX, use an alternative struct perm_bits for direct read only access instead of the ecap_perms array. Note that this is safe since the above is the only case where cap_id can exceed PCI_EXT_CAP_ID_MAX (except for the special capabilities, which are already checked before). [1] WARNING: CPU: 118 PID: 5329 at drivers/vfio/pci/vfio_pci_config.c:1900 vfio_pci_config_rw+0x395/0x430 [vfio_pci_core] CPU: 118 UID: 0 PID: 5329 Comm: simx-qemu-syste Not tainted 6.12.0+ #1 (snip) Call Trace: <TASK> ? show_regs+0x69/0x80 ? __warn+0x8d/0x140 ? vfio_pci_config_rw+0x395/0x430 [vfio_pci_core] ? report_bug+0x18f/0x1a0 ? handle_bug+0x63/0xa0 ? exc_invalid_op+0x19/0x70 ? asm_exc_invalid_op+0x1b/0x20 ? vfio_pci_config_rw+0x395/0x430 [vfio_pci_core] ? vfio_pci_config_rw+0x244/0x430 [vfio_pci_core] vfio_pci_rw+0x101/0x1b0 [vfio_pci_core] vfio_pci_core_read+0x1d/0x30 [vfio_pci_core] vfio_device_fops_read+0x27/0x40 [vfio] vfs_read+0xbd/0x340 ? vfio_device_fops_unl_ioctl+0xbb/0x740 [vfio] ? __rseq_handle_notify_resume+0xa4/0x4b0 __x64_sys_pread64+0x96/0xc0 x64_sys_call+0x1c3d/0x20d0 do_syscall_64+0x4d/0x120 entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость компонентов vfio/pci ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: svcrdma: fix miss destroy percpu_counter in svc_rdma_proc_init() There's issue as follows: RPC: Registered rdma transport module. RPC: Registered rdma backchannel transport module. RPC: Unregistered rdma transport module. RPC: Unregistered rdma backchannel transport module. BUG: unable to handle page fault for address: fffffbfff80c609a PGD 123fee067 P4D 123fee067 PUD 123fea067 PMD 10c624067 PTE 0 Oops: Oops: 0000 [#1] PREEMPT SMP KASAN NOPTI RIP: 0010:percpu_counter_destroy_many+0xf7/0x2a0 Call Trace: <TASK> __die+0x1f/0x70 page_fault_oops+0x2cd/0x860 spurious_kernel_fault+0x36/0x450 do_kern_addr_fault+0xca/0x100 exc_page_fault+0x128/0x150 asm_exc_page_fault+0x26/0x30 percpu_counter_destroy_many+0xf7/0x2a0 mmdrop+0x209/0x350 finish_task_switch.isra.0+0x481/0x840 schedule_tail+0xe/0xd0 ret_from_fork+0x23/0x80 ret_from_fork_asm+0x1a/0x30 </TASK> If register_sysctl() return NULL, then svc_rdma_proc_cleanup() will not destroy the percpu counters which init in svc_rdma_proc_init(). If CONFIG_HOTPLUG_CPU is enabled, residual nodes may be in the 'percpu_counters' list. The above issue may occur once the module is removed. If the CONFIG_HOTPLUG_CPU configuration is not enabled, memory leakage occurs. To solve above issue just destroy all percpu counters when register_sysctl() return NULL. Уязвимость функции svc_rdma_proc_init() компонента net/sunrpc/xprtrdma/svc_rdma.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSD: Prevent NULL dereference in nfsd4_process_cb_update() @ses is initialized to NULL. If __nfsd4_find_backchannel() finds no available backchannel session, setup_callback_client() will try to dereference @ses and segfault. Уязвимость функции nfsd4_process_cb_update() компонента fs/nfsd/nfs4callback.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to account dirty data in __get_secs_required() It will trigger system panic w/ testcase in [1]: ------------[ cut here ]------------ kernel BUG at fs/f2fs/segment.c:2752! RIP: 0010:new_curseg+0xc81/0x2110 Call Trace: f2fs_allocate_data_block+0x1c91/0x4540 do_write_page+0x163/0xdf0 f2fs_outplace_write_data+0x1aa/0x340 f2fs_do_write_data_page+0x797/0x2280 f2fs_write_single_data_page+0x16cd/0x2190 f2fs_write_cache_pages+0x994/0x1c80 f2fs_write_data_pages+0x9cc/0xea0 do_writepages+0x194/0x7a0 filemap_fdatawrite_wbc+0x12b/0x1a0 __filemap_fdatawrite_range+0xbb/0xf0 file_write_and_wait_range+0xa1/0x110 f2fs_do_sync_file+0x26f/0x1c50 f2fs_sync_file+0x12b/0x1d0 vfs_fsync_range+0xfa/0x230 do_fsync+0x3d/0x80 __x64_sys_fsync+0x37/0x50 x64_sys_call+0x1e88/0x20d0 do_syscall_64+0x4b/0x110 entry_SYSCALL_64_after_hwframe+0x76/0x7e The root cause is if checkpoint_disabling and lfs_mode are both on, it will trigger OPU for all overwritten data, it may cost more free segment than expected, so f2fs must account those data correctly to calculate cosumed free segments later, and return ENOSPC earlier to avoid run out of free segment during block allocation. [1] https://lore.kernel.org/fstests/20241015025106.3203676-1-chao@kernel.org/ Уязвимость функции __get_secs_required() компонента fs/f2fs/segment.h ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: bfa: Fix use-after-free in bfad_im_module_exit() BUG: KASAN: slab-use-after-free in __lock_acquire+0x2aca/0x3a20 Read of size 8 at addr ffff8881082d80c8 by task modprobe/25303 Call Trace: <TASK> dump_stack_lvl+0x95/0xe0 print_report+0xcb/0x620 kasan_report+0xbd/0xf0 __lock_acquire+0x2aca/0x3a20 lock_acquire+0x19b/0x520 _raw_spin_lock+0x2b/0x40 attribute_container_unregister+0x30/0x160 fc_release_transport+0x19/0x90 [scsi_transport_fc] bfad_im_module_exit+0x23/0x60 [bfa] bfad_init+0xdb/0xff0 [bfa] do_one_initcall+0xdc/0x550 do_init_module+0x22d/0x6b0 load_module+0x4e96/0x5ff0 init_module_from_file+0xcd/0x130 idempotent_init_module+0x330/0x620 __x64_sys_finit_module+0xb3/0x110 do_syscall_64+0xc1/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> Allocated by task 25303: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x7f/0x90 fc_attach_transport+0x4f/0x4740 [scsi_transport_fc] bfad_im_module_init+0x17/0x80 [bfa] bfad_init+0x23/0xff0 [bfa] do_one_initcall+0xdc/0x550 do_init_module+0x22d/0x6b0 load_module+0x4e96/0x5ff0 init_module_from_file+0xcd/0x130 idempotent_init_module+0x330/0x620 __x64_sys_finit_module+0xb3/0x110 do_syscall_64+0xc1/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 25303: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3b/0x60 __kasan_slab_free+0x38/0x50 kfree+0x212/0x480 bfad_im_module_init+0x7e/0x80 [bfa] bfad_init+0x23/0xff0 [bfa] do_one_initcall+0xdc/0x550 do_init_module+0x22d/0x6b0 load_module+0x4e96/0x5ff0 init_module_from_file+0xcd/0x130 idempotent_init_module+0x330/0x620 __x64_sys_finit_module+0xb3/0x110 do_syscall_64+0xc1/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f Above issue happens as follows: bfad_init error = bfad_im_module_init() fc_release_transport(bfad_im_scsi_transport_template); if (error) goto ext; ext: bfad_im_module_exit(); fc_release_transport(bfad_im_scsi_transport_template); --> Trigger double release Don't call bfad_im_module_exit() if bfad_im_module_init() failed. Уязвимость функции bfad_init() модуля drivers/scsi/bfa/bfad.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cpufreq: CPPC: Fix possible null-ptr-deref for cppc_get_cpu_cost() cpufreq_cpu_get_raw() may return NULL if the cpu is not in policy->cpus cpu mask and it will cause null pointer dereference, so check NULL for cppc_get_cpu_cost(). Уязвимость функции cppc_get_cpu_cost() ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cpufreq: CPPC: Fix possible null-ptr-deref for cpufreq_cpu_get_raw() cpufreq_cpu_get_raw() may return NULL if the cpu is not in policy->cpus cpu mask and it will cause null pointer dereference. Уязвимость функции cpufreq_cpu_get_raw() ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: unicode: Fix utf8_load() error path utf8_load() requests the symbol "utf8_data_table" and then checks if the requested UTF-8 version is supported. If it's unsupported, it tries to put the data table using symbol_put(). If an unsupported version is requested, symbol_put() fails like this: kernel BUG at kernel/module/main.c:786! RIP: 0010:__symbol_put+0x93/0xb0 Call Trace: <TASK> ? __die_body.cold+0x19/0x27 ? die+0x2e/0x50 ? do_trap+0xca/0x110 ? do_error_trap+0x65/0x80 ? __symbol_put+0x93/0xb0 ? exc_invalid_op+0x51/0x70 ? __symbol_put+0x93/0xb0 ? asm_exc_invalid_op+0x1a/0x20 ? __pfx_cmp_name+0x10/0x10 ? __symbol_put+0x93/0xb0 ? __symbol_put+0x62/0xb0 utf8_load+0xf8/0x150 That happens because symbol_put() expects the unique string that identify the symbol, instead of a pointer to the loaded symbol. Fix that by using such string. Уязвимость ядра операционной системы Linux связана с ошибками преобразования типов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: fix use-after-free in device_for_each_child() Syzbot has reported the following KASAN splat: BUG: KASAN: slab-use-after-free in device_for_each_child+0x18f/0x1a0 Read of size 8 at addr ffff88801f605308 by task kbnepd bnep0/4980 CPU: 0 UID: 0 PID: 4980 Comm: kbnepd bnep0 Not tainted 6.12.0-rc4-00161-gae90f6a6170d #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-2.fc40 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x100/0x190 ? device_for_each_child+0x18f/0x1a0 print_report+0x13a/0x4cb ? __virt_addr_valid+0x5e/0x590 ? __phys_addr+0xc6/0x150 ? device_for_each_child+0x18f/0x1a0 kasan_report+0xda/0x110 ? device_for_each_child+0x18f/0x1a0 ? __pfx_dev_memalloc_noio+0x10/0x10 device_for_each_child+0x18f/0x1a0 ? __pfx_device_for_each_child+0x10/0x10 pm_runtime_set_memalloc_noio+0xf2/0x180 netdev_unregister_kobject+0x1ed/0x270 unregister_netdevice_many_notify+0x123c/0x1d80 ? __mutex_trylock_common+0xde/0x250 ? __pfx_unregister_netdevice_many_notify+0x10/0x10 ? trace_contention_end+0xe6/0x140 ? __mutex_lock+0x4e7/0x8f0 ? __pfx_lock_acquire.part.0+0x10/0x10 ? rcu_is_watching+0x12/0xc0 ? unregister_netdev+0x12/0x30 unregister_netdevice_queue+0x30d/0x3f0 ? __pfx_unregister_netdevice_queue+0x10/0x10 ? __pfx_down_write+0x10/0x10 unregister_netdev+0x1c/0x30 bnep_session+0x1fb3/0x2ab0 ? __pfx_bnep_session+0x10/0x10 ? __pfx_lock_release+0x10/0x10 ? __pfx_woken_wake_function+0x10/0x10 ? __kthread_parkme+0x132/0x200 ? __pfx_bnep_session+0x10/0x10 ? kthread+0x13a/0x370 ? __pfx_bnep_session+0x10/0x10 kthread+0x2b7/0x370 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x48/0x80 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Allocated by task 4974: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0xaa/0xb0 __kmalloc_noprof+0x1d1/0x440 hci_alloc_dev_priv+0x1d/0x2820 __vhci_create_device+0xef/0x7d0 vhci_write+0x2c7/0x480 vfs_write+0x6a0/0xfc0 ksys_write+0x12f/0x260 do_syscall_64+0xc7/0x250 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 4979: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3b/0x60 __kasan_slab_free+0x4f/0x70 kfree+0x141/0x490 hci_release_dev+0x4d9/0x600 bt_host_release+0x6a/0xb0 device_release+0xa4/0x240 kobject_put+0x1ec/0x5a0 put_device+0x1f/0x30 vhci_release+0x81/0xf0 __fput+0x3f6/0xb30 task_work_run+0x151/0x250 do_exit+0xa79/0x2c30 do_group_exit+0xd5/0x2a0 get_signal+0x1fcd/0x2210 arch_do_signal_or_restart+0x93/0x780 syscall_exit_to_user_mode+0x140/0x290 do_syscall_64+0xd4/0x250 entry_SYSCALL_64_after_hwframe+0x77/0x7f In 'hci_conn_del_sysfs()', 'device_unregister()' may be called when an underlying (kobject) reference counter is greater than 1. This means that reparenting (happened when the device is actually freed) is delayed and, during that delay, parent controller device (hciX) may be deleted. Since the latter may create a dangling pointer to freed parent, avoid that scenario by reparenting to NULL explicitly. Уязвимость компонента net/bluetooth/hci_sysfs.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: 6fire: Release resources at card release The current 6fire code tries to release the resources right after the call of usb6fire_chip_abort(). But at this moment, the card object might be still in use (as we're calling snd_card_free_when_closed()). For avoid potential UAFs, move the release of resources to the card's private_free instead of the manual call of usb6fire_chip_destroy() at the USB disconnect callback. Уязвимость компонента sound/usb/6fire ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xen/netfront: fix crash when removing device When removing a netfront device directly after a suspend/resume cycle it might happen that the queues have not been setup again, causing a crash during the attempt to stop the queues another time. Fix that by checking the queues are existing before trying to stop them. This is XSA-465 / CVE-2024-53240. Уязвимость драйвера xen-netfront (drivers/net/xen-netfront.c) гипервизора Xen операционных систем Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/xen: don't do PV iret hypercall through hypercall page Instead of jumping to the Xen hypercall page for doing the iret hypercall, directly code the required sequence in xen-asm.S. This is done in preparation of no longer using hypercall page at all, as it has shown to cause problems with speculation mitigations. This is part of XSA-466 / CVE-2024-53241. Уязвимость гипервизора Xen связана с некорректной последовательностью инструкций процессора в результате отсутствия инструкции ENDBR и пролога/эпилога для схем CFI на основе хэша. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipvs: fix UB due to uninitialized stack access in ip_vs_protocol_init() Under certain kernel configurations when building with Clang/LLVM, the compiler does not generate a return or jump as the terminator instruction for ip_vs_protocol_init(), triggering the following objtool warning during build time: vmlinux.o: warning: objtool: ip_vs_protocol_init() falls through to next function __initstub__kmod_ip_vs_rr__935_123_ip_vs_rr_init6() At runtime, this either causes an oops when trying to load the ipvs module or a boot-time panic if ipvs is built-in. This same issue has been reported by the Intel kernel test robot previously. Digging deeper into both LLVM and the kernel code reveals this to be a undefined behavior problem. ip_vs_protocol_init() uses a on-stack buffer of 64 chars to store the registered protocol names and leaves it uninitialized after definition. The function calls strnlen() when concatenating protocol names into the buffer. With CONFIG_FORTIFY_SOURCE strnlen() performs an extra step to check whether the last byte of the input char buffer is a null character (commit 3009f891bb9f ("fortify: Allow strlen() and strnlen() to pass compile-time known lengths")). This, together with possibly other configurations, cause the following IR to be generated: define hidden i32 @ip_vs_protocol_init() local_unnamed_addr #5 section ".init.text" align 16 !kcfi_type !29 { %1 = alloca [64 x i8], align 16 ... 14: ; preds = %11 %15 = getelementptr inbounds i8, ptr %1, i64 63 %16 = load i8, ptr %15, align 1 %17 = tail call i1 @llvm.is.constant.i8(i8 %16) %18 = icmp eq i8 %16, 0 %19 = select i1 %17, i1 %18, i1 false br i1 %19, label %20, label %23 20: ; preds = %14 %21 = call i64 @strlen(ptr noundef nonnull dereferenceable(1) %1) #23 ... 23: ; preds = %14, %11, %20 %24 = call i64 @strnlen(ptr noundef nonnull dereferenceable(1) %1, i64 noundef 64) #24 ... } The above code calculates the address of the last char in the buffer (value %15) and then loads from it (value %16). Because the buffer is never initialized, the LLVM GVN pass marks value %16 as undefined: %13 = getelementptr inbounds i8, ptr %1, i64 63 br i1 undef, label %14, label %17 This gives later passes (SCCP, in particular) more DCE opportunities by propagating the undef value further, and eventually removes everything after the load on the uninitialized stack location: define hidden i32 @ip_vs_protocol_init() local_unnamed_addr #0 section ".init.text" align 16 !kcfi_type !11 { %1 = alloca [64 x i8], align 16 ... 12: ; preds = %11 %13 = getelementptr inbounds i8, ptr %1, i64 63 unreachable } In this way, the generated native code will just fall through to the next function, as LLVM does not generate any code for the unreachable IR instruction and leaves the function without a terminator. Zero the on-stack buffer to avoid this possible UB. Уязвимость функции ip_vs_protocol_init() компонента net/netfilter/ipvs/ip_vs_proto.c ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: prevent use of deleted inode syzbot reported a WARNING in nilfs_rmdir. [1] Because the inode bitmap is corrupted, an inode with an inode number that should exist as a ".nilfs" file was reassigned by nilfs_mkdir for "file0", causing an inode duplication during execution. And this causes an underflow of i_nlink in rmdir operations. The inode is used twice by the same task to unmount and remove directories ".nilfs" and "file0", it trigger warning in nilfs_rmdir. Avoid to this issue, check i_nlink in nilfs_iget(), if it is 0, it means that this inode has been deleted, and iput is executed to reclaim it. [1] WARNING: CPU: 1 PID: 5824 at fs/inode.c:407 drop_nlink+0xc4/0x110 fs/inode.c:407 ... Call Trace: <TASK> nilfs_rmdir+0x1b0/0x250 fs/nilfs2/namei.c:342 vfs_rmdir+0x3a3/0x510 fs/namei.c:4394 do_rmdir+0x3b5/0x580 fs/namei.c:4453 __do_sys_rmdir fs/namei.c:4472 [inline] __se_sys_rmdir fs/namei.c:4470 [inline] __x64_sys_rmdir+0x47/0x50 fs/namei.c:4470 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента fs/nilfs2 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 webkit2gtk A cookie management issue was addressed with improved state management. This issue is fixed in Safari 18, iOS 18 and iPadOS 18, macOS Sequoia 15, tvOS 18, visionOS 2, watchOS 11. A malicious website may exfiltrate data cross-origin. Уязвимость модуля отображения веб-страниц WebKit браузера Safari операционных систем macOS, iOS, iPadOS, visionOS, tvOS и watchOS связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 18.2, iOS 18.2 and iPadOS 18.2, iPadOS 17.7.3, macOS Sequoia 15.2, tvOS 18.2, visionOS 2.2, watchOS 11.2. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 18.2, iOS 18.2 and iPadOS 18.2, iPadOS 17.7.6, macOS Sequoia 15.2, tvOS 18.2, visionOS 2.2, watchOS 11.2. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с чтением за границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A type confusion issue was addressed with improved memory handling. This issue is fixed in Safari 18.2, iOS 18.2 and iPadOS 18.2, iPadOS 17.7.3, macOS Sequoia 15.2, tvOS 18.2, visionOS 2.2, watchOS 11.2. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.2, iOS 18.2 and iPadOS 18.2, iPadOS 17.7.6, macOS Sequoia 15.2, tvOS 18.2, visionOS 2.2, watchOS 11.2. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.2, iOS 18.2 and iPadOS 18.2, iPadOS 17.7.6, macOS Sequoia 15.2, tvOS 18.2, visionOS 2.2, watchOS 11.2. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.2, iOS 18.2 and iPadOS 18.2, iPadOS 17.7.6, macOS Sequoia 15.2, tvOS 18.2, visionOS 2.2, watchOS 11.2. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 17.6, iOS 17.6 and iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3, watchOS 10.6. Processing web content may lead to a denial-of-service. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 socat readline.sh in socat before1.8.0.2 relies on the /tmp/$USER/stderr2 file. Уязвимость компонента readline.sh утилиты для переадресации сокетов socat связана с отслеживанием символьных ссылок UNIX. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перезаписывать произвольные файлы в системе [NistCWE(cwe='CWE-61')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Удалить или не использовать скрипт readline.sh (/usr/share/doc/socat/examples/readline.sh) - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 openssl Issue summary: Calling the OpenSSL API function SSL_select_next_proto with an empty supported client protocols buffer may cause a crash or memory contents to be sent to the peer. Impact summary: A buffer overread can have a range of potential consequences such as unexpected application beahviour or a crash. In particular this issue could result in up to 255 bytes of arbitrary private data from memory being sent to the peer leading to a loss of confidentiality. However, only applications that directly call the SSL_select_next_proto function with a 0 length list of supported client protocols are affected by this issue. This would normally never be a valid scenario and is typically not under attacker control but may occur by accident in the case of a configuration or programming error in the calling application. The OpenSSL API function SSL_select_next_proto is typically used by TLS applications that support ALPN (Application Layer Protocol Negotiation) or NPN (Next Protocol Negotiation). NPN is older, was never standardised and is deprecated in favour of ALPN. We believe that ALPN is significantly more widely deployed than NPN. The SSL_select_next_proto function accepts a list of protocols from the server and a list of protocols from the client and returns the first protocol that appears in the server list that also appears in the client list. In the case of no overlap between the two lists it returns the first item in the client list. In either case it will signal whether an overlap between the two lists was found. In the case where SSL_select_next_proto is called with a zero length client list it fails to notice this condition and returns the memory immediately following the client list pointer (and reports that there was no overlap in the lists). This function is typically called from a server side application callback for ALPN or a client side application callback for NPN. In the case of ALPN the list of protocols supplied by the client is guaranteed by libssl to never be zero in length. The list of server protocols comes from the application and should never normally be expected to be of zero length. In this case if the SSL_select_next_proto function has been called as expected (with the list supplied by the client passed in the client/client_len parameters), then the application will not be vulnerable to this issue. If the application has accidentally been configured with a zero length server list, and has accidentally passed that zero length server list in the client/client_len parameters, and has additionally failed to correctly handle a "no overlap" response (which would normally result in a handshake failure in ALPN) then it will be vulnerable to this problem. In the case of NPN, the protocol permits the client to opportunistically select a protocol when there is no overlap. OpenSSL returns the first client protocol in the no overlap case in support of this. The list of client protocols comes from the application and should never normally be expected to be of zero length. However if the SSL_select_next_proto function is accidentally called with a client_len of 0 then an invalid memory pointer will be returned instead. If the application uses this output as the opportunistic protocol then the loss of confidentiality will occur. This issue has been assessed as Low severity because applications are most likely to be vulnerable if they are using NPN instead of ALPN - but NPN is not widely used. It also requires an application configuration or programming error. Finally, this issue would not typically be under attacker control making active exploitation unlikely. The FIPS modules in 3.3, 3.2, 3.1 and 3.0 are not affected by this issue. Due to the low severity of this issue we are not issuing new releases of OpenSSL at this time. The fix will be included in the next releases when they become available. Уязвимость функции SSL_select_next_proto инструментария для протоколов TLS и SSL OpenSSL связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) Для нейтрализации угрозы эксплуатации уязвимости необходимо при использовании ПО openssl исключить вызовы SSL_select_next_proto с пустым списком клиентских протоколов. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Play nice with protected guests in complete_hypercall_exit() Use is_64_bit_hypercall() instead of is_64_bit_mode() to detect a 64-bit hypercall when completing said hypercall. For guests with protected state, e.g. SEV-ES and SEV-SNP, KVM must assume the hypercall was made in 64-bit mode as the vCPU state needed to detect 64-bit mode is unavailable. Hacking the sev_smoke_test selftest to generate a KVM_HC_MAP_GPA_RANGE hypercall via VMGEXIT trips the WARN: ------------[ cut here ]------------ WARNING: CPU: 273 PID: 326626 at arch/x86/kvm/x86.h:180 complete_hypercall_exit+0x44/0xe0 [kvm] Modules linked in: kvm_amd kvm ... [last unloaded: kvm] CPU: 273 UID: 0 PID: 326626 Comm: sev_smoke_test Not tainted 6.12.0-smp--392e932fa0f3-feat #470 Hardware name: Google Astoria/astoria, BIOS 0.20240617.0-0 06/17/2024 RIP: 0010:complete_hypercall_exit+0x44/0xe0 [kvm] Call Trace: <TASK> kvm_arch_vcpu_ioctl_run+0x2400/0x2720 [kvm] kvm_vcpu_ioctl+0x54f/0x630 [kvm] __se_sys_ioctl+0x6b/0xc0 do_syscall_64+0x83/0x160 entry_SYSCALL_64_after_hwframe+0x76/0x7e </TASK> ---[ end trace 0000000000000000 ]--- Уязвимость компонента arch/x86/kvm ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Drivers: hv: util: Avoid accessing a ringbuffer not initialized yet If the KVP (or VSS) daemon starts before the VMBus channel's ringbuffer is fully initialized, we can hit the panic below: hv_utils: Registering HyperV Utility Driver hv_vmbus: registering driver hv_utils ... BUG: kernel NULL pointer dereference, address: 0000000000000000 CPU: 44 UID: 0 PID: 2552 Comm: hv_kvp_daemon Tainted: G E 6.11.0-rc3+ #1 RIP: 0010:hv_pkt_iter_first+0x12/0xd0 Call Trace: ... vmbus_recvpacket hv_kvp_onchannelcallback vmbus_on_event tasklet_action_common tasklet_action handle_softirqs irq_exit_rcu sysvec_hyperv_stimer0 </IRQ> <TASK> asm_sysvec_hyperv_stimer0 ... kvp_register_done hvt_op_read vfs_read ksys_read __x64_sys_read This can happen because the KVP/VSS channel callback can be invoked even before the channel is fully opened: 1) as soon as hv_kvp_init() -> hvutil_transport_init() creates /dev/vmbus/hv_kvp, the kvp daemon can open the device file immediately and register itself to the driver by writing a message KVP_OP_REGISTER1 to the file (which is handled by kvp_on_msg() ->kvp_handle_handshake()) and reading the file for the driver's response, which is handled by hvt_op_read(), which calls hvt->on_read(), i.e. kvp_register_done(). 2) the problem with kvp_register_done() is that it can cause the channel callback to be called even before the channel is fully opened, and when the channel callback is starting to run, util_probe()-> vmbus_open() may have not initialized the ringbuffer yet, so the callback can hit the panic of NULL pointer dereference. To reproduce the panic consistently, we can add a "ssleep(10)" for KVP in __vmbus_open(), just before the first hv_ringbuffer_init(), and then we unload and reload the driver hv_utils, and run the daemon manually within the 10 seconds. Fix the panic by reordering the steps in util_probe() so the char dev entry used by the KVP or VSS daemon is not created until after vmbus_open() has completed. This reordering prevents the race condition from happening. Уязвимость компонентов hv_kvp.c, hv_snapshot.c, hv_util.c, hyperv_vmbus.h, hyperv.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 openvpn OpenVPN before 2.6.11 does not santize PUSH_REPLY messages properly which an attacker controlling the server can use to inject unexpected arbitrary data ending up in client logs. Уязвимость программного обеспечения OpenVPN связана с отсутствием неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-1287')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) openvpn: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска openvpn только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 jinja2 Jinja is an extensible templating engine. In versions on the 3.x branch prior to 3.1.5, a bug in the Jinja compiler allows an attacker that controls both the content and filename of a template to execute arbitrary Python code, regardless of if Jinja's sandbox is used. To exploit the vulnerability, an attacker needs to control both the filename and the contents of a template. Whether that is the case depends on the type of application using Jinja. This vulnerability impacts users of applications which execute untrusted templates where the template author can also choose the template filename. This vulnerability is fixed in 3.1.5. Уязвимость компилятора инструмента для html-шаблонизации jinja связана с неприятием мер по нейтрализации специальных управляющих элементов при обработке f-строк. Эксплуатация уязвимости может позволить нарушителю обойти защитный механизм песочницы, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-150')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) jinja2: - Удалить ПО jinja2, если оно не используется и не является зависимостью других пакетов - Использовать ПО jinja2 только на низком или отдельно выделенном уровне целостности - При использовании ПО jinja2 выполнять обработку файлов и данных, полученных только из доверенных источников - Обеспечить возможность запуска jinja2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 jinja2 Jinja is an extensible templating engine. Prior to 3.1.5, An oversight in how the Jinja sandboxed environment detects calls to str.format allows an attacker that controls the content of a template to execute arbitrary Python code. To exploit the vulnerability, an attacker needs to control the content of a template. Whether that is the case depends on the type of application using Jinja. This vulnerability impacts users of applications which execute untrusted templates. Jinja's sandbox does catch calls to str.format and ensures they don't escape the sandbox. However, it's possible to store a reference to a malicious string's format method, then pass that to a filter that calls it. No such filters are built-in to Jinja, but could be present through custom filters in an application. After the fix, such indirect calls are also handled by the sandbox. This vulnerability is fixed in 3.1.5. Уязвимость функции str.format шаблонизатора для языка программирования Python Jinja связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Использовать ПО jinja2 только на низком или отдельно выделенном уровне целостности - При использовании ПО jinja2 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска jinja2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной средыИспользовать ПО jinja2 только на низком или отдельно выделенном уровне целостности - При использовании ПО jinja2 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска jinja2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/modes: Avoid divide by zero harder in drm_mode_vrefresh() drm_mode_vrefresh() is trying to avoid divide by zero by checking whether htotal or vtotal are zero. But we may still end up with a div-by-zero of vtotal*htotal*... Уязвимость компонента drm_modes.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: caiaq: Use snd_card_free_when_closed() at disconnection The USB disconnect callback is supposed to be short and not too-long waiting. OTOH, the current code uses snd_card_free() at disconnection, but this waits for the close of all used fds, hence it can take long. It eventually blocks the upper layer USB ioctls, which may trigger a soft lockup. An easy workaround is to replace snd_card_free() with snd_card_free_when_closed(). This variant returns immediately while the release of resources is done asynchronously by the card device release at the last close. This patch also splits the code to the disconnect and the free phases; the former is called immediately at the USB disconnect callback while the latter is called from the card destructor. Уязвимость компонента sound/usb/caiaq ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: us122l: Use snd_card_free_when_closed() at disconnection The USB disconnect callback is supposed to be short and not too-long waiting. OTOH, the current code uses snd_card_free() at disconnection, but this waits for the close of all used fds, hence it can take long. It eventually blocks the upper layer USB ioctls, which may trigger a soft lockup. An easy workaround is to replace snd_card_free() with snd_card_free_when_closed(). This variant returns immediately while the release of resources is done asynchronously by the card device release at the last close. The loop of us122l->mmap_count check is dropped as well. The check is useless for the asynchronous operation with *_when_closed(). Уязвимость компонента sound/usb/usx2y/us122l.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usx2y: Use snd_card_free_when_closed() at disconnection The USB disconnect callback is supposed to be short and not too-long waiting. OTOH, the current code uses snd_card_free() at disconnection, but this waits for the close of all used fds, hence it can take long. It eventually blocks the upper layer USB ioctls, which may trigger a soft lockup. An easy workaround is to replace snd_card_free() with snd_card_free_when_closed(). This variant returns immediately while the release of resources is done asynchronously by the card device release at the last close. Уязвимость компонента sound/usb/usx2y/usbusx2y.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mwifiex: Fix memcpy() field-spanning write warning in mwifiex_config_scan() Replace one-element array with a flexible-array member in `struct mwifiex_ie_types_wildcard_ssid_params` to fix the following warning on a MT8173 Chromebook (mt8173-elm-hana): [ 356.775250] ------------[ cut here ]------------ [ 356.784543] memcpy: detected field-spanning write (size 6) of single field "wildcard_ssid_tlv->ssid" at drivers/net/wireless/marvell/mwifiex/scan.c:904 (size 1) [ 356.813403] WARNING: CPU: 3 PID: 742 at drivers/net/wireless/marvell/mwifiex/scan.c:904 mwifiex_scan_networks+0x4fc/0xf28 [mwifiex] The "(size 6)" above is exactly the length of the SSID of the network this device was connected to. The source of the warning looks like: ssid_len = user_scan_in->ssid_list[i].ssid_len; [...] memcpy(wildcard_ssid_tlv->ssid, user_scan_in->ssid_list[i].ssid, ssid_len); There is a #define WILDCARD_SSID_TLV_MAX_SIZE that uses sizeof() on this struct, but it already didn't account for the size of the one-element array, so it doesn't need to be changed. Уязвимость компонента drivers/net/wireless/marvell/mwifiex ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers: soc: xilinx: add the missing kfree in xlnx_add_cb_for_suspend() If we fail to allocate memory for cb_data by kmalloc, the memory allocation for eve_data is never freed, add the missing kfree() in the error handling path. Уязвимость функции xlnx_add_cb_for_suspend() компонента drivers/soc/xilinx/xlnx_event_manager.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hfsplus: don't query the device logical block size multiple times Devices block sizes may change. One of these cases is a loop device by using ioctl LOOP_SET_BLOCK_SIZE. While this may cause other issues like IO being rejected, in the case of hfsplus, it will allocate a block by using that size and potentially write out-of-bounds when hfsplus_read_wrapper calls hfsplus_submit_bio and the latter function reads a different io_size. Using a new min_io_size initally set to sb_min_blocksize works for the purposes of the original fix, since it will be set to the max between HFSPLUS_SECTOR_SIZE and the first seen logical block size. We still use the max between HFSPLUS_SECTOR_SIZE and min_io_size in case the latter is not initialized. Tested by mounting an hfsplus filesystem with loop block sizes 512, 1024 and 4096. The produced KASAN report before the fix looks like this: [ 419.944641] ================================================================== [ 419.945655] BUG: KASAN: slab-use-after-free in hfsplus_read_wrapper+0x659/0xa0a [ 419.946703] Read of size 2 at addr ffff88800721fc00 by task repro/10678 [ 419.947612] [ 419.947846] CPU: 0 UID: 0 PID: 10678 Comm: repro Not tainted 6.12.0-rc5-00008-gdf56e0f2f3ca #84 [ 419.949007] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.15.0-1 04/01/2014 [ 419.950035] Call Trace: [ 419.950384] <TASK> [ 419.950676] dump_stack_lvl+0x57/0x78 [ 419.951212] ? hfsplus_read_wrapper+0x659/0xa0a [ 419.951830] print_report+0x14c/0x49e [ 419.952361] ? __virt_addr_valid+0x267/0x278 [ 419.952979] ? kmem_cache_debug_flags+0xc/0x1d [ 419.953561] ? hfsplus_read_wrapper+0x659/0xa0a [ 419.954231] kasan_report+0x89/0xb0 [ 419.954748] ? hfsplus_read_wrapper+0x659/0xa0a [ 419.955367] hfsplus_read_wrapper+0x659/0xa0a [ 419.955948] ? __pfx_hfsplus_read_wrapper+0x10/0x10 [ 419.956618] ? do_raw_spin_unlock+0x59/0x1a9 [ 419.957214] ? _raw_spin_unlock+0x1a/0x2e [ 419.957772] hfsplus_fill_super+0x348/0x1590 [ 419.958355] ? hlock_class+0x4c/0x109 [ 419.958867] ? __pfx_hfsplus_fill_super+0x10/0x10 [ 419.959499] ? __pfx_string+0x10/0x10 [ 419.960006] ? lock_acquire+0x3e2/0x454 [ 419.960532] ? bdev_name.constprop.0+0xce/0x243 [ 419.961129] ? __pfx_bdev_name.constprop.0+0x10/0x10 [ 419.961799] ? pointer+0x3f0/0x62f [ 419.962277] ? __pfx_pointer+0x10/0x10 [ 419.962761] ? vsnprintf+0x6c4/0xfba [ 419.963178] ? __pfx_vsnprintf+0x10/0x10 [ 419.963621] ? setup_bdev_super+0x376/0x3b3 [ 419.964029] ? snprintf+0x9d/0xd2 [ 419.964344] ? __pfx_snprintf+0x10/0x10 [ 419.964675] ? lock_acquired+0x45c/0x5e9 [ 419.965016] ? set_blocksize+0x139/0x1c1 [ 419.965381] ? sb_set_blocksize+0x6d/0xae [ 419.965742] ? __pfx_hfsplus_fill_super+0x10/0x10 [ 419.966179] mount_bdev+0x12f/0x1bf [ 419.966512] ? __pfx_mount_bdev+0x10/0x10 [ 419.966886] ? vfs_parse_fs_string+0xce/0x111 [ 419.967293] ? __pfx_vfs_parse_fs_string+0x10/0x10 [ 419.967702] ? __pfx_hfsplus_mount+0x10/0x10 [ 419.968073] legacy_get_tree+0x104/0x178 [ 419.968414] vfs_get_tree+0x86/0x296 [ 419.968751] path_mount+0xba3/0xd0b [ 419.969157] ? __pfx_path_mount+0x10/0x10 [ 419.969594] ? kmem_cache_free+0x1e2/0x260 [ 419.970311] do_mount+0x99/0xe0 [ 419.970630] ? __pfx_do_mount+0x10/0x10 [ 419.971008] __do_sys_mount+0x199/0x1c9 [ 419.971397] do_syscall_64+0xd0/0x135 [ 419.971761] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 419.972233] RIP: 0033:0x7c3cb812972e [ 419.972564] Code: 48 8b 0d f5 46 0d 00 f7 d8 64 89 01 48 83 c8 ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa 49 89 ca b8 a5 00 00 00 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d c2 46 0d 00 f7 d8 64 89 01 48 [ 419.974371] RSP: 002b:00007ffe30632548 EFLAGS: 00000286 ORIG_RAX: 00000000000000a5 [ 419.975048] RAX: ffffffffffffffda RBX: 00007ffe306328d8 RCX: 00007c3cb812972e [ 419.975701] RDX: 0000000020000000 RSI: 0000000020000c80 RDI: ---truncated--- Уязвимость компонента fs/hfsplus ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: adc: ad7923: Fix buffer overflow for tx_buf and ring_xfer The AD7923 was updated to support devices with 8 channels, but the size of tx_buf and ring_xfer was not increased accordingly, leading to a potential buffer overflow in ad7923_update_scan_mode(). Уязвимость компонента drivers/iio/adc/ad7923.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: make sure exp active before svc_export_show The function `e_show` was called with protection from RCU. This only ensures that `exp` will not be freed. Therefore, the reference count for `exp` can drop to zero, which will trigger a refcount use-after-free warning when `exp_get` is called. To resolve this issue, use `cache_get_rcu` to ensure that `exp` remains active. ------------[ cut here ]------------ refcount_t: addition on 0; use-after-free. WARNING: CPU: 3 PID: 819 at lib/refcount.c:25 refcount_warn_saturate+0xb1/0x120 CPU: 3 UID: 0 PID: 819 Comm: cat Not tainted 6.12.0-rc3+ #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.1-2.fc37 04/01/2014 RIP: 0010:refcount_warn_saturate+0xb1/0x120 ... Call Trace: <TASK> e_show+0x20b/0x230 [nfsd] seq_read_iter+0x589/0x770 seq_read+0x1e5/0x270 vfs_read+0x125/0x530 ksys_read+0xc1/0x160 do_syscall_64+0x5f/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость компонента fs/nfsd ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i3c: master: Fix miss free init_dyn_addr at i3c_master_put_i3c_addrs() if (dev->boardinfo && dev->boardinfo->init_dyn_addr) ^^^ here check "init_dyn_addr" i3c_bus_set_addr_slot_status(&master->bus, dev->info.dyn_addr, ...) ^^^^ free "dyn_addr" Fix copy/paste error "dyn_addr" by replacing it with "init_dyn_addr". Уязвимость функции i3c_master_put_i3c_addrs() компонента drivers/i3c/master.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ad7780: fix division by zero in ad7780_write_raw() In the ad7780_write_raw() , val2 can be zero, which might lead to a division by zero error in DIV_ROUND_CLOSEST(). The ad7780_write_raw() is based on iio_info's write_raw. While val is explicitly declared that can be zero (in read mode), val2 is not specified to be non-zero. Уязвимость функции ad7780_write_raw() компонента ad7780 ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iommu/arm-smmu: Defer probe of clients after smmu device bound Null pointer dereference occurs due to a race between smmu driver probe and client driver probe, when of_dma_configure() for client is called after the iommu_device_register() for smmu driver probe has executed but before the driver_bound() for smmu driver has been called. Following is how the race occurs: T1:Smmu device probe T2: Client device probe really_probe() arm_smmu_device_probe() iommu_device_register() really_probe() platform_dma_configure() of_dma_configure() of_dma_configure_id() of_iommu_configure() iommu_probe_device() iommu_init_device() arm_smmu_probe_device() arm_smmu_get_by_fwnode() driver_find_device_by_fwnode() driver_find_device() next_device() klist_next() /* null ptr assigned to smmu */ /* null ptr dereference while smmu->streamid_mask */ driver_bound() klist_add_tail() When this null smmu pointer is dereferenced later in arm_smmu_probe_device, the device crashes. Fix this by deferring the probe of the client device until the smmu device has bound to the arm smmu driver. [will: Add comment] Уязвимость компонентов iommu/arm-smmu ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ftrace: Fix regression with module command in stack_trace_filter When executing the following command: # echo "write*:mod:ext3" > /sys/kernel/tracing/stack_trace_filter The current mod command causes a null pointer dereference. While commit 0f17976568b3f ("ftrace: Fix regression with module command in stack_trace_filter") has addressed part of the issue, it left a corner case unhandled, which still results in a kernel crash. Уязвимость компонента ftrace ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ovl: Filter invalid inodes with missing lookup function Add a check to the ovl_dentry_weird() function to prevent the processing of directory inodes that lack the lookup function. This is important because such inodes can cause errors in overlayfs when passed to the lowerstack. Уязвимость функции ovl_dentry_weird() компонента fs/overlayfs/util.c ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: platform: allegro-dvt: Fix possible memory leak in allocate_buffers_internal() The buffer in the loop should be released under the exception path, otherwise there may be a memory leak here. To mitigate this, free the buffer when allegro_alloc_buffer fails. Уязвимость функции allocate_buffers_internal() ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: ts2020: fix null-ptr-deref in ts2020_probe() KASAN reported a null-ptr-deref issue when executing the following command: # echo ts2020 0x20 > /sys/bus/i2c/devices/i2c-0/new_device KASAN: null-ptr-deref in range [0x0000000000000010-0x0000000000000017] CPU: 53 UID: 0 PID: 970 Comm: systemd-udevd Not tainted 6.12.0-rc2+ #24 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009) RIP: 0010:ts2020_probe+0xad/0xe10 [ts2020] RSP: 0018:ffffc9000abbf598 EFLAGS: 00010202 RAX: dffffc0000000000 RBX: 0000000000000000 RCX: ffffffffc0714809 RDX: 0000000000000002 RSI: ffff88811550be00 RDI: 0000000000000010 RBP: ffff888109868800 R08: 0000000000000001 R09: fffff52001577eb6 R10: 0000000000000000 R11: ffffc9000abbff50 R12: ffffffffc0714790 R13: 1ffff92001577eb8 R14: ffffffffc07190d0 R15: 0000000000000001 FS: 00007f95f13b98c0(0000) GS:ffff888149280000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000555d2634b000 CR3: 0000000152236000 CR4: 00000000000006f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ts2020_probe+0xad/0xe10 [ts2020] i2c_device_probe+0x421/0xb40 really_probe+0x266/0x850 ... The cause of the problem is that when using sysfs to dynamically register an i2c device, there is no platform data, but the probe process of ts2020 needs to use platform data, resulting in a null pointer being accessed. Solve this problem by adding checks to platform data. Уязвимость функции ts2020_probe() компонента ts2020 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: imx-jpeg: Ensure power suppliers be suspended before detach them The power suppliers are always requested to suspend asynchronously, dev_pm_domain_detach() requires the caller to ensure proper synchronization of this function with power management callbacks. otherwise the detach may led to kernel panic, like below: [ 1457.107934] Unable to handle kernel NULL pointer dereference at virtual address 0000000000000040 [ 1457.116777] Mem abort info: [ 1457.119589] ESR = 0x0000000096000004 [ 1457.123358] EC = 0x25: DABT (current EL), IL = 32 bits [ 1457.128692] SET = 0, FnV = 0 [ 1457.131764] EA = 0, S1PTW = 0 [ 1457.134920] FSC = 0x04: level 0 translation fault [ 1457.139812] Data abort info: [ 1457.142707] ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 [ 1457.148196] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 1457.153256] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 1457.158563] user pgtable: 4k pages, 48-bit VAs, pgdp=00000001138b6000 [ 1457.165000] [0000000000000040] pgd=0000000000000000, p4d=0000000000000000 [ 1457.171792] Internal error: Oops: 0000000096000004 [#1] PREEMPT SMP [ 1457.178045] Modules linked in: v4l2_jpeg wave6_vpu_ctrl(-) [last unloaded: mxc_jpeg_encdec] [ 1457.186383] CPU: 0 PID: 51938 Comm: kworker/0:3 Not tainted 6.6.36-gd23d64eea511 #66 [ 1457.194112] Hardware name: NXP i.MX95 19X19 board (DT) [ 1457.199236] Workqueue: pm pm_runtime_work [ 1457.203247] pstate: 60400009 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 1457.210188] pc : genpd_runtime_suspend+0x20/0x290 [ 1457.214886] lr : __rpm_callback+0x48/0x1d8 [ 1457.218968] sp : ffff80008250bc50 [ 1457.222270] x29: ffff80008250bc50 x28: 0000000000000000 x27: 0000000000000000 [ 1457.229394] x26: 0000000000000000 x25: 0000000000000008 x24: 00000000000f4240 [ 1457.236518] x23: 0000000000000000 x22: ffff00008590f0e4 x21: 0000000000000008 [ 1457.243642] x20: ffff80008099c434 x19: ffff00008590f000 x18: ffffffffffffffff [ 1457.250766] x17: 5300326563697665 x16: 645f676e696c6f6f x15: 63343a6d726f6674 [ 1457.257890] x14: 0000000000000004 x13: 00000000000003a4 x12: 0000000000000002 [ 1457.265014] x11: 0000000000000000 x10: 0000000000000a60 x9 : ffff80008250bbb0 [ 1457.272138] x8 : ffff000092937200 x7 : ffff0003fdf6af80 x6 : 0000000000000000 [ 1457.279262] x5 : 00000000410fd050 x4 : 0000000000200000 x3 : 0000000000000000 [ 1457.286386] x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff00008590f000 [ 1457.293510] Call trace: [ 1457.295946] genpd_runtime_suspend+0x20/0x290 [ 1457.300296] __rpm_callback+0x48/0x1d8 [ 1457.304038] rpm_callback+0x6c/0x78 [ 1457.307515] rpm_suspend+0x10c/0x570 [ 1457.311077] pm_runtime_work+0xc4/0xc8 [ 1457.314813] process_one_work+0x138/0x248 [ 1457.318816] worker_thread+0x320/0x438 [ 1457.322552] kthread+0x110/0x114 [ 1457.325767] ret_from_fork+0x10/0x20 Уязвимость компонента media ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: i2c: tc358743: Fix crash in the probe error path when using polling If an error occurs in the probe() function, we should remove the polling timer that was alarmed earlier, otherwise the timer is called with arguments that are already freed, which results in a crash. ------------[ cut here ]------------ WARNING: CPU: 3 PID: 0 at kernel/time/timer.c:1830 __run_timers+0x244/0x268 Modules linked in: CPU: 3 UID: 0 PID: 0 Comm: swapper/3 Not tainted 6.11.0 #226 Hardware name: Diasom DS-RK3568-SOM-EVB (DT) pstate: 804000c9 (Nzcv daIF +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : __run_timers+0x244/0x268 lr : __run_timers+0x1d4/0x268 sp : ffffff80eff2baf0 x29: ffffff80eff2bb50 x28: 7fffffffffffffff x27: ffffff80eff2bb00 x26: ffffffc080f669c0 x25: ffffff80efef6bf0 x24: ffffff80eff2bb00 x23: 0000000000000000 x22: dead000000000122 x21: 0000000000000000 x20: ffffff80efef6b80 x19: ffffff80041c8bf8 x18: ffffffffffffffff x17: ffffffc06f146000 x16: ffffff80eff27dc0 x15: 000000000000003e x14: 0000000000000000 x13: 00000000000054da x12: 0000000000000000 x11: 00000000000639c0 x10: 000000000000000c x9 : 0000000000000009 x8 : ffffff80eff2cb40 x7 : ffffff80eff2cb40 x6 : ffffff8002bee480 x5 : ffffffc080cb2220 x4 : ffffffc080cb2150 x3 : 00000000000f4240 x2 : 0000000000000102 x1 : ffffff80eff2bb00 x0 : ffffff80041c8bf0 Call trace:  __run_timers+0x244/0x268  timer_expire_remote+0x50/0x68  tmigr_handle_remote+0x388/0x39c  run_timer_softirq+0x38/0x44  handle_softirqs+0x138/0x298  __do_softirq+0x14/0x20  ____do_softirq+0x10/0x1c  call_on_irq_stack+0x24/0x4c  do_softirq_own_stack+0x1c/0x2c  irq_exit_rcu+0x9c/0xcc  el1_interrupt+0x48/0xc0  el1h_64_irq_handler+0x18/0x24  el1h_64_irq+0x7c/0x80  default_idle_call+0x34/0x68  do_idle+0x23c/0x294  cpu_startup_entry+0x38/0x3c  secondary_start_kernel+0x128/0x160  __secondary_switched+0xb8/0xbc ---[ end trace 0000000000000000 ]--- Уязвимость компонента drivers/media/i2c/tc358743.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: imx-jpeg: Set video drvdata before register video device The video drvdata should be set before the video device is registered, otherwise video_drvdata() may return NULL in the open() file ops, and led to oops. Уязвимость компонента mxc-jpeg.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: amphion: Set video drvdata before register video device The video drvdata should be set before the video device is registered, otherwise video_drvdata() may return NULL in the open() file ops, and led to oops. Уязвимость компонента vpu_v4l2.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: ref-verify: fix use-after-free after invalid ref action At btrfs_ref_tree_mod() after we successfully inserted the new ref entry (local variable 'ref') into the respective block entry's rbtree (local variable 'be'), if we find an unexpected action of BTRFS_DROP_DELAYED_REF, we error out and free the ref entry without removing it from the block entry's rbtree. Then in the error path of btrfs_ref_tree_mod() we call btrfs_free_ref_cache(), which iterates over all block entries and then calls free_block_entry() for each one, and there we will trigger a use-after-free when we are called against the block entry to which we added the freed ref entry to its rbtree, since the rbtree still points to the block entry, as we didn't remove it from the rbtree before freeing it in the error path at btrfs_ref_tree_mod(). Fix this by removing the new ref entry from the rbtree before freeing it. Syzbot report this with the following stack traces: BTRFS error (device loop0 state EA): Ref action 2, root 5, ref_root 0, parent 8564736, owner 0, offset 0, num_refs 18446744073709551615 __btrfs_mod_ref+0x7dd/0xac0 fs/btrfs/extent-tree.c:2523 update_ref_for_cow+0x9cd/0x11f0 fs/btrfs/ctree.c:512 btrfs_force_cow_block+0x9f6/0x1da0 fs/btrfs/ctree.c:594 btrfs_cow_block+0x35e/0xa40 fs/btrfs/ctree.c:754 btrfs_search_slot+0xbdd/0x30d0 fs/btrfs/ctree.c:2116 btrfs_insert_empty_items+0x9c/0x1a0 fs/btrfs/ctree.c:4314 btrfs_insert_empty_item fs/btrfs/ctree.h:669 [inline] btrfs_insert_orphan_item+0x1f1/0x320 fs/btrfs/orphan.c:23 btrfs_orphan_add+0x6d/0x1a0 fs/btrfs/inode.c:3482 btrfs_unlink+0x267/0x350 fs/btrfs/inode.c:4293 vfs_unlink+0x365/0x650 fs/namei.c:4469 do_unlinkat+0x4ae/0x830 fs/namei.c:4533 __do_sys_unlinkat fs/namei.c:4576 [inline] __se_sys_unlinkat fs/namei.c:4569 [inline] __x64_sys_unlinkat+0xcc/0xf0 fs/namei.c:4569 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f BTRFS error (device loop0 state EA): Ref action 1, root 5, ref_root 5, parent 0, owner 260, offset 0, num_refs 1 __btrfs_mod_ref+0x76b/0xac0 fs/btrfs/extent-tree.c:2521 update_ref_for_cow+0x96a/0x11f0 btrfs_force_cow_block+0x9f6/0x1da0 fs/btrfs/ctree.c:594 btrfs_cow_block+0x35e/0xa40 fs/btrfs/ctree.c:754 btrfs_search_slot+0xbdd/0x30d0 fs/btrfs/ctree.c:2116 btrfs_lookup_inode+0xdc/0x480 fs/btrfs/inode-item.c:411 __btrfs_update_delayed_inode+0x1e7/0xb90 fs/btrfs/delayed-inode.c:1030 btrfs_update_delayed_inode fs/btrfs/delayed-inode.c:1114 [inline] __btrfs_commit_inode_delayed_items+0x2318/0x24a0 fs/btrfs/delayed-inode.c:1137 __btrfs_run_delayed_items+0x213/0x490 fs/btrfs/delayed-inode.c:1171 btrfs_commit_transaction+0x8a8/0x3740 fs/btrfs/transaction.c:2313 prepare_to_relocate+0x3c4/0x4c0 fs/btrfs/relocation.c:3586 relocate_block_group+0x16c/0xd40 fs/btrfs/relocation.c:3611 btrfs_relocate_block_group+0x77d/0xd90 fs/btrfs/relocation.c:4081 btrfs_relocate_chunk+0x12c/0x3b0 fs/btrfs/volumes.c:3377 __btrfs_balance+0x1b0f/0x26b0 fs/btrfs/volumes.c:4161 btrfs_balance+0xbdc/0x10c0 fs/btrfs/volumes.c:4538 BTRFS error (device loop0 state EA): Ref action 2, root 5, ref_root 0, parent 8564736, owner 0, offset 0, num_refs 18446744073709551615 __btrfs_mod_ref+0x7dd/0xac0 fs/btrfs/extent-tree.c:2523 update_ref_for_cow+0x9cd/0x11f0 fs/btrfs/ctree.c:512 btrfs_force_cow_block+0x9f6/0x1da0 fs/btrfs/ctree.c:594 btrfs_cow_block+0x35e/0xa40 fs/btrfs/ctree.c:754 btrfs_search_slot+0xbdd/0x30d0 fs/btrfs/ctree.c:2116 btrfs_lookup_inode+0xdc/0x480 fs/btrfs/inode-item.c:411 __btrfs_update_delayed_inode+0x1e7/0xb90 fs/btrfs/delayed-inode.c:1030 btrfs_update_delayed_i ---truncated--- Уязвимость компонента fs/btrfs/ref-verify.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix use-after-free in btrfs_encoded_read_endio() Shinichiro reported the following use-after free that sometimes is happening in our CI system when running fstests' btrfs/284 on a TCMU runner device: BUG: KASAN: slab-use-after-free in lock_release+0x708/0x780 Read of size 8 at addr ffff888106a83f18 by task kworker/u80:6/219 CPU: 8 UID: 0 PID: 219 Comm: kworker/u80:6 Not tainted 6.12.0-rc6-kts+ #15 Hardware name: Supermicro Super Server/X11SPi-TF, BIOS 3.3 02/21/2020 Workqueue: btrfs-endio btrfs_end_bio_work [btrfs] Call Trace: <TASK> dump_stack_lvl+0x6e/0xa0 ? lock_release+0x708/0x780 print_report+0x174/0x505 ? lock_release+0x708/0x780 ? __virt_addr_valid+0x224/0x410 ? lock_release+0x708/0x780 kasan_report+0xda/0x1b0 ? lock_release+0x708/0x780 ? __wake_up+0x44/0x60 lock_release+0x708/0x780 ? __pfx_lock_release+0x10/0x10 ? __pfx_do_raw_spin_lock+0x10/0x10 ? lock_is_held_type+0x9a/0x110 _raw_spin_unlock_irqrestore+0x1f/0x60 __wake_up+0x44/0x60 btrfs_encoded_read_endio+0x14b/0x190 [btrfs] btrfs_check_read_bio+0x8d9/0x1360 [btrfs] ? lock_release+0x1b0/0x780 ? trace_lock_acquire+0x12f/0x1a0 ? __pfx_btrfs_check_read_bio+0x10/0x10 [btrfs] ? process_one_work+0x7e3/0x1460 ? lock_acquire+0x31/0xc0 ? process_one_work+0x7e3/0x1460 process_one_work+0x85c/0x1460 ? __pfx_process_one_work+0x10/0x10 ? assign_work+0x16c/0x240 worker_thread+0x5e6/0xfc0 ? __pfx_worker_thread+0x10/0x10 kthread+0x2c3/0x3a0 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x31/0x70 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Allocated by task 3661: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0xaa/0xb0 btrfs_encoded_read_regular_fill_pages+0x16c/0x6d0 [btrfs] send_extent_data+0xf0f/0x24a0 [btrfs] process_extent+0x48a/0x1830 [btrfs] changed_cb+0x178b/0x2ea0 [btrfs] btrfs_ioctl_send+0x3bf9/0x5c20 [btrfs] _btrfs_ioctl_send+0x117/0x330 [btrfs] btrfs_ioctl+0x184a/0x60a0 [btrfs] __x64_sys_ioctl+0x12e/0x1a0 do_syscall_64+0x95/0x180 entry_SYSCALL_64_after_hwframe+0x76/0x7e Freed by task 3661: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3b/0x70 __kasan_slab_free+0x4f/0x70 kfree+0x143/0x490 btrfs_encoded_read_regular_fill_pages+0x531/0x6d0 [btrfs] send_extent_data+0xf0f/0x24a0 [btrfs] process_extent+0x48a/0x1830 [btrfs] changed_cb+0x178b/0x2ea0 [btrfs] btrfs_ioctl_send+0x3bf9/0x5c20 [btrfs] _btrfs_ioctl_send+0x117/0x330 [btrfs] btrfs_ioctl+0x184a/0x60a0 [btrfs] __x64_sys_ioctl+0x12e/0x1a0 do_syscall_64+0x95/0x180 entry_SYSCALL_64_after_hwframe+0x76/0x7e The buggy address belongs to the object at ffff888106a83f00 which belongs to the cache kmalloc-rnd-07-96 of size 96 The buggy address is located 24 bytes inside of freed 96-byte region [ffff888106a83f00, ffff888106a83f60) The buggy address belongs to the physical page: page: refcount:1 mapcount:0 mapping:0000000000000000 index:0xffff888106a83800 pfn:0x106a83 flags: 0x17ffffc0000000(node=0|zone=2|lastcpupid=0x1fffff) page_type: f5(slab) raw: 0017ffffc0000000 ffff888100053680 ffffea0004917200 0000000000000004 raw: ffff888106a83800 0000000080200019 00000001f5000000 0000000000000000 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff888106a83e00: fa fb fb fb fb fb fb fb fb fb fb fb fc fc fc fc ffff888106a83e80: fa fb fb fb fb fb fb fb fb fb fb fb fc fc fc fc >ffff888106a83f00: fa fb fb fb fb fb fb fb fb fb fb fb fc fc fc fc ^ ffff888106a83f80: fa fb fb fb fb fb fb fb fb fb fb fb fc fc fc fc ffff888106a84000: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ================================================================== Further analyzing the trace and ---truncated--- Уязвимость компонента fs/btrfs/inode.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: io_uring/tctx: work around xa_store() allocation error issue syzbot triggered the following WARN_ON: WARNING: CPU: 0 PID: 16 at io_uring/tctx.c:51 __io_uring_free+0xfa/0x140 io_uring/tctx.c:51 which is the WARN_ON_ONCE(!xa_empty(&tctx->xa)); sanity check in __io_uring_free() when a io_uring_task is going through its final put. The syzbot test case includes injecting memory allocation failures, and it very much looks like xa_store() can fail one of its memory allocations and end up with ->head being non-NULL even though no entries exist in the xarray. Until this issue gets sorted out, work around it by attempting to iterate entries in our xarray, and WARN_ON_ONCE() if one is found. Уязвимость компонента io_uring/tctx.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix f2fs_bug_on when uninstalling filesystem call f2fs_evict_inode. creating a large files during checkpoint disable until it runs out of space and then delete it, then remount to enable checkpoint again, and then unmount the filesystem triggers the f2fs_bug_on as below: ------------[ cut here ]------------ kernel BUG at fs/f2fs/inode.c:896! CPU: 2 UID: 0 PID: 1286 Comm: umount Not tainted 6.11.0-rc7-dirty #360 Oops: invalid opcode: 0000 [#1] PREEMPT SMP NOPTI RIP: 0010:f2fs_evict_inode+0x58c/0x610 Call Trace: __die_body+0x15/0x60 die+0x33/0x50 do_trap+0x10a/0x120 f2fs_evict_inode+0x58c/0x610 do_error_trap+0x60/0x80 f2fs_evict_inode+0x58c/0x610 exc_invalid_op+0x53/0x60 f2fs_evict_inode+0x58c/0x610 asm_exc_invalid_op+0x16/0x20 f2fs_evict_inode+0x58c/0x610 evict+0x101/0x260 dispose_list+0x30/0x50 evict_inodes+0x140/0x190 generic_shutdown_super+0x2f/0x150 kill_block_super+0x11/0x40 kill_f2fs_super+0x7d/0x140 deactivate_locked_super+0x2a/0x70 cleanup_mnt+0xb3/0x140 task_work_run+0x61/0x90 The root cause is: creating large files during disable checkpoint period results in not enough free segments, so when writing back root inode will failed in f2fs_enable_checkpoint. When umount the file system after enabling checkpoint, the root inode is dirty in f2fs_evict_inode function, which triggers BUG_ON. The steps to reproduce are as follows: dd if=/dev/zero of=f2fs.img bs=1M count=55 mount f2fs.img f2fs_dir -o checkpoint=disable:10% dd if=/dev/zero of=big bs=1M count=50 sync rm big mount -o remount,checkpoint=enable f2fs_dir umount f2fs_dir Let's redirty inode when there is not free segments during checkpoint is disable. Уязвимость компонента fs/f2fs/inode.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: leds: class: Protect brightness_show() with led_cdev->led_access mutex There is NULL pointer issue observed if from Process A where hid device being added which results in adding a led_cdev addition and later a another call to access of led_cdev attribute from Process B can result in NULL pointer issue. Use mutex led_cdev->led_access to protect access to led->cdev and its attribute inside brightness_show() and max_brightness_show() and also update the comment for mutex that it should be used to protect the led class device fields. Process A Process B kthread+0x114 worker_thread+0x244 process_scheduled_works+0x248 uhid_device_add_worker+0x24 hid_add_device+0x120 device_add+0x268 bus_probe_device+0x94 device_initial_probe+0x14 __device_attach+0xfc bus_for_each_drv+0x10c __device_attach_driver+0x14c driver_probe_device+0x3c __driver_probe_device+0xa0 really_probe+0x190 hid_device_probe+0x130 ps_probe+0x990 ps_led_register+0x94 devm_led_classdev_register_ext+0x58 led_classdev_register_ext+0x1f8 device_create_with_groups+0x48 device_create_groups_vargs+0xc8 device_add+0x244 kobject_uevent+0x14 kobject_uevent_env[jt]+0x224 mutex_unlock[jt]+0xc4 __mutex_unlock_slowpath+0xd4 wake_up_q+0x70 try_to_wake_up[jt]+0x48c preempt_schedule_common+0x28 __schedule+0x628 __switch_to+0x174 el0t_64_sync+0x1a8/0x1ac el0t_64_sync_handler+0x68/0xbc el0_svc+0x38/0x68 do_el0_svc+0x1c/0x28 el0_svc_common+0x80/0xe0 invoke_syscall+0x58/0x114 __arm64_sys_read+0x1c/0x2c ksys_read+0x78/0xe8 vfs_read+0x1e0/0x2c8 kernfs_fop_read_iter+0x68/0x1b4 seq_read_iter+0x158/0x4ec kernfs_seq_show+0x44/0x54 sysfs_kf_seq_show+0xb4/0x130 dev_attr_show+0x38/0x74 brightness_show+0x20/0x4c dualshock4_led_get_brightness+0xc/0x74 [ 3313.874295][ T4013] Unable to handle kernel NULL pointer dereference at virtual address 0000000000000060 [ 3313.874301][ T4013] Mem abort info: [ 3313.874303][ T4013] ESR = 0x0000000096000006 [ 3313.874305][ T4013] EC = 0x25: DABT (current EL), IL = 32 bits [ 3313.874307][ T4013] SET = 0, FnV = 0 [ 3313.874309][ T4013] EA = 0, S1PTW = 0 [ 3313.874311][ T4013] FSC = 0x06: level 2 translation fault [ 3313.874313][ T4013] Data abort info: [ 3313.874314][ T4013] ISV = 0, ISS = 0x00000006, ISS2 = 0x00000000 [ 3313.874316][ T4013] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 3313.874318][ T4013] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 3313.874320][ T4013] user pgtable: 4k pages, 39-bit VAs, pgdp=00000008f2b0a000 .. [ 3313.874332][ T4013] Dumping ftrace buffer: [ 3313.874334][ T4013] (ftrace buffer empty) .. .. [ dd3313.874639][ T4013] CPU: 6 PID: 4013 Comm: InputReader [ 3313.874648][ T4013] pc : dualshock4_led_get_brightness+0xc/0x74 [ 3313.874653][ T4013] lr : led_update_brightness+0x38/0x60 [ 3313.874656][ T4013] sp : ffffffc0b910bbd0 .. .. [ 3313.874685][ T4013] Call trace: [ 3313.874687][ T4013] dualshock4_led_get_brightness+0xc/0x74 [ 3313.874690][ T4013] brightness_show+0x20/0x4c [ 3313.874692][ T4013] dev_attr_show+0x38/0x74 [ 3313.874696][ T4013] sysfs_kf_seq_show+0xb4/0x130 [ 3313.874700][ T4013] kernfs_seq_show+0x44/0x54 [ 3313.874703][ T4013] seq_read_iter+0x158/0x4ec [ 3313.874705][ T4013] kernfs_fop_read_iter+0x68/0x1b4 [ 3313.874708][ T4013] vfs_read+0x1e0/0x2c8 [ 3313.874711][ T4013] ksys_read+0x78/0xe8 [ 3313.874714][ T4013] __arm64_sys_read+0x1c/0x2c [ 3313.874718][ T4013] invoke_syscall+0x58/0x114 [ 3313.874721][ T4013] el0_svc_common+0x80/0xe0 [ 3313.874724][ T4013] do_el0_svc+0x1c/0x28 [ 3313.874727][ T4013] el0_svc+0x38/0x68 [ 3313.874730][ T4013] el0t_64_sync_handler+0x68/0xbc [ 3313.874732][ T4013] el0t_64_sync+0x1a8/0x1ac Уязвимость компонента drivers/leds ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: hisi_sas: Add cond_resched() for no forced preemption model For no forced preemption model kernel, in the scenario where the expander is connected to 12 high performance SAS SSDs, the following call trace may occur: [ 214.409199][ C240] watchdog: BUG: soft lockup - CPU#240 stuck for 22s! [irq/149-hisi_sa:3211] [ 214.568533][ C240] pstate: 60400009 (nZCv daif +PAN -UAO -TCO BTYPE=--) [ 214.575224][ C240] pc : fput_many+0x8c/0xdc [ 214.579480][ C240] lr : fput+0x1c/0xf0 [ 214.583302][ C240] sp : ffff80002de2b900 [ 214.587298][ C240] x29: ffff80002de2b900 x28: ffff1082aa412000 [ 214.593291][ C240] x27: ffff3062a0348c08 x26: ffff80003a9f6000 [ 214.599284][ C240] x25: ffff1062bbac5c40 x24: 0000000000001000 [ 214.605277][ C240] x23: 000000000000000a x22: 0000000000000001 [ 214.611270][ C240] x21: 0000000000001000 x20: 0000000000000000 [ 214.617262][ C240] x19: ffff3062a41ae580 x18: 0000000000010000 [ 214.623255][ C240] x17: 0000000000000001 x16: ffffdb3a6efe5fc0 [ 214.629248][ C240] x15: ffffffffffffffff x14: 0000000003ffffff [ 214.635241][ C240] x13: 000000000000ffff x12: 000000000000029c [ 214.641234][ C240] x11: 0000000000000006 x10: ffff80003a9f7fd0 [ 214.647226][ C240] x9 : ffffdb3a6f0482fc x8 : 0000000000000001 [ 214.653219][ C240] x7 : 0000000000000002 x6 : 0000000000000080 [ 214.659212][ C240] x5 : ffff55480ee9b000 x4 : fffffde7f94c6554 [ 214.665205][ C240] x3 : 0000000000000002 x2 : 0000000000000020 [ 214.671198][ C240] x1 : 0000000000000021 x0 : ffff3062a41ae5b8 [ 214.677191][ C240] Call trace: [ 214.680320][ C240] fput_many+0x8c/0xdc [ 214.684230][ C240] fput+0x1c/0xf0 [ 214.687707][ C240] aio_complete_rw+0xd8/0x1fc [ 214.692225][ C240] blkdev_bio_end_io+0x98/0x140 [ 214.696917][ C240] bio_endio+0x160/0x1bc [ 214.701001][ C240] blk_update_request+0x1c8/0x3bc [ 214.705867][ C240] scsi_end_request+0x3c/0x1f0 [ 214.710471][ C240] scsi_io_completion+0x7c/0x1a0 [ 214.715249][ C240] scsi_finish_command+0x104/0x140 [ 214.720200][ C240] scsi_softirq_done+0x90/0x180 [ 214.724892][ C240] blk_mq_complete_request+0x5c/0x70 [ 214.730016][ C240] scsi_mq_done+0x48/0xac [ 214.734194][ C240] sas_scsi_task_done+0xbc/0x16c [libsas] [ 214.739758][ C240] slot_complete_v3_hw+0x260/0x760 [hisi_sas_v3_hw] [ 214.746185][ C240] cq_thread_v3_hw+0xbc/0x190 [hisi_sas_v3_hw] [ 214.752179][ C240] irq_thread_fn+0x34/0xa4 [ 214.756435][ C240] irq_thread+0xc4/0x130 [ 214.760520][ C240] kthread+0x108/0x13c [ 214.764430][ C240] ret_from_fork+0x10/0x18 This is because in the hisi_sas driver, both the hardware interrupt handler and the interrupt thread are executed on the same CPU. In the performance test scenario, function irq_wait_for_interrupt() will always return 0 if lots of interrupts occurs and the CPU will be continuously consumed. As a result, the CPU cannot run the watchdog thread. When the watchdog time exceeds the specified time, call trace occurs. To fix it, add cond_resched() to execute the watchdog thread. Уязвимость компонента drivers/scsi/hisi_sas ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_core: Fix not checking skb length on hci_acldata_packet This fixes not checking if skb really contains an ACL header otherwise the code may attempt to access some uninitilized/invalid memory past the valid skb->data. Уязвимость компонента net/bluetooth/hci_core.c ядра операционной системы Linux связана с чрезмерным потреблением ресурсов в цикле. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=7.6) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: brcmfmac: Fix oops due to NULL pointer dereference in brcmf_sdiod_sglist_rw() This patch fixes a NULL pointer dereference bug in brcmfmac that occurs when a high 'sd_sgentry_align' value applies (e.g. 512) and a lot of queued SKBs are sent from the pkt queue. The problem is the number of entries in the pre-allocated sgtable, it is nents = max(rxglom_size, txglom_size) + max(rxglom_size, txglom_size) >> 4 + 1. Given the default [rt]xglom_size=32 it's actually 35 which is too small. Worst case, the pkt queue can end up with 64 SKBs. This occurs when a new SKB is added for each original SKB if tailroom isn't enough to hold tail_pad. At least one sg entry is needed for each SKB. So, eventually the "skb_queue_walk loop" in brcmf_sdiod_sglist_rw may run out of sg entries. This makes sg_next return NULL and this causes the oops. The patch sets nents to max(rxglom_size, txglom_size) * 2 to be able handle the worst-case. Btw. this requires only 64-35=29 * 16 (or 20 if CONFIG_NEED_SG_DMA_LENGTH) = 464 additional bytes of memory. Уязвимость компонента bcmsdh.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: set the right AMDGPU sg segment limitation The driver needs to set the correct max_segment_size; otherwise debug_dma_map_sg() will complain about the over-mapping of the AMDGPU sg length as following: WARNING: CPU: 6 PID: 1964 at kernel/dma/debug.c:1178 debug_dma_map_sg+0x2dc/0x370 [ 364.049444] Modules linked in: veth amdgpu(OE) amdxcp drm_exec gpu_sched drm_buddy drm_ttm_helper ttm(OE) drm_suballoc_helper drm_display_helper drm_kms_helper i2c_algo_bit rpcsec_gss_krb5 auth_rpcgss nfsv4 nfs lockd grace netfs xt_conntrack xt_MASQUERADE nf_conntrack_netlink xfrm_user xfrm_algo iptable_nat xt_addrtype iptable_filter br_netfilter nvme_fabrics overlay nfnetlink_cttimeout nfnetlink openvswitch nsh nf_conncount nf_nat nf_conntrack nf_defrag_ipv6 nf_defrag_ipv4 libcrc32c bridge stp llc amd_atl intel_rapl_msr intel_rapl_common sunrpc sch_fq_codel snd_hda_codec_realtek snd_hda_codec_generic snd_hda_scodec_component snd_hda_codec_hdmi snd_hda_intel snd_intel_dspcfg edac_mce_amd binfmt_misc snd_hda_codec snd_pci_acp6x snd_hda_core snd_acp_config snd_hwdep snd_soc_acpi kvm_amd snd_pcm kvm snd_seq_midi snd_seq_midi_event crct10dif_pclmul ghash_clmulni_intel sha512_ssse3 snd_rawmidi sha256_ssse3 sha1_ssse3 aesni_intel snd_seq nls_iso8859_1 crypto_simd snd_seq_device cryptd snd_timer rapl input_leds snd [ 364.049532] ipmi_devintf wmi_bmof ccp serio_raw k10temp sp5100_tco soundcore ipmi_msghandler cm32181 industrialio mac_hid msr parport_pc ppdev lp parport drm efi_pstore ip_tables x_tables pci_stub crc32_pclmul nvme ahci libahci i2c_piix4 r8169 nvme_core i2c_designware_pci realtek i2c_ccgx_ucsi video wmi hid_generic cdc_ether usbnet usbhid hid r8152 mii [ 364.049576] CPU: 6 PID: 1964 Comm: rocminfo Tainted: G OE 6.10.0-custom #492 [ 364.049579] Hardware name: AMD Majolica-RN/Majolica-RN, BIOS RMJ1009A 06/13/2021 [ 364.049582] RIP: 0010:debug_dma_map_sg+0x2dc/0x370 [ 364.049585] Code: 89 4d b8 e8 36 b1 86 00 8b 4d b8 48 8b 55 b0 44 8b 45 a8 4c 8b 4d a0 48 89 c6 48 c7 c7 00 4b 74 bc 4c 89 4d b8 e8 b4 73 f3 ff <0f> 0b 4c 8b 4d b8 8b 15 c8 2c b8 01 85 d2 0f 85 ee fd ff ff 8b 05 [ 364.049588] RSP: 0018:ffff9ca600b57ac0 EFLAGS: 00010286 [ 364.049590] RAX: 0000000000000000 RBX: ffff88b7c132b0c8 RCX: 0000000000000027 [ 364.049592] RDX: ffff88bb0f521688 RSI: 0000000000000001 RDI: ffff88bb0f521680 [ 364.049594] RBP: ffff9ca600b57b20 R08: 000000000000006f R09: ffff9ca600b57930 [ 364.049596] R10: ffff9ca600b57928 R11: ffffffffbcb46328 R12: 0000000000000000 [ 364.049597] R13: 0000000000000001 R14: ffff88b7c19c0700 R15: ffff88b7c9059800 [ 364.049599] FS: 00007fb2d3516e80(0000) GS:ffff88bb0f500000(0000) knlGS:0000000000000000 [ 364.049601] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 364.049603] CR2: 000055610bd03598 CR3: 00000001049f6000 CR4: 0000000000350ef0 [ 364.049605] Call Trace: [ 364.049607] <TASK> [ 364.049609] ? show_regs+0x6d/0x80 [ 364.049614] ? __warn+0x8c/0x140 [ 364.049618] ? debug_dma_map_sg+0x2dc/0x370 [ 364.049621] ? report_bug+0x193/0x1a0 [ 364.049627] ? handle_bug+0x46/0x80 [ 364.049631] ? exc_invalid_op+0x1d/0x80 [ 364.049635] ? asm_exc_invalid_op+0x1f/0x30 [ 364.049642] ? debug_dma_map_sg+0x2dc/0x370 [ 364.049647] __dma_map_sg_attrs+0x90/0xe0 [ 364.049651] dma_map_sgtable+0x25/0x40 [ 364.049654] amdgpu_bo_move+0x59a/0x850 [amdgpu] [ 364.049935] ? srso_return_thunk+0x5/0x5f [ 364.049939] ? amdgpu_ttm_tt_populate+0x5d/0xc0 [amdgpu] [ 364.050095] ttm_bo_handle_move_mem+0xc3/0x180 [ttm] [ 364.050103] ttm_bo_validate+0xc1/0x160 [ttm] [ 364.050108] ? amdgpu_ttm_tt_get_user_pages+0xe5/0x1b0 [amdgpu] [ 364.050263] amdgpu_amdkfd_gpuvm_alloc_memory_of_gpu+0xa12/0xc90 [amdgpu] [ 364.050473] kfd_ioctl_alloc_memory_of_gpu+0x16b/0x3b0 [amdgpu] [ 364.050680] kfd_ioctl+0x3c2/0x530 [amdgpu] [ 364.050866] ? __pfx_kfd_ioctl_alloc_memory_of_gpu+0x10/0x10 [amdgpu] [ 364.05105 ---truncated--- Уязвимость компонента drivers/gpu/drm/amd/amdgpu ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: add a check to prevent array-index-out-of-bounds in dbAdjTree When the value of lp is 0 at the beginning of the for loop, it will become negative in the next assignment and we should bail out. Уязвимость компонента fs/jfs/jfs_dmap.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: fix array-index-out-of-bounds in jfs_readdir The stbl might contain some invalid values. Added a check to return error code in that case. Уязвимость функции jfs_readdir() компонента fs/jfs/jfs_dtree.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: fix shift-out-of-bounds in dbSplit When dmt_budmin is less than zero, it causes errors in the later stages. Added a check to return an error beforehand in dbAllocCtl itself. Уязвимость компонента fs/jfs ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: array-index-out-of-bounds fix in dtReadFirst The value of stbl can be sometimes out of bounds due to a bad filesystem. Added a check with appopriate return of error code in that case. Уязвимость функции dtReadFirst() компонента fs/jfs/jfs_dtree.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: inet6: do not leave a dangling sk pointer in inet6_create() sock_init_data() attaches the allocated sk pointer to the provided sock object. If inet6_create() fails later, the sk object is released, but the sock object retains the dangling sk pointer, which may cause use-after-free later. Clear the sock sk pointer on error. Уязвимость компонента net/ipv6/af_inet6.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: inet: do not leave a dangling sk pointer in inet_create() sock_init_data() attaches the allocated sk object to the provided sock object. If inet_create() fails later, the sk object is freed, but the sock object retains the dangling pointer, which may create use-after-free later. Clear the sk pointer in the sock object on error. Уязвимость компонента net/ipv4/af_inet.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ieee802154: do not leave a dangling sk pointer in ieee802154_create() sock_init_data() attaches the allocated sk object to the provided sock object. If ieee802154_create() fails later, the allocated sk object is freed, but the dangling pointer remains in the provided sock object, which may allow use-after-free. Clear the sk pointer in the sock object on error. Уязвимость компонента net/ieee802154/socket.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: af_can: do not leave a dangling sk pointer in can_create() On error can_create() frees the allocated sk object, but sock_init_data() has already attached it to the provided sock object. This will leave a dangling sk pointer in the sock object and may cause use-after-free later. Уязвимость компонента net/can/af_can.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: L2CAP: do not leave dangling sk pointer on error in l2cap_sock_create() bt_sock_alloc() allocates the sk object and attaches it to the provided sock object. On error l2cap_sock_alloc() frees the sk object, but the dangling pointer is still attached to the sock object, which may create use-after-free in other code. Уязвимость функций l2cap_sock_create() и bt_sock_alloc() компонента net/bluetooth/l2cap_sock.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: af_packet: avoid erroring out after sock_init_data() in packet_create() After sock_init_data() the allocated sk object is attached to the provided sock object. On error, packet_create() frees the sk object leaving the dangling pointer in the sock object on return. Some other code may try to use this pointer and cause use-after-free. Уязвимость компонента af_packet.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kcsan: Turn report_filterlist_lock into a raw_spinlock Ran Xiaokai reports that with a KCSAN-enabled PREEMPT_RT kernel, we can see splats like: | BUG: sleeping function called from invalid context at kernel/locking/spinlock_rt.c:48 | in_atomic(): 1, irqs_disabled(): 1, non_block: 0, pid: 0, name: swapper/1 | preempt_count: 10002, expected: 0 | RCU nest depth: 0, expected: 0 | no locks held by swapper/1/0. | irq event stamp: 156674 | hardirqs last enabled at (156673): [<ffffffff81130bd9>] do_idle+0x1f9/0x240 | hardirqs last disabled at (156674): [<ffffffff82254f84>] sysvec_apic_timer_interrupt+0x14/0xc0 | softirqs last enabled at (0): [<ffffffff81099f47>] copy_process+0xfc7/0x4b60 | softirqs last disabled at (0): [<0000000000000000>] 0x0 | Preemption disabled at: | [<ffffffff814a3e2a>] paint_ptr+0x2a/0x90 | CPU: 1 UID: 0 PID: 0 Comm: swapper/1 Not tainted 6.11.0+ #3 | Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.12.0-0-ga698c8995f-prebuilt.qemu.org 04/01/2014 | Call Trace: | <IRQ> | dump_stack_lvl+0x7e/0xc0 | dump_stack+0x1d/0x30 | __might_resched+0x1a2/0x270 | rt_spin_lock+0x68/0x170 | kcsan_skip_report_debugfs+0x43/0xe0 | print_report+0xb5/0x590 | kcsan_report_known_origin+0x1b1/0x1d0 | kcsan_setup_watchpoint+0x348/0x650 | __tsan_unaligned_write1+0x16d/0x1d0 | hrtimer_interrupt+0x3d6/0x430 | __sysvec_apic_timer_interrupt+0xe8/0x3a0 | sysvec_apic_timer_interrupt+0x97/0xc0 | </IRQ> On a detected data race, KCSAN's reporting logic checks if it should filter the report. That list is protected by the report_filterlist_lock *non-raw* spinlock which may sleep on RT kernels. Since KCSAN may report data races in any context, convert it to a raw_spinlock. This requires being careful about when to allocate memory for the filter list itself which can be done via KCSAN's debugfs interface. Concurrent modification of the filter list via debugfs should be rare: the chosen strategy is to optimistically pre-allocate memory before the critical section and discard if unused. Уязвимость компонента kernel/kcsan ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xsk: fix OOB map writes when deleting elements Jordy says: " In the xsk_map_delete_elem function an unsigned integer (map->max_entries) is compared with a user-controlled signed integer (k). Due to implicit type conversion, a large unsigned value for map->max_entries can bypass the intended bounds check: if (k >= map->max_entries) return -EINVAL; This allows k to hold a negative value (between -2147483648 and -2), which is then used as an array index in m->xsk_map[k], which results in an out-of-bounds access. spin_lock_bh(&m->lock); map_entry = &m->xsk_map[k]; // Out-of-bounds map_entry old_xs = unrcu_pointer(xchg(map_entry, NULL)); // Oob write if (old_xs) xsk_map_sock_delete(old_xs, map_entry); spin_unlock_bh(&m->lock); The xchg operation can then be used to cause an out-of-bounds write. Moreover, the invalid map_entry passed to xsk_map_sock_delete can lead to further memory corruption. " It indeed results in following splat: [76612.897343] BUG: unable to handle page fault for address: ffffc8fc2e461108 [76612.904330] #PF: supervisor write access in kernel mode [76612.909639] #PF: error_code(0x0002) - not-present page [76612.914855] PGD 0 P4D 0 [76612.917431] Oops: Oops: 0002 [#1] PREEMPT SMP [76612.921859] CPU: 11 UID: 0 PID: 10318 Comm: a.out Not tainted 6.12.0-rc1+ #470 [76612.929189] Hardware name: Intel Corporation S2600WFT/S2600WFT, BIOS SE5C620.86B.02.01.0008.031920191559 03/19/2019 [76612.939781] RIP: 0010:xsk_map_delete_elem+0x2d/0x60 [76612.944738] Code: 00 00 41 54 55 53 48 63 2e 3b 6f 24 73 38 4c 8d a7 f8 00 00 00 48 89 fb 4c 89 e7 e8 2d bf 05 00 48 8d b4 eb 00 01 00 00 31 ff <48> 87 3e 48 85 ff 74 05 e8 16 ff ff ff 4c 89 e7 e8 3e bc 05 00 31 [76612.963774] RSP: 0018:ffffc9002e407df8 EFLAGS: 00010246 [76612.969079] RAX: 0000000000000000 RBX: ffffc9002e461000 RCX: 0000000000000000 [76612.976323] RDX: 0000000000000001 RSI: ffffc8fc2e461108 RDI: 0000000000000000 [76612.983569] RBP: ffffffff80000001 R08: 0000000000000000 R09: 0000000000000007 [76612.990812] R10: ffffc9002e407e18 R11: ffff888108a38858 R12: ffffc9002e4610f8 [76612.998060] R13: ffff888108a38858 R14: 00007ffd1ae0ac78 R15: ffffc9002e4610c0 [76613.005303] FS: 00007f80b6f59740(0000) GS:ffff8897e0ec0000(0000) knlGS:0000000000000000 [76613.013517] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [76613.019349] CR2: ffffc8fc2e461108 CR3: 000000011e3ef001 CR4: 00000000007726f0 [76613.026595] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [76613.033841] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [76613.041086] PKRU: 55555554 [76613.043842] Call Trace: [76613.046331] <TASK> [76613.048468] ? __die+0x20/0x60 [76613.051581] ? page_fault_oops+0x15a/0x450 [76613.055747] ? search_extable+0x22/0x30 [76613.059649] ? search_bpf_extables+0x5f/0x80 [76613.063988] ? exc_page_fault+0xa9/0x140 [76613.067975] ? asm_exc_page_fault+0x22/0x30 [76613.072229] ? xsk_map_delete_elem+0x2d/0x60 [76613.076573] ? xsk_map_delete_elem+0x23/0x60 [76613.080914] __sys_bpf+0x19b7/0x23c0 [76613.084555] __x64_sys_bpf+0x1a/0x20 [76613.088194] do_syscall_64+0x37/0xb0 [76613.091832] entry_SYSCALL_64_after_hwframe+0x4b/0x53 [76613.096962] RIP: 0033:0x7f80b6d1e88d [76613.100592] Code: 5b 41 5c c3 66 0f 1f 84 00 00 00 00 00 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d 73 b5 0f 00 f7 d8 64 89 01 48 [76613.119631] RSP: 002b:00007ffd1ae0ac68 EFLAGS: 00000206 ORIG_RAX: 0000000000000141 [76613.131330] RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007f80b6d1e88d [76613.142632] RDX: 0000000000000098 RSI: 00007ffd1ae0ad20 RDI: 0000000000000003 [76613.153967] RBP: 00007ffd1ae0adc0 R08: 0000000000000000 R09: 0000000000000000 [76613.166030] R10: 00007f80b6f77040 R11: 0000000000000206 R12: 00007ffd1ae0aed8 [76613.177130] R13: 000055ddf42ce1e9 R14: 000055ddf42d0d98 R15: 00 ---truncated--- Уязвимость компонента xskmap.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для сокращения поверхности атаки с использованием уязвимости настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: ``` kernel.unprivileged_bpf_disabled=1 ``` Сохраните файл. 2. Примените изменения: ``` sudo sysctl -p ``` 3. Проверьте текущее состояние sysctl: ``` cat /proc/sys/kernel/unprivileged_bpf_disabled ``` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: fix OOB devmap writes when deleting elements Jordy reported issue against XSKMAP which also applies to DEVMAP - the index used for accessing map entry, due to being a signed integer, causes the OOB writes. Fix is simple as changing the type from int to u32, however, when compared to XSKMAP case, one more thing needs to be addressed. When map is released from system via dev_map_free(), we iterate through all of the entries and an iterator variable is also an int, which implies OOB accesses. Again, change it to be u32. Example splat below: [ 160.724676] BUG: unable to handle page fault for address: ffffc8fc2c001000 [ 160.731662] #PF: supervisor read access in kernel mode [ 160.736876] #PF: error_code(0x0000) - not-present page [ 160.742095] PGD 0 P4D 0 [ 160.744678] Oops: Oops: 0000 [#1] PREEMPT SMP [ 160.749106] CPU: 1 UID: 0 PID: 520 Comm: kworker/u145:12 Not tainted 6.12.0-rc1+ #487 [ 160.757050] Hardware name: Intel Corporation S2600WFT/S2600WFT, BIOS SE5C620.86B.02.01.0008.031920191559 03/19/2019 [ 160.767642] Workqueue: events_unbound bpf_map_free_deferred [ 160.773308] RIP: 0010:dev_map_free+0x77/0x170 [ 160.777735] Code: 00 e8 fd 91 ed ff e8 b8 73 ed ff 41 83 7d 18 19 74 6e 41 8b 45 24 49 8b bd f8 00 00 00 31 db 85 c0 74 48 48 63 c3 48 8d 04 c7 <48> 8b 28 48 85 ed 74 30 48 8b 7d 18 48 85 ff 74 05 e8 b3 52 fa ff [ 160.796777] RSP: 0018:ffffc9000ee1fe38 EFLAGS: 00010202 [ 160.802086] RAX: ffffc8fc2c001000 RBX: 0000000080000000 RCX: 0000000000000024 [ 160.809331] RDX: 0000000000000000 RSI: 0000000000000024 RDI: ffffc9002c001000 [ 160.816576] RBP: 0000000000000000 R08: 0000000000000023 R09: 0000000000000001 [ 160.823823] R10: 0000000000000001 R11: 00000000000ee6b2 R12: dead000000000122 [ 160.831066] R13: ffff88810c928e00 R14: ffff8881002df405 R15: 0000000000000000 [ 160.838310] FS: 0000000000000000(0000) GS:ffff8897e0c40000(0000) knlGS:0000000000000000 [ 160.846528] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 160.852357] CR2: ffffc8fc2c001000 CR3: 0000000005c32006 CR4: 00000000007726f0 [ 160.859604] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 160.866847] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [ 160.874092] PKRU: 55555554 [ 160.876847] Call Trace: [ 160.879338] <TASK> [ 160.881477] ? __die+0x20/0x60 [ 160.884586] ? page_fault_oops+0x15a/0x450 [ 160.888746] ? search_extable+0x22/0x30 [ 160.892647] ? search_bpf_extables+0x5f/0x80 [ 160.896988] ? exc_page_fault+0xa9/0x140 [ 160.900973] ? asm_exc_page_fault+0x22/0x30 [ 160.905232] ? dev_map_free+0x77/0x170 [ 160.909043] ? dev_map_free+0x58/0x170 [ 160.912857] bpf_map_free_deferred+0x51/0x90 [ 160.917196] process_one_work+0x142/0x370 [ 160.921272] worker_thread+0x29e/0x3b0 [ 160.925082] ? rescuer_thread+0x4b0/0x4b0 [ 160.929157] kthread+0xd4/0x110 [ 160.932355] ? kthread_park+0x80/0x80 [ 160.936079] ret_from_fork+0x2d/0x50 [ 160.943396] ? kthread_park+0x80/0x80 [ 160.950803] ret_from_fork_asm+0x11/0x20 [ 160.958482] </TASK> Уязвимость функции dev_map_free() компонента kernel/bpf/devmap.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для сокращения поверхности атаки с использованием уязвимости настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: ``` kernel.unprivileged_bpf_disabled=1 ``` Сохраните файл. 2. Примените изменения: ``` sudo sysctl -p ``` 3. Проверьте текущее состояние sysctl: ``` cat /proc/sys/kernel/unprivileged_bpf_disabled ``` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/dp_mst: Fix MST sideband message body length check Fix the MST sideband message body length check, which must be at least 1 byte accounting for the message body CRC (aka message data CRC) at the end of the message. This fixes a case where an MST branch device returns a header with a correct header CRC (indicating a correctly received body length), with the body length being incorrectly set to 0. This will later lead to a memory corruption in drm_dp_sideband_append_payload() and the following errors in dmesg: UBSAN: array-index-out-of-bounds in drivers/gpu/drm/display/drm_dp_mst_topology.c:786:25 index -1 is out of range for type 'u8 [48]' Call Trace: drm_dp_sideband_append_payload+0x33d/0x350 [drm_display_helper] drm_dp_get_one_sb_msg+0x3ce/0x5f0 [drm_display_helper] drm_dp_mst_hpd_irq_handle_event+0xc8/0x1580 [drm_display_helper] memcpy: detected field-spanning write (size 18446744073709551615) of single field "&msg->msg[msg->curlen]" at drivers/gpu/drm/display/drm_dp_mst_topology.c:791 (size 256) Call Trace: drm_dp_sideband_append_payload+0x324/0x350 [drm_display_helper] drm_dp_get_one_sb_msg+0x3ce/0x5f0 [drm_display_helper] drm_dp_mst_hpd_irq_handle_event+0xc8/0x1580 [drm_display_helper] Уязвимость компонента drivers/gpu/drm/display/drm_dp_mst_topology.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix potential out-of-bounds memory access in nilfs_find_entry() Syzbot reported that when searching for records in a directory where the inode's i_size is corrupted and has a large value, memory access outside the folio/page range may occur, or a use-after-free bug may be detected if KASAN is enabled. This is because nilfs_last_byte(), which is called by nilfs_find_entry() and others to calculate the number of valid bytes of directory data in a page from i_size and the page index, loses the upper 32 bits of the 64-bit size information due to an inappropriate type of local variable to which the i_size value is assigned. This caused a large byte offset value due to underflow in the end address calculation in the calling nilfs_find_entry(), resulting in memory access that exceeds the folio/page size. Fix this issue by changing the type of the local variable causing the bit loss from "unsigned int" to "u64". The return value of nilfs_last_byte() is also of type "unsigned int", but it is truncated so as not to exceed PAGE_SIZE and no bit loss occurs, so no change is required. Уязвимость функции nilfs_put_page() модуля fs/nilfs2/dir.c поддержки файловой системы ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: core: sysfs: Prevent div by zero Prevent a division by 0 when monitoring is not enabled. Уязвимость компонента ufs-sysfs.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Fix use after free on unload System crash is observed with stack trace warning of use after free. There are 2 signals to tell dpc_thread to terminate (UNLOADING flag and kthread_stop). On setting the UNLOADING flag when dpc_thread happens to run at the time and sees the flag, this causes dpc_thread to exit and clean up itself. When kthread_stop is called for final cleanup, this causes use after free. Remove UNLOADING signal to terminate dpc_thread. Use the kthread_stop as the main signal to exit dpc_thread. [596663.812935] kernel BUG at mm/slub.c:294! [596663.812950] invalid opcode: 0000 [#1] SMP PTI [596663.812957] CPU: 13 PID: 1475935 Comm: rmmod Kdump: loaded Tainted: G IOE --------- - - 4.18.0-240.el8.x86_64 #1 [596663.812960] Hardware name: HP ProLiant DL380p Gen8, BIOS P70 08/20/2012 [596663.812974] RIP: 0010:__slab_free+0x17d/0x360 ... [596663.813008] Call Trace: [596663.813022] ? __dentry_kill+0x121/0x170 [596663.813030] ? _cond_resched+0x15/0x30 [596663.813034] ? _cond_resched+0x15/0x30 [596663.813039] ? wait_for_completion+0x35/0x190 [596663.813048] ? try_to_wake_up+0x63/0x540 [596663.813055] free_task+0x5a/0x60 [596663.813061] kthread_stop+0xf3/0x100 [596663.813103] qla2x00_remove_one+0x284/0x440 [qla2xxx] Уязвимость компонента qla_os.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: dev: can_set_termination(): allow sleeping GPIOs In commit 6e86a1543c37 ("can: dev: provide optional GPIO based termination support") GPIO based termination support was added. For no particular reason that patch uses gpiod_set_value() to set the GPIO. This leads to the following warning, if the systems uses a sleeping GPIO, i.e. behind an I2C port expander: | WARNING: CPU: 0 PID: 379 at /drivers/gpio/gpiolib.c:3496 gpiod_set_value+0x50/0x6c | CPU: 0 UID: 0 PID: 379 Comm: ip Not tainted 6.11.0-20241016-1 #1 823affae360cc91126e4d316d7a614a8bf86236c Replace gpiod_set_value() by gpiod_set_value_cansleep() to allow the use of sleeping GPIOs. Уязвимость функции can_set_termination() компонента drivers/net/can/dev/dev.c ядра операционной системы Linux связана с возможностью изменения области доступа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix Out-of-Bounds Write in ksmbd_vfs_stream_write An offset from client could be a negative value, It could allows to write data outside the bounds of the allocated buffer. Note that this issue is coming when setting 'vfs objects = streams_xattr parameter' in ksmbd.conf. Уязвимость функции ksmbd_vfs_stream_write() компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix Out-of-Bounds Read in ksmbd_vfs_stream_read An offset from client could be a negative value, It could lead to an out-of-bounds read from the stream_buf. Note that this issue is coming when setting 'vfs objects = streams_xattr parameter' in ksmbd.conf. Уязвимость компонента smb2pdu.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Add architecture specific huge_pte_clear() When executing mm selftests run_vmtests.sh, there is such an error: BUG: Bad page state in process uffd-unit-tests pfn:00000 page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x0 flags: 0xffff0000002000(reserved|node=0|zone=0|lastcpupid=0xffff) raw: 00ffff0000002000 ffffbf0000000008 ffffbf0000000008 0000000000000000 raw: 0000000000000000 0000000000000000 00000000ffffffff 0000000000000000 page dumped because: PAGE_FLAGS_CHECK_AT_FREE flag(s) set Modules linked in: snd_seq_dummy snd_seq snd_seq_device rfkill vfat fat virtio_balloon efi_pstore virtio_net pstore net_failover failover fuse nfnetlink virtio_scsi virtio_gpu virtio_dma_buf dm_multipath efivarfs CPU: 2 UID: 0 PID: 1913 Comm: uffd-unit-tests Not tainted 6.12.0 #184 Hardware name: QEMU QEMU Virtual Machine, BIOS unknown 2/2/2022 Stack : 900000047c8ac000 0000000000000000 9000000000223a7c 900000047c8ac000 900000047c8af690 900000047c8af698 0000000000000000 900000047c8af7d8 900000047c8af7d0 900000047c8af7d0 900000047c8af5b0 0000000000000001 0000000000000001 900000047c8af698 10b3c7d53da40d26 0000010000000000 0000000000000022 0000000fffffffff fffffffffe000000 ffff800000000000 000000000000002f 0000800000000000 000000017a6d4000 90000000028f8940 0000000000000000 0000000000000000 90000000025aa5e0 9000000002905000 0000000000000000 90000000028f8940 ffff800000000000 0000000000000000 0000000000000000 0000000000000000 9000000000223a94 000000012001839c 00000000000000b0 0000000000000004 0000000000000000 0000000000071c1d ... Call Trace: [<9000000000223a94>] show_stack+0x5c/0x180 [<9000000001c3fd64>] dump_stack_lvl+0x6c/0xa0 [<900000000056aa08>] bad_page+0x1a0/0x1f0 [<9000000000574978>] free_unref_folios+0xbf0/0xd20 [<90000000004e65cc>] folios_put_refs+0x1a4/0x2b8 [<9000000000599a0c>] free_pages_and_swap_cache+0x164/0x260 [<9000000000547698>] tlb_batch_pages_flush+0xa8/0x1c0 [<9000000000547f30>] tlb_finish_mmu+0xa8/0x218 [<9000000000543cb8>] exit_mmap+0x1a0/0x360 [<9000000000247658>] __mmput+0x78/0x200 [<900000000025583c>] do_exit+0x43c/0xde8 [<9000000000256490>] do_group_exit+0x68/0x110 [<9000000000256554>] sys_exit_group+0x1c/0x20 [<9000000001c413b4>] do_syscall+0x94/0x130 [<90000000002216d8>] handle_syscall+0xb8/0x158 Disabling lock debugging due to kernel taint BUG: non-zero pgtables_bytes on freeing mm: -16384 On LoongArch system, invalid huge pte entry should be invalid_pte_table or a single _PAGE_HUGE bit rather than a zero value. And it should be the same with invalid pmd entry, since pmd_none() is called by function free_pgd_range() and pmd_none() return 0 by huge_pte_clear(). So single _PAGE_HUGE bit is also treated as a valid pte table and free_pte_range() will be called in free_pmd_range(). free_pmd_range() pmd = pmd_offset(pud, addr); do { next = pmd_addr_end(addr, end); if (pmd_none_or_clear_bad(pmd)) continue; free_pte_range(tlb, pmd, addr); } while (pmd++, addr = next, addr != end); Here invalid_pte_table is used for both invalid huge pte entry and pmd entry. Уязвимость компонента loongarch ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: wacom: fix when get product name maybe null pointer Due to incorrect dev->product reporting by certain devices, null pointer dereferences occur when dev->product is empty, leading to potential system crashes. This issue was found on EXCELSIOR DL37-D05 device with Loongson-LS3A6000-7A2000-DL37 motherboard. Kernel logs: [ 56.470885] usb 4-3: new full-speed USB device number 4 using ohci-pci [ 56.671638] usb 4-3: string descriptor 0 read error: -22 [ 56.671644] usb 4-3: New USB device found, idVendor=056a, idProduct=0374, bcdDevice= 1.07 [ 56.671647] usb 4-3: New USB device strings: Mfr=1, Product=2, SerialNumber=3 [ 56.678839] hid-generic 0003:056A:0374.0004: hiddev0,hidraw3: USB HID v1.10 Device [HID 056a:0374] on usb-0000:00:05.0-3/input0 [ 56.697719] CPU 2 Unable to handle kernel paging request at virtual address 0000000000000000, era == 90000000066e35c8, ra == ffff800004f98a80 [ 56.697732] Oops[#1]: [ 56.697734] CPU: 2 PID: 2742 Comm: (udev-worker) Tainted: G OE 6.6.0-loong64-desktop #25.00.2000.015 [ 56.697737] Hardware name: Inspur CE520L2/C09901N000000000, BIOS 2.09.00 10/11/2024 [ 56.697739] pc 90000000066e35c8 ra ffff800004f98a80 tp 9000000125478000 sp 900000012547b8a0 [ 56.697741] a0 0000000000000000 a1 ffff800004818b28 a2 0000000000000000 a3 0000000000000000 [ 56.697743] a4 900000012547b8f0 a5 0000000000000000 a6 0000000000000000 a7 0000000000000000 [ 56.697745] t0 ffff800004818b2d t1 0000000000000000 t2 0000000000000003 t3 0000000000000005 [ 56.697747] t4 0000000000000000 t5 0000000000000000 t6 0000000000000000 t7 0000000000000000 [ 56.697748] t8 0000000000000000 u0 0000000000000000 s9 0000000000000000 s0 900000011aa48028 [ 56.697750] s1 0000000000000000 s2 0000000000000000 s3 ffff800004818e80 s4 ffff800004810000 [ 56.697751] s5 90000001000b98d0 s6 ffff800004811f88 s7 ffff800005470440 s8 0000000000000000 [ 56.697753] ra: ffff800004f98a80 wacom_update_name+0xe0/0x300 [wacom] [ 56.697802] ERA: 90000000066e35c8 strstr+0x28/0x120 [ 56.697806] CRMD: 000000b0 (PLV0 -IE -DA +PG DACF=CC DACM=CC -WE) [ 56.697816] PRMD: 0000000c (PPLV0 +PIE +PWE) [ 56.697821] EUEN: 00000000 (-FPE -SXE -ASXE -BTE) [ 56.697827] ECFG: 00071c1d (LIE=0,2-4,10-12 VS=7) [ 56.697831] ESTAT: 00010000 [PIL] (IS= ECode=1 EsubCode=0) [ 56.697835] BADV: 0000000000000000 [ 56.697836] PRID: 0014d000 (Loongson-64bit, Loongson-3A6000) [ 56.697838] Modules linked in: wacom(+) bnep bluetooth rfkill qrtr nls_iso8859_1 nls_cp437 snd_hda_codec_conexant snd_hda_codec_generic ledtrig_audio snd_hda_codec_hdmi snd_hda_intel snd_intel_dspcfg snd_hda_codec snd_hda_core snd_hwdep snd_pcm snd_timer snd soundcore input_leds mousedev led_class joydev deepin_netmonitor(OE) fuse nfnetlink dmi_sysfs ip_tables x_tables overlay amdgpu amdxcp drm_exec gpu_sched drm_buddy radeon drm_suballoc_helper i2c_algo_bit drm_ttm_helper r8169 ttm drm_display_helper spi_loongson_pci xhci_pci cec xhci_pci_renesas spi_loongson_core hid_generic realtek gpio_loongson_64bit [ 56.697887] Process (udev-worker) (pid: 2742, threadinfo=00000000aee0d8b4, task=00000000a9eff1f3) [ 56.697890] Stack : 0000000000000000 ffff800004817e00 0000000000000000 0000251c00000000 [ 56.697896] 0000000000000000 00000011fffffffd 0000000000000000 0000000000000000 [ 56.697901] 0000000000000000 1b67a968695184b9 0000000000000000 90000001000b98d0 [ 56.697906] 90000001000bb8d0 900000011aa48028 0000000000000000 ffff800004f9d74c [ 56.697911] 90000001000ba000 ffff800004f9ce58 0000000000000000 ffff800005470440 [ 56.697916] ffff800004811f88 90000001000b98d0 9000000100da2aa8 90000001000bb8d0 [ 56.697921] 0000000000000000 90000001000ba000 900000011aa48028 ffff800004f9d74c [ 56.697926] ffff8000054704e8 90000001000bb8b8 90000001000ba000 0000000000000000 [ 56.697931] 90000001000bb8d0 ---truncated--- Уязвимость компонента wacom_sys.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: free inode when ocfs2_get_init_inode() fails syzbot is reporting busy inodes after unmount, for commit 9c89fe0af826 ("ocfs2: Handle error from dquot_initialize()") forgot to call iput() when new_inode() succeeded and dquot_initialize() failed. Уязвимость компонента fs/ocfs2 ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp_bpf: Fix the sk_mem_uncharge logic in tcp_bpf_sendmsg The current sk memory accounting logic in __SK_REDIRECT is pre-uncharging tosend bytes, which is either msg->sg.size or a smaller value apply_bytes. Potential problems with this strategy are as follows: - If the actual sent bytes are smaller than tosend, we need to charge some bytes back, as in line 487, which is okay but seems not clean. - When tosend is set to apply_bytes, as in line 417, and (ret < 0), we may miss uncharging (msg->sg.size - apply_bytes) bytes. [...] 415 tosend = msg->sg.size; 416 if (psock->apply_bytes && psock->apply_bytes < tosend) 417 tosend = psock->apply_bytes; [...] 443 sk_msg_return(sk, msg, tosend); 444 release_sock(sk); 446 origsize = msg->sg.size; 447 ret = tcp_bpf_sendmsg_redir(sk_redir, redir_ingress, 448 msg, tosend, flags); 449 sent = origsize - msg->sg.size; [...] 454 lock_sock(sk); 455 if (unlikely(ret < 0)) { 456 int free = sk_msg_free_nocharge(sk, msg); 458 if (!cork) 459 *copied -= free; 460 } [...] 487 if (eval == __SK_REDIRECT) 488 sk_mem_charge(sk, tosend - sent); [...] When running the selftest test_txmsg_redir_wait_sndmem with txmsg_apply, the following warning will be reported: ------------[ cut here ]------------ WARNING: CPU: 6 PID: 57 at net/ipv4/af_inet.c:156 inet_sock_destruct+0x190/0x1a0 Modules linked in: CPU: 6 UID: 0 PID: 57 Comm: kworker/6:0 Not tainted 6.12.0-rc1.bm.1-amd64+ #43 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 Workqueue: events sk_psock_destroy RIP: 0010:inet_sock_destruct+0x190/0x1a0 RSP: 0018:ffffad0a8021fe08 EFLAGS: 00010206 RAX: 0000000000000011 RBX: ffff9aab4475b900 RCX: ffff9aab481a0800 RDX: 0000000000000303 RSI: 0000000000000011 RDI: ffff9aab4475b900 RBP: ffff9aab4475b990 R08: 0000000000000000 R09: ffff9aab40050ec0 R10: 0000000000000000 R11: ffff9aae6fdb1d01 R12: ffff9aab49c60400 R13: ffff9aab49c60598 R14: ffff9aab49c60598 R15: dead000000000100 FS: 0000000000000000(0000) GS:ffff9aae6fd80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007ffec7e47bd8 CR3: 00000001a1a1c004 CR4: 0000000000770ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? __warn+0x89/0x130 ? inet_sock_destruct+0x190/0x1a0 ? report_bug+0xfc/0x1e0 ? handle_bug+0x5c/0xa0 ? exc_invalid_op+0x17/0x70 ? asm_exc_invalid_op+0x1a/0x20 ? inet_sock_destruct+0x190/0x1a0 __sk_destruct+0x25/0x220 sk_psock_destroy+0x2b2/0x310 process_scheduled_works+0xa3/0x3e0 worker_thread+0x117/0x240 ? __pfx_worker_thread+0x10/0x10 kthread+0xcf/0x100 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x31/0x40 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> ---[ end trace 0000000000000000 ]--- In __SK_REDIRECT, a more concise way is delaying the uncharging after sent bytes are finalized, and uncharge this value. When (ret < 0), we shall invoke sk_msg_free. Same thing happens in case __SK_DROP, when tosend is set to apply_bytes, we may miss uncharging (msg->sg.size - apply_bytes) bytes. The same warning will be reported in selftest. [...] 468 case __SK_DROP: 469 default: 470 sk_msg_free_partial(sk, msg, tosend); 471 sk_msg_apply_bytes(psock, tosend); 472 *copied -= (tosend + delta); 473 return -EACCES; [...] So instead of sk_msg_free_partial we can do sk_msg_free here. Уязвимость компонента net/ipv4/tcp_bpf.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gpio: grgpio: Add NULL check in grgpio_probe devm_kasprintf() can return a NULL pointer on failure,but this returned value in grgpio_probe is not checked. Add NULL check in grgpio_probe, to handle kernel NULL pointer dereference error. Уязвимость компонента gpio-grgpio.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: geneve: do not assume mac header is set in geneve_xmit_skb() We should not assume mac header is set in output path. Use skb_eth_hdr() instead of eth_hdr() to fix the issue. sysbot reported the following : WARNING: CPU: 0 PID: 11635 at include/linux/skbuff.h:3052 skb_mac_header include/linux/skbuff.h:3052 [inline] WARNING: CPU: 0 PID: 11635 at include/linux/skbuff.h:3052 eth_hdr include/linux/if_ether.h:24 [inline] WARNING: CPU: 0 PID: 11635 at include/linux/skbuff.h:3052 geneve_xmit_skb drivers/net/geneve.c:898 [inline] WARNING: CPU: 0 PID: 11635 at include/linux/skbuff.h:3052 geneve_xmit+0x4c38/0x5730 drivers/net/geneve.c:1039 Modules linked in: CPU: 0 UID: 0 PID: 11635 Comm: syz.4.1423 Not tainted 6.12.0-syzkaller-10296-gaaf20f870da0 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 RIP: 0010:skb_mac_header include/linux/skbuff.h:3052 [inline] RIP: 0010:eth_hdr include/linux/if_ether.h:24 [inline] RIP: 0010:geneve_xmit_skb drivers/net/geneve.c:898 [inline] RIP: 0010:geneve_xmit+0x4c38/0x5730 drivers/net/geneve.c:1039 Code: 21 c6 02 e9 35 d4 ff ff e8 a5 48 4c fb 90 0f 0b 90 e9 fd f5 ff ff e8 97 48 4c fb 90 0f 0b 90 e9 d8 f5 ff ff e8 89 48 4c fb 90 <0f> 0b 90 e9 41 e4 ff ff e8 7b 48 4c fb 90 0f 0b 90 e9 cd e7 ff ff RSP: 0018:ffffc90003b2f870 EFLAGS: 00010283 RAX: 000000000000037a RBX: 000000000000ffff RCX: ffffc9000dc3d000 RDX: 0000000000080000 RSI: ffffffff86428417 RDI: 0000000000000003 RBP: ffffc90003b2f9f0 R08: 0000000000000003 R09: 000000000000ffff R10: 000000000000ffff R11: 0000000000000002 R12: ffff88806603c000 R13: 0000000000000000 R14: ffff8880685b2780 R15: 0000000000000e23 FS: 00007fdc2deed6c0(0000) GS:ffff8880b8600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000001b30a1dff8 CR3: 0000000056b8c000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> __netdev_start_xmit include/linux/netdevice.h:5002 [inline] netdev_start_xmit include/linux/netdevice.h:5011 [inline] __dev_direct_xmit+0x58a/0x720 net/core/dev.c:4490 dev_direct_xmit include/linux/netdevice.h:3181 [inline] packet_xmit+0x1e4/0x360 net/packet/af_packet.c:285 packet_snd net/packet/af_packet.c:3146 [inline] packet_sendmsg+0x2700/0x5660 net/packet/af_packet.c:3178 sock_sendmsg_nosec net/socket.c:711 [inline] __sock_sendmsg net/socket.c:726 [inline] __sys_sendto+0x488/0x4f0 net/socket.c:2197 __do_sys_sendto net/socket.c:2204 [inline] __se_sys_sendto net/socket.c:2200 [inline] __x64_sys_sendto+0xe0/0x1c0 net/socket.c:2200 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции geneve_xmit_skb() компонента drivers/net/geneve.c ядра операционной системы Linux связана с ошибками обработки типов данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: ipset: Hold module reference while requesting a module User space may unload ip_set.ko while it is itself requesting a set type backend module, leading to a kernel crash. The race condition may be provoked by inserting an mdelay() right after the nfnl_unlock() call. Уязвимость компонента net/netfilter/ipset ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/smc: fix LGR and link use-after-free issue We encountered a LGR/link use-after-free issue, which manifested as the LGR/link refcnt reaching 0 early and entering the clear process, making resource access unsafe. refcount_t: addition on 0; use-after-free. WARNING: CPU: 14 PID: 107447 at lib/refcount.c:25 refcount_warn_saturate+0x9c/0x140 Workqueue: events smc_lgr_terminate_work [smc] Call trace: refcount_warn_saturate+0x9c/0x140 __smc_lgr_terminate.part.45+0x2a8/0x370 [smc] smc_lgr_terminate_work+0x28/0x30 [smc] process_one_work+0x1b8/0x420 worker_thread+0x158/0x510 kthread+0x114/0x118 or refcount_t: underflow; use-after-free. WARNING: CPU: 6 PID: 93140 at lib/refcount.c:28 refcount_warn_saturate+0xf0/0x140 Workqueue: smc_hs_wq smc_listen_work [smc] Call trace: refcount_warn_saturate+0xf0/0x140 smcr_link_put+0x1cc/0x1d8 [smc] smc_conn_free+0x110/0x1b0 [smc] smc_conn_abort+0x50/0x60 [smc] smc_listen_find_device+0x75c/0x790 [smc] smc_listen_work+0x368/0x8a0 [smc] process_one_work+0x1b8/0x420 worker_thread+0x158/0x510 kthread+0x114/0x118 It is caused by repeated release of LGR/link refcnt. One suspect is that smc_conn_free() is called repeatedly because some smc_conn_free() from server listening path are not protected by sock lock. e.g. Calls under socklock | smc_listen_work ------------------------------------------------------- lock_sock(sk) | smc_conn_abort smc_conn_free | \- smc_conn_free \- smcr_link_put | \- smcr_link_put (duplicated) release_sock(sk) So here add sock lock protection in smc_listen_work() path, making it exclusive with other connection operations. Уязвимость функции smc_conn_free() компонента net/smc/af_smc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: Fix use-after-free of kernel socket in cleanup_bearer(). syzkaller reported a use-after-free of UDP kernel socket in cleanup_bearer() without repro. [0][1] When bearer_disable() calls tipc_udp_disable(), cleanup of the UDP kernel socket is deferred by work calling cleanup_bearer(). tipc_exit_net() waits for such works to finish by checking tipc_net(net)->wq_count. However, the work decrements the count too early before releasing the kernel socket, unblocking cleanup_net() and resulting in use-after-free. Let's move the decrement after releasing the socket in cleanup_bearer(). [0]: ref_tracker: net notrefcnt@000000009b3d1faf has 1/1 users at sk_alloc+0x438/0x608 inet_create+0x4c8/0xcb0 __sock_create+0x350/0x6b8 sock_create_kern+0x58/0x78 udp_sock_create4+0x68/0x398 udp_sock_create+0x88/0xc8 tipc_udp_enable+0x5e8/0x848 __tipc_nl_bearer_enable+0x84c/0xed8 tipc_nl_bearer_enable+0x38/0x60 genl_family_rcv_msg_doit+0x170/0x248 genl_rcv_msg+0x400/0x5b0 netlink_rcv_skb+0x1dc/0x398 genl_rcv+0x44/0x68 netlink_unicast+0x678/0x8b0 netlink_sendmsg+0x5e4/0x898 ____sys_sendmsg+0x500/0x830 [1]: BUG: KMSAN: use-after-free in udp_hashslot include/net/udp.h:85 [inline] BUG: KMSAN: use-after-free in udp_lib_unhash+0x3b8/0x930 net/ipv4/udp.c:1979 udp_hashslot include/net/udp.h:85 [inline] udp_lib_unhash+0x3b8/0x930 net/ipv4/udp.c:1979 sk_common_release+0xaf/0x3f0 net/core/sock.c:3820 inet_release+0x1e0/0x260 net/ipv4/af_inet.c:437 inet6_release+0x6f/0xd0 net/ipv6/af_inet6.c:489 __sock_release net/socket.c:658 [inline] sock_release+0xa0/0x210 net/socket.c:686 cleanup_bearer+0x42d/0x4c0 net/tipc/udp_media.c:819 process_one_work kernel/workqueue.c:3229 [inline] process_scheduled_works+0xcaf/0x1c90 kernel/workqueue.c:3310 worker_thread+0xf6c/0x1510 kernel/workqueue.c:3391 kthread+0x531/0x6b0 kernel/kthread.c:389 ret_from_fork+0x60/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x11/0x20 arch/x86/entry/entry_64.S:244 Uninit was created at: slab_free_hook mm/slub.c:2269 [inline] slab_free mm/slub.c:4580 [inline] kmem_cache_free+0x207/0xc40 mm/slub.c:4682 net_free net/core/net_namespace.c:454 [inline] cleanup_net+0x16f2/0x19d0 net/core/net_namespace.c:647 process_one_work kernel/workqueue.c:3229 [inline] process_scheduled_works+0xcaf/0x1c90 kernel/workqueue.c:3310 worker_thread+0xf6c/0x1510 kernel/workqueue.c:3391 kthread+0x531/0x6b0 kernel/kthread.c:389 ret_from_fork+0x60/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x11/0x20 arch/x86/entry/entry_64.S:244 CPU: 0 UID: 0 PID: 54 Comm: kworker/0:2 Not tainted 6.12.0-rc1-00131-gf66ebf37d69c #7 91723d6f74857f70725e1583cba3cf4adc716cfa Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 Workqueue: events cleanup_bearer Уязвимость компонента udp_media.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dccp: Fix memory leak in dccp_feat_change_recv If dccp_feat_push_confirm() fails after new value for SP feature was accepted without reconciliation ('entry == NULL' branch), memory allocated for that value with dccp_feat_clone_sp_val() is never freed. Here is the kmemleak stack for this: unreferenced object 0xffff88801d4ab488 (size 8): comm "syz-executor310", pid 1127, jiffies 4295085598 (age 41.666s) hex dump (first 8 bytes): 01 b4 4a 1d 80 88 ff ff ..J..... backtrace: [<00000000db7cabfe>] kmemdup+0x23/0x50 mm/util.c:128 [<0000000019b38405>] kmemdup include/linux/string.h:465 [inline] [<0000000019b38405>] dccp_feat_clone_sp_val net/dccp/feat.c:371 [inline] [<0000000019b38405>] dccp_feat_clone_sp_val net/dccp/feat.c:367 [inline] [<0000000019b38405>] dccp_feat_change_recv net/dccp/feat.c:1145 [inline] [<0000000019b38405>] dccp_feat_parse_options+0x1196/0x2180 net/dccp/feat.c:1416 [<00000000b1f6d94a>] dccp_parse_options+0xa2a/0x1260 net/dccp/options.c:125 [<0000000030d7b621>] dccp_rcv_state_process+0x197/0x13d0 net/dccp/input.c:650 [<000000001f74c72e>] dccp_v4_do_rcv+0xf9/0x1a0 net/dccp/ipv4.c:688 [<00000000a6c24128>] sk_backlog_rcv include/net/sock.h:1041 [inline] [<00000000a6c24128>] __release_sock+0x139/0x3b0 net/core/sock.c:2570 [<00000000cf1f3a53>] release_sock+0x54/0x1b0 net/core/sock.c:3111 [<000000008422fa23>] inet_wait_for_connect net/ipv4/af_inet.c:603 [inline] [<000000008422fa23>] __inet_stream_connect+0x5d0/0xf70 net/ipv4/af_inet.c:696 [<0000000015b6f64d>] inet_stream_connect+0x53/0xa0 net/ipv4/af_inet.c:735 [<0000000010122488>] __sys_connect_file+0x15c/0x1a0 net/socket.c:1865 [<00000000b4b70023>] __sys_connect+0x165/0x1a0 net/socket.c:1882 [<00000000f4cb3815>] __do_sys_connect net/socket.c:1892 [inline] [<00000000f4cb3815>] __se_sys_connect net/socket.c:1889 [inline] [<00000000f4cb3815>] __x64_sys_connect+0x6e/0xb0 net/socket.c:1889 [<00000000e7b1e839>] do_syscall_64+0x33/0x40 arch/x86/entry/common.c:46 [<0000000055e91434>] entry_SYSCALL_64_after_hwframe+0x67/0xd1 Clean up the allocated memory in case of dccp_feat_push_confirm() failure and bail out with an error reset code. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента feat.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/ipv6: release expired exception dst cached in socket Dst objects get leaked in ip6_negative_advice() when this function is executed for an expired IPv6 route located in the exception table. There are several conditions that must be fulfilled for the leak to occur: * an ICMPv6 packet indicating a change of the MTU for the path is received, resulting in an exception dst being created * a TCP connection that uses the exception dst for routing packets must start timing out so that TCP begins retransmissions * after the exception dst expires, the FIB6 garbage collector must not run before TCP executes ip6_negative_advice() for the expired exception dst When TCP executes ip6_negative_advice() for an exception dst that has expired and if no other socket holds a reference to the exception dst, the refcount of the exception dst is 2, which corresponds to the increment made by dst_init() and the increment made by the TCP socket for which the connection is timing out. The refcount made by the socket is never released. The refcount of the dst is decremented in sk_dst_reset() but that decrement is counteracted by a dst_hold() intentionally placed just before the sk_dst_reset() in ip6_negative_advice(). After ip6_negative_advice() has finished, there is no other object tied to the dst. The socket lost its reference stored in sk_dst_cache and the dst is no longer in the exception table. The exception dst becomes a leaked object. As a result of this dst leak, an unbalanced refcount is reported for the loopback device of a net namespace being destroyed under kernels that do not contain e5f80fcf869a ("ipv6: give an IPv6 dev to blackhole_netdev"): unregister_netdevice: waiting for lo to become free. Usage count = 2 Fix the dst leak by removing the dst_hold() in ip6_negative_advice(). The patch that introduced the dst_hold() in ip6_negative_advice() was 92f1655aa2b22 ("net: fix __dst_negative_advice() race"). But 92f1655aa2b22 merely refactored the code with regards to the dst refcount so the issue was present even before 92f1655aa2b22. The bug was introduced in 54c1a859efd9f ("ipv6: Don't drop cache route entry unless timer actually expired.") where the expired cached route is deleted and the sk_dst_cache member of the socket is set to NULL by calling dst_negative_advice() but the refcount belonging to the socket is left unbalanced. The IPv4 version - ipv4_negative_advice() - is not affected by this bug. When the TCP connection times out ipv4_negative_advice() merely resets the sk_dst_cache of the socket while decrementing the refcount of the exception dst. Уязвимость компонента net/ipv6 ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: j1939: j1939_session_new(): fix skb reference counting Since j1939_session_skb_queue() does an extra skb_get() for each new skb, do the same for the initial one in j1939_session_new() to avoid refcount underflow. [mkl: clean up commit message] Уязвимость компонента net/can/j1939/transport.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: hsr: avoid potential out-of-bound access in fill_frame_info() syzbot is able to feed a packet with 14 bytes, pretending it is a vlan one. Since fill_frame_info() is relying on skb->mac_len already, extend the check to cover this case. BUG: KMSAN: uninit-value in fill_frame_info net/hsr/hsr_forward.c:709 [inline] BUG: KMSAN: uninit-value in hsr_forward_skb+0x9ee/0x3b10 net/hsr/hsr_forward.c:724 fill_frame_info net/hsr/hsr_forward.c:709 [inline] hsr_forward_skb+0x9ee/0x3b10 net/hsr/hsr_forward.c:724 hsr_dev_xmit+0x2f0/0x350 net/hsr/hsr_device.c:235 __netdev_start_xmit include/linux/netdevice.h:5002 [inline] netdev_start_xmit include/linux/netdevice.h:5011 [inline] xmit_one net/core/dev.c:3590 [inline] dev_hard_start_xmit+0x247/0xa20 net/core/dev.c:3606 __dev_queue_xmit+0x366a/0x57d0 net/core/dev.c:4434 dev_queue_xmit include/linux/netdevice.h:3168 [inline] packet_xmit+0x9c/0x6c0 net/packet/af_packet.c:276 packet_snd net/packet/af_packet.c:3146 [inline] packet_sendmsg+0x91ae/0xa6f0 net/packet/af_packet.c:3178 sock_sendmsg_nosec net/socket.c:711 [inline] __sock_sendmsg+0x30f/0x380 net/socket.c:726 __sys_sendto+0x594/0x750 net/socket.c:2197 __do_sys_sendto net/socket.c:2204 [inline] __se_sys_sendto net/socket.c:2200 [inline] __x64_sys_sendto+0x125/0x1d0 net/socket.c:2200 x64_sys_call+0x346a/0x3c30 arch/x86/include/generated/asm/syscalls_64.h:45 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:4091 [inline] slab_alloc_node mm/slub.c:4134 [inline] kmem_cache_alloc_node_noprof+0x6bf/0xb80 mm/slub.c:4186 kmalloc_reserve+0x13d/0x4a0 net/core/skbuff.c:587 __alloc_skb+0x363/0x7b0 net/core/skbuff.c:678 alloc_skb include/linux/skbuff.h:1323 [inline] alloc_skb_with_frags+0xc8/0xd00 net/core/skbuff.c:6612 sock_alloc_send_pskb+0xa81/0xbf0 net/core/sock.c:2881 packet_alloc_skb net/packet/af_packet.c:2995 [inline] packet_snd net/packet/af_packet.c:3089 [inline] packet_sendmsg+0x74c6/0xa6f0 net/packet/af_packet.c:3178 sock_sendmsg_nosec net/socket.c:711 [inline] __sock_sendmsg+0x30f/0x380 net/socket.c:726 __sys_sendto+0x594/0x750 net/socket.c:2197 __do_sys_sendto net/socket.c:2204 [inline] __se_sys_sendto net/socket.c:2200 [inline] __x64_sys_sendto+0x125/0x1d0 net/socket.c:2200 x64_sys_call+0x346a/0x3c30 arch/x86/include/generated/asm/syscalls_64.h:45 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента hsr_forward.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: x_tables: fix LED ID check in led_tg_check() Syzbot has reported the following BUG detected by KASAN: BUG: KASAN: slab-out-of-bounds in strlen+0x58/0x70 Read of size 1 at addr ffff8881022da0c8 by task repro/5879 ... Call Trace: <TASK> dump_stack_lvl+0x241/0x360 ? __pfx_dump_stack_lvl+0x10/0x10 ? __pfx__printk+0x10/0x10 ? _printk+0xd5/0x120 ? __virt_addr_valid+0x183/0x530 ? __virt_addr_valid+0x183/0x530 print_report+0x169/0x550 ? __virt_addr_valid+0x183/0x530 ? __virt_addr_valid+0x183/0x530 ? __virt_addr_valid+0x45f/0x530 ? __phys_addr+0xba/0x170 ? strlen+0x58/0x70 kasan_report+0x143/0x180 ? strlen+0x58/0x70 strlen+0x58/0x70 kstrdup+0x20/0x80 led_tg_check+0x18b/0x3c0 xt_check_target+0x3bb/0xa40 ? __pfx_xt_check_target+0x10/0x10 ? stack_depot_save_flags+0x6e4/0x830 ? nft_target_init+0x174/0xc30 nft_target_init+0x82d/0xc30 ? __pfx_nft_target_init+0x10/0x10 ? nf_tables_newrule+0x1609/0x2980 ? nf_tables_newrule+0x1609/0x2980 ? rcu_is_watching+0x15/0xb0 ? nf_tables_newrule+0x1609/0x2980 ? nf_tables_newrule+0x1609/0x2980 ? __kmalloc_noprof+0x21a/0x400 nf_tables_newrule+0x1860/0x2980 ? __pfx_nf_tables_newrule+0x10/0x10 ? __nla_parse+0x40/0x60 nfnetlink_rcv+0x14e5/0x2ab0 ? __pfx_validate_chain+0x10/0x10 ? __pfx_nfnetlink_rcv+0x10/0x10 ? __lock_acquire+0x1384/0x2050 ? netlink_deliver_tap+0x2e/0x1b0 ? __pfx_lock_release+0x10/0x10 ? netlink_deliver_tap+0x2e/0x1b0 netlink_unicast+0x7f8/0x990 ? __pfx_netlink_unicast+0x10/0x10 ? __virt_addr_valid+0x183/0x530 ? __check_object_size+0x48e/0x900 netlink_sendmsg+0x8e4/0xcb0 ? __pfx_netlink_sendmsg+0x10/0x10 ? aa_sock_msg_perm+0x91/0x160 ? __pfx_netlink_sendmsg+0x10/0x10 __sock_sendmsg+0x223/0x270 ____sys_sendmsg+0x52a/0x7e0 ? __pfx_____sys_sendmsg+0x10/0x10 __sys_sendmsg+0x292/0x380 ? __pfx___sys_sendmsg+0x10/0x10 ? lockdep_hardirqs_on_prepare+0x43d/0x780 ? __pfx_lockdep_hardirqs_on_prepare+0x10/0x10 ? exc_page_fault+0x590/0x8c0 ? do_syscall_64+0xb6/0x230 do_syscall_64+0xf3/0x230 entry_SYSCALL_64_after_hwframe+0x77/0x7f ... </TASK> Since an invalid (without '\0' byte at all) byte sequence may be passed from userspace, add an extra check to ensure that such a sequence is rejected as possible ID and so never passed to 'kstrdup()' and further. Уязвимость компонента xt_LED.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: can: hi311x: hi3110_can_ist(): fix potential use-after-free The commit a22bd630cfff ("can: hi311x: do not report txerr and rxerr during bus-off") removed the reporting of rxerr and txerr even in case of correct operation (i. e. not bus-off). The error count information added to the CAN frame after netif_rx() is a potential use after free, since there is no guarantee that the skb is in the same state. It might be freed or reused. Fix the issue by postponing the netif_rx() call in case of txerr and rxerr reporting. Уязвимость компонента hi311x.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: defer final 'struct net' free in netns dismantle Ilya reported a slab-use-after-free in dst_destroy [1] Issue is in xfrm6_net_init() and xfrm4_net_init() : They copy xfrm[46]_dst_ops_template into net->xfrm.xfrm[46]_dst_ops. But net structure might be freed before all the dst callbacks are called. So when dst_destroy() calls later : if (dst->ops->destroy) dst->ops->destroy(dst); dst->ops points to the old net->xfrm.xfrm[46]_dst_ops, which has been freed. See a relevant issue fixed in : ac888d58869b ("net: do not delay dst_entries_add() in dst_release()") A fix is to queue the 'struct net' to be freed after one another cleanup_net() round (and existing rcu_barrier()) [1] BUG: KASAN: slab-use-after-free in dst_destroy (net/core/dst.c:112) Read of size 8 at addr ffff8882137ccab0 by task swapper/37/0 Dec 03 05:46:18 kernel: CPU: 37 UID: 0 PID: 0 Comm: swapper/37 Kdump: loaded Not tainted 6.12.0 #67 Hardware name: Red Hat KVM/RHEL, BIOS 1.16.1-1.el9 04/01/2014 Call Trace: <IRQ> dump_stack_lvl (lib/dump_stack.c:124) print_address_description.constprop.0 (mm/kasan/report.c:378) ? dst_destroy (net/core/dst.c:112) print_report (mm/kasan/report.c:489) ? dst_destroy (net/core/dst.c:112) ? kasan_addr_to_slab (mm/kasan/common.c:37) kasan_report (mm/kasan/report.c:603) ? dst_destroy (net/core/dst.c:112) ? rcu_do_batch (kernel/rcu/tree.c:2567) dst_destroy (net/core/dst.c:112) rcu_do_batch (kernel/rcu/tree.c:2567) ? __pfx_rcu_do_batch (kernel/rcu/tree.c:2491) ? lockdep_hardirqs_on_prepare (kernel/locking/lockdep.c:4339 kernel/locking/lockdep.c:4406) rcu_core (kernel/rcu/tree.c:2825) handle_softirqs (kernel/softirq.c:554) __irq_exit_rcu (kernel/softirq.c:589 kernel/softirq.c:428 kernel/softirq.c:637) irq_exit_rcu (kernel/softirq.c:651) sysvec_apic_timer_interrupt (arch/x86/kernel/apic/apic.c:1049 arch/x86/kernel/apic/apic.c:1049) </IRQ> <TASK> asm_sysvec_apic_timer_interrupt (./arch/x86/include/asm/idtentry.h:702) RIP: 0010:default_idle (./arch/x86/include/asm/irqflags.h:37 ./arch/x86/include/asm/irqflags.h:92 arch/x86/kernel/process.c:743) Code: 00 4d 29 c8 4c 01 c7 4c 29 c2 e9 6e ff ff ff 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 66 90 0f 00 2d c7 c9 27 00 fb f4 <fa> c3 cc cc cc cc 66 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 90 RSP: 0018:ffff888100d2fe00 EFLAGS: 00000246 RAX: 00000000001870ed RBX: 1ffff110201a5fc2 RCX: ffffffffb61a3e46 RDX: 0000000000000000 RSI: 0000000000000000 RDI: ffffffffb3d4d123 RBP: 0000000000000000 R08: 0000000000000001 R09: ffffed11c7e1835d R10: ffff888e3f0c1aeb R11: 0000000000000000 R12: 0000000000000000 R13: ffff888100d20000 R14: dffffc0000000000 R15: 0000000000000000 ? ct_kernel_exit.constprop.0 (kernel/context_tracking.c:148) ? cpuidle_idle_call (kernel/sched/idle.c:186) default_idle_call (./include/linux/cpuidle.h:143 kernel/sched/idle.c:118) cpuidle_idle_call (kernel/sched/idle.c:186) ? __pfx_cpuidle_idle_call (kernel/sched/idle.c:168) ? lock_release (kernel/locking/lockdep.c:467 kernel/locking/lockdep.c:5848) ? lockdep_hardirqs_on_prepare (kernel/locking/lockdep.c:4347 kernel/locking/lockdep.c:4406) ? tsc_verify_tsc_adjust (arch/x86/kernel/tsc_sync.c:59) do_idle (kernel/sched/idle.c:326) cpu_startup_entry (kernel/sched/idle.c:423 (discriminator 1)) start_secondary (arch/x86/kernel/smpboot.c:202 arch/x86/kernel/smpboot.c:282) ? __pfx_start_secondary (arch/x86/kernel/smpboot.c:232) ? soft_restart_cpu (arch/x86/kernel/head_64.S:452) common_startup_64 (arch/x86/kernel/head_64.S:414) </TASK> Dec 03 05:46:18 kernel: Allocated by task 12184: kasan_save_stack (mm/kasan/common.c:48) kasan_save_track (./arch/x86/include/asm/current.h:49 mm/kasan/common.c:60 mm/kasan/common.c:69) __kasan_slab_alloc (mm/kasan/common.c:319 mm/kasan/common.c:345) kmem_cache_alloc_noprof (mm/slub.c:4085 mm/slub.c:4134 mm/slub.c:4141) copy_net_ns (net/core/net_namespace.c:421 net/core/net_namespace.c:480) create_new_namespaces ---truncated--- Уязвимость функции cleanup_net() модуля include/net/net_namespace.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: lapb: increase LAPB_HEADER_LEN It is unclear if net/lapb code is supposed to be ready for 8021q. We can at least avoid crashes like the following : skbuff: skb_under_panic: text:ffffffff8aabe1f6 len:24 put:20 head:ffff88802824a400 data:ffff88802824a3fe tail:0x16 end:0x140 dev:nr0.2 ------------[ cut here ]------------ kernel BUG at net/core/skbuff.c:206 ! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN PTI CPU: 1 UID: 0 PID: 5508 Comm: dhcpcd Not tainted 6.12.0-rc7-syzkaller-00144-g66418447d27b #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/30/2024 RIP: 0010:skb_panic net/core/skbuff.c:206 [inline] RIP: 0010:skb_under_panic+0x14b/0x150 net/core/skbuff.c:216 Code: 0d 8d 48 c7 c6 2e 9e 29 8e 48 8b 54 24 08 8b 0c 24 44 8b 44 24 04 4d 89 e9 50 41 54 41 57 41 56 e8 1a 6f 37 02 48 83 c4 20 90 <0f> 0b 0f 1f 00 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 f3 RSP: 0018:ffffc90002ddf638 EFLAGS: 00010282 RAX: 0000000000000086 RBX: dffffc0000000000 RCX: 7a24750e538ff600 RDX: 0000000000000000 RSI: 0000000000000201 RDI: 0000000000000000 RBP: ffff888034a86650 R08: ffffffff8174b13c R09: 1ffff920005bbe60 R10: dffffc0000000000 R11: fffff520005bbe61 R12: 0000000000000140 R13: ffff88802824a400 R14: ffff88802824a3fe R15: 0000000000000016 FS: 00007f2a5990d740(0000) GS:ffff8880b8700000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000110c2631fd CR3: 0000000029504000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> skb_push+0xe5/0x100 net/core/skbuff.c:2636 nr_header+0x36/0x320 net/netrom/nr_dev.c:69 dev_hard_header include/linux/netdevice.h:3148 [inline] vlan_dev_hard_header+0x359/0x480 net/8021q/vlan_dev.c:83 dev_hard_header include/linux/netdevice.h:3148 [inline] lapbeth_data_transmit+0x1f6/0x2a0 drivers/net/wan/lapbether.c:257 lapb_data_transmit+0x91/0xb0 net/lapb/lapb_iface.c:447 lapb_transmit_buffer+0x168/0x1f0 net/lapb/lapb_out.c:149 lapb_establish_data_link+0x84/0xd0 lapb_device_event+0x4e0/0x670 notifier_call_chain+0x19f/0x3e0 kernel/notifier.c:93 __dev_notify_flags+0x207/0x400 dev_change_flags+0xf0/0x1a0 net/core/dev.c:8922 devinet_ioctl+0xa4e/0x1aa0 net/ipv4/devinet.c:1188 inet_ioctl+0x3d7/0x4f0 net/ipv4/af_inet.c:1003 sock_do_ioctl+0x158/0x460 net/socket.c:1227 sock_ioctl+0x626/0x8e0 net/socket.c:1346 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl+0xf9/0x170 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 Уязвимость компонента lapb.h ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: DR, prevent potential error pointer dereference The dr_domain_add_vport_cap() function generally returns NULL on error but sometimes we want it to return ERR_PTR(-EBUSY) so the caller can retry. The problem here is that "ret" can be either -EBUSY or -ENOMEM and if it's and -ENOMEM then the error pointer is propogated back and eventually dereferenced in dr_ste_v0_build_src_gvmi_qpn_tag(). Уязвимость компонента dr_domain.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: acpi: nfit: vmalloc-out-of-bounds Read in acpi_nfit_ctl Fix an issue detected by syzbot with KASAN: BUG: KASAN: vmalloc-out-of-bounds in cmd_to_func drivers/acpi/nfit/ core.c:416 [inline] BUG: KASAN: vmalloc-out-of-bounds in acpi_nfit_ctl+0x20e8/0x24a0 drivers/acpi/nfit/core.c:459 The issue occurs in cmd_to_func when the call_pkg->nd_reserved2 array is accessed without verifying that call_pkg points to a buffer that is appropriately sized as a struct nd_cmd_pkg. This can lead to out-of-bounds access and undefined behavior if the buffer does not have sufficient space. To address this, a check was added in acpi_nfit_ctl() to ensure that buf is not NULL and that buf_len is less than sizeof(*call_pkg) before accessing it. This ensures safe access to the members of call_pkg, including the nd_reserved2 array. Уязвимость компонента компонента core.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: nl80211: fix NL80211_ATTR_MLO_LINK_ID off-by-one Since the netlink attribute range validation provides inclusive checking, the *max* of attribute NL80211_ATTR_MLO_LINK_ID should be IEEE80211_MLD_MAX_NUM_LINKS - 1 otherwise causing an off-by-one. One crash stack for demonstration: ================================================================== BUG: KASAN: wild-memory-access in ieee80211_tx_control_port+0x3b6/0xca0 net/mac80211/tx.c:5939 Read of size 6 at addr 001102080000000c by task fuzzer.386/9508 CPU: 1 PID: 9508 Comm: syz.1.386 Not tainted 6.1.70 #2 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x177/0x231 lib/dump_stack.c:106 print_report+0xe0/0x750 mm/kasan/report.c:398 kasan_report+0x139/0x170 mm/kasan/report.c:495 kasan_check_range+0x287/0x290 mm/kasan/generic.c:189 memcpy+0x25/0x60 mm/kasan/shadow.c:65 ieee80211_tx_control_port+0x3b6/0xca0 net/mac80211/tx.c:5939 rdev_tx_control_port net/wireless/rdev-ops.h:761 [inline] nl80211_tx_control_port+0x7b3/0xc40 net/wireless/nl80211.c:15453 genl_family_rcv_msg_doit+0x22e/0x320 net/netlink/genetlink.c:756 genl_family_rcv_msg net/netlink/genetlink.c:833 [inline] genl_rcv_msg+0x539/0x740 net/netlink/genetlink.c:850 netlink_rcv_skb+0x1de/0x420 net/netlink/af_netlink.c:2508 genl_rcv+0x24/0x40 net/netlink/genetlink.c:861 netlink_unicast_kernel net/netlink/af_netlink.c:1326 [inline] netlink_unicast+0x74b/0x8c0 net/netlink/af_netlink.c:1352 netlink_sendmsg+0x882/0xb90 net/netlink/af_netlink.c:1874 sock_sendmsg_nosec net/socket.c:716 [inline] __sock_sendmsg net/socket.c:728 [inline] ____sys_sendmsg+0x5cc/0x8f0 net/socket.c:2499 ___sys_sendmsg+0x21c/0x290 net/socket.c:2553 __sys_sendmsg net/socket.c:2582 [inline] __do_sys_sendmsg net/socket.c:2591 [inline] __se_sys_sendmsg+0x19e/0x270 net/socket.c:2589 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x45/0x90 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x63/0xcd Update the policy to ensure correct validation. Уязвимость компонента nl80211.c ядра операционной системы Linux связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-193'), NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: u_serial: Fix the issue that gs_start_io crashed due to accessing null pointer Considering that in some extreme cases, when u_serial driver is accessed by multiple threads, Thread A is executing the open operation and calling the gs_open, Thread B is executing the disconnect operation and calling the gserial_disconnect function,The port->port_usb pointer will be set to NULL. E.g. Thread A Thread B gs_open() gadget_unbind_driver() gs_start_io() composite_disconnect() gs_start_rx() gserial_disconnect() ... ... spin_unlock(&port->port_lock) status = usb_ep_queue() spin_lock(&port->port_lock) spin_lock(&port->port_lock) port->port_usb = NULL gs_free_requests(port->port_usb->in) spin_unlock(&port->port_lock) Crash This causes thread A to access a null pointer (port->port_usb is null) when calling the gs_free_requests function, causing a crash. If port_usb is NULL, the release request will be skipped as it will be done by gserial_disconnect. So add a null pointer check to gs_start_io before attempting to access the value of the pointer port->port_usb. Call trace: gs_start_io+0x164/0x25c gs_open+0x108/0x13c tty_open+0x314/0x638 chrdev_open+0x1b8/0x258 do_dentry_open+0x2c4/0x700 vfs_open+0x2c/0x3c path_openat+0xa64/0xc60 do_filp_open+0xb8/0x164 do_sys_openat2+0x84/0xf0 __arm64_sys_openat+0x70/0x9c invoke_syscall+0x58/0x114 el0_svc_common+0x80/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x38/0x68 Уязвимость компонента u_serial.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: blk-cgroup: Fix UAF in blkcg_unpin_online() blkcg_unpin_online() walks up the blkcg hierarchy putting the online pin. To walk up, it uses blkcg_parent(blkcg) but it was calling that after blkcg_destroy_blkgs(blkcg) which could free the blkcg, leading to the following UAF: ================================================================== BUG: KASAN: slab-use-after-free in blkcg_unpin_online+0x15a/0x270 Read of size 8 at addr ffff8881057678c0 by task kworker/9:1/117 CPU: 9 UID: 0 PID: 117 Comm: kworker/9:1 Not tainted 6.13.0-rc1-work-00182-gb8f52214c61a-dirty #48 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS unknown 02/02/2022 Workqueue: cgwb_release cgwb_release_workfn Call Trace: <TASK> dump_stack_lvl+0x27/0x80 print_report+0x151/0x710 kasan_report+0xc0/0x100 blkcg_unpin_online+0x15a/0x270 cgwb_release_workfn+0x194/0x480 process_scheduled_works+0x71b/0xe20 worker_thread+0x82a/0xbd0 kthread+0x242/0x2c0 ret_from_fork+0x33/0x70 ret_from_fork_asm+0x1a/0x30 </TASK> ... Freed by task 1944: kasan_save_track+0x2b/0x70 kasan_save_free_info+0x3c/0x50 __kasan_slab_free+0x33/0x50 kfree+0x10c/0x330 css_free_rwork_fn+0xe6/0xb30 process_scheduled_works+0x71b/0xe20 worker_thread+0x82a/0xbd0 kthread+0x242/0x2c0 ret_from_fork+0x33/0x70 ret_from_fork_asm+0x1a/0x30 Note that the UAF is not easy to trigger as the free path is indirected behind a couple RCU grace periods and a work item execution. I could only trigger it with artifical msleep() injected in blkcg_unpin_online(). Fix it by reading the parent pointer before destroying the blkcg's blkg's. Уязвимость компонента blk-cgroup.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix UAF via mismatching bpf_prog/attachment RCU flavors Uprobes always use bpf_prog_run_array_uprobe() under tasks-trace-RCU protection. But it is possible to attach a non-sleepable BPF program to a uprobe, and non-sleepable BPF programs are freed via normal RCU (see __bpf_prog_put_noref()). This leads to UAF of the bpf_prog because a normal RCU grace period does not imply a tasks-trace-RCU grace period. Fix it by explicitly waiting for a tasks-trace-RCU grace period after removing the attachment of a bpf_prog to a perf_event. Уязвимость функции perf_event_detach_bpf_prog() в модуле kernel/trace/bpf_trace.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/fadump: Move fadump_cma_init to setup_arch() after initmem_init() During early init CMA_MIN_ALIGNMENT_BYTES can be PAGE_SIZE, since pageblock_order is still zero and it gets initialized later during initmem_init() e.g. setup_arch() -> initmem_init() -> sparse_init() -> set_pageblock_order() One such use case where this causes issue is - early_setup() -> early_init_devtree() -> fadump_reserve_mem() -> fadump_cma_init() This causes CMA memory alignment check to be bypassed in cma_init_reserved_mem(). Then later cma_activate_area() can hit a VM_BUG_ON_PAGE(pfn & ((1 << order) - 1)) if the reserved memory area was not pageblock_order aligned. Fix it by moving the fadump_cma_init() after initmem_init(), where other such cma reservations also gets called. <stack trace> ============== page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x10010 flags: 0x13ffff800000000(node=1|zone=0|lastcpupid=0x7ffff) CMA raw: 013ffff800000000 5deadbeef0000100 5deadbeef0000122 0000000000000000 raw: 0000000000000000 0000000000000000 00000000ffffffff 0000000000000000 page dumped because: VM_BUG_ON_PAGE(pfn & ((1 << order) - 1)) ------------[ cut here ]------------ kernel BUG at mm/page_alloc.c:778! Call Trace: __free_one_page+0x57c/0x7b0 (unreliable) free_pcppages_bulk+0x1a8/0x2c8 free_unref_page_commit+0x3d4/0x4e4 free_unref_page+0x458/0x6d0 init_cma_reserved_pageblock+0x114/0x198 cma_init_reserved_areas+0x270/0x3e0 do_one_initcall+0x80/0x2f8 kernel_init_freeable+0x33c/0x530 kernel_init+0x34/0x26c ret_from_kernel_user_thread+0x14/0x1c Уязвимость компонентов powerpc/fadump ядра операционной системы Linux связана с ошибкой использования после освобождения. Эксплуатация уязвимости может позволить нарушителю повысить привилегии в системе [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/mm/fault: Fix kfence page fault reporting copy_from_kernel_nofault() can be called when doing read of /proc/kcore. /proc/kcore can have some unmapped kfence objects which when read via copy_from_kernel_nofault() can cause page faults. Since *_nofault() functions define their own fixup table for handling fault, use that instead of asking kfence to handle such faults. Hence we search the exception tables for the nip which generated the fault. If there is an entry then we let the fixup table handler handle the page fault by returning an error from within ___do_page_fault(). This can be easily triggered if someone tries to do dd from /proc/kcore. eg. dd if=/proc/kcore of=/dev/null bs=1M Some example false negatives: =============================== BUG: KFENCE: invalid read in copy_from_kernel_nofault+0x9c/0x1a0 Invalid read at 0xc0000000fdff0000: copy_from_kernel_nofault+0x9c/0x1a0 0xc00000000665f950 read_kcore_iter+0x57c/0xa04 proc_reg_read_iter+0xe4/0x16c vfs_read+0x320/0x3ec ksys_read+0x90/0x154 system_call_exception+0x120/0x310 system_call_vectored_common+0x15c/0x2ec BUG: KFENCE: use-after-free read in copy_from_kernel_nofault+0x9c/0x1a0 Use-after-free read at 0xc0000000fe050000 (in kfence-#2): copy_from_kernel_nofault+0x9c/0x1a0 0xc00000000665f950 read_kcore_iter+0x57c/0xa04 proc_reg_read_iter+0xe4/0x16c vfs_read+0x320/0x3ec ksys_read+0x90/0x154 system_call_exception+0x120/0x310 system_call_vectored_common+0x15c/0x2ec Уязвимость функции ___do_page_fault() модуля arch/powerpc/mm/fault.c поддержки платформы PowerPC ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: handle otx2_mbox_get_rsp errors in otx2_common.c Add error pointer check after calling otx2_mbox_get_rsp(). Уязвимость компонента octeontx2-pf ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: bcm - add error check in the ahash_hmac_init function The ahash_init functions may return fails. The ahash_hmac_init should not return ok when ahash_init returns error. For an example, ahash_init will return -ENOMEM when allocation memory is error. Уязвимость компонента crypto ядра операционной системы Linux связана с неправильной обработкой ошибок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vc4: hdmi: Avoid hang with debug registers when suspended Trying to read /sys/kernel/debug/dri/1/hdmi1_regs when the hdmi is disconnected results in a fatal system hang. This is due to the pm suspend code disabling the dvp clock. That is just a gate of the 108MHz clock in DVP_HT_RPI_MISC_CONFIG, which results in accesses hanging AXI bus. Protect against this. Уязвимость компонента drivers/gpu/drm/vc4/vc4_hdmi.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: musb: Fix hardware lockup on first Rx endpoint request There is a possibility that a request's callback could be invoked from usb_ep_queue() (call trace below, supplemented with missing calls): req->complete from usb_gadget_giveback_request (drivers/usb/gadget/udc/core.c:999) usb_gadget_giveback_request from musb_g_giveback (drivers/usb/musb/musb_gadget.c:147) musb_g_giveback from rxstate (drivers/usb/musb/musb_gadget.c:784) rxstate from musb_ep_restart (drivers/usb/musb/musb_gadget.c:1169) musb_ep_restart from musb_ep_restart_resume_work (drivers/usb/musb/musb_gadget.c:1176) musb_ep_restart_resume_work from musb_queue_resume_work (drivers/usb/musb/musb_core.c:2279) musb_queue_resume_work from musb_gadget_queue (drivers/usb/musb/musb_gadget.c:1241) musb_gadget_queue from usb_ep_queue (drivers/usb/gadget/udc/core.c:300) According to the docstring of usb_ep_queue(), this should not happen: "Note that @req's ->complete() callback must never be called from within usb_ep_queue() as that can create deadlock situations." In fact, a hardware lockup might occur in the following sequence: 1. The gadget is initialized using musb_gadget_enable(). 2. Meanwhile, a packet arrives, and the RXPKTRDY flag is set, raising an interrupt. 3. If IRQs are enabled, the interrupt is handled, but musb_g_rx() finds an empty queue (next_request() returns NULL). The interrupt flag has already been cleared by the glue layer handler, but the RXPKTRDY flag remains set. 4. The first request is enqueued using usb_ep_queue(), leading to the call of req->complete(), as shown in the call trace above. 5. If the callback enables IRQs and another packet is waiting, step (3) repeats. The request queue is empty because usb_g_giveback() removes the request before invoking the callback. 6. The endpoint remains locked up, as the interrupt triggered by hardware setting the RXPKTRDY flag has been handled, but the flag itself remains set. For this scenario to occur, it is only necessary for IRQs to be enabled at some point during the complete callback. This happens with the USB Ethernet gadget, whose rx_complete() callback calls netif_rx(). If called in the task context, netif_rx() disables the bottom halves (BHs). When the BHs are re-enabled, IRQs are also enabled to allow soft IRQs to be processed. The gadget itself is initialized at module load (or at boot if built-in), but the first request is enqueued when the network interface is brought up, triggering rx_complete() in the task context via ioctl(). If a packet arrives while the interface is down, it can prevent the interface from receiving any further packets from the USB host. The situation is quite complicated with many parties involved. This particular issue can be resolved in several possible ways: 1. Ensure that callbacks never enable IRQs. This would be difficult to enforce, as discovering how netif_rx() interacts with interrupts was already quite challenging and u_ether is not the only function driver. Similar "bugs" could be hidden in other drivers as well. 2. Disable MUSB interrupts in musb_g_giveback() before calling the callback and re-enable them afterwars (by calling musb_{dis,en}able_interrupts(), for example). This would ensure that MUSB interrupts are not handled during the callback, even if IRQs are enabled. In fact, it would allow IRQs to be enabled when releasing the lock. However, this feels like an inelegant hack. 3. Modify the interrupt handler to clear the RXPKTRDY flag if the request queue is empty. While this approach also feels like a hack, it wastes CPU time by attempting to handle incoming packets when the software is not ready to process them. 4. Flush the Rx FIFO instead of calling rxstate() in musb_ep_restart(). This ensures that the hardware can receive packets when there is at least one request in the queue. Once I ---truncated--- Уязвимость компонента drivers/usb/musb/musb_gadget.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sunrpc: clear XPRT_SOCK_UPD_TIMEOUT when reset transport Since transport->sock has been set to NULL during reset transport, XPRT_SOCK_UPD_TIMEOUT also needs to be cleared. Otherwise, the xs_tcp_set_socket_timeouts() may be triggered in xs_tcp_send_request() to dereference the transport->sock that has been set to NULL. Уязвимость компонента xprtsock.cядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: pcrypt - Call crypto layer directly when padata_do_parallel() return -EBUSY Since commit 8f4f68e788c3 ("crypto: pcrypt - Fix hungtask for PADATA_RESET"), the pcrypt encryption and decryption operations return -EAGAIN when the CPU goes online or offline. In alg_test(), a WARN is generated when pcrypt_aead_decrypt() or pcrypt_aead_encrypt() returns -EAGAIN, the unnecessary panic will occur when panic_on_warn set 1. Fix this issue by calling crypto layer directly without parallelization in that case. Уязвимость компонента crypto/pcrypt.c ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mfd: intel_soc_pmic_bxtwc: Use IRQ domain for USB Type-C device While design wise the idea of converting the driver to use the hierarchy of the IRQ chips is correct, the implementation has (inherited) flaws. This was unveiled when platform_get_irq() had started WARN() on IRQ 0 that is supposed to be a Linux IRQ number (also known as vIRQ). Rework the driver to respect IRQ domain when creating each MFD device separately, as the domain is not the same for all of them. Уязвимость компонента mfd ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: brd: defer automatic disk creation until module initialization succeeds My colleague Wupeng found the following problems during fault injection: BUG: unable to handle page fault for address: fffffbfff809d073 PGD 6e648067 P4D 123ec8067 PUD 123ec4067 PMD 100e38067 PTE 0 Oops: Oops: 0000 [#1] PREEMPT SMP KASAN NOPTI CPU: 5 UID: 0 PID: 755 Comm: modprobe Not tainted 6.12.0-rc3+ #17 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.1-2.fc37 04/01/2014 RIP: 0010:__asan_load8+0x4c/0xa0 ... Call Trace: <TASK> blkdev_put_whole+0x41/0x70 bdev_release+0x1a3/0x250 blkdev_release+0x11/0x20 __fput+0x1d7/0x4a0 task_work_run+0xfc/0x180 syscall_exit_to_user_mode+0x1de/0x1f0 do_syscall_64+0x6b/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e loop_init() is calling loop_add() after __register_blkdev() succeeds and is ignoring disk_add() failure from loop_add(), for loop_add() failure is not fatal and successfully created disks are already visible to bdev_open(). brd_init() is currently calling brd_alloc() before __register_blkdev() succeeds and is releasing successfully created disks when brd_init() returns an error. This can cause UAF for the latter two case: case 1: T1: modprobe brd brd_init brd_alloc(0) // success add_disk disk_scan_partitions bdev_file_open_by_dev // alloc file fput // won't free until back to userspace brd_alloc(1) // failed since mem alloc error inject // error path for modprobe will release code segment // back to userspace __fput blkdev_release bdev_release blkdev_put_whole bdev->bd_disk->fops->release // fops is freed now, UAF! case 2: T1: T2: modprobe brd brd_init brd_alloc(0) // success open(/dev/ram0) brd_alloc(1) // fail // error path for modprobe close(/dev/ram0) ... /* UAF! */ bdev->bd_disk->fops->release Fix this problem by following what loop_init() does. Besides, reintroduce brd_devices_mutex to help serialize modifications to brd_list. Уязвимость функции brd_init() модуля drivers/block/brd.c - драйвера поддержки блочных устройств ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: gadget: Fix looping of queued SG entries The dwc3_request->num_queued_sgs is decremented on completion. If a partially completed request is handled, then the dwc3_request->num_queued_sgs no longer reflects the total number of num_queued_sgs (it would be cleared). Correctly check the number of request SG entries remained to be prepare and queued. Failure to do this may cause null pointer dereference when accessing non-existent SG entry. Уязвимость компонента drivers/usb/dwc3/gadget.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: wl128x: Fix atomicity violation in fmc_send_cmd() Atomicity violation occurs when the fmc_send_cmd() function is executed simultaneously with the modification of the fmdev->resp_skb value. Consider a scenario where, after passing the validity check within the function, a non-null fmdev->resp_skb variable is assigned a null value. This results in an invalid fmdev->resp_skb variable passing the validity check. As seen in the later part of the function, skb = fmdev->resp_skb; when the invalid fmdev->resp_skb passes the check, a null pointer dereference error may occur at line 478, evt_hdr = (void *)skb->data; To address this issue, it is recommended to include the validity check of fmdev->resp_skb within the locked section of the function. This modification ensures that the value of fmdev->resp_skb does not change during the validation process, thereby maintaining its validity. This possible bug is found by an experimental static analysis tool developed by our team. This tool analyzes the locking APIs to extract function pairs that can be concurrently executed, and then analyzes the instructions in the paired functions to identify possible concurrency bugs including data races and atomicity violations. Уязвимость компонента media ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/pseries: Fix dtl_access_lock to be a rw_semaphore The dtl_access_lock needs to be a rw_sempahore, a sleeping lock, because the code calls kmalloc() while holding it, which can sleep: # echo 1 > /proc/powerpc/vcpudispatch_stats BUG: sleeping function called from invalid context at include/linux/sched/mm.h:337 in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 199, name: sh preempt_count: 1, expected: 0 3 locks held by sh/199: #0: c00000000a0743f8 (sb_writers#3){.+.+}-{0:0}, at: vfs_write+0x324/0x438 #1: c0000000028c7058 (dtl_enable_mutex){+.+.}-{3:3}, at: vcpudispatch_stats_write+0xd4/0x5f4 #2: c0000000028c70b8 (dtl_access_lock){+.+.}-{2:2}, at: vcpudispatch_stats_write+0x220/0x5f4 CPU: 0 PID: 199 Comm: sh Not tainted 6.10.0-rc4 #152 Hardware name: IBM pSeries (emulated by qemu) POWER9 (raw) 0x4e1202 0xf000005 of:SLOF,HEAD hv:linux,kvm pSeries Call Trace: dump_stack_lvl+0x130/0x148 (unreliable) __might_resched+0x174/0x410 kmem_cache_alloc_noprof+0x340/0x3d0 alloc_dtl_buffers+0x124/0x1ac vcpudispatch_stats_write+0x2a8/0x5f4 proc_reg_write+0xf4/0x150 vfs_write+0xfc/0x438 ksys_write+0x88/0x148 system_call_exception+0x1c4/0x5a0 system_call_common+0xf4/0x258 Уязвимость компонентов powerpc/pseries ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: 9p/xen: fix release of IRQ Kernel logs indicate an IRQ was double-freed. Pass correct device ID during IRQ release. [Dominique: remove confusing variable reset to 0] Уязвимость компонента 9p/xen ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415'), NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: atomisp: Add check for rgby_data memory allocation failure In ia_css_3a_statistics_allocate(), there is no check on the allocation result of the rgby_data memory. If rgby_data is not successfully allocated, it may trigger the assert(host_stats->rgby_data) assertion in ia_css_s3a_hmem_decode(). Adding a check to fix this potential issue. Уязвимость компонента media ядра операционной системы Linux связана с достижимым утверждением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: handle otx2_mbox_get_rsp errors in otx2_dmac_flt.c Add error pointer checks after calling otx2_mbox_get_rsp(). Уязвимость компонента drivers/net/ethernet/marvell/octeontx2/nic/otx2_dmac_flt.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: EDAC/igen6: Avoid segmentation fault on module unload The segmentation fault happens because: During modprobe: 1. In igen6_probe(), igen6_pvt will be allocated with kzalloc() 2. In igen6_register_mci(), mci->pvt_info will point to &igen6_pvt->imc[mc] During rmmod: 1. In mci_release() in edac_mc.c, it will kfree(mci->pvt_info) 2. In igen6_remove(), it will kfree(igen6_pvt); Fix this issue by setting mci->pvt_info to NULL to avoid the double kfree. Уязвимость компонента igen6_edac.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415'), NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring: check if iowq is killed before queuing task work can be executed after the task has gone through io_uring termination, whether it's the final task_work run or the fallback path. In this case, task work will find ->io_wq being already killed and null'ed, which is a problem if it then tries to forward the request to io_queue_iowq(). Make io_queue_iowq() fail requests in this case. Note that it also checks PF_KTHREAD, because the user can first close a DEFER_TASKRUN ring and shortly after kill the task, in which case ->iowq check would race. Уязвимость функции io_queue_iowq() модуля io_uring/io_uring.c интерфейса асинхронного ввода/вывода ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ionic: Fix netdev notifier unregister on failure If register_netdev() fails, then the driver leaks the netdev notifier. Fix this by calling ionic_lif_unregister() on register_netdev() failure. This will also call ionic_lif_unregister_phc() if it has already been registered. Уязвимость компонента ionic_lif.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netdevsim: prevent bad user input in nsim_dev_health_break_write() If either a zero count or a large one is provided, kernel can crash. Уязвимость функции nsim_dev_health_break_write() компонента health.c ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1284'), NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/smc: protect link down work from execute after lgr freed link down work may be scheduled before lgr freed but execute after lgr freed, which may result in crash. So it is need to hold a reference before shedule link down work, and put the reference after work executed or canceled. The relevant crash call stack as follows: list_del corruption. prev->next should be ffffb638c9c0fe20, but was 0000000000000000 ------------[ cut here ]------------ kernel BUG at lib/list_debug.c:51! invalid opcode: 0000 [#1] SMP NOPTI CPU: 6 PID: 978112 Comm: kworker/6:119 Kdump: loaded Tainted: G #1 Hardware name: Alibaba Cloud Alibaba Cloud ECS, BIOS 2221b89 04/01/2014 Workqueue: events smc_link_down_work [smc] RIP: 0010:__list_del_entry_valid.cold+0x31/0x47 RSP: 0018:ffffb638c9c0fdd8 EFLAGS: 00010086 RAX: 0000000000000054 RBX: ffff942fb75e5128 RCX: 0000000000000000 RDX: ffff943520930aa0 RSI: ffff94352091fc80 RDI: ffff94352091fc80 RBP: 0000000000000000 R08: 0000000000000000 R09: ffffb638c9c0fc38 R10: ffffb638c9c0fc30 R11: ffffffffa015eb28 R12: 0000000000000002 R13: ffffb638c9c0fe20 R14: 0000000000000001 R15: ffff942f9cd051c0 FS: 0000000000000000(0000) GS:ffff943520900000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f4f25214000 CR3: 000000025fbae004 CR4: 00000000007706e0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: rwsem_down_write_slowpath+0x17e/0x470 smc_link_down_work+0x3c/0x60 [smc] process_one_work+0x1ac/0x350 worker_thread+0x49/0x2f0 ? rescuer_thread+0x360/0x360 kthread+0x118/0x140 ? __kthread_bind_mask+0x60/0x60 ret_from_fork+0x1f/0x30 Уязвимость компонента smc_core.c ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf, sockmap: Several fixes to bpf_msg_pop_data Several fixes to bpf_msg_pop_data, 1. In sk_msg_shift_left, we should put_page 2. if (len == 0), return early is better 3. pop the entire sk_msg (last == msg->sg.size) should be supported 4. Fix for the value of variable "a" 5. In sk_msg_shift_left, after shifting, i has already pointed to the next element. Addtional sk_msg_iter_var_next may result in BUG. Уязвимость компонента filter.c ядра операционной системы Linux связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-193'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Fix cpu stuck caused by printings during reset During reset, cmd to destroy resources such as qp, cq, and mr may fail, and error logs will be printed. When a large number of resources are destroyed, there will be lots of printings, and it may lead to a cpu stuck. Delete some unnecessary printings and replace other printing functions in these paths with the ratelimited version. Уязвимость ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mfd: intel_soc_pmic_bxtwc: Use IRQ domain for PMIC devices While design wise the idea of converting the driver to use the hierarchy of the IRQ chips is correct, the implementation has (inherited) flaws. This was unveiled when platform_get_irq() had started WARN() on IRQ 0 that is supposed to be a Linux IRQ number (also known as vIRQ). Rework the driver to respect IRQ domain when creating each MFD device separately, as the domain is not the same for all of them. Уязвимость компонента intel_soc_pmic_bxtwc.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mfd: intel_soc_pmic_bxtwc: Use IRQ domain for TMU device While design wise the idea of converting the driver to use the hierarchy of the IRQ chips is correct, the implementation has (inherited) flaws. This was unveiled when platform_get_irq() had started WARN() on IRQ 0 that is supposed to be a Linux IRQ number (also known as vIRQ). Rework the driver to respect IRQ domain when creating each MFD device separately, as the domain is not the same for all of them. Уязвимость компонентов intel_soc_pmic_bxtwc.c, bxtwc_tmu.c ядра операционной системы Linux связана с использованием просроченного дескриптора файла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: handle otx2_mbox_get_rsp errors in otx2_dcbnl.c Add error pointer check after calling otx2_mbox_get_rsp(). Уязвимость компонента otx2_dcbnl.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: handle otx2_mbox_get_rsp errors in cn10k.c Add error pointer check after calling otx2_mbox_get_rsp(). Уязвимость компонента cn10k.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: handle otx2_mbox_get_rsp errors in otx2_flows.c Adding error pointer check after calling otx2_mbox_get_rsp(). Уязвимость компонента otx2_flows.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: handle otx2_mbox_get_rsp errors in otx2_ethtool.c Add error pointer check after calling otx2_mbox_get_rsp(). Уязвимость компонента otx2_ethtool.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rtc: check if __rtc_read_time was successful in rtc_timer_do_work() If the __rtc_read_time call fails,, the struct rtc_time tm; may contain uninitialized data, or an illegal date/time read from the RTC hardware. When calling rtc_tm_to_ktime later, the result may be a very large value (possibly KTIME_MAX). If there are periodic timers in rtc->timerqueue, they will continually expire, may causing kernel softlockup. Уязвимость компонента interface.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: Fix reset_method_store() memory leak In reset_method_store(), a string is allocated via kstrndup() and assigned to the local "options". options is then used in with strsep() to find spaces: while ((name = strsep(&options, " ")) != NULL) { If there are no remaining spaces, then options is set to NULL by strsep(), so the subsequent kfree(options) doesn't free the memory allocated via kstrndup(). Fix by using a separate tmp_options to iterate with strsep() so options is preserved. Уязвимость компонента pci.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: sh7760fb: Fix a possible memory leak in sh7760fb_alloc_mem() When information such as info->screen_base is not ready, calling sh7760fb_free_mem() does not release memory correctly. Call dma_free_coherent() instead. Уязвимость компонента sh7760fb.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qedi: Fix a possible memory leak in qedi_alloc_and_init_sb() Hook "qedi_ops->common->sb_init = qed_sb_init" does not release the DMA memory sb_virt when it fails. Add dma_free_coherent() to free it. This is the same way as qedr_alloc_mem_sb() and qede_alloc_mem_sb(). Уязвимость компонента qedi_main.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qedf: Fix a possible memory leak in qedf_alloc_and_init_sb() Hook "qed_ops->common->sb_init = qed_sb_init" does not release the DMA memory sb_virt when it fails. Add dma_free_coherent() to free it. This is the same way as qedr_alloc_mem_sb() and qede_alloc_mem_sb(). Уязвимость компонента qedf_main.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: release nexthop on device removal The CI is hitting some aperiodic hangup at device removal time in the pmtu.sh self-test: unregister_netdevice: waiting for veth_A-R1 to become free. Usage count = 6 ref_tracker: veth_A-R1@ffff888013df15d8 has 1/5 users at dst_init+0x84/0x4a0 dst_alloc+0x97/0x150 ip6_dst_alloc+0x23/0x90 ip6_rt_pcpu_alloc+0x1e6/0x520 ip6_pol_route+0x56f/0x840 fib6_rule_lookup+0x334/0x630 ip6_route_output_flags+0x259/0x480 ip6_dst_lookup_tail.constprop.0+0x5c2/0x940 ip6_dst_lookup_flow+0x88/0x190 udp_tunnel6_dst_lookup+0x2a7/0x4c0 vxlan_xmit_one+0xbde/0x4a50 [vxlan] vxlan_xmit+0x9ad/0xf20 [vxlan] dev_hard_start_xmit+0x10e/0x360 __dev_queue_xmit+0xf95/0x18c0 arp_solicit+0x4a2/0xe00 neigh_probe+0xaa/0xf0 While the first suspect is the dst_cache, explicitly tracking the dst owing the last device reference via probes proved such dst is held by the nexthop in the originating fib6_info. Similar to commit f5b51fe804ec ("ipv6: route: purge exception on removal"), we need to explicitly release the originating fib info when disconnecting a to-be-removed device from a live ipv6 dst: move the fib6_info cleanup into ip6_dst_ifdown(). Tested running: ./pmtu.sh cleanup_ipv6_exception in a tight loop for more than 400 iterations with no spat, running an unpatched kernel I observed a splat every ~10 iterations. Уязвимость компонента route.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: caam - Fix the pointer passed to caam_qi_shutdown() The type of the last parameter given to devm_add_action_or_reset() is "struct caam_drv_private *", but in caam_qi_shutdown(), it is casted to "struct device *". Pass the correct parameter to devm_add_action_or_reset() so that the resources are released as expected. Уязвимость функции caam_qi_init компонента qi.c ядра операционной системы Linux связана с ошибками преобразования типов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfs/fscache: Add a memory barrier for FSCACHE_VOLUME_CREATING In fscache_create_volume(), there is a missing memory barrier between the bit-clearing operation and the wake-up operation. This may cause a situation where, after a wake-up, the bit-clearing operation hasn't been detected yet, leading to an indefinite wait. The triggering process is as follows: [cookie1] [cookie2] [volume_work] fscache_perform_lookup fscache_create_volume fscache_perform_lookup fscache_create_volume fscache_create_volume_work cachefiles_acquire_volume clear_and_wake_up_bit test_and_set_bit test_and_set_bit goto maybe_wait goto no_wait In the above process, cookie1 and cookie2 has the same volume. When cookie1 enters the -no_wait- process, it will clear the bit and wake up the waiting process. If a barrier is missing, it may cause cookie2 to remain in the -wait- process indefinitely. In commit 3288666c7256 ("fscache: Use clear_and_wake_up_bit() in fscache_create_volume_work()"), barriers were added to similar operations in fscache_create_volume_work(), but fscache_create_volume() was missed. By combining the clear and wake operations into clear_and_wake_up_bit() to fix this issue. Уязвимость компонента fscache_volume.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvme-pci: fix freeing of the HMB descriptor table The HMB descriptor table is sized to the maximum number of descriptors that could be used for a given device, but __nvme_alloc_host_mem could break out of the loop earlier on memory allocation failure and end up using less descriptors than planned for, which leads to an incorrect size passed to dma_free_coherent. In practice this was not showing up because the number of descriptors tends to be low and the dma coherent allocator always allocates and frees at least a page. Уязвимость компонента pci.c ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tracing: Prevent bad count for tracing_cpumask_write If a large count is provided, it will trigger a warning in bitmap_parse_user. Also check zero for it. Уязвимость компонента trace.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/pseries/vas: Add close() callback in vas_vm_ops struct The mapping VMA address is saved in VAS window struct when the paste address is mapped. This VMA address is used during migration to unmap the paste address if the window is active. The paste address mapping will be removed when the window is closed or with the munmap(). But the VMA address in the VAS window is not updated with munmap() which is causing invalid access during migration. The KASAN report shows: [16386.254991] BUG: KASAN: slab-use-after-free in reconfig_close_windows+0x1a0/0x4e8 [16386.255043] Read of size 8 at addr c00000014a819670 by task drmgr/696928 [16386.255096] CPU: 29 UID: 0 PID: 696928 Comm: drmgr Kdump: loaded Tainted: G B 6.11.0-rc5-nxgzip #2 [16386.255128] Tainted: [B]=BAD_PAGE [16386.255148] Hardware name: IBM,9080-HEX Power11 (architected) 0x820200 0xf000007 of:IBM,FW1110.00 (NH1110_016) hv:phyp pSeries [16386.255181] Call Trace: [16386.255202] [c00000016b297660] [c0000000018ad0ac] dump_stack_lvl+0x84/0xe8 (unreliable) [16386.255246] [c00000016b297690] [c0000000006e8a90] print_report+0x19c/0x764 [16386.255285] [c00000016b297760] [c0000000006e9490] kasan_report+0x128/0x1f8 [16386.255309] [c00000016b297880] [c0000000006eb5c8] __asan_load8+0xac/0xe0 [16386.255326] [c00000016b2978a0] [c00000000013f898] reconfig_close_windows+0x1a0/0x4e8 [16386.255343] [c00000016b297990] [c000000000140e58] vas_migration_handler+0x3a4/0x3fc [16386.255368] [c00000016b297a90] [c000000000128848] pseries_migrate_partition+0x4c/0x4c4 ... [16386.256136] Allocated by task 696554 on cpu 31 at 16377.277618s: [16386.256149] kasan_save_stack+0x34/0x68 [16386.256163] kasan_save_track+0x34/0x80 [16386.256175] kasan_save_alloc_info+0x58/0x74 [16386.256196] __kasan_slab_alloc+0xb8/0xdc [16386.256209] kmem_cache_alloc_noprof+0x200/0x3d0 [16386.256225] vm_area_alloc+0x44/0x150 [16386.256245] mmap_region+0x214/0x10c4 [16386.256265] do_mmap+0x5fc/0x750 [16386.256277] vm_mmap_pgoff+0x14c/0x24c [16386.256292] ksys_mmap_pgoff+0x20c/0x348 [16386.256303] sys_mmap+0xd0/0x160 ... [16386.256350] Freed by task 0 on cpu 31 at 16386.204848s: [16386.256363] kasan_save_stack+0x34/0x68 [16386.256374] kasan_save_track+0x34/0x80 [16386.256384] kasan_save_free_info+0x64/0x10c [16386.256396] __kasan_slab_free+0x120/0x204 [16386.256415] kmem_cache_free+0x128/0x450 [16386.256428] vm_area_free_rcu_cb+0xa8/0xd8 [16386.256441] rcu_do_batch+0x2c8/0xcf0 [16386.256458] rcu_core+0x378/0x3c4 [16386.256473] handle_softirqs+0x20c/0x60c [16386.256495] do_softirq_own_stack+0x6c/0x88 [16386.256509] do_softirq_own_stack+0x58/0x88 [16386.256521] __irq_exit_rcu+0x1a4/0x20c [16386.256533] irq_exit+0x20/0x38 [16386.256544] interrupt_async_exit_prepare.constprop.0+0x18/0x2c ... [16386.256717] Last potentially related work creation: [16386.256729] kasan_save_stack+0x34/0x68 [16386.256741] __kasan_record_aux_stack+0xcc/0x12c [16386.256753] __call_rcu_common.constprop.0+0x94/0xd04 [16386.256766] vm_area_free+0x28/0x3c [16386.256778] remove_vma+0xf4/0x114 [16386.256797] do_vmi_align_munmap.constprop.0+0x684/0x870 [16386.256811] __vm_munmap+0xe0/0x1f8 [16386.256821] sys_munmap+0x54/0x6c [16386.256830] system_call_exception+0x1a0/0x4a0 [16386.256841] system_call_vectored_common+0x15c/0x2ec [16386.256868] The buggy address belongs to the object at c00000014a819670 which belongs to the cache vm_area_struct of size 168 [16386.256887] The buggy address is located 0 bytes inside of freed 168-byte region [c00000014a819670, c00000014a819718) [16386.256915] The buggy address belongs to the physical page: [16386.256928] page: refcount:1 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x14a81 [16386.256950] memcg:c0000000ba430001 [16386.256961] anon flags: 0x43ffff800000000(node=4|zone=0|lastcpupid=0x7ffff) [16386.256975] page_type: 0xfdffffff(slab) [16386 ---truncated--- Уязвимость функции vm_fault_t vas_mmap_fault() модуля arch/powerpc/platforms/book3s/vas-api.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: at_xdmac: avoid null_prt_deref in at_xdmac_prep_dma_memset The at_xdmac_memset_create_desc may return NULL, which will lead to a null pointer dereference. For example, the len input is error, or the atchan->free_descs_list is empty and memory is exhausted. Therefore, add check to avoid this. Уязвимость компонента at_xdmac.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: dvb-frontends: dib3000mb: fix uninit-value in dib3000_write_reg Syzbot reports [1] an uninitialized value issue found by KMSAN in dib3000_read_reg(). Local u8 rb[2] is used in i2c_transfer() as a read buffer; in case that call fails, the buffer may end up with some undefined values. Since no elaborate error handling is expected in dib3000_write_reg(), simply zero out rb buffer to mitigate the problem. [1] Syzkaller report dvb-usb: bulk message failed: -22 (6/0) ===================================================== BUG: KMSAN: uninit-value in dib3000mb_attach+0x2d8/0x3c0 drivers/media/dvb-frontends/dib3000mb.c:758 dib3000mb_attach+0x2d8/0x3c0 drivers/media/dvb-frontends/dib3000mb.c:758 dibusb_dib3000mb_frontend_attach+0x155/0x2f0 drivers/media/usb/dvb-usb/dibusb-mb.c:31 dvb_usb_adapter_frontend_init+0xed/0x9a0 drivers/media/usb/dvb-usb/dvb-usb-dvb.c:290 dvb_usb_adapter_init drivers/media/usb/dvb-usb/dvb-usb-init.c:90 [inline] dvb_usb_init drivers/media/usb/dvb-usb/dvb-usb-init.c:186 [inline] dvb_usb_device_init+0x25a8/0x3760 drivers/media/usb/dvb-usb/dvb-usb-init.c:310 dibusb_probe+0x46/0x250 drivers/media/usb/dvb-usb/dibusb-mb.c:110 ... Local variable rb created at: dib3000_read_reg+0x86/0x4e0 drivers/media/dvb-frontends/dib3000mb.c:54 dib3000mb_attach+0x123/0x3c0 drivers/media/dvb-frontends/dib3000mb.c:758 ... Уязвимость компонента dib3000mb.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: netem: account for backlog updates from child qdisc In general, 'qlen' of any classful qdisc should keep track of the number of packets that the qdisc itself and all of its children holds. In case of netem, 'qlen' only accounts for the packets in its internal tfifo. When netem is used with a child qdisc, the child qdisc can use 'qdisc_tree_reduce_backlog' to inform its parent, netem, about created or dropped SKBs. This function updates 'qlen' and the backlog statistics of netem, but netem does not account for changes made by a child qdisc. 'qlen' then indicates the wrong number of packets in the tfifo. If a child qdisc creates new SKBs during enqueue and informs its parent about this, netem's 'qlen' value is increased. When netem dequeues the newly created SKBs from the child, the 'qlen' in netem is not updated. If 'qlen' reaches the configured sch->limit, the enqueue function stops working, even though the tfifo is not full. Reproduce the bug: Ensure that the sender machine has GSO enabled. Configure netem as root qdisc and tbf as its child on the outgoing interface of the machine as follows: $ tc qdisc add dev <oif> root handle 1: netem delay 100ms limit 100 $ tc qdisc add dev <oif> parent 1:0 tbf rate 50Mbit burst 1542 latency 50ms Send bulk TCP traffic out via this interface, e.g., by running an iPerf3 client on the machine. Check the qdisc statistics: $ tc -s qdisc show dev <oif> Statistics after 10s of iPerf3 TCP test before the fix (note that netem's backlog > limit, netem stopped accepting packets): qdisc netem 1: root refcnt 2 limit 1000 delay 100ms Sent 2767766 bytes 1848 pkt (dropped 652, overlimits 0 requeues 0) backlog 4294528236b 1155p requeues 0 qdisc tbf 10: parent 1:1 rate 50Mbit burst 1537b lat 50ms Sent 2767766 bytes 1848 pkt (dropped 327, overlimits 7601 requeues 0) backlog 0b 0p requeues 0 Statistics after the fix: qdisc netem 1: root refcnt 2 limit 1000 delay 100ms Sent 37766372 bytes 24974 pkt (dropped 9, overlimits 0 requeues 0) backlog 0b 0p requeues 0 qdisc tbf 10: parent 1:1 rate 50Mbit burst 1537b lat 50ms Sent 37766372 bytes 24974 pkt (dropped 327, overlimits 96017 requeues 0) backlog 0b 0p requeues 0 tbf segments the GSO SKBs (tbf_segment) and updates the netem's 'qlen'. The interface fully stops transferring packets and "locks". In this case, the child qdisc and tfifo are empty, but 'qlen' indicates the tfifo is at its limit and no more packets are accepted. This patch adds a counter for the entries in the tfifo. Netem's 'qlen' is only decreased when a packet is returned by its dequeue function, and not during enqueuing into the child qdisc. External updates to 'qlen' are thus accounted for and only the behavior of the backlog statistics changes. As in other qdiscs, 'qlen' then keeps track of how many packets are held in netem and all of its children. As before, sch->limit remains as the maximum number of packets in the tfifo. The same applies to netem's backlog statistics. Уязвимость компонента sch_netem.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: add a sanity check for btrfs root in btrfs_search_slot() Syzbot reports a null-ptr-deref in btrfs_search_slot(). The reproducer is using rescue=ibadroots, and the extent tree root is corrupted thus the extent tree is NULL. When scrub tries to search the extent tree to gather the needed extent info, btrfs_search_slot() doesn't check if the target root is NULL or not, resulting the null-ptr-deref. Add sanity check for btrfs root before using it in btrfs_search_slot(). Уязвимость компонента ctree.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/sti: avoid potential dereference of error pointers The return value of drm_atomic_get_crtc_state() needs to be checked. To avoid use of error pointer 'crtc_state' in case of the failure. Уязвимость компонента sti_cursor.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/sti: avoid potential dereference of error pointers in sti_gdp_atomic_check The return value of drm_atomic_get_crtc_state() needs to be checked. To avoid use of error pointer 'crtc_state' in case of the failure. Уязвимость компонента sti_gdp.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/sti: avoid potential dereference of error pointers in sti_hqvdp_atomic_check The return value of drm_atomic_get_crtc_state() needs to be checked. To avoid use of error pointer 'crtc_state' in case of the failure. Уязвимость компонента sti_hqvdp.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: fix nfs4_openowner leak when concurrent nfsd4_open occur The action force umount(umount -f) will attempt to kill all rpc_task even umount operation may ultimately fail if some files remain open. Consequently, if an action attempts to open a file, it can potentially send two rpc_task to nfs server. NFS CLIENT thread1 thread2 open("file") ... nfs4_do_open _nfs4_do_open _nfs4_open_and_get_state _nfs4_proc_open nfs4_run_open_task /* rpc_task1 */ rpc_run_task rpc_wait_for_completion_task umount -f nfs_umount_begin rpc_killall_tasks rpc_signal_task rpc_task1 been wakeup and return -512 _nfs4_do_open // while loop ... nfs4_run_open_task /* rpc_task2 */ rpc_run_task rpc_wait_for_completion_task While processing an open request, nfsd will first attempt to find or allocate an nfs4_openowner. If it finds an nfs4_openowner that is not marked as NFS4_OO_CONFIRMED, this nfs4_openowner will released. Since two rpc_task can attempt to open the same file simultaneously from the client to server, and because two instances of nfsd can run concurrently, this situation can lead to lots of memory leak. Additionally, when we echo 0 to /proc/fs/nfsd/threads, warning will be triggered. NFS SERVER nfsd1 nfsd2 echo 0 > /proc/fs/nfsd/threads nfsd4_open nfsd4_process_open1 find_or_alloc_open_stateowner // alloc oo1, stateid1 nfsd4_open nfsd4_process_open1 find_or_alloc_open_stateowner // find oo1, without NFS4_OO_CONFIRMED release_openowner unhash_openowner_locked list_del_init(&oo->oo_perclient) // cannot find this oo // from client, LEAK!!! alloc_stateowner // alloc oo2 nfsd4_process_open2 init_open_stateid // associate oo1 // with stateid1, stateid1 LEAK!!! nfs4_get_vfs_file // alloc nfsd_file1 and nfsd_file_mark1 // all LEAK!!! nfsd4_process_open2 ... write_threads ... nfsd_destroy_serv nfsd_shutdown_net nfs4_state_shutdown_net nfs4_state_destroy_net destroy_client __destroy_client // won't find oo1!!! nfsd_shutdown_generic nfsd_file_cache_shutdown kmem_cache_destroy for nfsd_file_slab and nfsd_file_mark_slab // bark since nfsd_file1 // and nfsd_file_mark1 // still alive ======================================================================= BUG nfsd_file (Not tainted): Objects remaining in nfsd_file on __kmem_cache_shutdown() ----------------------------------------------------------------------- Slab 0xffd4000004438a80 objects=34 used=1 fp=0xff11000110e2ad28 flags=0x17ffffc0000240(workingset|head|node=0|zone=2|lastcpupid=0x1fffff) CPU: 4 UID: 0 PID: 757 Comm: sh Not tainted 6.12.0-rc6+ #19 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.1-2.fc37 04/01/2014 Call Trace: <TASK> dum ---truncated--- Уязвимость компонента nfs4state.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: quota: flush quota_release_work upon quota writeback One of the paths quota writeback is called from is: freeze_super() sync_filesystem() ext4_sync_fs() dquot_writeback_dquots() Since we currently don't always flush the quota_release_work queue in this path, we can end up with the following race: 1. dquot are added to releasing_dquots list during regular operations. 2. FS Freeze starts, however, this does not flush the quota_release_work queue. 3. Freeze completes. 4. Kernel eventually tries to flush the workqueue while FS is frozen which hits a WARN_ON since transaction gets started during frozen state: ext4_journal_check_start+0x28/0x110 [ext4] (unreliable) __ext4_journal_start_sb+0x64/0x1c0 [ext4] ext4_release_dquot+0x90/0x1d0 [ext4] quota_release_workfn+0x43c/0x4d0 Which is the following line: WARN_ON(sb->s_writers.frozen == SB_FREEZE_COMPLETE); Which ultimately results in generic/390 failing due to dmesg noise. This was detected on powerpc machine 15 cores. To avoid this, make sure to flush the workqueue during dquot_writeback_dquots() so we dont have any pending workitems after freeze. Уязвимость компонента dquot.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: MIPS: Loongson64: DTS: Really fix PCIe port nodes for ls7a Fix the dtc warnings: arch/mips/boot/dts/loongson/ls7a-pch.dtsi:68.16-416.5: Warning (interrupt_provider): /bus@10000000/pci@1a000000: '#interrupt-cells' found, but node is not an interrupt provider arch/mips/boot/dts/loongson/ls7a-pch.dtsi:68.16-416.5: Warning (interrupt_provider): /bus@10000000/pci@1a000000: '#interrupt-cells' found, but node is not an interrupt provider arch/mips/boot/dts/loongson/loongson64g_4core_ls7a.dtb: Warning (interrupt_map): Failed prerequisite 'interrupt_provider' And a runtime warning introduced in commit 045b14ca5c36 ("of: WARN on deprecated #address-cells/#size-cells handling"): WARNING: CPU: 0 PID: 1 at drivers/of/base.c:106 of_bus_n_addr_cells+0x9c/0xe0 Missing '#address-cells' in /bus@10000000/pci@1a000000/pci_bridge@9,0 The fix is similar to commit d89a415ff8d5 ("MIPS: Loongson64: DTS: Fix PCIe port nodes for ls7a"), which has fixed the issue for ls2k (despite its subject mentions ls7a). Уязвимость компонента ls7a-pch.dtsi ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: imx8m: Probe the SoC driver as platform driver With driver_async_probe=* on kernel command line, the following trace is produced because on i.MX8M Plus hardware because the soc-imx8m.c driver calls of_clk_get_by_name() which returns -EPROBE_DEFER because the clock driver is not yet probed. This was not detected during regular testing without driver_async_probe. Convert the SoC code to platform driver and instantiate a platform device in its current device_initcall() to probe the platform driver. Rework .soc_revision callback to always return valid error code and return SoC revision via parameter. This way, if anything in the .soc_revision callback return -EPROBE_DEFER, it gets propagated to .probe and the .probe will get retried later. " ------------[ cut here ]------------ WARNING: CPU: 1 PID: 1 at drivers/soc/imx/soc-imx8m.c:115 imx8mm_soc_revision+0xdc/0x180 CPU: 1 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.11.0-next-20240924-00002-g2062bb554dea #603 Hardware name: DH electronics i.MX8M Plus DHCOM Premium Developer Kit (3) (DT) pstate: 20000005 (nzCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : imx8mm_soc_revision+0xdc/0x180 lr : imx8mm_soc_revision+0xd0/0x180 sp : ffff8000821fbcc0 x29: ffff8000821fbce0 x28: 0000000000000000 x27: ffff800081810120 x26: ffff8000818a9970 x25: 0000000000000006 x24: 0000000000824311 x23: ffff8000817f42c8 x22: ffff0000df8be210 x21: fffffffffffffdfb x20: ffff800082780000 x19: 0000000000000001 x18: ffffffffffffffff x17: ffff800081fff418 x16: ffff8000823e1000 x15: ffff0000c03b65e8 x14: ffff0000c00051b0 x13: ffff800082790000 x12: 0000000000000801 x11: ffff80008278ffff x10: ffff80008209d3a6 x9 : ffff80008062e95c x8 : ffff8000821fb9a0 x7 : 0000000000000000 x6 : 00000000000080e3 x5 : ffff0000df8c03d8 x4 : 0000000000000000 x3 : 0000000000000000 x2 : 0000000000000000 x1 : fffffffffffffdfb x0 : fffffffffffffdfb Call trace: imx8mm_soc_revision+0xdc/0x180 imx8_soc_init+0xb0/0x1e0 do_one_initcall+0x94/0x1a8 kernel_init_freeable+0x240/0x2a8 kernel_init+0x28/0x140 ret_from_fork+0x10/0x20 ---[ end trace 0000000000000000 ]--- SoC: i.MX8MP revision 1.1 " Уязвимость компонента soc-imx8m.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/smc: check return value of sock_recvmsg when draining clc data When receiving clc msg, the field length in smc_clc_msg_hdr indicates the length of msg should be received from network and the value should not be fully trusted as it is from the network. Once the value of length exceeds the value of buflen in function smc_clc_wait_msg it may run into deadloop when trying to drain the remaining data exceeding buflen. This patch checks the return value of sock_recvmsg when draining data in case of deadloop in draining. Уязвимость компонента net/smc/smc_clc.c ядра операционной системы Linux связана с недоступностью контроля над безопасностью для администратора. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: power: supply: gpio-charger: Fix set charge current limits Fix set charge current limits for devices which allow to set the lowest charge current limit to be greater zero. If requested charge current limit is below lowest limit, the index equals current_limit_map_size which leads to accessing memory beyond allocated memory. Уязвимость компонента drivers/power/supply/gpio-charger.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/dp_mst: Ensure mst_primary pointer is valid in drm_dp_mst_handle_up_req() While receiving an MST up request message from one thread in drm_dp_mst_handle_up_req(), the MST topology could be removed from another thread via drm_dp_mst_topology_mgr_set_mst(false), freeing mst_primary and setting drm_dp_mst_topology_mgr::mst_primary to NULL. This could lead to a NULL deref/use-after-free of mst_primary in drm_dp_mst_handle_up_req(). Avoid the above by holding a reference for mst_primary in drm_dp_mst_handle_up_req() while it's used. v2: Fix kfreeing the request if getting an mst_primary reference fails. Уязвимость функции drm_dp_mst_up_req_work() драйвера drivers/gpu/drm/display/drm_dp_mst_topology.c поддержки инфраструктуры прямого рендеринга (DRI) ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netrom: check buffer length before accessing it Syzkaller reports an uninit value read from ax25cmp when sending raw message through ieee802154 implementation. ===================================================== BUG: KMSAN: uninit-value in ax25cmp+0x3a5/0x460 net/ax25/ax25_addr.c:119 ax25cmp+0x3a5/0x460 net/ax25/ax25_addr.c:119 nr_dev_get+0x20e/0x450 net/netrom/nr_route.c:601 nr_route_frame+0x1a2/0xfc0 net/netrom/nr_route.c:774 nr_xmit+0x5a/0x1c0 net/netrom/nr_dev.c:144 __netdev_start_xmit include/linux/netdevice.h:4940 [inline] netdev_start_xmit include/linux/netdevice.h:4954 [inline] xmit_one net/core/dev.c:3548 [inline] dev_hard_start_xmit+0x247/0xa10 net/core/dev.c:3564 __dev_queue_xmit+0x33b8/0x5130 net/core/dev.c:4349 dev_queue_xmit include/linux/netdevice.h:3134 [inline] raw_sendmsg+0x654/0xc10 net/ieee802154/socket.c:299 ieee802154_sock_sendmsg+0x91/0xc0 net/ieee802154/socket.c:96 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg net/socket.c:745 [inline] ____sys_sendmsg+0x9c2/0xd60 net/socket.c:2584 ___sys_sendmsg+0x28d/0x3c0 net/socket.c:2638 __sys_sendmsg net/socket.c:2667 [inline] __do_sys_sendmsg net/socket.c:2676 [inline] __se_sys_sendmsg net/socket.c:2674 [inline] __x64_sys_sendmsg+0x307/0x490 net/socket.c:2674 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0x44/0x110 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x63/0x6b Uninit was created at: slab_post_alloc_hook+0x129/0xa70 mm/slab.h:768 slab_alloc_node mm/slub.c:3478 [inline] kmem_cache_alloc_node+0x5e9/0xb10 mm/slub.c:3523 kmalloc_reserve+0x13d/0x4a0 net/core/skbuff.c:560 __alloc_skb+0x318/0x740 net/core/skbuff.c:651 alloc_skb include/linux/skbuff.h:1286 [inline] alloc_skb_with_frags+0xc8/0xbd0 net/core/skbuff.c:6334 sock_alloc_send_pskb+0xa80/0xbf0 net/core/sock.c:2780 sock_alloc_send_skb include/net/sock.h:1884 [inline] raw_sendmsg+0x36d/0xc10 net/ieee802154/socket.c:282 ieee802154_sock_sendmsg+0x91/0xc0 net/ieee802154/socket.c:96 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg net/socket.c:745 [inline] ____sys_sendmsg+0x9c2/0xd60 net/socket.c:2584 ___sys_sendmsg+0x28d/0x3c0 net/socket.c:2638 __sys_sendmsg net/socket.c:2667 [inline] __do_sys_sendmsg net/socket.c:2676 [inline] __se_sys_sendmsg net/socket.c:2674 [inline] __x64_sys_sendmsg+0x307/0x490 net/socket.c:2674 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0x44/0x110 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x63/0x6b CPU: 0 PID: 5037 Comm: syz-executor166 Not tainted 6.7.0-rc7-syzkaller-00003-gfbafc3e621c3 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 11/17/2023 ===================================================== This issue occurs because the skb buffer is too small, and it's actual allocation is aligned. This hides an actual issue, which is that nr_route_frame does not validate the buffer size before using it. Fix this issue by checking skb->len before accessing any fields in skb->data. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента nr_route.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=9.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: megaraid_sas: Fix for a potential deadlock This fixes a 'possible circular locking dependency detected' warning CPU0 CPU1 ---- ---- lock(&instance->reset_mutex); lock(&shost->scan_mutex); lock(&instance->reset_mutex); lock(&shost->scan_mutex); Fix this by temporarily releasing the reset_mutex. Уязвимость компонента megaraid_sas_base.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/entry: Mark IRQ entries to fix stack depot warnings The stack depot filters out everything outside of the top interrupt context as an uninteresting or irrelevant part of the stack traces. This helps with stack trace de-duplication, avoiding an explosion of saved stack traces that share the same IRQ context code path but originate from different randomly interrupted points, eventually exhausting the stack depot. Filtering uses in_irqentry_text() to identify functions within the .irqentry.text and .softirqentry.text sections, which then become the last stack trace entries being saved. While __do_softirq() is placed into the .softirqentry.text section by common code, populating .irqentry.text is architecture-specific. Currently, the .irqentry.text section on s390 is empty, which prevents stack depot filtering and de-duplication and could result in warnings like: Stack depot reached limit capacity WARNING: CPU: 0 PID: 286113 at lib/stackdepot.c:252 depot_alloc_stack+0x39a/0x3c8 with PREEMPT and KASAN enabled. Fix this by moving the IO/EXT interrupt handlers from .kprobes.text into the .irqentry.text section and updating the kprobes blacklist to include the .irqentry.text section. This is done only for asynchronous interrupts and explicitly not for program checks, which are synchronous and where the context beyond the program check is important to preserve. Despite machine checks being somewhat in between, they are extremely rare, and preserving context when possible is also of value. SVCs and Restart Interrupts are not relevant, one being always at the boundary to user space and the other being a one-time thing. IRQ entries filtering is also optionally used in ftrace function graph, where the same logic applies. Уязвимость компонента arch/s390 ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/cpum_sf: Handle CPU hotplug remove during sampling CPU hotplug remove handling triggers the following function call sequence: CPUHP_AP_PERF_S390_SF_ONLINE --> s390_pmu_sf_offline_cpu() ... CPUHP_AP_PERF_ONLINE --> perf_event_exit_cpu() The s390 CPUMF sampling CPU hotplug handler invokes: s390_pmu_sf_offline_cpu() +--> cpusf_pmu_setup() +--> setup_pmc_cpu() +--> deallocate_buffers() This function de-allocates all sampling data buffers (SDBs) allocated for that CPU at event initialization. It also clears the PMU_F_RESERVED bit. The CPU is gone and can not be sampled. With the event still being active on the removed CPU, the CPU event hotplug support in kernel performance subsystem triggers the following function calls on the removed CPU: perf_event_exit_cpu() +--> perf_event_exit_cpu_context() +--> __perf_event_exit_context() +--> __perf_remove_from_context() +--> event_sched_out() +--> cpumsf_pmu_del() +--> cpumsf_pmu_stop() +--> hw_perf_event_update() to stop and remove the event. During removal of the event, the sampling device driver tries to read out the remaining samples from the sample data buffers (SDBs). But they have already been freed (and may have been re-assigned). This may lead to a use after free situation in which case the samples are most likely invalid. In the best case the memory has not been reassigned and still contains valid data. Remedy this situation and check if the CPU is still in reserved state (bit PMU_F_RESERVED set). In this case the SDBs have not been released an contain valid data. This is always the case when the event is removed (and no CPU hotplug off occured). If the PMU_F_RESERVED bit is not set, the SDB buffers are gone. Уязвимость компонентов s390/cpum_sf ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jffs2: Prevent rtime decompress memory corruption The rtime decompression routine does not fully check bounds during the entirety of the decompression pass and can corrupt memory outside the decompression buffer if the compressed data is corrupted. This adds the required check to prevent this failure mode. Уязвимость функции jffs2_rtime_decompress() модуля fs/jffs2/compr_rtime.c файловой системы ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64: ptrace: fix partial SETREGSET for NT_ARM_TAGGED_ADDR_CTRL Currently tagged_addr_ctrl_set() doesn't initialize the temporary 'ctrl' variable, and a SETREGSET call with a length of zero will leave this uninitialized. Consequently tagged_addr_ctrl_set() will consume an arbitrary value, potentially leaking up to 64 bits of memory from the kernel stack. The read is limited to a specific slot on the stack, and the issue does not provide a write mechanism. As set_tagged_addr_ctrl() only accepts values where bits [63:4] zero and rejects other values, a partial SETREGSET attempt will randomly succeed or fail depending on the value of the uninitialized value, and the exposure is significantly limited. Fix this by initializing the temporary value before copying the regset from userspace, as for other regsets (e.g. NT_PRSTATUS, NT_PRFPREG, NT_ARM_SYSTEM_CALL). In the case of a zero-length write, the existing value of the tagged address ctrl will be retained. The NT_ARM_TAGGED_ADDR_CTRL regset is only visible in the user_aarch64_view used by a native AArch64 task to manipulate another native AArch64 task. As get_tagged_addr_ctrl() only returns an error value when called for a compat task, tagged_addr_ctrl_get() and tagged_addr_ctrl_set() should never observe an error value from get_tagged_addr_ctrl(). Add a WARN_ON_ONCE() to both to indicate that such an error would be unexpected, and error handlnig is not missing in either case. Уязвимость компонента arch/arm64/kernel/ptrace.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:H', score=6.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/dp_mst: Fix resetting msg rx state after topology removal If the MST topology is removed during the reception of an MST down reply or MST up request sideband message, the drm_dp_mst_topology_mgr::up_req_recv/down_rep_recv states could be reset from one thread via drm_dp_mst_topology_mgr_set_mst(false), racing with the reading/parsing of the message from another thread via drm_dp_mst_handle_down_rep() or drm_dp_mst_handle_up_req(). The race is possible since the reader/parser doesn't hold any lock while accessing the reception state. This in turn can lead to a memory corruption in the reader/parser as described by commit bd2fccac61b4 ("drm/dp_mst: Fix MST sideband message body length check"). Fix the above by resetting the message reception state if needed before reading/parsing a message. Another solution would be to hold the drm_dp_mst_topology_mgr::lock for the whole duration of the message reception/parsing in drm_dp_mst_handle_down_rep() and drm_dp_mst_handle_up_req(), however this would require a bigger change. Since the fix is also needed for stable, opting for the simpler solution in this patch. Уязвимость компонента drm/dp_mst ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: fix TCP options overflow. Syzbot reported the following splat: Oops: general protection fault, probably for non-canonical address 0xdffffc0000000001: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000008-0x000000000000000f] CPU: 1 UID: 0 PID: 5836 Comm: sshd Not tainted 6.13.0-rc3-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 11/25/2024 RIP: 0010:_compound_head include/linux/page-flags.h:242 [inline] RIP: 0010:put_page+0x23/0x260 include/linux/mm.h:1552 Code: 90 90 90 90 90 90 90 55 41 57 41 56 53 49 89 fe 48 bd 00 00 00 00 00 fc ff df e8 f8 5e 12 f8 49 8d 5e 08 48 89 d8 48 c1 e8 03 <80> 3c 28 00 74 08 48 89 df e8 8f c7 78 f8 48 8b 1b 48 89 de 48 83 RSP: 0000:ffffc90003916c90 EFLAGS: 00010202 RAX: 0000000000000001 RBX: 0000000000000008 RCX: ffff888030458000 RDX: 0000000000000100 RSI: 0000000000000000 RDI: 0000000000000000 RBP: dffffc0000000000 R08: ffffffff898ca81d R09: 1ffff110054414ac R10: dffffc0000000000 R11: ffffed10054414ad R12: 0000000000000007 R13: ffff88802a20a542 R14: 0000000000000000 R15: 0000000000000000 FS: 00007f34f496e800(0000) GS:ffff8880b8700000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f9d6ec9ec28 CR3: 000000004d260000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> skb_page_unref include/linux/skbuff_ref.h:43 [inline] __skb_frag_unref include/linux/skbuff_ref.h:56 [inline] skb_release_data+0x483/0x8a0 net/core/skbuff.c:1119 skb_release_all net/core/skbuff.c:1190 [inline] __kfree_skb+0x55/0x70 net/core/skbuff.c:1204 tcp_clean_rtx_queue net/ipv4/tcp_input.c:3436 [inline] tcp_ack+0x2442/0x6bc0 net/ipv4/tcp_input.c:4032 tcp_rcv_state_process+0x8eb/0x44e0 net/ipv4/tcp_input.c:6805 tcp_v4_do_rcv+0x77d/0xc70 net/ipv4/tcp_ipv4.c:1939 tcp_v4_rcv+0x2dc0/0x37f0 net/ipv4/tcp_ipv4.c:2351 ip_protocol_deliver_rcu+0x22e/0x440 net/ipv4/ip_input.c:205 ip_local_deliver_finish+0x341/0x5f0 net/ipv4/ip_input.c:233 NF_HOOK+0x3a4/0x450 include/linux/netfilter.h:314 NF_HOOK+0x3a4/0x450 include/linux/netfilter.h:314 __netif_receive_skb_one_core net/core/dev.c:5672 [inline] __netif_receive_skb+0x2bf/0x650 net/core/dev.c:5785 process_backlog+0x662/0x15b0 net/core/dev.c:6117 __napi_poll+0xcb/0x490 net/core/dev.c:6883 napi_poll net/core/dev.c:6952 [inline] net_rx_action+0x89b/0x1240 net/core/dev.c:7074 handle_softirqs+0x2d4/0x9b0 kernel/softirq.c:561 __do_softirq kernel/softirq.c:595 [inline] invoke_softirq kernel/softirq.c:435 [inline] __irq_exit_rcu+0xf7/0x220 kernel/softirq.c:662 irq_exit_rcu+0x9/0x30 kernel/softirq.c:678 instr_sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1049 [inline] sysvec_apic_timer_interrupt+0x57/0xc0 arch/x86/kernel/apic/apic.c:1049 asm_sysvec_apic_timer_interrupt+0x1a/0x20 arch/x86/include/asm/idtentry.h:702 RIP: 0033:0x7f34f4519ad5 Code: 85 d2 74 0d 0f 10 02 48 8d 54 24 20 0f 11 44 24 20 64 8b 04 25 18 00 00 00 85 c0 75 27 41 b8 08 00 00 00 b8 0f 01 00 00 0f 05 <48> 3d 00 f0 ff ff 76 75 48 8b 15 24 73 0d 00 f7 d8 64 89 02 48 83 RSP: 002b:00007ffec5b32ce0 EFLAGS: 00000246 RAX: 0000000000000001 RBX: 00000000000668a0 RCX: 00007f34f4519ad5 RDX: 00007ffec5b32d00 RSI: 0000000000000004 RDI: 0000564f4bc6cae0 RBP: 0000564f4bc6b5a0 R08: 0000000000000008 R09: 0000000000000000 R10: 00007ffec5b32de8 R11: 0000000000000246 R12: 0000564f48ea8aa4 R13: 0000000000000001 R14: 0000564f48ea93e8 R15: 00007ffec5b32d68 </TASK> Eric noted a probable shinfo->nr_frags corruption, which indeed occurs. The root cause is a buggy MPTCP option len computation in some circumstances: the ADD_ADDR option should be mutually exclusive with DSS since the blamed commit. Still, mptcp_established_options_add_addr() tries to set the relevant info in mptcp_out_options, if ---truncated--- Уязвимость компонента options.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: vmscan: account for free pages to prevent infinite Loop in throttle_direct_reclaim() The task sometimes continues looping in throttle_direct_reclaim() because allow_direct_reclaim(pgdat) keeps returning false. #0 [ffff80002cb6f8d0] __switch_to at ffff8000080095ac #1 [ffff80002cb6f900] __schedule at ffff800008abbd1c #2 [ffff80002cb6f990] schedule at ffff800008abc50c #3 [ffff80002cb6f9b0] throttle_direct_reclaim at ffff800008273550 #4 [ffff80002cb6fa20] try_to_free_pages at ffff800008277b68 #5 [ffff80002cb6fae0] __alloc_pages_nodemask at ffff8000082c4660 #6 [ffff80002cb6fc50] alloc_pages_vma at ffff8000082e4a98 #7 [ffff80002cb6fca0] do_anonymous_page at ffff80000829f5a8 #8 [ffff80002cb6fce0] __handle_mm_fault at ffff8000082a5974 #9 [ffff80002cb6fd90] handle_mm_fault at ffff8000082a5bd4 At this point, the pgdat contains the following two zones: NODE: 4 ZONE: 0 ADDR: ffff00817fffe540 NAME: "DMA32" SIZE: 20480 MIN/LOW/HIGH: 11/28/45 VM_STAT: NR_FREE_PAGES: 359 NR_ZONE_INACTIVE_ANON: 18813 NR_ZONE_ACTIVE_ANON: 0 NR_ZONE_INACTIVE_FILE: 50 NR_ZONE_ACTIVE_FILE: 0 NR_ZONE_UNEVICTABLE: 0 NR_ZONE_WRITE_PENDING: 0 NR_MLOCK: 0 NR_BOUNCE: 0 NR_ZSPAGES: 0 NR_FREE_CMA_PAGES: 0 NODE: 4 ZONE: 1 ADDR: ffff00817fffec00 NAME: "Normal" SIZE: 8454144 PRESENT: 98304 MIN/LOW/HIGH: 68/166/264 VM_STAT: NR_FREE_PAGES: 146 NR_ZONE_INACTIVE_ANON: 94668 NR_ZONE_ACTIVE_ANON: 3 NR_ZONE_INACTIVE_FILE: 735 NR_ZONE_ACTIVE_FILE: 78 NR_ZONE_UNEVICTABLE: 0 NR_ZONE_WRITE_PENDING: 0 NR_MLOCK: 0 NR_BOUNCE: 0 NR_ZSPAGES: 0 NR_FREE_CMA_PAGES: 0 In allow_direct_reclaim(), while processing ZONE_DMA32, the sum of inactive/active file-backed pages calculated in zone_reclaimable_pages() based on the result of zone_page_state_snapshot() is zero. Additionally, since this system lacks swap, the calculation of inactive/ active anonymous pages is skipped. crash> p nr_swap_pages nr_swap_pages = $1937 = { counter = 0 } As a result, ZONE_DMA32 is deemed unreclaimable and skipped, moving on to the processing of the next zone, ZONE_NORMAL, despite ZONE_DMA32 having free pages significantly exceeding the high watermark. The problem is that the pgdat->kswapd_failures hasn't been incremented. crash> px ((struct pglist_data *) 0xffff00817fffe540)->kswapd_failures $1935 = 0x0 This is because the node deemed balanced. The node balancing logic in balance_pgdat() evaluates all zones collectively. If one or more zones (e.g., ZONE_DMA32) have enough free pages to meet their watermarks, the entire node is deemed balanced. This causes balance_pgdat() to exit early before incrementing the kswapd_failures, as it considers the overall memory state acceptable, even though some zones (like ZONE_NORMAL) remain under significant pressure. The patch ensures that zone_reclaimable_pages() includes free pages (NR_FREE_PAGES) in its calculation when no other reclaimable pages are available (e.g., file-backed or anonymous pages). This change prevents zones like ZONE_DMA32, which have sufficient free pages, from being mistakenly deemed unreclaimable. By doing so, the patch ensures proper node balancing, avoids masking pressure on other zones like ZONE_NORMAL, and prevents infinite loops in throttle_direct_reclaim() caused by allow_direct_reclaim(pgdat) repeatedly returning false. The kernel hangs due to a task stuck in throttle_direct_reclaim(), caused by a node being incorrectly deemed balanced despite pressure in certain zones, such as ZONE_NORMAL. This issue arises from zone_reclaimable_pages ---truncated--- Уязвимость функции throttle_direct_reclaim ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: mcp23s08: Fix sleeping in atomic context due to regmap locking If a device uses MCP23xxx IO expander to receive IRQs, the following bug can happen: BUG: sleeping function called from invalid context at kernel/locking/mutex.c:283 in_atomic(): 1, irqs_disabled(): 1, non_block: 0, ... preempt_count: 1, expected: 0 ... Call Trace: ... __might_resched+0x104/0x10e __might_sleep+0x3e/0x62 mutex_lock+0x20/0x4c regmap_lock_mutex+0x10/0x18 regmap_update_bits_base+0x2c/0x66 mcp23s08_irq_set_type+0x1ae/0x1d6 __irq_set_trigger+0x56/0x172 __setup_irq+0x1e6/0x646 request_threaded_irq+0xb6/0x160 ... We observed the problem while experimenting with a touchscreen driver which used MCP23017 IO expander (I2C). The regmap in the pinctrl-mcp23s08 driver uses a mutex for protection from concurrent accesses, which is the default for regmaps without .fast_io, .disable_locking, etc. mcp23s08_irq_set_type() calls regmap_update_bits_base(), and the latter locks the mutex. However, __setup_irq() locks desc->lock spinlock before calling these functions. As a result, the system tries to lock the mutex whole holding the spinlock. It seems, the internal regmap locks are not needed in this driver at all. mcp->lock seems to protect the regmap from concurrent accesses already, except, probably, in mcp_pinconf_get/set. mcp23s08_irq_set_type() and mcp23s08_irq_mask/unmask() are called under chip_bus_lock(), which calls mcp23s08_irq_bus_lock(). The latter takes mcp->lock and enables regmap caching, so that the potentially slow I2C accesses are deferred until chip_bus_unlock(). The accesses to the regmap from mcp23s08_probe_one() do not need additional locking. In all remaining places where the regmap is accessed, except mcp_pinconf_get/set(), the driver already takes mcp->lock. This patch adds locking in mcp_pinconf_get/set() and disables internal locking in the regmap config. Among other things, it fixes the sleeping in atomic context described above. Уязвимость функций mcp_pinconf_get() и mcp_pinconf_set() драйвера (drivers/pinctrl/pinctrl-mcp23s08.c) ядра операционной системы Linux связана с недостаточной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/uverbs: Prevent integer overflow issue In the expression "cmd.wqe_size * cmd.wr_count", both variables are u32 values that come from the user so the multiplication can lead to integer wrapping. Then we pass the result to uverbs_request_next_ptr() which also could potentially wrap. The "cmd.sge_count * sizeof(struct ib_uverbs_sge)" multiplication can also overflow on 32bit systems although it's fine on 64bit systems. This patch does two things. First, I've re-arranged the condition in uverbs_request_next_ptr() so that the use controlled variable "len" is on one side of the comparison by itself without any math. Then I've modified all the callers to use size_mul() for the multiplications. Уязвимость компонента uverbs_cmd.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: seq: oss: Fix races at processing SysEx messages OSS sequencer handles the SysEx messages split in 6 bytes packets, and ALSA sequencer OSS layer tries to combine those. It stores the data in the internal buffer and this access is racy as of now, which may lead to the out-of-bounds access. As a temporary band-aid fix, introduce a mutex for serializing the process of the SysEx message packets. Уязвимость модуля sound/core/seq/oss/seq_oss_synth.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса («Ситуация гонки») при обработке сообщений SysEx. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: flush delalloc workers queue before stopping cleaner kthread during unmount During the unmount path, at close_ctree(), we first stop the cleaner kthread, using kthread_stop() which frees the associated task_struct, and then stop and destroy all the work queues. However after we stopped the cleaner we may still have a worker from the delalloc_workers queue running inode.c:submit_compressed_extents(), which calls btrfs_add_delayed_iput(), which in turn tries to wake up the cleaner kthread - which was already destroyed before, resulting in a use-after-free on the task_struct. Syzbot reported this with the following stack traces: BUG: KASAN: slab-use-after-free in __lock_acquire+0x78/0x2100 kernel/locking/lockdep.c:5089 Read of size 8 at addr ffff8880259d2818 by task kworker/u8:3/52 CPU: 1 UID: 0 PID: 52 Comm: kworker/u8:3 Not tainted 6.13.0-rc1-syzkaller-00002-gcdd30ebb1b9f #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Workqueue: btrfs-delalloc btrfs_work_helper Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x169/0x550 mm/kasan/report.c:489 kasan_report+0x143/0x180 mm/kasan/report.c:602 __lock_acquire+0x78/0x2100 kernel/locking/lockdep.c:5089 lock_acquire+0x1ed/0x550 kernel/locking/lockdep.c:5849 __raw_spin_lock_irqsave include/linux/spinlock_api_smp.h:110 [inline] _raw_spin_lock_irqsave+0xd5/0x120 kernel/locking/spinlock.c:162 class_raw_spinlock_irqsave_constructor include/linux/spinlock.h:551 [inline] try_to_wake_up+0xc2/0x1470 kernel/sched/core.c:4205 submit_compressed_extents+0xdf/0x16e0 fs/btrfs/inode.c:1615 run_ordered_work fs/btrfs/async-thread.c:288 [inline] btrfs_work_helper+0x96f/0xc40 fs/btrfs/async-thread.c:324 process_one_work kernel/workqueue.c:3229 [inline] process_scheduled_works+0xa66/0x1840 kernel/workqueue.c:3310 worker_thread+0x870/0xd30 kernel/workqueue.c:3391 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Allocated by task 2: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 unpoison_slab_object mm/kasan/common.c:319 [inline] __kasan_slab_alloc+0x66/0x80 mm/kasan/common.c:345 kasan_slab_alloc include/linux/kasan.h:250 [inline] slab_post_alloc_hook mm/slub.c:4104 [inline] slab_alloc_node mm/slub.c:4153 [inline] kmem_cache_alloc_node_noprof+0x1d9/0x380 mm/slub.c:4205 alloc_task_struct_node kernel/fork.c:180 [inline] dup_task_struct+0x57/0x8c0 kernel/fork.c:1113 copy_process+0x5d1/0x3d50 kernel/fork.c:2225 kernel_clone+0x223/0x870 kernel/fork.c:2807 kernel_thread+0x1bc/0x240 kernel/fork.c:2869 create_kthread kernel/kthread.c:412 [inline] kthreadd+0x60d/0x810 kernel/kthread.c:767 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 Freed by task 24: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x40/0x50 mm/kasan/generic.c:582 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x59/0x70 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2338 [inline] slab_free mm/slub.c:4598 [inline] kmem_cache_free+0x195/0x410 mm/slub.c:4700 put_task_struct include/linux/sched/task.h:144 [inline] delayed_put_task_struct+0x125/0x300 kernel/exit.c:227 rcu_do_batch kernel/rcu/tree.c:2567 [inline] rcu_core+0xaaa/0x17a0 kernel/rcu/tree.c:2823 handle_softirqs+0x2d4/0x9b0 kernel/softirq.c:554 run_ksoftirqd+0xca/0x130 kernel/softirq.c:943 ---truncated--- Уязвимость функции close_ctree() компонента fs/btrfs/disk-io.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: Correct the migration DMA map direction The SVM DMA device map direction should be set the same as the DMA unmap setting, otherwise the DMA core will report the following warning. Before finialize this solution, there're some discussion on the DMA mapping type(stream-based or coherent) in this KFD migration case, followed by https://lore.kernel.org/all/04d4ab32 -45a1-4b88-86ee-fb0f35a0ca40@amd.com/T/. As there's no dma_sync_single_for_*() in the DMA buffer accessed that because this migration operation should be sync properly and automatically. Give that there's might not be a performance problem in various cache sync policy of DMA sync. Therefore, in order to simplify the DMA direction setting alignment, let's set the DMA map direction as BIDIRECTIONAL. [ 150.834218] WARNING: CPU: 8 PID: 1812 at kernel/dma/debug.c:1028 check_unmap+0x1cc/0x930 [ 150.834225] Modules linked in: amdgpu(OE) amdxcp drm_exec(OE) gpu_sched drm_buddy(OE) drm_ttm_helper(OE) ttm(OE) drm_suballoc_helper(OE) drm_display_helper(OE) drm_kms_helper(OE) i2c_algo_bit rpcsec_gss_krb5 auth_rpcgss nfsv4 nfs lockd grace netfs xt_conntrack xt_MASQUERADE nf_conntrack_netlink xfrm_user xfrm_algo iptable_nat xt_addrtype iptable_filter br_netfilter nvme_fabrics overlay nfnetlink_cttimeout nfnetlink openvswitch nsh nf_conncount nf_nat nf_conntrack nf_defrag_ipv6 nf_defrag_ipv4 libcrc32c bridge stp llc sch_fq_codel intel_rapl_msr amd_atl intel_rapl_common snd_hda_codec_realtek snd_hda_codec_generic snd_hda_scodec_component snd_hda_codec_hdmi snd_hda_intel snd_intel_dspcfg edac_mce_amd snd_pci_acp6x snd_hda_codec snd_acp_config snd_hda_core snd_hwdep snd_soc_acpi kvm_amd sunrpc snd_pcm kvm binfmt_misc snd_seq_midi crct10dif_pclmul snd_seq_midi_event ghash_clmulni_intel sha512_ssse3 snd_rawmidi nls_iso8859_1 sha256_ssse3 sha1_ssse3 snd_seq aesni_intel snd_seq_device crypto_simd snd_timer cryptd input_leds [ 150.834310] wmi_bmof serio_raw k10temp rapl snd sp5100_tco ipmi_devintf soundcore ccp ipmi_msghandler cm32181 industrialio mac_hid msr parport_pc ppdev lp parport efi_pstore drm(OE) ip_tables x_tables pci_stub crc32_pclmul nvme ahci libahci i2c_piix4 r8169 nvme_core i2c_designware_pci realtek i2c_ccgx_ucsi video wmi hid_generic cdc_ether usbnet usbhid hid r8152 mii [ 150.834354] CPU: 8 PID: 1812 Comm: rocrtst64 Tainted: G OE 6.10.0-custom #492 [ 150.834358] Hardware name: AMD Majolica-RN/Majolica-RN, BIOS RMJ1009A 06/13/2021 [ 150.834360] RIP: 0010:check_unmap+0x1cc/0x930 [ 150.834363] Code: c0 4c 89 4d c8 e8 34 bf 86 00 4c 8b 4d c8 4c 8b 45 c0 48 8b 4d b8 48 89 c6 41 57 4c 89 ea 48 c7 c7 80 49 b4 84 e8 b4 81 f3 ff <0f> 0b 48 c7 c7 04 83 ac 84 e8 76 ba fc ff 41 8b 76 4c 49 8d 7e 50 [ 150.834365] RSP: 0018:ffffaac5023739e0 EFLAGS: 00010086 [ 150.834368] RAX: 0000000000000000 RBX: ffffffff8566a2e0 RCX: 0000000000000027 [ 150.834370] RDX: ffff8f6a8f621688 RSI: 0000000000000001 RDI: ffff8f6a8f621680 [ 150.834372] RBP: ffffaac502373a30 R08: 00000000000000c9 R09: ffffaac502373850 [ 150.834373] R10: ffffaac502373848 R11: ffffffff84f46328 R12: ffffaac502373a40 [ 150.834375] R13: ffff8f6741045330 R14: ffff8f6741a77700 R15: ffffffff84ac831b [ 150.834377] FS: 00007faf0fc94c00(0000) GS:ffff8f6a8f600000(0000) knlGS:0000000000000000 [ 150.834379] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 150.834381] CR2: 00007faf0b600020 CR3: 000000010a52e000 CR4: 0000000000350ef0 [ 150.834383] Call Trace: [ 150.834385] <TASK> [ 150.834387] ? show_regs+0x6d/0x80 [ 150.834393] ? __warn+0x8c/0x140 [ 150.834397] ? check_unmap+0x1cc/0x930 [ 150.834400] ? report_bug+0x193/0x1a0 [ 150.834406] ? handle_bug+0x46/0x80 [ 150.834410] ? exc_invalid_op+0x1d/0x80 [ 150.834413] ? asm_exc_invalid_op+0x1f/0x30 [ 150.834420] ? check_unmap+0x1cc/0x930 [ 150.834425] debug_dma_unmap_page+0x86/0x90 [ 150.834431] ? srso_return_thunk+0x5/0x5f [ 150.834435] ---truncated--- Уязвимость драйвера (drivers/gpu/drm/amd/amdkfd/kfd_migrate.c) ядра операционной системы Linux связана с некорректной синхронизацией ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ila: serialize calls to nf_register_net_hooks() syzbot found a race in ila_add_mapping() [1] commit 031ae72825ce ("ila: call nf_unregister_net_hooks() sooner") attempted to fix a similar issue. Looking at the syzbot repro, we have concurrent ILA_CMD_ADD commands. Add a mutex to make sure at most one thread is calling nf_register_net_hooks(). [1] BUG: KASAN: slab-use-after-free in rht_key_hashfn include/linux/rhashtable.h:159 [inline] BUG: KASAN: slab-use-after-free in __rhashtable_lookup.constprop.0+0x426/0x550 include/linux/rhashtable.h:604 Read of size 4 at addr ffff888028f40008 by task dhcpcd/5501 CPU: 1 UID: 0 PID: 5501 Comm: dhcpcd Not tainted 6.13.0-rc4-syzkaller-00054-gd6ef8b40d075 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Call Trace: <IRQ> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xc3/0x620 mm/kasan/report.c:489 kasan_report+0xd9/0x110 mm/kasan/report.c:602 rht_key_hashfn include/linux/rhashtable.h:159 [inline] __rhashtable_lookup.constprop.0+0x426/0x550 include/linux/rhashtable.h:604 rhashtable_lookup include/linux/rhashtable.h:646 [inline] rhashtable_lookup_fast include/linux/rhashtable.h:672 [inline] ila_lookup_wildcards net/ipv6/ila/ila_xlat.c:127 [inline] ila_xlat_addr net/ipv6/ila/ila_xlat.c:652 [inline] ila_nf_input+0x1ee/0x620 net/ipv6/ila/ila_xlat.c:185 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xbb/0x200 net/netfilter/core.c:626 nf_hook.constprop.0+0x42e/0x750 include/linux/netfilter.h:269 NF_HOOK include/linux/netfilter.h:312 [inline] ipv6_rcv+0xa4/0x680 net/ipv6/ip6_input.c:309 __netif_receive_skb_one_core+0x12e/0x1e0 net/core/dev.c:5672 __netif_receive_skb+0x1d/0x160 net/core/dev.c:5785 process_backlog+0x443/0x15f0 net/core/dev.c:6117 __napi_poll.constprop.0+0xb7/0x550 net/core/dev.c:6883 napi_poll net/core/dev.c:6952 [inline] net_rx_action+0xa94/0x1010 net/core/dev.c:7074 handle_softirqs+0x213/0x8f0 kernel/softirq.c:561 __do_softirq kernel/softirq.c:595 [inline] invoke_softirq kernel/softirq.c:435 [inline] __irq_exit_rcu+0x109/0x170 kernel/softirq.c:662 irq_exit_rcu+0x9/0x30 kernel/softirq.c:678 instr_sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1049 [inline] sysvec_apic_timer_interrupt+0xa4/0xc0 arch/x86/kernel/apic/apic.c:1049 Уязвимость компонента net/ipv6/ila/ila_xlat.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2024-57900 необходимо запретить загрузку модуля ila.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль ila в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ila ``` или ``` kmod list | grep ila ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ila ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install ila /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: restrict SO_REUSEPORT to inet sockets After blamed commit, crypto sockets could accidentally be destroyed from RCU call back, as spotted by zyzbot [1]. Trying to acquire a mutex in RCU callback is not allowed. Restrict SO_REUSEPORT socket option to inet sockets. v1 of this patch supported TCP, UDP and SCTP sockets, but fcnal-test.sh test needed RAW and ICMP support. [1] BUG: sleeping function called from invalid context at kernel/locking/mutex.c:562 in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 24, name: ksoftirqd/1 preempt_count: 100, expected: 0 RCU nest depth: 0, expected: 0 1 lock held by ksoftirqd/1/24: #0: ffffffff8e937ba0 (rcu_callback){....}-{0:0}, at: rcu_lock_acquire include/linux/rcupdate.h:337 [inline] #0: ffffffff8e937ba0 (rcu_callback){....}-{0:0}, at: rcu_do_batch kernel/rcu/tree.c:2561 [inline] #0: ffffffff8e937ba0 (rcu_callback){....}-{0:0}, at: rcu_core+0xa37/0x17a0 kernel/rcu/tree.c:2823 Preemption disabled at: [<ffffffff8161c8c8>] softirq_handle_begin kernel/softirq.c:402 [inline] [<ffffffff8161c8c8>] handle_softirqs+0x128/0x9b0 kernel/softirq.c:537 CPU: 1 UID: 0 PID: 24 Comm: ksoftirqd/1 Not tainted 6.13.0-rc3-syzkaller-00174-ga024e377efed #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 __might_resched+0x5d4/0x780 kernel/sched/core.c:8758 __mutex_lock_common kernel/locking/mutex.c:562 [inline] __mutex_lock+0x131/0xee0 kernel/locking/mutex.c:735 crypto_put_default_null_skcipher+0x18/0x70 crypto/crypto_null.c:179 aead_release+0x3d/0x50 crypto/algif_aead.c:489 alg_do_release crypto/af_alg.c:118 [inline] alg_sock_destruct+0x86/0xc0 crypto/af_alg.c:502 __sk_destruct+0x58/0x5f0 net/core/sock.c:2260 rcu_do_batch kernel/rcu/tree.c:2567 [inline] rcu_core+0xaaa/0x17a0 kernel/rcu/tree.c:2823 handle_softirqs+0x2d4/0x9b0 kernel/softirq.c:561 run_ksoftirqd+0xca/0x130 kernel/softirq.c:950 smpboot_thread_fn+0x544/0xa30 kernel/smpboot.c:164 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Уязвимость функции in_atomic() модуля net/core/sock.c ядра операционной системы Linux связана с недостаточной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sctp: Prevent autoclose integer overflow in sctp_association_init() While by default max_autoclose equals to INT_MAX / HZ, one may set net.sctp.max_autoclose to UINT_MAX. There is code in sctp_association_init() that can consequently trigger overflow. Уязвимость компонента associola.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: virtio-blk: don't keep queue frozen during system suspend Commit 4ce6e2db00de ("virtio-blk: Ensure no requests in virtqueues before deleting vqs.") replaces queue quiesce with queue freeze in virtio-blk's PM callbacks. And the motivation is to drain inflight IOs before suspending. block layer's queue freeze looks very handy, but it is also easy to cause deadlock, such as, any attempt to call into bio_queue_enter() may run into deadlock if the queue is frozen in current context. There are all kinds of ->suspend() called in suspend context, so keeping queue frozen in the whole suspend context isn't one good idea. And Marek reported lockdep warning[1] caused by virtio-blk's freeze queue in virtblk_freeze(). [1] https://lore.kernel.org/linux-block/ca16370e-d646-4eee-b9cc-87277c89c43c@samsung.com/ Given the motivation is to drain in-flight IOs, it can be done by calling freeze & unfreeze, meantime restore to previous behavior by keeping queue quiesced during suspend. Уязвимость компонента virtio-blk ядра операционной системы Linux связана с недостаточной проверкой входных данных в функциях virtblk_remove() и virtblk_restore() в drivers/block/virtio_blk.c. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_set_pipapo: fix initial map fill The initial buffer has to be inited to all-ones, but it must restrict it to the size of the first field, not the total field size. After each round in the map search step, the result and the fill map are swapped, so if we have a set where f->bsize of the first element is smaller than m->bsize_max, those one-bits are leaked into future rounds result map. This makes pipapo find an incorrect matching results for sets where first field size is not the largest. Followup patch adds a test case to nft_concat_range.sh selftest script. Thanks to Stefano Brivio for pointing out that we need to zero out the remainder explicitly, only correcting memset() argument isn't enough. Уязвимость компонента netfilter ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля br_netfilter.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль br_netfilter в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep br_netfilter ``` или ``` kmod list | grep br_netfilter ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod br_netfilter ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install br_netfilter /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix racy issue from session lookup and expire Increment the session reference count within the lock for lookup to avoid racy issue with session expire. Уязвимость функции check_session_id(), smb2_check_user_session(), smb2_sess_setup(), smb2_session_logoff(), smb3_decrypt_req(), ksmbd_session_lookup(), ksmbd_session_lookup_slowpath() и ksmbd_get_encryption_key() ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 openssl Issue summary: Applications performing certificate name checks (e.g., TLS clients checking server certificates) may attempt to read an invalid memory address resulting in abnormal termination of the application process. Impact summary: Abnormal termination of an application can a cause a denial of service. Applications performing certificate name checks (e.g., TLS clients checking server certificates) may attempt to read an invalid memory address when comparing the expected name with an `otherName` subject alternative name of an X.509 certificate. This may result in an exception that terminates the application program. Note that basic certificate chain validation (signatures, dates, ...) is not affected, the denial of service can occur only when the application also specifies an expected DNS name, Email address or IP address. TLS servers rarely solicit client certificates, and even when they do, they generally don't perform a name check against a reference identifier (expected identity), but rather extract the presented identity after checking the certificate chain. So TLS servers are generally not affected and the severity of the issue is Moderate. The FIPS modules in 3.3, 3.2, 3.1 and 3.0 are not affected by this issue. Уязвимость инструментария для протоколов TLS и SSL OpenSSL связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 qemu A heap buffer overflow was found in the virtio-snd device in QEMU. When reading input audio in the virtio-snd input callback, virtio_snd_pcm_in_cb, the function did not check whether the iov can fit the data buffer. This issue can trigger an out-of-bounds write if the size of the virtio queue element is equal to virtio_snd_pcm_status, which makes the available space for audio data zero. Уязвимость функции virtio_snd_pcm_in_cb эмулятора аппаратного обеспечения QEMU связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 opensc A heap-based buffer overflow vulnerability was found in the libopensc OpenPGP driver. A crafted USB device or smart card with malicious responses to the APDUs during the card enrollment process using the `pkcs15-init` tool may lead to out-of-bound rights, possibly resulting in arbitrary code execution. Уязвимость библиотеки работы со смарт-картами OpenSC связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=2.9) opensc: - Использовать пакет opensc только при отсутствии альтернатив - Обеспечить возможность запуска opensc только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 BlueZ HID over GATT Profile Improper Access Control Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of BlueZ. Authentication is not required to exploit this vulnerability. The specific flaw exists within the implementation of the HID over GATT Profile. The issue results from the lack of authorization prior to allowing access to functionality. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-25177. Уязвимость компонента net/bluetooth/hci_event.c ядра операционной системы Linux связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.31, 8.2.* before 8.2.26, 8.3.* before 8.3.14, a hostile MySQL server can cause the client to disclose the content of its heap containing data from other SQL requests and possible other data belonging to different users of the same server. Уязвимость функции static enum_func_status php_mysqlnd_rset_field_read() интерпретатора языка программирования PHP связана c недостаточной защитой служебных данных в результате выхода операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.8) - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.31, 8.2.* before 8.2.26, 8.3.* before 8.3.14, uncontrolled long string inputs to ldap_escape() function on 32-bit systems can cause an integer overflow, resulting in an out-of-bounds write. Уязвимость функции ldap_escape() языка программирования PHP связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 openssl Issue summary: Use of the low-level GF(2^m) elliptic curve APIs with untrusted explicit values for the field polynomial can lead to out-of-bounds memory reads or writes. Impact summary: Out of bound memory writes can lead to an application crash or even a possibility of a remote code execution, however, in all the protocols involving Elliptic Curve Cryptography that we're aware of, either only "named curves" are supported, or, if explicit curve parameters are supported, they specify an X9.62 encoding of binary (GF(2^m)) curves that can't represent problematic input values. Thus the likelihood of existence of a vulnerable application is low. In particular, the X9.62 encoding is used for ECC keys in X.509 certificates, so problematic inputs cannot occur in the context of processing X.509 certificates. Any problematic use-cases would have to be using an "exotic" curve encoding. The affected APIs include: EC_GROUP_new_curve_GF2m(), EC_GROUP_new_from_params(), and various supporting BN_GF2m_*() functions. Applications working with "exotic" explicit binary (GF(2^m)) curve parameters, that make it possible to represent invalid field polynomials with a zero constant term, via the above or similar APIs, may terminate abruptly as a result of reading or writing outside of array bounds. Remote code execution cannot easily be ruled out. The FIPS modules in 3.3, 3.2, 3.1 and 3.0 are not affected by this issue. Уязвимость функций EC_GROUP_new_curve_GF2m(), EC_GROUP_new_from_params(), BN_GF2m_*() интерфейса Elliptic Curve API инструментария для протоколов TLS и SSL OpenSSL связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N', score=4.3) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 golang-github-containers-common, libpod A flaw was found in Go. When FIPS mode is enabled on a system, container runtimes may incorrectly handle certain file paths due to improper validation in the containers/common Go library. This flaw allows an attacker to exploit symbolic links and trick the system into mounting sensitive host directories inside a container. This issue also allows attackers to access critical host files, bypassing the intended isolation between containers and the host system. [NistCWE(cwe='CWE-59')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:L/A:N', score=5.4) Astra Linux 1.8 golang-github-containers-buildah, libpod A vulnerability exists in the bind-propagation option of the Dockerfile RUN --mount instruction. The system does not properly validate the input passed to this option, allowing users to pass arbitrary parameters to the mount instruction. This issue can be exploited to mount sensitive directories from the host into a container during the build process and, in some cases, modify the contents of those mounted files. Even if SELinux is used, this vulnerability can bypass its protection by allowing the source directory to be relabeled to give the container access to host files. [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:L/A:N', score=4.7) Astra Linux 1.8 xorg-server, xwayland A flaw was found in the X.org server. Due to improperly tracked allocation size in _XkbSetCompatMap, a local attacker may be able to trigger a buffer overflow condition via a specially crafted payload, leading to denial of service or local privilege escalation in distributions where the X.org server is run with root privileges. Уязвимость функции _XkbSetCompatMap() компонента xkb/xkb.c реализации сервера X Window System X.Org Server, реализации протокола Wayland для X.Org XWayland связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 golang-github-containers-buildah, libpod A vulnerability was found in Buildah. Cache mounts do not properly validate that user-specified paths for the cache are within our cache directory, allowing a `RUN` instruction in a Container file to mount an arbitrary directory from the host (read/write) into the container as long as those files can be accessed by the user running Buildah. Уязвимость монтирования кэша инструмента для создания контейнеров Buildah связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-22'), NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 libpod A vulnerability was found in Podman, Buildah, and CRI-O. A symlink traversal vulnerability in the containers/storage library can cause Podman, Buildah, and CRI-O to hang and result in a denial of service via OOM kill when running a malicious image using an automatically assigned user namespace (`--userns=auto` in Podman and Buildah). The containers/storage library will read /etc/passwd inside the container, but does not properly validate if that file is a symlink, which can be used to cause the library to read an arbitrary file on the host. [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) libpod: - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` podman run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` podman run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - По возможности используйте rootless контейнеры, которые работают без привилегий суперпользователя - Запускайте контейнеры от имени пользователей с минимально необходимыми правами - Поддерживайте образы контейнеров и сам Podman в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) libpodofo: - Отказаться от использования библиотеки libpodofo - При использовании ПО, использующего библиотеку libpodofo, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libpodofo, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libpodofo, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 curl When curl is asked to use HSTS, the expiry time for a subdomain might overwrite a parent domain's cache entry, making it end sooner or later than otherwise intended. This affects curl using applications that enable HSTS and use URLs with the insecure `HTTP://` scheme and perform transfers with hosts like `x.example.com` as well as `example.com` where the first host is a subdomain of the second host. (The HSTS cache either needs to have been populated manually or there needs to have been previous HTTPS accesses done as the cache needs to have entries for the domains involved to trigger this problem.) When `x.example.com` responds with `Strict-Transport-Security:` headers, this bug can make the subdomain's expiry timeout *bleed over* and get set for the parent domain `example.com` in curl's HSTS cache. The result of a triggered bug is that HTTP accesses to `example.com` get converted to HTTPS for a different period of time than what was asked for by the origin server. If `example.com` for example stops supporting HTTPS at its expiry time, curl might then fail to access `http://example.com` until the (wrongly set) timeout expires. This bug can also expire the parent's entry *earlier*, thus making curl inadvertently switch back to insecure HTTP earlier than otherwise intended. Уязвимость реализации механизма HSTS (HTTP Strict Transport Security) программного средства для взаимодействия с серверами CURL связана с сравнением с использованием неверных факторов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-697')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:L', score=6.5) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 firefox, thunderbird The WebChannel API, which is used to transport various information across processes, did not check the sending principal but rather accepted the principal being sent. This could have led to privilege escalation attacks. This vulnerability was fixed in Firefox 134, Firefox ESR 128.6, Thunderbird 134, and Thunderbird 128.6. Уязвимость компонента WebChannel API веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N', score=5.4) Astra Linux 1.8 firefox, thunderbird Assuming a controlled failed memory allocation, an attacker could have caused a use-after-free, leading to a potentially exploitable crash. This vulnerability was fixed in Firefox 134, Firefox ESR 128.6, Firefox ESR 115.19, Thunderbird 134, and Thunderbird 128.6. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) Astra Linux 1.8 firefox, thunderbird When using Alt-Svc, ALPN did not properly validate certificates when the original server is redirecting to an insecure site. This vulnerability was fixed in Firefox 134, Firefox ESR 128.6, Thunderbird 134, and Thunderbird 128.6. Уязвимость компонента ALPN веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=4.0) Astra Linux 1.8 firefox, thunderbird Parsing a JavaScript module as JSON could, under some circumstances, cause cross-compartment access, which may result in a use-after-free. This vulnerability was fixed in Firefox 134, Firefox ESR 128.6, Thunderbird 134, and Thunderbird 128.6. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=4.0) Astra Linux 1.8 firefox, thunderbird When segmenting specially crafted text, segmentation would corrupt memory leading to a potentially exploitable crash. This vulnerability was fixed in Firefox 134, Firefox ESR 128.6, Thunderbird 134, and Thunderbird 128.6. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L', score=7.7) Astra Linux 1.8 thunderbird, firefox Memory safety bugs present in Firefox 133, Thunderbird 133, Firefox ESR 115.18, Firefox ESR 128.5, Thunderbird 115.18, and Thunderbird 128.5. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 134, Firefox ESR 128.6, Firefox ESR 115.19, Thunderbird 134, and Thunderbird 128.6. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 133, Thunderbird 133, Firefox ESR 128.5, and Thunderbird 128.5. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 134, Firefox ESR 128.6, Thunderbird 134, and Thunderbird 128.6. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=5.1) Astra Linux 1.8 firefox Memory safety bugs present in Firefox 133 and Thunderbird 133. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 134 and Thunderbird 134. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 131.0.6778.264 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds memory access in V8 in Google Chrome prior to 132.0.6834.83 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Skia in Google Chrome prior to 132.0.6834.83 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость библиотеки Skia веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Metrics in Google Chrome prior to 132.0.6834.83 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Metrics веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Stack buffer overflow in Tracing in Google Chrome prior to 132.0.6834.83 allowed a remote attacker to potentially exploit stack corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость инструмента трассировки веб-браузера Google Chrome связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in Frames in Google Chrome prior to 132.0.6834.83 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Frames браузера Google Chrome и Microsoft Edge связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности и выполнить подмену пользовательского интерфейса с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Fenced Frames in Google Chrome prior to 132.0.6834.83 allowed a remote attacker to obtain potentially sensitive information from the system via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Fenced Frames веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Payments in Google Chrome prior to 132.0.6834.83 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Payments веб-браузера Google Chrome связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in Extensions in Google Chrome prior to 132.0.6834.83 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform privilege escalation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Расширения веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 132.0.6834.83 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью созданного расширения [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Navigation in Google Chrome prior to 132.0.6834.83 allowed a remote attacker to perform privilege escalation via a crafted HTML page. (Chromium security severity: Low) Уязвимость функции Navigation веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Compositing in Google Chrome prior to 132.0.6834.83 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Compositing веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Object corruption in V8 in Google Chrome prior to 132.0.6834.110 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=8.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds memory access in V8 in Google Chrome prior to 132.0.6834.110 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 132.0.6834.159 allowed a remote attacker to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость набора инструментов для веб-разработки DevTools браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 linux-6.1 Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority. Filesystem bugs due to corrupt images are not considered a CVE for any filesystem that is only mountable by CAP_SYS_ADMIN in the initial user namespace. That includes delegated mounting. Уязвимость ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [] None None Уязвимость CVE-2025-0927 выявлена в модулях _hfs_ и _hfsplus_ ядра ОС (данные модули отвечают за поддержку файловых систем HFS и HFS+). По умолчанию в ОС Astra Linux загрузка данных модулей выключена. В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модулей _hfs.ko_ и _hfsplus.ko_ в ядро Linux (Обратите внимание: при отключении модулей _hfs_ и _hfsplus_ вы не сможете монтировать, читать и записывать в файловые системы _HFS_ и _HFS+_, в том числе вы не сможете работать с любыми накопителями, форматированными в этих файловых системах). Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружены ли модули _hfs_ и _hfsplus_ в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep hfs ``` ``` lsmod | grep hfsplus ``` или ``` kmod list | grep hfs ``` ``` kmod list | grep hfsplus ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod hfs ``` ``` sudo rmmod hfsplus ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл _/etc/modprobe.d/blacklist.local.conf_ (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово {_}install{_}, название блокируемого модуля и shell-комманду: ``` install hfs /bin/true ``` ``` install hfsplus /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 firefox An attacker could have caused a use-after-free via crafted XSLT data, leading to a potentially exploitable crash. This vulnerability was fixed in Firefox 135, Firefox ESR 115.20, Firefox ESR 128.7, Thunderbird 128.7, and Thunderbird 135. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox An attacker could have caused a use-after-free via the Custom Highlight API, leading to a potentially exploitable crash. This vulnerability was fixed in Firefox 135, Firefox ESR 115.20, Firefox ESR 128.7, Thunderbird 128.7, and Thunderbird 135. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox A bug in WebAssembly code generation could have lead to a crash. It may have been possible for an attacker to leverage this to achieve code execution. This vulnerability was fixed in Firefox 135, Firefox ESR 128.7, Thunderbird 128.7, and Thunderbird 135. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox A race during concurrent delazification could have led to a use-after-free. This vulnerability was fixed in Firefox 135, Firefox ESR 115.20, Firefox ESR 128.7, Thunderbird 128.7, and Thunderbird 135. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox A race condition could have led to private browsing tabs being opened in normal browsing windows. This could have resulted in a potential privacy leak. This vulnerability was fixed in Firefox 135, Firefox ESR 128.7, Thunderbird 128.7, and Thunderbird 135. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird, Thunderbird ESR связана с ошибками синхронизации при использовании общего ресурса («Ситуация гонки»). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 134, Thunderbird 134, Firefox ESR 115.19, Firefox ESR 128.6, Thunderbird 115.19, and Thunderbird 128.6. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 135, Firefox ESR 115.20, Firefox ESR 128.7, Thunderbird 128.7, and Thunderbird 135. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 134, Thunderbird 134, Firefox ESR 128.6, and Thunderbird 128.6. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 135, Firefox ESR 128.7, Thunderbird 128.7, and Thunderbird 135. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox The fullscreen notification is prematurely hidden when fullscreen is re-requested quickly by the user. This could have been leveraged to perform a potential spoofing attack. This vulnerability was fixed in Firefox 135 and Thunderbird 135. Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird связана с неправильным ограничением отображаемых слоев или фреймов пользовательского интерфейса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить спуфинг атаки [NistCWE(cwe='CWE-1021'), NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox The z-order of the browser windows could be manipulated to hide the fullscreen notification. This could potentially be leveraged to perform a spoofing attack. This vulnerability was fixed in Firefox 135 and Thunderbird 135. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-1021'), NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 134 and Thunderbird 134. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 135 and Thunderbird 135. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 postgresql-15 Improper neutralization of quoting syntax in PostgreSQL libpq functions PQescapeLiteral(), PQescapeIdentifier(), PQescapeString(), and PQescapeStringConn() allows a database input provider to achieve SQL injection in certain usage patterns. Specifically, SQL injection requires the application to use the function result to construct input to psql, the PostgreSQL interactive terminal. Similarly, improper neutralization of quoting syntax in PostgreSQL command line utility programs allows a source of command line arguments to achieve SQL injection when client_encoding is BIG5 and server_encoding is one of EUC_TW or MULE_INTERNAL. Versions before PostgreSQL 17.3, 16.7, 15.11, 14.16, and 13.19 are affected. Уязвимость функций PQescapeLiteral(), PQescapeIdentifier(), PQescapeString() и PQescapeStringConn() библиотеки libpq системы управления базами данных PostgreSQL связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-149')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: - Не использовать уязвимые функции PQescapeLiteral(), PQescapeIdentifier(), PQescapeString(), PQescapeStringConn(); - Отклонять входные данные, содержащие недопустимые последовательности UTF-8, прежде чем передавать их в psql; - Использовать параметризованные запросы или ORM-фреймворки для минимизации прямого использования psql с необработанными входными данными; - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Использовать выделенную группу postgres для взаимодействия с postgresql - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды Astra Linux 1.8 libarchive A vulnerability was found in libarchive up to 3.7.7. It has been classified as problematic. This affects the function list of the file bsdunzip.c. The manipulation leads to null pointer dereference. It is possible to launch the attack on the local host. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way. Уязвимость файла bsdunzip.c библиотеки Libarchive связана с ошибкой разыменования указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-404'), NistCWE(cwe='CWE-476')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 1.8 webkit2gtk The issue was addressed with improved access restrictions to the file system. This issue is fixed in Safari 18.3, iOS 18.3 and iPadOS 18.3, macOS Sequoia 15.3, visionOS 2.3. A maliciously crafted webpage may be able to fingerprint the user. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной веб-страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A privacy issue was addressed with improved handling of files. This issue is fixed in Safari 18.3, iOS 18.3 and iPadOS 18.3, macOS Sequoia 15.3. Copying a URL from Web Inspector may lead to command injection. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с непринятием мер по очистке входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-77'), NistCWE(cwe='CWE-77')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.3, iOS 18.3 and iPadOS 18.3, macOS Sequoia 15.3, tvOS 18.3, visionOS 2.3, watchOS 11.3. Processing web content may lead to a denial-of-service. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk This issue was addressed through improved state management. This issue is fixed in Safari 18.3, iOS 18.3 and iPadOS 18.3, macOS Sequoia 15.3, tvOS 18.3, visionOS 2.3, watchOS 11.3. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 18.3, iOS 18.3 and iPadOS 18.3, macOS Sequoia 15.3, tvOS 18.3, visionOS 2.3, watchOS 11.3. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk An out-of-bounds write issue was addressed with improved checks to prevent unauthorized actions. This issue is fixed in Safari 18.3.1, iOS 15.8.4 and iPadOS 15.8.4, iOS 16.7.11 and iPadOS 16.7.11, iOS 18.3.2 and iPadOS 18.3.2, iPadOS 17.7.6, macOS Sequoia 15.3.2, visionOS 2.3.2, watchOS 11.4. Maliciously crafted web content may be able to break out of Web Content sandbox. This is a supplementary fix for an attack that was blocked in iOS 17.2. (Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 17.2.). Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) - При использовании ПО webkit2gtk производите обработку веб-контента только из доверенных источников; - По возможности запускайте приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail; - Включить межсетевой экран ufw; - Отключить и удалить неиспользуемые учётные записи пользователей; - Включить мандатный контроль целостности (МКЦ); - Включить режим замкнутой программной среды; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Активировать и настроить профили пользователей для работы в режиме Киоск-2. Astra Linux 1.8 openssh A vulnerability was found in OpenSSH when the VerifyHostKeyDNS option is enabled. A machine-in-the-middle attack can be performed by a malicious machine impersonating a legit server. This issue occurs due to how OpenSSH mishandles error codes in specific conditions when verifying the host key. For an attack to be considered successful, the attacker needs to manage to exhaust the client's memory resource first, turning the attack complexity high. Уязвимость компонента VerifyHostKeyDNS средства криптографической защиты OpenSSH связана с недостатками обработки ошибок при проверке ключа хоста. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку межсайтового скриптинга (XSS) [NistCWE(cwe='CWE-390')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N', score=6.8) Для нейтрализации угрозы эксплуатации уязвимости CVE-2025-26465 необходимо соблюдать следующие требования: - Не добавляйте параметр _-o VerifyHostKeyDNS=yes_ при использовании команды ssh; - Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора откройте конфигурационные файлы SSH (_/etc/ssh/ssh_config_ и _~/.ssh/config_). Добавьте в файлы конфигурации следующую строку: ```bash VerifyHostKeyDNS no ``` Если параметр уже существует, убедитесь, что он установлен в _no_. После редактирования сохраните файлы. Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис: ```bash sudo systemctl restart sshd ``` Astra Linux 1.8 openssh A flaw was found in the OpenSSH package. For each ping packet the SSH server receives, a pong packet is allocated in a memory buffer and stored in a queue of packages. It is only freed when the server/client key exchange has finished. A malicious client may keep sending such packages, leading to an uncontrolled increase in memory consumption on the server side. Consequently, the server may become unavailable, resulting in a denial of service attack. Уязвимость сервера средства криптографической защиты OpenSSH связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) openssh: - Не подключайтесь к ненадежным серверам с помощью агента SSH; - Не используйте опцию -A при использовании команды ssh для исключения возможности перенаправления соединения агента аутентификации; - Убедитесь, что опция ForwardAgent отключена глобальных и пользовательских конфигурационных файлах SSH-клиента (/etc/ssh/ssh_config и ~/.ssh/config). Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Ограничьте доступ к SSH-серверу только для доверенных пользователей. Для этого, используя полномочия администратора системы с высоким уровнем целостности, добавьте параметр AllowUsers в конфигурационные файлы SSH. Пример добавления пользователя: ` AllowUsers <username> ` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Настройте разграничение по сетевым интерфейсам, сетевым адресам и именам компьютера. Для этого, используя полномочия администратора системы с высоким уровнем целостности, добавьте параметр ListenAddress в конфигурационные файлы SSH. Пример конфигурации: ``` # Прослушивать на конкретном IP-адресе сервера ListenAddress 192.168.1.10 # Можно указать несколько строк ListenAddress 192.168.1.10 ListenAddress 10.0.0.5 ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Для защиты ключей следует выбирать надёжный пароль доступа к клиентским файлам ключей. При формировании ключа для увеличения числа итераций хэширования можно использовать опцию "ssh-keygen -o -a <число>", что усложнит подбор пароля. Также можно сохранить ключи только на внешнем носителе, подключая его только во время соединения по SSH. - Установите небольшое время ожидания для завершения аутентификации пользователя в конфигурационных файлах SSH, используя полномочия администратора системы с высоким уровнем целостности. Пример конфигурации: ` LoginGraceTime 10s ` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Ограничьте количество попыток авторизации в конфигурационных файлах SSH, используя полномочия администратора системы с высоким уровнем целостности. Пример конфигурации: ``` # Ограничение на две неудачные попытки, после чего произойдёт разрыв соединения MaxAuthTries 2 ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Включите аутентификацию с использованием ключей Запретите вход от имени root. Для этого, используя полномочия администратора системы с высоким уровнем целостности, в конфигурационных файлах SSH установите следующий параметр: ``` PermitRootLogin no ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Измените стандартный порт SSH. Для этого, используя полномочия администратора системы с высоким уровнем целостности, в конфигурационных файлах SSH установите следующий параметр: ``` Port <Новый порт SSH> ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Ограничьте доступ по IP-адресу для снижения возможности подключения к серверу с неразрешённых IP-адресов. Для этого, используя полномочия администратора системы с высоким уровнем целостности, в файле /etc/hosts.allow добавьте строки вида: ``` sshd: <разрешённый IP-адрес> ``` А также, используя полномочия администратора системы с высоким уровнем целостности, в файле /etc/hosts.deny добавьте следующую строку: ``` sshd: ALL ``` Astra Linux 1.8 xwayland, xorg-server A use-after-free flaw was found in X.Org and Xwayland. The root cursor is referenced in the X server as a global variable. If a client frees the root cursor, the internal reference points to freed memory and causes a use-after-free. Уязвимость реализации протокола Wayland для X.Org XWayland, реализации сервера X Window System X.Org Server связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 xwayland, xorg-server A buffer overflow flaw was found in X.Org and Xwayland. The code in XkbVModMaskText() allocates a fixed-sized buffer on the stack and copies the names of the virtual modifiers to that buffer. The code fails to check the bounds of the buffer and would copy the data regardless of the size. Уязвимость реализации протокола Wayland для X.Org XWayland, реализации сервера X Window System X.Org Server связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 xwayland, xorg-server A heap overflow flaw was found in X.Org and Xwayland. The computation of the length in XkbSizeKeySyms() differs from what is written in XkbWriteKeySyms(), which may lead to a heap-based buffer overflow. Уязвимость реализации сервера X Window System X.Org Server, реализации протокола Wayland для X.Org XWayland связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 xwayland, xorg-server A buffer overflow flaw was found in X.Org and Xwayland. If XkbChangeTypesOfKey() is called with a 0 group, it will resize the key symbols table to 0 but leave the key actions unchanged. If the same function is later called with a non-zero value of groups, this will cause a buffer overflow because the key actions are of the wrong size. Уязвимость реализации сервера X Window System X.Org Server, реализации протокола Wayland для X.Org XWayland связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 xwayland, xorg-server An out-of-bounds write flaw was found in X.Org and Xwayland. The function GetBarrierDevice() searches for the pointer device based on its device ID and returns the matching value, or supposedly NULL, if no match was found. However, the code will return the last element of the list if no matching device ID is found, which can lead to out-of-bounds memory access. Уязвимость реализации протокола Wayland для X.Org XWayland, реализации сервера X Window System X.Org Server связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 xwayland, xorg-server An access to an uninitialized pointer flaw was found in X.Org and Xwayland. The function compCheckRedirect() may fail if it cannot allocate the backing pixmap. In that case, compRedirectWindow() will return a BadAlloc error without validating the window tree marked just before, which leaves the validated data partly initialized and the use of an uninitialized pointer later. Уязвимость реализации сервера X Window System X.Org Server, реализации протокола Wayland для X.Org XWayland связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-824'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 xwayland, xorg-server A use-after-free flaw was found in X.Org and Xwayland. When a device is removed while still frozen, the events queued for that device remain while the device is freed. Replaying the events will cause a use-after-free. Уязвимость реализации протокола Wayland для X.Org XWayland, реализации сервера X Window System X.Org Server связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 xwayland, xorg-server A use-after-free flaw was found in X.Org and Xwayland. When changing an alarm, the values of the change mask are evaluated one after the other, changing the trigger values as requested, and eventually, SyncInitTrigger() is called. If one of the changes triggers an error, the function will return early, not adding the new sync object, possibly causing a use-after-free when the alarm eventually triggers. Уязвимость реализации протокола Wayland для X.Org XWayland, реализации сервера X Window System X.Org Server связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 zabbix A Zabbix adminitrator can inject arbitrary SQL during the autoremoval of hosts by inserting malicious SQL in the 'Visible name' field. Уязвимость поля 'Visible name' системы мониторинга Zabbix связана с непринятием мер по защите структуры SQL-запроса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-89')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=7.2) - Отключите все действия авторегистрации, которые удаляют хосты. Astra Linux 1.8 krb5 A vulnerability in the MIT Kerberos implementation allows GSSAPI-protected messages using RC4-HMAC-MD5 to be spoofed due to weaknesses in the MD5 checksum design. If RC4 is preferred over stronger encryption types, an attacker could exploit MD5 collisions to forge message integrity codes. This may lead to unauthorized message tampering. Уязвимость компонента GSSAPI сетевого протокола аутентификации Kerberos связана с обратимой односторонней хэш-функцией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-328')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N', score=5.9) krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 26.1, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. A malicious website may exfiltrate data cross-origin. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с использованием недоверенного файла междоменной политики. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-942')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.12 and earlier, when the `AuthType` is set to anything but `Basic`, if the request contains an `Authorization: Basic ...` header, the password is not checked. This results in authentication bypass. Any configuration that allows an `AuthType` that is not `Basic` is affected. Version 2.4.13 fixes the issue. Уязвимость системы печати CUPS (Common UNIX Printing System) связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю обойти существующие ограничения безопасности и получить несанкционированный доступ к системе путем отправки специально сформированного запроса [NistCWE(cwe='CWE-287')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H', score=8.0) 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл конфигурации /etc/cups/cupsd.conf. 2. Найдите директиву DefaultAuthType и измените её значение на Basic. Если строки нет, её можно добавить в секцию <Location /> или в глобальную секцию: ``` DefaultAuthType Basic ``` 3. После изменения перезагрузите службу CUPS: ``` sudo systemctl restart cups ``` Astra Linux 1.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.12 and earlier, an unsafe deserialization and validation of printer attributes causes null dereference in the libcups library. This is a remote DoS vulnerability available in local subnet in default configurations. It can cause the cups & cups-browsed to crash, on all the machines in local network who are listening for printers (so by default for all regular linux machines). On systems where the vulnerability CVE-2024-47176 (cups-filters 1.x/cups-browsed 2.x vulnerability) was not fixed, and the firewall on the machine does not reject incoming communication to IPP port, and the machine is set to be available to public internet, attack vector "Network" is possible. The current versions of CUPS and cups-browsed projects have the attack vector "Adjacent" in their default configurations. Version 2.4.13 contains a patch for CVE-2025-58364. Уязвимость библиотеки libcups сервера печати CUPS связана с разыменованием нулевого указателя из-за небезопасной десериализации и проверки атрибутов принтера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызывать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.5) Настройте локальный firewall (например, iptables или ufw) для блокировки входящих подключений к порту IPP (631) со всех адресов, кроме доверенных. Это предотвратит получение поддельных ответов от злоумышленников в локальной сети. Astra Linux 1.8 astra-safepolicy Уязвимость программного обеспечения для настройки безопасности astra-safepolicy связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-78 AV:L/AC:L/Au:N/C:C/I:C/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H Astra Linux 1.8 linux-astra-modules-6.1, linux-6.1 Уязвимость модулей ядра Linux Astra Modules связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-20 AV:L/AC:L/Au:N/C:P/I:P/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H Astra Linux 1.8 krb5 Уязвимость функции get_mech_set() компонента spnego_mech.c сетевого протокола аутентификации Kerberos связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-125 AV:L/AC:L/Au:S/C:N/I:N/A:P AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 krb5 Уязвимость функции krb5int_utf8_normalize() компонента ucstr.c сетевого протокола аутентификации Kerberos связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным CWE-125 AV:L/AC:L/Au:N/C:P/I:N/A:N AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 krb5 Уязвимость функции uccanoncompatdecomp() компонента ucdata.c сетевого протокола аутентификации Kerberos связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-121 AV:L/AC:H/Au:N/C:P/I:P/A:C AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:H krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 linux-astra-modules-6.1 Уязвимость модулей ядра Linux Astra Modules связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-667 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 linux-astra-modules-6.1 Уязвимость функций parsec_secid и psc_secid_to_lbl модулей ядра Linux Astra Modules связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-833 AV:L/AC:L/Au:S/C:N/I:N/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 linux-astra-modules-6.1 Уязвимость функции parsec_sock_opt_del модулей ядра Linux Astra Modules связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-833 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 parsec Уязвимость подсистемы безопасности PARSEC связана с ошибками преобразования типов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-704 AV:L/AC:L/Au:S/C:N/I:N/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 parsec Уязвимость подсистемы безопасности PARSEC связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-190 AV:L/AC:H/Au:N/C:P/I:P/A:P AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L Astra Linux 1.8 libgost Уязвимость криптографической библиотеки Libgost связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-121 AV:L/AC:L/Au:S/C:N/I:N/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 parsec Уязвимость подсистемы безопасности PARSEC связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-190 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 parsec Уязвимость подсистемы безопасности PARSEC связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:S/C:N/I:N/A:C AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 parsec Уязвимость подсистемы безопасности PARSEC связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 qemu Уязвимость эмулятора аппаратного обеспечения QEMU связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-20 AV:N/AC:L/Au:N/C:N/I:N/A:C AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 krb5 Уязвимость функции krb5_chpw_message() сетевого протокола аутентификации Kerberos связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании CWE-20 AV:L/AC:L/Au:S/C:P/I:N/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:H krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 pgpool2 Information disclosure vulnerability exists in Pgpool-II 4.4.0 to 4.4.1 (4.4 series), 4.3.0 to 4.3.4 (4.3 series), 4.2.0 to 4.2.11 (4.2 series), 4.1.0 to 4.1.14 (4.1 series), 4.0.0 to 4.0.21 (4.0 series), All versions of 3.7 series, All versions of 3.6 series, All versions of 3.5 series, All versions of 3.4 series, and All versions of 3.3 series. A specific database user's authentication information may be obtained by another database user. As a result, the information stored in the database may be altered and/or database may be suspended by a remote attacker who successfully logged in the product with the obtained credentials. Уязвимость утилиты для управления пулами соединений баз данных Pgpool-II связана с незашифрованным хранением конфиденциальной информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-312'), NistCWE(cwe='CWE-312')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=6.5) pgpool2: - Запускайте приложения, использующие pgpool2, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Убедитесь, что ваши веб-приложения, использующие pgpool2, корректно проверяют все входные данные, чтобы предотвратить атаки, такие как SQL-инъекции и XSS. - Настройте веб-сервер для использования HTTPS, чтобы защитить данные, передаваемые между клиентом и сервером. Astra Linux 1.8 openssl, edk2 Issue summary: A timing side-channel which could potentially allow recovering the private key exists in the ECDSA signature computation. Impact summary: A timing side-channel in ECDSA signature computations could allow recovering the private key by an attacker. However, measuring the timing would require either local access to the signing application or a very fast network connection with low latency. There is a timing signal of around 300 nanoseconds when the top word of the inverted ECDSA nonce value is zero. This can happen with significant probability only for some of the supported elliptic curves. In particular the NIST P-521 curve is affected. To be able to measure this leak, the attacker process must either be located in the same physical computer or must have a very fast network connection with low latency. For that reason the severity of this vulnerability is Low. The FIPS modules in 3.4, 3.3, 3.2, 3.1 and 3.0 are affected by this issue. Уязвимость библиотеки OpenSSL связана со cкрытым временным каналом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, восстановить закрытый ключ [NistCWE(cwe='CWE-385')] None NistCVSS3(cvss='AV:P/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=4.1) Astra Linux 1.8 python-urllib3 urllib3 is a user-friendly HTTP client library for Python. When using urllib3's proxy support with `ProxyManager`, the `Proxy-Authorization` header is only sent to the configured proxy, as expected. However, when sending HTTP requests *without* using urllib3's proxy support, it's possible to accidentally configure the `Proxy-Authorization` header even though it won't have any effect as the request is not using a forwarding proxy or a tunneling proxy. In those cases, urllib3 doesn't treat the `Proxy-Authorization` HTTP header as one carrying authentication material and thus doesn't strip the header on cross-origin redirects. Because this is a highly unlikely scenario, we believe the severity of this vulnerability is low for almost all users. Out of an abundance of caution urllib3 will automatically strip the `Proxy-Authorization` header during cross-origin redirects to avoid the small chance that users are doing this on accident. Users should use urllib3's proxy support or disable automatic redirects to achieve safe processing of the `Proxy-Authorization` header, but we still decided to strip the header by default in order to further protect users who aren't using the correct approach. We believe the number of usages affected by this advisory is low. It requires all of the following to be true to be exploited: 1. Setting the `Proxy-Authorization` header without using urllib3's built-in proxy support. 2. Not disabling HTTP redirects. 3. Either not using an HTTPS origin server or for the proxy or target origin to redirect to a malicious origin. Users are advised to update to either version 1.26.19 or version 2.2.2. Users unable to upgrade may use the `Proxy-Authorization` header with urllib3's `ProxyManager`, disable HTTP redirects using `redirects=False` when sending requests, or not user the `Proxy-Authorization` header as mitigations. Уязвимость HTTP-клиентской библиотеки для Python urllib3 связана с некорректной обработкой заголовка Proxy-Authorization во время перенаправлений между источниками. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-669')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:N/A:N', score=4.4) python-urllib3: - Использовать ПО python-urllib3 только на низком или отдельно выделенном уровне целостности - При использовании ПО python-urllib3 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-urllib3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_conn: Fix null ptr deref in hci_abort_conn() hci_abort_conn() read hci_skb_event(hdev->sent_cmd) when a connection was pending, but hdev->sent_cmd can be NULL while req_status is still HCI_REQ_PEND, leading to a NULL pointer dereference and a general protection fault from the hci_rx_work() receive path. Instead of inspecting hdev->sent_cmd, track the in-flight create connection command with a new per-connection HCI_CONN_CREATE flag and route all cancellation through hci_cancel_connect_sync(), which dispatches to a dedicated per-type cancel function. The create command is in exactly one of two states: still queued, or in flight. The cancel function holds cmd_sync_work_lock across the whole decision: the worker takes this lock to dequeue every entry, so while it is held a queued command cannot start running and an in-flight command cannot complete and let the next command become pending. This keeps the flag test and hci_cmd_sync_cancel() atomic with respect to the worker, so a queued command is simply dequeued, and an in-flight command owned by this connection is cancelled without the risk of cancelling an unrelated command that became pending in the meantime. CIS uses the same flag mechanism via HCI_CONN_CREATE_CIS but cannot be dequeued per-connection. hci_acl_create_conn_sync() and hci_le_create_conn_sync() clear HCI_CONN_CREATE after the create command completes, but the command status handler can free conn via hci_conn_del() (for example when the controller rejects the connection) while the worker is still blocked on the connection complete event. Hold a reference on conn across the create command so the flag can be cleared without a use-after-free. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_core: use skb_get() instead of skb_clone() for req_skb BT enable fails intermittently with -ETIMEDOUT (-110). The kernel log shows the HCI Read Local Version command was sent and the firmware replied with status 0x00 (logged by hci_req_cmd_complete() BT_DBG), but the waiter in __hci_cmd_sync_sk() never woke up and timed out after 10 s: bluetooth hci0: Opcode 0xfc00 // __hci_cmd_sync_sk bluetooth hci0: opcode 0xfc00 plen 1 // hci_cmd_sync_add bluetooth hci0: skb len 4 // hci_cmd_sync_alloc bluetooth hci0: length 1 // hci_req_sync_run Bluetooth: hci0 cmd_cnt 1 cmd queued 1 // hci_cmd_work Bluetooth: hci0 type 1 len 4 // hci_send_frame Bluetooth: opcode 0xfc00 status 0x00 // hci_req_cmd_complete <-- req_skb NULL: req_complete_skb not set, hci_cmd_sync_complete() never called, req_status stays HCI_REQ_PEND --> <-- 10 s later: wait_event_interruptible_timeout expires --> bluetooth hci0: end: err -110 // __hci_cmd_sync_sk The root cause is that hci_send_cmd_sync() clones the sent command into hdev->req_skb so that hci_req_cmd_complete() can locate the registered completion callback. Under memory pressure this skb_clone() fails, leaving hdev->req_skb NULL. The firmware reply is received and processed, but hci_req_cmd_complete() finds NULL req_skb, so hci_cmd_sync_complete() is never called, req_status stays HCI_REQ_PEND, and the waiter times out with -ETIMEDOUT. req_skb is only used to read bt_cb(skb)->hci callbacks and opcode -- it is never modified. Replace skb_clone() with skb_get(), which simply increments the reference count of hdev->sent_cmd without allocating new memory and therefore cannot fail. This issue was first observed as a use-after-free in ttyport_close() when ttyport_open() failed, which was investigated in an earlier patch series [1]. That investigation led to the discovery of the true root cause described above. [1] https://lore.kernel.org/all/20250430111617.1151390-1-quic_cxin@quicinc.com/ [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: avoid race between device unregistration and ethnl ops The following trace can be seen if a device is being unregistered while its number of channels are being modified. DEBUG_LOCKS_WARN_ON(lock->magic != lock) WARNING: CPU: 3 PID: 3754 at kernel/locking/mutex.c:564 __mutex_lock+0xc8a/0x1120 CPU: 3 UID: 0 PID: 3754 Comm: ethtool Not tainted 6.13.0-rc6+ #771 RIP: 0010:__mutex_lock+0xc8a/0x1120 Call Trace: <TASK> ethtool_check_max_channel+0x1ea/0x880 ethnl_set_channels+0x3c3/0xb10 ethnl_default_set_doit+0x306/0x650 genl_family_rcv_msg_doit+0x1e3/0x2c0 genl_rcv_msg+0x432/0x6f0 netlink_rcv_skb+0x13d/0x3b0 genl_rcv+0x28/0x40 netlink_unicast+0x42e/0x720 netlink_sendmsg+0x765/0xc20 __sys_sendto+0x3ac/0x420 __x64_sys_sendto+0xe0/0x1c0 do_syscall_64+0x95/0x180 entry_SYSCALL_64_after_hwframe+0x76/0x7e This is because unregister_netdevice_many_notify might run before the rtnl lock section of ethnl operations, eg. set_channels in the above example. In this example the rss lock would be destroyed by the device unregistration path before being used again, but in general running ethnl operations while dismantle has started is not a good idea. Fix this by denying any operation on devices being unregistered. A check was already there in ethnl_ops_begin, but not wide enough. Note that the same issue cannot be seen on the ioctl version (__dev_ethtool) because the device reference is retrieved from within the rtnl lock section there. Once dismantle started, the net device is unlisted and no reference will be found. Уязвимость компонента net/ethtool/netlink.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pfifo_tail_enqueue: Drop new packet when sch->limit == 0 Expected behaviour: In case we reach scheduler's limit, pfifo_tail_enqueue() will drop a packet in scheduler's queue and decrease scheduler's qlen by one. Then, pfifo_tail_enqueue() enqueue new packet and increase scheduler's qlen by one. Finally, pfifo_tail_enqueue() return `NET_XMIT_CN` status code. Weird behaviour: In case we set `sch->limit == 0` and trigger pfifo_tail_enqueue() on a scheduler that has no packet, the 'drop a packet' step will do nothing. This means the scheduler's qlen still has value equal 0. Then, we continue to enqueue new packet and increase scheduler's qlen by one. In summary, we can leverage pfifo_tail_enqueue() to increase qlen by one and return `NET_XMIT_CN` status code. The problem is: Let's say we have two qdiscs: Qdisc_A and Qdisc_B. - Qdisc_A's type must have '->graft()' function to create parent/child relationship. Let's say Qdisc_A's type is `hfsc`. Enqueue packet to this qdisc will trigger `hfsc_enqueue`. - Qdisc_B's type is pfifo_head_drop. Enqueue packet to this qdisc will trigger `pfifo_tail_enqueue`. - Qdisc_B is configured to have `sch->limit == 0`. - Qdisc_A is configured to route the enqueued's packet to Qdisc_B. Enqueue packet through Qdisc_A will lead to: - hfsc_enqueue(Qdisc_A) -> pfifo_tail_enqueue(Qdisc_B) - Qdisc_B->q.qlen += 1 - pfifo_tail_enqueue() return `NET_XMIT_CN` - hfsc_enqueue() check for `NET_XMIT_SUCCESS` and see `NET_XMIT_CN` => hfsc_enqueue() don't increase qlen of Qdisc_A. The whole process lead to a situation where Qdisc_A->q.qlen == 0 and Qdisc_B->q.qlen == 1. Replace 'hfsc' with other type (for example: 'drr') still lead to the same problem. This violate the design where parent's qlen should equal to the sum of its childrens'qlen. Bug impact: This issue can be used for user->kernel privilege escalation when it is reachable. Уязвимость функции pfifo_tail_enqueue() (net/sched/sch_fifo.c) ядра операционной системы Linux связана с несоответствием функциональности согласно спецификации. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vsock: Keep the binding until socket destruction Preserve sockets bindings; this includes both resulting from an explicit bind() and those implicitly bound through autobind during connect(). Prevents socket unbinding during a transport reassignment, which fixes a use-after-free: 1. vsock_create() (refcnt=1) calls vsock_insert_unbound() (refcnt=2) 2. transport->release() calls vsock_remove_bound() without checking if sk was bound and moved to bound list (refcnt=1) 3. vsock_bind() assumes sk is in unbound list and before __vsock_insert_bound(vsock_bound_sockets()) calls __vsock_remove_bound() which does: list_del_init(&vsk->bound_table); // nop sock_put(&vsk->sk); // refcnt=0 BUG: KASAN: slab-use-after-free in __vsock_bind+0x62e/0x730 Read of size 4 at addr ffff88816b46a74c by task a.out/2057 dump_stack_lvl+0x68/0x90 print_report+0x174/0x4f6 kasan_report+0xb9/0x190 __vsock_bind+0x62e/0x730 vsock_bind+0x97/0xe0 __sys_bind+0x154/0x1f0 __x64_sys_bind+0x6e/0xb0 do_syscall_64+0x93/0x1b0 entry_SYSCALL_64_after_hwframe+0x76/0x7e Allocated by task 2057: kasan_save_stack+0x1e/0x40 kasan_save_track+0x10/0x30 __kasan_slab_alloc+0x85/0x90 kmem_cache_alloc_noprof+0x131/0x450 sk_prot_alloc+0x5b/0x220 sk_alloc+0x2c/0x870 __vsock_create.constprop.0+0x2e/0xb60 vsock_create+0xe4/0x420 __sock_create+0x241/0x650 __sys_socket+0xf2/0x1a0 __x64_sys_socket+0x6e/0xb0 do_syscall_64+0x93/0x1b0 entry_SYSCALL_64_after_hwframe+0x76/0x7e Freed by task 2057: kasan_save_stack+0x1e/0x40 kasan_save_track+0x10/0x30 kasan_save_free_info+0x37/0x60 __kasan_slab_free+0x4b/0x70 kmem_cache_free+0x1a1/0x590 __sk_destruct+0x388/0x5a0 __vsock_bind+0x5e1/0x730 vsock_bind+0x97/0xe0 __sys_bind+0x154/0x1f0 __x64_sys_bind+0x6e/0xb0 do_syscall_64+0x93/0x1b0 entry_SYSCALL_64_after_hwframe+0x76/0x7e refcount_t: addition on 0; use-after-free. WARNING: CPU: 7 PID: 2057 at lib/refcount.c:25 refcount_warn_saturate+0xce/0x150 RIP: 0010:refcount_warn_saturate+0xce/0x150 __vsock_bind+0x66d/0x730 vsock_bind+0x97/0xe0 __sys_bind+0x154/0x1f0 __x64_sys_bind+0x6e/0xb0 do_syscall_64+0x93/0x1b0 entry_SYSCALL_64_after_hwframe+0x76/0x7e refcount_t: underflow; use-after-free. WARNING: CPU: 7 PID: 2057 at lib/refcount.c:28 refcount_warn_saturate+0xee/0x150 RIP: 0010:refcount_warn_saturate+0xee/0x150 vsock_remove_bound+0x187/0x1e0 __vsock_release+0x383/0x4a0 vsock_release+0x90/0x120 __sock_release+0xa3/0x250 sock_close+0x14/0x20 __fput+0x359/0xa80 task_work_run+0x107/0x1d0 do_exit+0x847/0x2560 do_group_exit+0xb8/0x250 __x64_sys_exit_group+0x3a/0x50 x64_sys_call+0xfec/0x14f0 do_syscall_64+0x93/0x1b0 entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость функции vsock_remove_sock() модуля net/vmw_vsock/af_vsock.c реализации сетевых функций ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2025-21756 необходимо запретить загрузку модуля _vsock.ko_ в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль _vsock_ в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep vsock ``` или ``` kmod list | grep vsock ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod vsock ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл _/etc/modprobe.d/blacklist.local.conf_ (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово {_}install{_}, название блокируемого модуля и shell-комманду: ``` install vsock /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 erlang Erlang is a programming language and runtime system for building massively scalable soft real-time systems with requirements on high availability. OTP is a set of Erlang libraries, which consists of the Erlang runtime system, a number of ready-to-use components mainly written in Erlang. Packet size is not verified properly for SFTP packets. As a result when multiple SSH packets (conforming to max SSH packet size) are received by ssh, they might be combined into an SFTP packet which will exceed the max allowed packet size and potentially cause large amount of memory to be allocated. Note that situation described above can only happen for successfully authenticated users after completing the SSH handshake. This issue has been patched in OTP versions 27.2.4, 26.2.5.9, and 25.3.2.18. There are no known workarounds for this vulnerability. Уязвимость набора библиотек OTP языка программирования Erlang связана с отсутсвием контроля вводимых пользователем данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-789')] None None erlang-jose: - Включить межсетевой экран ufw - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды erlang: - Включить межсетевой экран ufw - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 erlang Erlang/OTP is a set of libraries for the Erlang programming language. Prior to versions OTP-27.3.1, 26.2.5.10, and 25.3.2.19, a maliciously formed KEX init message can result with high memory usage. Implementation does not verify RFC specified limits on algorithm names (64 characters) provided in KEX init message. Big KEX init packet may lead to inefficient processing of the error data. As a result, large amount of memory will be allocated for processing malicious data. Versions OTP-27.3.1, OTP-26.2.5.10, and OTP-25.3.2.19 fix the issue. Some workarounds are available. One may set option `parallel_login` to `false` and/or reduce the `max_sessions` option. Уязвимость набора библиотек OTP языка программирования Erlang связана с неконтролируемым расходом памяти из-за отсутствия проверки RFC ограничений на имена алгоритмов, предоставленных в сообщении инициализации KEX. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально сформированного сообщения инициализации KEX [NistCWE(cwe='CWE-789')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) erlang-jose: - Включить межсетевой экран ufw - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды erlang: - Включить межсетевой экран ufw - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 erlang Erlang/OTP is a set of libraries for the Erlang programming language. Prior to versions OTP-27.3.3, OTP-26.2.5.11, and OTP-25.3.2.20, a SSH server may allow an attacker to perform unauthenticated remote code execution (RCE). By exploiting a flaw in SSH protocol message handling, a malicious actor could gain unauthorized access to affected systems and execute arbitrary commands without valid credentials. This issue is patched in versions OTP-27.3.3, OTP-26.2.5.11, and OTP-25.3.2.20. A temporary workaround involves disabling the SSH server or to prevent access via firewall rules. Уязвимость реализации протокола SSH из набора библиотек Erlang/OTP связана с отсутствием проверки подлинности для критически важной функции. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных SSH-пакетов [NistCWE(cwe='CWE-306')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) - Включить и настроить межсетевой экран ufw для ограничения доступа к SSH-серверу - Временно отключить демон SSH - Использовать «белый» список IP-адресов для ограничения доступа к уязвимому программному обеспечению - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libfile-find-rule-perl File::Find::Rule through 0.34 for Perl is vulnerable to Arbitrary Code Execution when `grep()` encounters a crafted filename. A file handle is opened with the 2 argument form of `open()` allowing an attacker controlled filename to provide the MODE parameter to `open()`, turning the filename into a command to be executed. Example: $ mkdir /tmp/poc; echo > "/tmp/poc/|id" $ perl -MFile::Find::Rule \     -E 'File::Find::Rule->grep("foo")->in("/tmp/poc")' uid=1000(user) gid=1000(user) groups=1000(user),100(users) Уязвимость библиотеки Perl для поиска файлов File::Find::Rule связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-78')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 gcc-12 libiberty/rust-demangle.c in GNU GCC 11.2 allows stack consumption in demangle_const, as demonstrated by nm-new. Уязвимость функции demangle_const компонента libiberty/rust-demangle.c компилятора GCC связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 hwloc An issue was discovered in open-mpi hwloc 2.1.0 allows attackers to cause a denial of service or other unspecified impacts via glibc-cpuset in topology-linux.c. Уязвимость компонента topology-linux.c библиотеки для отображения топологии оборудования HWLOC связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) - Отказаться от использования библиотеки hwloc - При использовании ПО, использующего библиотеку hwloc, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку hwloc, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку hwloc, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libxml2 xmlXIncludeAddNode in xinclude.c in libxml2 before 2.11.0 has a use-after-free. Уязвимость функции xmlXIncludeAddNode компонента xinclude.c библиотеки Libxml2 связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=8.1) - При использовании ПО libxml2 выполнять обработку файлов, полученных только из доверенных источников - Используйте флаг XML_PARSE_NOXINCNODE при парсинге XML - Для утилиты xsltproc применяйте флаг --noxinclude - При использовании ПО libxml2 не вызывайте функцию xmlXIncludeProcess Astra Linux 1.8 binutils A potential heap based buffer overflow was found in _bfd_elf_slurp_version_tables() in bfd/elf.c. This may lead to loss of availability. Уязвимость функции _bfd_elf_slurp_version_tables() компонента bfd/elf.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 tiff libtiff 4.5.0 is vulnerable to Buffer Overflow via /libtiff/tools/tiffcrop.c:8499. Incorrect updating of buffer size after rotateImage() in tiffcrop cause heap-buffer-overflow and SEGV. Уязвимость функции rotateImage() компонента /libtiff/tools/tiffcrop.c библиотеки LibTIFF связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) tiff: - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 tiff loadImage() in tools/tiffcrop.c in LibTIFF through 4.5.0 has a heap-based use after free via a crafted TIFF image. Уязвимость функции loadImage() компонента tools/tiffcrop.c библиотеки LibTIFF связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально созданного TIFF изображения [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) tiff: - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 tiff libtiff 4.5.0 is vulnerable to Buffer Overflow in uv_encode() when libtiff reads a corrupted little-endian TIFF file and specifies the output to be big-endian. Уязвимость функции uv_encode() библиотеки LibTIFF вызвана переполнением буфера на стеке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) tiff: - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 tiff A null pointer dereference issue was found in Libtiff's tif_dir.c file. This issue may allow an attacker to pass a crafted TIFF image file to the tiffcp utility which triggers a runtime error that causes undefined behavior. This will result in an application crash, eventually leading to a denial of service. Уязвимость компонента tif_dir.c библиотеки LibTIFF связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально созданного TIFF изображения [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) tiff: - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 requests Requests is a HTTP library. Since Requests 2.3.0, Requests has been leaking Proxy-Authorization headers to destination servers when redirected to an HTTPS endpoint. This is a product of how we use `rebuild_proxies` to reattach the `Proxy-Authorization` header to requests. For HTTP connections sent through the tunnel, the proxy will identify the header in the request itself and remove it prior to forwarding to the destination server. However when sent over HTTPS, the `Proxy-Authorization` header must be sent in the CONNECT request as the proxy has no visibility into the tunneled request. This results in Requests forwarding proxy credentials to the destination server unintentionally, allowing a malicious actor to potentially exfiltrate sensitive information. This issue has been patched in version 2.31.0. Уязвимость библиотеки HTTP запросов языка программирования Python Requests связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N', score=6.1) При использовании прокси с учетными данными в URL отключить автоматические редиректы. Для этого во всех вызовах requests.get(), requests.post() добавить следующий параметр: `allow_redirects=False` Обратите внимание, что если вы в настоящее время используете редиректы, вам нужно будет обрабатывать коды ответов 3xx вручную и убедиться, что новый запрос сделан к месту назначения перенаправления. - Отказаться от использования библиотеки requests в пользу других прокси - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Активировать режим замкнутой программной среды Astra Linux 1.8 intel-microcode Improper input validation in UEFI firmware for some Intel(R) Processors may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микрокода процессоров Intel Microcode связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H', score=7.5) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 poppler A vulnerability in Outline.cc for Poppler prior to 23.06.0 allows a remote attacker to cause a Denial of Service (DoS) (crash) via a crafted PDF file in OutlineItem::open. Уязвимость функции OutlineItem::open() библиотеки для рендеринга PDF-файлов Poppler связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) poppler: - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular poppler-22: - При использовании ПО poppler-22 выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 1.8 tiff A flaw was found in libtiff. A specially crafted tiff file can lead to a segmentation fault due to a buffer overflow in the Fax3Encode function in libtiff/tif_fax3.c, resulting in a denial of service. Уязвимость функции Fax3Encode компонента tif_fax3.c библиотеки LibTIFF связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного tiff файла [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) tiff: - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 procps Under some circumstances, this weakness allows a user who has access to run the “ps” utility on a machine, the ability to write almost unlimited amounts of unfiltered data into the process heap. Уязвимость утилиты сбора информации запущенных процессов ps набора утилит командной строки procps-ng связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании путем записи неограниченного объема нефильтрованных данных [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:L', score=2.5) procps: - Использовать ПО procps только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libspf2 Exim libspf2 Integer Underflow Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of Exim libspf2. Authentication is not required to exploit this vulnerability. The specific flaw exists within the parsing of SPF macros. When parsing SPF macros, the process does not properly validate user-supplied data, which can result in an integer underflow before writing to memory. An attacker can leverage this vulnerability to execute code in the context of the service account. . Was ZDI-CAN-17578. Уязвимость библиотеки libspf2 почтового сервера Exim связана с целочисленным переполнением в результате использования макросов SPF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.5) libspf2: - Запускайте libspf2 с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libspf2 так, чтобы их могли изменять только администраторы системы. - Валидация всех входных данных, обрабатываемых с использованием libspf2, для предотвращения атак, связанных с недоверенными данными. Проверьте SPF-записи на наличие аномалий. - Рассмотрите возможность использования контейнеров (например, Docker) или виртуальных машин для изоляции процессов, работающих с libspf2 Astra Linux 1.8 intel-microcode Improper isolation in the Intel(R) Core(TM) Ultra Processor stream cache mechanism may allow an authenticated user to potentially enable escalation of privilege via local access. Уязвимость микрокода процессоров Intel Microcode связана с неправильной изоляцией общих ресурсов в SoC. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1189')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H', score=7.8) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Improper input validation in UEFI firmware for some Intel(R) processors may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микрокода процессоров Intel Microcode связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H', score=8.2) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 traceroute In buc Traceroute 2.0.12 through 2.1.2 before 2.1.3, the wrapper scripts do not properly parse command lines. Уязвимость утилиты buc Traceroute связана с неправильной обработкой строк кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-234')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) traceroute: - Обеспечить возможность запуска ПО traceroute только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запускать ПО traceroute только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 dogtag-pki A flaw was found in dogtag-pki and pki-core. The token authentication scheme can be bypassed with a LDAP injection. By passing the query string parameter sessionID=*, an attacker can authenticate with an existing session saved in the LDAP directory server, which may lead to escalation of privilege. Уязвимость компонента LDAPSecurityDomainSessionTable.java системы управления ключами Dogtag PKI связана с обходом аутентификации в силу исходной ошибки. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-305')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.5) dogtag-pki: - Обеспечить возможность запуска dogtag-pki только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/mediatek: Fix coverity issue with unintentional integer overflow 1. Instead of multiplying 2 variable of different types. Change to assign a value of one variable and then multiply the other variable. 2. Add a int variable for multiplier calculation instead of calculating different types multiplier with dma_addr_t variable directly. Уязвимость функции mtk_drm_gem_dumb_create() модуля drivers/gpu/drm/mediatek/mtk_drm_gem.c - драйвера поддержки инфраструктуры прямого рендеринга (DRI) видеокарт Mediatek ядра операционной системы Linux связана с целочисленным переполнением или циклическим сдвигом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: allow exp not to be removed in nf_ct_find_expectation Currently nf_conntrack_in() calling nf_ct_find_expectation() will remove the exp from the hash table. However, in some scenario, we expect the exp not to be removed when the created ct will not be confirmed, like in OVS and TC conntrack in the following patches. This patch allows exp not to be removed by setting IPS_CONFIRMED in the status of the tmpl. Уязвимость компонента netfilter ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2023-52927 необходимо запретить загрузку модуля nf_conntrack.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_conntrack в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_conntrack ``` или ``` kmod list | grep nf_conntrack ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_conntrack ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nf_conntrack /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ntb_hw_switchtec: Fix shift-out-of-bounds in switchtec_ntb_mw_set_trans There is a kernel API ntb_mw_clear_trans() would pass 0 to both addr and size. This would make xlate_pos negative. [ 23.734156] switchtec switchtec0: MW 0: part 0 addr 0x0000000000000000 size 0x0000000000000000 [ 23.734158] ================================================================================ [ 23.734172] UBSAN: shift-out-of-bounds in drivers/ntb/hw/mscc/ntb_hw_switchtec.c:293:7 [ 23.734418] shift exponent -1 is negative Ensuring xlate_pos is a positive or zero before BIT. Уязвимость компонента drivers/ntb/hw/mscc/ntb_hw_switchtec.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=7.1) Astra Linux 1.8 tiff An out-of-memory flaw was found in libtiff. Passing a crafted tiff file to TIFFOpen() API may allow a remote attacker to cause a denial of service via a craft input with size smaller than 379 KB. Уязвимость функции TIFFOpen() библиотеки LibTIFF связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного tiff файла [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 ansible-core An information disclosure flaw was found in ansible-core due to a failure to respect the ANSIBLE_NO_LOG configuration in some scenarios. Information is still included in the output in certain tasks, such as loop items. Depending on the task, this issue may include sensitive information, such as decrypted secret values. Уязвимость систем управления конфигурациями Ansible Core и Ansible связана с неправильной обработкой выходных данных для журналов регистрации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-117'), NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N', score=5.0) Astra Linux 1.8 curl When asked to both use a `.netrc` file for credentials and to follow HTTP redirects, curl could leak the password used for the first host to the followed-to host under certain circumstances. This flaw only manifests itself if the netrc file has an entry that matches the redirect target hostname but the entry either omits just the password or omits both login and password. Уязвимость программного средства для взаимодействия с серверами CURL связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N', score=3.4) - При использовании ПО curl не выполнять обработку файлов `.netrc` и не передавать учётные данные через аргумент `--netrc` - Если использование `.netrc` неизбежно, запретите пересылку аутентификационных данных на другие хосты, ограничив количество редиректов: `--max-redirs 0` - Не использовать запись `default` в файле `.netrc`. Оставляйте только конкретные записи для нужных хостов с явно указанными логином и паролем. Astra Linux 1.8 ansible-core A flaw was found in Ansible-Core. This vulnerability allows attackers to bypass unsafe content protections using the hostvars object to reference and execute templated content. This issue can lead to arbitrary code execution if remote data or module outputs are improperly templated within playbooks. Уязвимость систем управления конфигурациями Ansible и Ansible Core связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:L/A:L', score=5.5) Astra Linux 1.8 python3.11 The urllib.parse.urlsplit() and urlparse() functions improperly validated bracketed hosts (`[]`), allowing hosts that weren't IPv6 or IPvFuture. This behavior was not conformant to RFC 3986 and potentially enabled SSRF if a URL is processed by more than one URL parser. Уязвимость функций urllib.parse.urlsplit() и urlparse() интерпретатора языка программирования Python связана с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-918')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N', score=3.7) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libpod, golang-github-containers-buildah A vulnerability was found in `podman build` and `buildah.` This issue occurs in a container breakout by using --jobs=2 and a race condition when building a malicious Containerfile. SELinux might mitigate it, but even with SELinux on, it still allows the enumeration of files and directories on the host. Уязвимость программного средства управления и запуска OCI-контейнеров Podman связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить удаленному злоумышленнику нарушить доступность защищаемой информации [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.6) Astra Linux 1.8 php8.2 In PHP versions 8.3.* before 8.3.19 and 8.4.* before 8.4.5, a code sequence involving __set handler or ??=  operator and exceptions can lead to a use-after-free vulnerability. If the third party can control the memory layout leading to this, for example by supplying specially crafted inputs to the script, it could lead to remote code execution. Уязвимость функции php_request_shutdown интерпретатора языка программирования PHP связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 libtasn1-6 A flaw in libtasn1 causes inefficient handling of specific certificate data. When processing a large number of elements in a certificate, libtasn1 takes much longer than expected, which can slow down or even crash the system. This flaw allows an attacker to send a specially crafted certificate, causing a denial of service attack. Уязвимость ASN.1 библиотеки Libtasn1 связана с алгоритмической сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-407')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) - Отказаться от использования библиотеки libtasn1-6 - При использовании ПО, использующего библиотеку libtasn1-6, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libtasn1-6, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libtasn1-6, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 gnutls28 A flaw was found in GnuTLS, which relies on libtasn1 for ASN.1 data processing. Due to an inefficient algorithm in libtasn1, decoding certain DER-encoded certificate data can take excessive time, leading to increased resource consumption. This flaw allows a remote attacker to send a specially crafted certificate, causing GnuTLS to become unresponsive or slow, resulting in a denial-of-service condition. Уязвимость библиотеки безопасности транспортного уровня GnuTLS связана с алгоритмической сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-407')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) - Отказаться от использования библиотеки gnutls28 - При использовании ПО, использующего библиотеку gnutls28, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку gnutls28, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку gnutls28, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 openssl Issue summary: Clients using RFC7250 Raw Public Keys (RPKs) to authenticate a server may fail to notice that the server was not authenticated, because handshakes don't abort as expected when the SSL_VERIFY_PEER verification mode is set. Impact summary: TLS and DTLS connections using raw public keys may be vulnerable to man-in-middle attacks when server authentication failure is not detected by clients. RPKs are disabled by default in both TLS clients and TLS servers. The issue only arises when TLS clients explicitly enable RPK use by the server, and the server, likewise, enables sending of an RPK instead of an X.509 certificate chain. The affected clients are those that then rely on the handshake to fail when the server's RPK fails to match one of the expected public keys, by setting the verification mode to SSL_VERIFY_PEER. Clients that enable server-side raw public keys can still find out that raw public key verification failed by calling SSL_get_verify_result(), and those that do, and take appropriate action, are not affected. This issue was introduced in the initial implementation of RPK support in OpenSSL 3.2. The FIPS modules in 3.4, 3.3, 3.2, 3.1 and 3.0 are not affected by this issue. Уязвимость режима SSL_VERIFY_PEER криптографической библиотеки OpenSSL связана с отсутствием механизма уведомления пользователя об установлении сеанса связи. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, реализовать атаку типа «человек-посередине» в ходе соединения TLS/DTLS [NistCWE(cwe='CWE-392')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам Astra Linux 1.8 edk2 EDK2 contains a vulnerability when S3 sleep is activated where an Attacker may cause a Division-By-Zero due to a UNIT32 overflow via local access. A successful exploit of this vulnerability may lead to a loss of Availability. Уязвимость компонента FirmwarePerformancePei.c среды с открытым исходным кодом для разработки UEFI EDK2 связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:C/C:N/I:N/A:H', score=6.0) edk2: - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. Astra Linux 1.8 easy-rsa Weak encryption algorithm in Easy-RSA version 3.0.5 through 3.1.7 allows a local attacker to more easily bruteforce the private CA key when created using OpenSSL 3 Уязвимость команды build-ca утилиты управления сертификатами Easy-RSA связана с недостаточно стойким шифрованием данных в результате использования алгоритма cipher:des-ede3-cbc. Эксплуатация уязвимости может позволить нарушителю реализовать атаку методом «грубой силы» (brute force) [NistCWE(cwe='CWE-326')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) Astra Linux 1.8 mariadb Vulnerability in the MySQL Server product of Oracle MySQL (component: Client: mysqldump). Supported versions that are affected are 8.0.36 and prior and 8.3.0 and prior. Difficult to exploit vulnerability allows unauthenticated attacker with logon to the infrastructure where MySQL Server executes to compromise MySQL Server. Successful attacks of this vulnerability can result in unauthorized update, insert or delete access to some of MySQL Server accessible data as well as unauthorized read access to a subset of MySQL Server accessible data and unauthorized ability to cause a partial denial of service (partial DOS) of MySQL Server. CVSS 3.1 Base Score 4.9 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L). Уязвимость компонента mysqldump СУБД MySQL связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=4.9) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 intel-microcode Incorrect default permissions in some Intel(R) Xeon(R) processor memory controller configurations when using Intel(R) SGX may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микрокода процессоров Intel Microcode связана с настройками прав доступа по умолчанию. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-276')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:N', score=7.2) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Improper finite state machines (FSMs) in the hardware logic in some 4th and 5th Generation Intel(R) Xeon(R) Processors may allow an authorized user to potentially enable denial of service via local access. Уязвимость компонента FSM микропрограммного обеспечения процессоров Intel связана с проверкой неправильных условий. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1245')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 389-ds-base A denial of service vulnerability was found in 389-ds-base ldap server. This issue may allow an authenticated user to cause a server crash while modifying `userPassword` using malformed input. Уязвимость сервера службы каталогов 389 Directory Server связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.7) Astra Linux 1.8 intel-microcode Improper conditions check in some Intel(R) Xeon(R) processor memory controller configurations when using Intel(R) SGX may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микропрограммного обеспечения процессоров Intel Xeon связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю повысить привилегии [NistCWE(cwe='CWE-92')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Observable discrepancy in RAPL interface for some Intel(R) Processors may allow a privileged user to potentially enable information disclosure via local access. Уязвимость интерфейса RAPL Interface микропрограммного обеспечения процессоров Intel связана с раскрытием информации через несоответствие. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:N/A:N', score=5.3) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Improper input validation in XmlCli feature for UEFI firmware for some Intel(R) processors may allow privileged user to potentially enable escalation of privilege via local access. Уязвимость функционала XmlCli микрокода процессоров Intel Microcode связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H', score=7.5) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Incorrect behavior order in transition between executive monitor and SMI transfer monitor (STM) in some Intel(R) Processor may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микрокода процессоров Intel Microcode связана с выполнением действий в неправильном порядке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-696')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:H', score=7.2) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 A race condition was found in the Linux kernel's scsi device driver in lpfc_unregister_fcf_rescan() function. This can result in a null pointer dereference issue, possibly leading to a kernel panic or denial of service issue. Уязвимость функции lpfc_unregister_fcf_rescan() компонента drivers/scsi/lpfc/lpfc_hbadisc.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:N/I:L/A:H', score=5.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Improper finite state machines (FSMs) in hardware logic in some Intel(R) Processors may allow an privileged user to potentially enable a denial of service via local access. Уязвимость компонента FSM микропрограммного обеспечения процессоров Intel связана с проверкой неправильных условий. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-1245')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:N/I:N/A:H', score=5.3) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Protection mechanism failure in some 3rd, 4th, and 5th Generation Intel(R) Xeon(R) Processors may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микрокода процессоров Intel Microcode связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:L/I:H/A:N', score=6.1) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 qtbase-opensource-src An issue was discovered in gui/util/qktxhandler.cpp in Qt before 5.15.17, 6.x before 6.2.12, 6.3.x through 6.5.x before 6.5.5, and 6.6.x before 6.6.2. A buffer overflow and application crash can occur via a crafted KTX image file. Уязвимость компонента gui/util/qktxhandler.cpp кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально созданного KTX изображения [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) qtbase-opensource-src: - Запускайте приложения, использующие qtbase-opensource-src, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Обеспечьте строгую проверку и валидацию всех данных, передаваемых в приложения на Qt, чтобы избежать угроз, связанных с неподтверждёнными или вредоносными данными. - Отказаться от использования ПО qtbase-opensource-src в пользу ПО gtk+3.0 Astra Linux 1.8 intel-microcode Mirrored regions with different values in 3rd Generation Intel(R) Xeon(R) Scalable Processors may allow a privileged user to potentially enable denial of service via local access. Уязвимость микрокода процессоров Intel Microcode связана с отличающимся содержимым в зеркальных областях. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1251')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:C/C:N/I:N/A:H', score=6.0) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dsa: fix netdev_priv() dereference before check on non-DSA netdevice events After the blamed commit, we started doing this dereference for every NETDEV_CHANGEUPPER and NETDEV_PRECHANGEUPPER event in the system. static inline struct dsa_port *dsa_user_to_port(const struct net_device *dev) { struct dsa_user_priv *p = netdev_priv(dev); return p->dp; } Which is obviously bogus, because not all net_devices have a netdev_priv() of type struct dsa_user_priv. But struct dsa_user_priv is fairly small, and p->dp means dereferencing 8 bytes starting with offset 16. Most drivers allocate that much private memory anyway, making our access not fault, and we discard the bogus data quickly afterwards, so this wasn't caught. But the dummy interface is somewhat special in that it calls alloc_netdev() with a priv size of 0. So every netdev_priv() dereference is invalid, and we get this when we emit a NETDEV_PRECHANGEUPPER event with a VLAN as its new upper: $ ip link add dummy1 type dummy $ ip link add link dummy1 name dummy1.100 type vlan id 100 [ 43.309174] ================================================================== [ 43.316456] BUG: KASAN: slab-out-of-bounds in dsa_user_prechangeupper+0x30/0xe8 [ 43.323835] Read of size 8 at addr ffff3f86481d2990 by task ip/374 [ 43.330058] [ 43.342436] Call trace: [ 43.366542] dsa_user_prechangeupper+0x30/0xe8 [ 43.371024] dsa_user_netdevice_event+0xb38/0xee8 [ 43.375768] notifier_call_chain+0xa4/0x210 [ 43.379985] raw_notifier_call_chain+0x24/0x38 [ 43.384464] __netdev_upper_dev_link+0x3ec/0x5d8 [ 43.389120] netdev_upper_dev_link+0x70/0xa8 [ 43.393424] register_vlan_dev+0x1bc/0x310 [ 43.397554] vlan_newlink+0x210/0x248 [ 43.401247] rtnl_newlink+0x9fc/0xe30 [ 43.404942] rtnetlink_rcv_msg+0x378/0x580 Avoid the kernel oops by dereferencing after the type check, as customary. Уязвимость подсистемы DSA (Distributed Switch Architecture) ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера в функциях dsa_user_changeupper() и dsa_user_prechangeupper() в модуле net/dsa/user.c. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix use-after-free bug The bug can be triggered by sending a single amdgpu_gem_userptr_ioctl to the AMDGPU DRM driver on any ASICs with an invalid address and size. The bug was reported by Joonkyo Jung <joonkyoj@yonsei.ac.kr>. For example the following code: static void Syzkaller1(int fd) { struct drm_amdgpu_gem_userptr arg; int ret; arg.addr = 0xffffffffffff0000; arg.size = 0x80000000; /*2 Gb*/ arg.flags = 0x7; ret = drmIoctl(fd, 0xc1186451/*amdgpu_gem_userptr_ioctl*/, &arg); } Due to the address and size are not valid there is a failure in amdgpu_hmm_register->mmu_interval_notifier_insert->__mmu_interval_notifier_insert-> check_shl_overflow, but we even the amdgpu_hmm_register failure we still call amdgpu_hmm_unregister into amdgpu_gem_object_free which causes access to a bad address. The following stack is below when the issue is reproduced when Kazan is enabled: [ +0.000014] Hardware name: ASUS System Product Name/ROG STRIX B550-F GAMING (WI-FI), BIOS 1401 12/03/2020 [ +0.000009] RIP: 0010:mmu_interval_notifier_remove+0x327/0x340 [ +0.000017] Code: ff ff 49 89 44 24 08 48 b8 00 01 00 00 00 00 ad de 4c 89 f7 49 89 47 40 48 83 c0 22 49 89 47 48 e8 ce d1 2d 01 e9 32 ff ff ff <0f> 0b e9 16 ff ff ff 4c 89 ef e8 fa 14 b3 ff e9 36 ff ff ff e8 80 [ +0.000014] RSP: 0018:ffffc90002657988 EFLAGS: 00010246 [ +0.000013] RAX: 0000000000000000 RBX: 1ffff920004caf35 RCX: ffffffff8160565b [ +0.000011] RDX: dffffc0000000000 RSI: 0000000000000004 RDI: ffff8881a9f78260 [ +0.000010] RBP: ffffc90002657a70 R08: 0000000000000001 R09: fffff520004caf25 [ +0.000010] R10: 0000000000000003 R11: ffffffff8161d1d6 R12: ffff88810e988c00 [ +0.000010] R13: ffff888126fb5a00 R14: ffff88810e988c0c R15: ffff8881a9f78260 [ +0.000011] FS: 00007ff9ec848540(0000) GS:ffff8883cc880000(0000) knlGS:0000000000000000 [ +0.000012] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ +0.000010] CR2: 000055b3f7e14328 CR3: 00000001b5770000 CR4: 0000000000350ef0 [ +0.000010] Call Trace: [ +0.000006] <TASK> [ +0.000007] ? show_regs+0x6a/0x80 [ +0.000018] ? __warn+0xa5/0x1b0 [ +0.000019] ? mmu_interval_notifier_remove+0x327/0x340 [ +0.000018] ? report_bug+0x24a/0x290 [ +0.000022] ? handle_bug+0x46/0x90 [ +0.000015] ? exc_invalid_op+0x19/0x50 [ +0.000016] ? asm_exc_invalid_op+0x1b/0x20 [ +0.000017] ? kasan_save_stack+0x26/0x50 [ +0.000017] ? mmu_interval_notifier_remove+0x23b/0x340 [ +0.000019] ? mmu_interval_notifier_remove+0x327/0x340 [ +0.000019] ? mmu_interval_notifier_remove+0x23b/0x340 [ +0.000020] ? __pfx_mmu_interval_notifier_remove+0x10/0x10 [ +0.000017] ? kasan_save_alloc_info+0x1e/0x30 [ +0.000018] ? srso_return_thunk+0x5/0x5f [ +0.000014] ? __kasan_kmalloc+0xb1/0xc0 [ +0.000018] ? srso_return_thunk+0x5/0x5f [ +0.000013] ? __kasan_check_read+0x11/0x20 [ +0.000020] amdgpu_hmm_unregister+0x34/0x50 [amdgpu] [ +0.004695] amdgpu_gem_object_free+0x66/0xa0 [amdgpu] [ +0.004534] ? __pfx_amdgpu_gem_object_free+0x10/0x10 [amdgpu] [ +0.004291] ? do_syscall_64+0x5f/0xe0 [ +0.000023] ? srso_return_thunk+0x5/0x5f [ +0.000017] drm_gem_object_free+0x3b/0x50 [drm] [ +0.000489] amdgpu_gem_userptr_ioctl+0x306/0x500 [amdgpu] [ +0.004295] ? __pfx_amdgpu_gem_userptr_ioctl+0x10/0x10 [amdgpu] [ +0.004270] ? srso_return_thunk+0x5/0x5f [ +0.000014] ? __this_cpu_preempt_check+0x13/0x20 [ +0.000015] ? srso_return_thunk+0x5/0x5f [ +0.000013] ? sysvec_apic_timer_interrupt+0x57/0xc0 [ +0.000020] ? srso_return_thunk+0x5/0x5f [ +0.000014] ? asm_sysvec_apic_timer_interrupt+0x1b/0x20 [ +0.000022] ? drm_ioctl_kernel+0x17b/0x1f0 [drm] [ +0.000496] ? __pfx_amdgpu_gem_userptr_ioctl+0x10/0x10 [amdgpu] [ +0.004272] ? drm_ioctl_kernel+0x190/0x1f0 [drm] [ +0.000492] drm_ioctl_kernel+0x140/0x1f0 [drm] [ +0.000497] ? __pfx_amdgpu_gem_userptr_ioctl+0x10/0x10 [amdgpu] [ +0.004297] ? __pfx_drm_ioctl_kernel+0x10/0x10 [d ---truncated--- Уязвимость функции amdgpu_hmm_register() компонента drivers/gpu/drm/amd/amdgpu/amdgpu_hmm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: act_mirred: don't override retval if we already lost the skb If we're redirecting the skb, and haven't called tcf_mirred_forward(), yet, we need to tell the core to drop the skb by setting the retcode to SHOT. If we have called tcf_mirred_forward(), however, the skb is out of our hands and returning SHOT will lead to UaF. Move the retval override to the error path which actually need it. Уязвимость функции tcf_mirred_to_dev() модуля net/sched/act_mirred.c подсистемы управления трафиком net/sched ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: fixed integer types and null check locations [why]: issues fixed: - comparison with wider integer type in loop condition which can cause infinite loops - pointer dereference before null check Уязвимость функции get_firmware_info_v3_2() модуля drivers/gpu/drm/amd/display/dc/bios/bios_parser2.c - драйвера поддержки инфраструктуры прямого рендеринга (DRI) видеокарт AMD ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/vmscan: fix a bug calling wakeup_kswapd() with a wrong zone index With numa balancing on, when a numa system is running where a numa node doesn't have its local memory so it has no managed zones, the following oops has been observed. It's because wakeup_kswapd() is called with a wrong zone index, -1. Fixed it by checking the index before calling wakeup_kswapd(). > BUG: unable to handle page fault for address: 00000000000033f3 > #PF: supervisor read access in kernel mode > #PF: error_code(0x0000) - not-present page > PGD 0 P4D 0 > Oops: 0000 [#1] PREEMPT SMP NOPTI > CPU: 2 PID: 895 Comm: masim Not tainted 6.6.0-dirty #255 > Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS > rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 > RIP: 0010:wakeup_kswapd (./linux/mm/vmscan.c:7812) > Code: (omitted) > RSP: 0000:ffffc90004257d58 EFLAGS: 00010286 > RAX: ffffffffffffffff RBX: ffff88883fff0480 RCX: 0000000000000003 > RDX: 0000000000000000 RSI: 0000000000000000 RDI: ffff88883fff0480 > RBP: ffffffffffffffff R08: ff0003ffffffffff R09: ffffffffffffffff > R10: ffff888106c95540 R11: 0000000055555554 R12: 0000000000000003 > R13: 0000000000000000 R14: 0000000000000000 R15: ffff88883fff0940 > FS: 00007fc4b8124740(0000) GS:ffff888827c00000(0000) knlGS:0000000000000000 > CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 > CR2: 00000000000033f3 CR3: 000000026cc08004 CR4: 0000000000770ee0 > DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 > DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 > PKRU: 55555554 > Call Trace: > <TASK> > ? __die > ? page_fault_oops > ? __pte_offset_map_lock > ? exc_page_fault > ? asm_exc_page_fault > ? wakeup_kswapd > migrate_misplaced_page > __handle_mm_fault > handle_mm_fault > do_user_addr_fault > exc_page_fault > asm_exc_page_fault > RIP: 0033:0x55b897ba0808 > Code: (omitted) > RSP: 002b:00007ffeefa821a0 EFLAGS: 00010287 > RAX: 000055b89983acd0 RBX: 00007ffeefa823f8 RCX: 000055b89983acd0 > RDX: 00007fc2f8122010 RSI: 0000000000020000 RDI: 000055b89983acd0 > RBP: 00007ffeefa821a0 R08: 0000000000000037 R09: 0000000000000075 > R10: 0000000000000000 R11: 0000000000000202 R12: 0000000000000000 > R13: 00007ffeefa82410 R14: 000055b897ba5dd8 R15: 00007fc4b8340000 > </TASK> Уязвимость компонента migrate.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: ensure offloading TID queue exists The resume code path assumes that the TX queue for the offloading TID has been configured. At resume time it then tries to sync the write pointer as it may have been updated by the firmware. In the unusual event that no packets have been send on TID 0, the queue will not have been allocated and this causes a crash. Fix this by ensuring the queue exist at suspend time. Уязвимость компонента iwlwifi ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Improper input validation in UEFI firmware for some Intel(R) Processors may allow a privileged user to potentially enable information disclosure via local access. Уязвимость микрокода процессоров Intel Microcode связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:N/A:N', score=5.3) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Improper input validation in UEFI firmware for some Intel(R) Processors may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микрокода процессоров Intel Microcode связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H', score=7.5) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 firefox, thunderbird, expat libexpat through 2.6.1 allows an XML Entity Expansion attack when there is isolated use of external parsers (created via XML_ExternalEntityParserCreate). Уязвимость библиотеки синтаксического анализатора XML libexpat связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании путем передачи специально созданного XML-кода [NistCWE(cwe='CWE-776'), NistCWE(cwe='CWE-776')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Удалить ПО libxmltok, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxml2 - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 intel-microcode, linux-6.12 Exposure of Sensitive Information in Shared Microarchitectural Structures during Transient Execution for some Intel(R) Processors may allow an authenticated user to potentially enable information disclosure via local access. Уязвимость микропрограммного обеспечения процессоров Intel связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.6) Astra Linux 1.8 intel-microcode Improper input validation in UEFI firmware CseVariableStorageSmm for some Intel(R) Processors may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микрокода процессоров Intel Microcode связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H', score=7.5) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Improper Finite State Machines (FSMs) in Hardware Logic for some Intel(R) Processors may allow privileged user to potentially enable denial of service via local access. Уязвимость микрокода процессоров Intel Microcode связана с неисправностью конечных автоматов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1245')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:N/I:N/A:H', score=5.3) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Improper initialization in UEFI firmware OutOfBandXML module in some Intel(R) Processors may allow a privileged user to potentially enable information disclosure via local access. Уязвимость модуля OutOfBandXML микрокода процессоров Intel Microcode связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-665')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:N/A:N', score=5.3) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 unrar-nonfree RARLAB WinRAR before 7.00, on Linux and UNIX platforms, allows attackers to spoof the screen output, or cause a denial of service, via ANSI escape sequences. Уязвимость компонента ANSI Escape Sequence Handler файлового архиватора WinRAR связана с ошибками при обработке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании или подменять вывод на экран [NistCWE(cwe='CWE-150')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.1) - Запускайте unrar-nonfree с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам unrar-nonfree так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 ruby3.1 REXML is an XML toolkit for Ruby. The REXML gem before 3.2.6 has a denial of service vulnerability when it parses an XML that has many `<`s in an attribute value. Those who need to parse untrusted XMLs may be impacted to this vulnerability. The REXML gem 3.2.7 or later include the patch to fix this vulnerability. As a workaround, don't parse untrusted XMLs. Уязвимость языка программирования Ruby связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) Не анализируйте ненадёжные XML-файлы. Astra Linux 1.8 requests Requests is a HTTP library. Prior to 2.32.0, when making requests through a Requests `Session`, if the first request is made with `verify=False` to disable cert verification, all subsequent requests to the same host will continue to ignore cert verification regardless of changes to the value of `verify`. This behavior will continue for the lifecycle of the connection in the connection pool. This vulnerability is fixed in 2.32.0. Уязвимость компонента adapters.py библиотеки HTTP запросов языка программирования Python Requests связана с реализацией некорректного потока управления. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-670')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:N', score=5.6) Для версий requests<2.32.0 не устанавливайте verify=False для первого запроса к хосту при использовании сеанса Requests. Вызовите метод close() для объектов Session, чтобы очистить существующие соединения, если используется параметр verify=False. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: altmodes/displayport: create sysfs nodes as driver's default device attribute group The DisplayPort driver's sysfs nodes may be present to the userspace before typec_altmode_set_drvdata() completes in dp_altmode_probe. This means that a sysfs read can trigger a NULL pointer error by deferencing dp->hpd in hpd_show or dp->lock in pin_assignment_show, as dev_get_drvdata() returns NULL in those cases. Remove manual sysfs node creation in favor of adding attribute group as default for devices bound to the driver. The ATTRIBUTE_GROUPS() macro is not used here otherwise the path to the sysfs nodes is no longer compliant with the ABI. Уязвимость компонента displayport.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix potential UAF in cifs_dump_full_key() Skip sessions that are being teared down (status == SES_EXITING) to avoid UAF. Уязвимость функции cifs_dump_full_key() в модуле fs/smb/client/ioctl.c реализации клиента протокола SMB ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 krb5 RADIUS Protocol under RFC 2865 is susceptible to forgery attacks by a local attacker who can modify any valid Response (Access-Accept, Access-Reject, or Access-Challenge) to any other response using a chosen-prefix collision attack against MD5 Response Authenticator signature. Уязвимость реализации протокола аутентификации RADIUS связана с обходом процедуры аутентификации посредством захвата-воспроизведения (capture-replay) перехваченных сообщений. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ путём подделки аутентификационного ответа [NistCWE(cwe='CWE-354')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.0) - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 intel-microcode Improper access control in the EDECCSSA user leaf function for some Intel(R) Processors with Intel(R) SGX may allow an authenticated user to potentially enable denial of service via local access. Уязвимость функции EDECCSSA микрокода процессоров Intel Microcode связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H', score=6.5) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gpiolib: cdev: Fix use after free in lineinfo_changed_notify The use-after-free issue occurs as follows: when the GPIO chip device file is being closed by invoking gpio_chrdev_release(), watched_lines is freed by bitmap_free(), but the unregistration of lineinfo_changed_nb notifier chain failed due to waiting write rwsem. Additionally, one of the GPIO chip's lines is also in the release process and holds the notifier chain's read rwsem. Consequently, a race condition leads to the use-after-free of watched_lines. Here is the typical stack when issue happened: [free] gpio_chrdev_release() --> bitmap_free(cdev->watched_lines) <-- freed --> blocking_notifier_chain_unregister() --> down_write(&nh->rwsem) <-- waiting rwsem --> __down_write_common() --> rwsem_down_write_slowpath() --> schedule_preempt_disabled() --> schedule() [use] st54spi_gpio_dev_release() --> gpio_free() --> gpiod_free() --> gpiod_free_commit() --> gpiod_line_state_notify() --> blocking_notifier_call_chain() --> down_read(&nh->rwsem); <-- held rwsem --> notifier_call_chain() --> lineinfo_changed_notify() --> test_bit(xxxx, cdev->watched_lines) <-- use after free The side effect of the use-after-free issue is that a GPIO line event is being generated for userspace where it shouldn't. However, since the chrdev is being closed, userspace won't have the chance to read that event anyway. To fix the issue, call the bitmap_free() function after the unregistration of lineinfo_changed_nb notifier chain. Уязвимость функции gpio_chrdev_release() в модуле drivers/gpio/gpiolib-cdev.c драйвера gpio ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: Fix potential uninit-value access in __ip6_make_skb() As it was done in commit fc1092f51567 ("ipv4: Fix uninit-value access in __ip_make_skb()") for IPv4, check FLOWI_FLAG_KNOWN_NH on fl6->flowi6_flags instead of testing HDRINCL on the socket to avoid a race condition which causes uninit-value access. Уязвимость компонента p6_output.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: blk-iocost: do not WARN if iocg was already offlined In iocg_pay_debt(), warn is triggered if 'active_list' is empty, which is intended to confirm iocg is active when it has debt. However, warn can be triggered during a blkcg or disk removal, if iocg_waitq_timer_fn() is run at that time: WARNING: CPU: 0 PID: 2344971 at block/blk-iocost.c:1402 iocg_pay_debt+0x14c/0x190 Call trace: iocg_pay_debt+0x14c/0x190 iocg_kick_waitq+0x438/0x4c0 iocg_waitq_timer_fn+0xd8/0x130 __run_hrtimer+0x144/0x45c __hrtimer_run_queues+0x16c/0x244 hrtimer_interrupt+0x2cc/0x7b0 The warn in this situation is meaningless. Since this iocg is being removed, the state of the 'active_list' is irrelevant, and 'waitq_timer' is canceled after removing 'active_list' in ioc_pd_free(), which ensures iocg is freed after iocg_waitq_timer_fn() returns. Therefore, add the check if iocg was already offlined to avoid warn when removing a blkcg or disk. Уязвимость функции iocg_pay_debt() модуля block/blk-iocost.c поддержки блочного уровня ядра операционной системы Linux связана с неправильной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv4: Fix uninit-value access in __ip_make_skb() KMSAN reported uninit-value access in __ip_make_skb() [1]. __ip_make_skb() tests HDRINCL to know if the skb has icmphdr. However, HDRINCL can cause a race condition. If calling setsockopt(2) with IP_HDRINCL changes HDRINCL while __ip_make_skb() is running, the function will access icmphdr in the skb even if it is not included. This causes the issue reported by KMSAN. Check FLOWI_FLAG_KNOWN_NH on fl4->flowi4_flags instead of testing HDRINCL on the socket. Also, fl4->fl4_icmp_type and fl4->fl4_icmp_code are not initialized. These are union in struct flowi4 and are implicitly initialized by flowi4_init_output(), but we should not rely on specific union layout. Initialize these explicitly in raw_sendmsg(). [1] BUG: KMSAN: uninit-value in __ip_make_skb+0x2b74/0x2d20 net/ipv4/ip_output.c:1481 __ip_make_skb+0x2b74/0x2d20 net/ipv4/ip_output.c:1481 ip_finish_skb include/net/ip.h:243 [inline] ip_push_pending_frames+0x4c/0x5c0 net/ipv4/ip_output.c:1508 raw_sendmsg+0x2381/0x2690 net/ipv4/raw.c:654 inet_sendmsg+0x27b/0x2a0 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x274/0x3c0 net/socket.c:745 __sys_sendto+0x62c/0x7b0 net/socket.c:2191 __do_sys_sendto net/socket.c:2203 [inline] __se_sys_sendto net/socket.c:2199 [inline] __x64_sys_sendto+0x130/0x200 net/socket.c:2199 do_syscall_64+0xd8/0x1f0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x6d/0x75 Uninit was created at: slab_post_alloc_hook mm/slub.c:3804 [inline] slab_alloc_node mm/slub.c:3845 [inline] kmem_cache_alloc_node+0x5f6/0xc50 mm/slub.c:3888 kmalloc_reserve+0x13c/0x4a0 net/core/skbuff.c:577 __alloc_skb+0x35a/0x7c0 net/core/skbuff.c:668 alloc_skb include/linux/skbuff.h:1318 [inline] __ip_append_data+0x49ab/0x68c0 net/ipv4/ip_output.c:1128 ip_append_data+0x1e7/0x260 net/ipv4/ip_output.c:1365 raw_sendmsg+0x22b1/0x2690 net/ipv4/raw.c:648 inet_sendmsg+0x27b/0x2a0 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x274/0x3c0 net/socket.c:745 __sys_sendto+0x62c/0x7b0 net/socket.c:2191 __do_sys_sendto net/socket.c:2203 [inline] __se_sys_sendto net/socket.c:2199 [inline] __x64_sys_sendto+0x130/0x200 net/socket.c:2199 do_syscall_64+0xd8/0x1f0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x6d/0x75 CPU: 1 PID: 15709 Comm: syz-executor.7 Not tainted 6.8.0-11567-gb3603fcb79b1 #25 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-1.fc39 04/01/2014 Уязвимость компонентов ipv4 ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Sequence of processor instructions leads to unexpected behavior in the Intel(R) DSA V1.0 for some Intel(R) Xeon(R) Processors may allow an authenticated user to potentially enable denial of service via local access. Уязвимость интегрированного ускорителя потоковой передачи данных Intel Data Streaming Accelerator (Intel DSA) микрокода процессоров Intel Microcode связана с последовательностью инструкций процессора, приводящей к непредвиденному поведению. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1281')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:L', score=3.8) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: i2c: et8ek8: Don't strip remove function when driver is builtin Using __exit for the remove function results in the remove callback being discarded with CONFIG_VIDEO_ET8EK8=y. When such a device gets unbound (e.g. using sysfs or hotplug), the driver is just removed without the cleanup being performed. This results in resource leaks. Fix it by compiling in the remove callback unconditionally. This also fixes a W=1 modpost warning: WARNING: modpost: drivers/media/i2c/et8ek8/et8ek8: section mismatch in reference: et8ek8_i2c_driver+0x10 (section: .data) -> et8ek8_remove (section: .exit.text) Уязвимость компонента drivers/media/i2c/et8ek8/et8ek8 ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 edk2 EDK2 contains a vulnerability in the PeCoffLoaderRelocateImage(). An Attacker may cause memory corruption due to an overflow via an adjacent network. A successful exploit of this vulnerability may lead to a loss of Confidentiality, Integrity, and/or Availability. Уязвимость функции PeCoffLoaderRelocateImage() компонента BasePeCoff.c среды разработки для UEFI приложений EDK2 связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:A/AC:H/PR:L/UI:N/S:U/C:L/I:H/A:L', score=5.9) edk2: - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. Astra Linux 1.8 intel-microcode Insufficient granularity of access control in UEFI firmware in some Intel(R) processors may allow a authenticated user to potentially enable denial of service via local access. Уязвимость микрокода процессоров Intel Microcode связана с недостаточной детализацией контроля доступа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1220')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H', score=6.5) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Improper handling of physical or environmental conditions in some Intel(R) Processors may allow an authenticated user to enable denial of service via local access. Уязвимость микрокода процессоров Intel Microcode связана с неправильной работой с определёнными физическими или природными условиями. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1384')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H', score=6.5) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 ruby3.1 REXML is an XML toolkit for Ruby. The REXML gem before 3.3.1 has some DoS vulnerabilities when it parses an XML that has many specific characters such as `<`, `0` and `%>`. If you need to parse untrusted XMLs, you many be impacted to these vulnerabilities. The REXML gem 3.3.2 or later include the patches to fix these vulnerabilities. Users are advised to upgrade. Users unable to upgrade should avoid parsing untrusted XML strings. Уязвимость набора инструментов XML для Ruby REXML связана с неконтролируемым пот реблением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) Не анализируйте ненадёжные XML-файлы. Astra Linux 1.8 qtbase-opensource-src An issue was discovered in HTTP2 in Qt before 5.15.18, 6.x before 6.2.13, 6.3.x through 6.5.x before 6.5.7, and 6.6.x through 6.7.x before 6.7.3. Code to make security-relevant decisions about an established connection may execute too early, because the encrypted() signal has not yet been emitted and processed.. Уязвимость функции encrypted() кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-367'), NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N', score=8.6) qtbase-opensource-src: - Запускайте приложения, использующие qtbase-opensource-src, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Обеспечьте строгую проверку и валидацию всех данных, передаваемых в приложения на Qt, чтобы избежать угроз, связанных с неподтверждёнными или вредоносными данными. - Отказаться от использования ПО qtbase-opensource-src в пользу ПО gtk+3.0 Astra Linux 1.8 containerd-app containerd is an open-source container runtime. A bug was found in containerd prior to versions 1.6.38, 1.7.27, and 2.0.4 where containers launched with a User set as a `UID:GID` larger than the maximum 32-bit signed integer can cause an overflow condition where the container ultimately runs as root (UID 0). This could cause unexpected behavior for environments that require containers to run as a non-root user. This bug has been fixed in containerd 1.6.38, 1.7.27, and 2.04. As a workaround, ensure that only trusted images are used and that only trusted users have permissions to import images. Уязвимость среды выполнения контейнеров Containerd связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N', score=4.6) - Не использовать недоверенные и ненадежные образы контейнеров; - Обеспечить возможность импорта образов контейнеров только доверенным пользователям ОС; - Активировать режим замкнутой программной среды; - Включить защиту файловой системы ("установить МКЦ на ФС"); - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iommu: Return right value in iommu_sva_bind_device() iommu_sva_bind_device() should return either a sva bond handle or an ERR_PTR value in error cases. Existing drivers (idxd and uacce) only check the return value with IS_ERR(). This could potentially lead to a kernel NULL pointer dereference issue if the function returns NULL instead of an error pointer. In reality, this doesn't cause any problems because iommu_sva_bind_device() only returns NULL when the kernel is not configured with CONFIG_IOMMU_SVA. In this case, iommu_dev_enable_feature(dev, IOMMU_DEV_FEAT_SVA) will return an error, and the device drivers won't call iommu_sva_bind_device() at all. Уязвимость функции iommu_aux_get_pasid() модуля include/linux/iommu.h ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mtk-vcodec: potential null pointer deference in SCP The return value of devm_kzalloc() needs to be checked to avoid NULL pointer deference. This is similar to CVE-2022-3113. Уязвимость функции mtk_vcodec_fw_scp_init() модуля drivers/media/platform/mediatek/vcodec/common/mtk_vcodec_fw_scp.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add NULL pointer check for kzalloc [Why & How] Check return pointer of kzalloc before using it. Уязвимость функции dcn3_clk_mgr_construct() модуля drivers/gpu/drm/amd/display/dc/clk_mgr/dcn30/dcn30_clk_mgr.c ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: leds: mlxreg: Use devm_mutex_init() for mutex initialization In this driver LEDs are registered using devm_led_classdev_register() so they are automatically unregistered after module's remove() is done. led_classdev_unregister() calls module's led_set_brightness() to turn off the LEDs and that callback uses mutex which was destroyed already in module's remove() so use devm API instead. Уязвимость компонента mlxreg ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Exposure of sensitive information caused by shared microarchitectural predictor state that influences transient execution for some Intel Atom(R) processors may allow an authenticated user to potentially enable information disclosure via local access. Уязвимость микропрограммного обеспечения процессоров Intel связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.6) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mediatek: vcodec: Handle invalid decoder vsi Handle an invalid decoder vsi in vpu_dec_init to ensure the decoder vsi is valid for future use. Уязвимость компонента mediatek ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf, arm64: Fix trampoline for BPF_TRAMP_F_CALL_ORIG When BPF_TRAMP_F_CALL_ORIG is set, the trampoline calls __bpf_tramp_enter() and __bpf_tramp_exit() functions, passing them the struct bpf_tramp_image *im pointer as an argument in R0. The trampoline generation code uses emit_addr_mov_i64() to emit instructions for moving the bpf_tramp_image address into R0, but emit_addr_mov_i64() assumes the address to be in the vmalloc() space and uses only 48 bits. Because bpf_tramp_image is allocated using kzalloc(), its address can use more than 48-bits, in this case the trampoline will pass an invalid address to __bpf_tramp_enter/exit() causing a kernel crash. Fix this by using emit_a64_mov_i64() in place of emit_addr_mov_i64() as it can work with addresses that are greater than 48-bits. Уязвимость функции prepare_trampoline() модуля arch/arm64/net/bpf_jit_comp.c ядра операционной системы Linux связана с некорректным расчетом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 runc-app runc is a CLI tool for spawning and running containers according to the OCI specification. runc 1.1.13 and earlier, as well as 1.2.0-rc2 and earlier, can be tricked into creating empty files or directories in arbitrary locations in the host filesystem by sharing a volume between two containers and exploiting a race with `os.MkdirAll`. While this could be used to create empty files, existing files would not be truncated. An attacker must have the ability to start containers using some kind of custom volume configuration. Containers using user namespaces are still affected, but the scope of places an attacker can create inodes can be significantly reduced. Sufficiently strict LSM policies (SELinux/Apparmor) can also in principle block this attack -- we suspect the industry standard SELinux policy may restrict this attack's scope but the exact scope of protection hasn't been analysed. This is exploitable using runc directly as well as through Docker and Kubernetes. The issue is fixed in runc v1.1.14 and v1.2.0-rc3. Some workarounds are available. Using user namespaces restricts this attack fairly significantly such that the attacker can only create inodes in directories that the remapped root user/group has write access to. Unless the root user is remapped to an actual user on the host (such as with rootless containers that don't use `/etc/sub[ug]id`), this in practice means that an attacker would only be able to create inodes in world-writable directories. A strict enough SELinux or AppArmor policy could in principle also restrict the scope if a specific label is applied to the runc runtime, though neither the extent to which the standard existing policies block this attack nor what exact policies are needed to sufficiently restrict this attack have been thoroughly tested. Уязвимость инструмента для запуска изолированных контейнеров Runc связана с состоянием гонки, разрешающим отслеживание ссылок. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-61')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N', score=3.6) Astra Linux 1.8 intel-microcode Exposure of sensitive information caused by shared microarchitectural predictor state that influences transient execution in the indirect branch predictors for some Intel(R) Processors may allow an authenticated user to potentially enable information disclosure via local access. Уязвимость компонентов Branch Target Buffer (BTB) и Indirect Branch Predictor (IBP) микропрограммного обеспечения процессоров Intel вызвана состоянием гонки внутри потока. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию путем выполнения специально сформированных инструкций процессора [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.6) * Убедитесь, что установленные микрокоды совместимы с вашим процессором, неправильные микрокоды могут привести к нестабильной работе системы. * Проверяйте, что микрокоды успешно загружаются и применяются. Это можно сделать с помощью команд, таких как dmesg, для проверки логов ядра. Astra Linux 1.8 puma Puma is a Ruby/Rack web server built for parallelism. In affected versions clients could clobber values set by intermediate proxies (such as X-Forwarded-For) by providing a underscore version of the same header (X-Forwarded_For). Any users relying on proxy set variables is affected. v6.4.3/v5.6.9 now discards any headers using underscores if the non-underscore version also exists. Effectively, allowing the proxy defined headers to always win. Users are advised to upgrade. Nginx has a underscores_in_headers configuration variable to discard these headers at the proxy level as a mitigation. Any users that are implicitly trusting the proxy defined headers for security should immediately cease doing so until upgraded to the fixed versions. Уязвимость HTTP-сервера для Ruby/Rack приложений Puma связана с неправильной обработкой HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-639'), NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N', score=5.4) Astra Linux 1.8 grub2 A flaw was found in the HFS filesystem. When reading an HFS volume's name at grub_fs_mount(), the HFS filesystem driver performs a strcpy() using the user-provided volume name as input without properly validating the volume name's length. This issue may read to a heap-based out-of-bounds writer, impacting grub's sensitive data integrity and eventually leading to a secure boot protection bypass. Уязвимость файла fs/hfs.c компонента hfs загрузчика операционных систем Grub2 связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код в контексте текущего пользователя с помощью специально созданного файла [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix qgroup reserve leaks in cow_file_range In the buffered write path, the dirty page owns the qgroup reserve until it creates an ordered_extent. Therefore, any errors that occur before the ordered_extent is created must free that reservation, or else the space is leaked. The fstest generic/475 exercises various IO error paths, and is able to trigger errors in cow_file_range where we fail to get to allocating the ordered extent. Note that because we *do* clear delalloc, we are likely to remove the inode from the delalloc list, so the inodes/pages to not have invalidate/launder called on them in the commit abort path. This results in failures at the unmount stage of the test that look like: BTRFS: error (device dm-8 state EA) in cleanup_transaction:2018: errno=-5 IO failure BTRFS: error (device dm-8 state EA) in btrfs_replace_file_extents:2416: errno=-5 IO failure BTRFS warning (device dm-8 state EA): qgroup 0/5 has unreleased space, type 0 rsv 28672 ------------[ cut here ]------------ WARNING: CPU: 3 PID: 22588 at fs/btrfs/disk-io.c:4333 close_ctree+0x222/0x4d0 [btrfs] Modules linked in: btrfs blake2b_generic libcrc32c xor zstd_compress raid6_pq CPU: 3 PID: 22588 Comm: umount Kdump: loaded Tainted: G W 6.10.0-rc7-gab56fde445b8 #21 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS Arch Linux 1.16.3-1-1 04/01/2014 RIP: 0010:close_ctree+0x222/0x4d0 [btrfs] RSP: 0018:ffffb4465283be00 EFLAGS: 00010202 RAX: 0000000000000001 RBX: ffffa1a1818e1000 RCX: 0000000000000001 RDX: 0000000000000000 RSI: ffffb4465283bbe0 RDI: ffffa1a19374fcb8 RBP: ffffa1a1818e13c0 R08: 0000000100028b16 R09: 0000000000000000 R10: 0000000000000003 R11: 0000000000000003 R12: ffffa1a18ad7972c R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 FS: 00007f9168312b80(0000) GS:ffffa1a4afcc0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f91683c9140 CR3: 000000010acaa000 CR4: 00000000000006f0 Call Trace: <TASK> ? close_ctree+0x222/0x4d0 [btrfs] ? __warn.cold+0x8e/0xea ? close_ctree+0x222/0x4d0 [btrfs] ? report_bug+0xff/0x140 ? handle_bug+0x3b/0x70 ? exc_invalid_op+0x17/0x70 ? asm_exc_invalid_op+0x1a/0x20 ? close_ctree+0x222/0x4d0 [btrfs] generic_shutdown_super+0x70/0x160 kill_anon_super+0x11/0x40 btrfs_kill_super+0x11/0x20 [btrfs] deactivate_locked_super+0x2e/0xa0 cleanup_mnt+0xb5/0x150 task_work_run+0x57/0x80 syscall_exit_to_user_mode+0x121/0x130 do_syscall_64+0xab/0x1a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f916847a887 ---[ end trace 0000000000000000 ]--- BTRFS error (device dm-8 state EA): qgroup reserved space leaked Cases 2 and 3 in the out_reserve path both pertain to this type of leak and must free the reserved qgroup data. Because it is already an error path, I opted not to handle the possible errors in btrfs_free_qgroup_data. Уязвимость компонента btrfs ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb/server: fix potential null-ptr-deref of lease_ctx_info in smb2_open() null-ptr-deref will occur when (req_op_level == SMB2_OPLOCK_LEVEL_LEASE) and parse_lease_state() return NULL. Fix this by check if 'lease_ctx_info' is NULL. Additionally, remove the redundant parentheses in parse_durable_handle_context(). Уязвимость функции create_lease_buf() подсистемы SMB ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: don't BUG_ON() when 0 reference count at btrfs_lookup_extent_info() Instead of doing a BUG_ON() handle the error by returning -EUCLEAN, aborting the transaction and logging an error message. Уязвимость функции btrfs_lookup_extent_info() файловой системы btrfs ядра операционной системы Linux связана с несанкционированным вызовом утверждения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: handle errors from btrfs_dec_ref() properly In walk_up_proc() we BUG_ON(ret) from btrfs_dec_ref(). This is incorrect, we have proper error handling here, return the error. Уязвимость функции btrfs_dec_ref() ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/rtas: Prevent Spectre v1 gadget construction in sys_rtas() Smatch warns: arch/powerpc/kernel/rtas.c:1932 __do_sys_rtas() warn: potential spectre issue 'args.args' [r] (local cap) The 'nargs' and 'nret' locals come directly from a user-supplied buffer and are used as indexes into a small stack-based array and as inputs to copy_to_user() after they are subject to bounds checks. Use array_index_nospec() after the bounds checks to clamp these values for speculative execution. Уязвимость функции __do_sys_rtas() модуля arch/powerpc/kernel/rtas.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Stop amdgpu_dm initialize when link nums greater than max_links [Why] Coverity report OVERRUN warning. There are only max_links elements within dc->links. link count could up to AMDGPU_DM_MAX_DISPLAY_INDEX 31. [How] Make sure link count less than max_links. Уязвимость функции amdgpu_dm_initialize_drm_device() драйвера поддержки инфраструктуры прямого рендеринга (DRI) видеокарт AMD ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 subversion Insufficient validation of filenames against control characters in Apache Subversion repositories served via mod_dav_svn allows authenticated users with commit access to commit a corrupted revision, leading to disruption for users of the repository. All versions of Subversion up to and including Subversion 1.14.4 are affected if serving repositories via mod_dav_svn. Users are recommended to upgrade to version 1.14.5, which fixes this issue. Repositories served via other access methods are not affected. Уязвимость функции mod_dav_svn программного обеспечения Apache Subversion связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.1) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. The program attempts to reallocate the memory pointed to by stream->samples to accommodate stream->n_samples + samples_count elements of type QtDemuxSample. The problem is that samples_count is read from the input file. And if this value is big enough, this can lead to an integer overflow during the addition. As a consequence, g_try_renew might allocate memory for a significantly smaller number of elements than intended. Following this, the program iterates through samples_count elements and attempts to write samples_count number of elements, potentially exceeding the actual allocated memory size and causing an OOB-write. This vulnerability is fixed in 1.24.10. Уязвимость мультимедийного фреймворка Gstreamer связана с целочисленным переполнением в парсере таблицы образцов демультиплексора MP4/MOV. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An out-of-bounds write vulnerability was identified in the convert_to_s334_1a function in isomp4/qtdemux.c. The vulnerability arises due to a discrepancy between the size of memory allocated to the storage array and the loop condition i * 2 < ccpair_size. Specifically, when ccpair_size is even, the allocated size in storage does not match the loop's expected bounds, resulting in an out-of-bounds write. This bug allows for the overwriting of up to 3 bytes beyond the allocated bounds of the storage array. This vulnerability is fixed in 1.24.10. Уязвимость функции convert_to_s334_1a компонента isomp4/qtdemux.c мультимедийного фреймворка Gstreamer связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An uninitialized stack variable vulnerability has been identified in the gst_matroska_demux_add_wvpk_header function within matroska-demux.c. When size < 4, the program calls gst_buffer_unmap with an uninitialized map variable. Then, in the gst_memory_unmap function, the program will attempt to unmap the buffer using the uninitialized map variable, causing a function pointer hijack, as it will jump to mem->allocator->mem_unmap_full or mem->allocator->mem_unmap. This vulnerability could allow an attacker to hijack the execution flow, potentially leading to code execution. This vulnerability is fixed in 1.24.10. Уязвимость функции gst_matroska_demux_add_wvpk_header компонента matroska-demux.c мультимедийного фреймворка Gstreamer связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An OOB-read vulnerability has been discovered in qtdemux_parse_container function within qtdemux.c. In the parent function qtdemux_parse_node, the value of length is not well checked. So, if length is big enough, it causes the pointer end to point beyond the boundaries of buffer. Subsequently, in the qtdemux_parse_container function, the while loop can trigger an OOB-read, accessing memory beyond the bounds of buf. This vulnerability can result in reading up to 4GB of process memory or potentially causing a segmentation fault (SEGV) when accessing invalid memory. This vulnerability is fixed in 1.24.10. Уязвимость функции qtdemux_parse_container компонента qtdemux.c мультимедийного фреймворка Gstreamer связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. The function qtdemux_parse_sbgp in qtdemux.c is affected by a null dereference vulnerability. This vulnerability is fixed in 1.24.10. Уязвимость функции qtdemux_parse_sbgp мультимедийного фреймворка Gstreamer связана с разыменованием нулевого указателя NULL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An integer underflow has been detected in qtdemux_parse_trak function within qtdemux.c. During the strf parsing case, the subtraction size -= 40 can lead to a negative integer overflow if it is less than 40. If this happens, the subsequent call to gst_buffer_fill will invoke memcpy with a large tocopy size, resulting in an OOB-read. This vulnerability is fixed in 1.24.10. Уязвимость функции qtdemux_parse_trak компонента qtdemux.c мультимедийного фреймворка Gstreamer связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An integer underflow has been detected in extract_cc_from_data function within qtdemux.c. In the FOURCC_c708 case, the subtraction atom_length - 8 may result in an underflow if atom_length is less than 8. When that subtraction underflows, *cclen ends up being a large number, and then cclen is passed to g_memdup2 leading to an out-of-bounds (OOB) read. This vulnerability is fixed in 1.24.10. Уязвимость функции extract_cc_from_data компонента qtdemux.c мультимедийного фреймворка Gstreamer связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An OOB-read has been discovered in the qtdemux_parse_svq3_stsd_data function within qtdemux.c. In the FOURCC_SMI_ case, seqh_size is read from the input file without proper validation. If seqh_size is greater than the remaining size of the data buffer, it can lead to an OOB-read in the following call to gst_buffer_fill, which internally uses memcpy. This vulnerability can result in reading up to 4GB of process memory or potentially causing a segmentation fault (SEGV) when accessing invalid memory. This vulnerability is fixed in 1.24.10. Уязвимость функции qtdemux_parse_svq3_stsd_data компонента qtdemux.c мультимедийного фреймворка Gstreamer связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An OOB-read has been detected in the function qtdemux_parse_samples within qtdemux.c. This issue arises when the function qtdemux_parse_samples reads data beyond the boundaries of the stream->stco buffer. The following code snippet shows the call to qt_atom_parser_get_offset_unchecked, which leads to the OOB-read when parsing the provided GHSL-2024-245_crash1.mp4 file. This issue may lead to read up to 8 bytes out-of-bounds. This vulnerability is fixed in 1.24.10. Уязвимость функции qtdemux_parse_samples компонента qtdemux.c мультимедийного фреймворка Gstreamer связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An OOB-read vulnerability has been discovered in the qtdemux_merge_sample_table function within qtdemux.c. The problem is that the size of the stts buffer isn’t properly checked before reading stts_duration, allowing the program to read 4 bytes beyond the boundaries of stts->data. This vulnerability reads up to 4 bytes past the allocated bounds of the stts array. This vulnerability is fixed in 1.24.10. Уязвимость функции qtdemux_merge_sample_table компонента qtdemux.c мультимедийного фреймворка Gstreamer связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. A null pointer dereference vulnerability has been discovered in the gst_jpeg_dec_negotiate function in gstjpegdec.c. This function does not check for a NULL return value from gst_video_decoder_set_output_state. When this happens, dereferences of the outstate pointer will lead to a null pointer dereference. This vulnerability can result in a Denial of Service (DoS) by triggering a segmentation fault (SEGV). This vulnerability is fixed in 1.24.10. Уязвимость функции gst_jpeg_dec_negotiate компонента gstjpegdec.c мультимедийного фреймворка Gstreamer связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. A null pointer dereference vulnerability has been discovered in the gst_matroska_demux_parse_blockgroup_or_simpleblock function within matroska-demux.c. This function does not properly check the validity of the GstBuffer *sub pointer before performing dereferences. As a result, null pointer dereferences may occur. This vulnerability is fixed in 1.24.10. Уязвимость функции gst_matroska_demux_parse_blockgroup_or_simpleblock компонента matroska-demux.c мультимедийного фреймворка Gstreamer связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. A null pointer dereference vulnerability has been discovered in the gst_matroska_demux_add_wvpk_header function within matroska-demux.c. This function does not properly check the validity of the stream->codec_priv pointer in the following code. If stream->codec_priv is NULL, the call to GST_READ_UINT16_LE will attempt to dereference a null pointer, leading to a crash of the application. This vulnerability is fixed in 1.24.10. Уязвимость функции gst_matroska_demux_add_wvpk_header компонента matroska-demux.c мультимедийного фреймворка Gstreamer связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. A null pointer dereference vulnerability has been discovered in the gst_matroska_demux_update_tracks function within matroska-demux.c. The vulnerability occurs when the gst_caps_is_equal function is called with invalid caps values. If this happen, then in the function gst_buffer_get_size the call to GST_BUFFER_MEM_PTR can return a null pointer. Attempting to dereference the size field of this null pointer results in a null pointer dereference. This vulnerability is fixed in 1.24.10. Уязвимость функции gst_matroska_demux_update_tracks компонента matroska-demux.c мультимедийного фреймворка Gstreamer связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. A null pointer dereference vulnerability has been identified in `gst_gdk_pixbuf_dec_flush` within `gstgdkpixbufdec.c`. This function invokes `memcpy`, using `out_pix` as the destination address. `out_pix` is expected to point to the frame 0 from the frame structure, which is read from the input file. However, in certain situations, it can points to a NULL frame, causing the subsequent call to `memcpy` to attempt writing to the null address (0x00), leading to a null pointer dereference. This vulnerability can result in a Denial of Service (DoS) by triggering a segmentation fault (SEGV). This vulnerability is fixed in 1.24.10. Уязвимость функции gst_gdk_pixbuf_dec_flush компонента gstgdkpixbufdec.c мультимедийного фреймворка Gstreamer связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 syslog-ng syslog-ng is an enhanced log daemo. Prior to version 4.8.2, `tls_wildcard_match()` matches on certificates such as `foo.*.bar` although that is not allowed. It is also possible to pass partial wildcards such as `foo.a*c.bar` which glib matches but should be avoided / invalidated. This issue could have an impact on TLS connections, such as in man-in-the-middle situations. Version 4.8.2 contains a fix for the issue. Уязвимость утилиты для обработки логов Syslog-ng связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) - Настройте права доступа к конфигурационным файлам syslog-ng так, чтобы их могли изменять только администраторы системы - Используйте шифрование для передачи логов по сети - Настройте аутентификацию и авторизацию для доступа к логам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: pm80xx: Set phy->enable_completion only when we wait for it pm8001_phy_control() populates the enable_completion pointer with a stack address, sends a PHY_LINK_RESET / PHY_HARD_RESET, waits 300 ms, and returns. The problem arises when a phy control response comes late. After 300 ms the pm8001_phy_control() function returns and the passed enable_completion stack address is no longer valid. Late phy control response invokes complete() on a dangling enable_completion pointer which leads to a kernel crash. Уязвимость функции pm8001_phy_control() драйвера SCSI ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to wait dio completion It should wait all existing dio write IOs before block removal, otherwise, previous direct write IO may overwrite data in the block which may be reused by other inode. Уязвимость функции f2fs_setattr() модуля fs/f2fs/file.c поддержки файловой системы F2FS ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов («внедрение ресурсов»). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mediatek: vcodec: Fix VP8 stateless decoder smatch warning Fix a smatch static checker warning on vdec_vp8_req_if.c. Which leads to a kernel crash when fb is NULL. Уязвимость компонента vcodec ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mediatek: vcodec: Fix H264 multi stateless decoder smatch warning Fix a smatch static checker warning on vdec_h264_req_multi_if.c. Which leads to a kernel crash when fb is NULL. Уязвимость компонента vcodec ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании(DoS) [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An OOB-read vulnerability has been identified in the gst_avi_subtitle_parse_gab2_chunk function within gstavisubtitle.c. The function reads the name_length value directly from the input file without checking it properly. Then, the a condition, does not properly handle cases where name_length is greater than 0xFFFFFFFF - 17, causing an integer overflow. In such scenario, the function attempts to access memory beyond the buffer leading to an OOB-read. This vulnerability is fixed in 1.24.10. Уязвимость функции gst_avi_subtitle_parse_gab2_chunk компонента gstavisubtitle.c мультимедийного фреймворка Gstreamer связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An OOB-read vulnerability has been found in the parse_ds64 function within gstwavparse.c. The parse_ds64 function does not check that the buffer buf contains sufficient data before attempting to read from it, doing multiple GST_READ_UINT32_LE operations without performing boundary checks. This can lead to an OOB-read when buf is smaller than expected. This vulnerability allows reading beyond the bounds of the data buffer, potentially leading to a crash (denial of service) or the leak of sensitive data. This vulnerability is fixed in 1.24.10. Уязвимость функции parse_ds64 компонента gstwavparse.c мультимедийного фреймворка Gstreamer связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An OOB-read has been discovered in gst_wavparse_cue_chunk within gstwavparse.c. The vulnerability happens due to a discrepancy between the size of the data buffer and the size value provided to the function. This mismatch causes the comparison if (size < 4 + ncues * 24) to fail in some cases, allowing the subsequent loop to access beyond the bounds of the data buffer. The root cause of this discrepancy stems from a miscalculation when clipping the chunk size based on upstream data size. This vulnerability allows reading beyond the bounds of the data buffer, potentially leading to a crash (denial of service) or the leak of sensitive data. This vulnerability is fixed in 1.24.10. Уязвимость функции gst_wavparse_cue_chunk компонента gstwavparse.c мультимедийного фреймворка Gstreamer связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An OOB-read vulnerability has been identified in the gst_wavparse_smpl_chunk function within gstwavparse.c. This function attempts to read 4 bytes from the data + 12 offset without checking if the size of the data buffer is sufficient. If the buffer is too small, the function reads beyond its bounds. This vulnerability may result in reading 4 bytes out of the boundaries of the data buffer. This vulnerability is fixed in 1.24.10. Уязвимость функции gst_wavparse_smpl_chunk компонента gstwavparse.c мультимедийного фреймворка Gstreamer связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An OOB-read vulnerability has been discovered in gst_wavparse_adtl_chunk within gstwavparse.c. This vulnerability arises due to insufficient validation of the size parameter, which can exceed the bounds of the data buffer. As a result, an OOB read occurs in the following while loop. This vulnerability can result in reading up to 4GB of process memory or potentially causing a segmentation fault (SEGV) when accessing invalid memory. This vulnerability is fixed in 1.24.10. Уязвимость функции gst_wavparse_adtl_chunk компонента gstwavparse.c мультимедийного фреймворка Gstreamer связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer is a library for constructing graphs of media-handling components. An Use-After-Free read vulnerability has been discovered affecting the processing of CodecPrivate elements in Matroska streams. In the GST_MATROSKA_ID_CODECPRIVATE case within the gst_matroska_demux_parse_stream function, a data chunk is allocated using gst_ebml_read_binary. Later, the allocated memory is freed in the gst_matroska_track_free function, by the call to g_free (track->codec_priv). Finally, the freed memory is accessed in the caps_serialize function through gst_value_serialize_buffer. The freed memory will be accessed in the gst_value_serialize_buffer function. This results in a UAF read vulnerability, as the function tries to process memory that has already been freed. This vulnerability is fixed in 1.24.10. Уязвимость мультимедийного фреймворка Gstreamer связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe/tracing: Fix a potential TP_printk UAF The commit afd2627f727b ("tracing: Check "%s" dereference via the field and not the TP_printk format") exposes potential UAFs in the xe_bo_move trace event. Fix those by avoiding dereferencing the xe_mem_type_to_name[] array at TP_printk time. Since some code refactoring has taken place, explicit backporting may be needed for kernels older than 6.10. Уязвимость функции tp_func_xe_bo_move_name() модуля drivers/gpu/drm/xe/xe_trace_bo.h - драйвера поддержки инфраструктуры прямого рендеринга (DRI) ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: fix double free issue during amdgpu module unload Flexible endpoints use DIGs from available inflexible endpoints, so only the encoders of inflexible links need to be freed. Otherwise, a double free issue may occur when unloading the amdgpu module. [ 279.190523] RIP: 0010:__slab_free+0x152/0x2f0 [ 279.190577] Call Trace: [ 279.190580] <TASK> [ 279.190582] ? show_regs+0x69/0x80 [ 279.190590] ? die+0x3b/0x90 [ 279.190595] ? do_trap+0xc8/0xe0 [ 279.190601] ? do_error_trap+0x73/0xa0 [ 279.190605] ? __slab_free+0x152/0x2f0 [ 279.190609] ? exc_invalid_op+0x56/0x70 [ 279.190616] ? __slab_free+0x152/0x2f0 [ 279.190642] ? asm_exc_invalid_op+0x1f/0x30 [ 279.190648] ? dcn10_link_encoder_destroy+0x19/0x30 [amdgpu] [ 279.191096] ? __slab_free+0x152/0x2f0 [ 279.191102] ? dcn10_link_encoder_destroy+0x19/0x30 [amdgpu] [ 279.191469] kfree+0x260/0x2b0 [ 279.191474] dcn10_link_encoder_destroy+0x19/0x30 [amdgpu] [ 279.191821] link_destroy+0xd7/0x130 [amdgpu] [ 279.192248] dc_destruct+0x90/0x270 [amdgpu] [ 279.192666] dc_destroy+0x19/0x40 [amdgpu] [ 279.193020] amdgpu_dm_fini+0x16e/0x200 [amdgpu] [ 279.193432] dm_hw_fini+0x26/0x40 [amdgpu] [ 279.193795] amdgpu_device_fini_hw+0x24c/0x400 [amdgpu] [ 279.194108] amdgpu_driver_unload_kms+0x4f/0x70 [amdgpu] [ 279.194436] amdgpu_pci_remove+0x40/0x80 [amdgpu] [ 279.194632] pci_device_remove+0x3a/0xa0 [ 279.194638] device_remove+0x40/0x70 [ 279.194642] device_release_driver_internal+0x1ad/0x210 [ 279.194647] driver_detach+0x4e/0xa0 [ 279.194650] bus_remove_driver+0x6f/0xf0 [ 279.194653] driver_unregister+0x33/0x60 [ 279.194657] pci_unregister_driver+0x44/0x90 [ 279.194662] amdgpu_exit+0x19/0x1f0 [amdgpu] [ 279.194939] __do_sys_delete_module.isra.0+0x198/0x2f0 [ 279.194946] __x64_sys_delete_module+0x16/0x20 [ 279.194950] do_syscall_64+0x58/0x120 [ 279.194954] entry_SYSCALL_64_after_hwframe+0x6e/0x76 [ 279.194980] </TASK> Уязвимость функции link_destruct() в модуле drivers/gpu/drm/amd/display/dc/link/link_factory.c драйвера amdgpu ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: block: fix integer overflow in BLKSECDISCARD I independently rediscovered commit 22d24a544b0d49bbcbd61c8c0eaf77d3c9297155 block: fix overflow in blk_ioctl_discard() but for secure erase. Same problem: uint64_t r[2] = {512, 18446744073709551104ULL}; ioctl(fd, BLKSECDISCARD, r); will enter near infinite loop inside blkdev_issue_secure_erase(): a.out: attempt to access beyond end of device loop0: rw=5, sector=3399043073, nr_sectors = 1024 limit=2048 bio_check_eod: 3286214 callbacks suppressed Уязвимость функции blk_ioctl_discard() ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix UAF in async decryption Doing an async decryption (large read) crashes with a slab-use-after-free way down in the crypto API. Reproducer: # mount.cifs -o ...,seal,esize=1 //srv/share /mnt # dd if=/mnt/largefile of=/dev/null ... [ 194.196391] ================================================================== [ 194.196844] BUG: KASAN: slab-use-after-free in gf128mul_4k_lle+0xc1/0x110 [ 194.197269] Read of size 8 at addr ffff888112bd0448 by task kworker/u77:2/899 [ 194.197707] [ 194.197818] CPU: 12 UID: 0 PID: 899 Comm: kworker/u77:2 Not tainted 6.11.0-lku-00028-gfca3ca14a17a-dirty #43 [ 194.198400] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.2-3-gd478f380-prebuilt.qemu.org 04/01/2014 [ 194.199046] Workqueue: smb3decryptd smb2_decrypt_offload [cifs] [ 194.200032] Call Trace: [ 194.200191] <TASK> [ 194.200327] dump_stack_lvl+0x4e/0x70 [ 194.200558] ? gf128mul_4k_lle+0xc1/0x110 [ 194.200809] print_report+0x174/0x505 [ 194.201040] ? __pfx__raw_spin_lock_irqsave+0x10/0x10 [ 194.201352] ? srso_return_thunk+0x5/0x5f [ 194.201604] ? __virt_addr_valid+0xdf/0x1c0 [ 194.201868] ? gf128mul_4k_lle+0xc1/0x110 [ 194.202128] kasan_report+0xc8/0x150 [ 194.202361] ? gf128mul_4k_lle+0xc1/0x110 [ 194.202616] gf128mul_4k_lle+0xc1/0x110 [ 194.202863] ghash_update+0x184/0x210 [ 194.203103] shash_ahash_update+0x184/0x2a0 [ 194.203377] ? __pfx_shash_ahash_update+0x10/0x10 [ 194.203651] ? srso_return_thunk+0x5/0x5f [ 194.203877] ? crypto_gcm_init_common+0x1ba/0x340 [ 194.204142] gcm_hash_assoc_remain_continue+0x10a/0x140 [ 194.204434] crypt_message+0xec1/0x10a0 [cifs] [ 194.206489] ? __pfx_crypt_message+0x10/0x10 [cifs] [ 194.208507] ? srso_return_thunk+0x5/0x5f [ 194.209205] ? srso_return_thunk+0x5/0x5f [ 194.209925] ? srso_return_thunk+0x5/0x5f [ 194.210443] ? srso_return_thunk+0x5/0x5f [ 194.211037] decrypt_raw_data+0x15f/0x250 [cifs] [ 194.212906] ? __pfx_decrypt_raw_data+0x10/0x10 [cifs] [ 194.214670] ? srso_return_thunk+0x5/0x5f [ 194.215193] smb2_decrypt_offload+0x12a/0x6c0 [cifs] This is because TFM is being used in parallel. Fix this by allocating a new AEAD TFM for async decryption, but keep the existing one for synchronous READ cases (similar to what is done in smb3_calc_signature()). Also remove the calls to aead_request_set_callback() and crypto_wait_req() since it's always going to be a synchronous operation. Уязвимость функции decrypt_raw_data() в модуле fs/smb/client/smb2ops.c подсистемы SMB ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: uvc: Fix ERR_PTR dereference in uvc_v4l2.c Fix potential dereferencing of ERR_PTR() in find_format_by_pix() and uvc_v4l2_enum_format(). Fix the following smatch errors: drivers/usb/gadget/function/uvc_v4l2.c:124 find_format_by_pix() error: 'fmtdesc' dereferencing possible ERR_PTR() drivers/usb/gadget/function/uvc_v4l2.c:392 uvc_v4l2_enum_format() error: 'fmtdesc' dereferencing possible ERR_PTR() Also, fix similar issue in uvc_v4l2_try_format() for potential dereferencing of ERR_PTR(). Уязвимость функции find_format_by_pix() компонента drivers/usb/gadget/function/uvc_v4l2.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: i3c: master: cdns: Fix use after free vulnerability in cdns_i3c_master Driver Due to Race Condition In the cdns_i3c_master_probe function, &master->hj_work is bound with cdns_i3c_master_hj. And cdns_i3c_master_interrupt can call cnds_i3c_master_demux_ibis function to start the work. If we remove the module which will call cdns_i3c_master_remove to make cleanup, it will free master->base through i3c_master_unregister while the work mentioned above will be used. The sequence of operations that may lead to a UAF bug is as follows: CPU0 CPU1 | cdns_i3c_master_hj cdns_i3c_master_remove | i3c_master_unregister(&master->base) | device_unregister(&master->dev) | device_release | //free master->base | | i3c_master_do_daa(&master->base) | //use master->base Fix it by ensuring that the work is canceled before proceeding with the cleanup in cdns_i3c_master_remove. Уязвимость функции cdns_i3c_master_remove() в модуле drivers/i3c/master/i3c-master-cdns.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Prevent tail call between progs attached to different hooks bpf progs can be attached to kernel functions, and the attached functions can take different parameters or return different return values. If prog attached to one kernel function tail calls prog attached to another kernel function, the ctx access or return value verification could be bypassed. For example, if prog1 is attached to func1 which takes only 1 parameter and prog2 is attached to func2 which takes two parameters. Since verifier assumes the bpf ctx passed to prog2 is constructed based on func2's prototype, verifier allows prog2 to access the second parameter from the bpf ctx passed to it. The problem is that verifier does not prevent prog1 from passing its bpf ctx to prog2 via tail call. In this case, the bpf ctx passed to prog2 is constructed from func1 instead of func2, that is, the assumption for ctx access verification is bypassed. Another example, if BPF LSM prog1 is attached to hook file_alloc_security, and BPF LSM prog2 is attached to hook bpf_lsm_audit_rule_known. Verifier knows the return value rules for these two hooks, e.g. it is legal for bpf_lsm_audit_rule_known to return positive number 1, and it is illegal for file_alloc_security to return positive number. So verifier allows prog2 to return positive number 1, but does not allow prog1 to return positive number. The problem is that verifier does not prevent prog1 from calling prog2 via tail call. In this case, prog2's return value 1 will be used as the return value for prog1's hook file_alloc_security. That is, the return value rule is bypassed. This patch adds restriction for tail call to prevent such bypasses. Уязвимость компонента include/linux/bpf.h ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix overloading of MEM_UNINIT's meaning Lonial reported an issue in the BPF verifier where check_mem_size_reg() has the following code: if (!tnum_is_const(reg->var_off)) /* For unprivileged variable accesses, disable raw * mode so that the program is required to * initialize all the memory that the helper could * just partially fill up. */ meta = NULL; This means that writes are not checked when the register containing the size of the passed buffer has not a fixed size. Through this bug, a BPF program can write to a map which is marked as read-only, for example, .rodata global maps. The problem is that MEM_UNINIT's initial meaning that "the passed buffer to the BPF helper does not need to be initialized" which was added back in commit 435faee1aae9 ("bpf, verifier: add ARG_PTR_TO_RAW_STACK type") got overloaded over time with "the passed buffer is being written to". The problem however is that checks such as the above which were added later via 06c1c049721a ("bpf: allow helpers access to variable memory") set meta to NULL in order force the user to always initialize the passed buffer to the helper. Due to the current double meaning of MEM_UNINIT, this bypasses verifier write checks to the memory (not boundary checks though) and only assumes the latter memory is read instead. Fix this by reverting MEM_UNINIT back to its original meaning, and having MEM_WRITE as an annotation to BPF helpers in order to then trigger the BPF verifier checks for writing to memory. Some notes: check_arg_pair_ok() ensures that for ARG_CONST_SIZE{,_OR_ZERO} we can access fn->arg_type[arg - 1] since it must contain a preceding ARG_PTR_TO_MEM. For check_mem_reg() the meta argument can be removed altogether since we do check both BPF_READ and BPF_WRITE. Same for the equivalent check_kfunc_mem_size_reg(). Уязвимость компонента verifier.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для сокращения поверхности атаки с использованием уязвимости настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: ``` kernel.unprivileged_bpf_disabled=1 ``` Сохраните файл. 2. Примените изменения: ``` sudo sysctl -p ``` 3. Проверьте текущее состояние sysctl: ``` cat /proc/sys/kernel/unprivileged_bpf_disabled ``` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Add rough attr alloc_size check Уязвимость компонента fs/ntfs3/record.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv4: ip_tunnel: Fix suspicious RCU usage warning in ip_tunnel_find() The per-netns IP tunnel hash table is protected by the RTNL mutex and ip_tunnel_find() is only called from the control path where the mutex is taken. Add a lockdep expression to hlist_for_each_entry_rcu() in ip_tunnel_find() in order to validate that the mutex is held and to silence the suspicious RCU usage warning [1]. [1] WARNING: suspicious RCU usage 6.12.0-rc3-custom-gd95d9a31aceb #139 Not tainted ----------------------------- net/ipv4/ip_tunnel.c:221 RCU-list traversed in non-reader section!! other info that might help us debug this: rcu_scheduler_active = 2, debug_locks = 1 1 lock held by ip/362: #0: ffffffff86fc7cb0 (rtnl_mutex){+.+.}-{3:3}, at: rtnetlink_rcv_msg+0x377/0xf60 stack backtrace: CPU: 12 UID: 0 PID: 362 Comm: ip Not tainted 6.12.0-rc3-custom-gd95d9a31aceb #139 Hardware name: Bochs Bochs, BIOS Bochs 01/01/2011 Call Trace: <TASK> dump_stack_lvl+0xba/0x110 lockdep_rcu_suspicious.cold+0x4f/0xd6 ip_tunnel_find+0x435/0x4d0 ip_tunnel_newlink+0x517/0x7a0 ipgre_newlink+0x14c/0x170 __rtnl_newlink+0x1173/0x19c0 rtnl_newlink+0x6c/0xa0 rtnetlink_rcv_msg+0x3cc/0xf60 netlink_rcv_skb+0x171/0x450 netlink_unicast+0x539/0x7f0 netlink_sendmsg+0x8c1/0xd80 ____sys_sendmsg+0x8f9/0xc20 ___sys_sendmsg+0x197/0x1e0 __sys_sendmsg+0x122/0x1f0 do_syscall_64+0xbb/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции ip_tunnel_find() модуля net/ipv4/ip_tunnel.c ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/msm/gem: prevent integer overflow in msm_ioctl_gem_submit() The "submit->cmd[i].size" and "submit->cmd[i].offset" variables are u32 values that come from the user via the submit_lookup_cmds() function. This addition could lead to an integer wrapping bug so use size_add() to prevent that. Patchwork: https://patchwork.freedesktop.org/patch/624696/ [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fix data-races around sk->sk_forward_alloc Syzkaller reported this warning: ------------[ cut here ]------------ WARNING: CPU: 0 PID: 16 at net/ipv4/af_inet.c:156 inet_sock_destruct+0x1c5/0x1e0 Modules linked in: CPU: 0 UID: 0 PID: 16 Comm: ksoftirqd/0 Not tainted 6.12.0-rc5 #26 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:inet_sock_destruct+0x1c5/0x1e0 Code: 24 12 4c 89 e2 5b 48 c7 c7 98 ec bb 82 41 5c e9 d1 18 17 ff 4c 89 e6 5b 48 c7 c7 d0 ec bb 82 41 5c e9 bf 18 17 ff 0f 0b eb 83 <0f> 0b eb 97 0f 0b eb 87 0f 0b e9 68 ff ff ff 66 66 2e 0f 1f 84 00 RSP: 0018:ffffc9000008bd90 EFLAGS: 00010206 RAX: 0000000000000300 RBX: ffff88810b172a90 RCX: 0000000000000007 RDX: 0000000000000002 RSI: 0000000000000300 RDI: ffff88810b172a00 RBP: ffff88810b172a00 R08: ffff888104273c00 R09: 0000000000100007 R10: 0000000000020000 R11: 0000000000000006 R12: ffff88810b172a00 R13: 0000000000000004 R14: 0000000000000000 R15: ffff888237c31f78 FS: 0000000000000000(0000) GS:ffff888237c00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007ffc63fecac8 CR3: 000000000342e000 CR4: 00000000000006f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? __warn+0x88/0x130 ? inet_sock_destruct+0x1c5/0x1e0 ? report_bug+0x18e/0x1a0 ? handle_bug+0x53/0x90 ? exc_invalid_op+0x18/0x70 ? asm_exc_invalid_op+0x1a/0x20 ? inet_sock_destruct+0x1c5/0x1e0 __sk_destruct+0x2a/0x200 rcu_do_batch+0x1aa/0x530 ? rcu_do_batch+0x13b/0x530 rcu_core+0x159/0x2f0 handle_softirqs+0xd3/0x2b0 ? __pfx_smpboot_thread_fn+0x10/0x10 run_ksoftirqd+0x25/0x30 smpboot_thread_fn+0xdd/0x1d0 kthread+0xd3/0x100 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x34/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> ---[ end trace 0000000000000000 ]--- Its possible that two threads call tcp_v6_do_rcv()/sk_forward_alloc_add() concurrently when sk->sk_state == TCP_LISTEN with sk->sk_lock unlocked, which triggers a data-race around sk->sk_forward_alloc: tcp_v6_rcv tcp_v6_do_rcv skb_clone_and_charge_r sk_rmem_schedule __sk_mem_schedule sk_forward_alloc_add() skb_set_owner_r sk_mem_charge sk_forward_alloc_add() __kfree_skb skb_release_all skb_release_head_state sock_rfree sk_mem_uncharge sk_forward_alloc_add() sk_mem_reclaim // set local var reclaimable __sk_mem_reclaim sk_forward_alloc_add() In this syzkaller testcase, two threads call tcp_v6_do_rcv() with skb->truesize=768, the sk_forward_alloc changes like this: (cpu 1) | (cpu 2) | sk_forward_alloc ... | ... | 0 __sk_mem_schedule() | | +4096 = 4096 | __sk_mem_schedule() | +4096 = 8192 sk_mem_charge() | | -768 = 7424 | sk_mem_charge() | -768 = 6656 ... | ... | sk_mem_uncharge() | | +768 = 7424 reclaimable=7424 | | | sk_mem_uncharge() | +768 = 8192 | reclaimable=8192 | __sk_mem_reclaim() | | -4096 = 4096 | __sk_mem_reclaim() | -8192 = -4096 != 0 The skb_clone_and_charge_r() should not be called in tcp_v6_do_rcv() when sk->sk_state is TCP_LISTEN, it happens later in tcp_v6_syn_recv_sock(). Fix the same issue in dccp_v6_do_rcv(). Уязвимость компонента net ядра операционной системы Linux связана состоянием гонки данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sched/task_stack: fix object_is_on_stack() for KASAN tagged pointers When CONFIG_KASAN_SW_TAGS and CONFIG_KASAN_STACK are enabled, the object_is_on_stack() function may produce incorrect results due to the presence of tags in the obj pointer, while the stack pointer does not have tags. This discrepancy can lead to incorrect stack object detection and subsequently trigger warnings if CONFIG_DEBUG_OBJECTS is also enabled. Example of the warning: ODEBUG: object 3eff800082ea7bb0 is NOT on stack ffff800082ea0000, but annotated. ------------[ cut here ]------------ WARNING: CPU: 0 PID: 1 at lib/debugobjects.c:557 __debug_object_init+0x330/0x364 Modules linked in: CPU: 0 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.12.0-rc5 #4 Hardware name: linux,dummy-virt (DT) pstate: 600000c5 (nZCv daIF -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : __debug_object_init+0x330/0x364 lr : __debug_object_init+0x330/0x364 sp : ffff800082ea7b40 x29: ffff800082ea7b40 x28: 98ff0000c0164518 x27: 98ff0000c0164534 x26: ffff800082d93ec8 x25: 0000000000000001 x24: 1cff0000c00172a0 x23: 0000000000000000 x22: ffff800082d93ed0 x21: ffff800081a24418 x20: 3eff800082ea7bb0 x19: efff800000000000 x18: 0000000000000000 x17: 00000000000000ff x16: 0000000000000047 x15: 206b63617473206e x14: 0000000000000018 x13: ffff800082ea7780 x12: 0ffff800082ea78e x11: 0ffff800082ea790 x10: 0ffff800082ea79d x9 : 34d77febe173e800 x8 : 34d77febe173e800 x7 : 0000000000000001 x6 : 0000000000000001 x5 : feff800082ea74b8 x4 : ffff800082870a90 x3 : ffff80008018d3c4 x2 : 0000000000000001 x1 : ffff800082858810 x0 : 0000000000000050 Call trace: __debug_object_init+0x330/0x364 debug_object_init_on_stack+0x30/0x3c schedule_hrtimeout_range_clock+0xac/0x26c schedule_hrtimeout+0x1c/0x30 wait_task_inactive+0x1d4/0x25c kthread_bind_mask+0x28/0x98 init_rescuer+0x1e8/0x280 workqueue_init+0x1a0/0x3cc kernel_init_freeable+0x118/0x200 kernel_init+0x28/0x1f0 ret_from_fork+0x10/0x20 ---[ end trace 0000000000000000 ]--- ODEBUG: object 3eff800082ea7bb0 is NOT on stack ffff800082ea0000, but annotated. ------------[ cut here ]------------ Уязвимость компонента task_stack.h ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: block, bfq: fix bfqq uaf in bfq_limit_depth() Set new allocated bfqq to bic or remove freed bfqq from bic are both protected by bfqd->lock, however bfq_limit_depth() is deferencing bfqq from bic without the lock, this can lead to UAF if the io_context is shared by multiple tasks. For example, test bfq with io_uring can trigger following UAF in v6.6: ================================================================== BUG: KASAN: slab-use-after-free in bfqq_group+0x15/0x50 Call Trace: <TASK> dump_stack_lvl+0x47/0x80 print_address_description.constprop.0+0x66/0x300 print_report+0x3e/0x70 kasan_report+0xb4/0xf0 bfqq_group+0x15/0x50 bfqq_request_over_limit+0x130/0x9a0 bfq_limit_depth+0x1b5/0x480 __blk_mq_alloc_requests+0x2b5/0xa00 blk_mq_get_new_requests+0x11d/0x1d0 blk_mq_submit_bio+0x286/0xb00 submit_bio_noacct_nocheck+0x331/0x400 __block_write_full_folio+0x3d0/0x640 writepage_cb+0x3b/0xc0 write_cache_pages+0x254/0x6c0 write_cache_pages+0x254/0x6c0 do_writepages+0x192/0x310 filemap_fdatawrite_wbc+0x95/0xc0 __filemap_fdatawrite_range+0x99/0xd0 filemap_write_and_wait_range.part.0+0x4d/0xa0 blkdev_read_iter+0xef/0x1e0 io_read+0x1b6/0x8a0 io_issue_sqe+0x87/0x300 io_wq_submit_work+0xeb/0x390 io_worker_handle_work+0x24d/0x550 io_wq_worker+0x27f/0x6c0 ret_from_fork_asm+0x1b/0x30 </TASK> Allocated by task 808602: kasan_save_stack+0x1e/0x40 kasan_set_track+0x21/0x30 __kasan_slab_alloc+0x83/0x90 kmem_cache_alloc_node+0x1b1/0x6d0 bfq_get_queue+0x138/0xfa0 bfq_get_bfqq_handle_split+0xe3/0x2c0 bfq_init_rq+0x196/0xbb0 bfq_insert_request.isra.0+0xb5/0x480 bfq_insert_requests+0x156/0x180 blk_mq_insert_request+0x15d/0x440 blk_mq_submit_bio+0x8a4/0xb00 submit_bio_noacct_nocheck+0x331/0x400 __blkdev_direct_IO_async+0x2dd/0x330 blkdev_write_iter+0x39a/0x450 io_write+0x22a/0x840 io_issue_sqe+0x87/0x300 io_wq_submit_work+0xeb/0x390 io_worker_handle_work+0x24d/0x550 io_wq_worker+0x27f/0x6c0 ret_from_fork+0x2d/0x50 ret_from_fork_asm+0x1b/0x30 Freed by task 808589: kasan_save_stack+0x1e/0x40 kasan_set_track+0x21/0x30 kasan_save_free_info+0x27/0x40 __kasan_slab_free+0x126/0x1b0 kmem_cache_free+0x10c/0x750 bfq_put_queue+0x2dd/0x770 __bfq_insert_request.isra.0+0x155/0x7a0 bfq_insert_request.isra.0+0x122/0x480 bfq_insert_requests+0x156/0x180 blk_mq_dispatch_plug_list+0x528/0x7e0 blk_mq_flush_plug_list.part.0+0xe5/0x590 __blk_flush_plug+0x3b/0x90 blk_finish_plug+0x40/0x60 do_writepages+0x19d/0x310 filemap_fdatawrite_wbc+0x95/0xc0 __filemap_fdatawrite_range+0x99/0xd0 filemap_write_and_wait_range.part.0+0x4d/0xa0 blkdev_read_iter+0xef/0x1e0 io_read+0x1b6/0x8a0 io_issue_sqe+0x87/0x300 io_wq_submit_work+0xeb/0x390 io_worker_handle_work+0x24d/0x550 io_wq_worker+0x27f/0x6c0 ret_from_fork+0x2d/0x50 ret_from_fork_asm+0x1b/0x30 Fix the problem by protecting bic_to_bfqq() with bfqd->lock. Уязвимость компонента block/bfq-iosched.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: block: fix uaf for flush rq while iterating tags blk_mq_clear_flush_rq_mapping() is not called during scsi probe, by checking blk_queue_init_done(). However, QUEUE_FLAG_INIT_DONE is cleared in del_gendisk by commit aec89dc5d421 ("block: keep q_usage_counter in atomic mode after del_gendisk"), hence for disk like scsi, following blk_mq_destroy_queue() will not clear flush rq from tags->rqs[] as well, cause following uaf that is found by our syzkaller for v6.6: ================================================================== BUG: KASAN: slab-use-after-free in blk_mq_find_and_get_req+0x16e/0x1a0 block/blk-mq-tag.c:261 Read of size 4 at addr ffff88811c969c20 by task kworker/1:2H/224909 CPU: 1 PID: 224909 Comm: kworker/1:2H Not tainted 6.6.0-ga836a5060850 #32 Workqueue: kblockd blk_mq_timeout_work Call Trace: __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x91/0xf0 lib/dump_stack.c:106 print_address_description.constprop.0+0x66/0x300 mm/kasan/report.c:364 print_report+0x3e/0x70 mm/kasan/report.c:475 kasan_report+0xb8/0xf0 mm/kasan/report.c:588 blk_mq_find_and_get_req+0x16e/0x1a0 block/blk-mq-tag.c:261 bt_iter block/blk-mq-tag.c:288 [inline] __sbitmap_for_each_set include/linux/sbitmap.h:295 [inline] sbitmap_for_each_set include/linux/sbitmap.h:316 [inline] bt_for_each+0x455/0x790 block/blk-mq-tag.c:325 blk_mq_queue_tag_busy_iter+0x320/0x740 block/blk-mq-tag.c:534 blk_mq_timeout_work+0x1a3/0x7b0 block/blk-mq.c:1673 process_one_work+0x7c4/0x1450 kernel/workqueue.c:2631 process_scheduled_works kernel/workqueue.c:2704 [inline] worker_thread+0x804/0xe40 kernel/workqueue.c:2785 kthread+0x346/0x450 kernel/kthread.c:388 ret_from_fork+0x4d/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1b/0x30 arch/x86/entry/entry_64.S:293 Allocated by task 942: kasan_save_stack+0x22/0x50 mm/kasan/common.c:45 kasan_set_track+0x25/0x30 mm/kasan/common.c:52 ____kasan_kmalloc mm/kasan/common.c:374 [inline] __kasan_kmalloc mm/kasan/common.c:383 [inline] __kasan_kmalloc+0xaa/0xb0 mm/kasan/common.c:380 kasan_kmalloc include/linux/kasan.h:198 [inline] __do_kmalloc_node mm/slab_common.c:1007 [inline] __kmalloc_node+0x69/0x170 mm/slab_common.c:1014 kmalloc_node include/linux/slab.h:620 [inline] kzalloc_node include/linux/slab.h:732 [inline] blk_alloc_flush_queue+0x144/0x2f0 block/blk-flush.c:499 blk_mq_alloc_hctx+0x601/0x940 block/blk-mq.c:3788 blk_mq_alloc_and_init_hctx+0x27f/0x330 block/blk-mq.c:4261 blk_mq_realloc_hw_ctxs+0x488/0x5e0 block/blk-mq.c:4294 blk_mq_init_allocated_queue+0x188/0x860 block/blk-mq.c:4350 blk_mq_init_queue_data block/blk-mq.c:4166 [inline] blk_mq_init_queue+0x8d/0x100 block/blk-mq.c:4176 scsi_alloc_sdev+0x843/0xd50 drivers/scsi/scsi_scan.c:335 scsi_probe_and_add_lun+0x77c/0xde0 drivers/scsi/scsi_scan.c:1189 __scsi_scan_target+0x1fc/0x5a0 drivers/scsi/scsi_scan.c:1727 scsi_scan_channel drivers/scsi/scsi_scan.c:1815 [inline] scsi_scan_channel+0x14b/0x1e0 drivers/scsi/scsi_scan.c:1791 scsi_scan_host_selected+0x2fe/0x400 drivers/scsi/scsi_scan.c:1844 scsi_scan+0x3a0/0x3f0 drivers/scsi/scsi_sysfs.c:151 store_scan+0x2a/0x60 drivers/scsi/scsi_sysfs.c:191 dev_attr_store+0x5c/0x90 drivers/base/core.c:2388 sysfs_kf_write+0x11c/0x170 fs/sysfs/file.c:136 kernfs_fop_write_iter+0x3fc/0x610 fs/kernfs/file.c:338 call_write_iter include/linux/fs.h:2083 [inline] new_sync_write+0x1b4/0x2d0 fs/read_write.c:493 vfs_write+0x76c/0xb00 fs/read_write.c:586 ksys_write+0x127/0x250 fs/read_write.c:639 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x70/0x120 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x78/0xe2 Freed by task 244687: kasan_save_stack+0x22/0x50 mm/kasan/common.c:45 kasan_set_track+0x25/0x30 mm/kasan/common.c:52 kasan_save_free_info+0x2b/0x50 mm/kasan/generic.c:522 ____kasan_slab_free mm/kasan/common.c:236 [inline] __kasan_slab_free+0x12a/0x1b0 mm/kasan/common.c:244 kasan_slab_free include/linux/kasan.h:164 [in ---truncated--- Уязвимость компонентов block ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: fix potential array underflow in ucsi_ccg_sync_control() The "command" variable can be controlled by the user via debugfs. The worry is that if con_index is zero then "&uc->ucsi->connector[con_index - 1]" would be an array underflow. Уязвимость компонента drivers/usb/typec/ucsi/ucsi_ccg.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Fix receive ring space parameters when XDP is active The MTU setting at the time an XDP multi-buffer is attached determines whether the aggregation ring will be used and the rx_skb_func handler. This is done in bnxt_set_rx_skb_mode(). If the MTU is later changed, the aggregation ring setting may need to be changed and it may become out-of-sync with the settings initially done in bnxt_set_rx_skb_mode(). This may result in random memory corruption and crashes as the HW may DMA data larger than the allocated buffer size, such as: BUG: kernel NULL pointer dereference, address: 00000000000003c0 PGD 0 P4D 0 Oops: 0000 [#1] PREEMPT SMP NOPTI CPU: 17 PID: 0 Comm: swapper/17 Kdump: loaded Tainted: G S OE 6.1.0-226bf9805506 #1 Hardware name: Wiwynn Delta Lake PVT BZA.02601.0150/Delta Lake-Class1, BIOS F0E_3A12 08/26/2021 RIP: 0010:bnxt_rx_pkt+0xe97/0x1ae0 [bnxt_en] Code: 8b 95 70 ff ff ff 4c 8b 9d 48 ff ff ff 66 41 89 87 b4 00 00 00 e9 0b f7 ff ff 0f b7 43 0a 49 8b 95 a8 04 00 00 25 ff 0f 00 00 <0f> b7 14 42 48 c1 e2 06 49 03 95 a0 04 00 00 0f b6 42 33f RSP: 0018:ffffa19f40cc0d18 EFLAGS: 00010202 RAX: 00000000000001e0 RBX: ffff8e2c805c6100 RCX: 00000000000007ff RDX: 0000000000000000 RSI: ffff8e2c271ab990 RDI: ffff8e2c84f12380 RBP: ffffa19f40cc0e48 R08: 000000000001000d R09: 974ea2fcddfa4cbf R10: 0000000000000000 R11: ffffa19f40cc0ff8 R12: ffff8e2c94b58980 R13: ffff8e2c952d6600 R14: 0000000000000016 R15: ffff8e2c271ab990 FS: 0000000000000000(0000) GS:ffff8e3b3f840000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000000003c0 CR3: 0000000e8580a004 CR4: 00000000007706e0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <IRQ> __bnxt_poll_work+0x1c2/0x3e0 [bnxt_en] To address the issue, we now call bnxt_set_rx_skb_mode() within bnxt_change_mtu() to properly set the AGG rings configuration and update rx_skb_func based on the new MTU value. Additionally, BNXT_FLAG_NO_AGG_RINGS is cleared at the beginning of bnxt_set_rx_skb_mode() to make sure it gets set or cleared based on the current MTU. Уязвимость функции bnxt_set_rx_skb_mode() компонента bnxt_en ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: Fix the qp flush warnings in req When the qp is in error state, the status of WQEs in the queue should be set to error. Or else the following will appear. [ 920.617269] WARNING: CPU: 1 PID: 21 at drivers/infiniband/sw/rxe/rxe_comp.c:756 rxe_completer+0x989/0xcc0 [rdma_rxe] [ 920.617744] Modules linked in: rnbd_client(O) rtrs_client(O) rtrs_core(O) rdma_ucm rdma_cm iw_cm ib_cm crc32_generic rdma_rxe ip6_udp_tunnel udp_tunnel ib_uverbs ib_core loop brd null_blk ipv6 [ 920.618516] CPU: 1 PID: 21 Comm: ksoftirqd/1 Tainted: G O 6.1.113-storage+ #65 [ 920.618986] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 [ 920.619396] RIP: 0010:rxe_completer+0x989/0xcc0 [rdma_rxe] [ 920.619658] Code: 0f b6 84 24 3a 02 00 00 41 89 84 24 44 04 00 00 e9 2a f7 ff ff 39 ca bb 03 00 00 00 b8 0e 00 00 00 48 0f 45 d8 e9 15 f7 ff ff <0f> 0b e9 cb f8 ff ff 41 bf f5 ff ff ff e9 08 f8 ff ff 49 8d bc 24 [ 920.620482] RSP: 0018:ffff97b7c00bbc38 EFLAGS: 00010246 [ 920.620817] RAX: 0000000000000000 RBX: 000000000000000c RCX: 0000000000000008 [ 920.621183] RDX: ffff960dc396ebc0 RSI: 0000000000005400 RDI: ffff960dc4e2fbac [ 920.621548] RBP: 0000000000000000 R08: 0000000000000001 R09: ffffffffac406450 [ 920.621884] R10: ffffffffac4060c0 R11: 0000000000000001 R12: ffff960dc4e2f800 [ 920.622254] R13: ffff960dc4e2f928 R14: ffff97b7c029c580 R15: 0000000000000000 [ 920.622609] FS: 0000000000000000(0000) GS:ffff960ef7d00000(0000) knlGS:0000000000000000 [ 920.622979] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 920.623245] CR2: 00007fa056965e90 CR3: 00000001107f1000 CR4: 00000000000006e0 [ 920.623680] Call Trace: [ 920.623815] <TASK> [ 920.623933] ? __warn+0x79/0xc0 [ 920.624116] ? rxe_completer+0x989/0xcc0 [rdma_rxe] [ 920.624356] ? report_bug+0xfb/0x150 [ 920.624594] ? handle_bug+0x3c/0x60 [ 920.624796] ? exc_invalid_op+0x14/0x70 [ 920.624976] ? asm_exc_invalid_op+0x16/0x20 [ 920.625203] ? rxe_completer+0x989/0xcc0 [rdma_rxe] [ 920.625474] ? rxe_completer+0x329/0xcc0 [rdma_rxe] [ 920.625749] rxe_do_task+0x80/0x110 [rdma_rxe] [ 920.626037] rxe_requester+0x625/0xde0 [rdma_rxe] [ 920.626310] ? rxe_cq_post+0xe2/0x180 [rdma_rxe] [ 920.626583] ? do_complete+0x18d/0x220 [rdma_rxe] [ 920.626812] ? rxe_completer+0x1a3/0xcc0 [rdma_rxe] [ 920.627050] rxe_do_task+0x80/0x110 [rdma_rxe] [ 920.627285] tasklet_action_common.constprop.0+0xa4/0x120 [ 920.627522] handle_softirqs+0xc2/0x250 [ 920.627728] ? sort_range+0x20/0x20 [ 920.627942] run_ksoftirqd+0x1f/0x30 [ 920.628158] smpboot_thread_fn+0xc7/0x1b0 [ 920.628334] kthread+0xd6/0x100 [ 920.628504] ? kthread_complete_and_exit+0x20/0x20 [ 920.628709] ret_from_fork+0x1f/0x30 [ 920.628892] </TASK> Уязвимость компонентов RDMA/rxe ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода в функции rxe_requester(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: erofs: handle NONHEAD !delta[1] lclusters gracefully syzbot reported a WARNING in iomap_iter_done: iomap_fiemap+0x73b/0x9b0 fs/iomap/fiemap.c:80 ioctl_fiemap fs/ioctl.c:220 [inline] Generally, NONHEAD lclusters won't have delta[1]==0, except for crafted images and filesystems created by pre-1.0 mkfs versions. Previously, it would immediately bail out if delta[1]==0, which led to inadequate decompressed lengths (thus FIEMAP is impacted). Treat it as delta[1]=1 to work around these legacy mkfs versions. `lclusterbits > 14` is illegal for compact indexes, error out too. Уязвимость компонента fs/erofs/zmap.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ceph: give up on paths longer than PATH_MAX If the full path to be built by ceph_mdsc_build_path() happens to be longer than PATH_MAX, then this function will enter an endless (retry) loop, effectively blocking the whole task. Most of the machine becomes unusable, making this a very simple and effective DoS vulnerability. I cannot imagine why this retry was ever implemented, but it seems rather useless and harmful to me. Let's remove it and fail with ENAMETOOLONG instead. Уязвимость компонента fs/ceph/mds_client.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFS: Fix potential buffer overflowin nfs_sysfs_link_rpc_client() name is char[64] where the size of clnt->cl_program->name remains unknown. Invoking strcat() directly will also lead to potential buffer overflow. Change them to strscpy() and strncat() to fix potential issues. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: bsg: Set bsg_queue to NULL after removal Currently, this does not cause any issues, but I believe it is necessary to set bsg_queue to NULL after removing it to prevent potential use-after-free (UAF) access. Уязвимость компонента ufs_bsg.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 openimageio OpenImageIO v3.1.0.0dev was discovered to contain a heap overflow via the component OpenImageIO_v3_1_0::farmhash::inlined::Fetch64(char const*). Уязвимость файла src/include/OpenImageIO/detail/farmhash.h библиотеки обработки изображений OpenImageIO связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - При использовании ПО openimageio выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска openimageio только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 openimageio OpenImageIO v3.1.0.0dev was discovered to contain a segmentation violation via the component /OpenImageIO/string_view.h. Уязвимость компонента string_view.h библиотеки обработки изображений OpenImageIO связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - При использовании ПО openimageio выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска openimageio только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 openimageio OpenImageIO v3.1.0.0dev was discovered to contain a heap overflow via the component /OpenImageIO/fmath.h. Уязвимость компонента fmath.h библиотеки обработки изображений OpenImageIO связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - При использовании ПО openimageio выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска openimageio только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 openimageio An allocation-size-too-big bug in the component /imagebuf.cpp of OpenImageIO v3.1.0.0dev may cause a Denial of Service (DoS) when the program to requests to allocate too much space. Уязвимость компонента imagebuf.cpp библиотеки обработки изображений OpenImageIO связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openimageio: - При использовании ПО openimageio выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска openimageio только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 libxslt xsltGetInheritedNsList in libxslt before 1.1.43 has a use-after-free issue related to exclusion of result prefixes. Уязвимость функции xsltGetInheritedNsList библиотеки libxslt связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю оказать влияние на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:N/I:H/A:H', score=7.8) libxslt: - Запускайте libxslt с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libxslt так, чтобы их могли изменять только администраторы системы. - Рассмотрите возможность изоляции процессов, работающих с libxslt, используя контейнеры (Docker, LXC) или механизмы виртуализации. Astra Linux 1.8 amd64-microcode Improper signature verification in AMD CPU ROM microcode patch loader may allow an attacker with local administrator privilege to load malicious CPU microcode resulting in loss of confidentiality and integrity of a confidential guest running under AMD SEV-SNP. Уязвимость микрокода процессоров AMD64 Microcode связана с некорректным подтверждением криптографической подписи данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-347')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:N', score=7.2) - Убедитесь, что установленные микрокоды совместимы с вашим процессором. Неправильные микрокоды могут привести к нестабильной работе системы. - Проверяйте, что микрокоды успешно загружаются и применяются. Это можно сделать с помощью команд, таких как dmesg, для проверки логов ядра. Astra Linux 1.8 libxml2 libxml2 before 2.12.10 and 2.13.x before 2.13.6 has a use-after-free in xmlSchemaIDCFillNodeTables and xmlSchemaBubbleIDCNodeTables in xmlschemas.c. To exploit this, a crafted XML document must be validated against an XML schema with certain identity constraints, or a crafted XML schema must be used. Уязвимость компонента xmlschemas.c библиотеки Libxml2 связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N', score=7.8) - Не выполнять XSD-валидацию для недоверенного XML или не принимать внешние схемы от клиентов до внедрения исправлений Astra Linux 1.8 poppler libpoppler.so in Poppler through 24.12.0 has an out-of-bounds read vulnerability within the JBIG2Bitmap::combine function in JBIG2Stream.cc. Уязвимость функции JBIG2Bitmap::combine компонента JBIG2Stream.cc библиотеки для отображения PDF-файлов Poppler связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N', score=4.3) poppler: - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular poppler-22: - При использовании ПО poppler-22 выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 1.8 perl A heap buffer overflow vulnerability was discovered in Perl. Release branches 5.34, 5.36, 5.38 and 5.40 are affected, including development versions from 5.33.1 through 5.41.10. When there are non-ASCII bytes in the left-hand-side of the `tr` operator, `S_do_trans_invmap` can overflow the destination pointer `d`.    $ perl -e '$_ = "\x{FF}" x 1000000; tr/\xFF/\x{100}/;'    Segmentation fault (core dumped) It is believed that this vulnerability can enable Denial of Service and possibly Code Execution attacks on platforms that lack sufficient defenses. Уязвимость языка программирования Perl связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: Fix NULL pointer dereference in object->file At present, the object->file has the NULL pointer dereference problem in ondemand-mode. The root cause is that the allocated fd and object->file lifetime are inconsistent, and the user-space invocation to anon_fd uses object->file. Following is the process that triggers the issue: [write fd] [umount] cachefiles_ondemand_fd_write_iter fscache_cookie_state_machine cachefiles_withdraw_cookie if (!file) return -ENOBUFS cachefiles_clean_up_object cachefiles_unmark_inode_in_use fput(object->file) object->file = NULL // file NULL pointer dereference! __cachefiles_write(..., file, ...) Fix this issue by add an additional reference count to the object->file before write/llseek, and decrement after it finished. Уязвимость компонентов interface.c и ondemand.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix usage slab after free [ +0.000021] BUG: KASAN: slab-use-after-free in drm_sched_entity_flush+0x6cb/0x7a0 [gpu_sched] [ +0.000027] Read of size 8 at addr ffff8881b8605f88 by task amd_pci_unplug/2147 [ +0.000023] CPU: 6 PID: 2147 Comm: amd_pci_unplug Not tainted 6.10.0+ #1 [ +0.000016] Hardware name: ASUS System Product Name/ROG STRIX B550-F GAMING (WI-FI), BIOS 1401 12/03/2020 [ +0.000016] Call Trace: [ +0.000008] <TASK> [ +0.000009] dump_stack_lvl+0x76/0xa0 [ +0.000017] print_report+0xce/0x5f0 [ +0.000017] ? drm_sched_entity_flush+0x6cb/0x7a0 [gpu_sched] [ +0.000019] ? srso_return_thunk+0x5/0x5f [ +0.000015] ? kasan_complete_mode_report_info+0x72/0x200 [ +0.000016] ? drm_sched_entity_flush+0x6cb/0x7a0 [gpu_sched] [ +0.000019] kasan_report+0xbe/0x110 [ +0.000015] ? drm_sched_entity_flush+0x6cb/0x7a0 [gpu_sched] [ +0.000023] __asan_report_load8_noabort+0x14/0x30 [ +0.000014] drm_sched_entity_flush+0x6cb/0x7a0 [gpu_sched] [ +0.000020] ? srso_return_thunk+0x5/0x5f [ +0.000013] ? __kasan_check_write+0x14/0x30 [ +0.000016] ? __pfx_drm_sched_entity_flush+0x10/0x10 [gpu_sched] [ +0.000020] ? srso_return_thunk+0x5/0x5f [ +0.000013] ? __kasan_check_write+0x14/0x30 [ +0.000013] ? srso_return_thunk+0x5/0x5f [ +0.000013] ? enable_work+0x124/0x220 [ +0.000015] ? __pfx_enable_work+0x10/0x10 [ +0.000013] ? srso_return_thunk+0x5/0x5f [ +0.000014] ? free_large_kmalloc+0x85/0xf0 [ +0.000016] drm_sched_entity_destroy+0x18/0x30 [gpu_sched] [ +0.000020] amdgpu_vce_sw_fini+0x55/0x170 [amdgpu] [ +0.000735] ? __kasan_check_read+0x11/0x20 [ +0.000016] vce_v4_0_sw_fini+0x80/0x110 [amdgpu] [ +0.000726] amdgpu_device_fini_sw+0x331/0xfc0 [amdgpu] [ +0.000679] ? mutex_unlock+0x80/0xe0 [ +0.000017] ? __pfx_amdgpu_device_fini_sw+0x10/0x10 [amdgpu] [ +0.000662] ? srso_return_thunk+0x5/0x5f [ +0.000014] ? __kasan_check_write+0x14/0x30 [ +0.000013] ? srso_return_thunk+0x5/0x5f [ +0.000013] ? mutex_unlock+0x80/0xe0 [ +0.000016] amdgpu_driver_release_kms+0x16/0x80 [amdgpu] [ +0.000663] drm_minor_release+0xc9/0x140 [drm] [ +0.000081] drm_release+0x1fd/0x390 [drm] [ +0.000082] __fput+0x36c/0xad0 [ +0.000018] __fput_sync+0x3c/0x50 [ +0.000014] __x64_sys_close+0x7d/0xe0 [ +0.000014] x64_sys_call+0x1bc6/0x2680 [ +0.000014] do_syscall_64+0x70/0x130 [ +0.000014] ? srso_return_thunk+0x5/0x5f [ +0.000014] ? irqentry_exit_to_user_mode+0x60/0x190 [ +0.000015] ? srso_return_thunk+0x5/0x5f [ +0.000014] ? irqentry_exit+0x43/0x50 [ +0.000012] ? srso_return_thunk+0x5/0x5f [ +0.000013] ? exc_page_fault+0x7c/0x110 [ +0.000015] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ +0.000014] RIP: 0033:0x7ffff7b14f67 [ +0.000013] Code: ff e8 0d 16 02 00 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 00 f3 0f 1e fa 64 8b 04 25 18 00 00 00 85 c0 75 10 b8 03 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 41 c3 48 83 ec 18 89 7c 24 0c e8 73 ba f7 ff [ +0.000026] RSP: 002b:00007fffffffe378 EFLAGS: 00000246 ORIG_RAX: 0000000000000003 [ +0.000019] RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007ffff7b14f67 [ +0.000014] RDX: 0000000000000000 RSI: 00007ffff7f6f47a RDI: 0000000000000003 [ +0.000014] RBP: 00007fffffffe3a0 R08: 0000555555569890 R09: 0000000000000000 [ +0.000014] R10: 0000000000000000 R11: 0000000000000246 R12: 00007fffffffe5c8 [ +0.000013] R13: 00005555555552a9 R14: 0000555555557d48 R15: 00007ffff7ffd040 [ +0.000020] </TASK> [ +0.000016] Allocated by task 383 on cpu 7 at 26.880319s: [ +0.000014] kasan_save_stack+0x28/0x60 [ +0.000008] kasan_save_track+0x18/0x70 [ +0.000007] kasan_save_alloc_info+0x38/0x60 [ +0.000007] __kasan_kmalloc+0xc1/0xd0 [ +0.000007] kmalloc_trace_noprof+0x180/0x380 [ +0.000007] drm_sched_init+0x411/0xec0 [gpu_sched] [ +0.000012] amdgpu_device_init+0x695f/0xa610 [amdgpu] [ +0.000658] amdgpu_driver_load_kms+0x1a/0x120 [amdgpu] [ +0.000662] amdgpu_pci_p ---truncated--- Уязвимость компонентов drivers/gpu/drm/amd/amdgpu ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix out-of-bounds access in 'dcn21_link_encoder_create' An issue was identified in the dcn21_link_encoder_create function where an out-of-bounds access could occur when the hpd_source index was used to reference the link_enc_hpd_regs array. This array has a fixed size and the index was not being checked against the array's bounds before accessing it. This fix adds a conditional check to ensure that the hpd_source index is within the valid range of the link_enc_hpd_regs array. If the index is out of bounds, the function now returns NULL to prevent undefined behavior. References: [ 65.920507] ------------[ cut here ]------------ [ 65.920510] UBSAN: array-index-out-of-bounds in drivers/gpu/drm/amd/amdgpu/../display/dc/resource/dcn21/dcn21_resource.c:1312:29 [ 65.920519] index 7 is out of range for type 'dcn10_link_enc_hpd_registers [5]' [ 65.920523] CPU: 3 PID: 1178 Comm: modprobe Tainted: G OE 6.8.0-cleanershaderfeatureresetasdntipmi200nv2132 #13 [ 65.920525] Hardware name: AMD Majolica-RN/Majolica-RN, BIOS WMJ0429N_Weekly_20_04_2 04/29/2020 [ 65.920527] Call Trace: [ 65.920529] <TASK> [ 65.920532] dump_stack_lvl+0x48/0x70 [ 65.920541] dump_stack+0x10/0x20 [ 65.920543] __ubsan_handle_out_of_bounds+0xa2/0xe0 [ 65.920549] dcn21_link_encoder_create+0xd9/0x140 [amdgpu] [ 65.921009] link_create+0x6d3/0xed0 [amdgpu] [ 65.921355] create_links+0x18a/0x4e0 [amdgpu] [ 65.921679] dc_create+0x360/0x720 [amdgpu] [ 65.921999] ? dmi_matches+0xa0/0x220 [ 65.922004] amdgpu_dm_init+0x2b6/0x2c90 [amdgpu] [ 65.922342] ? console_unlock+0x77/0x120 [ 65.922348] ? dev_printk_emit+0x86/0xb0 [ 65.922354] dm_hw_init+0x15/0x40 [amdgpu] [ 65.922686] amdgpu_device_init+0x26a8/0x33a0 [amdgpu] [ 65.922921] amdgpu_driver_load_kms+0x1b/0xa0 [amdgpu] [ 65.923087] amdgpu_pci_probe+0x1b7/0x630 [amdgpu] [ 65.923087] local_pci_probe+0x4b/0xb0 [ 65.923087] pci_device_probe+0xc8/0x280 [ 65.923087] really_probe+0x187/0x300 [ 65.923087] __driver_probe_device+0x85/0x130 [ 65.923087] driver_probe_device+0x24/0x110 [ 65.923087] __driver_attach+0xac/0x1d0 [ 65.923087] ? __pfx___driver_attach+0x10/0x10 [ 65.923087] bus_for_each_dev+0x7d/0xd0 [ 65.923087] driver_attach+0x1e/0x30 [ 65.923087] bus_add_driver+0xf2/0x200 [ 65.923087] driver_register+0x64/0x130 [ 65.923087] ? __pfx_amdgpu_init+0x10/0x10 [amdgpu] [ 65.923087] __pci_register_driver+0x61/0x70 [ 65.923087] amdgpu_init+0x7d/0xff0 [amdgpu] [ 65.923087] do_one_initcall+0x49/0x310 [ 65.923087] ? kmalloc_trace+0x136/0x360 [ 65.923087] do_init_module+0x6a/0x270 [ 65.923087] load_module+0x1fce/0x23a0 [ 65.923087] init_module_from_file+0x9c/0xe0 [ 65.923087] ? init_module_from_file+0x9c/0xe0 [ 65.923087] idempotent_init_module+0x179/0x230 [ 65.923087] __x64_sys_finit_module+0x5d/0xa0 [ 65.923087] do_syscall_64+0x76/0x120 [ 65.923087] entry_SYSCALL_64_after_hwframe+0x6e/0x76 [ 65.923087] RIP: 0033:0x7f2d80f1e88d [ 65.923087] Code: 5b 41 5c c3 66 0f 1f 84 00 00 00 00 00 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d 73 b5 0f 00 f7 d8 64 89 01 48 [ 65.923087] RSP: 002b:00007ffc7bc1aa78 EFLAGS: 00000246 ORIG_RAX: 0000000000000139 [ 65.923087] RAX: ffffffffffffffda RBX: 0000564c9c1db130 RCX: 00007f2d80f1e88d [ 65.923087] RDX: 0000000000000000 RSI: 0000564c9c1e5480 RDI: 000000000000000f [ 65.923087] RBP: 0000000000040000 R08: 0000000000000000 R09: 0000000000000002 [ 65.923087] R10: 000000000000000f R11: 0000000000000246 R12: 0000564c9c1e5480 [ 65.923087] R13: 0000564c9c1db260 R14: 0000000000000000 R15: 0000564c9c1e54b0 [ 65.923087] </TASK> [ 65.923927] ---[ end trace ]--- Уязвимость компонента dcn21_resource.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: sg: Fix slab-use-after-free read in sg_release() Fix a use-after-free bug in sg_release(), detected by syzbot with KASAN: BUG: KASAN: slab-use-after-free in lock_release+0x151/0xa30 kernel/locking/lockdep.c:5838 __mutex_unlock_slowpath+0xe2/0x750 kernel/locking/mutex.c:912 sg_release+0x1f4/0x2e0 drivers/scsi/sg.c:407 In sg_release(), the function kref_put(&sfp->f_ref, sg_remove_sfp) is called before releasing the open_rel_lock mutex. The kref_put() call may decrement the reference count of sfp to zero, triggering its cleanup through sg_remove_sfp(). This cleanup includes scheduling deferred work via sg_remove_sfp_usercontext(), which ultimately frees sfp. After kref_put(), sg_release() continues to unlock open_rel_lock and may reference sfp or sdp. If sfp has already been freed, this results in a slab-use-after-free error. Move the kref_put(&sfp->f_ref, sg_remove_sfp) call after unlocking the open_rel_lock mutex. This ensures: - No references to sfp or sdp occur after the reference count is decremented. - Cleanup functions such as sg_remove_sfp() and sg_remove_sfp_usercontext() can safely execute without impacting the mutex handling in sg_release(). The fix has been tested and validated by syzbot. This patch closes the bug reported at the following syzkaller link and ensures proper sequencing of resource cleanup and mutex operations, eliminating the risk of use-after-free errors in sg_release(). Уязвимость функции sg_release() модуля drivers/scsi/sg.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf, sockmap: Fix race between element replace and close() Element replace (with a socket different from the one stored) may race with socket's close() link popping & unlinking. __sock_map_delete() unconditionally unrefs the (wrong) element: // set map[0] = s0 map_update_elem(map, 0, s0) // drop fd of s0 close(s0) sock_map_close() lock_sock(sk) (s0!) sock_map_remove_links(sk) link = sk_psock_link_pop() sock_map_unlink(sk, link) sock_map_delete_from_link // replace map[0] with s1 map_update_elem(map, 0, s1) sock_map_update_elem (s1!) lock_sock(sk) sock_map_update_common psock = sk_psock(sk) spin_lock(&stab->lock) osk = stab->sks[idx] sock_map_add_link(..., &stab->sks[idx]) sock_map_unref(osk, &stab->sks[idx]) psock = sk_psock(osk) sk_psock_put(sk, psock) if (refcount_dec_and_test(&psock)) sk_psock_drop(sk, psock) spin_unlock(&stab->lock) unlock_sock(sk) __sock_map_delete spin_lock(&stab->lock) sk = *psk // s1 replaced s0; sk == s1 if (!sk_test || sk_test == sk) // sk_test (s0) != sk (s1); no branch sk = xchg(psk, NULL) if (sk) sock_map_unref(sk, psk) // unref s1; sks[idx] will dangle psock = sk_psock(sk) sk_psock_put(sk, psock) if (refcount_dec_and_test()) sk_psock_drop(sk, psock) spin_unlock(&stab->lock) release_sock(sk) Then close(map) enqueues bpf_map_free_deferred, which finally calls sock_map_free(). This results in some refcount_t warnings along with a KASAN splat [1]. Fix __sock_map_delete(), do not allow sock_map_unref() on elements that may have been replaced. [1]: BUG: KASAN: slab-use-after-free in sock_map_free+0x10e/0x330 Write of size 4 at addr ffff88811f5b9100 by task kworker/u64:12/1063 CPU: 14 UID: 0 PID: 1063 Comm: kworker/u64:12 Not tainted 6.12.0+ #125 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS Arch Linux 1.16.3-1-1 04/01/2014 Workqueue: events_unbound bpf_map_free_deferred Call Trace: <TASK> dump_stack_lvl+0x68/0x90 print_report+0x174/0x4f6 kasan_report+0xb9/0x190 kasan_check_range+0x10f/0x1e0 sock_map_free+0x10e/0x330 bpf_map_free_deferred+0x173/0x320 process_one_work+0x846/0x1420 worker_thread+0x5b3/0xf80 kthread+0x29e/0x360 ret_from_fork+0x2d/0x70 ret_from_fork_asm+0x1a/0x30 </TASK> Allocated by task 1202: kasan_save_stack+0x1e/0x40 kasan_save_track+0x10/0x30 __kasan_slab_alloc+0x85/0x90 kmem_cache_alloc_noprof+0x131/0x450 sk_prot_alloc+0x5b/0x220 sk_alloc+0x2c/0x870 unix_create1+0x88/0x8a0 unix_create+0xc5/0x180 __sock_create+0x241/0x650 __sys_socketpair+0x1ce/0x420 __x64_sys_socketpair+0x92/0x100 do_syscall_64+0x93/0x180 entry_SYSCALL_64_after_hwframe+0x76/0x7e Freed by task 46: kasan_save_stack+0x1e/0x40 kasan_save_track+0x10/0x30 kasan_save_free_info+0x37/0x60 __kasan_slab_free+0x4b/0x70 kmem_cache_free+0x1a1/0x590 __sk_destruct+0x388/0x5a0 sk_psock_destroy+0x73e/0xa50 process_one_work+0x846/0x1420 worker_thread+0x5b3/0xf80 kthread+0x29e/0x360 ret_from_fork+0x2d/0x70 ret_from_fork_asm+0x1a/0x30 The bu ---truncated--- Уязвимость функции sock_map_lookup_sys() компонента sock_map.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: Fix soft lockups in fib6_select_path under high next hop churn Soft lockups have been observed on a cluster of Linux-based edge routers located in a highly dynamic environment. Using the `bird` service, these routers continuously update BGP-advertised routes due to frequently changing nexthop destinations, while also managing significant IPv6 traffic. The lockups occur during the traversal of the multipath circular linked-list in the `fib6_select_path` function, particularly while iterating through the siblings in the list. The issue typically arises when the nodes of the linked list are unexpectedly deleted concurrently on a different core—indicated by their 'next' and 'previous' elements pointing back to the node itself and their reference count dropping to zero. This results in an infinite loop, leading to a soft lockup that triggers a system panic via the watchdog timer. Apply RCU primitives in the problematic code sections to resolve the issue. Where necessary, update the references to fib6_siblings to annotate or use the RCU APIs. Include a test script that reproduces the issue. The script periodically updates the routing table while generating a heavy load of outgoing IPv6 traffic through multiple iperf3 clients. It consistently induces infinite soft lockups within a couple of minutes. Kernel log: 0 [ffffbd13003e8d30] machine_kexec at ffffffff8ceaf3eb 1 [ffffbd13003e8d90] __crash_kexec at ffffffff8d0120e3 2 [ffffbd13003e8e58] panic at ffffffff8cef65d4 3 [ffffbd13003e8ed8] watchdog_timer_fn at ffffffff8d05cb03 4 [ffffbd13003e8f08] __hrtimer_run_queues at ffffffff8cfec62f 5 [ffffbd13003e8f70] hrtimer_interrupt at ffffffff8cfed756 6 [ffffbd13003e8fd0] __sysvec_apic_timer_interrupt at ffffffff8cea01af 7 [ffffbd13003e8ff0] sysvec_apic_timer_interrupt at ffffffff8df1b83d -- <IRQ stack> -- 8 [ffffbd13003d3708] asm_sysvec_apic_timer_interrupt at ffffffff8e000ecb [exception RIP: fib6_select_path+299] RIP: ffffffff8ddafe7b RSP: ffffbd13003d37b8 RFLAGS: 00000287 RAX: ffff975850b43600 RBX: ffff975850b40200 RCX: 0000000000000000 RDX: 000000003fffffff RSI: 0000000051d383e4 RDI: ffff975850b43618 RBP: ffffbd13003d3800 R8: 0000000000000000 R9: ffff975850b40200 R10: 0000000000000000 R11: 0000000000000000 R12: ffffbd13003d3830 R13: ffff975850b436a8 R14: ffff975850b43600 R15: 0000000000000007 ORIG_RAX: ffffffffffffffff CS: 0010 SS: 0018 9 [ffffbd13003d3808] ip6_pol_route at ffffffff8ddb030c 10 [ffffbd13003d3888] ip6_pol_route_input at ffffffff8ddb068c 11 [ffffbd13003d3898] fib6_rule_lookup at ffffffff8ddf02b5 12 [ffffbd13003d3928] ip6_route_input at ffffffff8ddb0f47 13 [ffffbd13003d3a18] ip6_rcv_finish_core.constprop.0 at ffffffff8dd950d0 14 [ffffbd13003d3a30] ip6_list_rcv_finish.constprop.0 at ffffffff8dd96274 15 [ffffbd13003d3a98] ip6_sublist_rcv at ffffffff8dd96474 16 [ffffbd13003d3af8] ipv6_list_rcv at ffffffff8dd96615 17 [ffffbd13003d3b60] __netif_receive_skb_list_core at ffffffff8dc16fec 18 [ffffbd13003d3be0] netif_receive_skb_list_internal at ffffffff8dc176b3 19 [ffffbd13003d3c50] napi_gro_receive at ffffffff8dc565b9 20 [ffffbd13003d3c80] ice_receive_skb at ffffffffc087e4f5 [ice] 21 [ffffbd13003d3c90] ice_clean_rx_irq at ffffffffc0881b80 [ice] 22 [ffffbd13003d3d20] ice_napi_poll at ffffffffc088232f [ice] 23 [ffffbd13003d3d80] __napi_poll at ffffffff8dc18000 24 [ffffbd13003d3db8] net_rx_action at ffffffff8dc18581 25 [ffffbd13003d3e40] __do_softirq at ffffffff8df352e9 26 [ffffbd13003d3eb0] run_ksoftirqd at ffffffff8ceffe47 27 [ffffbd13003d3ec0] smpboot_thread_fn at ffffffff8cf36a30 28 [ffffbd13003d3ee8] kthread at ffffffff8cf2b39f 29 [ffffbd13003d3f28] ret_from_fork at ffffffff8ce5fa64 30 [ffffbd13003d3f50] ret_from_fork_asm at ffffffff8ce03cbb Уязвимость компонентов ipv6_route_update_soft_lockup.sh, Makefile, route.c, ip6_fib.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835'), NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 grub2 GNU GRUB (aka GRUB2) through 2.12 has a heap-based buffer overflow in fs/hfs.c via crafted sblock data in an HFS filesystem. Уязвимость компонента fs/hfs.c конфигурационного файла Grub связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: check folio mapping after unlock in relocate_one_folio() When we call btrfs_read_folio() to bring a folio uptodate, we unlock the folio. The result of that is that a different thread can modify the mapping (like remove it with invalidate) before we call folio_lock(). This results in an invalid page and we need to try again. In particular, if we are relocating concurrently with aborting a transaction, this can result in a crash like the following: BUG: kernel NULL pointer dereference, address: 0000000000000000 PGD 0 P4D 0 Oops: 0000 [#1] SMP CPU: 76 PID: 1411631 Comm: kworker/u322:5 Workqueue: events_unbound btrfs_reclaim_bgs_work RIP: 0010:set_page_extent_mapped+0x20/0xb0 RSP: 0018:ffffc900516a7be8 EFLAGS: 00010246 RAX: ffffea009e851d08 RBX: ffffea009e0b1880 RCX: 0000000000000000 RDX: 0000000000000000 RSI: ffffc900516a7b90 RDI: ffffea009e0b1880 RBP: 0000000003573000 R08: 0000000000000001 R09: ffff88c07fd2f3f0 R10: 0000000000000000 R11: 0000194754b575be R12: 0000000003572000 R13: 0000000003572fff R14: 0000000000100cca R15: 0000000005582fff FS: 0000000000000000(0000) GS:ffff88c07fd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 000000407d00f002 CR4: 00000000007706f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? __die+0x78/0xc0 ? page_fault_oops+0x2a8/0x3a0 ? __switch_to+0x133/0x530 ? wq_worker_running+0xa/0x40 ? exc_page_fault+0x63/0x130 ? asm_exc_page_fault+0x22/0x30 ? set_page_extent_mapped+0x20/0xb0 relocate_file_extent_cluster+0x1a7/0x940 relocate_data_extent+0xaf/0x120 relocate_block_group+0x20f/0x480 btrfs_relocate_block_group+0x152/0x320 btrfs_relocate_chunk+0x3d/0x120 btrfs_reclaim_bgs_work+0x2ae/0x4e0 process_scheduled_works+0x184/0x370 worker_thread+0xc6/0x3e0 ? blk_add_timer+0xb0/0xb0 kthread+0xae/0xe0 ? flush_tlb_kernel_range+0x90/0x90 ret_from_fork+0x2f/0x40 ? flush_tlb_kernel_range+0x90/0x90 ret_from_fork_asm+0x11/0x20 </TASK> This occurs because cleanup_one_transaction() calls destroy_delalloc_inodes() which calls invalidate_inode_pages2() which takes the folio_lock before setting mapping to NULL. We fail to check this, and subsequently call set_extent_mapping(), which assumes that mapping != NULL (in fact it asserts that in debug mode) Note that the "fixes" patch here is not the one that introduced the race (the very first iteration of this code from 2009) but a more recent change that made this particular crash happen in practice. Уязвимость компонента relocation.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 raptor2 In Raptor RDF Syntax Library through 2.0.16, there is a heap-based buffer over-read when parsing triples with the nquads parser in raptor_ntriples_parse_term_internal(). Уязвимость функции raptor_ntriples_parse_term_internal() библиотеки RAPtor связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) - Удалить ПО raptor2, если оно не используется и не является зависимостью других пакетов - Запускайте приложения, использующие raptor2, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Обеспечьте тщательную проверку всех данных, обрабатываемых Raptor2, чтобы предотвратить атаки, связанные с некорректными или недоверенными данными, например, поддельными или вредоносными RDF-запросами. - Рассмотрите возможность изоляции процессов с Raptor2, используя контейнеры (например, Docker) или виртуализацию Astra Linux 1.8 raptor2 In Raptor RDF Syntax Library through 2.0.16, there is an integer underflow when normalizing a URI with the turtle parser in raptor_uri_normalize_path(). Уязвимость функции raptor_uri_normalize_path() библиотеки на Си RAPtor связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.3) - Удалить ПО raptor2, если оно не используется и не является зависимостью других пакетов - Запускайте приложения, использующие raptor2, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Обеспечьте тщательную проверку всех данных, обрабатываемых Raptor2, чтобы предотвратить атаки, связанные с некорректными или недоверенными данными, например, поддельными или вредоносными RDF-запросами. - Рассмотрите возможность изоляции процессов с Raptor2, используя контейнеры (например, Docker) или виртуализацию Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: vidtv: Fix a null-ptr-deref in vidtv_mux_stop_thread syzbot report a null-ptr-deref in vidtv_mux_stop_thread. [1] If dvb->mux is not initialized successfully by vidtv_mux_init() in the vidtv_start_streaming(), it will trigger null pointer dereference about mux in vidtv_mux_stop_thread(). Adjust the timing of streaming initialization and check it before stopping it. [1] KASAN: null-ptr-deref in range [0x0000000000000128-0x000000000000012f] CPU: 0 UID: 0 PID: 5842 Comm: syz-executor248 Not tainted 6.13.0-rc4-syzkaller-00012-g9b2ffa6148b1 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 RIP: 0010:vidtv_mux_stop_thread+0x26/0x80 drivers/media/test-drivers/vidtv/vidtv_mux.c:471 Code: 90 90 90 90 66 0f 1f 00 55 53 48 89 fb e8 82 2e c8 f9 48 8d bb 28 01 00 00 48 b8 00 00 00 00 00 fc ff df 48 89 fa 48 c1 ea 03 <0f> b6 04 02 84 c0 74 02 7e 3b 0f b6 ab 28 01 00 00 31 ff 89 ee e8 RSP: 0018:ffffc90003f2faa8 EFLAGS: 00010202 RAX: dffffc0000000000 RBX: 0000000000000000 RCX: ffffffff87cfb125 RDX: 0000000000000025 RSI: ffffffff87d120ce RDI: 0000000000000128 RBP: ffff888029b8d220 R08: 0000000000000005 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000003 R12: ffff888029b8d188 R13: ffffffff8f590aa0 R14: ffffc9000581c5c8 R15: ffff888029a17710 FS: 00007f7eef5156c0(0000) GS:ffff8880b8600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f7eef5e635c CR3: 0000000076ca6000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> vidtv_stop_streaming drivers/media/test-drivers/vidtv/vidtv_bridge.c:209 [inline] vidtv_stop_feed+0x151/0x250 drivers/media/test-drivers/vidtv/vidtv_bridge.c:252 dmx_section_feed_stop_filtering+0x90/0x160 drivers/media/dvb-core/dvb_demux.c:1000 dvb_dmxdev_feed_stop.isra.0+0x1ee/0x270 drivers/media/dvb-core/dmxdev.c:486 dvb_dmxdev_filter_stop+0x22a/0x3a0 drivers/media/dvb-core/dmxdev.c:559 dvb_dmxdev_filter_free drivers/media/dvb-core/dmxdev.c:840 [inline] dvb_demux_release+0x92/0x550 drivers/media/dvb-core/dmxdev.c:1246 __fput+0x3f8/0xb60 fs/file_table.c:450 task_work_run+0x14e/0x250 kernel/task_work.c:239 get_signal+0x1d3/0x2610 kernel/signal.c:2790 arch_do_signal_or_restart+0x90/0x7e0 arch/x86/kernel/signal.c:337 exit_to_user_mode_loop kernel/entry/common.c:111 [inline] exit_to_user_mode_prepare include/linux/entry-common.h:329 [inline] __syscall_exit_to_user_mode_work kernel/entry/common.c:207 [inline] syscall_exit_to_user_mode+0x150/0x2a0 kernel/entry/common.c:218 do_syscall_64+0xda/0x250 arch/x86/entry/common.c:89 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента vidtv_bridge.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: firmware: qcom: scm: smc: Handle missing SCM device Commit ca61d6836e6f ("firmware: qcom: scm: fix a NULL-pointer dereference") makes it explicit that qcom_scm_get_tzmem_pool() can return NULL, therefore its users should handle this. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm: adv7511: Fix use-after-free in adv7533_attach_dsi() The host_node pointer was assigned and freed in adv7533_parse_dt(), and later, adv7533_attach_dsi() uses the same. Fix this use-after-free issue by dropping of_node_put() in adv7533_parse_dt() and calling of_node_put() in error path of probe() and also in the remove(). Уязвимость компонентов drivers/gpu/drm/bridge/adv7511 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix slab-use-after-free due to dangling pointer dqi_priv When mounting ocfs2 and then remounting it as read-only, a slab-use-after-free occurs after the user uses a syscall to quota_getnextquota. Specifically, sb_dqinfo(sb, type)->dqi_priv is the dangling pointer. During the remounting process, the pointer dqi_priv is freed but is never set as null leaving it to be accessed. Additionally, the read-only option for remounting sets the DQUOT_SUSPENDED flag instead of setting the DQUOT_USAGE_ENABLED flags. Moreover, later in the process of getting the next quota, the function ocfs2_get_next_id is called and only checks the quota usage flags and not the quota suspended flags. To fix this, I set dqi_priv to null when it is freed after remounting with read-only and put a check for DQUOT_SUSPENDED in ocfs2_get_next_id. [akpm@linux-foundation.org: coding-style cleanups] Уязвимость компонентов fs/ocfs2 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: adc: at91: call input_free_device() on allocated iio_dev Current implementation of at91_ts_register() calls input_free_deivce() on st->ts_input, however, the err label can be reached before the allocated iio_dev is stored to st->ts_input. Thus call input_free_device() on input instead of st->ts_input. Уязвимость компонента drivers/iio/adc/at91_adc.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: adc: ti-ads8688: fix information leak in triggered buffer The 'buffer' local array is used to push data to user space from a triggered buffer, but it does not set values for inactive channels, as it only uses iio_for_each_active_channel() to assign new values. Initialize the array to zero before using it to avoid pushing uninitialized information to userspace. Уязвимость компонента ti-ads8688.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: adc: rockchip_saradc: fix information leak in triggered buffer The 'data' local struct is used to push data to user space from a triggered buffer, but it does not set values for inactive channels, as it only uses iio_for_each_active_channel() to assign new values. Initialize the struct to zero before using it to avoid pushing uninitialized information to userspace. Уязвимость компонента rockchip_saradc.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: imu: kmx61: fix information leak in triggered buffer The 'buffer' local array is used to push data to user space from a triggered buffer, but it does not set values for inactive channels, as it only uses iio_for_each_active_channel() to assign new values. Initialize the array to zero before using it to avoid pushing uninitialized information to userspace. Уязвимость компонента kmx61.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: light: vcnl4035: fix information leak in triggered buffer The 'buffer' local array is used to push data to userspace from a triggered buffer, but it does not set an initial value for the single data element, which is an u16 aligned to 8 bytes. That leaves at least 4 bytes uninitialized even after writing an integer value with regmap_read(). Initialize the array to zero before using it to avoid pushing uninitialized information to userspace. Уязвимость компонента drivers/iio/light/vcnl4035.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: dummy: iio_simply_dummy_buffer: fix information leak in triggered buffer The 'data' array is allocated via kmalloc() and it is used to push data to user space from a triggered buffer, but it does not set values for inactive channels, as it only uses iio_for_each_active_channel() to assign new values. Use kzalloc for the memory allocation to avoid pushing uninitialized information to userspace. Уязвимость компонента drivers/iio/dummy/iio_simple_dummy_buffer.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: pressure: zpa2326: fix information leak in triggered buffer The 'sample' local struct is used to push data to user space from a triggered buffer, but it has a hole between the temperature and the timestamp (u32 pressure, u16 temperature, GAP, u64 timestamp). This hole is never initialized. Initialize the struct to zero before using it to avoid pushing uninitialized information to userspace. Уязвимость компонента zpa2326.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_fs: Remove WARN_ON in functionfs_bind This commit addresses an issue related to below kernel panic where panic_on_warn is enabled. It is caused by the unnecessary use of WARN_ON in functionsfs_bind, which easily leads to the following scenarios. 1.adb_write in adbd 2. UDC write via configfs ================= ===================== ->usb_ffs_open_thread() ->UDC write ->open_functionfs() ->configfs_write_iter() ->adb_open() ->gadget_dev_desc_UDC_store() ->adb_write() ->usb_gadget_register_driver_owner ->driver_register() ->StartMonitor() ->bus_add_driver() ->adb_read() ->gadget_bind_driver() <times-out without BIND event> ->configfs_composite_bind() ->usb_add_function() ->open_functionfs() ->ffs_func_bind() ->adb_open() ->functionfs_bind() <ffs->state !=FFS_ACTIVE> The adb_open, adb_read, and adb_write operations are invoked from the daemon, but trying to bind the function is a process that is invoked by UDC write through configfs, which opens up the possibility of a race condition between the two paths. In this race scenario, the kernel panic occurs due to the WARN_ON from functionfs_bind when panic_on_warn is enabled. This commit fixes the kernel panic by removing the unnecessary WARN_ON. Kernel panic - not syncing: kernel: panic_on_warn set ... [ 14.542395] Call trace: [ 14.542464] ffs_func_bind+0x1c8/0x14a8 [ 14.542468] usb_add_function+0xcc/0x1f0 [ 14.542473] configfs_composite_bind+0x468/0x588 [ 14.542478] gadget_bind_driver+0x108/0x27c [ 14.542483] really_probe+0x190/0x374 [ 14.542488] __driver_probe_device+0xa0/0x12c [ 14.542492] driver_probe_device+0x3c/0x220 [ 14.542498] __driver_attach+0x11c/0x1fc [ 14.542502] bus_for_each_dev+0x104/0x160 [ 14.542506] driver_attach+0x24/0x34 [ 14.542510] bus_add_driver+0x154/0x270 [ 14.542514] driver_register+0x68/0x104 [ 14.542518] usb_gadget_register_driver_owner+0x48/0xf4 [ 14.542523] gadget_dev_desc_UDC_store+0xf8/0x144 [ 14.542526] configfs_write_iter+0xf0/0x138 Уязвимость компонента f_fs.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: misc: microchip: pci1xxxx: Resolve kernel panic during GPIO IRQ handling Resolve kernel panic caused by improper handling of IRQs while accessing GPIO values. This is done by replacing generic_handle_irq with handle_nested_irq. Уязвимость компонента mchp_pci1xxxx_gpio.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: topology: Keep the cpumask unchanged when printing cpumap During fuzz testing, the following warning was discovered: different return values (15 and 11) from vsnprintf("%*pbl ", ...) test:keyward is WARNING in kvasprintf WARNING: CPU: 55 PID: 1168477 at lib/kasprintf.c:30 kvasprintf+0x121/0x130 Call Trace: kvasprintf+0x121/0x130 kasprintf+0xa6/0xe0 bitmap_print_to_buf+0x89/0x100 core_siblings_list_read+0x7e/0xb0 kernfs_file_read_iter+0x15b/0x270 new_sync_read+0x153/0x260 vfs_read+0x215/0x290 ksys_read+0xb9/0x160 do_syscall_64+0x56/0x100 entry_SYSCALL_64_after_hwframe+0x78/0xe2 The call trace shows that kvasprintf() reported this warning during the printing of core_siblings_list. kvasprintf() has several steps: (1) First, calculate the length of the resulting formatted string. (2) Allocate a buffer based on the returned length. (3) Then, perform the actual string formatting. (4) Check whether the lengths of the formatted strings returned in steps (1) and (2) are consistent. If the core_cpumask is modified between steps (1) and (3), the lengths obtained in these two steps may not match. Indeed our test includes cpu hotplugging, which should modify core_cpumask while printing. To fix this issue, cache the cpumask into a temporary variable before calling cpumap_print_{list, cpumask}_to_buf(), to keep it unchanged during the printing process. Уязвимость компонента drivers/base/topology.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add check for granularity in dml ceil/floor helpers [Why] Wrapper functions for dcn_bw_ceil2() and dcn_bw_floor2() should check for granularity is non zero to avoid assert and divide-by-zero error in dcn_bw_ functions. [How] Add check for granularity 0. (cherry picked from commit f6e09701c3eb2ccb8cb0518e0b67f1c69742a4ec) Уязвимость компонента dml_inline_defs.h ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix a missing return value check bug In the smb2_send_interim_resp(), if ksmbd_alloc_work_struct() fails to allocate a node, it returns a NULL pointer to the in_work pointer. This can lead to an illegal memory write of in_work->response_buf when allocate_interim_rsp_buf() attempts to perform a kzalloc() on it. To address this issue, incorporating a check for the return value of ksmbd_alloc_work_struct() ensures that the function returns immediately upon allocation failure, thereby preventing the aforementioned illegal memory access. Уязвимость компонента ksmbd ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dm array: fix releasing a faulty array block twice in dm_array_cursor_end When dm_bm_read_lock() fails due to locking or checksum errors, it releases the faulty block implicitly while leaving an invalid output pointer behind. The caller of dm_bm_read_lock() should not operate on this invalid dm_block pointer, or it will lead to undefined result. For example, the dm_array_cursor incorrectly caches the invalid pointer on reading a faulty array block, causing a double release in dm_array_cursor_end(), then hitting the BUG_ON in dm-bufio cache_put(). Reproduce steps: 1. initialize a cache device dmsetup create cmeta --table "0 8192 linear /dev/sdc 0" dmsetup create cdata --table "0 65536 linear /dev/sdc 8192" dmsetup create corig --table "0 524288 linear /dev/sdc $262144" dd if=/dev/zero of=/dev/mapper/cmeta bs=4k count=1 dmsetup create cache --table "0 524288 cache /dev/mapper/cmeta \ /dev/mapper/cdata /dev/mapper/corig 128 2 metadata2 writethrough smq 0" 2. wipe the second array block offline dmsteup remove cache cmeta cdata corig mapping_root=$(dd if=/dev/sdc bs=1c count=8 skip=192 \ 2>/dev/null | hexdump -e '1/8 "%u\n"') ablock=$(dd if=/dev/sdc bs=1c count=8 skip=$((4096*mapping_root+2056)) \ 2>/dev/null | hexdump -e '1/8 "%u\n"') dd if=/dev/zero of=/dev/sdc bs=4k count=1 seek=$ablock 3. try reopen the cache device dmsetup create cmeta --table "0 8192 linear /dev/sdc 0" dmsetup create cdata --table "0 65536 linear /dev/sdc 8192" dmsetup create corig --table "0 524288 linear /dev/sdc $262144" dmsetup create cache --table "0 524288 cache /dev/mapper/cmeta \ /dev/mapper/cdata /dev/mapper/corig 128 2 metadata2 writethrough smq 0" Kernel logs: (snip) device-mapper: array: array_block_check failed: blocknr 0 != wanted 10 device-mapper: block manager: array validator check failed for block 10 device-mapper: array: get_ablock failed device-mapper: cache metadata: dm_array_cursor_next for mapping failed ------------[ cut here ]------------ kernel BUG at drivers/md/dm-bufio.c:638! Fix by setting the cached block pointer to NULL on errors. In addition to the reproducer described above, this fix can be verified using the "array_cursor/damaged" test in dm-unit: dm-unit run /pdata/array_cursor/damaged --kernel-dir <KERNEL_DIR> Уязвимость компонента drivers/md/persistent-data/dm-array.c ядра операционной системы Linux связана с операциями с ресурсом после истечения срока его действия или освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-672')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: riscv: Fix sleeping in invalid context in die() die() can be called in exception handler, and therefore cannot sleep. However, die() takes spinlock_t which can sleep with PREEMPT_RT enabled. That causes the following warning: BUG: sleeping function called from invalid context at kernel/locking/spinlock_rt.c:48 in_atomic(): 1, irqs_disabled(): 1, non_block: 0, pid: 285, name: mutex preempt_count: 110001, expected: 0 RCU nest depth: 0, expected: 0 CPU: 0 UID: 0 PID: 285 Comm: mutex Not tainted 6.12.0-rc7-00022-ge19049cf7d56-dirty #234 Hardware name: riscv-virtio,qemu (DT) Call Trace: dump_backtrace+0x1c/0x24 show_stack+0x2c/0x38 dump_stack_lvl+0x5a/0x72 dump_stack+0x14/0x1c __might_resched+0x130/0x13a rt_spin_lock+0x2a/0x5c die+0x24/0x112 do_trap_insn_illegal+0xa0/0xea _new_vmalloc_restore_context_a0+0xcc/0xd8 Oops - illegal instruction [#1] Switch to use raw_spinlock_t, which does not sleep even with PREEMPT_RT enabled. Уязвимость функции die() в модуле arch/riscv/kernel/traps.c ядра операционной системы Linux на платформе riscv связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: exfat: fix the infinite loop in exfat_readdir() If the file system is corrupted so that a cluster is linked to itself in the cluster chain, and there is an unused directory entry in the cluster, 'dentry' will not be incremented, causing condition 'dentry < max_dentries' unable to prevent an infinite loop. This infinite loop causes s_lock not to be released, and other tasks will hang, such as exfat_sync_fs(). This commit stops traversing the cluster chain when there is unused directory entry in the cluster to avoid this infinite loop. Уязвимость функции exfat_readdir() ядра операционной системы Linux связана с бесконечным циклом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: riscv: mm: Fix the out of bound issue of vmemmap address In sparse vmemmap model, the virtual address of vmemmap is calculated as: ((struct page *)VMEMMAP_START - (phys_ram_base >> PAGE_SHIFT)). And the struct page's va can be calculated with an offset: (vmemmap + (pfn)). However, when initializing struct pages, kernel actually starts from the first page from the same section that phys_ram_base belongs to. If the first page's physical address is not (phys_ram_base >> PAGE_SHIFT), then we get an va below VMEMMAP_START when calculating va for it's struct page. For example, if phys_ram_base starts from 0x82000000 with pfn 0x82000, the first page in the same section is actually pfn 0x80000. During init_unavailable_range(), we will initialize struct page for pfn 0x80000 with virtual address ((struct page *)VMEMMAP_START - 0x2000), which is below VMEMMAP_START as well as PCI_IO_END. This commit fixes this bug by introducing a new variable 'vmemmap_start_pfn' which is aligned with memory section size and using it to calculate vmemmap address instead of phys_ram_base. Уязвимость ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mac802154: check local interfaces before deleting sdata list syzkaller reported a corrupted list in ieee802154_if_remove. [1] Remove an IEEE 802.15.4 network interface after unregister an IEEE 802.15.4 hardware device from the system. CPU0 CPU1 ==== ==== genl_family_rcv_msg_doit ieee802154_unregister_hw ieee802154_del_iface ieee802154_remove_interfaces rdev_del_virtual_intf_deprecated list_del(&sdata->list) ieee802154_if_remove list_del_rcu The net device has been unregistered, since the rcu grace period, unregistration must be run before ieee802154_if_remove. To avoid this issue, add a check for local->interfaces before deleting sdata list. [1] kernel BUG at lib/list_debug.c:58! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN PTI CPU: 0 UID: 0 PID: 6277 Comm: syz-executor157 Not tainted 6.12.0-rc6-syzkaller-00005-g557329bcecc2 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 RIP: 0010:__list_del_entry_valid_or_report+0xf4/0x140 lib/list_debug.c:56 Code: e8 a1 7e 00 07 90 0f 0b 48 c7 c7 e0 37 60 8c 4c 89 fe e8 8f 7e 00 07 90 0f 0b 48 c7 c7 40 38 60 8c 4c 89 fe e8 7d 7e 00 07 90 <0f> 0b 48 c7 c7 a0 38 60 8c 4c 89 fe e8 6b 7e 00 07 90 0f 0b 48 c7 RSP: 0018:ffffc9000490f3d0 EFLAGS: 00010246 RAX: 000000000000004e RBX: dead000000000122 RCX: d211eee56bb28d00 RDX: 0000000000000000 RSI: 0000000080000000 RDI: 0000000000000000 RBP: ffff88805b278dd8 R08: ffffffff8174a12c R09: 1ffffffff2852f0d R10: dffffc0000000000 R11: fffffbfff2852f0e R12: dffffc0000000000 R13: dffffc0000000000 R14: dead000000000100 R15: ffff88805b278cc0 FS: 0000555572f94380(0000) GS:ffff8880b8600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000056262e4a3000 CR3: 0000000078496000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> __list_del_entry_valid include/linux/list.h:124 [inline] __list_del_entry include/linux/list.h:215 [inline] list_del_rcu include/linux/rculist.h:157 [inline] ieee802154_if_remove+0x86/0x1e0 net/mac802154/iface.c:687 rdev_del_virtual_intf_deprecated net/ieee802154/rdev-ops.h:24 [inline] ieee802154_del_iface+0x2c0/0x5c0 net/ieee802154/nl-phy.c:323 genl_family_rcv_msg_doit net/netlink/genetlink.c:1115 [inline] genl_family_rcv_msg net/netlink/genetlink.c:1195 [inline] genl_rcv_msg+0xb14/0xec0 net/netlink/genetlink.c:1210 netlink_rcv_skb+0x1e3/0x430 net/netlink/af_netlink.c:2551 genl_rcv+0x28/0x40 net/netlink/genetlink.c:1219 netlink_unicast_kernel net/netlink/af_netlink.c:1331 [inline] netlink_unicast+0x7f6/0x990 net/netlink/af_netlink.c:1357 netlink_sendmsg+0x8e4/0xcb0 net/netlink/af_netlink.c:1901 sock_sendmsg_nosec net/socket.c:729 [inline] __sock_sendmsg+0x221/0x270 net/socket.c:744 ____sys_sendmsg+0x52a/0x7e0 net/socket.c:2607 ___sys_sendmsg net/socket.c:2661 [inline] __sys_sendmsg+0x292/0x380 net/socket.c:2690 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции ieee802154_if_remove() модуля net/mac802154/iface.c ядра операционных систем Linux связана с некорректным отображением списка сетевых устройств в результате недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: irqchip/gic-v3-its: Don't enable interrupts in its_irq_set_vcpu_affinity() The following call-chain leads to enabling interrupts in a nested interrupt disabled section: irq_set_vcpu_affinity() irq_get_desc_lock() raw_spin_lock_irqsave() <--- Disable interrupts its_irq_set_vcpu_affinity() guard(raw_spinlock_irq) <--- Enables interrupts when leaving the guard() irq_put_desc_unlock() <--- Warns because interrupts are enabled This was broken in commit b97e8a2f7130, which replaced the original raw_spin_[un]lock() pair with guard(raw_spinlock_irq). Fix the issue by using guard(raw_spinlock). [ tglx: Massaged change log ] Уязвимость ядра операционной системы Linux связана с ошибками синхронизации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Initialize denominator defaults to 1 [WHAT & HOW] Variables, used as denominators and maybe not assigned to other values, should be initialized to non-zero to avoid DIVIDE_BY_ZERO, as reported by Coverity. (cherry picked from commit e2c4c6c10542ccfe4a0830bb6c9fd5b177b7bbb7) Уязвимость функции CalculateBytePerPixelAndBlockSizes() модуля drivers/gpu/drm/amd/display/dc/dml2/dml21/src/dml2_core/dml2_core_dcn4_calcs.c - драйвера поддержки инфраструктуры прямого рендеринга (DRI) видеокарт AMD ядра операционной системы Linux связана с недостаточной проверкой входных данных при делении на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hrtimers: Handle CPU state correctly on hotplug Consider a scenario where a CPU transitions from CPUHP_ONLINE to halfway through a CPU hotunplug down to CPUHP_HRTIMERS_PREPARE, and then back to CPUHP_ONLINE: Since hrtimers_prepare_cpu() does not run, cpu_base.hres_active remains set to 1 throughout. However, during a CPU unplug operation, the tick and the clockevents are shut down at CPUHP_AP_TICK_DYING. On return to the online state, for instance CFS incorrectly assumes that the hrtick is already active, and the chance of the clockevent device to transition to oneshot mode is also lost forever for the CPU, unless it goes back to a lower state than CPUHP_HRTIMERS_PREPARE once. This round-trip reveals another issue; cpu_base.online is not set to 1 after the transition, which appears as a WARN_ON_ONCE in enqueue_hrtimer(). Aside of that, the bulk of the per CPU state is not reset either, which means there are dangling pointers in the worst case. Address this by adding a corresponding startup() callback, which resets the stale per CPU state and sets the online flag. [ tglx: Make the new callback unconditionally available, remove the online modification in the prepare() callback and clear the remaining state in the starting callback instead of the prepare callback ] Уязвимость компонентов hrtimer.h, cpu.c, hrtimer.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Revert "libfs: fix infinite directory reads for offset dir" The current directory offset allocator (based on mtree_alloc_cyclic) stores the next offset value to return in octx->next_offset. This mechanism typically returns values that increase monotonically over time. Eventually, though, the newly allocated offset value wraps back to a low number (say, 2) which is smaller than other already- allocated offset values. Yu Kuai <yukuai3@huawei.com> reports that, after commit 64a7ce76fb90 ("libfs: fix infinite directory reads for offset dir"), if a directory's offset allocator wraps, existing entries are no longer visible via readdir/getdents because offset_readdir() stops listing entries once an entry's offset is larger than octx->next_offset. These entries vanish persistently -- they can be looked up, but will never again appear in readdir(3) output. The reason for this is that the commit treats directory offsets as monotonically increasing integer values rather than opaque cookies, and introduces this comparison: if (dentry2offset(dentry) >= last_index) { On 64-bit platforms, the directory offset value upper bound is 2^63 - 1. Directory offsets will monotonically increase for millions of years without wrapping. On 32-bit platforms, however, LONG_MAX is 2^31 - 1. The allocator can wrap after only a few weeks (at worst). Revert commit 64a7ce76fb90 ("libfs: fix infinite directory reads for offset dir") to prepare for a fix that can work properly on 32-bit systems and might apply to recent LTS kernels where shmem employs the simple_offset mechanism. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rtc: tps6594: Fix integer overflow on 32bit systems The problem is this multiply in tps6594_rtc_set_offset() tmp = offset * TICKS_PER_HOUR; The "tmp" variable is an s64 but "offset" is a long in the (-277774)-277774 range. On 32bit systems a long can hold numbers up to approximately two billion. The number of TICKS_PER_HOUR is really large, (32768 * 3600) or roughly a hundred million. When you start multiplying by a hundred million it doesn't take long to overflow the two billion mark. Probably the safest way to fix this is to change the type of TICKS_PER_HOUR to long long because it's such a large number. Уязвимость компонента rtc-tps6594.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 ark libarchiveplugin.cpp in KDE ark before 24.12.0 can extract to an absolute path from an archive. Уязвимость компонента libarchiveplugin.cpp архиватора Ark связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-36')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:L', score=5.0) python-markdown: - Использовать ПО python-markdown только на низком или отдельно выделенном уровне целостности - При использовании ПО python-markdown выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-markdown только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rdma/cxgb4: Prevent potential integer overflow on 32bit The "gl->tot_len" variable is controlled by the user. It comes from process_responses(). On 32bit systems, the "gl->tot_len + sizeof(struct cpl_pass_accept_req) + sizeof(struct rss_header)" addition could have an integer wrapping bug. Use size_add() to prevent this. Уязвимость компонента device.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: udp: Deal with race between UDP socket address change and rehash If a UDP socket changes its local address while it's receiving datagrams, as a result of connect(), there is a period during which a lookup operation might fail to find it, after the address is changed but before the secondary hash (port and address) and the four-tuple hash (local and remote ports and addresses) are updated. Secondary hash chains were introduced by commit 30fff9231fad ("udp: bind() optimisation") and, as a result, a rehash operation became needed to make a bound socket reachable again after a connect(). This operation was introduced by commit 719f835853a9 ("udp: add rehash on connect()") which isn't however a complete fix: the socket will be found once the rehashing completes, but not while it's pending. This is noticeable with a socat(1) server in UDP4-LISTEN mode, and a client sending datagrams to it. After the server receives the first datagram (cf. _xioopen_ipdgram_listen()), it issues a connect() to the address of the sender, in order to set up a directed flow. Now, if the client, running on a different CPU thread, happens to send a (subsequent) datagram while the server's socket changes its address, but is not rehashed yet, this will result in a failed lookup and a port unreachable error delivered to the client, as apparent from the following reproducer: LEN=$(($(cat /proc/sys/net/core/wmem_default) / 4)) dd if=/dev/urandom bs=1 count=${LEN} of=tmp.in while :; do taskset -c 1 socat UDP4-LISTEN:1337,null-eof OPEN:tmp.out,create,trunc & sleep 0.1 || sleep 1 taskset -c 2 socat OPEN:tmp.in UDP4:localhost:1337,shut-null wait done where the client will eventually get ECONNREFUSED on a write() (typically the second or third one of a given iteration): 2024/11/13 21:28:23 socat[46901] E write(6, 0x556db2e3c000, 8192): Connection refused This issue was first observed as a seldom failure in Podman's tests checking UDP functionality while using pasta(1) to connect the container's network namespace, which leads us to a reproducer with the lookup error resulting in an ICMP packet on a tap device: LOCAL_ADDR="$(ip -j -4 addr show|jq -rM '.[] | .addr_info[0] | select(.scope == "global").local')" while :; do ./pasta --config-net -p pasta.pcap -u 1337 socat UDP4-LISTEN:1337,null-eof OPEN:tmp.out,create,trunc & sleep 0.2 || sleep 1 socat OPEN:tmp.in UDP4:${LOCAL_ADDR}:1337,shut-null wait cmp tmp.in tmp.out done Once this fails: tmp.in tmp.out differ: char 8193, line 29 we can finally have a look at what's going on: $ tshark -r pasta.pcap 1 0.000000 :: ? ff02::16 ICMPv6 110 Multicast Listener Report Message v2 2 0.168690 88.198.0.161 ? 88.198.0.164 UDP 8234 60260 ? 1337 Len=8192 3 0.168767 88.198.0.161 ? 88.198.0.164 UDP 8234 60260 ? 1337 Len=8192 4 0.168806 88.198.0.161 ? 88.198.0.164 UDP 8234 60260 ? 1337 Len=8192 5 0.168827 c6:47:05:8d:dc:04 ? Broadcast ARP 42 Who has 88.198.0.161? Tell 88.198.0.164 6 0.168851 9a:55:9a:55:9a:55 ? c6:47:05:8d:dc:04 ARP 42 88.198.0.161 is at 9a:55:9a:55:9a:55 7 0.168875 88.198.0.161 ? 88.198.0.164 UDP 8234 60260 ? 1337 Len=8192 8 0.168896 88.198.0.164 ? 88.198.0.161 ICMP 590 Destination unreachable (Port unreachable) 9 0.168926 88.198.0.161 ? 88.198.0.164 UDP 8234 60260 ? 1337 Len=8192 10 0.168959 88.198.0.161 ? 88.198.0.164 UDP 8234 60260 ? 1337 Len=8192 11 0.168989 88.198.0.161 ? 88.198.0.164 UDP 4138 60260 ? 1337 Len=4096 12 0.169010 88.198.0.161 ? 88.198.0.164 UDP 42 60260 ? 1337 Len=0 On the third datagram received, the network namespace of the container initiates an ARP lookup to deliver the ICMP message. In another variant of this reproducer, starting the client with: strace -f pasta --config-net -u 1337 socat UDP4-LISTEN:1337,null-eof OPEN:tmp.out,create,tru ---truncated--- [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: do proper folio cleanup when run_delalloc_nocow() failed [BUG] With CONFIG_DEBUG_VM set, test case generic/476 has some chance to crash with the following VM_BUG_ON_FOLIO(): BTRFS error (device dm-3): cow_file_range failed, start 1146880 end 1253375 len 106496 ret -28 BTRFS error (device dm-3): run_delalloc_nocow failed, start 1146880 end 1253375 len 106496 ret -28 page: refcount:4 mapcount:0 mapping:00000000592787cc index:0x12 pfn:0x10664 aops:btrfs_aops [btrfs] ino:101 dentry name(?):"f1774" flags: 0x2fffff80004028(uptodate|lru|private|node=0|zone=2|lastcpupid=0xfffff) page dumped because: VM_BUG_ON_FOLIO(!folio_test_locked(folio)) ------------[ cut here ]------------ kernel BUG at mm/page-writeback.c:2992! Internal error: Oops - BUG: 00000000f2000800 [#1] SMP CPU: 2 UID: 0 PID: 3943513 Comm: kworker/u24:15 Tainted: G OE 6.12.0-rc7-custom+ #87 Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: QEMU KVM Virtual Machine, BIOS unknown 2/2/2022 Workqueue: events_unbound btrfs_async_reclaim_data_space [btrfs] pc : folio_clear_dirty_for_io+0x128/0x258 lr : folio_clear_dirty_for_io+0x128/0x258 Call trace: folio_clear_dirty_for_io+0x128/0x258 btrfs_folio_clamp_clear_dirty+0x80/0xd0 [btrfs] __process_folios_contig+0x154/0x268 [btrfs] extent_clear_unlock_delalloc+0x5c/0x80 [btrfs] run_delalloc_nocow+0x5f8/0x760 [btrfs] btrfs_run_delalloc_range+0xa8/0x220 [btrfs] writepage_delalloc+0x230/0x4c8 [btrfs] extent_writepage+0xb8/0x358 [btrfs] extent_write_cache_pages+0x21c/0x4e8 [btrfs] btrfs_writepages+0x94/0x150 [btrfs] do_writepages+0x74/0x190 filemap_fdatawrite_wbc+0x88/0xc8 start_delalloc_inodes+0x178/0x3a8 [btrfs] btrfs_start_delalloc_roots+0x174/0x280 [btrfs] shrink_delalloc+0x114/0x280 [btrfs] flush_space+0x250/0x2f8 [btrfs] btrfs_async_reclaim_data_space+0x180/0x228 [btrfs] process_one_work+0x164/0x408 worker_thread+0x25c/0x388 kthread+0x100/0x118 ret_from_fork+0x10/0x20 Code: 910a8021 a90363f7 a9046bf9 94012379 (d4210000) ---[ end trace 0000000000000000 ]--- [CAUSE] The first two lines of extra debug messages show the problem is caused by the error handling of run_delalloc_nocow(). E.g. we have the following dirtied range (4K blocksize 4K page size): 0 16K 32K |//////////////////////////////////////| | Pre-allocated | And the range [0, 16K) has a preallocated extent. - Enter run_delalloc_nocow() for range [0, 16K) Which found range [0, 16K) is preallocated, can do the proper NOCOW write. - Enter fallback_to_fow() for range [16K, 32K) Since the range [16K, 32K) is not backed by preallocated extent, we have to go COW. - cow_file_range() failed for range [16K, 32K) So cow_file_range() will do the clean up by clearing folio dirty, unlock the folios. Now the folios in range [16K, 32K) is unlocked. - Enter extent_clear_unlock_delalloc() from run_delalloc_nocow() Which is called with PAGE_START_WRITEBACK to start page writeback. But folios can only be marked writeback when it's properly locked, thus this triggered the VM_BUG_ON_FOLIO(). Furthermore there is another hidden but common bug that run_delalloc_nocow() is not clearing the folio dirty flags in its error handling path. This is the common bug shared between run_delalloc_nocow() and cow_file_range(). [FIX] - Clear folio dirty for range [@start, @cur_offset) Introduce a helper, cleanup_dirty_folios(), which will find and lock the folio in the range, clear the dirty flag and start/end the writeback, with the extra handling for the @locked_folio. - Introduce a helper to clear folio dirty, start and end writeback - Introduce a helper to record the last failed COW range end This is to trace which range we should skip, to avoid double unlocking. - Skip the failed COW range for the e ---truncated--- [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: memcg: fix soft lockup in the OOM process A soft lockup issue was found in the product with about 56,000 tasks were in the OOM cgroup, it was traversing them when the soft lockup was triggered. watchdog: BUG: soft lockup - CPU#2 stuck for 23s! [VM Thread:1503066] CPU: 2 PID: 1503066 Comm: VM Thread Kdump: loaded Tainted: G Hardware name: Huawei Cloud OpenStack Nova, BIOS RIP: 0010:console_unlock+0x343/0x540 RSP: 0000:ffffb751447db9a0 EFLAGS: 00000247 ORIG_RAX: ffffffffffffff13 RAX: 0000000000000001 RBX: 0000000000000000 RCX: 00000000ffffffff RDX: 0000000000000000 RSI: 0000000000000004 RDI: 0000000000000247 RBP: ffffffffafc71f90 R08: 0000000000000000 R09: 0000000000000040 R10: 0000000000000080 R11: 0000000000000000 R12: ffffffffafc74bd0 R13: ffffffffaf60a220 R14: 0000000000000247 R15: 0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f2fe6ad91f0 CR3: 00000004b2076003 CR4: 0000000000360ee0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: vprintk_emit+0x193/0x280 printk+0x52/0x6e dump_task+0x114/0x130 mem_cgroup_scan_tasks+0x76/0x100 dump_header+0x1fe/0x210 oom_kill_process+0xd1/0x100 out_of_memory+0x125/0x570 mem_cgroup_out_of_memory+0xb5/0xd0 try_charge+0x720/0x770 mem_cgroup_try_charge+0x86/0x180 mem_cgroup_try_charge_delay+0x1c/0x40 do_anonymous_page+0xb5/0x390 handle_mm_fault+0xc4/0x1f0 This is because thousands of processes are in the OOM cgroup, it takes a long time to traverse all of them. As a result, this lead to soft lockup in the OOM process. To fix this issue, call 'cond_resched' in the 'mem_cgroup_scan_tasks' function per 1000 iterations. For global OOM, call 'touch_softlockup_watchdog' per 1000 iterations to avoid this issue. Уязвимость компонента memcg ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: imx-jpeg: Fix potential error pointer dereference in detach_pm() The proble is on the first line: if (jpeg->pd_dev[i] && !pm_runtime_suspended(jpeg->pd_dev[i])) If jpeg->pd_dev[i] is an error pointer, then passing it to pm_runtime_suspended() will lead to an Oops. The other conditions check for both error pointers and NULL, but it would be more clear to use the IS_ERR_OR_NULL() check for that. Уязвимость компонента mxc-jpeg.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pps: Fix a use-after-free On a board running ntpd and gpsd, I'm seeing a consistent use-after-free in sys_exit() from gpsd when rebooting: pps pps1: removed ------------[ cut here ]------------ kobject: '(null)' (00000000db4bec24): is not initialized, yet kobject_put() is being called. WARNING: CPU: 2 PID: 440 at lib/kobject.c:734 kobject_put+0x120/0x150 CPU: 2 UID: 299 PID: 440 Comm: gpsd Not tainted 6.11.0-rc6-00308-gb31c44928842 #1 Hardware name: Raspberry Pi 4 Model B Rev 1.1 (DT) pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : kobject_put+0x120/0x150 lr : kobject_put+0x120/0x150 sp : ffffffc0803d3ae0 x29: ffffffc0803d3ae0 x28: ffffff8042dc9738 x27: 0000000000000001 x26: 0000000000000000 x25: ffffff8042dc9040 x24: ffffff8042dc9440 x23: ffffff80402a4620 x22: ffffff8042ef4bd0 x21: ffffff80405cb600 x20: 000000000008001b x19: ffffff8040b3b6e0 x18: 0000000000000000 x17: 0000000000000000 x16: 0000000000000000 x15: 696e6920746f6e20 x14: 7369203a29343263 x13: 205d303434542020 x12: 0000000000000000 x11: 0000000000000000 x10: 0000000000000000 x9 : 0000000000000000 x8 : 0000000000000000 x7 : 0000000000000000 x6 : 0000000000000000 x5 : 0000000000000000 x4 : 0000000000000000 x3 : 0000000000000000 x2 : 0000000000000000 x1 : 0000000000000000 x0 : 0000000000000000 Call trace: kobject_put+0x120/0x150 cdev_put+0x20/0x3c __fput+0x2c4/0x2d8 ____fput+0x1c/0x38 task_work_run+0x70/0xfc do_exit+0x2a0/0x924 do_group_exit+0x34/0x90 get_signal+0x7fc/0x8c0 do_signal+0x128/0x13b4 do_notify_resume+0xdc/0x160 el0_svc+0xd4/0xf8 el0t_64_sync_handler+0x140/0x14c el0t_64_sync+0x190/0x194 ---[ end trace 0000000000000000 ]--- ...followed by more symptoms of corruption, with similar stacks: refcount_t: underflow; use-after-free. kernel BUG at lib/list_debug.c:62! Kernel panic - not syncing: Oops - BUG: Fatal exception This happens because pps_device_destruct() frees the pps_device with the embedded cdev immediately after calling cdev_del(), but, as the comment above cdev_del() notes, fops for previously opened cdevs are still callable even after cdev_del() returns. I think this bug has always been there: I can't explain why it suddenly started happening every time I reboot this particular board. In commit d953e0e837e6 ("pps: Fix a use-after free bug when unregistering a source."), George Spelvin suggested removing the embedded cdev. That seems like the simplest way to fix this, so I've implemented his suggestion, using __register_chrdev() with pps_idr becoming the source of truth for which minor corresponds to which device. But now that pps_idr defines userspace visibility instead of cdev_add(), we need to be sure the pps->dev refcount can't reach zero while userspace can still find it again. So, the idr_remove() call moves to pps_unregister_cdev(), and pps_idr now holds a reference to pps->dev. pps_core: source serial1 got cdev (251:1) <...> pps pps1: removed pps_core: unregistering pps1 pps_core: deallocating pps1 Уязвимость компонента pps ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: uvcvideo: Fix double free in error path If the uvc_status_init() function fails to allocate the int_urb, it will free the dev->status pointer but doesn't reset the pointer to NULL. This results in the kfree() call in uvc_status_cleanup() trying to double-free the memory. Fix it by resetting the dev->status pointer to NULL after freeing it. Reviewed by: Ricardo Ribalda <ribalda@chromium.org> Уязвимость компонента uvc_status.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: xhci: Fix NULL pointer dereference on certain command aborts If a command is queued to the final usable TRB of a ring segment, the enqueue pointer is advanced to the subsequent link TRB and no further. If the command is later aborted, when the abort completion is handled the dequeue pointer is advanced to the first TRB of the next segment. If no further commands are queued, xhci_handle_stopped_cmd_ring() sees the ring pointers unequal and assumes that there is a pending command, so it calls xhci_mod_cmd_timer() which crashes if cur_cmd was NULL. Don't attempt timer setup if cur_cmd is NULL. The subsequent doorbell ring likely is unnecessary too, but it's harmless. Leave it alone. This is probably Bug 219532, but no confirmation has been received. The issue has been independently reproduced and confirmed fixed using a USB MCU programmed to NAK the Status stage of SET_ADDRESS forever. Everything continued working normally after several prevented crashes. Уязвимость компонента xhci-ring.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: state: fix out-of-bounds read during lookup lookup and resize can run in parallel. The xfrm_state_hash_generation seqlock ensures a retry, but the hash functions can observe a hmask value that is too large for the new hlist array. rehash does: rcu_assign_pointer(net->xfrm.state_bydst, ndst) [..] net->xfrm.state_hmask = nhashmask; While state lookup does: h = xfrm_dst_hash(net, daddr, saddr, tmpl->reqid, encap_family); hlist_for_each_entry_rcu(x, net->xfrm.state_bydst + h, bydst) { This is only safe in case the update to state_bydst is larger than net->xfrm.xfrm_state_hmask (or if the lookup function gets serialized via state spinlock again). Fix this by prefetching state_hmask and the associated pointers. The xfrm_state_hash_generation seqlock retry will ensure that the pointer and the hmask will be consistent. The existing helpers, like xfrm_dst_hash(), are now unsafe for RCU side, add lockdep assertions to document that they are only safe for insert side. xfrm_state_lookup_byaddr() uses the spinlock rather than RCU. AFAICS this is an oversight from back when state lookup was converted to RCU, this lock should be replaced with RCU in a future patch. Уязвимость ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i3c: dw: Fix use-after-free in dw_i3c_master driver due to race condition In dw_i3c_common_probe, &master->hj_work is bound with dw_i3c_hj_work. And dw_i3c_master_irq_handler can call dw_i3c_master_irq_handle_ibis function to start the work. If we remove the module which will call dw_i3c_common_remove to make cleanup, it will free master->base through i3c_master_unregister while the work mentioned above will be used. The sequence of operations that may lead to a UAF bug is as follows: CPU0 CPU1 | dw_i3c_hj_work dw_i3c_common_remove | i3c_master_unregister(&master->base) | device_unregister(&master->dev) | device_release | //free master->base | | i3c_master_do_daa(&master->base) | //use master->base Fix it by ensuring that the work is canceled before proceeding with the cleanup in dw_i3c_common_remove. Уязвимость компонента drivers/i3c/master/dw-i3c-master.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: firmware: qcom: scm: Cleanup global '__scm' on probe failures If SCM driver fails the probe, it should not leave global '__scm' variable assigned, because external users of this driver will assume the probe finished successfully. For example TZMEM parts ('__scm->mempool') are initialized later in the probe, but users of it (__scm_smc_call()) rely on the '__scm' variable. This fixes theoretical NULL pointer exception, triggered via introducing probe deferral in SCM driver with call trace: qcom_tzmem_alloc+0x70/0x1ac (P) qcom_tzmem_alloc+0x64/0x1ac (L) qcom_scm_assign_mem+0x78/0x194 qcom_rmtfs_mem_probe+0x2d4/0x38c platform_probe+0x68/0xc8 Уязвимость компонента drivers/firmware/qcom/qcom_scm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: core: Fix assumption that Resolution Multipliers must be in Logical Collections A report in 2019 by the syzbot fuzzer was found to be connected to two errors in the HID core associated with Resolution Multipliers. One of the errors was fixed by commit ea427a222d8b ("HID: core: Fix deadloop in hid_apply_multiplier."), but the other has not been fixed. This error arises because hid_apply_multipler() assumes that every Resolution Multiplier control is contained in a Logical Collection, i.e., there's no way the routine can ever set multiplier_collection to NULL. This is in spite of the fact that the function starts with a big comment saying: * "The Resolution Multiplier control must be contained in the same * Logical Collection as the control(s) to which it is to be applied. ... * If no Logical Collection is * defined, the Resolution Multiplier is associated with all * controls in the report." * HID Usage Table, v1.12, Section 4.3.1, p30 * * Thus, search from the current collection upwards until we find a * logical collection... The comment and the code overlook the possibility that none of the collections found may be a Logical Collection. The fix is to set the multiplier_collection pointer to NULL if the collection found isn't a Logical Collection. Уязвимость компонента drivers/hid/hid-core.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btrtl: check for NULL in btrtl_setup_realtek() If insert an USB dongle which chip is not maintained in ic_id_table, it will hit the NULL point accessed. Add a null point check to avoid the Kernel Oops. Уязвимость функции btrtl_setup_realtek() компонента btrtl ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btbcm: Fix NULL deref in btbcm_get_board_name() devm_kstrdup() can return a NULL pointer on failure,but this returned value in btbcm_get_board_name() is not checked. Add NULL check in btbcm_get_board_name(), to handle kernel NULL pointer dereference error. Уязвимость функции btbcm_get_board_name() компонента btbcm ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: mt7925: fix NULL deref check in mt7925_change_vif_links In mt7925_change_vif_links() devm_kzalloc() may return NULL but this returned value is not checked. Уязвимость функции mt7925_change_vif_links() компонента mediatek/mt76/mt7925/main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: mt7925: fix off by one in mt7925_load_clc() This comparison should be >= instead of > to prevent an out of bounds read and write. Уязвимость функции mt7925_load_clc() ядра операционной системы Linux связана с ошибкой единичного смещения. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-193'), NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: hid-thrustmaster: Fix warning in thrustmaster_probe by adding endpoint check syzbot has found a type mismatch between a USB pipe and the transfer endpoint, which is triggered by the hid-thrustmaster driver[1]. There is a number of similar, already fixed issues [2]. In this case as in others, implementing check for endpoint type fixes the issue. [1] https://syzkaller.appspot.com/bug?extid=040e8b3db6a96908d470 [2] https://syzkaller.appspot.com/bug?extid=348331f63b034f89b622 Уязвимость компонента drivers/hid/hid-thrustmaster.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ptr_ring: do not block hard interrupts in ptr_ring_resize_multiple() Jakub added a lockdep_assert_no_hardirq() check in __page_pool_put_page() to increase test coverage. syzbot found a splat caused by hard irq blocking in ptr_ring_resize_multiple() [1] As current users of ptr_ring_resize_multiple() do not require hard irqs being masked, replace it to only block BH. Rename helpers to better reflect they are safe against BH only. - ptr_ring_resize_multiple() to ptr_ring_resize_multiple_bh() - skb_array_resize_multiple() to skb_array_resize_multiple_bh() [1] WARNING: CPU: 1 PID: 9150 at net/core/page_pool.c:709 __page_pool_put_page net/core/page_pool.c:709 [inline] WARNING: CPU: 1 PID: 9150 at net/core/page_pool.c:709 page_pool_put_unrefed_netmem+0x157/0xa40 net/core/page_pool.c:780 Modules linked in: CPU: 1 UID: 0 PID: 9150 Comm: syz.1.1052 Not tainted 6.11.0-rc3-syzkaller-00202-gf8669d7b5f5d #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/06/2024 RIP: 0010:__page_pool_put_page net/core/page_pool.c:709 [inline] RIP: 0010:page_pool_put_unrefed_netmem+0x157/0xa40 net/core/page_pool.c:780 Code: 74 0e e8 7c aa fb f7 eb 43 e8 75 aa fb f7 eb 3c 65 8b 1d 38 a8 6a 76 31 ff 89 de e8 a3 ae fb f7 85 db 74 0b e8 5a aa fb f7 90 <0f> 0b 90 eb 1d 65 8b 1d 15 a8 6a 76 31 ff 89 de e8 84 ae fb f7 85 RSP: 0018:ffffc9000bda6b58 EFLAGS: 00010083 RAX: ffffffff8997e523 RBX: 0000000000000000 RCX: 0000000000040000 RDX: ffffc9000fbd0000 RSI: 0000000000001842 RDI: 0000000000001843 RBP: 0000000000000000 R08: ffffffff8997df2c R09: 1ffffd40003a000d R10: dffffc0000000000 R11: fffff940003a000e R12: ffffea0001d00040 R13: ffff88802e8a4000 R14: dffffc0000000000 R15: 00000000ffffffff FS: 00007fb7aaf716c0(0000) GS:ffff8880b9300000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fa15a0d4b72 CR3: 00000000561b0000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> tun_ptr_free drivers/net/tun.c:617 [inline] __ptr_ring_swap_queue include/linux/ptr_ring.h:571 [inline] ptr_ring_resize_multiple_noprof include/linux/ptr_ring.h:643 [inline] tun_queue_resize drivers/net/tun.c:3694 [inline] tun_device_event+0xaaf/0x1080 drivers/net/tun.c:3714 notifier_call_chain+0x19f/0x3e0 kernel/notifier.c:93 call_netdevice_notifiers_extack net/core/dev.c:2032 [inline] call_netdevice_notifiers net/core/dev.c:2046 [inline] dev_change_tx_queue_len+0x158/0x2a0 net/core/dev.c:9024 do_setlink+0xff6/0x41f0 net/core/rtnetlink.c:2923 rtnl_setlink+0x40d/0x5a0 net/core/rtnetlink.c:3201 rtnetlink_rcv_msg+0x73f/0xcf0 net/core/rtnetlink.c:6647 netlink_rcv_skb+0x1e3/0x430 net/netlink/af_netlink.c:2550 Уязвимость компонента drivers/net/tap.c ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: sch_sfq: don't allow 1 packet limit The current implementation does not work correctly with a limit of 1. iproute2 actually checks for this and this patch adds the check in kernel as well. This fixes the following syzkaller reported crash: UBSAN: array-index-out-of-bounds in net/sched/sch_sfq.c:210:6 index 65535 is out of range for type 'struct sfq_head[128]' CPU: 0 PID: 2569 Comm: syz-executor101 Not tainted 5.10.0-smp-DEV #1 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Call Trace: __dump_stack lib/dump_stack.c:79 [inline] dump_stack+0x125/0x19f lib/dump_stack.c:120 ubsan_epilogue lib/ubsan.c:148 [inline] __ubsan_handle_out_of_bounds+0xed/0x120 lib/ubsan.c:347 sfq_link net/sched/sch_sfq.c:210 [inline] sfq_dec+0x528/0x600 net/sched/sch_sfq.c:238 sfq_dequeue+0x39b/0x9d0 net/sched/sch_sfq.c:500 sfq_reset+0x13/0x50 net/sched/sch_sfq.c:525 qdisc_reset+0xfe/0x510 net/sched/sch_generic.c:1026 tbf_reset+0x3d/0x100 net/sched/sch_tbf.c:319 qdisc_reset+0xfe/0x510 net/sched/sch_generic.c:1026 dev_reset_queue+0x8c/0x140 net/sched/sch_generic.c:1296 netdev_for_each_tx_queue include/linux/netdevice.h:2350 [inline] dev_deactivate_many+0x6dc/0xc20 net/sched/sch_generic.c:1362 __dev_close_many+0x214/0x350 net/core/dev.c:1468 dev_close_many+0x207/0x510 net/core/dev.c:1506 unregister_netdevice_many+0x40f/0x16b0 net/core/dev.c:10738 unregister_netdevice_queue+0x2be/0x310 net/core/dev.c:10695 unregister_netdevice include/linux/netdevice.h:2893 [inline] __tun_detach+0x6b6/0x1600 drivers/net/tun.c:689 tun_detach drivers/net/tun.c:705 [inline] tun_chr_close+0x104/0x1b0 drivers/net/tun.c:3640 __fput+0x203/0x840 fs/file_table.c:280 task_work_run+0x129/0x1b0 kernel/task_work.c:185 exit_task_work include/linux/task_work.h:33 [inline] do_exit+0x5ce/0x2200 kernel/exit.c:931 do_group_exit+0x144/0x310 kernel/exit.c:1046 __do_sys_exit_group kernel/exit.c:1057 [inline] __se_sys_exit_group kernel/exit.c:1055 [inline] __x64_sys_exit_group+0x3b/0x40 kernel/exit.c:1055 do_syscall_64+0x6c/0xd0 entry_SYSCALL_64_after_hwframe+0x61/0xcb RIP: 0033:0x7fe5e7b52479 Code: Unable to access opcode bytes at RIP 0x7fe5e7b5244f. RSP: 002b:00007ffd3c800398 EFLAGS: 00000246 ORIG_RAX: 00000000000000e7 RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007fe5e7b52479 RDX: 000000000000003c RSI: 00000000000000e7 RDI: 0000000000000000 RBP: 00007fe5e7bcd2d0 R08: ffffffffffffffb8 R09: 0000000000000014 R10: 0000000000000000 R11: 0000000000000246 R12: 00007fe5e7bcd2d0 R13: 0000000000000000 R14: 00007fe5e7bcdd20 R15: 00007fe5e7b24270 The crash can be also be reproduced with the following (with a tc recompiled to allow for sfq limits of 1): tc qdisc add dev dummy0 handle 1: root tbf rate 1Kbit burst 100b lat 1s ../iproute2-6.9.0/tc/tc qdisc add dev dummy0 handle 2: parent 1:10 sfq limit 1 ifconfig dummy0 up ping -I dummy0 -f -c2 -W0.1 8.8.8.8 sleep 1 Scenario that triggers the crash: * the first packet is sent and queued in TBF and SFQ; qdisc qlen is 1 * TBF dequeues: it peeks from SFQ which moves the packet to the gso_skb list and keeps qdisc qlen set to 1. TBF is out of tokens so it schedules itself for later. * the second packet is sent and TBF tries to queues it to SFQ. qdisc qlen is now 2 and because the SFQ limit is 1 the packet is dropped by SFQ. At this point qlen is 1, and all of the SFQ slots are empty, however q->tail is not NULL. At this point, assuming no more packets are queued, when sch_dequeue runs again it will decrement the qlen for the current empty slot causing an underflow and the subsequent out of bounds access. Уязвимость компонента net/sched/sch_sfq.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: wcn36xx: fix channel survey memory allocation size KASAN reported a memory allocation issue in wcn->chan_survey due to incorrect size calculation. This commit uses kcalloc to allocate memory for wcn->chan_survey, ensuring proper initialization and preventing the use of uninitialized values when there are no frames on the channel. Уязвимость компонента wcn36xx ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: OPP: add index check to assert to avoid buffer overflow in _read_freq() Pass the freq index to the assert function to make sure we do not read a freq out of the opp->rates[] table when called from the indexed variants: dev_pm_opp_find_freq_exact_indexed() or dev_pm_opp_find_freq_ceil/floor_indexed(). Add a secondary parameter to the assert function, unused for assert_single_clk() then add assert_clk_index() which will check for the clock index when called from the _indexed() find functions. Уязвимость компонента drivers/opp/core.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: powerpc/pseries/iommu: IOMMU incorrectly marks MMIO range in DDW Power Hypervisor can possibily allocate MMIO window intersecting with Dynamic DMA Window (DDW) range, which is over 32-bit addressing. These MMIO pages needs to be marked as reserved so that IOMMU doesn't map DMA buffers in this range. The current code is not marking these pages correctly which is resulting in LPAR to OOPS while booting. The stack is at below BUG: Unable to handle kernel data access on read at 0xc00800005cd40000 Faulting instruction address: 0xc00000000005cdac Oops: Kernel access of bad area, sig: 11 [#1] LE PAGE_SIZE=64K MMU=Hash SMP NR_CPUS=2048 NUMA pSeries Modules linked in: af_packet rfkill ibmveth(X) lpfc(+) nvmet_fc nvmet nvme_keyring crct10dif_vpmsum nvme_fc nvme_fabrics nvme_core be2net(+) nvme_auth rtc_generic nfsd auth_rpcgss nfs_acl lockd grace sunrpc fuse configfs ip_tables x_tables xfs libcrc32c dm_service_time ibmvfc(X) scsi_transport_fc vmx_crypto gf128mul crc32c_vpmsum dm_mirror dm_region_hash dm_log dm_multipath dm_mod sd_mod scsi_dh_emc scsi_dh_rdac scsi_dh_alua t10_pi crc64_rocksoft_generic crc64_rocksoft sg crc64 scsi_mod Supported: Yes, External CPU: 8 PID: 241 Comm: kworker/8:1 Kdump: loaded Not tainted 6.4.0-150600.23.14-default #1 SLE15-SP6 b44ee71c81261b9e4bab5e0cde1f2ed891d5359b Hardware name: IBM,9080-M9S POWER9 (raw) 0x4e2103 0xf000005 of:IBM,FW950.B0 (VH950_149) hv:phyp pSeries Workqueue: events work_for_cpu_fn NIP: c00000000005cdac LR: c00000000005e830 CTR: 0000000000000000 REGS: c00001400c9ff770 TRAP: 0300 Not tainted (6.4.0-150600.23.14-default) MSR: 800000000280b033 <SF,VEC,VSX,EE,FP,ME,IR,DR,RI,LE> CR: 24228448 XER: 00000001 CFAR: c00000000005cdd4 DAR: c00800005cd40000 DSISR: 40000000 IRQMASK: 0 GPR00: c00000000005e830 c00001400c9ffa10 c000000001987d00 c00001400c4fe800 GPR04: 0000080000000000 0000000000000001 0000000004000000 0000000000800000 GPR08: 0000000004000000 0000000000000001 c00800005cd40000 ffffffffffffffff GPR12: 0000000084228882 c00000000a4c4f00 0000000000000010 0000080000000000 GPR16: c00001400c4fe800 0000000004000000 0800000000000000 c00000006088b800 GPR20: c00001401a7be980 c00001400eff3800 c000000002a2da68 000000000000002b GPR24: c0000000026793a8 c000000002679368 000000000000002a c0000000026793c8 GPR28: 000008007effffff 0000080000000000 0000000000800000 c00001400c4fe800 NIP [c00000000005cdac] iommu_table_reserve_pages+0xac/0x100 LR [c00000000005e830] iommu_init_table+0x80/0x1e0 Call Trace: [c00001400c9ffa10] [c00000000005e810] iommu_init_table+0x60/0x1e0 (unreliable) [c00001400c9ffa90] [c00000000010356c] iommu_bypass_supported_pSeriesLP+0x9cc/0xe40 [c00001400c9ffc30] [c00000000005c300] dma_iommu_dma_supported+0xf0/0x230 [c00001400c9ffcb0] [c00000000024b0c4] dma_supported+0x44/0x90 [c00001400c9ffcd0] [c00000000024b14c] dma_set_mask+0x3c/0x80 [c00001400c9ffd00] [c0080000555b715c] be_probe+0xc4/0xb90 [be2net] [c00001400c9ffdc0] [c000000000986f3c] local_pci_probe+0x6c/0x110 [c00001400c9ffe40] [c000000000188f28] work_for_cpu_fn+0x38/0x60 [c00001400c9ffe70] [c00000000018e454] process_one_work+0x314/0x620 [c00001400c9fff10] [c00000000018f280] worker_thread+0x2b0/0x620 [c00001400c9fff90] [c00000000019bb18] kthread+0x148/0x150 [c00001400c9fffe0] [c00000000000ded8] start_kernel_thread+0x14/0x18 There are 2 issues in the code 1. The index is "int" while the address is "unsigned long". This results in negative value when setting the bitmap. 2. The DMA offset is page shifted but the MMIO range is used as-is (64-bit address). MMIO address needs to be page shifted as well. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ocfs2: handle a symlink read error correctly Patch series "Convert ocfs2 to use folios". Mark did a conversion of ocfs2 to use folios and sent it to me as a giant patch for review ;-) So I've redone it as individual patches, and credited Mark for the patches where his code is substantially the same. It's not a bad way to do it; his patch had some bugs and my patches had some bugs. Hopefully all our bugs were different from each other. And hopefully Mark likes all the changes I made to his code! This patch (of 23): If we can't read the buffer, be sure to unlock the page before returning. Уязвимость компонента fs/ocfs2/symlink.c ядра операционной системы Linux связана с отслеживанием символьных ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: uvcvideo: Remove dangling pointers When an async control is written, we copy a pointer to the file handle that started the operation. That pointer will be used when the device is done. Which could be anytime in the future. If the user closes that file descriptor, its structure will be freed, and there will be one dangling pointer per pending async control, that the driver will try to use. Clean all the dangling pointers during release(). To avoid adding a performance penalty in the most common case (no async operation), a counter has been introduced with some logic to make sure that it is properly handled. Уязвимость ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: i2c: ds90ub9x3: Fix extra fwnode_handle_put() The ub913 and ub953 drivers call fwnode_handle_put(priv->sd.fwnode) as part of their remove process, and if the driver is removed multiple times, eventually leads to put "overflow", possibly causing memory corruption or crash. The fwnode_handle_put() is a leftover from commit 905f88ccebb1 ("media: i2c: ds90ub9x3: Fix sub-device matching"), which changed the code related to the sd.fwnode, but missed removing these fwnode_handle_put() calls. Уязвимость компонента drivers/media/i2c/ds90ub913.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: intel/ipu6: remove cpu latency qos request on error Fix cpu latency qos list corruption like below. It happens when we do not remove cpu latency request on error path and free corresponding memory. [ 30.634378] l7 kernel: list_add corruption. prev->next should be next (ffffffff9645e960), but was 0000000100100001. (prev=ffff8e9e877e20a8). [ 30.634388] l7 kernel: WARNING: CPU: 2 PID: 2008 at lib/list_debug.c:32 __list_add_valid_or_report+0x83/0xa0 <snip> [ 30.634640] l7 kernel: Call Trace: [ 30.634650] l7 kernel: <TASK> [ 30.634659] l7 kernel: ? __list_add_valid_or_report+0x83/0xa0 [ 30.634669] l7 kernel: ? __warn.cold+0x93/0xf6 [ 30.634678] l7 kernel: ? __list_add_valid_or_report+0x83/0xa0 [ 30.634690] l7 kernel: ? report_bug+0xff/0x140 [ 30.634702] l7 kernel: ? handle_bug+0x58/0x90 [ 30.634712] l7 kernel: ? exc_invalid_op+0x17/0x70 [ 30.634723] l7 kernel: ? asm_exc_invalid_op+0x1a/0x20 [ 30.634733] l7 kernel: ? __list_add_valid_or_report+0x83/0xa0 [ 30.634742] l7 kernel: plist_add+0xdd/0x140 [ 30.634754] l7 kernel: pm_qos_update_target+0xa0/0x1f0 [ 30.634764] l7 kernel: cpu_latency_qos_update_request+0x61/0xc0 [ 30.634773] l7 kernel: intel_dp_aux_xfer+0x4c7/0x6e0 [i915 1f824655ed04687c2b0d23dbce759fa785f6d033] Уязвимость компонента drivers/media/pci/intel/ipu6/ipu6-isys.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tpm: Change to kvalloc() in eventlog/acpi.c The following failure was reported on HPE ProLiant D320: [ 10.693310][ T1] tpm_tis STM0925:00: 2.0 TPM (device-id 0x3, rev-id 0) [ 10.848132][ T1] ------------[ cut here ]------------ [ 10.853559][ T1] WARNING: CPU: 59 PID: 1 at mm/page_alloc.c:4727 __alloc_pages_noprof+0x2ca/0x330 [ 10.862827][ T1] Modules linked in: [ 10.866671][ T1] CPU: 59 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.12.0-lp155.2.g52785e2-default #1 openSUSE Tumbleweed (unreleased) 588cd98293a7c9eba9013378d807364c088c9375 [ 10.882741][ T1] Hardware name: HPE ProLiant DL320 Gen12/ProLiant DL320 Gen12, BIOS 1.20 10/28/2024 [ 10.892170][ T1] RIP: 0010:__alloc_pages_noprof+0x2ca/0x330 [ 10.898103][ T1] Code: 24 08 e9 4a fe ff ff e8 34 36 fa ff e9 88 fe ff ff 83 fe 0a 0f 86 b3 fd ff ff 80 3d 01 e7 ce 01 00 75 09 c6 05 f8 e6 ce 01 01 <0f> 0b 45 31 ff e9 e5 fe ff ff f7 c2 00 00 08 00 75 42 89 d9 80 e1 [ 10.917750][ T1] RSP: 0000:ffffb7cf40077980 EFLAGS: 00010246 [ 10.923777][ T1] RAX: 0000000000000000 RBX: 0000000000040cc0 RCX: 0000000000000000 [ 10.931727][ T1] RDX: 0000000000000000 RSI: 000000000000000c RDI: 0000000000040cc0 The above transcript shows that ACPI pointed a 16 MiB buffer for the log events because RSI maps to the 'order' parameter of __alloc_pages_noprof(). Address the bug by moving from devm_kmalloc() to devm_add_action() and kvmalloc() and devm_add_action(). Уязвимость функции kvalloc() компонента eventlog/acpi.c The ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: dwc: ep: Prevent changing BAR size/flags in pci_epc_set_bar() In commit 4284c88fff0e ("PCI: designware-ep: Allow pci_epc_set_bar() update inbound map address") set_bar() was modified to support dynamically changing the backing physical address of a BAR that was already configured. This means that set_bar() can be called twice, without ever calling clear_bar() (as calling clear_bar() would clear the BAR's PCI address assigned by the host). This can only be done if the new BAR size/flags does not differ from the existing BAR configuration. Add these missing checks. If we allow set_bar() to set e.g. a new BAR size that differs from the existing BAR size, the new address translation range will be smaller than the BAR size already determined by the host, which would mean that a read past the new BAR size would pass the iATU untranslated, which could allow the host to read memory not belonging to the new struct pci_epf_bar. While at it, add comments which clarifies the support for dynamically changing the physical address of a BAR. (Which was also missing.) [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.6) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: soc: qcom: socinfo: Avoid out of bounds read of serial number On MSM8916 devices, the serial number exposed in sysfs is constant and does not change across individual devices. It's always: db410c:/sys/devices/soc0$ cat serial_number 2644893864 The firmware used on MSM8916 exposes SOCINFO_VERSION(0, 8), which does not have support for the serial_num field in the socinfo struct. There is an existing check to avoid exposing the serial number in that case, but it's not correct: When checking the item_size returned by SMEM, we need to make sure the *end* of the serial_num is within bounds, instead of comparing with the *start* offset. The serial_number currently exposed on MSM8916 devices is just an out of bounds read of whatever comes after the socinfo struct in SMEM. Fix this by changing offsetof() to offsetofend(), so that the size of the field is also taken into account. Уязвимость компонента soc/qcom/socinfo.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KEYS: trusted: dcp: fix improper sg use with CONFIG_VMAP_STACK=y With vmalloc stack addresses enabled (CONFIG_VMAP_STACK=y) DCP trusted keys can crash during en- and decryption of the blob encryption key via the DCP crypto driver. This is caused by improperly using sg_init_one() with vmalloc'd stack buffers (plain_key_blob). Fix this by always using kmalloc() for buffers we give to the DCP crypto driver. Уязвимость компонента security/keys/trusted-keys/trusted_dcp.c ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: L2CAP: handle NULL sock pointer in l2cap_sock_alloc A NULL sock pointer is passed into l2cap_sock_alloc() when it is called from l2cap_sock_new_connection_cb() and the error handling paths should also be aware of it. Seemingly a more elegant solution would be to swap bt_sock_alloc() and l2cap_chan_create() calls since they are not interdependent to that moment but then l2cap_chan_create() adds the soon to be deallocated and still dummy-initialized channel to the global list accessible by many L2CAP paths. The channel would be removed from the list in short period of time but be a bit more straight-forward here and just check for NULL instead of changing the order of function calls. Found by Linux Verification Center (linuxtesting.org) with SVACE static analysis tool. Уязвимость компонента net/bluetooth/l2cap_sock.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: binfmt_flat: Fix integer overflow bug on 32 bit systems Most of these sizes and counts are capped at 256MB so the math doesn't result in an integer overflow. The "relocs" count needs to be checked as well. Otherwise on 32bit systems the calculation of "full_data" could be wrong. full_data = data_len + relocs * sizeof(unsigned long); Уязвимость компонента binfmt_flat ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86: int3472: Check for adev == NULL Not all devices have an ACPI companion fwnode, so adev might be NULL. This can e.g. (theoretically) happen when a user manually binds one of the int3472 drivers to another i2c/platform device through sysfs. Add a check for adev not being set and return -ENODEV in that case to avoid a possible NULL pointer deref in skl_int3472_get_acpi_buffer(). Уязвимость компонента int3472/discrete.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: SOF: Intel: hda-dai: Ensure DAI widget is valid during params Each cpu DAI should associate with a widget. However, the topology might not create the right number of DAI widgets for aggregated amps. And it will cause NULL pointer deference. Check that the DAI widget associated with the CPU DAI is valid to prevent NULL pointer deference due to missing DAI widgets in topologies with aggregated amps. [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: Fix slab-use-after-free Read in mgmt_remove_adv_monitor_sync This fixes the following crash: ================================================================== BUG: KASAN: slab-use-after-free in mgmt_remove_adv_monitor_sync+0x3a/0xd0 net/bluetooth/mgmt.c:5543 Read of size 8 at addr ffff88814128f898 by task kworker/u9:4/5961 CPU: 1 UID: 0 PID: 5961 Comm: kworker/u9:4 Not tainted 6.12.0-syzkaller-10684-gf1cd565ce577 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Workqueue: hci0 hci_cmd_sync_work Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x169/0x550 mm/kasan/report.c:489 kasan_report+0x143/0x180 mm/kasan/report.c:602 mgmt_remove_adv_monitor_sync+0x3a/0xd0 net/bluetooth/mgmt.c:5543 hci_cmd_sync_work+0x22b/0x400 net/bluetooth/hci_sync.c:332 process_one_work kernel/workqueue.c:3229 [inline] process_scheduled_works+0xa63/0x1850 kernel/workqueue.c:3310 worker_thread+0x870/0xd30 kernel/workqueue.c:3391 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Allocated by task 16026: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0x98/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __kmalloc_cache_noprof+0x243/0x390 mm/slub.c:4314 kmalloc_noprof include/linux/slab.h:901 [inline] kzalloc_noprof include/linux/slab.h:1037 [inline] mgmt_pending_new+0x65/0x250 net/bluetooth/mgmt_util.c:269 mgmt_pending_add+0x36/0x120 net/bluetooth/mgmt_util.c:296 remove_adv_monitor+0x102/0x1b0 net/bluetooth/mgmt.c:5568 hci_mgmt_cmd+0xc47/0x11d0 net/bluetooth/hci_sock.c:1712 hci_sock_sendmsg+0x7b8/0x11c0 net/bluetooth/hci_sock.c:1832 sock_sendmsg_nosec net/socket.c:711 [inline] __sock_sendmsg+0x221/0x270 net/socket.c:726 sock_write_iter+0x2d7/0x3f0 net/socket.c:1147 new_sync_write fs/read_write.c:586 [inline] vfs_write+0xaeb/0xd30 fs/read_write.c:679 ksys_write+0x18f/0x2b0 fs/read_write.c:731 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 16022: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x40/0x50 mm/kasan/generic.c:582 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x59/0x70 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2338 [inline] slab_free mm/slub.c:4598 [inline] kfree+0x196/0x420 mm/slub.c:4746 mgmt_pending_foreach+0xd1/0x130 net/bluetooth/mgmt_util.c:259 __mgmt_power_off+0x183/0x430 net/bluetooth/mgmt.c:9550 hci_dev_close_sync+0x6c4/0x11c0 net/bluetooth/hci_sync.c:5208 hci_dev_do_close net/bluetooth/hci_core.c:483 [inline] hci_dev_close+0x112/0x210 net/bluetooth/hci_core.c:508 sock_do_ioctl+0x158/0x460 net/socket.c:1209 sock_ioctl+0x626/0x8e0 net/socket.c:1328 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl+0xf5/0x170 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента net/bluetooth/mgmt.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: brcmsmac: add gain range check to wlc_phy_iqcal_gainparams_nphy() In 'wlc_phy_iqcal_gainparams_nphy()', add gain range check to WARN() instead of possible out-of-bounds 'tbl_iqcal_gainparams_nphy' access. Compile tested only. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента phy_n.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: safesetid: check size of policy writes syzbot attempts to write a buffer with a large size to a sysfs entry with writes handled by handle_policy_update(), triggering a warning in kmalloc. Check the size specified for write buffers before allocating. [PM: subject tweak] Уязвимость компонента security/safesetid/securityfs.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: printk: Fix signed integer overflow when defining LOG_BUF_LEN_MAX Shifting 1 << 31 on a 32-bit int causes signed integer overflow, which leads to undefined behavior. To prevent this, cast 1 to u32 before performing the shift, ensuring well-defined behavior. This change explicitly avoids any potential overflow by ensuring that the shift occurs on an unsigned 32-bit integer. Уязвимость компонента printk/printk.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvkm: correctly calculate the available space of the GSP cmdq buffer r535_gsp_cmdq_push() waits for the available page in the GSP cmdq buffer when handling a large RPC request. When it sees at least one available page in the cmdq, it quits the waiting with the amount of free buffer pages in the queue. Unfortunately, it always takes the [write pointer, buf_size) as available buffer pages before rolling back and wrongly calculates the size of the data should be copied. Thus, it can overwrite the RPC request that GSP is currently reading, which causes GSP hang due to corrupted RPC request: [ 549.209389] ------------[ cut here ]------------ [ 549.214010] WARNING: CPU: 8 PID: 6314 at drivers/gpu/drm/nouveau/nvkm/subdev/gsp/r535.c:116 r535_gsp_msgq_wait+0xd0/0x190 [nvkm] [ 549.225678] Modules linked in: nvkm(E+) gsp_log(E) snd_seq_dummy(E) snd_hrtimer(E) snd_seq(E) snd_timer(E) snd_seq_device(E) snd(E) soundcore(E) rfkill(E) qrtr(E) vfat(E) fat(E) ipmi_ssif(E) amd_atl(E) intel_rapl_msr(E) intel_rapl_common(E) mlx5_ib(E) amd64_edac(E) edac_mce_amd(E) kvm_amd(E) ib_uverbs(E) kvm(E) ib_core(E) acpi_ipmi(E) ipmi_si(E) mxm_wmi(E) ipmi_devintf(E) rapl(E) i2c_piix4(E) wmi_bmof(E) joydev(E) ptdma(E) acpi_cpufreq(E) k10temp(E) pcspkr(E) ipmi_msghandler(E) xfs(E) libcrc32c(E) ast(E) i2c_algo_bit(E) crct10dif_pclmul(E) drm_shmem_helper(E) nvme_tcp(E) crc32_pclmul(E) ahci(E) drm_kms_helper(E) libahci(E) nvme_fabrics(E) crc32c_intel(E) nvme(E) cdc_ether(E) mlx5_core(E) nvme_core(E) usbnet(E) drm(E) libata(E) ccp(E) ghash_clmulni_intel(E) mii(E) t10_pi(E) mlxfw(E) sp5100_tco(E) psample(E) pci_hyperv_intf(E) wmi(E) dm_multipath(E) sunrpc(E) dm_mirror(E) dm_region_hash(E) dm_log(E) dm_mod(E) be2iscsi(E) bnx2i(E) cnic(E) uio(E) cxgb4i(E) cxgb4(E) tls(E) libcxgbi(E) libcxgb(E) qla4xxx(E) [ 549.225752] iscsi_boot_sysfs(E) iscsi_tcp(E) libiscsi_tcp(E) libiscsi(E) scsi_transport_iscsi(E) fuse(E) [last unloaded: gsp_log(E)] [ 549.326293] CPU: 8 PID: 6314 Comm: insmod Tainted: G E 6.9.0-rc6+ #1 [ 549.334039] Hardware name: ASRockRack 1U1G-MILAN/N/ROMED8-NL, BIOS L3.12E 09/06/2022 [ 549.341781] RIP: 0010:r535_gsp_msgq_wait+0xd0/0x190 [nvkm] [ 549.347343] Code: 08 00 00 89 da c1 e2 0c 48 8d ac 11 00 10 00 00 48 8b 0c 24 48 85 c9 74 1f c1 e0 0c 4c 8d 6d 30 83 e8 30 89 01 e9 68 ff ff ff <0f> 0b 49 c7 c5 92 ff ff ff e9 5a ff ff ff ba ff ff ff ff be c0 0c [ 549.366090] RSP: 0018:ffffacbccaaeb7d0 EFLAGS: 00010246 [ 549.371315] RAX: 0000000000000000 RBX: 0000000000000012 RCX: 0000000000923e28 [ 549.378451] RDX: 0000000000000000 RSI: 0000000055555554 RDI: ffffacbccaaeb730 [ 549.385590] RBP: 0000000000000001 R08: ffff8bd14d235f70 R09: ffff8bd14d235f70 [ 549.392721] R10: 0000000000000002 R11: ffff8bd14d233864 R12: 0000000000000020 [ 549.399854] R13: ffffacbccaaeb818 R14: 0000000000000020 R15: ffff8bb298c67000 [ 549.406988] FS: 00007f5179244740(0000) GS:ffff8bd14d200000(0000) knlGS:0000000000000000 [ 549.415076] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 549.420829] CR2: 00007fa844000010 CR3: 00000001567dc005 CR4: 0000000000770ef0 [ 549.427963] PKRU: 55555554 [ 549.430672] Call Trace: [ 549.433126] <TASK> [ 549.435233] ? __warn+0x7f/0x130 [ 549.438473] ? r535_gsp_msgq_wait+0xd0/0x190 [nvkm] [ 549.443426] ? report_bug+0x18a/0x1a0 [ 549.447098] ? handle_bug+0x3c/0x70 [ 549.450589] ? exc_invalid_op+0x14/0x70 [ 549.454430] ? asm_exc_invalid_op+0x16/0x20 [ 549.458619] ? r535_gsp_msgq_wait+0xd0/0x190 [nvkm] [ 549.463565] r535_gsp_msg_recv+0x46/0x230 [nvkm] [ 549.468257] r535_gsp_rpc_push+0x106/0x160 [nvkm] [ 549.473033] r535_gsp_rpc_rm_ctrl_push+0x40/0x130 [nvkm] [ 549.478422] nvidia_grid_init_vgpu_types+0xbc/0xe0 [nvkm] [ 549.483899] nvidia_grid_init+0xb1/0xd0 [nvkm] [ 549.488420] ? srso_alias_return_thunk+0x5/0xfbef5 [ 549.493213] nvkm_device_pci_probe+0x305/0x420 [nvkm] [ 549.498338] local_pci_probe+0x46/ ---truncated--- Уязвимость компнента nvkm/subdev/gsp/r535.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvkm/gsp: correctly advance the read pointer of GSP message queue A GSP event message consists three parts: message header, RPC header, message body. GSP calculates the number of pages to write from the total size of a GSP message. This behavior can be observed from the movement of the write pointer. However, nvkm takes only the size of RPC header and message body as the message size when advancing the read pointer. When handling a two-page GSP message in the non rollback case, It wrongly takes the message body of the previous message as the message header of the next message. As the "message length" tends to be zero, in the calculation of size needs to be copied (0 - size of (message header)), the size needs to be copied will be "0xffffffxx". It also triggers a kernel panic due to a NULL pointer error. [ 547.614102] msg: 00000f90: ff ff ff ff ff ff ff ff 40 d7 18 fb 8b 00 00 00 ........@....... [ 547.622533] msg: 00000fa0: 00 00 00 00 ff ff ff ff ff ff ff ff 00 00 00 00 ................ [ 547.630965] msg: 00000fb0: ff ff ff ff ff ff ff ff 00 00 00 00 ff ff ff ff ................ [ 547.639397] msg: 00000fc0: ff ff ff ff 00 00 00 00 ff ff ff ff ff ff ff ff ................ [ 547.647832] nvkm 0000:c1:00.0: gsp: peek msg rpc fn:0 len:0x0/0xffffffffffffffe0 [ 547.655225] nvkm 0000:c1:00.0: gsp: get msg rpc fn:0 len:0x0/0xffffffffffffffe0 [ 547.662532] BUG: kernel NULL pointer dereference, address: 0000000000000020 [ 547.669485] #PF: supervisor read access in kernel mode [ 547.674624] #PF: error_code(0x0000) - not-present page [ 547.679755] PGD 0 P4D 0 [ 547.682294] Oops: 0000 [#1] PREEMPT SMP NOPTI [ 547.686643] CPU: 22 PID: 322 Comm: kworker/22:1 Tainted: G E 6.9.0-rc6+ #1 [ 547.694893] Hardware name: ASRockRack 1U1G-MILAN/N/ROMED8-NL, BIOS L3.12E 09/06/2022 [ 547.702626] Workqueue: events r535_gsp_msgq_work [nvkm] [ 547.707921] RIP: 0010:r535_gsp_msg_recv+0x87/0x230 [nvkm] [ 547.713375] Code: 00 8b 70 08 48 89 e1 31 d2 4c 89 f7 e8 12 f5 ff ff 48 89 c5 48 85 c0 0f 84 cf 00 00 00 48 81 fd 00 f0 ff ff 0f 87 c4 00 00 00 <8b> 55 10 41 8b 46 30 85 d2 0f 85 f6 00 00 00 83 f8 04 76 10 ba 05 [ 547.732119] RSP: 0018:ffffabe440f87e10 EFLAGS: 00010203 [ 547.737335] RAX: 0000000000000010 RBX: 0000000000000008 RCX: 000000000000003f [ 547.744461] RDX: 0000000000000000 RSI: ffffabe4480a8030 RDI: 0000000000000010 [ 547.751585] RBP: 0000000000000010 R08: 0000000000000000 R09: ffffabe440f87bb0 [ 547.758707] R10: ffffabe440f87dc8 R11: 0000000000000010 R12: 0000000000000000 [ 547.765834] R13: 0000000000000000 R14: ffff9351df1e5000 R15: 0000000000000000 [ 547.772958] FS: 0000000000000000(0000) GS:ffff93708eb00000(0000) knlGS:0000000000000000 [ 547.781035] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 547.786771] CR2: 0000000000000020 CR3: 00000003cc220002 CR4: 0000000000770ef0 [ 547.793896] PKRU: 55555554 [ 547.796600] Call Trace: [ 547.799046] <TASK> [ 547.801152] ? __die+0x20/0x70 [ 547.804211] ? page_fault_oops+0x75/0x170 [ 547.808221] ? print_hex_dump+0x100/0x160 [ 547.812226] ? exc_page_fault+0x64/0x150 [ 547.816152] ? asm_exc_page_fault+0x22/0x30 [ 547.820341] ? r535_gsp_msg_recv+0x87/0x230 [nvkm] [ 547.825184] r535_gsp_msgq_work+0x42/0x50 [nvkm] [ 547.829845] process_one_work+0x196/0x3d0 [ 547.833861] worker_thread+0x2fc/0x410 [ 547.837613] ? __pfx_worker_thread+0x10/0x10 [ 547.841885] kthread+0xdf/0x110 [ 547.845031] ? __pfx_kthread+0x10/0x10 [ 547.848775] ret_from_fork+0x30/0x50 [ 547.852354] ? __pfx_kthread+0x10/0x10 [ 547.856097] ret_from_fork_asm+0x1a/0x30 [ 547.860019] </TASK> [ 547.862208] Modules linked in: nvkm(E) gsp_log(E) snd_seq_dummy(E) snd_hrtimer(E) snd_seq(E) snd_timer(E) snd_seq_device(E) snd(E) soundcore(E) rfkill(E) qrtr(E) vfat(E) fat(E) ipmi_ssif(E) amd_atl(E) intel_rapl_msr(E) intel_rapl_common(E) amd64_edac(E) mlx5_ib(E) edac_mce_amd(E) kvm_amd ---truncated--- Уязвимость компонента nvkm/gsp ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: multitouch: Add NULL check in mt_input_configured devm_kasprintf() can return a NULL pointer on failure,but this returned value in mt_input_configured() is not checked. Add NULL check in mt_input_configured(), to handle kernel NULL pointer dereference error. Уязвимость компонента hid/hid-multitouch.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: winwing: Add NULL check in winwing_init_led() devm_kasprintf() can return a NULL pointer on failure,but this returned value in winwing_init_led() is not checked. Add NULL check in winwing_init_led(), to handle kernel NULL pointer dereference error. Уязвимость компонента hid/hid-winwing.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: memory: tegra20-emc: fix an OF node reference bug in tegra_emc_find_node_by_ram_code() As of_find_node_by_name() release the reference of the argument device node, tegra_emc_find_node_by_ram_code() releases some device nodes while still in use, resulting in possible UAFs. According to the bindings and the in-tree DTS files, the "emc-tables" node is always device's child node with the property "nvidia,use-ram-code", and the "lpddr2" node is a child of the "emc-tables" node. Thus utilize the for_each_child_of_node() macro and of_get_child_by_name() instead of of_find_node_by_name() to simplify the code. This bug was found by an experimental verification tool that I am developing. [krzysztof: applied v1, adjust the commit msg to incorporate v2 parts] Уязвимость функции tegra_emc_find_node_by_ram_code() компонента drivers/memory/tegra/tegra20-emc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rhashtable: Fix potential deadlock by moving schedule_work outside lock Move the hash table growth check and work scheduling outside the rht lock to prevent a possible circular locking dependency. The original implementation could trigger a lockdep warning due to a potential deadlock scenario involving nested locks between rhashtable bucket, rq lock, and dsq lock. By relocating the growth check and work scheduling after releasing the rth lock, we break this potential deadlock chain. This change expands the flexibility of rhashtable by removing restrictive locking that previously limited its use in scheduler and workqueue contexts. Import to say that this calls rht_grow_above_75(), which reads from struct rhashtable without holding the lock, if this is a problem, we can move the check to the lock, and schedule the workqueue after the lock. Modified so that atomic_inc is also moved outside of the bucket lock along with the growth above 75% check. Уязвимость компонента lib/rhashtable.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipmi: ipmb: Add check devm_kasprintf() returned value devm_kasprintf() can return a NULL pointer on failure but this returned value is not checked. Уязвимость функции rtl_pci_probe() драйвера (drivers/char/ipmi/ipmb_dev_int.c) ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Fix potential NULL pointer dereference in atomctrl_get_smc_sclk_range_table The function atomctrl_get_smc_sclk_range_table() does not check the return value of smu_atom_get_data_table(). If smu_atom_get_data_table() fails to retrieve SMU_Info table, it returns NULL which is later dereferenced. Found by Linux Verification Center (linuxtesting.org) with SVACE. In practice this should never happen as this code only gets called on polaris chips and the vbios data table will always be present on those chips. Уязвимость функции atomctrl_get_smc_sclk_range_table() драйвера DRM (drivers/gpu/drm/amd/pm/powerplay/hwmgr/ppatomctrl.c) ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rxrpc: Fix handling of received connection abort Fix the handling of a connection abort that we've received. Though the abort is at the connection level, it needs propagating to the calls on that connection. Whilst the propagation bit is performed, the calls aren't then woken up to go and process their termination, and as no further input is forthcoming, they just hang. Also add some tracing for the logging of connection aborts. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: staging: media: max96712: fix kernel oops when removing module The following kernel oops is thrown when trying to remove the max96712 module: Unable to handle kernel paging request at virtual address 00007375746174db Mem abort info: ESR = 0x0000000096000004 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x04: level 0 translation fault Data abort info: ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 user pgtable: 4k pages, 48-bit VAs, pgdp=000000010af89000 [00007375746174db] pgd=0000000000000000, p4d=0000000000000000 Internal error: Oops: 0000000096000004 [#1] PREEMPT SMP Modules linked in: crct10dif_ce polyval_ce mxc_jpeg_encdec flexcan snd_soc_fsl_sai snd_soc_fsl_asoc_card snd_soc_fsl_micfil dwc_mipi_csi2 imx_csi_formatter polyval_generic v4l2_jpeg imx_pcm_dma can_dev snd_soc_imx_audmux snd_soc_wm8962 snd_soc_imx_card snd_soc_fsl_utils max96712(C-) rpmsg_ctrl rpmsg_char pwm_fan fuse [last unloaded: imx8_isi] CPU: 0 UID: 0 PID: 754 Comm: rmmod Tainted: G C 6.12.0-rc6-06364-g327fec852c31 #17 Tainted: [C]=CRAP Hardware name: NXP i.MX95 19X19 board (DT) pstate: 60400009 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : led_put+0x1c/0x40 lr : v4l2_subdev_put_privacy_led+0x48/0x58 sp : ffff80008699bbb0 x29: ffff80008699bbb0 x28: ffff00008ac233c0 x27: 0000000000000000 x26: 0000000000000000 x25: 0000000000000000 x24: 0000000000000000 x23: ffff000080cf1170 x22: ffff00008b53bd00 x21: ffff8000822ad1c8 x20: ffff000080ff5c00 x19: ffff00008b53be40 x18: 0000000000000000 x17: 0000000000000000 x16: 0000000000000000 x15: 0000000000000000 x14: 0000000000000004 x13: ffff0000800f8010 x12: 0000000000000000 x11: ffff000082acf5c0 x10: ffff000082acf478 x9 : ffff0000800f8010 x8 : 0101010101010101 x7 : 7f7f7f7f7f7f7f7f x6 : fefefeff6364626d x5 : 8080808000000000 x4 : 0000000000000020 x3 : 00000000553a3dc1 x2 : ffff00008ac233c0 x1 : ffff00008ac233c0 x0 : ff00737574617473 Call trace: led_put+0x1c/0x40 v4l2_subdev_put_privacy_led+0x48/0x58 v4l2_async_unregister_subdev+0x2c/0x1a4 max96712_remove+0x1c/0x38 [max96712] i2c_device_remove+0x2c/0x9c device_remove+0x4c/0x80 device_release_driver_internal+0x1cc/0x228 driver_detach+0x4c/0x98 bus_remove_driver+0x6c/0xbc driver_unregister+0x30/0x60 i2c_del_driver+0x54/0x64 max96712_i2c_driver_exit+0x18/0x1d0 [max96712] __arm64_sys_delete_module+0x1a4/0x290 invoke_syscall+0x48/0x10c el0_svc_common.constprop.0+0xc0/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x34/0xd8 el0t_64_sync_handler+0x120/0x12c el0t_64_sync+0x190/0x194 Code: f9000bf3 aa0003f3 f9402800 f9402000 (f9403400) ---[ end trace 0000000000000000 ]--- This happens because in v4l2_i2c_subdev_init(), the i2c_set_cliendata() is called again and the data is overwritten to point to sd, instead of priv. So, in remove(), the wrong pointer is passed to v4l2_async_unregister_subdev(), leading to a crash. Уязвимость функции max96712_probe() драйвера десериализатора MAX96712 (drivers/staging/media/max96712/max96712.c) ядра операционных систем Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_tcm: Don't free command immediately Don't prematurely free the command. Wait for the status completion of the sense status. It can be freed then. Otherwise we will double-free the command. Уязвимость функций usbg_cmd_work() и bot_cmd_work() компонента drivers/usb/gadget/function/f_tcm.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415'), NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: remoteproc: core: Fix ida_free call while not allocated In the rproc_alloc() function, on error, put_device(&rproc->dev) is called, leading to the call of the rproc_type_release() function. An error can occurs before ida_alloc is called. In such case in rproc_type_release(), the condition (rproc->index >= 0) is true as rproc->index has been initialized to 0. ida_free() is called reporting a warning: [ 4.181906] WARNING: CPU: 1 PID: 24 at lib/idr.c:525 ida_free+0x100/0x164 [ 4.186378] stm32-display-dsi 5a000000.dsi: Fixed dependency cycle(s) with /soc/dsi@5a000000/panel@0 [ 4.188854] ida_free called for id=0 which is not allocated. [ 4.198256] mipi-dsi 5a000000.dsi.0: Fixed dependency cycle(s) with /soc/dsi@5a000000 [ 4.203556] Modules linked in: panel_orisetech_otm8009a dw_mipi_dsi_stm(+) gpu_sched dw_mipi_dsi stm32_rproc stm32_crc32 stm32_ipcc(+) optee(+) [ 4.224307] CPU: 1 UID: 0 PID: 24 Comm: kworker/u10:0 Not tainted 6.12.0 #442 [ 4.231481] Hardware name: STM32 (Device Tree Support) [ 4.236627] Workqueue: events_unbound deferred_probe_work_func [ 4.242504] Call trace: [ 4.242522] unwind_backtrace from show_stack+0x10/0x14 [ 4.250218] show_stack from dump_stack_lvl+0x50/0x64 [ 4.255274] dump_stack_lvl from __warn+0x80/0x12c [ 4.260134] __warn from warn_slowpath_fmt+0x114/0x188 [ 4.265199] warn_slowpath_fmt from ida_free+0x100/0x164 [ 4.270565] ida_free from rproc_type_release+0x38/0x60 [ 4.275832] rproc_type_release from device_release+0x30/0xa0 [ 4.281601] device_release from kobject_put+0xc4/0x294 [ 4.286762] kobject_put from rproc_alloc.part.0+0x208/0x28c [ 4.292430] rproc_alloc.part.0 from devm_rproc_alloc+0x80/0xc4 [ 4.298393] devm_rproc_alloc from stm32_rproc_probe+0xd0/0x844 [stm32_rproc] [ 4.305575] stm32_rproc_probe [stm32_rproc] from platform_probe+0x5c/0xbc Calling ida_alloc earlier in rproc_alloc ensures that the rproc->index is properly set. Уязвимость функции rproc_alloc() драйвера remoteproc (drivers/remoteproc/remoteproc_core.c) ядра операционных систем Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: idpf: convert workqueues to unbound When a workqueue is created with `WQ_UNBOUND`, its work items are served by special worker-pools, whose host workers are not bound to any specific CPU. In the default configuration (i.e. when `queue_delayed_work` and friends do not specify which CPU to run the work item on), `WQ_UNBOUND` allows the work item to be executed on any CPU in the same node of the CPU it was enqueued on. While this solution potentially sacrifices locality, it avoids contention with other processes that might dominate the CPU time of the processor the work item was scheduled on. This is not just a theoretical problem: in a particular scenario misconfigured process was hogging most of the time from CPU0, leaving less than 0.5% of its CPU time to the kworker. The IDPF workqueues that were using the kworker on CPU0 suffered large completion delays as a result, causing performance degradation, timeouts and eventual system crash. * I have also run a manual test to gauge the performance improvement. The test consists of an antagonist process (`./stress --cpu 2`) consuming as much of CPU 0 as possible. This process is run under `taskset 01` to bind it to CPU0, and its priority is changed with `chrt -pQ 9900 10000 ${pid}` and `renice -n -20 ${pid}` after start. Then, the IDPF driver is forced to prefer CPU0 by editing all calls to `queue_delayed_work`, `mod_delayed_work`, etc... to use CPU 0. Finally, `ktraces` for the workqueue events are collected. Without the current patch, the antagonist process can force arbitrary delays between `workqueue_queue_work` and `workqueue_execute_start`, that in my tests were as high as `30ms`. With the current patch applied, the workqueue can be migrated to another unloaded CPU in the same node, and, keeping everything else equal, the maximum delay I could see was `6us`. Уязвимость функции idpf_probe() драйвера сетевых адаптеров Intel (drivers/net/ethernet/intel/idpf/idpf_main.c) ядра операционных систем Linux связана с ошибками синхронизации при использовании общего ресурса («Ситуация гонки»). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ubifs: skip dumping tnc tree when zroot is null Clearing slab cache will free all znode in memory and make c->zroot.znode = NULL, then dumping tnc tree will access c->zroot.znode which cause null pointer dereference. Уязвимость функции ubifs_dump_tnc() файловой системы UBIFS (fs/ubifs/debug.c) ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Reject struct_ops registration that uses module ptr and the module btf_id is missing There is a UAF report in the bpf_struct_ops when CONFIG_MODULES=n. In particular, the report is on tcp_congestion_ops that has a "struct module *owner" member. For struct_ops that has a "struct module *owner" member, it can be extended either by the regular kernel module or by the bpf_struct_ops. bpf_try_module_get() will be used to do the refcounting and different refcount is done based on the owner pointer. When CONFIG_MODULES=n, the btf_id of the "struct module" is missing: WARN: resolve_btfids: unresolved symbol module Thus, the bpf_try_module_get() cannot do the correct refcounting. Not all subsystem's struct_ops requires the "struct module *owner" member. e.g. the recent sched_ext_ops. This patch is to disable bpf_struct_ops registration if the struct_ops has the "struct module *" member and the "struct module" btf_id is missing. The btf_type_is_fwd() helper is moved to the btf.h header file for this test. This has happened since the beginning of bpf_struct_ops which has gone through many changes. The Fixes tag is set to a recent commit that this patch can apply cleanly. Considering CONFIG_MODULES=n is not common and the age of the issue, targeting for bpf-next also. Уязвимость функции btf_type_is_void() компонента kernel/bpf/btf.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: prohibit deactivating all links In the internal API this calls this is a WARN_ON, but that should remain since internally we want to know about bugs that may cause this. Prevent deactivating all links in the debugfs write directly. Уязвимость функции ieee80211_if_parse_active_links() модуля net/mac80211/debugfs_netdev.c ядра операционных систем Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: avoid NULL pointer dereference When iterating over the links of a vif, we need to make sure that the pointer is valid (in other words - that the link exists) before dereferncing it. Use for_each_vif_active_link that also does the check. Уязвимость функции iwl_mvm_bt_coex_notif_iterator() драйвера iwlwifi (drivers/net/wireless/intel/iwlwifi/mvm/coex.c) ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtlwifi: fix memory leaks and invalid access at probe error path Deinitialize at reverse order when probe fails. When init_sw_vars fails, rtl_deinit_core should not be called, specially now that it destroys the rtl_wq workqueue. And call rtl_pci_deinit and deinit_sw_vars, otherwise, memory will be leaked. Remove pci_set_drvdata call as it will already be cleaned up by the core driver code and could lead to memory leaks too. cf. commit 8d450935ae7f ("wireless: rtlwifi: remove unnecessary pci_set_drvdata()") and commit 3d86b93064c7 ("rtlwifi: Fix PCI probe error path orphaned memory"). Уязвимость функции rtl_pci_probe() драйвера (drivers/net/wireless/realtek/rtlwifi/pci.c) ядра операционных систем Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: tests: Fix potential NULL dereference in test_cfg80211_parse_colocated_ap() kunit_kzalloc() may return NULL, dereferencing it without NULL check may lead to NULL dereference. Add a NULL check for ies. Уязвимость функции test_cfg80211_parse_colocated_ap() компонента wireless/tests/scan.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: OPP: fix dev_pm_opp_find_bw_*() when bandwidth table not initialized If a driver calls dev_pm_opp_find_bw_ceil/floor() the retrieve bandwidth from the OPP table but the bandwidth table was not created because the interconnect properties were missing in the OPP consumer node, the kernel will crash with: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000004 ... pc : _read_bw+0x8/0x10 lr : _opp_table_find_key+0x9c/0x174 ... Call trace: _read_bw+0x8/0x10 (P) _opp_table_find_key+0x9c/0x174 (L) _find_key+0x98/0x168 dev_pm_opp_find_bw_ceil+0x50/0x88 ... In order to fix the crash, create an assert function to check if the bandwidth table was created before trying to get a bandwidth with _read_bw(). Уязвимость функций dev_pm_opp_find_bw_ceil(), dev_pm_opp_find_bw_floor() компонента drivers/opp/core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rtc: pcf85063: fix potential OOB write in PCF85063 NVMEM read The nvmem interface supports variable buffer sizes, while the regmap interface operates with fixed-size storage. If an nvmem client uses a buffer size less than 4 bytes, regmap_read will write out of bounds as it expects the buffer to point at an unsigned int. Fix this by using an intermediary unsigned int to hold the value. Уязвимость функции pcf85063_nvmem_read() компонента drivers/rtc/rtc-pcf85063.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: bpf_local_storage: Always use bpf_mem_alloc in PREEMPT_RT In PREEMPT_RT, kmalloc(GFP_ATOMIC) is still not safe in non preemptible context. bpf_mem_alloc must be used in PREEMPT_RT. This patch is to enforce bpf_mem_alloc in the bpf_local_storage when CONFIG_PREEMPT_RT is enabled. [ 35.118559] BUG: sleeping function called from invalid context at kernel/locking/spinlock_rt.c:48 [ 35.118566] in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 1832, name: test_progs [ 35.118569] preempt_count: 1, expected: 0 [ 35.118571] RCU nest depth: 1, expected: 1 [ 35.118577] INFO: lockdep is turned off. ... [ 35.118647] __might_resched+0x433/0x5b0 [ 35.118677] rt_spin_lock+0xc3/0x290 [ 35.118700] ___slab_alloc+0x72/0xc40 [ 35.118723] __kmalloc_noprof+0x13f/0x4e0 [ 35.118732] bpf_map_kzalloc+0xe5/0x220 [ 35.118740] bpf_selem_alloc+0x1d2/0x7b0 [ 35.118755] bpf_local_storage_update+0x2fa/0x8b0 [ 35.118784] bpf_sk_storage_get_tracing+0x15a/0x1d0 [ 35.118791] bpf_prog_9a118d86fca78ebb_trace_inet_sock_set_state+0x44/0x66 [ 35.118795] bpf_trace_run3+0x222/0x400 [ 35.118820] __bpf_trace_inet_sock_set_state+0x11/0x20 [ 35.118824] trace_inet_sock_set_state+0x112/0x130 [ 35.118830] inet_sk_state_store+0x41/0x90 [ 35.118836] tcp_set_state+0x3b3/0x640 There is no need to adjust the gfp_flags passing to the bpf_mem_cache_alloc_flags() which only honors the GFP_KERNEL. The verifier has ensured GFP_KERNEL is passed only in sleepable context. It has been an old issue since the first introduction of the bpf_local_storage ~5 years ago, so this patch targets the bpf-next. bpf_mem_alloc is needed to solve it, so the Fixes tag is set to the commit when bpf_mem_alloc was first used in the bpf_local_storage. Уязвимость компонента bpf_local_storage.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: team: prevent adding a device which is already a team device lower Prevent adding a device which is already a team device lower, e.g. adding veth0 if vlan1 was already added and veth0 is a lower of vlan1. This is not useful in practice and can lead to recursive locking: $ ip link add veth0 type veth peer name veth1 $ ip link set veth0 up $ ip link set veth1 up $ ip link add link veth0 name veth0.1 type vlan protocol 802.1Q id 1 $ ip link add team0 type team $ ip link set veth0.1 down $ ip link set veth0.1 master team0 team0: Port device veth0.1 added $ ip link set veth0 down $ ip link set veth0 master team0 ============================================ WARNING: possible recursive locking detected 6.13.0-rc2-virtme-00441-ga14a429069bb #46 Not tainted -------------------------------------------- ip/7684 is trying to acquire lock: ffff888016848e00 (team->team_lock_key){+.+.}-{4:4}, at: team_device_event (drivers/net/team/team_core.c:2928 drivers/net/team/team_core.c:2951 drivers/net/team/team_core.c:2973) but task is already holding lock: ffff888016848e00 (team->team_lock_key){+.+.}-{4:4}, at: team_add_slave (drivers/net/team/team_core.c:1147 drivers/net/team/team_core.c:1977) other info that might help us debug this: Possible unsafe locking scenario: CPU0 ---- lock(team->team_lock_key); lock(team->team_lock_key); *** DEADLOCK *** May be due to missing lock nesting notation 2 locks held by ip/7684: stack backtrace: CPU: 3 UID: 0 PID: 7684 Comm: ip Not tainted 6.13.0-rc2-virtme-00441-ga14a429069bb #46 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 Call Trace: <TASK> dump_stack_lvl (lib/dump_stack.c:122) print_deadlock_bug.cold (kernel/locking/lockdep.c:3040) __lock_acquire (kernel/locking/lockdep.c:3893 kernel/locking/lockdep.c:5226) ? netlink_broadcast_filtered (net/netlink/af_netlink.c:1548) lock_acquire.part.0 (kernel/locking/lockdep.c:467 kernel/locking/lockdep.c:5851) ? team_device_event (drivers/net/team/team_core.c:2928 drivers/net/team/team_core.c:2951 drivers/net/team/team_core.c:2973) ? trace_lock_acquire (./include/trace/events/lock.h:24 (discriminator 2)) ? team_device_event (drivers/net/team/team_core.c:2928 drivers/net/team/team_core.c:2951 drivers/net/team/team_core.c:2973) ? lock_acquire (kernel/locking/lockdep.c:5822) ? team_device_event (drivers/net/team/team_core.c:2928 drivers/net/team/team_core.c:2951 drivers/net/team/team_core.c:2973) __mutex_lock (kernel/locking/mutex.c:587 kernel/locking/mutex.c:735) ? team_device_event (drivers/net/team/team_core.c:2928 drivers/net/team/team_core.c:2951 drivers/net/team/team_core.c:2973) ? team_device_event (drivers/net/team/team_core.c:2928 drivers/net/team/team_core.c:2951 drivers/net/team/team_core.c:2973) ? fib_sync_up (net/ipv4/fib_semantics.c:2167) ? team_device_event (drivers/net/team/team_core.c:2928 drivers/net/team/team_core.c:2951 drivers/net/team/team_core.c:2973) team_device_event (drivers/net/team/team_core.c:2928 drivers/net/team/team_core.c:2951 drivers/net/team/team_core.c:2973) notifier_call_chain (kernel/notifier.c:85) call_netdevice_notifiers_info (net/core/dev.c:1996) __dev_notify_flags (net/core/dev.c:8993) ? __dev_change_flags (net/core/dev.c:8975) dev_change_flags (net/core/dev.c:9027) vlan_device_event (net/8021q/vlan.c:85 net/8021q/vlan.c:470) ? br_device_event (net/bridge/br.c:143) notifier_call_chain (kernel/notifier.c:85) call_netdevice_notifiers_info (net/core/dev.c:1996) dev_open (net/core/dev.c:1519 net/core/dev.c:1505) team_add_slave (drivers/net/team/team_core.c:1219 drivers/net/team/team_core.c:1977) ? __pfx_team_add_slave (drivers/net/team/team_core.c:1972) do_set_master (net/core/rtnetlink.c:2917) do_setlink.isra.0 (net/core/rtnetlink.c:3117) Уязвимость функции team_port_add() компонента drivers/net/team/team_core.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtlwifi: remove unused check_buddy_priv Commit 2461c7d60f9f ("rtlwifi: Update header file") introduced a global list of private data structures. Later on, commit 26634c4b1868 ("rtlwifi Modify existing bits to match vendor version 2013.02.07") started adding the private data to that list at probe time and added a hook, check_buddy_priv to find the private data from a similar device. However, that function was never used. Besides, though there is a lock for that list, it is never used. And when the probe fails, the private data is never removed from the list. This would cause a second probe to access freed memory. Remove the unused hook, structures and members, which will prevent the potential race condition on the list and its corruption during a second probe when probe fails. Уязвимость компонентов realtek/rtlwifi операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: tegra - do not transfer req when tegra init fails The tegra_cmac_init or tegra_sha_init function may return an error when memory is exhausted. It should not transfer the request when they return an error. Уязвимость компонентов tegra-se-aes.c, tegra-se-hash.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clk: qcom: gcc-sm6350: Add missing parent_map for two clocks If a clk_rcg2 has a parent, it should also have parent_map defined, otherwise we'll get a NULL pointer dereference when calling clk_set_rate like the following: [ 3.388105] Call trace: [ 3.390664] qcom_find_src_index+0x3c/0x70 (P) [ 3.395301] qcom_find_src_index+0x1c/0x70 (L) [ 3.399934] _freq_tbl_determine_rate+0x48/0x100 [ 3.404753] clk_rcg2_determine_rate+0x1c/0x28 [ 3.409387] clk_core_determine_round_nolock+0x58/0xe4 [ 3.421414] clk_core_round_rate_nolock+0x48/0xfc [ 3.432974] clk_core_round_rate_nolock+0xd0/0xfc [ 3.444483] clk_core_set_rate_nolock+0x8c/0x300 [ 3.455886] clk_set_rate+0x38/0x14c Add the parent_map property for two clocks where it's missing and also un-inline the parent_data as well to keep the matching parent_map and parent_data together. Уязвимость компонента qcom/gcc-sm6350.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: soc-pcm: don't use soc_pcm_ret() on .prepare callback commit 1f5664351410 ("ASoC: lower "no backend DAIs enabled for ... Port" log severity") ignores -EINVAL error message on common soc_pcm_ret(). It is used from many functions, ignoring -EINVAL is over-kill. The reason why -EINVAL was ignored was it really should only be used upon invalid parameters coming from userspace and in that case we don't want to log an error since we do not want to give userspace a way to do a denial-of-service attack on the syslog / diskspace. So don't use soc_pcm_ret() on .prepare callback is better idea. Уязвимость компонента soc-pcm.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: misc: misc_minor_alloc to use ida for all dynamic/misc dynamic minors misc_minor_alloc was allocating id using ida for minor only in case of MISC_DYNAMIC_MINOR but misc_minor_free was always freeing ids using ida_free causing a mismatch and following warn: > > WARNING: CPU: 0 PID: 159 at lib/idr.c:525 ida_free+0x3e0/0x41f > > ida_free called for id=127 which is not allocated. > > <<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<< ... > > [<60941eb4>] ida_free+0x3e0/0x41f > > [<605ac993>] misc_minor_free+0x3e/0xbc > > [<605acb82>] misc_deregister+0x171/0x1b3 misc_minor_alloc is changed to allocate id from ida for all minors falling in the range of dynamic/ misc dynamic minors Уязвимость компонента misc.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: uvcvideo: Fix crash during unbind if gpio unit is in use We used the wrong device for the device managed functions. We used the usb device, when we should be using the interface device. If we unbind the driver from the usb interface, the cleanup functions are never called. In our case, the IRQ is never disabled. If an IRQ is triggered, it will try to access memory sections that are already free, causing an OOPS. We cannot use the function devm_request_threaded_irq here. The devm_* clean functions may be called after the main structure is released by uvc_delete. Luckily this bug has small impact, as it is only affected by devices with gpio units and the user has to unbind the device, a disconnect will not trigger this error. Уязвимость компонента uvcvideo ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clk: qcom: dispcc-sm6350: Add missing parent_map for a clock If a clk_rcg2 has a parent, it should also have parent_map defined, otherwise we'll get a NULL pointer dereference when calling clk_set_rate like the following: [ 3.388105] Call trace: [ 3.390664] qcom_find_src_index+0x3c/0x70 (P) [ 3.395301] qcom_find_src_index+0x1c/0x70 (L) [ 3.399934] _freq_tbl_determine_rate+0x48/0x100 [ 3.404753] clk_rcg2_determine_rate+0x1c/0x28 [ 3.409387] clk_core_determine_round_nolock+0x58/0xe4 [ 3.421414] clk_core_round_rate_nolock+0x48/0xfc [ 3.432974] clk_core_round_rate_nolock+0xd0/0xfc [ 3.444483] clk_core_set_rate_nolock+0x8c/0x300 [ 3.455886] clk_set_rate+0x38/0x14c Add the parent_map property for the clock where it's missing and also un-inline the parent_data as well to keep the matching parent_map and parent_data together. Уязвимость компонента qcom/dispcc-sm6350.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clk: mmp2: call pm_genpd_init() only after genpd.name is set Setting the genpd's struct device's name with dev_set_name() is happening within pm_genpd_init(). If it remains NULL, things can blow up later, such as when crafting the devfs hierarchy for the power domain: Unable to handle kernel NULL pointer dereference at virtual address 00000000 when read ... Call trace: strlen from start_creating+0x90/0x138 start_creating from debugfs_create_dir+0x20/0x178 debugfs_create_dir from genpd_debug_add.part.0+0x4c/0x144 genpd_debug_add.part.0 from genpd_debug_init+0x74/0x90 genpd_debug_init from do_one_initcall+0x5c/0x244 do_one_initcall from kernel_init_freeable+0x19c/0x1f4 kernel_init_freeable from kernel_init+0x1c/0x12c kernel_init from ret_from_fork+0x14/0x28 Bisecting tracks this crash back to commit 899f44531fe6 ("pmdomain: core: Add GENPD_FLAG_DEV_NAME_FW flag"), which exchanges use of genpd->name with dev_name(&genpd->dev) in genpd_debug_add.part(). Уязвимость компонента drivers/clk/mmp/pwr-island.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: nuvoton: Fix an error check in npcm_video_ece_init() When function of_find_device_by_node() fails, it returns NULL instead of an error code. So the corresponding error check logic should be modified to check whether the return value is NULL and set the error code to be returned as -ENODEV. Уязвимость компонента npcm-video.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: Explicitly verify target vCPU is online in kvm_get_vcpu() Explicitly verify the target vCPU is fully online _prior_ to clamping the index in kvm_get_vcpu(). If the index is "bad", the nospec clamping will generate '0', i.e. KVM will return vCPU0 instead of NULL. In practice, the bug is unlikely to cause problems, as it will only come into play if userspace or the guest is buggy or misbehaving, e.g. KVM may send interrupts to vCPU0 instead of dropping them on the floor. However, returning vCPU0 when it shouldn't exist per online_vcpus is problematic now that KVM uses an xarray for the vCPUs array, as KVM needs to insert into the xarray before publishing the vCPU to userspace (see commit c5b077549136 ("KVM: Convert the kvm->vcpus array to a xarray")), i.e. before vCPU creation is guaranteed to succeed. As a result, incorrectly providing access to vCPU0 will trigger a use-after-free if vCPU0 is dereferenced and kvm_vm_ioctl_create_vcpu() bails out of vCPU creation due to an error and frees vCPU0. Commit afb2acb2e3a3 ("KVM: Fix vcpu_array[0] races") papered over that issue, but in doing so introduced an unsolvable teardown conundrum. Preventing accesses to vCPU0 before it's fully online will allow reverting commit afb2acb2e3a3, without re-introducing the vcpu_array[0] UAF race. Уязвимость компонента include/linux/kvm_host.h ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: firmware: qcom: scm: Fix missing read barrier in qcom_scm_get_tzmem_pool() Commit 2e4955167ec5 ("firmware: qcom: scm: Fix __scm and waitq completion variable initialization") introduced a write barrier in probe function to store global '__scm' variable. We all known barriers are paired (see memory-barriers.txt: "Note that write barriers should normally be paired with read or address-dependency barriers"), therefore accessing it from concurrent contexts requires read barrier. Previous commit added such barrier in qcom_scm_is_available(), so let's use that directly. Lack of this read barrier can result in fetching stale '__scm' variable value, NULL, and dereferencing it. Note that barrier in qcom_scm_is_available() satisfies here the control dependency. Уязвимость функции qcom_scm_get_tzmem_pool() компонента qcom_scm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tomoyo: don't emit warning in tomoyo_write_control() syzbot is reporting too large allocation warning at tomoyo_write_control(), for one can write a very very long line without new line character. To fix this warning, I use __GFP_NOWARN rather than checking for KMALLOC_MAX_SIZE, for practically a valid line should be always shorter than 32KB where the "too small to fail" memory-allocation rule applies. One might try to write a valid line that is longer than 32KB, but such request will likely fail with -ENOMEM. Therefore, I feel that separately returning -EINVAL when a line is longer than KMALLOC_MAX_SIZE is redundant. There is no need to distinguish over-32KB and over-KMALLOC_MAX_SIZE. Уязвимость функции tomoyo_write_control() компонента tomoyo/common.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/v3d: Stop active perfmon if it is being destroyed If the active performance monitor (`v3d->active_perfmon`) is being destroyed, stop it first. Currently, the active perfmon is not stopped during destruction, leaving the `v3d->active_perfmon` pointer stale. This can lead to undefined behavior and instability. This patch ensures that the active perfmon is stopped before being destroyed, aligning with the behavior introduced in commit 7d1fd3638ee3 ("drm/v3d: Stop the active perfmon before being destroyed"). Уязвимость функции v3d_perfmon_destroy_ioctl() компонента v3d_perfmon.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix deadlock when freeing cgroup storage The following commit bc235cdb423a ("bpf: Prevent deadlock from recursive bpf_task_storage_[get|delete]") first introduced deadlock prevention for fentry/fexit programs attaching on bpf_task_storage helpers. That commit also employed the logic in map free path in its v6 version. Later bpf_cgrp_storage was first introduced in c4bcfb38a95e ("bpf: Implement cgroup storage available to non-cgroup-attached bpf progs") which faces the same issue as bpf_task_storage, instead of its busy counter, NULL was passed to bpf_local_storage_map_free() which opened a window to cause deadlock: <TASK> (acquiring local_storage->lock) _raw_spin_lock_irqsave+0x3d/0x50 bpf_local_storage_update+0xd1/0x460 bpf_cgrp_storage_get+0x109/0x130 bpf_prog_a4d4a370ba857314_cgrp_ptr+0x139/0x170 ? __bpf_prog_enter_recur+0x16/0x80 bpf_trampoline_6442485186+0x43/0xa4 cgroup_storage_ptr+0x9/0x20 (holding local_storage->lock) bpf_selem_unlink_storage_nolock.constprop.0+0x135/0x160 bpf_selem_unlink_storage+0x6f/0x110 bpf_local_storage_map_free+0xa2/0x110 bpf_map_free_deferred+0x5b/0x90 process_one_work+0x17c/0x390 worker_thread+0x251/0x360 kthread+0xd2/0x100 ret_from_fork+0x34/0x50 ret_from_fork_asm+0x1a/0x30 </TASK> Progs: - A: SEC("fentry/cgroup_storage_ptr") - cgid (BPF_MAP_TYPE_HASH) Record the id of the cgroup the current task belonging to in this hash map, using the address of the cgroup as the map key. - cgrpa (BPF_MAP_TYPE_CGRP_STORAGE) If current task is a kworker, lookup the above hash map using function parameter @owner as the key to get its corresponding cgroup id which is then used to get a trusted pointer to the cgroup through bpf_cgroup_from_id(). This trusted pointer can then be passed to bpf_cgrp_storage_get() to finally trigger the deadlock issue. - B: SEC("tp_btf/sys_enter") - cgrpb (BPF_MAP_TYPE_CGRP_STORAGE) The only purpose of this prog is to fill Prog A's hash map by calling bpf_cgrp_storage_get() for as many userspace tasks as possible. Steps to reproduce: - Run A; - while (true) { Run B; Destroy B; } Fix this issue by passing its busy counter to the free procedure so it can be properly incremented before storage/smap locking. Уязвимость компонента bpf_cgrp_storage.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix double accounting race when btrfs_run_delalloc_range() failed [BUG] When running btrfs with block size (4K) smaller than page size (64K, aarch64), there is a very high chance to crash the kernel at generic/750, with the following messages: (before the call traces, there are 3 extra debug messages added) BTRFS warning (device dm-3): read-write for sector size 4096 with page size 65536 is experimental BTRFS info (device dm-3): checking UUID tree hrtimer: interrupt took 5451385 ns BTRFS error (device dm-3): cow_file_range failed, root=4957 inode=257 start=1605632 len=69632: -28 BTRFS error (device dm-3): run_delalloc_nocow failed, root=4957 inode=257 start=1605632 len=69632: -28 BTRFS error (device dm-3): failed to run delalloc range, root=4957 ino=257 folio=1572864 submit_bitmap=8-15 start=1605632 len=69632: -28 ------------[ cut here ]------------ WARNING: CPU: 2 PID: 3020984 at ordered-data.c:360 can_finish_ordered_extent+0x370/0x3b8 [btrfs] CPU: 2 UID: 0 PID: 3020984 Comm: kworker/u24:1 Tainted: G OE 6.13.0-rc1-custom+ #89 Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: QEMU KVM Virtual Machine, BIOS unknown 2/2/2022 Workqueue: events_unbound btrfs_async_reclaim_data_space [btrfs] pc : can_finish_ordered_extent+0x370/0x3b8 [btrfs] lr : can_finish_ordered_extent+0x1ec/0x3b8 [btrfs] Call trace: can_finish_ordered_extent+0x370/0x3b8 [btrfs] (P) can_finish_ordered_extent+0x1ec/0x3b8 [btrfs] (L) btrfs_mark_ordered_io_finished+0x130/0x2b8 [btrfs] extent_writepage+0x10c/0x3b8 [btrfs] extent_write_cache_pages+0x21c/0x4e8 [btrfs] btrfs_writepages+0x94/0x160 [btrfs] do_writepages+0x74/0x190 filemap_fdatawrite_wbc+0x74/0xa0 start_delalloc_inodes+0x17c/0x3b0 [btrfs] btrfs_start_delalloc_roots+0x17c/0x288 [btrfs] shrink_delalloc+0x11c/0x280 [btrfs] flush_space+0x288/0x328 [btrfs] btrfs_async_reclaim_data_space+0x180/0x228 [btrfs] process_one_work+0x228/0x680 worker_thread+0x1bc/0x360 kthread+0x100/0x118 ret_from_fork+0x10/0x20 ---[ end trace 0000000000000000 ]--- BTRFS critical (device dm-3): bad ordered extent accounting, root=4957 ino=257 OE offset=1605632 OE len=16384 to_dec=16384 left=0 BTRFS critical (device dm-3): bad ordered extent accounting, root=4957 ino=257 OE offset=1622016 OE len=12288 to_dec=12288 left=0 Unable to handle kernel NULL pointer dereference at virtual address 0000000000000008 BTRFS critical (device dm-3): bad ordered extent accounting, root=4957 ino=257 OE offset=1634304 OE len=8192 to_dec=4096 left=0 CPU: 1 UID: 0 PID: 3286940 Comm: kworker/u24:3 Tainted: G W OE 6.13.0-rc1-custom+ #89 Hardware name: QEMU KVM Virtual Machine, BIOS unknown 2/2/2022 Workqueue: btrfs_work_helper [btrfs] (btrfs-endio-write) pstate: 404000c5 (nZcv daIF +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : process_one_work+0x110/0x680 lr : worker_thread+0x1bc/0x360 Call trace: process_one_work+0x110/0x680 (P) worker_thread+0x1bc/0x360 (L) worker_thread+0x1bc/0x360 kthread+0x100/0x118 ret_from_fork+0x10/0x20 Code: f84086a1 f9000fe1 53041c21 b9003361 (f9400661) ---[ end trace 0000000000000000 ]--- Kernel panic - not syncing: Oops: Fatal exception SMP: stopping secondary CPUs SMP: failed to stop secondary CPUs 2-3 Dumping ftrace buffer: (ftrace buffer empty) Kernel Offset: 0x275bb9540000 from 0xffff800080000000 PHYS_OFFSET: 0xffff8fbba0000000 CPU features: 0x100,00000070,00801250,8201720b [CAUSE] The above warning is triggered immediately after the delalloc range failure, this happens in the following sequence: - Range [1568K, 1636K) is dirty 1536K 1568K 1600K 1636K 1664K | |/////////|////////| | Where 1536K, 1600K and 1664K are page boundaries (64K page size) - Enter extent_writepage() for page 1536K - Enter run_delalloc_nocow() with locke ---truncated--- [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched/core: Prevent rescheduling when interrupts are disabled David reported a warning observed while loop testing kexec jump: Interrupts enabled after irqrouter_resume+0x0/0x50 WARNING: CPU: 0 PID: 560 at drivers/base/syscore.c:103 syscore_resume+0x18a/0x220 kernel_kexec+0xf6/0x180 __do_sys_reboot+0x206/0x250 do_syscall_64+0x95/0x180 The corresponding interrupt flag trace: hardirqs last enabled at (15573): [<ffffffffa8281b8e>] __up_console_sem+0x7e/0x90 hardirqs last disabled at (15580): [<ffffffffa8281b73>] __up_console_sem+0x63/0x90 That means __up_console_sem() was invoked with interrupts enabled. Further instrumentation revealed that in the interrupt disabled section of kexec jump one of the syscore_suspend() callbacks woke up a task, which set the NEED_RESCHED flag. A later callback in the resume path invoked cond_resched() which in turn led to the invocation of the scheduler: __cond_resched+0x21/0x60 down_timeout+0x18/0x60 acpi_os_wait_semaphore+0x4c/0x80 acpi_ut_acquire_mutex+0x3d/0x100 acpi_ns_get_node+0x27/0x60 acpi_ns_evaluate+0x1cb/0x2d0 acpi_rs_set_srs_method_data+0x156/0x190 acpi_pci_link_set+0x11c/0x290 irqrouter_resume+0x54/0x60 syscore_resume+0x6a/0x200 kernel_kexec+0x145/0x1c0 __do_sys_reboot+0xeb/0x240 do_syscall_64+0x95/0x180 This is a long standing problem, which probably got more visible with the recent printk changes. Something does a task wakeup and the scheduler sets the NEED_RESCHED flag. cond_resched() sees it set and invokes schedule() from a completely bogus context. The scheduler enables interrupts after context switching, which causes the above warning at the end. Quite some of the code paths in syscore_suspend()/resume() can result in triggering a wakeup with the exactly same consequences. They might not have done so yet, but as they share a lot of code with normal operations it's just a question of time. The problem only affects the PREEMPT_NONE and PREEMPT_VOLUNTARY scheduling models. Full preemption is not affected as cond_resched() is disabled and the preemption check preemptible() takes the interrupt disabled flag into account. Cure the problem by adding a corresponding check into cond_resched(). Уязвимость функции !defined() (kernel/sched/core.c) ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfsd: fix legacy client tracking initialization Get rid of the nfsd4_legacy_tracking_ops->init() call in check_for_legacy_methods(). That will be handled in the caller (nfsd4_client_tracking_init()). Otherwise, we'll wind up calling nfsd4_legacy_tracking_ops->init() twice, and the second time we'll trigger the BUG_ON() in nfsd4_init_recdir(). Уязвимость функции check_for_legacy_methods() компонента nfs4recover.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI/ASPM: Fix link state exit during switch upstream function removal Before 456d8aa37d0f ("PCI/ASPM: Disable ASPM on MFD function removal to avoid use-after-free"), we would free the ASPM link only after the last function on the bus pertaining to the given link was removed. That was too late. If function 0 is removed before sibling function, link->downstream would point to free'd memory after. After above change, we freed the ASPM parent link state upon any function removal on the bus pertaining to a given link. That is too early. If the link is to a PCIe switch with MFD on the upstream port, then removing functions other than 0 first would free a link which still remains parent_link to the remaining downstream ports. The resulting GPFs are especially frequent during hot-unplug, because pciehp removes devices on the link bus in reverse order. On that switch, function 0 is the virtual P2P bridge to the internal bus. Free exactly when function 0 is removed -- before the parent link is obsolete, but after all subordinate links are gone. [kwilczynski: commit log] Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: track changes_pkt_data property for global functions When processing calls to certain helpers, verifier invalidates all packet pointers in a current state. For example, consider the following program: __attribute__((__noinline__)) long skb_pull_data(struct __sk_buff *sk, __u32 len) { return bpf_skb_pull_data(sk, len); } SEC("tc") int test_invalidate_checks(struct __sk_buff *sk) { int *p = (void *)(long)sk->data; if ((void *)(p + 1) > (void *)(long)sk->data_end) return TCX_DROP; skb_pull_data(sk, 0); *p = 42; return TCX_PASS; } After a call to bpf_skb_pull_data() the pointer 'p' can't be used safely. See function filter.c:bpf_helper_changes_pkt_data() for a list of such helpers. At the moment verifier invalidates packet pointers when processing helper function calls, and does not traverse global sub-programs when processing calls to global sub-programs. This means that calls to helpers done from global sub-programs do not invalidate pointers in the caller state. E.g. the program above is unsafe, but is not rejected by verifier. This commit fixes the omission by computing field bpf_subprog_info->changes_pkt_data for each sub-program before main verification pass. changes_pkt_data should be set if: - subprogram calls helper for which bpf_helper_changes_pkt_data returns true; - subprogram calls a global function, for which bpf_subprog_info->changes_pkt_data should be set. The verifier.c:check_cfg() pass is modified to compute this information. The commit relies on depth first instruction traversal done by check_cfg() and absence of recursive function calls: - check_cfg() would eventually visit every call to subprogram S in a state when S is fully explored; - when S is fully explored: - every direct helper call within S is explored (and thus changes_pkt_data is set if needed); - every call to subprogram S1 called by S was visited with S1 fully explored (and thus S inherits changes_pkt_data from S1). The downside of such approach is that dead code elimination is not taken into account: if a helper call inside global function is dead because of current configuration, verifier would conservatively assume that the call occurs for the purpose of the changes_pkt_data computation. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: check changes_pkt_data property for extension programs When processing calls to global sub-programs, verifier decides whether to invalidate all packet pointers in current state depending on the changes_pkt_data property of the global sub-program. Because of this, an extension program replacing a global sub-program must be compatible with changes_pkt_data property of the sub-program being replaced. This commit: - adds changes_pkt_data flag to struct bpf_prog_aux: - this flag is set in check_cfg() for main sub-program; - in jit_subprogs() for other sub-programs; - modifies bpf_check_attach_btf_id() to check changes_pkt_data flag; - moves call to check_attach_btf_id() after the call to check_cfg(), because it needs changes_pkt_data flag to be set: bpf_check: ... ... - check_attach_btf_id resolve_pseudo_ldimm64 resolve_pseudo_ldimm64 --> bpf_prog_is_offloaded bpf_prog_is_offloaded check_cfg check_cfg + check_attach_btf_id ... ... The following fields are set by check_attach_btf_id(): - env->ops - prog->aux->attach_btf_trace - prog->aux->attach_func_name - prog->aux->attach_func_proto - prog->aux->dst_trampoline - prog->aux->mod - prog->aux->saved_dst_attach_type - prog->aux->saved_dst_prog_type - prog->expected_attach_type Neither of these fields are used by resolve_pseudo_ldimm64() or bpf_prog_offload_verifier_prep() (for netronome and netdevsim drivers), so the reordering is safe. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 389-ds-base A denial of service vulnerability was found in the 389-ds-base LDAP server. This issue may allow an authenticated user to cause a server denial of service while attempting to log in with a user with a malformed hash in their password. Уязвимость сервера службы каталогов 389 Directory Server связана с неправильной проверкой согласованности во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1288')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.7) Astra Linux 1.8 389-ds-base A flaw was found in the 389 Directory Server. This flaw allows an unauthenticated user to cause a systematic server crash while sending a specific extended search request, leading to a denial of service. Уязвимость сервера службы каталогов 389 Directory Server связана с некорректной обработкой пропущенных значений. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-230')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 mongo-c-driver The bson_strfreev function in the MongoDB C driver library may be susceptible to an integer overflow where the function will try to free memory at a negative offset. This may result in memory corruption. This issue affected libbson versions prior to 1.26.2 Уязвимость функции bson_strfreev() библиотеки libbson драйвера системы управления базами данных MongoDB C Driver связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-680')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=4.0) mongo-c-driver: - Запускайте mongo-c-driver с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам mongo-c-driver так, чтобы их могли изменять только администраторы системы. - Задействуйте контейнеризацию (например, Docker) Astra Linux 1.8 mongo-c-driver The bson_string_append function in MongoDB C Driver may be vulnerable to a buffer overflow where the function might attempt to allocate too small of buffer and may lead to memory corruption of neighbouring heap memory. This issue affects libbson versions prior to 1.27.1 Уязвимость функции bson_string_append библиотеки libbson драйвера системы управления базами данных MongoDB связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании или повредить память [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) mongo-c-driver: - Запускайте mongo-c-driver с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам mongo-c-driver так, чтобы их могли изменять только администраторы системы. - Задействуйте контейнеризацию (например, Docker) Astra Linux 1.8 python3.11 There is a MEDIUM severity vulnerability affecting CPython. The email module didn’t properly quote newlines for email headers when serializing an email message allowing for header injection when an email is serialized. Уязвимость модуля email интерпретатора языка программирования Python связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L', score=5.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 protobuf Any project that parses untrusted Protocol Buffers data containing an arbitrary number of nested groups / series of SGROUP tags can corrupted by exceeding the stack limit i.e. StackOverflow. Parsing nested groups as unknown fields with DiscardUnknownFieldsParser or Java Protobuf Lite parser, or against Protobuf map fields, creates unbounded recursions that can be abused by an attacker. Уязвимость библиотеки среды выполнения Java Protocol Buffers protobuf-java связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) protobuf: - Использовать ПО protobuf только на низком или отдельно выделенном уровне целостности - При использовании ПО protobuf выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска protobuf только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды protobuf-c: - включить защиту файловой системы ("установить МКЦ на ФС"); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - по возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 libnbd A flaw was found in libnbd. The client did not always correctly verify the NBD server's certificate when using TLS to connect to an NBD server. This issue allows a man-in-the-middle attack on NBD traffic. Уязвимость набора инструментов для работы с Network Block Device Libnbd связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N', score=7.4) libnbd: - Обеспечить возможность использования библиотеки libnbd только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 expat, firefox, thunderbird A stack overflow vulnerability exists in the libexpat library due to the way it handles recursive entity expansion in XML documents. When parsing an XML document with deeply nested entity references, libexpat can be forced to recurse indefinitely, exhausting the stack space and causing a crash. This issue could lead to denial of service (DoS) or, in some cases, exploitable memory corruption, depending on the environment and library usage. Уязвимость библиотеки для анализа XML-файлов Expat связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Для нейтрализации угрозы эксплуатации уязвимости для ПО Thunderbird необходимо выполнить одно из следующих требований: - удалить ПО Thunderbird, если оно не используется; - отказаться от использования ПО Thunderbird в пользу ПО Evolution; - обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail. Для нейтрализации угрозы эксплуатации уязвимости для ПО expat необходимо выполнить одно из следующих требований: - При использовании ПО expat выполнять обработку файлов, полученных только из доверенных источников - По возможности запускайте приложения, использующие ПО expat, в изолированной программной среде с применением инструмента Firejail - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Для нейтрализации угрозы эксплуатации уязвимости для ПО libxmltok необходимо выполнить одно из следующих требований: - Удалить ПО libxmltok, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxmltok в пользу ПО expat или libxml2 - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 unbound NLnet Labs Unbound up to and including version 1.21.0 contains a vulnerability when handling replies with very large RRsets that it needs to perform name compression for. Malicious upstreams responses with very large RRsets can cause Unbound to spend a considerable time applying name compression to downstream replies. This can lead to degraded performance and eventually denial of service in well orchestrated attacks. The vulnerability can be exploited by a malicious actor querying Unbound for the specially crafted contents of a malicious zone with very large RRsets. Before Unbound replies to the query it will try to apply name compression which was an unbounded operation that could lock the CPU until the whole packet was complete. Unbound version 1.21.1 introduces a hard limit on the number of name compression calculations it is willing to do per packet. Packets that need more compression will result in semi-compressed packets or truncated packets, even on TCP for huge messages, to avoid locking the CPU for long. This change should not affect normal DNS traffic. Уязвимость DNS-сервера Unbound связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-606'), NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) unbound: - включить и настроить межсетевой экран ufw для фильтрации трафика; - запускайте unbound с минимально необходимыми привилегиями; - обеспечить возможность запуска ПО unbound только доверенными, обладающими соответствующими привилегиями пользователями ОС; - активировать и настроить профили пользователей для работы в режиме Киоск-2. Astra Linux 1.8 ansible-core A flaw was found in Ansible, where sensitive information stored in Ansible Vault files can be exposed in plaintext during the execution of a playbook. This occurs when using tasks such as include_vars to load vaulted variables without setting the no_log: true parameter, resulting in sensitive data being printed in the playbook output or logs. This can lead to the unintentional disclosure of secrets like passwords or API keys, compromising security and potentially allowing unauthorized access or actions. Уязвимость систем управления конфигурациями Ansible Core и Ansible связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-532')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) Astra Linux 1.8 python3.11 A vulnerability has been found in the CPython `venv` module and CLI where path names provided when creating a virtual environment were not quoted properly, allowing the creator to inject commands into virtual environment "activation" scripts (ie "source venv/bin/activate"). This means that attacker-controlled virtual environments are able to run commands when the virtual environment is activated. Virtual environments which are not created by an attacker or which aren't activated before being used (ie "./venv/bin/python") are not affected. Уязвимость модуля `venv` интерпретатора языка программирования Python связана с отсутствием кавычек в написании элементов или путей поиска. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-428'), NistCWE(cwe='CWE-77')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ansible-core A flaw was found in Ansible. The ansible-core `user` module can allow an unprivileged user to silently create or replace the contents of any file on any system path and take ownership of it when a privileged user executes the `user` module against the unprivileged user's home directory. If the unprivileged user has traversal permissions on the directory containing the exploited target file, they retain full control over the contents of the file as its owner. Уязвимость модуля `user` систем управления конфигурациями Ansible Core и Ansible связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:L', score=6.3) Astra Linux 1.8 curl When asked to use a `.netrc` file for credentials **and** to follow HTTP redirects, curl could leak the password used for the first host to the followed-to host under certain circumstances. This flaw only manifests itself if the netrc file has a `default` entry that omits both login and password. A rare circumstance. Уязвимость программного средства для взаимодействия с серверами cURL связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N', score=3.4) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 glibc When the assert() function in the GNU C Library versions 2.13 to 2.40 fails, it does not allocate enough space for the assertion failure message string and size information, which may lead to a buffer overflow if the message string size aligns to page size. Уязвимость функции assert системной библиотеки GNU C Library связана с некорректными вычислениями размера выделяемого буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) glibc: - Выполнять регламентный контроль целостности системы для избежания запуска недоверенных программ - При использовании ПО glibc выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 chromium Use after free in Skia in Google Chrome prior to 133.0.6943.53 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость графической библиотеки Skia браузеров Google Chrome и Microsoft Edge связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 133.0.6943.53 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions API in Google Chrome prior to 133.0.6943.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions API браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации с помощью специального расширения Chrome [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 grub2 A flaw was found in command/gpg. In some scenarios, hooks created by loaded modules are not removed when the related module is unloaded. This flaw allows an attacker to force grub2 to call the hooks once the module that registered it was unloaded, leading to a use-after-free vulnerability. If correctly exploited, this vulnerability may result in arbitrary code execution, eventually allowing the attacker to bypass secure boot protections. Уязвимость компонента command/gpg конфигурационного файла Grub связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A flaw was found in grub2. During the network boot process, when trying to search for the configuration file, grub copies data from a user controlled environment variable into an internal buffer using the grub_strcpy() function. During this step, it fails to consider the environment variable length when allocating the internal buffer, resulting in an out-of-bounds write. If correctly exploited, this issue may result in remote code execution through the same network segment grub is searching for the boot information, which can be used to by-pass secure boot protections. Уязвимость функции grub_net_search_config_file() конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:A/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H', score=7.6) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A flaw was found in grub2. When performing a symlink lookup, the grub's UFS module checks the inode's data size to allocate the internal buffer to read the file content, however, it fails to check if the symlink data size has overflown. When this occurs, grub_malloc() may be called with a smaller value than needed. When further reading the data from the disk into the buffer, the grub_ufs_lookup_symlink() function will write past the end of the allocated size. An attack can leverage this by crafting a malicious filesystem, and as a result, it will corrupt data stored in the heap, allowing for arbitrary code execution used to by-pass secure boot mechanisms. Уязвимость модуля UFS конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A flaw was found in grub2. When reading data from a squash4 filesystem, grub's squash4 fs module uses user-controlled parameters from the filesystem geometry to determine the internal buffer size, however, it improperly checks for integer overflows. A maliciously crafted filesystem may lead some of those buffer size calculations to overflow, causing it to perform a grub_malloc() operation with a smaller size than expected. As a result, the direct_read() will perform a heap based out-of-bounds write during data reading. This flaw may be leveraged to corrupt grub's internal critical data and may result in arbitrary code execution, by-passing secure boot protections. Уязвимость функции grub_malloc() модуля squash4 загрузчика операционных систем Grub2 связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A flaw was found in grub2. When performing a symlink lookup from a reiserfs filesystem, grub's reiserfs fs module uses user-controlled parameters from the filesystem geometry to determine the internal buffer size, however, it improperly checks for integer overflows. A maliciouly crafted filesystem may lead some of those buffer size calculations to overflow, causing it to perform a grub_malloc() operation with a smaller size than expected. As a result, the grub_reiserfs_read_symlink() will call grub_reiserfs_read_real() with a overflown length parameter, leading to a heap based out-of-bounds write during data reading. This flaw may be leveraged to corrupt grub's internal critical data and can result in arbitrary code execution, by-passing secure boot protections. Уязвимость компонента reiserfs конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A flaw was found in grub2. When reading data from a jfs filesystem, grub's jfs filesystem module uses user-controlled parameters from the filesystem geometry to determine the internal buffer size, however, it improperly checks for integer overflows. A maliciouly crafted filesystem may lead some of those buffer size calculations to overflow, causing it to perform a grub_malloc() operation with a smaller size than expected. As a result, the grub_jfs_lookup_symlink() function will write past the internal buffer length during grub_jfs_read_file(). This issue can be leveraged to corrupt grub's internal critical data and may result in arbitrary code execution, by-passing secure boot protections. Уязвимость компонента jfs конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A flaw was found in grub2. When performing a symlink lookup from a romfs filesystem, grub's romfs filesystem module uses user-controlled parameters from the filesystem geometry to determine the internal buffer size, however, it improperly checks for integer overflows. A maliciously crafted filesystem may lead some of those buffer size calculations to overflow, causing it to perform a grub_malloc() operation with a smaller size than expected. As a result, the grub_romfs_read_symlink() may cause out-of-bounds writes when the calling grub_disk_read() function. This issue may be leveraged to corrupt grub's internal critical data and can result in arbitrary code execution by-passing secure boot protections. Уязвимость компонента romfs конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 When reading data from disk, the grub's UDF filesystem module utilizes the user controlled data length metadata to allocate its internal buffers. In certain scenarios, while iterating through disk sectors, it assumes the read size from the disk is always smaller than the allocated buffer size which is not guaranteed. A crafted filesystem image may lead to a heap-based buffer overflow resulting in critical data to be corrupted, resulting in the risk of arbitrary code execution by-passing secure boot protections. Уязвимость компонента udf конфигурационного файла Grub связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного filesystem изображения [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 The read command is used to read the keyboard input from the user, while reads it keeps the input length in a 32-bit integer value which is further used to reallocate the line buffer to accept the next character. During this process, with a line big enough it's possible to make this variable to overflow leading to a out-of-bounds write in the heap based buffer. This flaw may be leveraged to corrupt grub's internal critical data and secure boot bypass is not discarded as consequence. Уязвимость загрузчика операционных систем Grub связана с записью за пределами границ. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:P/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H', score=6.1) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 mongo-c-driver The various bson_append functions in the MongoDB C driver library may be susceptible to buffer overflow when performing operations that could result in a final BSON document which exceeds the maximum allowable size (INT32_MAX), resulting in a segmentation fault and possible application crash. This issue affected libbson versions prior to 1.27.5, MongoDB Server v8.0 versions prior to 8.0.1 and MongoDB Server v7.0 versions prior to 7.0.16 Уязвимость библиотеки MongoDB C Driver связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) mongo-c-driver: - Запускайте mongo-c-driver с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам mongo-c-driver так, чтобы их могли изменять только администраторы системы. - Задействуйте контейнеризацию (например, Docker) Astra Linux 1.8 abseil There exists a heap buffer overflow vulnerable in Abseil-cpp. The sized constructors, reserve(), and rehash() methods of absl::{flat,node}hash{set,map} did not impose an upper bound on their size argument. As a result, it was possible for a caller to pass a very large size that would cause an integer overflow when computing the size of the container's backing store, and a subsequent out-of-bounds memory write. Subsequent accesses to the container might also access out-of-bounds memory. We recommend upgrading past commit 5a0e2cb5e3958dd90bb8569a2766622cb74d90c1 Уязвимость компонентов raw_hash_set.cc, raw_hash_set.h, raw_hash_set_test.cc библиотеки C++ для разработки приложений Abseil связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 binutils A vulnerability, which was classified as problematic, was found in GNU Binutils up to 2.43. This affects the function disassemble_bytes of the file binutils/objdump.c. The manipulation of the argument buf leads to stack-based buffer overflow. It is possible to initiate the attack remotely. The complexity of an attack is rather high. The exploitability is told to be difficult. The exploit has been disclosed to the public and may be used. Upgrading to version 2.44 is able to address this issue. The identifier of the patch is baac6c221e9d69335bf41366a1c7d87d8ab2f893. It is recommended to upgrade the affected component. Уязвимость функции disassemble_bytes компонента binutils/objdump.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:P/I:P/A:P', score=5.1) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) - Ограничить доступ к использованию команды objdump - При использовании команды objdump выполнять обработку файлов, полученных только из доверенных источников - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 133.0.6943.98 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Navigation in Google Chrome prior to 133.0.6943.98 allowed a remote attacker to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость функции Navigation веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Rejected reason: Not exploitable Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [] None None chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in V8 in Google Chrome prior to 133.0.6943.126 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Network in Google Chrome prior to 133.0.6943.126 allowed a remote attacker to potentially exploit heap corruption via a crafted web app. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного веб-приложения [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Certificate length was not properly checked when added to a certificate store. In practice only trusted data was processed. This vulnerability was fixed in Firefox 135, Firefox ESR 128.7, Thunderbird 128.7, and Thunderbird 135. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-295'), NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 thunderbird The Thunderbird Address Book URI fields contained unsanitized links. This could be used by an attacker to create and export an address book containing a malicious payload in a field. For example, in the “Other” field of the Instant Messaging section. If another user imported the address book, clicking on the link could result in opening a web page inside Thunderbird, and that page could execute (unprivileged) JavaScript. This vulnerability was fixed in Thunderbird 128.7 and Thunderbird 135. Уязвимость полей адресной книги Address Book URI почтового клиента Thunderbird, Thunderbird ESR связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный JavaScript-код [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 grub2 A flaw was found in grub2. Grub's dump command is not blocked when grub is in lockdown mode, which allows the user to read any memory information, and an attacker may leverage this in order to extract signatures, salts, and other sensitive information from the memory. Уязвимость команды dump конфигурационного файла Grub связана с нарушением доверительных границ. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-501')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N', score=4.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 When reading data from a hfs filesystem, grub's hfs filesystem module uses user-controlled parameters from the filesystem metadata to calculate the internal buffers size, however it misses to properly check for integer overflows. A maliciouly crafted filesystem may lead some of those buffer size calculation to overflow, causing it to perform a grub_malloc() operation with a smaller size than expected. As a result the hfsplus_open_compressed_real() function will write past of the internal buffer length. This flaw may be leveraged to corrupt grub's internal critical data and may result in arbitrary code execution by-passing secure boot protections. Уязвимость компонента hfs конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 binutils A vulnerability classified as problematic was found in GNU Binutils 2.43/2.44. Affected by this vulnerability is the function bfd_set_format of the file format.c. The manipulation leads to memory corruption. The attack can be launched remotely. The complexity of an attack is rather high. The exploitation appears to be difficult. Upgrading to version 2.45 is able to address this issue. The identifier of the patch is 8d97c1a53f3dc9fd8e1ccdb039b8a33d50133150. It is recommended to upgrade the affected component. Уязвимость компонентов ld программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:N/I:N/A:P', score=2.6) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 binutils A vulnerability was found in GNU Binutils 2.43 and classified as critical. This issue affects the function _bfd_elf_gc_mark_rsec of the file elflink.c of the component ld. The manipulation leads to heap-based buffer overflow. The attack may be initiated remotely. The complexity of an attack is rather high. The exploitation is known to be difficult. The exploit has been disclosed to the public and may be used. The patch is named f9978defb6fab0bd8583942d97c112b0932ac814. It is recommended to apply a patch to fix this issue. Уязвимость компонента elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:P/I:P/A:P', score=5.1) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 binutils A vulnerability was found in GNU Binutils 2.43. It has been declared as problematic. Affected by this vulnerability is the function bfd_putl64 of the file libbfd.c of the component ld. The manipulation leads to memory corruption. The attack can be launched remotely. The complexity of an attack is rather high. The exploitation appears to be difficult. The exploit has been disclosed to the public and may be used. The identifier of the patch is 75086e9de1707281172cc77f178e7949a4414ed0. It is recommended to apply a patch to fix this issue. Уязвимость функции bfd_putl64 компонента elf64-x86-64.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:P/I:P/A:P', score=5.1) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=5.6) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 binutils A vulnerability was found in GNU Binutils 2.43. It has been rated as critical. Affected by this issue is the function bfd_putl64 of the file bfd/libbfd.c of the component ld. The manipulation leads to memory corruption. The attack may be launched remotely. The complexity of an attack is rather high. The exploitation is known to be difficult. The exploit has been disclosed to the public and may be used. Upgrading to version 2.44 is able to address this issue. It is recommended to upgrade the affected component. The code maintainer explains, that "[t]his bug has been fixed at some point between the 2.43 and 2.44 releases". Уязвимость компонента libbfd.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:P/I:P/A:P', score=5.1) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 binutils A vulnerability classified as critical was found in GNU Binutils 2.43. This vulnerability affects the function _bfd_elf_gc_mark_rsec of the file bfd/elflink.c of the component ld. The manipulation leads to memory corruption. The attack can be initiated remotely. The complexity of an attack is rather high. The exploitation appears to be difficult. The exploit has been disclosed to the public and may be used. The name of the patch is 931494c9a89558acb36a03a340c01726545eef24. It is recommended to apply a patch to fix this issue. Уязвимость компонента elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:P/I:P/A:P', score=5.1) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 binutils A vulnerability, which was classified as critical, was found in GNU Binutils 2.43. Affected is the function bfd_elf_reloc_symbol_deleted_p of the file bfd/elflink.c of the component ld. The manipulation leads to memory corruption. It is possible to launch the attack remotely. The complexity of an attack is rather high. The exploitability is told to be difficult. The exploit has been disclosed to the public and may be used. The patch is identified as b425859021d17adf62f06fb904797cf8642986ad. It is recommended to apply a patch to fix this issue. Уязвимость компонента elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:P/I:P/A:P', score=5.1) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 php8.2 In PHP from 8.1.* before 8.1.32, from 8.2.* before 8.2.28, from 8.3.* before 8.3.19, from 8.4.* before 8.4.5, when http request module parses HTTP response obtained from a server, folded headers are parsed incorrectly, which may lead to misinterpreting the response and using incorrect headers, MIME types, etc. Уязвимость интерпретатора языка программирования PHP связана с недостатками обработки заголовков HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling) [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-436')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N', score=3.1) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP from 8.1.* before 8.1.32, from 8.2.* before 8.2.28, from 8.3.* before 8.3.19, from 8.4.* before 8.4.5, when requesting a HTTP resource using the DOM or SimpleXML extensions, the wrong content-type header is used to determine the charset when the requested resource performs a redirect. This may cause the resulting document to be parsed incorrectly or bypass validations. Уязвимость функций php_libxml_input_buffer_create_filename() и php_libxml_sniff_charset_from_stream() интерпретатора языка программирования PHP связана с использованием открытой переадресации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перенаправить пользователя на произвольный URL-адрес [NistCWE(cwe='CWE-1116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 136.0.7103.59 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 libcap2 The PAM module pam_cap.so of libcap configuration supports group names starting with “@”, during actual parsing, configurations not starting with “@” are incorrectly recognized as group names. This may result in nonintended users being granted an inherited capability set, potentially leading to security risks. Attackers can exploit this vulnerability to achieve local privilege escalation on systems where /etc/security/capability.conf is used to configure user inherited privileges by constructing specific usernames. Уязвимость PAM-модуля pam_cap.so библиотеки libcap связана с недостатками разграничения доступа в результате некорректного распознавания имен пользователей. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N', score=6.1) Astra Linux 1.8 firefox Memory safety bugs present in Firefox 135. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 135.0.1. Уязвимость браузера Mozilla Firefox связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 php8.2 In PHP from 8.1.* before 8.1.32, from 8.2.* before 8.2.28, from 8.3.* before 8.3.19, from 8.4.* before 8.4.5, when receiving headers from HTTP server, the headers missing a colon (:) are treated as valid headers even though they are not. This may confuse applications into accepting invalid headers. Уязвимость интерпретатора языка программирования PHP связана с недостатками обработки заголовков HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling) [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) Добавьте специальную обработку $http_response_header. Для этого типа заголовков уведомления не отправляются, поэтому дополнительная обработка не требуется. Astra Linux 1.8 php8.2 In PHP from 8.1.* before 8.1.32, from 8.2.* before 8.2.28, from 8.3.* before 8.3.19, from 8.4.* before 8.4.5, when user-supplied headers are sent, the insufficient validation of the end-of-line characters may prevent certain headers from being sent or lead to certain headers be misinterpreted. Уязвимость функции check_has_header() интерпретатора языка программирования PHP связана с недостаточной проверкой входных данных при обработке заголовков HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP from 8.1.* before 8.1.32, from 8.2.* before 8.2.28, from 8.3.* before 8.3.19, from 8.4.* before 8.4.5, when parsing HTTP redirect in the response to an HTTP request, there is currently limit on the location value size caused by limited size of the location buffer to 1024. However as per RFC9110, the limit is recommended to be 8000. This may lead to incorrect URL truncation and redirecting to a wrong location. Уязвимость интерпретатора языка программирования PHP связана с ошибкой числового усечения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перенаправить пользователя на произвольный URL-адрес или вызвать отказ в обслуживании [NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 chromium Out of bounds read in V8 in Google Chrome prior to 134.0.6998.35 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Profiles in Google Chrome prior to 134.0.6998.35 allowed an attacker who convinced a user to install a malicious extension to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Profiles веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in PDFium in Google Chrome prior to 134.0.6998.35 allowed a remote attacker to potentially perform out of bounds memory access via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента PDFium веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Media in Google Chrome prior to 134.0.6998.35 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 134.0.6998.88 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Media Stream in Google Chrome prior to 134.0.6998.35 allowed a remote attacker to obtain information about a peripheral via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media Stream веб-браузера Google Chrome связана с раскрытием конфиденциальной информации через метаданные. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1230')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permission Prompts in Google Chrome prior to 134.0.6998.35 allowed an attacker who convinced a user to install a malicious extension to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента Permission Prompts веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданного расширения Chrome [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox It was possible to cause a use-after-free in the content process side of a WebTransport connection, leading to a potentially exploitable crash. This vulnerability was fixed in Firefox 136, Firefox ESR 115.21, Firefox ESR 128.8, Thunderbird 136, and Thunderbird 128.8. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox An inconsistent comparator in xslt/txNodeSorter could have resulted in potentially exploitable out-of-bounds access. Only affected version 122 and later. This vulnerability was fixed in Firefox 136, Firefox ESR 128.8, Thunderbird 136, and Thunderbird 128.8. Уязвимость компонента xslt/txNodeSorter веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox On 64-bit CPUs, when the JIT compiles WASM i32 return values they can pick up bits from left over memory. This can potentially cause them to be treated as a different type. This vulnerability was fixed in Firefox 136, Firefox ESR 115.21, Firefox ESR 128.8, Thunderbird 136, and Thunderbird 128.8. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:H', score=7.6) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox It was possible to interrupt the processing of a RegExp bailout and run additional JavaScript, potentially triggering garbage collection when the engine was not expecting it. This vulnerability was fixed in Firefox 136, Firefox ESR 128.8, Thunderbird 136, and Thunderbird 128.8. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с недостаточной обработкой регулярных выражений. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox A web page could trick a user into setting that site as the default handler for a custom URL protocol. This vulnerability was fixed in Firefox 136, Firefox ESR 128.8, Thunderbird 136, and Thunderbird 128.8. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox jar: URLs retrieve local file content packaged in a ZIP archive. The null and everything after it was ignored when retrieving the content from the archive, but the fake extension after the null was used to determine the type of content. This could have been used to hide code in a web extension disguised as something else like an image. This vulnerability was fixed in Firefox 136, Firefox ESR 128.8, Thunderbird 136, and Thunderbird 128.8. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-158')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 135, Thunderbird 135, Firefox ESR 115.20, Firefox ESR 128.7, and Thunderbird 128.7. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 136, Firefox ESR 115.21, Firefox ESR 128.8, Thunderbird 136, and Thunderbird 128.8. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с неправильной обработкой перекрытий между защищенными диапазонами памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1260')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 135, Thunderbird 135, Firefox ESR 128.7, and Thunderbird 128.7. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 136, Firefox ESR 128.8, Thunderbird 136, and Thunderbird 128.8. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox When String.toUpperCase() caused a string to get longer it was possible for uninitialized memory to be incorporated into the result string. This vulnerability was fixed in Firefox 136 and Thunderbird 136. Уязвимость функции String.toUpperCase() веб-браузера Firefox, почтового клиента Thunderbird связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 135 and Thunderbird 135. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 136 and Thunderbird 136. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=8.2) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 intel-microcode Incorrect behavior order for some Intel(R) Core™ Ultra Processors may allow an unauthenticated user to potentially enable information disclosure via physical access. Уязвимость микропрограммного обеспечения процессоров Intel Core Ultra связана с выполнением действий в неправильном порядке. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [NistCWE(cwe='CWE-696')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N', score=4.9) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Uncaught exception in the core management mechanism for some Intel(R) Processors may allow an authenticated user to potentially enable denial of service via local access. Уязвимость микрокода процессоров Intel Microcode связана с не перехваченным исключением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-248')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H', score=6.5) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Insufficient resource pool in the core management mechanism for some Intel(R) Processors may allow an authenticated user to potentially enable denial of service via local access. Уязвимость микропрограммного обеспечения процессоров Intel связана с недостаточным объемом ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-410')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H', score=6.5) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Exposure of sensitive information caused by shared microarchitectural predictor state that influences transient execution for some Intel(R) Core™ processors (10th Generation) may allow an authenticated user to potentially enable information disclosure via local access. Уязвимость микрокода процессоров Intel Microcode связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.6) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 134.0.6998.88 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для версий ПО Chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 chromium Use after free in Inspector in Google Chrome prior to 134.0.6998.88 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Inspector веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in V8 in Google Chrome prior to 134.0.6998.88 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 mariadb Vulnerability in the MySQL Server product of Oracle MySQL (component: InnoDB). Supported versions that are affected are 8.0.40 and prior, 8.4.3 and prior and 9.1.0 and prior. Easily exploitable vulnerability allows high privileged attacker with network access via multiple protocols to compromise MySQL Server. Successful attacks of this vulnerability can result in unauthorized ability to cause a hang or frequently repeatable crash (complete DOS) of MySQL Server. CVSS 3.1 Base Score 4.9 (Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H). Уязвимость компонента InnoDB СУБД MariaDB и MySQL связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.9) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: block, bfq: fix waker_bfqq UAF after bfq_split_bfqq() Our syzkaller report a following UAF for v6.6: BUG: KASAN: slab-use-after-free in bfq_init_rq+0x175d/0x17a0 block/bfq-iosched.c:6958 Read of size 8 at addr ffff8881b57147d8 by task fsstress/232726 CPU: 2 PID: 232726 Comm: fsstress Not tainted 6.6.0-g3629d1885222 #39 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x91/0xf0 lib/dump_stack.c:106 print_address_description.constprop.0+0x66/0x300 mm/kasan/report.c:364 print_report+0x3e/0x70 mm/kasan/report.c:475 kasan_report+0xb8/0xf0 mm/kasan/report.c:588 hlist_add_head include/linux/list.h:1023 [inline] bfq_init_rq+0x175d/0x17a0 block/bfq-iosched.c:6958 bfq_insert_request.isra.0+0xe8/0xa20 block/bfq-iosched.c:6271 bfq_insert_requests+0x27f/0x390 block/bfq-iosched.c:6323 blk_mq_insert_request+0x290/0x8f0 block/blk-mq.c:2660 blk_mq_submit_bio+0x1021/0x15e0 block/blk-mq.c:3143 __submit_bio+0xa0/0x6b0 block/blk-core.c:639 __submit_bio_noacct_mq block/blk-core.c:718 [inline] submit_bio_noacct_nocheck+0x5b7/0x810 block/blk-core.c:747 submit_bio_noacct+0xca0/0x1990 block/blk-core.c:847 __ext4_read_bh fs/ext4/super.c:205 [inline] ext4_read_bh+0x15e/0x2e0 fs/ext4/super.c:230 __read_extent_tree_block+0x304/0x6f0 fs/ext4/extents.c:567 ext4_find_extent+0x479/0xd20 fs/ext4/extents.c:947 ext4_ext_map_blocks+0x1a3/0x2680 fs/ext4/extents.c:4182 ext4_map_blocks+0x929/0x15a0 fs/ext4/inode.c:660 ext4_iomap_begin_report+0x298/0x480 fs/ext4/inode.c:3569 iomap_iter+0x3dd/0x1010 fs/iomap/iter.c:91 iomap_fiemap+0x1f4/0x360 fs/iomap/fiemap.c:80 ext4_fiemap+0x181/0x210 fs/ext4/extents.c:5051 ioctl_fiemap.isra.0+0x1b4/0x290 fs/ioctl.c:220 do_vfs_ioctl+0x31c/0x11a0 fs/ioctl.c:811 __do_sys_ioctl fs/ioctl.c:869 [inline] __se_sys_ioctl+0xae/0x190 fs/ioctl.c:857 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x70/0x120 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x78/0xe2 Allocated by task 232719: kasan_save_stack+0x22/0x50 mm/kasan/common.c:45 kasan_set_track+0x25/0x30 mm/kasan/common.c:52 __kasan_slab_alloc+0x87/0x90 mm/kasan/common.c:328 kasan_slab_alloc include/linux/kasan.h:188 [inline] slab_post_alloc_hook mm/slab.h:768 [inline] slab_alloc_node mm/slub.c:3492 [inline] kmem_cache_alloc_node+0x1b8/0x6f0 mm/slub.c:3537 bfq_get_queue+0x215/0x1f00 block/bfq-iosched.c:5869 bfq_get_bfqq_handle_split+0x167/0x5f0 block/bfq-iosched.c:6776 bfq_init_rq+0x13a4/0x17a0 block/bfq-iosched.c:6938 bfq_insert_request.isra.0+0xe8/0xa20 block/bfq-iosched.c:6271 bfq_insert_requests+0x27f/0x390 block/bfq-iosched.c:6323 blk_mq_insert_request+0x290/0x8f0 block/blk-mq.c:2660 blk_mq_submit_bio+0x1021/0x15e0 block/blk-mq.c:3143 __submit_bio+0xa0/0x6b0 block/blk-core.c:639 __submit_bio_noacct_mq block/blk-core.c:718 [inline] submit_bio_noacct_nocheck+0x5b7/0x810 block/blk-core.c:747 submit_bio_noacct+0xca0/0x1990 block/blk-core.c:847 __ext4_read_bh fs/ext4/super.c:205 [inline] ext4_read_bh_nowait+0x15a/0x240 fs/ext4/super.c:217 ext4_read_bh_lock+0xac/0xd0 fs/ext4/super.c:242 ext4_bread_batch+0x268/0x500 fs/ext4/inode.c:958 __ext4_find_entry+0x448/0x10f0 fs/ext4/namei.c:1671 ext4_lookup_entry fs/ext4/namei.c:1774 [inline] ext4_lookup.part.0+0x359/0x6f0 fs/ext4/namei.c:1842 ext4_lookup+0x72/0x90 fs/ext4/namei.c:1839 __lookup_slow+0x257/0x480 fs/namei.c:1696 lookup_slow fs/namei.c:1713 [inline] walk_component+0x454/0x5c0 fs/namei.c:2004 link_path_walk.part.0+0x773/0xda0 fs/namei.c:2331 link_path_walk fs/namei.c:3826 [inline] path_openat+0x1b9/0x520 fs/namei.c:3826 do_filp_open+0x1b7/0x400 fs/namei.c:3857 do_sys_openat2+0x5dc/0x6e0 fs/open.c:1428 do_sys_open fs/open.c:1443 [inline] __do_sys_openat fs/open.c:1459 [inline] __se_sys_openat fs/open.c:1454 [inline] __x64_sys_openat+0x148/0x200 fs/open.c:1454 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_6 ---truncated--- Уязвимость функции bfq_waker_bfqq() модуля block/bfq-iosched.c поддержки блочного уровня ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: sysctl: plpmtud_probe_interval: avoid using current->nsproxy As mentioned in a previous commit of this series, using the 'net' structure via 'current' is not recommended for different reasons: - Inconsistency: getting info from the reader's/writer's netns vs only from the opener's netns. - current->nsproxy can be NULL in some cases, resulting in an 'Oops' (null-ptr-deref), e.g. when the current task is exiting, as spotted by syzbot [1] using acct(2). The 'net' structure can be obtained from the table->data using container_of(). Note that table->data could also be used directly, as this is the only member needed from the 'net' structure, but that would increase the size of this fix, to use '*data' everywhere 'net->sctp.probe_interval' is used. Уязвимость компонента sctp ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: sysctl: udp_port: avoid using current->nsproxy As mentioned in a previous commit of this series, using the 'net' structure via 'current' is not recommended for different reasons: - Inconsistency: getting info from the reader's/writer's netns vs only from the opener's netns. - current->nsproxy can be NULL in some cases, resulting in an 'Oops' (null-ptr-deref), e.g. when the current task is exiting, as spotted by syzbot [1] using acct(2). The 'net' structure can be obtained from the table->data using container_of(). Note that table->data could also be used directly, but that would increase the size of this fix, while 'sctp.ctl_sock' still needs to be retrieved from 'net' structure. Уязвимость компонента sctp ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: sysctl: auth_enable: avoid using current->nsproxy As mentioned in a previous commit of this series, using the 'net' structure via 'current' is not recommended for different reasons: - Inconsistency: getting info from the reader's/writer's netns vs only from the opener's netns. - current->nsproxy can be NULL in some cases, resulting in an 'Oops' (null-ptr-deref), e.g. when the current task is exiting, as spotted by syzbot [1] using acct(2). The 'net' structure can be obtained from the table->data using container_of(). Note that table->data could also be used directly, but that would increase the size of this fix, while 'sctp.ctl_sock' still needs to be retrieved from 'net' structure. Уязвимость компонента sctp ядра операционной системы Linux связана с разыменованием указателя NULL в функции proc_sctp_do_alpha_beta(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: sysctl: rto_min/max: avoid using current->nsproxy As mentioned in a previous commit of this series, using the 'net' structure via 'current' is not recommended for different reasons: - Inconsistency: getting info from the reader's/writer's netns vs only from the opener's netns. - current->nsproxy can be NULL in some cases, resulting in an 'Oops' (null-ptr-deref), e.g. when the current task is exiting, as spotted by syzbot [1] using acct(2). The 'net' structure can be obtained from the table->data using container_of(). Note that table->data could also be used directly, as this is the only member needed from the 'net' structure, but that would increase the size of this fix, to use '*data' everywhere 'net->sctp.rto_min/max' is used. Уязвимость компонента sctp ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: sysctl: cookie_hmac_alg: avoid using current->nsproxy As mentioned in a previous commit of this series, using the 'net' structure via 'current' is not recommended for different reasons: - Inconsistency: getting info from the reader's/writer's netns vs only from the opener's netns. - current->nsproxy can be NULL in some cases, resulting in an 'Oops' (null-ptr-deref), e.g. when the current task is exiting, as spotted by syzbot [1] using acct(2). The 'net' structure can be obtained from the table->data using container_of(). Note that table->data could also be used directly, as this is the only member needed from the 'net' structure, but that would increase the size of this fix, to use '*data' everywhere 'net->sctp.sctp_hmac_alg' is used. Уязвимость компонента sctp ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: platform/x86/amd/pmc: Only disable IRQ1 wakeup where i8042 actually enabled it Wakeup for IRQ1 should be disabled only in cases where i8042 had actually enabled it, otherwise "wake_depth" for this IRQ will try to drop below zero and there will be an unpleasant WARN() logged: kernel: atkbd serio0: Disabling IRQ1 wakeup source to avoid platform firmware bug kernel: ------------[ cut here ]------------ kernel: Unbalanced IRQ 1 wake disable kernel: WARNING: CPU: 10 PID: 6431 at kernel/irq/manage.c:920 irq_set_irq_wake+0x147/0x1a0 The PMC driver uses DEFINE_SIMPLE_DEV_PM_OPS() to define its dev_pm_ops which sets amd_pmc_suspend_handler() to the .suspend, .freeze, and .poweroff handlers. i8042_pm_suspend(), however, is only set as the .suspend handler. Fix the issue by call PMC suspend handler only from the same set of dev_pm_ops handlers as i8042_pm_suspend(), which currently means just the .suspend handler. To reproduce this issue try hibernating (S4) the machine after a fresh boot without putting it into s2idle first. [ij: edited the commit message.] Уязвимость компонента platform/x86/amd/pmc ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: afs: Fix the maximum cell name length The kafs filesystem limits the maximum length of a cell to 256 bytes, but a problem occurs if someone actually does that: kafs tries to create a directory under /proc/net/afs/ with the name of the cell, but that fails with a warning: WARNING: CPU: 0 PID: 9 at fs/proc/generic.c:405 because procfs limits the maximum filename length to 255. However, the DNS limits the maximum lookup length and, by extension, the maximum cell name, to 255 less two (length count and trailing NUL). Fix this by limiting the maximum acceptable cellname length to 253. This also allows us to be sure we can create the "/afs/.<cell>/" mountpoint too. Further, split the YFS VL record cell name maximum to be the 256 allowed by the protocol and ignore the record retrieved by YFSVL.GetCellName if it exceeds 253. Уязвимость компонентов ‎afs.h, vl_alias.c, afs_vl.h ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sched: sch_cake: add bounds checks to host bulk flow fairness counts Even though we fixed a logic error in the commit cited below, syzbot still managed to trigger an underflow of the per-host bulk flow counters, leading to an out of bounds memory access. To avoid any such logic errors causing out of bounds memory accesses, this commit factors out all accesses to the per-host bulk flow counters to a series of helpers that perform bounds-checking before any increments and decrements. This also has the benefit of improving readability by moving the conditional checks for the flow mode into these helpers, instead of having them spread out throughout the code (which was the cause of the original logic error). As part of this change, the flow quantum calculation is consolidated into a helper function, which means that the dithering applied to the ost load scaling is now applied both in the DRR rotation and when a sparse flow's quantum is first initiated. The only user-visible effect of this is that the maximum packet size that can be sent while a flow stays sparse will now vary with +/- one byte in some cases. This should not make a noticeable difference in practice, and thus it's not worth complicating the code to preserve the old behaviour. Уязвимость компонента net/sched/sch_cake.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: conntrack: clamp maximum hashtable size to INT_MAX Use INT_MAX as maximum size for the conntrack hashtable. Otherwise, it is possible to hit WARN_ON_ONCE in __kvmalloc_node_noprof() when resizing hashtable because __GFP_NOWARN is unset. See: 0708a0afe291 ("mm: Consider __GFP_NOWARN flag for oversized kvmalloc() calls") Note: hashtable resize is only possible from init_netns. Уязвимость компонента net/netfilter/nf_conntrack_core.c ядра операционной системы Linux связана с неконтролируемым расходом памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: cls_flow: validate TCA_FLOW_RSHIFT attribute syzbot found that TCA_FLOW_RSHIFT attribute was not validated. Right shitfing a 32bit integer is undefined for large shift values. UBSAN: shift-out-of-bounds in net/sched/cls_flow.c:329:23 shift exponent 9445 is too large for 32-bit type 'u32' (aka 'unsigned int') CPU: 1 UID: 0 PID: 54 Comm: kworker/u8:3 Not tainted 6.13.0-rc3-syzkaller-00180-g4f619d518db9 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Workqueue: ipv6_addrconf addrconf_dad_work Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 ubsan_epilogue lib/ubsan.c:231 [inline] __ubsan_handle_shift_out_of_bounds+0x3c8/0x420 lib/ubsan.c:468 flow_classify+0x24d5/0x25b0 net/sched/cls_flow.c:329 tc_classify include/net/tc_wrapper.h:197 [inline] __tcf_classify net/sched/cls_api.c:1771 [inline] tcf_classify+0x420/0x1160 net/sched/cls_api.c:1867 sfb_classify net/sched/sch_sfb.c:260 [inline] sfb_enqueue+0x3ad/0x18b0 net/sched/sch_sfb.c:318 dev_qdisc_enqueue+0x4b/0x290 net/core/dev.c:3793 __dev_xmit_skb net/core/dev.c:3889 [inline] __dev_queue_xmit+0xf0e/0x3f50 net/core/dev.c:4400 dev_queue_xmit include/linux/netdevice.h:3168 [inline] neigh_hh_output include/net/neighbour.h:523 [inline] neigh_output include/net/neighbour.h:537 [inline] ip_finish_output2+0xd41/0x1390 net/ipv4/ip_output.c:236 iptunnel_xmit+0x55d/0x9b0 net/ipv4/ip_tunnel_core.c:82 udp_tunnel_xmit_skb+0x262/0x3b0 net/ipv4/udp_tunnel_core.c:173 geneve_xmit_skb drivers/net/geneve.c:916 [inline] geneve_xmit+0x21dc/0x2d00 drivers/net/geneve.c:1039 __netdev_start_xmit include/linux/netdevice.h:5002 [inline] netdev_start_xmit include/linux/netdevice.h:5011 [inline] xmit_one net/core/dev.c:3590 [inline] dev_hard_start_xmit+0x27a/0x7d0 net/core/dev.c:3606 __dev_queue_xmit+0x1b73/0x3f50 net/core/dev.c:4434 Уязвимость компонента net/sched/cls_flow.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: io_uring/eventfd: ensure io_eventfd_signal() defers another RCU period io_eventfd_do_signal() is invoked from an RCU callback, but when dropping the reference to the io_ev_fd, it calls io_eventfd_free() directly if the refcount drops to zero. This isn't correct, as any potential freeing of the io_ev_fd should be deferred another RCU grace period. Just call io_eventfd_put() rather than open-code the dec-and-test and free, which will correctly defer it another RCU grace period. Уязвимость компонента io_uring/eventfd.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix unexpectedly changed path in ksmbd_vfs_kern_path_locked When `ksmbd_vfs_kern_path_locked` met an error and it is not the last entry, it will exit without restoring changed path buffer. But later this buffer may be used as the filename for creation. Уязвимость компонента fs/smb/server/vfs.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Fix variable not being completed when function returns When cmd_alloc_index(), fails cmd_work_handler() needs to complete ent->slotted before returning early. Otherwise the task which issued the command may hang: mlx5_core 0000:01:00.0: cmd_work_handler:877:(pid 3880418): failed to allocate command entry INFO: task kworker/13:2:4055883 blocked for more than 120 seconds. Not tainted 4.19.90-25.44.v2101.ky10.aarch64 #1 "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. kworker/13:2 D 0 4055883 2 0x00000228 Workqueue: events mlx5e_tx_dim_work [mlx5_core] Call trace: __switch_to+0xe8/0x150 __schedule+0x2a8/0x9b8 schedule+0x2c/0x88 schedule_timeout+0x204/0x478 wait_for_common+0x154/0x250 wait_for_completion+0x28/0x38 cmd_exec+0x7a0/0xa00 [mlx5_core] mlx5_cmd_exec+0x54/0x80 [mlx5_core] mlx5_core_modify_cq+0x6c/0x80 [mlx5_core] mlx5_core_modify_cq_moderation+0xa0/0xb8 [mlx5_core] mlx5e_tx_dim_work+0x54/0x68 [mlx5_core] process_one_work+0x1b0/0x448 worker_thread+0x54/0x468 kthread+0x134/0x138 ret_from_fork+0x10/0x18 [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dm thin: make get_first_thin use rcu-safe list first function The documentation in rculist.h explains the absence of list_empty_rcu() and cautions programmers against relying on a list_empty() -> list_first() sequence in RCU safe code. This is because each of these functions performs its own READ_ONCE() of the list head. This can lead to a situation where the list_empty() sees a valid list entry, but the subsequent list_first() sees a different view of list head state after a modification. In the case of dm-thin, this author had a production box crash from a GP fault in the process_deferred_bios path. This function saw a valid list head in get_first_thin() but when it subsequently dereferenced that and turned it into a thin_c, it got the inside of the struct pool, since the list was now empty and referring to itself. The kernel on which this occurred printed both a warning about a refcount_t being saturated, and a UBSAN error for an out-of-bounds cpuid access in the queued spinlock, prior to the fault itself. When the resulting kdump was examined, it was possible to see another thread patiently waiting in thin_dtr's synchronize_rcu. The thin_dtr call managed to pull the thin_c out of the active thins list (and have it be the last entry in the active_thins list) at just the wrong moment which lead to this crash. Fortunately, the fix here is straight forward. Switch get_first_thin() function to use list_first_or_null_rcu() which performs just a single READ_ONCE() and returns NULL if the list is already empty. This was run against the devicemapper test suite's thin-provisioning suites for delete and suspend and no regressions were observed. Уязвимость компонента drivers/md/dm-thin.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: filemap: avoid truncating 64-bit offset to 32 bits On 32-bit kernels, folio_seek_hole_data() was inadvertently truncating a 64-bit value to 32 bits, leading to a possible infinite loop when writing to an xfs filesystem. Уязвимость функции folio_seek_hole_data() модуля mm/filemap.c ядра операционных систем Linux связана с выполнением цикла с недоступным условием выхода в результате числового усечения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-835'), NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock: prevent null-ptr-deref in vsock_*[has_data|has_space] Recent reports have shown how we sometimes call vsock_*_has_data() when a vsock socket has been de-assigned from a transport (see attached links), but we shouldn't. Previous commits should have solved the real problems, but we may have more in the future, so to avoid null-ptr-deref, we can return 0 (no space, no data available) but with a warning. This way the code should continue to run in a nearly consistent state and have a warning that allows us to debug future problems. Уязвимость функции vsock_*_has_data() модуля net/vmw_vsock/af_vsock.c ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iomap: avoid avoid truncating 64-bit offset to 32 bits on 32-bit kernels, iomap_write_delalloc_scan() was inadvertently using a 32-bit position due to folio_next_index() returning an unsigned long. This could lead to an infinite loop when writing to an xfs filesystem. Уязвимость функции iomap_write_delalloc_scan() ядра операционных систем Linux связана с выполнением цикла с недоступным условием выхода в результате числового усечения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-835'), NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pmdomain: imx8mp-blk-ctrl: add missing loop break condition Currently imx8mp_blk_ctrl_remove() will continue the for loop until an out-of-bounds exception occurs. pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : dev_pm_domain_detach+0x8/0x48 lr : imx8mp_blk_ctrl_shutdown+0x58/0x90 sp : ffffffc084f8bbf0 x29: ffffffc084f8bbf0 x28: ffffff80daf32ac0 x27: 0000000000000000 x26: ffffffc081658d78 x25: 0000000000000001 x24: ffffffc08201b028 x23: ffffff80d0db9490 x22: ffffffc082340a78 x21: 00000000000005b0 x20: ffffff80d19bc180 x19: 000000000000000a x18: ffffffffffffffff x17: ffffffc080a39e08 x16: ffffffc080a39c98 x15: 4f435f464f006c72 x14: 0000000000000004 x13: ffffff80d0172110 x12: 0000000000000000 x11: ffffff80d0537740 x10: ffffff80d05376c0 x9 : ffffffc0808ed2d8 x8 : ffffffc084f8bab0 x7 : 0000000000000000 x6 : 0000000000000000 x5 : ffffff80d19b9420 x4 : fffffffe03466e60 x3 : 0000000080800077 x2 : 0000000000000000 x1 : 0000000000000001 x0 : 0000000000000000 Call trace: dev_pm_domain_detach+0x8/0x48 platform_shutdown+0x2c/0x48 device_shutdown+0x158/0x268 kernel_restart_prepare+0x40/0x58 kernel_kexec+0x58/0xe8 __do_sys_reboot+0x198/0x258 __arm64_sys_reboot+0x2c/0x40 invoke_syscall+0x5c/0x138 el0_svc_common.constprop.0+0x48/0xf0 do_el0_svc+0x24/0x38 el0_svc+0x38/0xc8 el0t_64_sync_handler+0x120/0x130 el0t_64_sync+0x190/0x198 Code: 8128c2d0 ffffffc0 aa1e03e9 d503201f Уязвимость функции imx8mp_blk_ctrl_remove() модуля drivers/pmdomain/imx/imx8mp-blk-ctrl.c ядра операционных систем Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock/virtio: discard packets if the transport changes If the socket has been de-assigned or assigned to another transport, we must discard any packets received because they are not expected and would cause issues when we access vsk->transport. A possible scenario is described by Hyunwoo Kim in the attached link, where after a first connect() interrupted by a signal, and a second connect() failed, we can find `vsk->transport` at NULL, leading to a NULL pointer dereference. Уязвимость модуля net/vmw_vsock/virtio_transport_common.c ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: zram: fix potential UAF of zram table If zram_meta_alloc failed early, it frees allocated zram->table without setting it NULL. Which will potentially cause zram_meta_free to access the table if user reset an failed and uninitialized device. Уязвимость функции zram_meta_alloc() модуля zram операционных систем Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Clear port select structure when fail to create Clear the port select structure on error so no stale values left after definers are destroyed. That's because the mlx5_lag_destroy_definers() always try to destroy all lag definers in the tt_map, so in the flow below lag definers get double-destroyed and cause kernel crash: mlx5_lag_port_sel_create() mlx5_lag_create_definers() mlx5_lag_create_definer() <- Failed on tt 1 mlx5_lag_destroy_definers() <- definers[tt=0] gets destroyed mlx5_lag_port_sel_create() mlx5_lag_create_definers() mlx5_lag_create_definer() <- Failed on tt 0 mlx5_lag_destroy_definers() <- definers[tt=0] gets double-destroyed Unable to handle kernel NULL pointer dereference at virtual address 0000000000000008 Mem abort info: ESR = 0x0000000096000005 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x05: level 1 translation fault Data abort info: ISV = 0, ISS = 0x00000005, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 user pgtable: 64k pages, 48-bit VAs, pgdp=0000000112ce2e00 [0000000000000008] pgd=0000000000000000, p4d=0000000000000000, pud=0000000000000000 Internal error: Oops: 0000000096000005 [#1] PREEMPT SMP Modules linked in: iptable_raw bonding ip_gre ip6_gre gre ip6_tunnel tunnel6 geneve ip6_udp_tunnel udp_tunnel ipip tunnel4 ip_tunnel rdma_ucm(OE) rdma_cm(OE) iw_cm(OE) ib_ipoib(OE) ib_cm(OE) ib_umad(OE) mlx5_ib(OE) ib_uverbs(OE) mlx5_fwctl(OE) fwctl(OE) mlx5_core(OE) mlxdevm(OE) ib_core(OE) mlxfw(OE) memtrack(OE) mlx_compat(OE) openvswitch nsh nf_conncount psample xt_conntrack xt_MASQUERADE nf_conntrack_netlink nfnetlink xfrm_user xfrm_algo xt_addrtype iptable_filter iptable_nat nf_nat nf_conntrack nf_defrag_ipv6 nf_defrag_ipv4 br_netfilter bridge stp llc netconsole overlay efi_pstore sch_fq_codel zram ip_tables crct10dif_ce qemu_fw_cfg fuse ipv6 crc_ccitt [last unloaded: mlx_compat(OE)] CPU: 3 UID: 0 PID: 217 Comm: kworker/u53:2 Tainted: G OE 6.11.0+ #2 Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: QEMU KVM Virtual Machine, BIOS 0.0.0 02/06/2015 Workqueue: mlx5_lag mlx5_do_bond_work [mlx5_core] pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : mlx5_del_flow_rules+0x24/0x2c0 [mlx5_core] lr : mlx5_lag_destroy_definer+0x54/0x100 [mlx5_core] sp : ffff800085fafb00 x29: ffff800085fafb00 x28: ffff0000da0c8000 x27: 0000000000000000 x26: ffff0000da0c8000 x25: ffff0000da0c8000 x24: ffff0000da0c8000 x23: ffff0000c31f81a0 x22: 0400000000000000 x21: ffff0000da0c8000 x20: 0000000000000000 x19: 0000000000000001 x18: 0000000000000000 x17: 0000000000000000 x16: 0000000000000000 x15: 0000ffff8b0c9350 x14: 0000000000000000 x13: ffff800081390d18 x12: ffff800081dc3cc0 x11: 0000000000000001 x10: 0000000000000b10 x9 : ffff80007ab7304c x8 : ffff0000d00711f0 x7 : 0000000000000004 x6 : 0000000000000190 x5 : ffff00027edb3010 x4 : 0000000000000000 x3 : 0000000000000000 x2 : ffff0000d39b8000 x1 : ffff0000d39b8000 x0 : 0400000000000000 Call trace: mlx5_del_flow_rules+0x24/0x2c0 [mlx5_core] mlx5_lag_destroy_definer+0x54/0x100 [mlx5_core] mlx5_lag_destroy_definers+0xa0/0x108 [mlx5_core] mlx5_lag_port_sel_create+0x2d4/0x6f8 [mlx5_core] mlx5_activate_lag+0x60c/0x6f8 [mlx5_core] mlx5_do_bond_work+0x284/0x5c8 [mlx5_core] process_one_work+0x170/0x3e0 worker_thread+0x2d8/0x3e0 kthread+0x11c/0x128 ret_from_fork+0x10/0x20 Code: a9025bf5 aa0003f6 a90363f7 f90023f9 (f9400400) ---[ end trace 0000000000000000 ]--- Уязвимость функции mlx5_lag_destroy_definers() драйвера mlx5 (drivers/net/ethernet/mellanox/mlx5/core/lag/port_sel.c) операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gtp: Destroy device along with udp socket's netns dismantle. gtp_newlink() links the device to a list in dev_net(dev) instead of src_net, where a udp tunnel socket is created. Even when src_net is removed, the device stays alive on dev_net(dev). Then, removing src_net triggers the splat below. [0] In this example, gtp0 is created in ns2, and the udp socket is created in ns1. ip netns add ns1 ip netns add ns2 ip -n ns1 link add netns ns2 name gtp0 type gtp role sgsn ip netns del ns1 Let's link the device to the socket's netns instead. Now, gtp_net_exit_batch_rtnl() needs another netdev iteration to remove all gtp devices in the netns. [0]: ref_tracker: net notrefcnt@000000003d6e7d05 has 1/2 users at sk_alloc (./include/net/net_namespace.h:345 net/core/sock.c:2236) inet_create (net/ipv4/af_inet.c:326 net/ipv4/af_inet.c:252) __sock_create (net/socket.c:1558) udp_sock_create4 (net/ipv4/udp_tunnel_core.c:18) gtp_create_sock (./include/net/udp_tunnel.h:59 drivers/net/gtp.c:1423) gtp_create_sockets (drivers/net/gtp.c:1447) gtp_newlink (drivers/net/gtp.c:1507) rtnl_newlink (net/core/rtnetlink.c:3786 net/core/rtnetlink.c:3897 net/core/rtnetlink.c:4012) rtnetlink_rcv_msg (net/core/rtnetlink.c:6922) netlink_rcv_skb (net/netlink/af_netlink.c:2542) netlink_unicast (net/netlink/af_netlink.c:1321 net/netlink/af_netlink.c:1347) netlink_sendmsg (net/netlink/af_netlink.c:1891) ____sys_sendmsg (net/socket.c:711 net/socket.c:726 net/socket.c:2583) ___sys_sendmsg (net/socket.c:2639) __sys_sendmsg (net/socket.c:2669) do_syscall_64 (arch/x86/entry/common.c:52 arch/x86/entry/common.c:83) WARNING: CPU: 1 PID: 60 at lib/ref_tracker.c:179 ref_tracker_dir_exit (lib/ref_tracker.c:179) Modules linked in: CPU: 1 UID: 0 PID: 60 Comm: kworker/u16:2 Not tainted 6.13.0-rc5-00147-g4c1224501e9d #5 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 Workqueue: netns cleanup_net RIP: 0010:ref_tracker_dir_exit (lib/ref_tracker.c:179) Code: 00 00 00 fc ff df 4d 8b 26 49 bd 00 01 00 00 00 00 ad de 4c 39 f5 0f 85 df 00 00 00 48 8b 74 24 08 48 89 df e8 a5 cc 12 02 90 <0f> 0b 90 48 8d 6b 44 be 04 00 00 00 48 89 ef e8 80 de 67 ff 48 89 RSP: 0018:ff11000009a07b60 EFLAGS: 00010286 RAX: 0000000000002bd3 RBX: ff1100000f4e1aa0 RCX: 1ffffffff0e40ac6 RDX: 0000000000000000 RSI: 0000000000000000 RDI: ffffffff8423ee3c RBP: ff1100000f4e1af0 R08: 0000000000000001 R09: fffffbfff0e395ae R10: 0000000000000001 R11: 0000000000036001 R12: ff1100000f4e1af0 R13: dead000000000100 R14: ff1100000f4e1af0 R15: dffffc0000000000 FS: 0000000000000000(0000) GS:ff1100006ce80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f9b2464bd98 CR3: 0000000005286005 CR4: 0000000000771ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe07f0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? __warn (kernel/panic.c:748) ? ref_tracker_dir_exit (lib/ref_tracker.c:179) ? report_bug (lib/bug.c:201 lib/bug.c:219) ? handle_bug (arch/x86/kernel/traps.c:285) ? exc_invalid_op (arch/x86/kernel/traps.c:309 (discriminator 1)) ? asm_exc_invalid_op (./arch/x86/include/asm/idtentry.h:621) ? _raw_spin_unlock_irqrestore (./arch/x86/include/asm/irqflags.h:42 ./arch/x86/include/asm/irqflags.h:97 ./arch/x86/include/asm/irqflags.h:155 ./include/linux/spinlock_api_smp.h:151 kernel/locking/spinlock.c:194) ? ref_tracker_dir_exit (lib/ref_tracker.c:179) ? __pfx_ref_tracker_dir_exit (lib/ref_tracker.c:158) ? kfree (mm/slub.c:4613 mm/slub.c:4761) net_free (net/core/net_namespace.c:476 net/core/net_namespace.c:467) cleanup_net (net/core/net_namespace.c:664 (discriminator 3)) process_one_work (kernel/workqueue.c:3229) worker_thread (kernel/workqueue.c:3304 kernel/workqueue.c:3391 ---truncated--- Уязвимость функции gtp_newlink() модуля drivers/net/gtp.c ядра операционных систем Linux связана с некорректным отображением списка сетевых устройств в результате недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pktgen: Avoid out-of-bounds access in get_imix_entries Passing a sufficient amount of imix entries leads to invalid access to the pkt_dev->imix_entries array because of the incorrect boundary check. UBSAN: array-index-out-of-bounds in net/core/pktgen.c:874:24 index 20 is out of range for type 'imix_pkt [20]' CPU: 2 PID: 1210 Comm: bash Not tainted 6.10.0-rc1 #121 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996) Call Trace: <TASK> dump_stack_lvl lib/dump_stack.c:117 __ubsan_handle_out_of_bounds lib/ubsan.c:429 get_imix_entries net/core/pktgen.c:874 pktgen_if_write net/core/pktgen.c:1063 pde_write fs/proc/inode.c:334 proc_reg_write fs/proc/inode.c:346 vfs_write fs/read_write.c:593 ksys_write fs/read_write.c:644 do_syscall_64 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe arch/x86/entry/entry_64.S:130 Found by Linux Verification Center (linuxtesting.org) with SVACE. [ fp: allow to fill the array completely; minor changelog cleanup ] Уязвимость функции get_imix_entries() модуля net/core/pktgen.c ядра операционных систем Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: openvswitch: fix lockup on tx to unregistering netdev with carrier Commit in a fixes tag attempted to fix the issue in the following sequence of calls: do_output -> ovs_vport_send -> dev_queue_xmit -> __dev_queue_xmit -> netdev_core_pick_tx -> skb_tx_hash When device is unregistering, the 'dev->real_num_tx_queues' goes to zero and the 'while (unlikely(hash >= qcount))' loop inside the 'skb_tx_hash' becomes infinite, locking up the core forever. But unfortunately, checking just the carrier status is not enough to fix the issue, because some devices may still be in unregistering state while reporting carrier status OK. One example of such device is a net/dummy. It sets carrier ON on start, but it doesn't implement .ndo_stop to set the carrier off. And it makes sense, because dummy doesn't really have a carrier. Therefore, while this device is unregistering, it's still easy to hit the infinite loop in the skb_tx_hash() from the OVS datapath. There might be other drivers that do the same, but dummy by itself is important for the OVS ecosystem, because it is frequently used as a packet sink for tcpdump while debugging OVS deployments. And when the issue is hit, the only way to recover is to reboot. Fix that by also checking if the device is running. The running state is handled by the net core during unregistering, so it covers unregistering case better, and we don't really need to send packets to devices that are not running anyway. While only checking the running state might be enough, the carrier check is preserved. The running and the carrier states seem disjoined throughout the code and different drivers. And other core functions like __dev_direct_xmit() check both before attempting to transmit a packet. So, it seems safer to check both flags in OVS as well. Уязвимость модуля net/openvswitch/actions.c ядра операционных систем Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix bpf_sk_select_reuseport() memory leak As pointed out in the original comment, lookup in sockmap can return a TCP ESTABLISHED socket. Such TCP socket may have had SO_ATTACH_REUSEPORT_EBPF set before it was ESTABLISHED. In other words, a non-NULL sk_reuseport_cb does not imply a non-refcounted socket. Drop sk's reference in both error paths. unreferenced object 0xffff888101911800 (size 2048): comm "test_progs", pid 44109, jiffies 4297131437 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 80 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc 9336483b): __kmalloc_noprof+0x3bf/0x560 __reuseport_alloc+0x1d/0x40 reuseport_alloc+0xca/0x150 reuseport_attach_prog+0x87/0x140 sk_reuseport_attach_bpf+0xc8/0x100 sk_setsockopt+0x1181/0x1990 do_sock_setsockopt+0x12b/0x160 __sys_setsockopt+0x7b/0xc0 __x64_sys_setsockopt+0x1b/0x30 do_syscall_64+0x93/0x180 entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость функции bpf_sk_select_reuseport() модуля net/core/filter.c ядра операционных систем Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gpio: xilinx: Convert gpio_lock to raw spinlock irq_chip functions may be called in raw spinlock context. Therefore, we must also use a raw spinlock for our own internal locking. This fixes the following lockdep splat: [ 5.349336] ============================= [ 5.353349] [ BUG: Invalid wait context ] [ 5.357361] 6.13.0-rc5+ #69 Tainted: G W [ 5.363031] ----------------------------- [ 5.367045] kworker/u17:1/44 is trying to lock: [ 5.371587] ffffff88018b02c0 (&chip->gpio_lock){....}-{3:3}, at: xgpio_irq_unmask (drivers/gpio/gpio-xilinx.c:433 (discriminator 8)) [ 5.380079] other info that might help us debug this: [ 5.385138] context-{5:5} [ 5.387762] 5 locks held by kworker/u17:1/44: [ 5.392123] #0: ffffff8800014958 ((wq_completion)events_unbound){+.+.}-{0:0}, at: process_one_work (kernel/workqueue.c:3204) [ 5.402260] #1: ffffffc082fcbdd8 (deferred_probe_work){+.+.}-{0:0}, at: process_one_work (kernel/workqueue.c:3205) [ 5.411528] #2: ffffff880172c900 (&dev->mutex){....}-{4:4}, at: __device_attach (drivers/base/dd.c:1006) [ 5.419929] #3: ffffff88039c8268 (request_class#2){+.+.}-{4:4}, at: __setup_irq (kernel/irq/internals.h:156 kernel/irq/manage.c:1596) [ 5.428331] #4: ffffff88039c80c8 (lock_class#2){....}-{2:2}, at: __setup_irq (kernel/irq/manage.c:1614) [ 5.436472] stack backtrace: [ 5.439359] CPU: 2 UID: 0 PID: 44 Comm: kworker/u17:1 Tainted: G W 6.13.0-rc5+ #69 [ 5.448690] Tainted: [W]=WARN [ 5.451656] Hardware name: xlnx,zynqmp (DT) [ 5.455845] Workqueue: events_unbound deferred_probe_work_func [ 5.461699] Call trace: [ 5.464147] show_stack+0x18/0x24 C [ 5.467821] dump_stack_lvl (lib/dump_stack.c:123) [ 5.471501] dump_stack (lib/dump_stack.c:130) [ 5.474824] __lock_acquire (kernel/locking/lockdep.c:4828 kernel/locking/lockdep.c:4898 kernel/locking/lockdep.c:5176) [ 5.478758] lock_acquire (arch/arm64/include/asm/percpu.h:40 kernel/locking/lockdep.c:467 kernel/locking/lockdep.c:5851 kernel/locking/lockdep.c:5814) [ 5.482429] _raw_spin_lock_irqsave (include/linux/spinlock_api_smp.h:111 kernel/locking/spinlock.c:162) [ 5.486797] xgpio_irq_unmask (drivers/gpio/gpio-xilinx.c:433 (discriminator 8)) [ 5.490737] irq_enable (kernel/irq/internals.h:236 kernel/irq/chip.c:170 kernel/irq/chip.c:439 kernel/irq/chip.c:432 kernel/irq/chip.c:345) [ 5.494060] __irq_startup (kernel/irq/internals.h:241 kernel/irq/chip.c:180 kernel/irq/chip.c:250) [ 5.497645] irq_startup (kernel/irq/chip.c:270) [ 5.501143] __setup_irq (kernel/irq/manage.c:1807) [ 5.504728] request_threaded_irq (kernel/irq/manage.c:2208) Уязвимость ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vfio/platform: check the bounds of read/write syscalls count and offset are passed from user space and not checked, only offset is capped to 40 bits, which can be used to read/write out of bounds of the device. Уязвимость функции vfio_platform_read_mmio() модуля drivers/vfio/platform/vfio_platform_common.c - драйвера поддержки платформ с устройствами VFIO ядра операционной системы Linux связана с ошибками в коде. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/v3d: Assign job pointer to NULL before signaling the fence In commit e4b5ccd392b9 ("drm/v3d: Ensure job pointer is set to NULL after job completion"), we introduced a change to assign the job pointer to NULL after completing a job, indicating job completion. However, this approach created a race condition between the DRM scheduler workqueue and the IRQ execution thread. As soon as the fence is signaled in the IRQ execution thread, a new job starts to be executed. This results in a race condition where the IRQ execution thread sets the job pointer to NULL simultaneously as the `run_job()` function assigns a new job to the pointer. This race condition can lead to a NULL pointer dereference if the IRQ execution thread sets the job pointer to NULL after `run_job()` assigns it to the new job. When the new job completes and the GPU emits an interrupt, `v3d_irq()` is triggered, potentially causing a crash. [ 466.310099] Unable to handle kernel NULL pointer dereference at virtual address 00000000000000c0 [ 466.318928] Mem abort info: [ 466.321723] ESR = 0x0000000096000005 [ 466.325479] EC = 0x25: DABT (current EL), IL = 32 bits [ 466.330807] SET = 0, FnV = 0 [ 466.333864] EA = 0, S1PTW = 0 [ 466.337010] FSC = 0x05: level 1 translation fault [ 466.341900] Data abort info: [ 466.344783] ISV = 0, ISS = 0x00000005, ISS2 = 0x00000000 [ 466.350285] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 466.355350] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 466.360677] user pgtable: 4k pages, 39-bit VAs, pgdp=0000000089772000 [ 466.367140] [00000000000000c0] pgd=0000000000000000, p4d=0000000000000000, pud=0000000000000000 [ 466.375875] Internal error: Oops: 0000000096000005 [#1] PREEMPT SMP [ 466.382163] Modules linked in: rfcomm snd_seq_dummy snd_hrtimer snd_seq snd_seq_device algif_hash algif_skcipher af_alg bnep binfmt_misc vc4 snd_soc_hdmi_codec drm_display_helper cec brcmfmac_wcc spidev rpivid_hevc(C) drm_client_lib brcmfmac hci_uart drm_dma_helper pisp_be btbcm brcmutil snd_soc_core aes_ce_blk v4l2_mem2mem bluetooth aes_ce_cipher snd_compress videobuf2_dma_contig ghash_ce cfg80211 gf128mul snd_pcm_dmaengine videobuf2_memops ecdh_generic sha2_ce ecc videobuf2_v4l2 snd_pcm v3d sha256_arm64 rfkill videodev snd_timer sha1_ce libaes gpu_sched snd videobuf2_common sha1_generic drm_shmem_helper mc rp1_pio drm_kms_helper raspberrypi_hwmon spi_bcm2835 gpio_keys i2c_brcmstb rp1 raspberrypi_gpiomem rp1_mailbox rp1_adc nvmem_rmem uio_pdrv_genirq uio i2c_dev drm ledtrig_pattern drm_panel_orientation_quirks backlight fuse dm_mod ip_tables x_tables ipv6 [ 466.458429] CPU: 0 UID: 1000 PID: 2008 Comm: chromium Tainted: G C 6.13.0-v8+ #18 [ 466.467336] Tainted: [C]=CRAP [ 466.470306] Hardware name: Raspberry Pi 5 Model B Rev 1.0 (DT) [ 466.476157] pstate: 404000c9 (nZcv daIF +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 466.483143] pc : v3d_irq+0x118/0x2e0 [v3d] [ 466.487258] lr : __handle_irq_event_percpu+0x60/0x228 [ 466.492327] sp : ffffffc080003ea0 [ 466.495646] x29: ffffffc080003ea0 x28: ffffff80c0c94200 x27: 0000000000000000 [ 466.502807] x26: ffffffd08dd81d7b x25: ffffff80c0c94200 x24: ffffff8003bdc200 [ 466.509969] x23: 0000000000000001 x22: 00000000000000a7 x21: 0000000000000000 [ 466.517130] x20: ffffff8041bb0000 x19: 0000000000000001 x18: 0000000000000000 [ 466.524291] x17: ffffffafadfb0000 x16: ffffffc080000000 x15: 0000000000000000 [ 466.531452] x14: 0000000000000000 x13: 0000000000000000 x12: 0000000000000000 [ 466.538613] x11: 0000000000000000 x10: 0000000000000000 x9 : ffffffd08c527eb0 [ 466.545777] x8 : 0000000000000000 x7 : 0000000000000000 x6 : 0000000000000000 [ 466.552941] x5 : ffffffd08c4100d0 x4 : ffffffafadfb0000 x3 : ffffffc080003f70 [ 466.560102] x2 : ffffffc0829e8058 x1 : 0000000000000001 x0 : 0000000000000000 [ 466.567263] Call trace: [ 466.569711] v3d_irq+0x118/0x2e0 [v3d] (P) [ 466. ---truncated--- Уязвимость функции v3d_irq() модуля drivers/gpu/drm/v3d/v3d_irq.c - драйвера поддержки инфраструктуры прямого рендеринга (DRI) ядра операционной системы Linux связана с ошибками в коде. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: USB: serial: quatech2: fix null-ptr-deref in qt2_process_read_urb() This patch addresses a null-ptr-deref in qt2_process_read_urb() due to an incorrect bounds check in the following: if (newport > serial->num_ports) { dev_err(&port->dev, "%s - port change to invalid port: %i\n", __func__, newport); break; } The condition doesn't account for the valid range of the serial->port buffer, which is from 0 to serial->num_ports - 1. When newport is equal to serial->num_ports, the assignment of "port" in the following code is out-of-bounds and NULL: serial_priv->current_port = newport; port = serial->port[serial_priv->current_port]; The fix checks if newport is greater than or equal to serial->num_ports indicating it is out-of-bounds. Уязвимость функции qt2_process_read_urb() модуля drivers/usb/serial/quatech2.c - драйвера поддержки устройств шины USB ядра операционной системы Linux связана с ошибками в коде. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: storvsc: Ratelimit warning logs to prevent VM denial of service If there's a persistent error in the hypervisor, the SCSI warning for failed I/O can flood the kernel log and max out CPU utilization, preventing troubleshooting from the VM side. Ratelimit the warning so it doesn't DoS the VM. Уязвимость функции storvsc_on_io_completion() модуля drivers/scsi/storvsc_drv.c драйвера поддержки устройств SCSI ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cachestat: fix page cache statistics permission checking When the 'cachestat()' system call was added in commit cf264e1329fb ("cachestat: implement cachestat syscall"), it was meant to be a much more convenient (and performant) version of mincore() that didn't need mapping things into the user virtual address space in order to work. But it ended up missing the "check for writability or ownership" fix for mincore(), done in commit 134fca9063ad ("mm/mincore.c: make mincore() more conservative"). This just adds equivalent logic to 'cachestat()', modified for the file context (rather than vma). Уязвимость компонента mm/filemap.c ядра операционной системы Linux связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: sched: fix ets qdisc OOB Indexing Haowei Yan <g1042620637@gmail.com> found that ets_class_from_arg() can index an Out-Of-Bound class in ets_class_from_arg() when passed clid of 0. The overflow may cause local privilege escalation. [ 18.852298] ------------[ cut here ]------------ [ 18.853271] UBSAN: array-index-out-of-bounds in net/sched/sch_ets.c:93:20 [ 18.853743] index 18446744073709551615 is out of range for type 'ets_class [16]' [ 18.854254] CPU: 0 UID: 0 PID: 1275 Comm: poc Not tainted 6.12.6-dirty #17 [ 18.854821] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 [ 18.856532] Call Trace: [ 18.857441] <TASK> [ 18.858227] dump_stack_lvl+0xc2/0xf0 [ 18.859607] dump_stack+0x10/0x20 [ 18.860908] __ubsan_handle_out_of_bounds+0xa7/0xf0 [ 18.864022] ets_class_change+0x3d6/0x3f0 [ 18.864322] tc_ctl_tclass+0x251/0x910 [ 18.864587] ? lock_acquire+0x5e/0x140 [ 18.865113] ? __mutex_lock+0x9c/0xe70 [ 18.866009] ? __mutex_lock+0xa34/0xe70 [ 18.866401] rtnetlink_rcv_msg+0x170/0x6f0 [ 18.866806] ? __lock_acquire+0x578/0xc10 [ 18.867184] ? __pfx_rtnetlink_rcv_msg+0x10/0x10 [ 18.867503] netlink_rcv_skb+0x59/0x110 [ 18.867776] rtnetlink_rcv+0x15/0x30 [ 18.868159] netlink_unicast+0x1c3/0x2b0 [ 18.868440] netlink_sendmsg+0x239/0x4b0 [ 18.868721] ____sys_sendmsg+0x3e2/0x410 [ 18.869012] ___sys_sendmsg+0x88/0xe0 [ 18.869276] ? rseq_ip_fixup+0x198/0x260 [ 18.869563] ? rseq_update_cpu_node_id+0x10a/0x190 [ 18.869900] ? trace_hardirqs_off+0x5a/0xd0 [ 18.870196] ? syscall_exit_to_user_mode+0xcc/0x220 [ 18.870547] ? do_syscall_64+0x93/0x150 [ 18.870821] ? __memcg_slab_free_hook+0x69/0x290 [ 18.871157] __sys_sendmsg+0x69/0xd0 [ 18.871416] __x64_sys_sendmsg+0x1d/0x30 [ 18.871699] x64_sys_call+0x9e2/0x2670 [ 18.871979] do_syscall_64+0x87/0x150 [ 18.873280] ? do_syscall_64+0x93/0x150 [ 18.874742] ? lock_release+0x7b/0x160 [ 18.876157] ? do_user_addr_fault+0x5ce/0x8f0 [ 18.877833] ? irqentry_exit_to_user_mode+0xc2/0x210 [ 18.879608] ? irqentry_exit+0x77/0xb0 [ 18.879808] ? clear_bhb_loop+0x15/0x70 [ 18.880023] ? clear_bhb_loop+0x15/0x70 [ 18.880223] ? clear_bhb_loop+0x15/0x70 [ 18.880426] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 18.880683] RIP: 0033:0x44a957 [ 18.880851] Code: ff ff e8 fc 00 00 00 66 2e 0f 1f 84 00 00 00 00 00 66 90 f3 0f 1e fa 64 8b 04 25 18 00 00 00 85 c0 75 10 b8 2e 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 51 c3 48 83 ec 28 89 54 24 1c 48 8974 24 10 [ 18.881766] RSP: 002b:00007ffcdd00fad8 EFLAGS: 00000246 ORIG_RAX: 000000000000002e [ 18.882149] RAX: ffffffffffffffda RBX: 00007ffcdd010db8 RCX: 000000000044a957 [ 18.882507] RDX: 0000000000000000 RSI: 00007ffcdd00fb70 RDI: 0000000000000003 [ 18.885037] RBP: 00007ffcdd010bc0 R08: 000000000703c770 R09: 000000000703c7c0 [ 18.887203] R10: 0000000000000080 R11: 0000000000000246 R12: 0000000000000001 [ 18.888026] R13: 00007ffcdd010da8 R14: 00000000004ca7d0 R15: 0000000000000001 [ 18.888395] </TASK> [ 18.888610] ---[ end trace ]--- Уязвимость функции ets_class_from_arg() модуля net/sched/sch_ets.c подсистемы управления трафиком net/sched ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_ets.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_ets в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_ets ``` или ``` kmod list | grep sch_ets ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_ets ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install sch_ets /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm: zswap: properly synchronize freeing resources during CPU hotunplug In zswap_compress() and zswap_decompress(), the per-CPU acomp_ctx of the current CPU at the beginning of the operation is retrieved and used throughout. However, since neither preemption nor migration are disabled, it is possible that the operation continues on a different CPU. If the original CPU is hotunplugged while the acomp_ctx is still in use, we run into a UAF bug as some of the resources attached to the acomp_ctx are freed during hotunplug in zswap_cpu_comp_dead() (i.e. acomp_ctx.buffer, acomp_ctx.req, or acomp_ctx.acomp). The problem was introduced in commit 1ec3b5fe6eec ("mm/zswap: move to use crypto_acomp API for hardware acceleration") when the switch to the crypto_acomp API was made. Prior to that, the per-CPU crypto_comp was retrieved using get_cpu_ptr() which disables preemption and makes sure the CPU cannot go away from under us. Preemption cannot be disabled with the crypto_acomp API as a sleepable context is needed. Use the acomp_ctx.mutex to synchronize CPU hotplug callbacks allocating and freeing resources with compression/decompression paths. Make sure that acomp_ctx.req is NULL when the resources are freed. In the compression/decompression paths, check if acomp_ctx.req is NULL after acquiring the mutex (meaning the CPU was offlined) and retry on the new CPU. The initialization of acomp_ctx.mutex is moved from the CPU hotplug callback to the pool initialization where it belongs (where the mutex is allocated). In addition to adding clarity, this makes sure that CPU hotplug cannot reinitialize a mutex that is already locked by compression/decompression. Previously a fix was attempted by holding cpus_read_lock() [1]. This would have caused a potential deadlock as it is possible for code already holding the lock to fall into reclaim and enter zswap (causing a deadlock). A fix was also attempted using SRCU for synchronization, but Johannes pointed out that synchronize_srcu() cannot be used in CPU hotplug notifiers [2]. Alternative fixes that were considered/attempted and could have worked: - Refcounting the per-CPU acomp_ctx. This involves complexity in handling the race between the refcount dropping to zero in zswap_[de]compress() and the refcount being re-initialized when the CPU is onlined. - Disabling migration before getting the per-CPU acomp_ctx [3], but that's discouraged and is a much bigger hammer than needed, and could result in subtle performance issues. [1]https://lkml.kernel.org/20241219212437.2714151-1-yosryahmed@google.com/ [2]https://lkml.kernel.org/20250107074724.1756696-2-yosryahmed@google.com/ [3]https://lkml.kernel.org/20250107222236.2715883-2-yosryahmed@google.com/ [yosryahmed@google.com: remove comment] Уязвимость компонента mm/zswap.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/proc: fix softlockup in __read_vmcore (part 2) Since commit 5cbcb62dddf5 ("fs/proc: fix softlockup in __read_vmcore") the number of softlockups in __read_vmcore at kdump time have gone down, but they still happen sometimes. In a memory constrained environment like the kdump image, a softlockup is not just a harmless message, but it can interfere with things like RCU freeing memory, causing the crashdump to get stuck. The second loop in __read_vmcore has a lot more opportunities for natural sleep points, like scheduling out while waiting for a data write to happen, but apparently that is not always enough. Add a cond_resched() to the second loop in __read_vmcore to (hopefully) get rid of the softlockups. Уязвимость компонента fs/proc ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/v3d: Ensure job pointer is set to NULL after job completion After a job completes, the corresponding pointer in the device must be set to NULL. Failing to do so triggers a warning when unloading the driver, as it appears the job is still active. To prevent this, assign the job pointer to NULL after completing the job, indicating the job has finished. Уязвимость компонента drm/v3d ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gfs2: Truncate address space when flipping GFS2_DIF_JDATA flag Truncate an inode's address space when flipping the GFS2_DIF_JDATA flag: depending on that flag, the pages in the address space will either use buffer heads or iomap_folio_state structs, and we cannot mix the two. Уязвимость компонента gfs2 ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: sched: Disallow replacing of child qdisc from one parent to another Lion Ackermann was able to create a UAF which can be abused for privilege escalation with the following script Step 1. create root qdisc tc qdisc add dev lo root handle 1:0 drr step2. a class for packet aggregation do demonstrate uaf tc class add dev lo classid 1:1 drr step3. a class for nesting tc class add dev lo classid 1:2 drr step4. a class to graft qdisc to tc class add dev lo classid 1:3 drr step5. tc qdisc add dev lo parent 1:1 handle 2:0 plug limit 1024 step6. tc qdisc add dev lo parent 1:2 handle 3:0 drr step7. tc class add dev lo classid 3:1 drr step 8. tc qdisc add dev lo parent 3:1 handle 4:0 pfifo step 9. Display the class/qdisc layout tc class ls dev lo class drr 1:1 root leaf 2: quantum 64Kb class drr 1:2 root leaf 3: quantum 64Kb class drr 3:1 root leaf 4: quantum 64Kb tc qdisc ls qdisc drr 1: dev lo root refcnt 2 qdisc plug 2: dev lo parent 1:1 qdisc pfifo 4: dev lo parent 3:1 limit 1000p qdisc drr 3: dev lo parent 1:2 step10. trigger the bug <=== prevented by this patch tc qdisc replace dev lo parent 1:3 handle 4:0 step 11. Redisplay again the qdiscs/classes tc class ls dev lo class drr 1:1 root leaf 2: quantum 64Kb class drr 1:2 root leaf 3: quantum 64Kb class drr 1:3 root leaf 4: quantum 64Kb class drr 3:1 root leaf 4: quantum 64Kb tc qdisc ls qdisc drr 1: dev lo root refcnt 2 qdisc plug 2: dev lo parent 1:1 qdisc pfifo 4: dev lo parent 3:1 refcnt 2 limit 1000p qdisc drr 3: dev lo parent 1:2 Observe that a) parent for 4:0 does not change despite the replace request. There can only be one parent. b) refcount has gone up by two for 4:0 and c) both class 1:3 and 3:1 are pointing to it. Step 12. send one packet to plug echo "" | socat -u STDIN UDP4-DATAGRAM:127.0.0.1:8888,priority=$((0x10001)) step13. send one packet to the grafted fifo echo "" | socat -u STDIN UDP4-DATAGRAM:127.0.0.1:8888,priority=$((0x10003)) step14. lets trigger the uaf tc class delete dev lo classid 1:3 tc class delete dev lo classid 1:1 The semantics of "replace" is for a del/add _on the same node_ and not a delete from one node(3:1) and add to another node (1:3) as in step10. While we could "fix" with a more complex approach there could be consequences to expectations so the patch takes the preventive approach of "disallow such config". Joint work with Lion Ackermann <nnamrec@gmail.com> Уязвимость компонента sch_api.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netem: Update sch->q.qlen before qdisc_tree_reduce_backlog() qdisc_tree_reduce_backlog() notifies parent qdisc only if child qdisc becomes empty, therefore we need to reduce the backlog of the child qdisc before calling it. Otherwise it would miss the opportunity to call cops->qlen_notify(), in the case of DRR, it resulted in UAF since DRR uses ->qlen_notify() to maintain its active list. Уязвимость функции netem_dequeue() модуля net/sched/sch_netem.c подсистемы управления трафиком net/sched ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2025-21703 необходимо запретить загрузку модуля sch_netem.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_netem в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_netem ``` или ``` kmod list | grep sch_netem ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_netem ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install sch_netem /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: cdc-acm: Check control transfer buffer size before access If the first fragment is shorter than struct usb_cdc_notification, we can't calculate an expected_size. Log an error and discard the notification instead of reading lengths from memory outside the received data, which can lead to memory corruption when the expected_size decreases between fragments, causing `expected_size - acm->nb_index` to wrap. This issue has been present since the beginning of git history; however, it only leads to memory corruption since commit ea2583529cd1 ("cdc-acm: reassemble fragmented notifications"). A mitigating factor is that acm_ctrl_irq() can only execute after userspace has opened /dev/ttyACM*; but if ModemManager is running, ModemManager will do that automatically depending on the USB device's vendor/product IDs and its other interfaces. Уязвимость компонента drivers/usb/class/cdc-acm.c ядра операционной системы Linux связана с ошибками при обработке параметров длины. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: handle fastopen disconnect correctly Syzbot was able to trigger a data stream corruption: WARNING: CPU: 0 PID: 9846 at net/mptcp/protocol.c:1024 __mptcp_clean_una+0xddb/0xff0 net/mptcp/protocol.c:1024 Modules linked in: CPU: 0 UID: 0 PID: 9846 Comm: syz-executor351 Not tainted 6.13.0-rc2-syzkaller-00059-g00a5acdbf398 #0 Hardware name: Google Compute Engine/Google Compute Engine, BIOS Google 11/25/2024 RIP: 0010:__mptcp_clean_una+0xddb/0xff0 net/mptcp/protocol.c:1024 Code: fa ff ff 48 8b 4c 24 18 80 e1 07 fe c1 38 c1 0f 8c 8e fa ff ff 48 8b 7c 24 18 e8 e0 db 54 f6 e9 7f fa ff ff e8 e6 80 ee f5 90 <0f> 0b 90 4c 8b 6c 24 40 4d 89 f4 e9 04 f5 ff ff 44 89 f1 80 e1 07 RSP: 0018:ffffc9000c0cf400 EFLAGS: 00010293 RAX: ffffffff8bb0dd5a RBX: ffff888033f5d230 RCX: ffff888059ce8000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 RBP: ffffc9000c0cf518 R08: ffffffff8bb0d1dd R09: 1ffff110170c8928 R10: dffffc0000000000 R11: ffffed10170c8929 R12: 0000000000000000 R13: ffff888033f5d220 R14: dffffc0000000000 R15: ffff8880592b8000 FS: 00007f6e866496c0(0000) GS:ffff8880b8600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f6e86f491a0 CR3: 00000000310e6000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> __mptcp_clean_una_wakeup+0x7f/0x2d0 net/mptcp/protocol.c:1074 mptcp_release_cb+0x7cb/0xb30 net/mptcp/protocol.c:3493 release_sock+0x1aa/0x1f0 net/core/sock.c:3640 inet_wait_for_connect net/ipv4/af_inet.c:609 [inline] __inet_stream_connect+0x8bd/0xf30 net/ipv4/af_inet.c:703 mptcp_sendmsg_fastopen+0x2a2/0x530 net/mptcp/protocol.c:1755 mptcp_sendmsg+0x1884/0x1b10 net/mptcp/protocol.c:1830 sock_sendmsg_nosec net/socket.c:711 [inline] __sock_sendmsg+0x1a6/0x270 net/socket.c:726 ____sys_sendmsg+0x52a/0x7e0 net/socket.c:2583 ___sys_sendmsg net/socket.c:2637 [inline] __sys_sendmsg+0x269/0x350 net/socket.c:2669 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f6e86ebfe69 Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 b1 1f 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b0 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f6e86649168 EFLAGS: 00000246 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 00007f6e86f491b8 RCX: 00007f6e86ebfe69 RDX: 0000000030004001 RSI: 0000000020000080 RDI: 0000000000000003 RBP: 00007f6e86f491b0 R08: 00007f6e866496c0 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 00007f6e86f491bc R13: 000000000000006e R14: 00007ffe445d9420 R15: 00007ffe445d9508 </TASK> The root cause is the bad handling of disconnect() generated internally by the MPTCP protocol in case of connect FASTOPEN errors. Address the issue increasing the socket disconnect counter even on such a case, to allow other threads waiting on the same socket lock to properly error out. Уязвимость компонента net/mptcp/protocol.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: pm: only set fullmesh for subflow endp With the in-kernel path-manager, it is possible to change the 'fullmesh' flag. The code in mptcp_pm_nl_fullmesh() expects to change it only on 'subflow' endpoints, to recreate more or less subflows using the linked address. Unfortunately, the set_flags() hook was a bit more permissive, and allowed 'implicit' endpoints to get the 'fullmesh' flag while it is not allowed before. That's what syzbot found, triggering the following warning: WARNING: CPU: 0 PID: 6499 at net/mptcp/pm_netlink.c:1496 __mark_subflow_endp_available net/mptcp/pm_netlink.c:1496 [inline] WARNING: CPU: 0 PID: 6499 at net/mptcp/pm_netlink.c:1496 mptcp_pm_nl_fullmesh net/mptcp/pm_netlink.c:1980 [inline] WARNING: CPU: 0 PID: 6499 at net/mptcp/pm_netlink.c:1496 mptcp_nl_set_flags net/mptcp/pm_netlink.c:2003 [inline] WARNING: CPU: 0 PID: 6499 at net/mptcp/pm_netlink.c:1496 mptcp_pm_nl_set_flags+0x974/0xdc0 net/mptcp/pm_netlink.c:2064 Modules linked in: CPU: 0 UID: 0 PID: 6499 Comm: syz.1.413 Not tainted 6.13.0-rc5-syzkaller-00172-gd1bf27c4e176 #0 Hardware name: Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 RIP: 0010:__mark_subflow_endp_available net/mptcp/pm_netlink.c:1496 [inline] RIP: 0010:mptcp_pm_nl_fullmesh net/mptcp/pm_netlink.c:1980 [inline] RIP: 0010:mptcp_nl_set_flags net/mptcp/pm_netlink.c:2003 [inline] RIP: 0010:mptcp_pm_nl_set_flags+0x974/0xdc0 net/mptcp/pm_netlink.c:2064 Code: 01 00 00 49 89 c5 e8 fb 45 e8 f5 e9 b8 fc ff ff e8 f1 45 e8 f5 4c 89 f7 be 03 00 00 00 e8 44 1d 0b f9 eb a0 e8 dd 45 e8 f5 90 <0f> 0b 90 e9 17 ff ff ff 89 d9 80 e1 07 38 c1 0f 8c c9 fc ff ff 48 RSP: 0018:ffffc9000d307240 EFLAGS: 00010293 RAX: ffffffff8bb72e03 RBX: 0000000000000000 RCX: ffff88807da88000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 RBP: ffffc9000d307430 R08: ffffffff8bb72cf0 R09: 1ffff1100b842a5e R10: dffffc0000000000 R11: ffffed100b842a5f R12: ffff88801e2e5ac0 R13: ffff88805c214800 R14: ffff88805c2152e8 R15: 1ffff1100b842a5d FS: 00005555619f6500(0000) GS:ffff8880b8600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000020002840 CR3: 00000000247e6000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> genl_family_rcv_msg_doit net/netlink/genetlink.c:1115 [inline] genl_family_rcv_msg net/netlink/genetlink.c:1195 [inline] genl_rcv_msg+0xb14/0xec0 net/netlink/genetlink.c:1210 netlink_rcv_skb+0x1e3/0x430 net/netlink/af_netlink.c:2542 genl_rcv+0x28/0x40 net/netlink/genetlink.c:1219 netlink_unicast_kernel net/netlink/af_netlink.c:1321 [inline] netlink_unicast+0x7f6/0x990 net/netlink/af_netlink.c:1347 netlink_sendmsg+0x8e4/0xcb0 net/netlink/af_netlink.c:1891 sock_sendmsg_nosec net/socket.c:711 [inline] __sock_sendmsg+0x221/0x270 net/socket.c:726 ____sys_sendmsg+0x52a/0x7e0 net/socket.c:2583 ___sys_sendmsg net/socket.c:2637 [inline] __sys_sendmsg+0x269/0x350 net/socket.c:2669 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f5fe8785d29 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007fff571f5558 EFLAGS: 00000246 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 00007f5fe8975fa0 RCX: 00007f5fe8785d29 RDX: 0000000000000000 RSI: 0000000020000480 RDI: 0000000000000007 RBP: 00007f5fe8801b08 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 00007f5fe8975fa0 R14: 00007f5fe8975fa0 R15: 000000 ---truncated--- Уязвимость компонента net/mptcp/pm_netlink.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: consolidate suboption status MPTCP maintains the received sub-options status is the bitmask carrying the received suboptions and in several bitfields carrying per suboption additional info. Zeroing the bitmask before parsing is not enough to ensure a consistent status, and the MPTCP code has to additionally clear some bitfiled depending on the actually parsed suboption. The above schema is fragile, and syzbot managed to trigger a path where a relevant bitfield is not cleared/initialized: BUG: KMSAN: uninit-value in __mptcp_expand_seq net/mptcp/options.c:1030 [inline] BUG: KMSAN: uninit-value in mptcp_expand_seq net/mptcp/protocol.h:864 [inline] BUG: KMSAN: uninit-value in ack_update_msk net/mptcp/options.c:1060 [inline] BUG: KMSAN: uninit-value in mptcp_incoming_options+0x2036/0x3d30 net/mptcp/options.c:1209 __mptcp_expand_seq net/mptcp/options.c:1030 [inline] mptcp_expand_seq net/mptcp/protocol.h:864 [inline] ack_update_msk net/mptcp/options.c:1060 [inline] mptcp_incoming_options+0x2036/0x3d30 net/mptcp/options.c:1209 tcp_data_queue+0xb4/0x7be0 net/ipv4/tcp_input.c:5233 tcp_rcv_established+0x1061/0x2510 net/ipv4/tcp_input.c:6264 tcp_v4_do_rcv+0x7f3/0x11a0 net/ipv4/tcp_ipv4.c:1916 tcp_v4_rcv+0x51df/0x5750 net/ipv4/tcp_ipv4.c:2351 ip_protocol_deliver_rcu+0x2a3/0x13d0 net/ipv4/ip_input.c:205 ip_local_deliver_finish+0x336/0x500 net/ipv4/ip_input.c:233 NF_HOOK include/linux/netfilter.h:314 [inline] ip_local_deliver+0x21f/0x490 net/ipv4/ip_input.c:254 dst_input include/net/dst.h:460 [inline] ip_rcv_finish+0x4a2/0x520 net/ipv4/ip_input.c:447 NF_HOOK include/linux/netfilter.h:314 [inline] ip_rcv+0xcd/0x380 net/ipv4/ip_input.c:567 __netif_receive_skb_one_core net/core/dev.c:5704 [inline] __netif_receive_skb+0x319/0xa00 net/core/dev.c:5817 process_backlog+0x4ad/0xa50 net/core/dev.c:6149 __napi_poll+0xe7/0x980 net/core/dev.c:6902 napi_poll net/core/dev.c:6971 [inline] net_rx_action+0xa5a/0x19b0 net/core/dev.c:7093 handle_softirqs+0x1a0/0x7c0 kernel/softirq.c:561 __do_softirq+0x14/0x1a kernel/softirq.c:595 do_softirq+0x9a/0x100 kernel/softirq.c:462 __local_bh_enable_ip+0x9f/0xb0 kernel/softirq.c:389 local_bh_enable include/linux/bottom_half.h:33 [inline] rcu_read_unlock_bh include/linux/rcupdate.h:919 [inline] __dev_queue_xmit+0x2758/0x57d0 net/core/dev.c:4493 dev_queue_xmit include/linux/netdevice.h:3168 [inline] neigh_hh_output include/net/neighbour.h:523 [inline] neigh_output include/net/neighbour.h:537 [inline] ip_finish_output2+0x187c/0x1b70 net/ipv4/ip_output.c:236 __ip_finish_output+0x287/0x810 ip_finish_output+0x4b/0x600 net/ipv4/ip_output.c:324 NF_HOOK_COND include/linux/netfilter.h:303 [inline] ip_output+0x15f/0x3f0 net/ipv4/ip_output.c:434 dst_output include/net/dst.h:450 [inline] ip_local_out net/ipv4/ip_output.c:130 [inline] __ip_queue_xmit+0x1f2a/0x20d0 net/ipv4/ip_output.c:536 ip_queue_xmit+0x60/0x80 net/ipv4/ip_output.c:550 __tcp_transmit_skb+0x3cea/0x4900 net/ipv4/tcp_output.c:1468 tcp_transmit_skb net/ipv4/tcp_output.c:1486 [inline] tcp_write_xmit+0x3b90/0x9070 net/ipv4/tcp_output.c:2829 __tcp_push_pending_frames+0xc4/0x380 net/ipv4/tcp_output.c:3012 tcp_send_fin+0x9f6/0xf50 net/ipv4/tcp_output.c:3618 __tcp_close+0x140c/0x1550 net/ipv4/tcp.c:3130 __mptcp_close_ssk+0x74e/0x16f0 net/mptcp/protocol.c:2496 mptcp_close_ssk+0x26b/0x2c0 net/mptcp/protocol.c:2550 mptcp_pm_nl_rm_addr_or_subflow+0x635/0xd10 net/mptcp/pm_netlink.c:889 mptcp_pm_nl_rm_subflow_received net/mptcp/pm_netlink.c:924 [inline] mptcp_pm_flush_addrs_and_subflows net/mptcp/pm_netlink.c:1688 [inline] mptcp_nl_flush_addrs_list net/mptcp/pm_netlink.c:1709 [inline] mptcp_pm_nl_flush_addrs_doit+0xe10/0x1630 net/mptcp/pm_netlink.c:1750 genl_family_rcv_msg_doit net/netlink/genetlink.c:1115 [inline] ---truncated--- Уязвимость компонента mptcp ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: rtl8150: enable basic endpoint checking Syzkaller reports [1] encountering a common issue of utilizing a wrong usb endpoint type during URB submitting stage. This, in turn, triggers a warning shown below. For now, enable simple endpoint checking (specifically, bulk and interrupt eps, testing control one is not essential) to mitigate the issue with a view to do other related cosmetic changes later, if they are necessary. [1] Syzkaller report: usb 1-1: BOGUS urb xfer, pipe 3 != type 1 WARNING: CPU: 1 PID: 2586 at drivers/usb/core/urb.c:503 usb_submit_urb+0xe4b/0x1730 driv> Modules linked in: CPU: 1 UID: 0 PID: 2586 Comm: dhcpcd Not tainted 6.11.0-rc4-syzkaller-00069-gfc88bb11617> Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/06/2024 RIP: 0010:usb_submit_urb+0xe4b/0x1730 drivers/usb/core/urb.c:503 Code: 84 3c 02 00 00 e8 05 e4 fc fc 4c 89 ef e8 fd 25 d7 fe 45 89 e0 89 e9 4c 89 f2 48 8> RSP: 0018:ffffc9000441f740 EFLAGS: 00010282 RAX: 0000000000000000 RBX: ffff888112487a00 RCX: ffffffff811a99a9 RDX: ffff88810df6ba80 RSI: ffffffff811a99b6 RDI: 0000000000000001 RBP: 0000000000000003 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000001 R12: 0000000000000001 R13: ffff8881023bf0a8 R14: ffff888112452a20 R15: ffff888112487a7c FS: 00007fc04eea5740(0000) GS:ffff8881f6300000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f0a1de9f870 CR3: 000000010dbd0000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> rtl8150_open+0x300/0xe30 drivers/net/usb/rtl8150.c:733 __dev_open+0x2d4/0x4e0 net/core/dev.c:1474 __dev_change_flags+0x561/0x720 net/core/dev.c:8838 dev_change_flags+0x8f/0x160 net/core/dev.c:8910 devinet_ioctl+0x127a/0x1f10 net/ipv4/devinet.c:1177 inet_ioctl+0x3aa/0x3f0 net/ipv4/af_inet.c:1003 sock_do_ioctl+0x116/0x280 net/socket.c:1222 sock_ioctl+0x22e/0x6c0 net/socket.c:1341 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __x64_sys_ioctl+0x193/0x220 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fc04ef73d49 ... This change has not been tested on real hardware. Уязвимость компонента drivers/net/usb/rtl8150.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tcp: correct handling of extreme memory squeeze Testing with iperf3 using the "pasta" protocol splicer has revealed a problem in the way tcp handles window advertising in extreme memory squeeze situations. Under memory pressure, a socket endpoint may temporarily advertise a zero-sized window, but this is not stored as part of the socket data. The reasoning behind this is that it is considered a temporary setting which shouldn't influence any further calculations. However, if we happen to stall at an unfortunate value of the current window size, the algorithm selecting a new value will consistently fail to advertise a non-zero window once we have freed up enough memory. This means that this side's notion of the current window size is different from the one last advertised to the peer, causing the latter to not send any data to resolve the sitution. The problem occurs on the iperf3 server side, and the socket in question is a completely regular socket with the default settings for the fedora40 kernel. We do not use SO_PEEK or SO_RCVBUF on the socket. The following excerpt of a logging session, with own comments added, shows more in detail what is happening: // tcp_v4_rcv(->) // tcp_rcv_established(->) [5201<->39222]: ==== Activating log @ net/ipv4/tcp_input.c/tcp_data_queue()/5257 ==== [5201<->39222]: tcp_data_queue(->) [5201<->39222]: DROPPING skb [265600160..265665640], reason: SKB_DROP_REASON_PROTO_MEM [rcv_nxt 265600160, rcv_wnd 262144, snt_ack 265469200, win_now 131184] [copied_seq 259909392->260034360 (124968), unread 5565800, qlen 85, ofoq 0] [OFO queue: gap: 65480, len: 0] [5201<->39222]: tcp_data_queue(<-) [5201<->39222]: __tcp_transmit_skb(->) [tp->rcv_wup: 265469200, tp->rcv_wnd: 262144, tp->rcv_nxt 265600160] [5201<->39222]: tcp_select_window(->) [5201<->39222]: (inet_csk(sk)->icsk_ack.pending & ICSK_ACK_NOMEM) ? --> TRUE [tp->rcv_wup: 265469200, tp->rcv_wnd: 262144, tp->rcv_nxt 265600160] returning 0 [5201<->39222]: tcp_select_window(<-) [5201<->39222]: ADVERTISING WIN 0, ACK_SEQ: 265600160 [5201<->39222]: [__tcp_transmit_skb(<-) [5201<->39222]: tcp_rcv_established(<-) [5201<->39222]: tcp_v4_rcv(<-) // Receive queue is at 85 buffers and we are out of memory. // We drop the incoming buffer, although it is in sequence, and decide // to send an advertisement with a window of zero. // We don't update tp->rcv_wnd and tp->rcv_wup accordingly, which means // we unconditionally shrink the window. [5201<->39222]: tcp_recvmsg_locked(->) [5201<->39222]: __tcp_cleanup_rbuf(->) tp->rcv_wup: 265469200, tp->rcv_wnd: 262144, tp->rcv_nxt 265600160 [5201<->39222]: [new_win = 0, win_now = 131184, 2 * win_now = 262368] [5201<->39222]: [new_win >= (2 * win_now) ? --> time_to_ack = 0] [5201<->39222]: NOT calling tcp_send_ack() [tp->rcv_wup: 265469200, tp->rcv_wnd: 262144, tp->rcv_nxt 265600160] [5201<->39222]: __tcp_cleanup_rbuf(<-) [rcv_nxt 265600160, rcv_wnd 262144, snt_ack 265469200, win_now 131184] [copied_seq 260040464->260040464 (0), unread 5559696, qlen 85, ofoq 0] returning 6104 bytes [5201<->39222]: tcp_recvmsg_locked(<-) // After each read, the algorithm for calculating the new receive // window in __tcp_cleanup_rbuf() finds it is too small to advertise // or to update tp->rcv_wnd. // Meanwhile, the peer thinks the window is zero, and will not send // any more data to trigger an update from the interrupt mode side. [5201<->39222]: tcp_recvmsg_locked(->) [5201<->39222]: __tcp_cleanup_rbuf(->) tp->rcv_wup: 265469200, tp->rcv_wnd: 262144, tp->rcv_nxt 265600160 [5201<->39222]: [new_win = 262144, win_now = 131184, 2 * win_n ---truncated--- Уязвимость компонента net/ipv4/tcp_output.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=8.2) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/rose: prevent integer overflows in rose_setsockopt() In case of possible unpredictably large arguments passed to rose_setsockopt() and multiplied by extra values on top of that, integer overflows may occur. Do the safest minimum and fix these issues by checking the contents of 'opt' and returning -EINVAL if they are too large. Also, switch to unsigned int and remove useless check for negative 'opt' in ROSE_IDLE case. Уязвимость компонента net/rose ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md/md-bitmap: Synchronize bitmap_get_stats() with bitmap lifetime After commit ec6bb299c7c3 ("md/md-bitmap: add 'sync_size' into struct md_bitmap_stats"), following panic is reported: Oops: general protection fault, probably for non-canonical address RIP: 0010:bitmap_get_stats+0x2b/0xa0 Call Trace: <TASK> md_seq_show+0x2d2/0x5b0 seq_read_iter+0x2b9/0x470 seq_read+0x12f/0x180 proc_reg_read+0x57/0xb0 vfs_read+0xf6/0x380 ksys_read+0x6c/0xf0 do_syscall_64+0x82/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e Root cause is that bitmap_get_stats() can be called at anytime if mddev is still there, even if bitmap is destroyed, or not fully initialized. Deferenceing bitmap in this case can crash the kernel. Meanwhile, the above commit start to deferencing bitmap->storage, make the problem easier to trigger. Fix the problem by protecting bitmap_get_stats() with bitmap_info.mutex. Уязвимость компонента md/md-bitmap ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: powerpc/pseries/iommu: Don't unset window if it was never set On pSeries, when user attempts to use the same vfio container used by different iommu group, the spapr_tce_set_window() returns -EPERM and the subsequent cleanup leads to the below crash. Kernel attempted to read user page (308) - exploit attempt? BUG: Kernel NULL pointer dereference on read at 0x00000308 Faulting instruction address: 0xc0000000001ce358 Oops: Kernel access of bad area, sig: 11 [#1] NIP: c0000000001ce358 LR: c0000000001ce05c CTR: c00000000005add0 <snip> NIP [c0000000001ce358] spapr_tce_unset_window+0x3b8/0x510 LR [c0000000001ce05c] spapr_tce_unset_window+0xbc/0x510 Call Trace: spapr_tce_unset_window+0xbc/0x510 (unreliable) tce_iommu_attach_group+0x24c/0x340 [vfio_iommu_spapr_tce] vfio_container_attach_group+0xec/0x240 [vfio] vfio_group_fops_unl_ioctl+0x548/0xb00 [vfio] sys_ioctl+0x754/0x1580 system_call_exception+0x13c/0x330 system_call_vectored_common+0x15c/0x2ec <snip> --- interrupt: 3000 Fix this by having null check for the tbl passed to the spapr_tce_unset_window(). Уязвимость компонента powerpc/pseries/iommu ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Fix implicit ODP use after free Prevent double queueing of implicit ODP mr destroy work by using __xa_cmpxchg() to make sure this is the only time we are destroying this specific mr. Without this change, we could try to invalidate this mr twice, which in turn could result in queuing a MR work destroy twice, and eventually the second work could execute after the MR was freed due to the first work, causing a user after free and trace below. refcount_t: underflow; use-after-free. WARNING: CPU: 2 PID: 12178 at lib/refcount.c:28 refcount_warn_saturate+0x12b/0x130 Modules linked in: bonding ib_ipoib vfio_pci ip_gre geneve nf_tables ip6_gre gre ip6_tunnel tunnel6 ipip tunnel4 ib_umad rdma_ucm mlx5_vfio_pci vfio_pci_core vfio_iommu_type1 mlx5_ib vfio ib_uverbs mlx5_core iptable_raw openvswitch nsh rpcrdma ib_iser libiscsi scsi_transport_iscsi rdma_cm iw_cm ib_cm ib_core xt_conntrack xt_MASQUERADE nf_conntrack_netlink nfnetlink xt_addrtype iptable_nat nf_nat br_netfilter rpcsec_gss_krb5 auth_rpcgss oid_registry overlay zram zsmalloc fuse [last unloaded: ib_uverbs] CPU: 2 PID: 12178 Comm: kworker/u20:5 Not tainted 6.5.0-rc1_net_next_mlx5_58c644e #1 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 Workqueue: events_unbound free_implicit_child_mr_work [mlx5_ib] RIP: 0010:refcount_warn_saturate+0x12b/0x130 Code: 48 c7 c7 38 95 2a 82 c6 05 bc c6 fe 00 01 e8 0c 66 aa ff 0f 0b 5b c3 48 c7 c7 e0 94 2a 82 c6 05 a7 c6 fe 00 01 e8 f5 65 aa ff <0f> 0b 5b c3 90 8b 07 3d 00 00 00 c0 74 12 83 f8 01 74 13 8d 50 ff RSP: 0018:ffff8881008e3e40 EFLAGS: 00010286 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 0000000000000027 RDX: ffff88852c91b5c8 RSI: 0000000000000001 RDI: ffff88852c91b5c0 RBP: ffff8881dacd4e00 R08: 00000000ffffffff R09: 0000000000000019 R10: 000000000000072e R11: 0000000063666572 R12: ffff88812bfd9e00 R13: ffff8881c792d200 R14: ffff88810011c005 R15: ffff8881002099c0 FS: 0000000000000000(0000) GS:ffff88852c900000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f5694b5e000 CR3: 00000001153f6003 CR4: 0000000000370ea0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? refcount_warn_saturate+0x12b/0x130 free_implicit_child_mr_work+0x180/0x1b0 [mlx5_ib] process_one_work+0x1cc/0x3c0 worker_thread+0x218/0x3c0 kthread+0xc6/0xf0 ret_from_fork+0x1f/0x30 </TASK> Уязвимость компонента odp.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: davicom: fix UAF in dm9000_drv_remove dm is netdev private data and it cannot be used after free_netdev() call. Using dm after free_netdev() can cause UAF bug. Fix it by moving free_netdev() at the end of the function. This is similar to the issue fixed in commit ad297cd2db89 ("net: qcom/emac: fix UAF in emac_remove"). This bug is detected by our static analysis tool. Уязвимость компонента dm9000.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vxlan: Fix uninit-value in vxlan_vnifilter_dump() KMSAN reported an uninit-value access in vxlan_vnifilter_dump() [1]. If the length of the netlink message payload is less than sizeof(struct tunnel_msg), vxlan_vnifilter_dump() accesses bytes beyond the message. This can lead to uninit-value access. Fix this by returning an error in such situations. [1] BUG: KMSAN: uninit-value in vxlan_vnifilter_dump+0x328/0x920 drivers/net/vxlan/vxlan_vnifilter.c:422 vxlan_vnifilter_dump+0x328/0x920 drivers/net/vxlan/vxlan_vnifilter.c:422 rtnl_dumpit+0xd5/0x2f0 net/core/rtnetlink.c:6786 netlink_dump+0x93e/0x15f0 net/netlink/af_netlink.c:2317 __netlink_dump_start+0x716/0xd60 net/netlink/af_netlink.c:2432 netlink_dump_start include/linux/netlink.h:340 [inline] rtnetlink_dump_start net/core/rtnetlink.c:6815 [inline] rtnetlink_rcv_msg+0x1256/0x14a0 net/core/rtnetlink.c:6882 netlink_rcv_skb+0x467/0x660 net/netlink/af_netlink.c:2542 rtnetlink_rcv+0x35/0x40 net/core/rtnetlink.c:6944 netlink_unicast_kernel net/netlink/af_netlink.c:1321 [inline] netlink_unicast+0xed6/0x1290 net/netlink/af_netlink.c:1347 netlink_sendmsg+0x1092/0x1230 net/netlink/af_netlink.c:1891 sock_sendmsg_nosec net/socket.c:711 [inline] __sock_sendmsg+0x330/0x3d0 net/socket.c:726 ____sys_sendmsg+0x7f4/0xb50 net/socket.c:2583 ___sys_sendmsg+0x271/0x3b0 net/socket.c:2637 __sys_sendmsg net/socket.c:2669 [inline] __do_sys_sendmsg net/socket.c:2674 [inline] __se_sys_sendmsg net/socket.c:2672 [inline] __x64_sys_sendmsg+0x211/0x3e0 net/socket.c:2672 x64_sys_call+0x3878/0x3d90 arch/x86/include/generated/asm/syscalls_64.h:47 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xd9/0x1d0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:4110 [inline] slab_alloc_node mm/slub.c:4153 [inline] kmem_cache_alloc_node_noprof+0x800/0xe80 mm/slub.c:4205 kmalloc_reserve+0x13b/0x4b0 net/core/skbuff.c:587 __alloc_skb+0x347/0x7d0 net/core/skbuff.c:678 alloc_skb include/linux/skbuff.h:1323 [inline] netlink_alloc_large_skb+0xa5/0x280 net/netlink/af_netlink.c:1196 netlink_sendmsg+0xac9/0x1230 net/netlink/af_netlink.c:1866 sock_sendmsg_nosec net/socket.c:711 [inline] __sock_sendmsg+0x330/0x3d0 net/socket.c:726 ____sys_sendmsg+0x7f4/0xb50 net/socket.c:2583 ___sys_sendmsg+0x271/0x3b0 net/socket.c:2637 __sys_sendmsg net/socket.c:2669 [inline] __do_sys_sendmsg net/socket.c:2674 [inline] __se_sys_sendmsg net/socket.c:2672 [inline] __x64_sys_sendmsg+0x211/0x3e0 net/socket.c:2672 x64_sys_call+0x3878/0x3d90 arch/x86/include/generated/asm/syscalls_64.h:47 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xd9/0x1d0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f CPU: 0 UID: 0 PID: 30991 Comm: syz.4.10630 Not tainted 6.12.0-10694-gc44daa7e3c73 #29 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-3.fc41 04/01/2014 Уязвимость компонента vxlan ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: rose: fix timer races against user threads Rose timers only acquire the socket spinlock, without checking if the socket is owned by one user thread. Add a check and rearm the timers if needed. BUG: KASAN: slab-use-after-free in rose_timer_expiry+0x31d/0x360 net/rose/rose_timer.c:174 Read of size 2 at addr ffff88802f09b82a by task swapper/0/0 CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Not tainted 6.13.0-rc5-syzkaller-00172-gd1bf27c4e176 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Call Trace: <IRQ> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x169/0x550 mm/kasan/report.c:489 kasan_report+0x143/0x180 mm/kasan/report.c:602 rose_timer_expiry+0x31d/0x360 net/rose/rose_timer.c:174 call_timer_fn+0x187/0x650 kernel/time/timer.c:1793 expire_timers kernel/time/timer.c:1844 [inline] __run_timers kernel/time/timer.c:2418 [inline] __run_timer_base+0x66a/0x8e0 kernel/time/timer.c:2430 run_timer_base kernel/time/timer.c:2439 [inline] run_timer_softirq+0xb7/0x170 kernel/time/timer.c:2449 handle_softirqs+0x2d4/0x9b0 kernel/softirq.c:561 __do_softirq kernel/softirq.c:595 [inline] invoke_softirq kernel/softirq.c:435 [inline] __irq_exit_rcu+0xf7/0x220 kernel/softirq.c:662 irq_exit_rcu+0x9/0x30 kernel/softirq.c:678 instr_sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1049 [inline] sysvec_apic_timer_interrupt+0xa6/0xc0 arch/x86/kernel/apic/apic.c:1049 </IRQ> Уязвимость компонента net/rose/rose_timer.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipmr: do not call mr_mfc_uses_dev() for unres entries syzbot found that calling mr_mfc_uses_dev() for unres entries would crash [1], because c->mfc_un.res.minvif / c->mfc_un.res.maxvif alias to "struct sk_buff_head unresolved", which contain two pointers. This code never worked, lets remove it. [1] Unable to handle kernel paging request at virtual address ffff5fff2d536613 KASAN: maybe wild-memory-access in range [0xfffefff96a9b3098-0xfffefff96a9b309f] Modules linked in: CPU: 1 UID: 0 PID: 7321 Comm: syz.0.16 Not tainted 6.13.0-rc7-syzkaller-g1950a0af2d55 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 pstate: 80400005 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : mr_mfc_uses_dev net/ipv4/ipmr_base.c:290 [inline] pc : mr_table_dump+0x5a4/0x8b0 net/ipv4/ipmr_base.c:334 lr : mr_mfc_uses_dev net/ipv4/ipmr_base.c:289 [inline] lr : mr_table_dump+0x694/0x8b0 net/ipv4/ipmr_base.c:334 Call trace: mr_mfc_uses_dev net/ipv4/ipmr_base.c:290 [inline] (P) mr_table_dump+0x5a4/0x8b0 net/ipv4/ipmr_base.c:334 (P) mr_rtm_dumproute+0x254/0x454 net/ipv4/ipmr_base.c:382 ipmr_rtm_dumproute+0x248/0x4b4 net/ipv4/ipmr.c:2648 rtnl_dump_all+0x2e4/0x4e8 net/core/rtnetlink.c:4327 rtnl_dumpit+0x98/0x1d0 net/core/rtnetlink.c:6791 netlink_dump+0x4f0/0xbc0 net/netlink/af_netlink.c:2317 netlink_recvmsg+0x56c/0xe64 net/netlink/af_netlink.c:1973 sock_recvmsg_nosec net/socket.c:1033 [inline] sock_recvmsg net/socket.c:1055 [inline] sock_read_iter+0x2d8/0x40c net/socket.c:1125 new_sync_read fs/read_write.c:484 [inline] vfs_read+0x740/0x970 fs/read_write.c:565 ksys_read+0x15c/0x26c fs/read_write.c:708 Уязвимость компонента net/ipv4/ipmr_base.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: delete intermediate secpath entry in packet offload mode Packets handled by hardware have added secpath as a way to inform XFRM core code that this path was already handled. That secpath is not needed at all after policy is checked and it is removed later in the stack. However, in the case of IP forwarding is enabled (/proc/sys/net/ipv4/ip_forward), that secpath is not removed and packets which already were handled are reentered to the driver TX path with xfrm_offload set. The following kernel panic is observed in mlx5 in such case: mlx5_core 0000:04:00.0 enp4s0f0np0: Link up mlx5_core 0000:04:00.1 enp4s0f1np1: Link up Initializing XFRM netlink socket IPsec XFRM device driver BUG: kernel NULL pointer dereference, address: 0000000000000000 #PF: supervisor instruction fetch in kernel mode #PF: error_code(0x0010) - not-present page PGD 0 P4D 0 Oops: Oops: 0010 [#1] PREEMPT SMP CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Not tainted 6.13.0-rc1-alex #3 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.13.0-1ubuntu1.1 04/01/2014 RIP: 0010:0x0 Code: Unable to access opcode bytes at 0xffffffffffffffd6. RSP: 0018:ffffb87380003800 EFLAGS: 00010206 RAX: ffff8df004e02600 RBX: ffffb873800038d8 RCX: 00000000ffff98cf RDX: ffff8df00733e108 RSI: ffff8df00521fb80 RDI: ffff8df001661f00 RBP: ffffb87380003850 R08: ffff8df013980000 R09: 0000000000000010 R10: 0000000000000002 R11: 0000000000000002 R12: ffff8df001661f00 R13: ffff8df00521fb80 R14: ffff8df00733e108 R15: ffff8df011faf04e FS: 0000000000000000(0000) GS:ffff8df46b800000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffffffffffffd6 CR3: 0000000106384000 CR4: 0000000000350ef0 Call Trace: <IRQ> ? show_regs+0x63/0x70 ? __die_body+0x20/0x60 ? __die+0x2b/0x40 ? page_fault_oops+0x15c/0x550 ? do_user_addr_fault+0x3ed/0x870 ? exc_page_fault+0x7f/0x190 ? asm_exc_page_fault+0x27/0x30 mlx5e_ipsec_handle_tx_skb+0xe7/0x2f0 [mlx5_core] mlx5e_xmit+0x58e/0x1980 [mlx5_core] ? __fib_lookup+0x6a/0xb0 dev_hard_start_xmit+0x82/0x1d0 sch_direct_xmit+0xfe/0x390 __dev_queue_xmit+0x6d8/0xee0 ? __fib_lookup+0x6a/0xb0 ? internal_add_timer+0x48/0x70 ? mod_timer+0xe2/0x2b0 neigh_resolve_output+0x115/0x1b0 __neigh_update+0x26a/0xc50 neigh_update+0x14/0x20 arp_process+0x2cb/0x8e0 ? __napi_build_skb+0x5e/0x70 arp_rcv+0x11e/0x1c0 ? dev_gro_receive+0x574/0x820 __netif_receive_skb_list_core+0x1cf/0x1f0 netif_receive_skb_list_internal+0x183/0x2a0 napi_complete_done+0x76/0x1c0 mlx5e_napi_poll+0x234/0x7a0 [mlx5_core] __napi_poll+0x2d/0x1f0 net_rx_action+0x1a6/0x370 ? atomic_notifier_call_chain+0x3b/0x50 ? irq_int_handler+0x15/0x20 [mlx5_core] handle_softirqs+0xb9/0x2f0 ? handle_irq_event+0x44/0x60 irq_exit_rcu+0xdb/0x100 common_interrupt+0x98/0xc0 </IRQ> <TASK> asm_common_interrupt+0x27/0x40 RIP: 0010:pv_native_safe_halt+0xb/0x10 Code: 09 c3 66 66 2e 0f 1f 84 00 00 00 00 00 66 90 0f 22 0f 1f 84 00 00 00 00 00 90 eb 07 0f 00 2d 7f e9 36 00 fb 40 00 83 ff 07 77 21 89 ff ff 24 fd 88 3d a1 bd 0f 21 f8 RSP: 0018:ffffffffbe603de8 EFLAGS: 00000202 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 0000000f92f46680 RDX: 0000000000000037 RSI: 00000000ffffffff RDI: 00000000000518d4 RBP: ffffffffbe603df0 R08: 000000cd42e4dffb R09: ffffffffbe603d70 R10: 0000004d80d62680 R11: 0000000000000001 R12: ffffffffbe60bf40 R13: 0000000000000000 R14: 0000000000000000 R15: ffffffffbe60aff8 ? default_idle+0x9/0x20 arch_cpu_idle+0x9/0x10 default_idle_call+0x29/0xf0 do_idle+0x1f2/0x240 cpu_startup_entry+0x2c/0x30 rest_init+0xe7/0x100 start_kernel+0x76b/0xb90 x86_64_start_reservations+0x18/0x30 x86_64_start_kernel+0xc0/0x110 ? setup_ghcb+0xe/0x130 common_startup_64+0x13e/0x141 </TASK> Modules linked in: esp4_offload esp4 xfrm_interface xfrm6_tunnel tunnel4 tunnel6 xfrm_user xfrm_algo binf ---truncated--- Уязвимость компонента include/net/xfrm.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nilfs2: handle errors that nilfs_prepare_chunk() may return Patch series "nilfs2: fix issues with rename operations". This series fixes BUG_ON check failures reported by syzbot around rename operations, and a minor behavioral issue where the mtime of a child directory changes when it is renamed instead of moved. This patch (of 2): The directory manipulation routines nilfs_set_link() and nilfs_delete_entry() rewrite the directory entry in the folio/page previously read by nilfs_find_entry(), so error handling is omitted on the assumption that nilfs_prepare_chunk(), which prepares the buffer for rewriting, will always succeed for these. And if an error is returned, it triggers the legacy BUG_ON() checks in each routine. This assumption is wrong, as proven by syzbot: the buffer layer called by nilfs_prepare_chunk() may call nilfs_get_block() if necessary, which may fail due to metadata corruption or other reasons. This has been there all along, but improved sanity checks and error handling may have made it more reproducible in fuzzing tests. Fix this issue by adding missing error paths in nilfs_set_link(), nilfs_delete_entry(), and their caller nilfs_rename(). Уязвимость компонента nilfs2 ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nilfs2: do not force clear folio if buffer is referenced Patch series "nilfs2: protect busy buffer heads from being force-cleared". This series fixes the buffer head state inconsistency issues reported by syzbot that occurs when the filesystem is corrupted and falls back to read-only, and the associated buffer head use-after-free issue. This patch (of 2): Syzbot has reported that after nilfs2 detects filesystem corruption and falls back to read-only, inconsistencies in the buffer state may occur. One of the inconsistencies is that when nilfs2 calls mark_buffer_dirty() to set a data or metadata buffer as dirty, but it detects that the buffer is not in the uptodate state: WARNING: CPU: 0 PID: 6049 at fs/buffer.c:1177 mark_buffer_dirty+0x2e5/0x520 fs/buffer.c:1177 ... Call Trace: <TASK> nilfs_palloc_commit_alloc_entry+0x4b/0x160 fs/nilfs2/alloc.c:598 nilfs_ifile_create_inode+0x1dd/0x3a0 fs/nilfs2/ifile.c:73 nilfs_new_inode+0x254/0x830 fs/nilfs2/inode.c:344 nilfs_mkdir+0x10d/0x340 fs/nilfs2/namei.c:218 vfs_mkdir+0x2f9/0x4f0 fs/namei.c:4257 do_mkdirat+0x264/0x3a0 fs/namei.c:4280 __do_sys_mkdirat fs/namei.c:4295 [inline] __se_sys_mkdirat fs/namei.c:4293 [inline] __x64_sys_mkdirat+0x87/0xa0 fs/namei.c:4293 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f The other is when nilfs_btree_propagate(), which propagates the dirty state to the ancestor nodes of a b-tree that point to a dirty buffer, detects that the origin buffer is not dirty, even though it should be: WARNING: CPU: 0 PID: 5245 at fs/nilfs2/btree.c:2089 nilfs_btree_propagate+0xc79/0xdf0 fs/nilfs2/btree.c:2089 ... Call Trace: <TASK> nilfs_bmap_propagate+0x75/0x120 fs/nilfs2/bmap.c:345 nilfs_collect_file_data+0x4d/0xd0 fs/nilfs2/segment.c:587 nilfs_segctor_apply_buffers+0x184/0x340 fs/nilfs2/segment.c:1006 nilfs_segctor_scan_file+0x28c/0xa50 fs/nilfs2/segment.c:1045 nilfs_segctor_collect_blocks fs/nilfs2/segment.c:1216 [inline] nilfs_segctor_collect fs/nilfs2/segment.c:1540 [inline] nilfs_segctor_do_construct+0x1c28/0x6b90 fs/nilfs2/segment.c:2115 nilfs_segctor_construct+0x181/0x6b0 fs/nilfs2/segment.c:2479 nilfs_segctor_thread_construct fs/nilfs2/segment.c:2587 [inline] nilfs_segctor_thread+0x69e/0xe80 fs/nilfs2/segment.c:2701 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Both of these issues are caused by the callbacks that handle the page/folio write requests, forcibly clear various states, including the working state of the buffers they hold, at unexpected times when they detect read-only fallback. Fix these issues by checking if the buffer is referenced before clearing the page/folio state, and skipping the clear if it is. Уязвимость компонента page.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: mpi3mr: Fix possible crash when setting up bsg fails If bsg_setup_queue() fails, the bsg_queue is assigned a non-NULL value. Consequently, in mpi3mr_bsg_exit(), the condition "if(!mrioc->bsg_queue)" will not be satisfied, preventing execution from entering bsg_remove_queue(), which could lead to the following crash: BUG: kernel NULL pointer dereference, address: 000000000000041c Call Trace: <TASK> mpi3mr_bsg_exit+0x1f/0x50 [mpi3mr] mpi3mr_remove+0x6f/0x340 [mpi3mr] pci_device_remove+0x3f/0xb0 device_release_driver_internal+0x19d/0x220 unbind_store+0xa4/0xb0 kernfs_fop_write_iter+0x11f/0x200 vfs_write+0x1fc/0x3e0 ksys_write+0x67/0xe0 do_syscall_64+0x38/0x80 entry_SYSCALL_64_after_hwframe+0x78/0xe2 [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommufd/iova_bitmap: Fix shift-out-of-bounds in iova_bitmap_offset_to_index() Resolve a UBSAN shift-out-of-bounds issue in iova_bitmap_offset_to_index() where shifting the constant "1" (of type int) by bitmap->mapped.pgshift (an unsigned long value) could result in undefined behavior. The constant "1" defaults to a 32-bit "int", and when "pgshift" exceeds 31 (e.g., pgshift = 63) the shift operation overflows, as the result cannot be represented in a 32-bit type. To resolve this, the constant is updated to "1UL", promoting it to an unsigned long type to match the operand's type. Уязвимость компонента drivers/iommu/iommufd/iova_bitmap.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix oops due to unset link speed It isn't guaranteed that NETWORK_INTERFACE_INFO::LinkSpeed will always be set by the server, so the client must handle any values and then prevent oopses like below from happening: Oops: divide error: 0000 [#1] PREEMPT SMP KASAN NOPTI CPU: 0 UID: 0 PID: 1323 Comm: cat Not tainted 6.13.0-rc7 #2 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-3.fc41 04/01/2014 RIP: 0010:cifs_debug_data_proc_show+0xa45/0x1460 [cifs] Code: 00 00 48 89 df e8 3b cd 1b c1 41 f6 44 24 2c 04 0f 84 50 01 00 00 48 89 ef e8 e7 d0 1b c1 49 8b 44 24 18 31 d2 49 8d 7c 24 28 <48> f7 74 24 18 48 89 c3 e8 6e cf 1b c1 41 8b 6c 24 28 49 8d 7c 24 RSP: 0018:ffffc90001817be0 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffff88811230022c RCX: ffffffffc041bd99 RDX: 0000000000000000 RSI: 0000000000000567 RDI: ffff888112300228 RBP: ffff888112300218 R08: fffff52000302f5f R09: ffffed1022fa58ac R10: ffff888117d2c566 R11: 00000000fffffffe R12: ffff888112300200 R13: 000000012a15343f R14: 0000000000000001 R15: ffff888113f2db58 FS: 00007fe27119e740(0000) GS:ffff888148600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fe2633c5000 CR3: 0000000124da0000 CR4: 0000000000750ef0 PKRU: 55555554 Call Trace: <TASK> ? __die_body.cold+0x19/0x27 ? die+0x2e/0x50 ? do_trap+0x159/0x1b0 ? cifs_debug_data_proc_show+0xa45/0x1460 [cifs] ? do_error_trap+0x90/0x130 ? cifs_debug_data_proc_show+0xa45/0x1460 [cifs] ? exc_divide_error+0x39/0x50 ? cifs_debug_data_proc_show+0xa45/0x1460 [cifs] ? asm_exc_divide_error+0x1a/0x20 ? cifs_debug_data_proc_show+0xa39/0x1460 [cifs] ? cifs_debug_data_proc_show+0xa45/0x1460 [cifs] ? seq_read_iter+0x42e/0x790 seq_read_iter+0x19a/0x790 proc_reg_read_iter+0xbe/0x110 ? __pfx_proc_reg_read_iter+0x10/0x10 vfs_read+0x469/0x570 ? do_user_addr_fault+0x398/0x760 ? __pfx_vfs_read+0x10/0x10 ? find_held_lock+0x8a/0xa0 ? __pfx_lock_release+0x10/0x10 ksys_read+0xd3/0x170 ? __pfx_ksys_read+0x10/0x10 ? __rcu_read_unlock+0x50/0x270 ? mark_held_locks+0x1a/0x90 do_syscall_64+0xbb/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fe271288911 Code: 00 48 8b 15 01 25 10 00 f7 d8 64 89 02 b8 ff ff ff ff eb bd e8 20 ad 01 00 f3 0f 1e fa 80 3d b5 a7 10 00 00 74 13 31 c0 0f 05 <48> 3d 00 f0 ff ff 77 4f c3 66 0f 1f 44 00 00 55 48 89 e5 48 83 ec RSP: 002b:00007ffe87c079d8 EFLAGS: 00000246 ORIG_RAX: 0000000000000000 RAX: ffffffffffffffda RBX: 0000000000040000 RCX: 00007fe271288911 RDX: 0000000000040000 RSI: 00007fe2633c6000 RDI: 0000000000000003 RBP: 00007ffe87c07a00 R08: 0000000000000000 R09: 00007fe2713e6380 R10: 0000000000000022 R11: 0000000000000246 R12: 0000000000040000 R13: 00007fe2633c6000 R14: 0000000000000003 R15: 0000000000000000 </TASK> Fix this by setting cifs_server_iface::speed to a sane value (1Gbps) by default when link speed is unset. Уязвимость компонента fs/smb/client/smb2ops.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: padata: avoid UAF for reorder_work Although the previous patch can avoid ps and ps UAF for _do_serial, it can not avoid potential UAF issue for reorder_work. This issue can happen just as below: crypto_request crypto_request crypto_del_alg padata_do_serial ... padata_reorder // processes all remaining // requests then breaks while (1) { if (!padata) break; ... } padata_do_serial // new request added list_add // sees the new request queue_work(reorder_work) padata_reorder queue_work_on(squeue->work) ... <kworker context> padata_serial_worker // completes new request, // no more outstanding // requests crypto_del_alg // free pd <kworker context> invoke_padata_reorder // UAF of pd To avoid UAF for 'reorder_work', get 'pd' ref before put 'reorder_work' into the 'serial_wq' and put 'pd' ref until the 'serial_wq' finish. Уязвимость функции padata_reorder() модуля kernel/padata.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: padata: fix UAF in padata_reorder A bug was found when run ltp test: BUG: KASAN: slab-use-after-free in padata_find_next+0x29/0x1a0 Read of size 4 at addr ffff88bbfe003524 by task kworker/u113:2/3039206 CPU: 0 PID: 3039206 Comm: kworker/u113:2 Kdump: loaded Not tainted 6.6.0+ Workqueue: pdecrypt_parallel padata_parallel_worker Call Trace: <TASK> dump_stack_lvl+0x32/0x50 print_address_description.constprop.0+0x6b/0x3d0 print_report+0xdd/0x2c0 kasan_report+0xa5/0xd0 padata_find_next+0x29/0x1a0 padata_reorder+0x131/0x220 padata_parallel_worker+0x3d/0xc0 process_one_work+0x2ec/0x5a0 If 'mdelay(10)' is added before calling 'padata_find_next' in the 'padata_reorder' function, this issue could be reproduced easily with ltp test (pcrypt_aead01). This can be explained as bellow: pcrypt_aead_encrypt ... padata_do_parallel refcount_inc(&pd->refcnt); // add refcnt ... padata_do_serial padata_reorder // pd while (1) { padata_find_next(pd, true); // using pd queue_work_on ... padata_serial_worker crypto_del_alg padata_put_pd_cnt // sub refcnt padata_free_shell padata_put_pd(ps->pd); // pd is freed // loop again, but pd is freed // call padata_find_next, UAF } In the padata_reorder function, when it loops in 'while', if the alg is deleted, the refcnt may be decreased to 0 before entering 'padata_find_next', which leads to UAF. As mentioned in [1], do_serial is supposed to be called with BHs disabled and always happen under RCU protection, to address this issue, add synchronize_rcu() in 'padata_free_shell' wait for all _do_serial calls to finish. [1] https://lore.kernel.org/all/20221028160401.cccypv4euxikusiq@parnassus.localdomain/ [2] https://lore.kernel.org/linux-kernel/jfjz5d7zwbytztackem7ibzalm5lnxldi2eofeiczqmqs2m7o6@fq426cwnjtkm/ Уязвимость функции padata_free_shell() модуля kernel/padata.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Send signals asynchronously if !preemptible BPF programs can execute in all kinds of contexts and when a program running in a non-preemptible context uses the bpf_send_signal() kfunc, it will cause issues because this kfunc can sleep. Change `irqs_disabled()` to `!preemptible()`. Уязвимость компонента kernel/trace/bpf_trace.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw89: fix race between cancel_hw_scan and hw_scan completion The rtwdev->scanning flag isn't protected by mutex originally, so cancel_hw_scan can pass the condition, but suddenly hw_scan completion unset the flag and calls ieee80211_scan_completed() that will free local->hw_scan_req. Then, cancel_hw_scan raises null-ptr-deref and use-after-free. Fix it by moving the check condition to where protected by mutex. KASAN: null-ptr-deref in range [0x0000000000000088-0x000000000000008f] CPU: 2 PID: 6922 Comm: kworker/2:2 Tainted: G OE Hardware name: LENOVO 2356AD1/2356AD1, BIOS G7ETB6WW (2.76 ) 09/10/2019 Workqueue: events cfg80211_conn_work [cfg80211] RIP: 0010:rtw89_fw_h2c_scan_offload_be+0xc33/0x13c3 [rtw89_core] Code: 00 45 89 6c 24 1c 0f 85 23 01 00 00 48 8b 85 20 ff ff ff 48 8d RSP: 0018:ffff88811fd9f068 EFLAGS: 00010206 RAX: dffffc0000000000 RBX: ffff88811fd9f258 RCX: 0000000000000001 RDX: 0000000000000011 RSI: 0000000000000001 RDI: 0000000000000089 RBP: ffff88811fd9f170 R08: 0000000000000000 R09: 0000000000000000 R10: ffff88811fd9f108 R11: 0000000000000000 R12: ffff88810e47f960 R13: 0000000000000000 R14: 000000000000ffff R15: 0000000000000000 FS: 0000000000000000(0000) GS:ffff8881d6f00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007531dfca55b0 CR3: 00000001be296004 CR4: 00000000001706e0 Call Trace: <TASK> ? show_regs+0x61/0x73 ? __die_body+0x20/0x73 ? die_addr+0x4f/0x7b ? exc_general_protection+0x191/0x1db ? asm_exc_general_protection+0x27/0x30 ? rtw89_fw_h2c_scan_offload_be+0xc33/0x13c3 [rtw89_core] ? rtw89_fw_h2c_scan_offload_be+0x458/0x13c3 [rtw89_core] ? __pfx_rtw89_fw_h2c_scan_offload_be+0x10/0x10 [rtw89_core] ? do_raw_spin_lock+0x75/0xdb ? __pfx_do_raw_spin_lock+0x10/0x10 rtw89_hw_scan_offload+0xb5e/0xbf7 [rtw89_core] ? _raw_spin_unlock+0xe/0x24 ? __mutex_lock.constprop.0+0x40c/0x471 ? __pfx_rtw89_hw_scan_offload+0x10/0x10 [rtw89_core] ? __mutex_lock_slowpath+0x13/0x1f ? mutex_lock+0xa2/0xdc ? __pfx_mutex_lock+0x10/0x10 rtw89_hw_scan_abort+0x58/0xb7 [rtw89_core] rtw89_ops_cancel_hw_scan+0x120/0x13b [rtw89_core] ieee80211_scan_cancel+0x468/0x4d0 [mac80211] ieee80211_prep_connection+0x858/0x899 [mac80211] ieee80211_mgd_auth+0xbea/0xdde [mac80211] ? __pfx_ieee80211_mgd_auth+0x10/0x10 [mac80211] ? cfg80211_find_elem+0x15/0x29 [cfg80211] ? is_bss+0x1b7/0x1d7 [cfg80211] ieee80211_auth+0x18/0x27 [mac80211] cfg80211_mlme_auth+0x3bb/0x3e7 [cfg80211] cfg80211_conn_do_work+0x410/0xb81 [cfg80211] ? __pfx_cfg80211_conn_do_work+0x10/0x10 [cfg80211] ? __kasan_check_read+0x11/0x1f ? psi_group_change+0x8bc/0x944 ? __kasan_check_write+0x14/0x22 ? mutex_lock+0x8e/0xdc ? __pfx_mutex_lock+0x10/0x10 ? __pfx___radix_tree_lookup+0x10/0x10 cfg80211_conn_work+0x245/0x34d [cfg80211] ? __pfx_cfg80211_conn_work+0x10/0x10 [cfg80211] ? update_cfs_rq_load_avg+0x3bc/0x3d7 ? sched_clock_noinstr+0x9/0x1a ? sched_clock+0x10/0x24 ? sched_clock_cpu+0x7e/0x42e ? newidle_balance+0x796/0x937 ? __pfx_sched_clock_cpu+0x10/0x10 ? __pfx_newidle_balance+0x10/0x10 ? __kasan_check_read+0x11/0x1f ? psi_group_change+0x8bc/0x944 ? _raw_spin_unlock+0xe/0x24 ? raw_spin_rq_unlock+0x47/0x54 ? raw_spin_rq_unlock_irq+0x9/0x1f ? finish_task_switch.isra.0+0x347/0x586 ? __schedule+0x27bf/0x2892 ? mutex_unlock+0x80/0xd0 ? do_raw_spin_lock+0x75/0xdb ? __pfx___schedule+0x10/0x10 process_scheduled_works+0x58c/0x821 worker_thread+0x4c7/0x586 ? __kasan_check_read+0x11/0x1f kthread+0x285/0x294 ? __pfx_worker_thread+0x10/0x10 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x29/0x6f ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1b/0x30 </TASK> [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 zvbi A vulnerability was found in libzvbi up to 0.2.43. It has been classified as problematic. Affected is the function vbi_strndup_iconv_ucs2 of the file src/conv.c. The manipulation of the argument src_length leads to uninitialized pointer. It is possible to launch the attack remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 0.2.44 is able to address this issue. The patch is identified as 8def647eea27f7fd7ad33ff79c2d6d3e39948dce. It is recommended to upgrade the affected component. The code maintainer was informed beforehand about the issues. She reacted very fast and highly professional. Уязвимость библиотека захвата и декодирования VBI libzvbi связана с доступа к неинициализированному указателю в функции vbi_strndup_iconv_ucs2(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-824'), NistCWE(cwe='CWE-824')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:P/I:N/A:N', score=5.0) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) zvbi: - Запускайте приложения, использующие zvbi, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к библиотекам и конфигурационным файлам zvbi так, чтобы их могли изменять только администраторы системы. - Убедитесь, что данные, обрабатываемые с помощью zvbi, проверяются на корректность и безопасность перед обработкой. - Не используйте zvbi для обработки данных из ненадежных или непроверенных источников, чтобы избежать инъекций и других атак. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nbd: don't allow reconnect after disconnect Following process can cause nbd_config UAF: 1) grab nbd_config temporarily; 2) nbd_genl_disconnect() flush all recv_work() and release the initial reference: nbd_genl_disconnect nbd_disconnect_and_put nbd_disconnect flush_workqueue(nbd->recv_workq) if (test_and_clear_bit(NBD_RT_HAS_CONFIG_REF, ...)) nbd_config_put -> due to step 1), reference is still not zero 3) nbd_genl_reconfigure() queue recv_work() again; nbd_genl_reconfigure config = nbd_get_config_unlocked(nbd) if (!config) -> succeed if (!test_bit(NBD_RT_BOUND, ...)) -> succeed nbd_reconnect_socket queue_work(nbd->recv_workq, &args->work) 4) step 1) release the reference; 5) Finially, recv_work() will trigger UAF: recv_work nbd_config_put(nbd) -> nbd_config is freed atomic_dec(&config->recv_threads) -> UAF Fix the problem by clearing NBD_RT_BOUND in nbd_genl_disconnect(), so that nbd_genl_reconfigure() will fail. Уязвимость функции nbd_disconnect_and_put() модуля drivers/block/nbd.c - драйвера поддержки блочных устройств ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Fix a race for an ODP MR which leads to CQE with error This patch addresses a race condition for an ODP MR that can result in a CQE with an error on the UMR QP. During the __mlx5_ib_dereg_mr() flow, the following sequence of calls occurs: mlx5_revoke_mr() mlx5r_umr_revoke_mr() mlx5r_umr_post_send_wait() At this point, the lkey is freed from the hardware's perspective. However, concurrently, mlx5_ib_invalidate_range() might be triggered by another task attempting to invalidate a range for the same freed lkey. This task will: - Acquire the umem_odp->umem_mutex lock. - Call mlx5r_umr_update_xlt() on the UMR QP. - Since the lkey has already been freed, this can lead to a CQE error, causing the UMR QP to enter an error state [1]. To resolve this race condition, the umem_odp->umem_mutex lock is now also acquired as part of the mlx5_revoke_mr() scope. Upon successful revoke, we set umem_odp->private which points to that MR to NULL, preventing any further invalidation attempts on its lkey. [1] From dmesg: infiniband rocep8s0f0: dump_cqe:277:(pid 0): WC error: 6, Message: memory bind operation error cqe_dump: 00000000: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 cqe_dump: 00000010: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 cqe_dump: 00000020: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 cqe_dump: 00000030: 00 00 00 00 08 00 78 06 25 00 11 b9 00 0e dd d2 WARNING: CPU: 15 PID: 1506 at drivers/infiniband/hw/mlx5/umr.c:394 mlx5r_umr_post_send_wait+0x15a/0x2b0 [mlx5_ib] Modules linked in: ip6table_mangle ip6table_natip6table_filter ip6_tables iptable_mangle xt_conntrack xt_MASQUERADE nf_conntrack_netlink nfnetlink xt_addrtype iptable_nat nf_nat br_netfilter rpcsec_gss_krb5 auth_rpcgss oid_registry overlay rpcrdma rdma_ucm ib_iser libiscsi scsi_transport_iscsi rdma_cm iw_cm ib_umad ib_ipoib ib_cm mlx5_ib ib_uverbs ib_core fuse mlx5_core CPU: 15 UID: 0 PID: 1506 Comm: ibv_rc_pingpong Not tainted 6.12.0-rc7+ #1626 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:mlx5r_umr_post_send_wait+0x15a/0x2b0 [mlx5_ib] [..] Call Trace: <TASK> mlx5r_umr_update_xlt+0x23c/0x3e0 [mlx5_ib] mlx5_ib_invalidate_range+0x2e1/0x330 [mlx5_ib] __mmu_notifier_invalidate_range_start+0x1e1/0x240 zap_page_range_single+0xf1/0x1a0 madvise_vma_behavior+0x677/0x6e0 do_madvise+0x1a2/0x4b0 __x64_sys_madvise+0x25/0x30 do_syscall_64+0x6b/0x140 entry_SYSCALL_64_after_hwframe+0x76/0x7e [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing/osnoise: Fix resetting of tracepoints If a timerlat tracer is started with the osnoise option OSNOISE_WORKLOAD disabled, but then that option is enabled and timerlat is removed, the tracepoints that were enabled on timerlat registration do not get disabled. If the option is disabled again and timelat is started, then it triggers a warning in the tracepoint code due to registering the tracepoint again without ever disabling it. Do not use the same user space defined options to know to disable the tracepoints when timerlat is removed. Instead, set a global flag when it is enabled and use that flag to know to disable the events. ~# echo NO_OSNOISE_WORKLOAD > /sys/kernel/tracing/osnoise/options ~# echo timerlat > /sys/kernel/tracing/current_tracer ~# echo OSNOISE_WORKLOAD > /sys/kernel/tracing/osnoise/options ~# echo nop > /sys/kernel/tracing/current_tracer ~# echo NO_OSNOISE_WORKLOAD > /sys/kernel/tracing/osnoise/options ~# echo timerlat > /sys/kernel/tracing/current_tracer Triggers: ------------[ cut here ]------------ WARNING: CPU: 6 PID: 1337 at kernel/tracepoint.c:294 tracepoint_add_func+0x3b6/0x3f0 Modules linked in: CPU: 6 UID: 0 PID: 1337 Comm: rtla Not tainted 6.13.0-rc4-test-00018-ga867c441128e-dirty #73 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:tracepoint_add_func+0x3b6/0x3f0 Code: 48 8b 53 28 48 8b 73 20 4c 89 04 24 e8 23 59 11 00 4c 8b 04 24 e9 36 fe ff ff 0f 0b b8 ea ff ff ff 45 84 e4 0f 84 68 fe ff ff <0f> 0b e9 61 fe ff ff 48 8b 7b 18 48 85 ff 0f 84 4f ff ff ff 49 8b RSP: 0018:ffffb9b003a87ca0 EFLAGS: 00010202 RAX: 00000000ffffffef RBX: ffffffff92f30860 RCX: 0000000000000000 RDX: 0000000000000000 RSI: ffff9bf59e91ccd0 RDI: ffffffff913b6410 RBP: 000000000000000a R08: 00000000000005c7 R09: 0000000000000002 R10: ffffb9b003a87ce0 R11: 0000000000000002 R12: 0000000000000001 R13: ffffb9b003a87ce0 R14: ffffffffffffffef R15: 0000000000000008 FS: 00007fce81209240(0000) GS:ffff9bf6fdd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055e99b728000 CR3: 00000001277c0002 CR4: 0000000000172ef0 Call Trace: <TASK> ? __warn.cold+0xb7/0x14d ? tracepoint_add_func+0x3b6/0x3f0 ? report_bug+0xea/0x170 ? handle_bug+0x58/0x90 ? exc_invalid_op+0x17/0x70 ? asm_exc_invalid_op+0x1a/0x20 ? __pfx_trace_sched_migrate_callback+0x10/0x10 ? tracepoint_add_func+0x3b6/0x3f0 ? __pfx_trace_sched_migrate_callback+0x10/0x10 ? __pfx_trace_sched_migrate_callback+0x10/0x10 tracepoint_probe_register+0x78/0xb0 ? __pfx_trace_sched_migrate_callback+0x10/0x10 osnoise_workload_start+0x2b5/0x370 timerlat_tracer_init+0x76/0x1b0 tracing_set_tracer+0x244/0x400 tracing_set_trace_write+0xa0/0xe0 vfs_write+0xfc/0x570 ? do_sys_openat2+0x9c/0xe0 ksys_write+0x72/0xf0 do_syscall_64+0x79/0x1c0 entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость компонента tracing/osnoise ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: misc: fastrpc: Fix copy buffer page size For non-registered buffer, fastrpc driver copies the buffer and pass it to the remote subsystem. There is a problem with current implementation of page size calculation which is not considering the offset in the calculation. This might lead to passing of improper and out-of-bounds page size which could result in memory issue. Calculate page start and page end using the offset adjusted address instead of absolute address. Уязвимость компонента drivers/misc/fastrpc.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFC: nci: Add bounds checking in nci_hci_create_pipe() The "pipe" variable is a u8 which comes from the network. If it's more than 127, then it results in memory corruption in the caller, nci_hci_connect_gate(). Уязвимость функции nci_hci_create_pipe() компонента net/nfc/nci/hci.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix possible int overflows in nilfs_fiemap() Since nilfs_bmap_lookup_contig() in nilfs_fiemap() calculates its result by being prepared to go through potentially maxblocks == INT_MAX blocks, the value in n may experience an overflow caused by left shift of blkbits. While it is extremely unlikely to occur, play it safe and cast right hand expression to wider type to mitigate the issue. Found by Linux Verification Center (linuxtesting.org) with static analysis tool SVACE. Уязвимость компонента nilfs2 ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ceph: fix memory leak in ceph_mds_auth_match() We now free the temporary target path substring allocation on every possible branch, instead of omitting the default branch. In some cases, a memory leak occured, which could rapidly crash the system (depending on how many file accesses were attempted). This was detected in production because it caused a continuous memory growth, eventually triggering kernel OOM and completely hard-locking the kernel. Relevant kmemleak stacktrace: unreferenced object 0xffff888131e69900 (size 128): comm "git", pid 66104, jiffies 4295435999 hex dump (first 32 bytes): 76 6f 6c 75 6d 65 73 2f 63 6f 6e 74 61 69 6e 65 volumes/containe 72 73 2f 67 69 74 65 61 2f 67 69 74 65 61 2f 67 rs/gitea/gitea/g backtrace (crc 2f3bb450): [<ffffffffaa68fb49>] __kmalloc_noprof+0x359/0x510 [<ffffffffc32bf1df>] ceph_mds_check_access+0x5bf/0x14e0 [ceph] [<ffffffffc3235722>] ceph_open+0x312/0xd80 [ceph] [<ffffffffaa7dd786>] do_dentry_open+0x456/0x1120 [<ffffffffaa7e3729>] vfs_open+0x79/0x360 [<ffffffffaa832875>] path_openat+0x1de5/0x4390 [<ffffffffaa834fcc>] do_filp_open+0x19c/0x3c0 [<ffffffffaa7e44a1>] do_sys_openat2+0x141/0x180 [<ffffffffaa7e4945>] __x64_sys_open+0xe5/0x1a0 [<ffffffffac2cc2f7>] do_syscall_64+0xb7/0x210 [<ffffffffac400130>] entry_SYSCALL_64_after_hwframe+0x77/0x7f It can be triggered by mouting a subdirectory of a CephFS filesystem, and then trying to access files on this subdirectory with an auth token using a path-scoped capability: $ ceph auth get client.services [client.services] key = REDACTED caps mds = "allow rw fsname=cephfs path=/volumes/" caps mon = "allow r fsname=cephfs" caps osd = "allow rw tag cephfs data=cephfs" $ cat /proc/self/mounts services@[REDACTED].cephfs=/volumes/containers /ceph/containers ceph rw,noatime,name=services,secret=<hidden>,ms_mode=prefer-crc,mount_timeout=300,acl,mon_addr=[REDACTED]:3300,recover_session=clean 0 0 $ seq 1 1000000 | xargs -P32 --replace={} touch /ceph/containers/file-{} && \ seq 1 1000000 | xargs -P32 --replace={} cat /ceph/containers/file-{} [ idryomov: combine if statements, rename rc to path_matched and make it a bool, formatting ] Уязвимость компонента ceph ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ata: libata-sff: Ensure that we cannot write outside the allocated buffer reveliofuzzing reported that a SCSI_IOCTL_SEND_COMMAND ioctl with out_len set to 0xd42, SCSI command set to ATA_16 PASS-THROUGH, ATA command set to ATA_NOP, and protocol set to ATA_PROT_PIO, can cause ata_pio_sector() to write outside the allocated buffer, overwriting random memory. While a ATA device is supposed to abort a ATA_NOP command, there does seem to be a bug either in libata-sff or QEMU, where either this status is not set, or the status is cleared before read by ata_sff_hsm_move(). Anyway, that is most likely a separate bug. Looking at __atapi_pio_bytes(), it already has a safety check to ensure that __atapi_pio_bytes() cannot write outside the allocated buffer. Add a similar check to ata_pio_sector(), such that also ata_pio_sector() cannot write outside the allocated buffer. Уязвимость компонента drivers/ata/libata-sff.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: core: Fix use-after free in init error and remove paths devm_blk_crypto_profile_init() registers a cleanup handler to run when the associated (platform-) device is being released. For UFS, the crypto private data and pointers are stored as part of the ufs_hba's data structure 'struct ufs_hba::crypto_profile'. This structure is allocated as part of the underlying ufshcd and therefore Scsi_host allocation. During driver release or during error handling in ufshcd_pltfrm_init(), this structure is released as part of ufshcd_dealloc_host() before the (platform-) device associated with the crypto call above is released. Once this device is released, the crypto cleanup code will run, using the just-released 'struct ufs_hba::crypto_profile'. This causes a use-after-free situation: Call trace: kfree+0x60/0x2d8 (P) kvfree+0x44/0x60 blk_crypto_profile_destroy_callback+0x28/0x70 devm_action_release+0x1c/0x30 release_nodes+0x6c/0x108 devres_release_all+0x98/0x100 device_unbind_cleanup+0x20/0x70 really_probe+0x218/0x2d0 In other words, the initialisation code flow is: platform-device probe ufshcd_pltfrm_init() ufshcd_alloc_host() scsi_host_alloc() allocation of struct ufs_hba creation of scsi-host devices devm_blk_crypto_profile_init() devm registration of cleanup handler using platform-device and during error handling of ufshcd_pltfrm_init() or during driver removal: ufshcd_dealloc_host() scsi_host_put() put_device(scsi-host) release of struct ufs_hba put_device(platform-device) crypto cleanup handler To fix this use-after free, change ufshcd_alloc_host() to register a devres action to automatically cleanup the underlying SCSI device on ufshcd destruction, without requiring explicit calls to ufshcd_dealloc_host(). This way: * the crypto profile and all other ufs_hba-owned resources are destroyed before SCSI (as they've been registered after) * a memleak is plugged in tc-dwc-g210-pci.c remove() as a side-effect * EXPORT_SYMBOL_GPL(ufshcd_dealloc_host) can be removed fully as it's not needed anymore * no future drivers using ufshcd_alloc_host() could ever forget adding the cleanup [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 zvbi A vulnerability was found in libzvbi up to 0.2.43. It has been declared as problematic. Affected by this vulnerability is the function vbi_strndup_iconv_ucs2 of the file src/conv.c. The manipulation of the argument src_length leads to integer overflow. The attack can be launched remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 0.2.44 is able to address this issue. The patch is named ca1672134b3e2962cd392212c73f44f8f4cb489f. It is recommended to upgrade the affected component. The code maintainer was informed beforehand about the issues. She reacted very fast and highly professional. Уязвимость библиотеки захвата и декодирования VBI libzvbi связана с целочисленным переполнением в функции bi_strndup_iconv_ucs2(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-189'), NistCWE(cwe='CWE-190')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:N/I:N/A:P', score=5.0) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) zvbi: - Запускайте приложения, использующие zvbi, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к библиотекам и конфигурационным файлам zvbi так, чтобы их могли изменять только администраторы системы. - Убедитесь, что данные, обрабатываемые с помощью zvbi, проверяются на корректность и безопасность перед обработкой. - Не используйте zvbi для обработки данных из ненадежных или непроверенных источников, чтобы избежать инъекций и других атак. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usbnet: ipheth: fix DPE OoB read Fix an out-of-bounds DPE read, limit the number of processed DPEs to the amount that fits into the fixed-size NDP16 header. Уязвимость компонента net/usb/ipheth.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usbnet: ipheth: use static NDP16 location in URB Original code allowed for the start of NDP16 to be anywhere within the URB based on the `wNdpIndex` value in NTH16. Only the start position of NDP16 was checked, so it was possible for even the fixed-length part of NDP16 to extend past the end of URB, leading to an out-of-bounds read. On iOS devices, the NDP16 header always directly follows NTH16. Rely on and check for this specific format. This, along with NCM-specific minimal URB length check that already exists, will ensure that the fixed-length part of NDP16 plus a set amount of DPEs fit within the URB. Note that this commit alone does not fully address the OoB read. The limit on the amount of DPEs needs to be enforced separately. Уязвимость компонента net/usb/ipheth.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usbnet: ipheth: fix possible overflow in DPE length check Originally, it was possible for the DPE length check to overflow if wDatagramIndex + wDatagramLength > U16_MAX. This could lead to an OoB read. Move the wDatagramIndex term to the other side of the inequality. An existing condition ensures that wDatagramIndex < urb->actual_length. Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: brcmfmac: fix NULL pointer dereference in brcmf_txfinalize() On removal of the device or unloading of the kernel module a potential NULL pointer dereference occurs. The following sequence deletes the interface: brcmf_detach() brcmf_remove_interface() brcmf_del_if() Inside the brcmf_del_if() function the drvr->if2bss[ifidx] is updated to BRCMF_BSSIDX_INVALID (-1) if the bsscfgidx matches. After brcmf_remove_interface() call the brcmf_proto_detach() function is called providing the following sequence: brcmf_detach() brcmf_proto_detach() brcmf_proto_msgbuf_detach() brcmf_flowring_detach() brcmf_msgbuf_delete_flowring() brcmf_msgbuf_remove_flowring() brcmf_flowring_delete() brcmf_get_ifp() brcmf_txfinalize() Since brcmf_get_ip() can and actually will return NULL in this case the call to brcmf_txfinalize() will result in a NULL pointer dereference inside brcmf_txfinalize() when trying to update ifp->ndev->stats.tx_errors. This will only happen if a flowring still has an skb. Although the NULL pointer dereference has only been seen when trying to update the tx statistic, all other uses of the ifp pointer have been guarded as well with an early return if ifp is NULL. Уязвимость функции brcmf_txfinalize() компонента drivers/net/wireless/broadcom/brcm80211/brcmfmac/core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: blk-cgroup: Fix class @block_class's subsystem refcount leakage blkcg_fill_root_iostats() iterates over @block_class's devices by class_dev_iter_(init|next)(), but does not end iterating with class_dev_iter_exit(), so causes the class's subsystem refcount leakage. Fix by ending the iterating with class_dev_iter_exit(). Уязвимость компонента block/blk-cgroup.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Input: synaptics - fix crash when enabling pass-through port When enabling a pass-through port an interrupt might come before psmouse driver binds to the pass-through port. However synaptics sub-driver tries to access psmouse instance presumably associated with the pass-through port to figure out if only 1 byte of response or entire protocol packet needs to be forwarded to the pass-through port and may crash if psmouse instance has not been attached to the port yet. Fix the crash by introducing open() and close() methods for the port and check if the port is open before trying to access psmouse instance. Because psmouse calls serio_open() only after attaching psmouse instance to serio port instance this prevents the potential crash. [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: rose: lock the socket in rose_bind() syzbot reported a soft lockup in rose_loopback_timer(), with a repro calling bind() from multiple threads. rose_bind() must lock the socket to avoid this issue. Уязвимость функции rose_bind() компонента net/rose/af_rose.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 zvbi A vulnerability was found in libzvbi up to 0.2.43. It has been rated as problematic. Affected by this issue is the function _vbi_strndup_iconv. The manipulation leads to integer overflow. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 0.2.44 is able to address this issue. It is recommended to upgrade the affected component. The code maintainer was informed beforehand about the issues. She reacted very fast and highly professional. Уязвимость библиотеки захвата и декодирования VBI libzvbi связана с целочисленным переполнением в функции _vbi_strndup_iconv(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-189'), NistCWE(cwe='CWE-190')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:N/I:N/A:P', score=5.0) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) zvbi: - Запускайте приложения, использующие zvbi, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к библиотекам и конфигурационным файлам zvbi так, чтобы их могли изменять только администраторы системы. - Убедитесь, что данные, обрабатываемые с помощью zvbi, проверяются на корректность и безопасность перед обработкой. - Не используйте zvbi для обработки данных из ненадежных или непроверенных источников, чтобы избежать инъекций и других атак. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: brcmfmac: Check the return value of of_property_read_string_index() Somewhen between 6.10 and 6.11 the driver started to crash on my MacBookPro14,3. The property doesn't exist and 'tmp' remains uninitialized, so we pass a random pointer to devm_kstrdup(). The crash I am getting looks like this: BUG: unable to handle page fault for address: 00007f033c669379 PF: supervisor read access in kernel mode PF: error_code(0x0001) - permissions violation PGD 8000000101341067 P4D 8000000101341067 PUD 101340067 PMD 1013bb067 PTE 800000010aee9025 Oops: Oops: 0001 [#1] SMP PTI CPU: 4 UID: 0 PID: 827 Comm: (udev-worker) Not tainted 6.11.8-gentoo #1 Hardware name: Apple Inc. MacBookPro14,3/Mac-551B86E5744E2388, BIOS 529.140.2.0.0 06/23/2024 RIP: 0010:strlen+0x4/0x30 Code: f7 75 ec 31 c0 c3 cc cc cc cc 48 89 f8 c3 cc cc cc cc 0f 1f 40 00 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 f3 0f 1e fa <80> 3f 00 74 14 48 89 f8 48 83 c0 01 80 38 00 75 f7 48 29 f8 c3 cc RSP: 0018:ffffb4aac0683ad8 EFLAGS: 00010202 RAX: 00000000ffffffea RBX: 00007f033c669379 RCX: 0000000000000001 RDX: 0000000000000cc0 RSI: 00007f033c669379 RDI: 00007f033c669379 RBP: 00000000ffffffea R08: 0000000000000000 R09: 00000000c0ba916a R10: ffffffffffffffff R11: ffffffffb61ea260 R12: ffff91f7815b50c8 R13: 0000000000000cc0 R14: ffff91fafefffe30 R15: ffffb4aac0683b30 FS: 00007f033ccbe8c0(0000) GS:ffff91faeed00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f033c669379 CR3: 0000000107b1e004 CR4: 00000000003706f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? __die+0x23/0x70 ? page_fault_oops+0x149/0x4c0 ? raw_spin_rq_lock_nested+0xe/0x20 ? sched_balance_newidle+0x22b/0x3c0 ? update_load_avg+0x78/0x770 ? exc_page_fault+0x6f/0x150 ? asm_exc_page_fault+0x26/0x30 ? __pfx_pci_conf1_write+0x10/0x10 ? strlen+0x4/0x30 devm_kstrdup+0x25/0x70 brcmf_of_probe+0x273/0x350 [brcmfmac] Уязвимость компонента drivers/net/wireless/broadcom/brcm80211/brcmfmac/of.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix use-after-free when attempting to join an aborted transaction When we are trying to join the current transaction and if it's aborted, we read its 'aborted' field after unlocking fs_info->trans_lock and without holding any extra reference count on it. This means that a concurrent task that is aborting the transaction may free the transaction before we read its 'aborted' field, leading to a use-after-free. Fix this by reading the 'aborted' field while holding fs_info->trans_lock since any freeing task must first acquire that lock and set fs_info->running_transaction to NULL before freeing the transaction. This was reported by syzbot and Dmitry with the following stack traces from KASAN: ================================================================== BUG: KASAN: slab-use-after-free in join_transaction+0xd9b/0xda0 fs/btrfs/transaction.c:278 Read of size 4 at addr ffff888011839024 by task kworker/u4:9/1128 CPU: 0 UID: 0 PID: 1128 Comm: kworker/u4:9 Not tainted 6.13.0-rc7-syzkaller-00019-gc45323b7560e #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Workqueue: events_unbound btrfs_async_reclaim_data_space Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x169/0x550 mm/kasan/report.c:489 kasan_report+0x143/0x180 mm/kasan/report.c:602 join_transaction+0xd9b/0xda0 fs/btrfs/transaction.c:278 start_transaction+0xaf8/0x1670 fs/btrfs/transaction.c:697 flush_space+0x448/0xcf0 fs/btrfs/space-info.c:803 btrfs_async_reclaim_data_space+0x159/0x510 fs/btrfs/space-info.c:1321 process_one_work kernel/workqueue.c:3236 [inline] process_scheduled_works+0xa66/0x1840 kernel/workqueue.c:3317 worker_thread+0x870/0xd30 kernel/workqueue.c:3398 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Allocated by task 5315: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0x98/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __kmalloc_cache_noprof+0x243/0x390 mm/slub.c:4329 kmalloc_noprof include/linux/slab.h:901 [inline] join_transaction+0x144/0xda0 fs/btrfs/transaction.c:308 start_transaction+0xaf8/0x1670 fs/btrfs/transaction.c:697 btrfs_create_common+0x1b2/0x2e0 fs/btrfs/inode.c:6572 lookup_open fs/namei.c:3649 [inline] open_last_lookups fs/namei.c:3748 [inline] path_openat+0x1c03/0x3590 fs/namei.c:3984 do_filp_open+0x27f/0x4e0 fs/namei.c:4014 do_sys_openat2+0x13e/0x1d0 fs/open.c:1402 do_sys_open fs/open.c:1417 [inline] __do_sys_creat fs/open.c:1495 [inline] __se_sys_creat fs/open.c:1489 [inline] __x64_sys_creat+0x123/0x170 fs/open.c:1489 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 5336: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x40/0x50 mm/kasan/generic.c:582 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x59/0x70 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2353 [inline] slab_free mm/slub.c:4613 [inline] kfree+0x196/0x430 mm/slub.c:4761 cleanup_transaction fs/btrfs/transaction.c:2063 [inline] btrfs_commit_transaction+0x2c97/0x3720 fs/btrfs/transaction.c:2598 insert_balance_item+0x1284/0x20b0 fs/btrfs/volumes.c:3757 btrfs_balance+0x992/ ---truncated--- Уязвимость компонента transaction.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix assertion failure when splitting ordered extent after transaction abort If while we are doing a direct IO write a transaction abort happens, we mark all existing ordered extents with the BTRFS_ORDERED_IOERR flag (done at btrfs_destroy_ordered_extents()), and then after that if we enter btrfs_split_ordered_extent() and the ordered extent has bytes left (meaning we have a bio that doesn't cover the whole ordered extent, see details at btrfs_extract_ordered_extent()), we will fail on the following assertion at btrfs_split_ordered_extent(): ASSERT(!(flags & ~BTRFS_ORDERED_TYPE_FLAGS)); because the BTRFS_ORDERED_IOERR flag is set and the definition of BTRFS_ORDERED_TYPE_FLAGS is just the union of all flags that identify the type of write (regular, nocow, prealloc, compressed, direct IO, encoded). Fix this by returning an error from btrfs_extract_ordered_extent() if we find the BTRFS_ORDERED_IOERR flag in the ordered extent. The error will be the error that resulted in the transaction abort or -EIO if no transaction abort happened. This was recently reported by syzbot with the following trace: FAULT_INJECTION: forcing a failure. name failslab, interval 1, probability 0, space 0, times 1 CPU: 0 UID: 0 PID: 5321 Comm: syz.0.0 Not tainted 6.13.0-rc5-syzkaller #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 fail_dump lib/fault-inject.c:53 [inline] should_fail_ex+0x3b0/0x4e0 lib/fault-inject.c:154 should_failslab+0xac/0x100 mm/failslab.c:46 slab_pre_alloc_hook mm/slub.c:4072 [inline] slab_alloc_node mm/slub.c:4148 [inline] __do_kmalloc_node mm/slub.c:4297 [inline] __kmalloc_noprof+0xdd/0x4c0 mm/slub.c:4310 kmalloc_noprof include/linux/slab.h:905 [inline] kzalloc_noprof include/linux/slab.h:1037 [inline] btrfs_chunk_alloc_add_chunk_item+0x244/0x1100 fs/btrfs/volumes.c:5742 reserve_chunk_space+0x1ca/0x2c0 fs/btrfs/block-group.c:4292 check_system_chunk fs/btrfs/block-group.c:4319 [inline] do_chunk_alloc fs/btrfs/block-group.c:3891 [inline] btrfs_chunk_alloc+0x77b/0xf80 fs/btrfs/block-group.c:4187 find_free_extent_update_loop fs/btrfs/extent-tree.c:4166 [inline] find_free_extent+0x42d1/0x5810 fs/btrfs/extent-tree.c:4579 btrfs_reserve_extent+0x422/0x810 fs/btrfs/extent-tree.c:4672 btrfs_new_extent_direct fs/btrfs/direct-io.c:186 [inline] btrfs_get_blocks_direct_write+0x706/0xfa0 fs/btrfs/direct-io.c:321 btrfs_dio_iomap_begin+0xbb7/0x1180 fs/btrfs/direct-io.c:525 iomap_iter+0x697/0xf60 fs/iomap/iter.c:90 __iomap_dio_rw+0xeb9/0x25b0 fs/iomap/direct-io.c:702 btrfs_dio_write fs/btrfs/direct-io.c:775 [inline] btrfs_direct_write+0x610/0xa30 fs/btrfs/direct-io.c:880 btrfs_do_write_iter+0x2a0/0x760 fs/btrfs/file.c:1397 do_iter_readv_writev+0x600/0x880 vfs_writev+0x376/0xba0 fs/read_write.c:1050 do_pwritev fs/read_write.c:1146 [inline] __do_sys_pwritev2 fs/read_write.c:1204 [inline] __se_sys_pwritev2+0x196/0x2b0 fs/read_write.c:1195 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f1281f85d29 RSP: 002b:00007f12819fe038 EFLAGS: 00000246 ORIG_RAX: 0000000000000148 RAX: ffffffffffffffda RBX: 00007f1282176080 RCX: 00007f1281f85d29 RDX: 0000000000000001 RSI: 0000000020000240 RDI: 0000000000000005 RBP: 00007f12819fe090 R08: 0000000000000000 R09: 0000000000000003 R10: 0000000000007000 R11: 0000000000000246 R12: 0000000000000002 R13: 0000000000000000 R14: 00007f1282176080 R15: 00007ffcb9e23328 </TASK> BTRFS error (device loop0 state A): Transaction aborted (error -12) BTRFS: error (device loop0 state A ---truncated--- Уязвимость компонента btrfs ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: mcast: add RCU protection to mld_newpack() mld_newpack() can be called without RTNL or RCU being held. Note that we no longer can use sock_alloc_send_skb() because ipv6.igmp_sk uses GFP_KERNEL allocations which can sleep. Instead use alloc_skb() and charge the net->ipv6.igmp_sk socket under RCU protection. Уязвимость компонента net/ipv6/mcast.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: mcast: extend RCU protection in igmp6_send() igmp6_send() can be called without RTNL or RCU being held. Extend RCU protection so that we can safely fetch the net pointer and avoid a potential UAF. Note that we no longer can use sock_alloc_send_skb() because ipv6.igmp_sk uses GFP_KERNEL allocations which can sleep. Instead use alloc_skb() and charge the net->ipv6.igmp_sk socket under RCU protection. Уязвимость компонента mcast.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 zvbi A vulnerability classified as critical has been found in libzvbi up to 0.2.43. This affects the function vbi_capture_sim_load_caption of the file src/io-sim.c. The manipulation leads to integer overflow. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 0.2.44 is able to address this issue. The identifier of the patch is ca1672134b3e2962cd392212c73f44f8f4cb489f. It is recommended to upgrade the affected component. The code maintainer was informed beforehand about the issues. She reacted very fast and highly professional. Уязвимость библиотеки захвата и декодирования VBI libzvbi связана с целочисленным переполнением в функции vbi_capture_sim_load_caption(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-189'), NistCWE(cwe='CWE-190')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:P/I:P/A:P', score=7.5) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) zvbi: - Запускайте приложения, использующие zvbi, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к библиотекам и конфигурационным файлам zvbi так, чтобы их могли изменять только администраторы системы. - Убедитесь, что данные, обрабатываемые с помощью zvbi, проверяются на корректность и безопасность перед обработкой. - Не используйте zvbi для обработки данных из ненадежных или непроверенных источников, чтобы избежать инъекций и других атак. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ndisc: extend RCU protection in ndisc_send_skb() ndisc_send_skb() can be called without RTNL or RCU held. Acquire rcu_read_lock() earlier, so that we can use dev_net_rcu() and avoid a potential UAF. Уязвимость компонента ndisc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: openvswitch: use RCU protection in ovs_vport_cmd_fill_info() ovs_vport_cmd_fill_info() can be called without RTNL or RCU. Use RCU protection and dev_net_rcu() to avoid potential UAF. Уязвимость компонента datapath.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arp: use RCU protection in arp_xmit() arp_xmit() can be called without RTNL or RCU protection. Use RCU protection to avoid potential UAF. Уязвимость компонента arp.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: neighbour: use RCU protection in __neigh_notify() __neigh_notify() can be called without RTNL or RCU protection. Use RCU protection to avoid potential UAF. Уязвимость компонента neighbour.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ndisc: use RCU protection in ndisc_alloc_skb() ndisc_alloc_skb() can be called without RTNL or RCU being held. Add RCU protection to avoid possible UAF. Уязвимость компонента ndisc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: use RCU protection in ip6_default_advmss() ip6_default_advmss() needs rcu protection to make sure the net structure it reads does not disappear. Уязвимость функции ip6_default_advmss() компонента ipv6/route.c ядра операционной системы Linux связана с отсутствием проверки блокировки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv4: use RCU protection in __ip_rt_update_pmtu() __ip_rt_update_pmtu() must use RCU protection to make sure the net structure it reads does not disappear. Уязвимость функции __ip_rt_update_pmtu() компонента ipv4/route.c ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clocksource: Use migrate_disable() to avoid calling get_random_u32() in atomic context The following bug report happened with a PREEMPT_RT kernel: BUG: sleeping function called from invalid context at kernel/locking/spinlock_rt.c:48 in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 2012, name: kwatchdog preempt_count: 1, expected: 0 RCU nest depth: 0, expected: 0 get_random_u32+0x4f/0x110 clocksource_verify_choose_cpus+0xab/0x1a0 clocksource_verify_percpu.part.0+0x6b/0x330 clocksource_watchdog_kthread+0x193/0x1a0 It is due to the fact that clocksource_verify_choose_cpus() is invoked with preemption disabled. This function invokes get_random_u32() to obtain random numbers for choosing CPUs. The batched_entropy_32 local lock and/or the base_crng.lock spinlock in driver/char/random.c will be acquired during the call. In PREEMPT_RT kernel, they are both sleeping locks and so cannot be acquired in atomic context. Fix this problem by using migrate_disable() to allow smp_processor_id() to be reliably used without introducing atomic context. preempt_disable() is then called after clocksource_verify_choose_cpus() but before the clocksource measurement is being run to avoid introducing unexpected latency. Уязвимость функции get_random_u32() компонента time/clocksource.c ядра операционной системы Linux связана с ошибками синхронизации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ipv6: fix dst ref loops in rpl, seg6 and ioam6 lwtunnels Some lwtunnels have a dst cache for post-transformation dst. If the packet destination did not change we may end up recording a reference to the lwtunnel in its own cache, and the lwtunnel state will never be freed. Discovered by the ioam6.sh test, kmemleak was recently fixed to catch per-cpu memory leaks. I'm not sure if rpl and seg6 can actually hit this, but in principle I don't see why not. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 zvbi A vulnerability classified as critical was found in libzvbi up to 0.2.43. This vulnerability affects the function vbi_search_new of the file src/search.c. The manipulation of the argument pat_len leads to integer overflow. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 0.2.44 is able to address this issue. The patch is identified as ca1672134b3e2962cd392212c73f44f8f4cb489f. It is recommended to upgrade the affected component. The code maintainer was informed beforehand about the issues. She reacted very fast and highly professional. Уязвимость библиотека захвата и декодирования VBI libzvbi связана с целочисленным переполнением в функции vbi_search_new(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-189'), NistCWE(cwe='CWE-190')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:P/I:P/A:P', score=7.5) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) zvbi: - Запускайте приложения, использующие zvbi, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к библиотекам и конфигурационным файлам zvbi так, чтобы их могли изменять только администраторы системы. - Убедитесь, что данные, обрабатываемые с помощью zvbi, проверяются на корректность и безопасность перед обработкой. - Не используйте zvbi для обработки данных из ненадежных или непроверенных источников, чтобы избежать инъекций и других атак. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu: Fix potential memory leak in iopf_queue_remove_device() The iopf_queue_remove_device() helper removes a device from the per-iommu iopf queue when PRI is disabled on the device. It responds to all outstanding iopf's with an IOMMU_PAGE_RESP_INVALID code and detaches the device from the queue. However, it fails to release the group structure that represents a group of iopf's awaiting for a response after responding to the hardware. This can cause a memory leak if iopf_queue_remove_device() is called with pending iopf's. Fix it by calling iopf_free_group() after the iopf group is responded. Уязвимость функции iopf_queue_remove_device() компонента drivers/iommu/io-pgfault.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched_ext: Fix incorrect autogroup migration detection scx_move_task() is called from sched_move_task() and tells the BPF scheduler that cgroup migration is being committed. sched_move_task() is used by both cgroup and autogroup migrations and scx_move_task() tried to filter out autogroup migrations by testing the destination cgroup and PF_EXITING but this is not enough. In fact, without explicitly tagging the thread which is doing the cgroup migration, there is no good way to tell apart scx_move_task() invocations for racing migration to the root cgroup and an autogroup migration. This led to scx_move_task() incorrectly ignoring a migration from non-root cgroup to an autogroup of the root cgroup triggering the following warning: WARNING: CPU: 7 PID: 1 at kernel/sched/ext.c:3725 scx_cgroup_can_attach+0x196/0x340 ... Call Trace: <TASK> cgroup_migrate_execute+0x5b1/0x700 cgroup_attach_task+0x296/0x400 __cgroup_procs_write+0x128/0x140 cgroup_procs_write+0x17/0x30 kernfs_fop_write_iter+0x141/0x1f0 vfs_write+0x31d/0x4a0 __x64_sys_write+0x72/0xf0 do_syscall_64+0x82/0x160 entry_SYSCALL_64_after_hwframe+0x76/0x7e Fix it by adding an argument to sched_move_task() that indicates whether the moving is for a cgroup or autogroup migration. After the change, scx_move_task() is called only for cgroup migrations and renamed to scx_cgroup_move_task(). Уязвимость компонентов kernel/sched/ ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: partitions: mac: fix handling of bogus partition table Fix several issues in partition probing: - The bailout for a bad partoffset must use put_dev_sector(), since the preceding read_part_sector() succeeded. - If the partition table claims a silly sector size like 0xfff bytes (which results in partition table entries straddling sector boundaries), bail out instead of accessing out-of-bounds memory. - We must not assume that the partition table contains proper NUL termination - use strnlen() and strncmp() instead of strlen() and strcmp(). Уязвимость функции mac_partition() компонента partitions/mac.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: etas_es58x: fix potential NULL pointer dereference on udev->serial The driver assumed that es58x_dev->udev->serial could never be NULL. While this is true on commercially available devices, an attacker could spoof the device identity providing a NULL USB serial number. That would trigger a NULL pointer dereference. Add a check on es58x_dev->udev->serial before accessing it. Уязвимость компонента etas_es58x ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: rockchip: rkcanfd_handle_rx_fifo_overflow_int(): bail out if skb cannot be allocated Fix NULL pointer check in rkcanfd_handle_rx_fifo_overflow_int() to bail out if skb cannot be allocated. Уязвимость функции rkcanfd_handle_rx_fifo_overflow_int() компонента drivers/net/can/rockchip/rockchip_canfd-core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: ctucanfd: handle skb allocation failure If skb allocation fails, the pointer to struct can_frame is NULL. This is actually handled everywhere inside ctucan_err_interrupt() except for the only place. Add the missed NULL check. Found by Linux Verification Center (linuxtesting.org) with SVACE static analysis tool. Уязвимость компонента drivers/net/can/ctucanfd ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: USB: hub: Ignore non-compliant devices with too many configs or interfaces Robert Morris created a test program which can cause usb_hub_to_struct_hub() to dereference a NULL or inappropriate pointer: Oops: general protection fault, probably for non-canonical address 0xcccccccccccccccc: 0000 [#1] SMP DEBUG_PAGEALLOC PTI CPU: 7 UID: 0 PID: 117 Comm: kworker/7:1 Not tainted 6.13.0-rc3-00017-gf44d154d6e3d #14 Hardware name: FreeBSD BHYVE/BHYVE, BIOS 14.0 10/17/2021 Workqueue: usb_hub_wq hub_event RIP: 0010:usb_hub_adjust_deviceremovable+0x78/0x110 ... Call Trace: <TASK> ? die_addr+0x31/0x80 ? exc_general_protection+0x1b4/0x3c0 ? asm_exc_general_protection+0x26/0x30 ? usb_hub_adjust_deviceremovable+0x78/0x110 hub_probe+0x7c7/0xab0 usb_probe_interface+0x14b/0x350 really_probe+0xd0/0x2d0 ? __pfx___device_attach_driver+0x10/0x10 __driver_probe_device+0x6e/0x110 driver_probe_device+0x1a/0x90 __device_attach_driver+0x7e/0xc0 bus_for_each_drv+0x7f/0xd0 __device_attach+0xaa/0x1a0 bus_probe_device+0x8b/0xa0 device_add+0x62e/0x810 usb_set_configuration+0x65d/0x990 usb_generic_driver_probe+0x4b/0x70 usb_probe_device+0x36/0xd0 The cause of this error is that the device has two interfaces, and the hub driver binds to interface 1 instead of interface 0, which is where usb_hub_to_struct_hub() looks. We can prevent the problem from occurring by refusing to accept hub devices that violate the USB spec by having more than one configuration or interface. Уязвимость компонента drivers/usb/core/hub.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ring-buffer: Validate the persistent meta data subbuf array The meta data for a mapped ring buffer contains an array of indexes of all the subbuffers. The first entry is the reader page, and the rest of the entries lay out the order of the subbuffers in how the ring buffer link list is to be created. The validator currently makes sure that all the entries are within the range of 0 and nr_subbufs. But it does not check if there are any duplicates. While working on the ring buffer, I corrupted this array, where I added duplicates. The validator did not catch it and created the ring buffer link list on top of it. Luckily, the corruption was only that the reader page was also in the writer path and only presented corrupted data but did not crash the kernel. But if there were duplicates in the writer side, then it could corrupt the ring buffer link list and cause a crash. Create a bitmask array with the size of the number of subbuffers. Then clear it. When walking through the subbuf array checking to see if the entries are within the range, test if its bit is already set in the subbuf_mask. If it is, then there is duplicates and fail the validation. If not, set the corresponding bit and continue. Уязвимость компонента trace/ring_buffer.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: Do not allow mmap() of persistent ring buffer When trying to mmap a trace instance buffer that is attached to reserve_mem, it would crash: BUG: unable to handle page fault for address: ffffe97bd00025c8 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 2862f3067 P4D 2862f3067 PUD 0 Oops: Oops: 0000 [#1] PREEMPT_RT SMP PTI CPU: 4 UID: 0 PID: 981 Comm: mmap-rb Not tainted 6.14.0-rc2-test-00003-g7f1a5e3fbf9e-dirty #233 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:validate_page_before_insert+0x5/0xb0 Code: e2 01 89 d0 c3 cc cc cc cc 66 66 2e 0f 1f 84 00 00 00 00 00 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 0f 1f 44 00 00 <48> 8b 46 08 a8 01 75 67 66 90 48 89 f0 8b 50 34 85 d2 74 76 48 89 RSP: 0018:ffffb148c2f3f968 EFLAGS: 00010246 RAX: ffff9fa5d3322000 RBX: ffff9fa5ccff9c08 RCX: 00000000b879ed29 RDX: ffffe97bd00025c0 RSI: ffffe97bd00025c0 RDI: ffff9fa5ccff9c08 RBP: ffffb148c2f3f9f0 R08: 0000000000000004 R09: 0000000000000004 R10: 0000000000000000 R11: 0000000000000200 R12: 0000000000000000 R13: 00007f16a18d5000 R14: ffff9fa5c48db6a8 R15: 0000000000000000 FS: 00007f16a1b54740(0000) GS:ffff9fa73df00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffe97bd00025c8 CR3: 00000001048c6006 CR4: 0000000000172ef0 Call Trace: <TASK> ? __die_body.cold+0x19/0x1f ? __die+0x2e/0x40 ? page_fault_oops+0x157/0x2b0 ? search_module_extables+0x53/0x80 ? validate_page_before_insert+0x5/0xb0 ? kernelmode_fixup_or_oops.isra.0+0x5f/0x70 ? __bad_area_nosemaphore+0x16e/0x1b0 ? bad_area_nosemaphore+0x16/0x20 ? do_kern_addr_fault+0x77/0x90 ? exc_page_fault+0x22b/0x230 ? asm_exc_page_fault+0x2b/0x30 ? validate_page_before_insert+0x5/0xb0 ? vm_insert_pages+0x151/0x400 __rb_map_vma+0x21f/0x3f0 ring_buffer_map+0x21b/0x2f0 tracing_buffers_mmap+0x70/0xd0 __mmap_region+0x6f0/0xbd0 mmap_region+0x7f/0x130 do_mmap+0x475/0x610 vm_mmap_pgoff+0xf2/0x1d0 ksys_mmap_pgoff+0x166/0x200 __x64_sys_mmap+0x37/0x50 x64_sys_call+0x1670/0x1d70 do_syscall_64+0xbb/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f The reason was that the code that maps the ring buffer pages to user space has: page = virt_to_page((void *)cpu_buffer->subbuf_ids[s]); And uses that in: vm_insert_pages(vma, vma->vm_start, pages, &nr_pages); But virt_to_page() does not work with vmap()'d memory which is what the persistent ring buffer has. It is rather trivial to allow this, but for now just disable mmap() of instances that have their ring buffer from the reserve_mem option. If an mmap() is performed on a persistent buffer it will return -ENODEV just like it would if the .mmap field wasn't defined in the file_operations structure. Уязвимость компонента trace.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Reject Hyper-V's SEND_IPI hypercalls if local APIC isn't in-kernel Advertise support for Hyper-V's SEND_IPI and SEND_IPI_EX hypercalls if and only if the local API is emulated/virtualized by KVM, and explicitly reject said hypercalls if the local APIC is emulated in userspace, i.e. don't rely on userspace to opt-in to KVM_CAP_HYPERV_ENFORCE_CPUID. Rejecting SEND_IPI and SEND_IPI_EX fixes a NULL-pointer dereference if Hyper-V enlightenments are exposed to the guest without an in-kernel local APIC: dump_stack+0xbe/0xfd __kasan_report.cold+0x34/0x84 kasan_report+0x3a/0x50 __apic_accept_irq+0x3a/0x5c0 kvm_hv_send_ipi.isra.0+0x34e/0x820 kvm_hv_hypercall+0x8d9/0x9d0 kvm_emulate_hypercall+0x506/0x7e0 __vmx_handle_exit+0x283/0xb60 vmx_handle_exit+0x1d/0xd0 vcpu_enter_guest+0x16b0/0x24c0 vcpu_run+0xc0/0x550 kvm_arch_vcpu_ioctl_run+0x170/0x6d0 kvm_vcpu_ioctl+0x413/0xb20 __se_sys_ioctl+0x111/0x160 do_syscal1_64+0x30/0x40 entry_SYSCALL_64_after_hwframe+0x67/0xd1 Note, checking the sending vCPU is sufficient, as the per-VM irqchip_mode can't be modified after vCPUs are created, i.e. if one vCPU has an in-kernel local APIC, then all vCPUs have an in-kernel local APIC. Уязвимость компонента arch/x86/kvm/hyperv.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: avoid buffer overflow attach in smu_sys_set_pp_table() It malicious user provides a small pptable through sysfs and then a bigger pptable, it may cause buffer overflow attack in function smu_sys_set_pp_table(). Уязвимость функции smu_sys_set_pp_table() компонента drivers/gpu/drm/amd/pm/swsmu/amdgpu_smu.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: batman-adv: fix panic during interface removal Reference counting is used to ensure that batadv_hardif_neigh_node and batadv_hard_iface are not freed before/during batadv_v_elp_throughput_metric_update work is finished. But there isn't a guarantee that the hard if will remain associated with a soft interface up until the work is finished. This fixes a crash triggered by reboot that looks like this: Call trace: batadv_v_mesh_free+0xd0/0x4dc [batman_adv] batadv_v_elp_throughput_metric_update+0x1c/0xa4 process_one_work+0x178/0x398 worker_thread+0x2e8/0x4d0 kthread+0xd8/0xdc ret_from_fork+0x10/0x20 (the batadv_v_mesh_free call is misleading, and does not actually happen) I was able to make the issue happen more reliably by changing hardif_neigh->bat_v.metric_work work to be delayed work. This allowed me to track down and confirm the fix. [sven@narfation.org: prevent entering batadv_v_elp_get_throughput without soft_iface] Уязвимость компонента batman-adv/bat_v_elp.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: orangefs: fix a oob in orangefs_debug_write I got a syzbot report: slab-out-of-bounds Read in orangefs_debug_write... several people suggested fixes, I tested Al Viro's suggestion and made this patch. Уязвимость функции orangefs_debug_write() компонента fs/orangefs/orangefs-debugfs.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gpiolib: Fix crash on error in gpiochip_get_ngpios() The gpiochip_get_ngpios() uses chip_*() macros to print messages. However these macros rely on gpiodev to be initialised and set, which is not the case when called via bgpio_init(). In such a case the printing messages will crash on NULL pointer dereference. Replace chip_*() macros by the respective dev_*() ones to avoid such crash. Уязвимость функции gpiochip_get_ngpios() компонента drivers/gpio/gpiolib.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: bail out when failed to load fw in psp_init_cap_microcode() In function psp_init_cap_microcode(), it should bail out when failed to load firmware, otherwise it may cause invalid memory access. Уязвимость функции psp_init_cap_microcode() компонента drm/amdgpu ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arm64: cacheinfo: Avoid out-of-bounds write to cacheinfo array The loop that detects/populates cache information already has a bounds check on the array size but does not account for cache levels with separate data/instructions cache. Fix this by incrementing the index for any populated leaf (instead of any populated level). Уязвимость компонента arch/arm64/kernel/cacheinfo.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: workqueue: Put the pwq after detaching the rescuer from the pool The commit 68f83057b913("workqueue: Reap workers via kthread_stop() and remove detach_completion") adds code to reap the normal workers but mistakenly does not handle the rescuer and also removes the code waiting for the rescuer in put_unbound_pool(), which caused a use-after-free bug reported by Cheung Wall. To avoid the use-after-free bug, the pool’s reference must be held until the detachment is complete. Therefore, move the code that puts the pwq after detaching the rescuer from the pool. Уязвимость компонента kernel/workqueue.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: team: better TEAM_OPTION_TYPE_STRING validation syzbot reported following splat [1] Make sure user-provided data contains one nul byte. [1] BUG: KMSAN: uninit-value in string_nocheck lib/vsprintf.c:633 [inline] BUG: KMSAN: uninit-value in string+0x3ec/0x5f0 lib/vsprintf.c:714 string_nocheck lib/vsprintf.c:633 [inline] string+0x3ec/0x5f0 lib/vsprintf.c:714 vsnprintf+0xa5d/0x1960 lib/vsprintf.c:2843 __request_module+0x252/0x9f0 kernel/module/kmod.c:149 team_mode_get drivers/net/team/team_core.c:480 [inline] team_change_mode drivers/net/team/team_core.c:607 [inline] team_mode_option_set+0x437/0x970 drivers/net/team/team_core.c:1401 team_option_set drivers/net/team/team_core.c:375 [inline] team_nl_options_set_doit+0x1339/0x1f90 drivers/net/team/team_core.c:2662 genl_family_rcv_msg_doit net/netlink/genetlink.c:1115 [inline] genl_family_rcv_msg net/netlink/genetlink.c:1195 [inline] genl_rcv_msg+0x1214/0x12c0 net/netlink/genetlink.c:1210 netlink_rcv_skb+0x375/0x650 net/netlink/af_netlink.c:2543 genl_rcv+0x40/0x60 net/netlink/genetlink.c:1219 netlink_unicast_kernel net/netlink/af_netlink.c:1322 [inline] netlink_unicast+0xf52/0x1260 net/netlink/af_netlink.c:1348 netlink_sendmsg+0x10da/0x11e0 net/netlink/af_netlink.c:1892 sock_sendmsg_nosec net/socket.c:718 [inline] __sock_sendmsg+0x30f/0x380 net/socket.c:733 ____sys_sendmsg+0x877/0xb60 net/socket.c:2573 ___sys_sendmsg+0x28d/0x3c0 net/socket.c:2627 __sys_sendmsg net/socket.c:2659 [inline] __do_sys_sendmsg net/socket.c:2664 [inline] __se_sys_sendmsg net/socket.c:2662 [inline] __x64_sys_sendmsg+0x212/0x3c0 net/socket.c:2662 x64_sys_call+0x2ed6/0x3c30 arch/x86/include/generated/asm/syscalls_64.h:47 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента drivers/net/team ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: ti: am65-cpsw: fix memleak in certain XDP cases If the XDP program doesn't result in XDP_PASS then we leak the memory allocated by am65_cpsw_build_skb(). It is pointless to allocate SKB memory before running the XDP program as we would be wasting CPU cycles for cases other than XDP_PASS. Move the SKB allocation after evaluating the XDP program result. This fixes the memleak. A performance boost is seen for XDP_DROP test. XDP_DROP test: Before: 460256 rx/s 0 err/s After: 784130 rx/s 0 err/s Уязвимость компонента drivers/net/ethernet/ti/am65-cpsw-nuss.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: csum: Fix OoB access in IP checksum code for negative lengths Commit 69e3a6aa6be2 ("LoongArch: Add checksum optimization for 64-bit system") would cause an undefined shift and an out-of-bounds read. Commit 8bd795fedb84 ("arm64: csum: Fix OoB access in IP checksum code for negative lengths") fixes the same issue on ARM64. Уязвимость компонента loongarch/lib/csum.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vxlan: check vxlan_vnigroup_init() return value vxlan_init() must check vxlan_vnigroup_init() success otherwise a crash happens later, spotted by syzbot. Oops: general protection fault, probably for non-canonical address 0xdffffc000000002c: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000160-0x0000000000000167] CPU: 0 UID: 0 PID: 7313 Comm: syz-executor147 Not tainted 6.14.0-rc1-syzkaller-00276-g69b54314c975 #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:vxlan_vnigroup_uninit+0x89/0x500 drivers/net/vxlan/vxlan_vnifilter.c:912 Code: 00 48 8b 44 24 08 4c 8b b0 98 41 00 00 49 8d 86 60 01 00 00 48 89 c2 48 89 44 24 10 48 b8 00 00 00 00 00 fc ff df 48 c1 ea 03 <80> 3c 02 00 0f 85 4d 04 00 00 49 8b 86 60 01 00 00 48 ba 00 00 00 RSP: 0018:ffffc9000cc1eea8 EFLAGS: 00010202 RAX: dffffc0000000000 RBX: 0000000000000001 RCX: ffffffff8672effb RDX: 000000000000002c RSI: ffffffff8672ecb9 RDI: ffff8880461b4f18 RBP: ffff8880461b4ef4 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000000 R12: 0000000000020000 R13: ffff8880461b0d80 R14: 0000000000000000 R15: dffffc0000000000 FS: 00007fecfa95d6c0(0000) GS:ffff88806a600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fecfa95cfb8 CR3: 000000004472c000 CR4: 0000000000352ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> vxlan_uninit+0x1ab/0x200 drivers/net/vxlan/vxlan_core.c:2942 unregister_netdevice_many_notify+0x12d6/0x1f30 net/core/dev.c:11824 unregister_netdevice_many net/core/dev.c:11866 [inline] unregister_netdevice_queue+0x307/0x3f0 net/core/dev.c:11736 register_netdevice+0x1829/0x1eb0 net/core/dev.c:10901 __vxlan_dev_create+0x7c6/0xa30 drivers/net/vxlan/vxlan_core.c:3981 vxlan_newlink+0xd1/0x130 drivers/net/vxlan/vxlan_core.c:4407 rtnl_newlink_create net/core/rtnetlink.c:3795 [inline] __rtnl_newlink net/core/rtnetlink.c:3906 [inline] Уязвимость функции vxlan_init() компонента drivers/net/vxlan/vxlan_core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vrf: use RCU protection in l3mdev_l3_out() l3mdev_l3_out() can be called without RCU being held: raw_sendmsg() ip_push_pending_frames() ip_send_skb() ip_local_out() __ip_local_out() l3mdev_ip_out() Add rcu_read_lock() / rcu_read_unlock() pair to avoid a potential UAF. Уязвимость компонента l3mdev.h ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ax25: Fix refcount leak caused by setting SO_BINDTODEVICE sockopt If an AX25 device is bound to a socket by setting the SO_BINDTODEVICE socket option, a refcount leak will occur in ax25_release(). Commit 9fd75b66b8f6 ("ax25: Fix refcount leaks caused by ax25_cb_del()") added decrement of device refcounts in ax25_release(). In order for that to work correctly the refcounts must already be incremented when the device is bound to the socket. An AX25 device can be bound to a socket by either calling ax25_bind() or setting SO_BINDTODEVICE socket option. In both cases the refcounts should be incremented, but in fact it is done only in ax25_bind(). This bug leads to the following issue reported by Syzkaller: ================================================================ refcount_t: decrement hit 0; leaking memory. WARNING: CPU: 1 PID: 5932 at lib/refcount.c:31 refcount_warn_saturate+0x1ed/0x210 lib/refcount.c:31 Modules linked in: CPU: 1 UID: 0 PID: 5932 Comm: syz-executor424 Not tainted 6.13.0-rc4-syzkaller-00110-g4099a71718b0 #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:refcount_warn_saturate+0x1ed/0x210 lib/refcount.c:31 Call Trace: <TASK> __refcount_dec include/linux/refcount.h:336 [inline] refcount_dec include/linux/refcount.h:351 [inline] ref_tracker_free+0x710/0x820 lib/ref_tracker.c:236 netdev_tracker_free include/linux/netdevice.h:4156 [inline] netdev_put include/linux/netdevice.h:4173 [inline] netdev_put include/linux/netdevice.h:4169 [inline] ax25_release+0x33f/0xa10 net/ax25/af_ax25.c:1069 __sock_release+0xb0/0x270 net/socket.c:640 sock_close+0x1c/0x30 net/socket.c:1408 ... do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f ... </TASK> ================================================================ Fix the implementation of ax25_setsockopt() by adding increment of refcounts for the new device bound, and decrement of refcounts for the old unbound device. Уязвимость функции ax25_setsockopt() компонента net/ax25/af_ax25.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: sn-f-ospi: Fix division by zero When there is no dummy cycle in the spi-nor commands, both dummy bus cycle bytes and width are zero. Because of the cpu's warning when divided by zero, the warning should be avoided. Return just zero to avoid such calculations. Уязвимость команды spi-nor ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFSD: fix hang in nfsd4_shutdown_callback If nfs4_client is in courtesy state then there is no point to send the callback. This causes nfsd4_shutdown_callback to hang since cl_cb_inflight is not 0. This hang lasts about 15 minutes until TCP notifies NFSD that the connection was dropped. This patch modifies nfsd4_run_cb_work to skip the RPC call if nfs4_client is in courtesy state. Уязвимость функции nfsd4_run_cb_work() компонента nfs4callback.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfsd: clear acl_access/acl_default after releasing them If getting acl_default fails, acl_access and acl_default will be released simultaneously. However, acl_access will still retain a pointer pointing to the released posix_acl, which will trigger a WARNING in nfs3svc_release_getacl like this: ------------[ cut here ]------------ refcount_t: underflow; use-after-free. WARNING: CPU: 26 PID: 3199 at lib/refcount.c:28 refcount_warn_saturate+0xb5/0x170 Modules linked in: CPU: 26 UID: 0 PID: 3199 Comm: nfsd Not tainted 6.12.0-rc6-00079-g04ae226af01f-dirty #8 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.1-2.fc37 04/01/2014 RIP: 0010:refcount_warn_saturate+0xb5/0x170 Code: cc cc 0f b6 1d b3 20 a5 03 80 fb 01 0f 87 65 48 d8 00 83 e3 01 75 e4 48 c7 c7 c0 3b 9b 85 c6 05 97 20 a5 03 01 e8 fb 3e 30 ff <0f> 0b eb cd 0f b6 1d 8a3 RSP: 0018:ffffc90008637cd8 EFLAGS: 00010282 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffffffff83904fde RDX: dffffc0000000000 RSI: 0000000000000008 RDI: ffff88871ed36380 RBP: ffff888158beeb40 R08: 0000000000000001 R09: fffff520010c6f56 R10: ffffc90008637ab7 R11: 0000000000000001 R12: 0000000000000001 R13: ffff888140e77400 R14: ffff888140e77408 R15: ffffffff858b42c0 FS: 0000000000000000(0000) GS:ffff88871ed00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000562384d32158 CR3: 000000055cc6a000 CR4: 00000000000006f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? refcount_warn_saturate+0xb5/0x170 ? __warn+0xa5/0x140 ? refcount_warn_saturate+0xb5/0x170 ? report_bug+0x1b1/0x1e0 ? handle_bug+0x53/0xa0 ? exc_invalid_op+0x17/0x40 ? asm_exc_invalid_op+0x1a/0x20 ? tick_nohz_tick_stopped+0x1e/0x40 ? refcount_warn_saturate+0xb5/0x170 ? refcount_warn_saturate+0xb5/0x170 nfs3svc_release_getacl+0xc9/0xe0 svc_process_common+0x5db/0xb60 ? __pfx_svc_process_common+0x10/0x10 ? __rcu_read_unlock+0x69/0xa0 ? __pfx_nfsd_dispatch+0x10/0x10 ? svc_xprt_received+0xa1/0x120 ? xdr_init_decode+0x11d/0x190 svc_process+0x2a7/0x330 svc_handle_xprt+0x69d/0x940 svc_recv+0x180/0x2d0 nfsd+0x168/0x200 ? __pfx_nfsd+0x10/0x10 kthread+0x1a2/0x1e0 ? kthread+0xf4/0x1e0 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x34/0x60 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Kernel panic - not syncing: kernel: panic_on_warn set ... Clear acl_access/acl_default after posix_acl_release is called to prevent UAF from being triggered. Уязвимость компонентов nfs2acl.c, nfs3acl.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: firewire: test: Fix potential null dereference in firewire kunit test kunit_kzalloc() may return a NULL pointer, dereferencing it without NULL check may lead to NULL dereference. Add a NULL check for test_state. Уязвимость компонента drivers/firewire/device-attribute-test.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: ti: am65-cpsw: fix freeing IRQ in am65_cpsw_nuss_remove_tx_chns() When getting the IRQ we use k3_udma_glue_tx_get_irq() which returns negative error value on error. So not NULL check is not sufficient to deteremine if IRQ is valid. Check that IRQ is greater then zero to ensure it is valid. There is no issue at probe time but at runtime user can invoke .set_channels which results in the following call chain. am65_cpsw_set_channels() am65_cpsw_nuss_update_tx_rx_chns() am65_cpsw_nuss_remove_tx_chns() am65_cpsw_nuss_init_tx_chns() At this point if am65_cpsw_nuss_init_tx_chns() fails due to k3_udma_glue_tx_get_irq() then tx_chn->irq will be set to a negative value. Then, at subsequent .set_channels with higher channel count we will attempt to free an invalid IRQ in am65_cpsw_nuss_remove_tx_chns() leading to a kernel warning. The issue is present in the original commit that introduced this driver, although there, am65_cpsw_nuss_update_tx_rx_chns() existed as am65_cpsw_nuss_update_tx_chns(). Уязвимость функции am65_cpsw_nuss_remove_tx_chns() компонента am65-cpsw-nuss.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: HWS, fix definer's HWS_SET32 macro for negative offset When bit offset for HWS_SET32 macro is negative, UBSAN complains about the shift-out-of-bounds: UBSAN: shift-out-of-bounds in drivers/net/ethernet/mellanox/mlx5/core/steering/hws/definer.c:177:2 shift exponent -8 is negative Уязвимость компонента mlx5/core/steering/hws/definer.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ravb: Fix missing rtnl lock in suspend/resume path Fix the suspend/resume path by ensuring the rtnl lock is held where required. Calls to ravb_open, ravb_close and wol operations must be performed under the rtnl lock to prevent conflicts with ongoing ndo operations. Without this fix, the following warning is triggered: [ 39.032969] ============================= [ 39.032983] WARNING: suspicious RCU usage [ 39.033019] ----------------------------- [ 39.033033] drivers/net/phy/phy_device.c:2004 suspicious rcu_dereference_protected() usage! ... [ 39.033597] stack backtrace: [ 39.033613] CPU: 0 UID: 0 PID: 174 Comm: python3 Not tainted 6.13.0-rc7-next-20250116-arm64-renesas-00002-g35245dfdc62c #7 [ 39.033623] Hardware name: Renesas SMARC EVK version 2 based on r9a08g045s33 (DT) [ 39.033628] Call trace: [ 39.033633] show_stack+0x14/0x1c (C) [ 39.033652] dump_stack_lvl+0xb4/0xc4 [ 39.033664] dump_stack+0x14/0x1c [ 39.033671] lockdep_rcu_suspicious+0x16c/0x22c [ 39.033682] phy_detach+0x160/0x190 [ 39.033694] phy_disconnect+0x40/0x54 [ 39.033703] ravb_close+0x6c/0x1cc [ 39.033714] ravb_suspend+0x48/0x120 [ 39.033721] dpm_run_callback+0x4c/0x14c [ 39.033731] device_suspend+0x11c/0x4dc [ 39.033740] dpm_suspend+0xdc/0x214 [ 39.033748] dpm_suspend_start+0x48/0x60 [ 39.033758] suspend_devices_and_enter+0x124/0x574 [ 39.033769] pm_suspend+0x1ac/0x274 [ 39.033778] state_store+0x88/0x124 [ 39.033788] kobj_attr_store+0x14/0x24 [ 39.033798] sysfs_kf_write+0x48/0x6c [ 39.033808] kernfs_fop_write_iter+0x118/0x1a8 [ 39.033817] vfs_write+0x27c/0x378 [ 39.033825] ksys_write+0x64/0xf4 [ 39.033833] __arm64_sys_write+0x18/0x20 [ 39.033841] invoke_syscall+0x44/0x104 [ 39.033852] el0_svc_common.constprop.0+0xb4/0xd4 [ 39.033862] do_el0_svc+0x18/0x20 [ 39.033870] el0_svc+0x3c/0xf0 [ 39.033880] el0t_64_sync_handler+0xc0/0xc4 [ 39.033888] el0t_64_sync+0x154/0x158 [ 39.041274] ravb 11c30000.ethernet eth0: Link is Down [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: hns3: fix oops when unload drivers paralleling When unload hclge driver, it tries to disable sriov first for each ae_dev node from hnae3_ae_dev_list. If user unloads hns3 driver at the time, because it removes all the ae_dev nodes, and it may cause oops. But we can't simply use hnae3_common_lock for this. Because in the process flow of pci_disable_sriov(), it will trigger the remove flow of VF, which will also take hnae3_common_lock. To fixes it, introduce a new mutex to protect the unload process. Уязвимость компонентов ethernet/hisilicon/hns3 ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Fix warnings during S3 suspend The enable_gpe_wakeup() function calls acpi_enable_all_wakeup_gpes(), and the later one may call the preempt_schedule_common() function, resulting in a thread switch and causing the CPU to be in an interrupt enabled state after the enable_gpe_wakeup() function returns, leading to the warnings as follow. [ C0] WARNING: ... at kernel/time/timekeeping.c:845 ktime_get+0xbc/0xc8 [ C0] ... [ C0] Call Trace: [ C0] [<90000000002243b4>] show_stack+0x64/0x188 [ C0] [<900000000164673c>] dump_stack_lvl+0x60/0x88 [ C0] [<90000000002687e4>] __warn+0x8c/0x148 [ C0] [<90000000015e9978>] report_bug+0x1c0/0x2b0 [ C0] [<90000000016478e4>] do_bp+0x204/0x3b8 [ C0] [<90000000025b1924>] exception_handlers+0x1924/0x10000 [ C0] [<9000000000343bbc>] ktime_get+0xbc/0xc8 [ C0] [<9000000000354c08>] tick_sched_timer+0x30/0xb0 [ C0] [<90000000003408e0>] __hrtimer_run_queues+0x160/0x378 [ C0] [<9000000000341f14>] hrtimer_interrupt+0x144/0x388 [ C0] [<9000000000228348>] constant_timer_interrupt+0x38/0x48 [ C0] [<90000000002feba4>] __handle_irq_event_percpu+0x64/0x1e8 [ C0] [<90000000002fed48>] handle_irq_event_percpu+0x20/0x80 [ C0] [<9000000000306b9c>] handle_percpu_irq+0x5c/0x98 [ C0] [<90000000002fd4a0>] generic_handle_domain_irq+0x30/0x48 [ C0] [<9000000000d0c7b0>] handle_cpu_irq+0x70/0xa8 [ C0] [<9000000001646b30>] handle_loongarch_irq+0x30/0x48 [ C0] [<9000000001646bc8>] do_vint+0x80/0xe0 [ C0] [<90000000002aea1c>] finish_task_switch.isra.0+0x8c/0x2a8 [ C0] [<900000000164e34c>] __schedule+0x314/0xa48 [ C0] [<900000000164ead8>] schedule+0x58/0xf0 [ C0] [<9000000000294a2c>] worker_thread+0x224/0x498 [ C0] [<900000000029d2f0>] kthread+0xf8/0x108 [ C0] [<9000000000221f28>] ret_from_kernel_thread+0xc/0xa4 [ C0] [ C0] ---[ end trace 0000000000000000 ]--- The root cause is acpi_enable_all_wakeup_gpes() uses a mutex to protect acpi_hw_enable_all_wakeup_gpes(), and acpi_ut_acquire_mutex() may cause a thread switch. Since there is no longer concurrent execution during loongarch_acpi_suspend(), we can call acpi_hw_enable_all_wakeup_gpes() directly in enable_gpe_wakeup(). The solution is similar to commit 22db06337f590d01 ("ACPI: sleep: Avoid breaking S3 wakeup due to might_sleep()"). Уязвимость компонента arch/loongarch/power/platform.c ядра операционной системы Linux связана с ошибками синхронизации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: rcar-ep: Fix incorrect variable used when calling devm_request_mem_region() The rcar_pcie_parse_outbound_ranges() uses the devm_request_mem_region() macro to request a needed resource. A string variable that lives on the stack is then used to store a dynamically computed resource name, which is then passed on as one of the macro arguments. This can lead to undefined behavior. Depending on the current contents of the memory, the manifestations of errors may vary. One possible output may be as follows: $ cat /proc/iomem 30000000-37ffffff : 38000000-3fffffff : Sometimes, garbage may appear after the colon. In very rare cases, if no NULL-terminator is found in memory, the system might crash because the string iterator will overrun which can lead to access of unmapped memory above the stack. Thus, fix this by replacing outbound_name with the name of the previously requested resource. With the changes applied, the output will be as follows: $ cat /proc/iomem 30000000-37ffffff : memory2 38000000-3fffffff : memory3 [kwilczynski: commit log] Уязвимость функции devm_request_mem_region() компонента pcie-rcar-ep.c ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/rtrs: Add missing deinit() call A warning is triggered when repeatedly connecting and disconnecting the rnbd: list_add corruption. prev->next should be next (ffff88800b13e480), but was ffff88801ecd1338. (prev=ffff88801ecd1340). WARNING: CPU: 1 PID: 36562 at lib/list_debug.c:32 __list_add_valid_or_report+0x7f/0xa0 Workqueue: ib_cm cm_work_handler [ib_cm] RIP: 0010:__list_add_valid_or_report+0x7f/0xa0 ? __list_add_valid_or_report+0x7f/0xa0 ib_register_event_handler+0x65/0x93 [ib_core] rtrs_srv_ib_dev_init+0x29/0x30 [rtrs_server] rtrs_ib_dev_find_or_add+0x124/0x1d0 [rtrs_core] __alloc_path+0x46c/0x680 [rtrs_server] ? rtrs_rdma_connect+0xa6/0x2d0 [rtrs_server] ? rcu_is_watching+0xd/0x40 ? __mutex_lock+0x312/0xcf0 ? get_or_create_srv+0xad/0x310 [rtrs_server] ? rtrs_rdma_connect+0xa6/0x2d0 [rtrs_server] rtrs_rdma_connect+0x23c/0x2d0 [rtrs_server] ? __lock_release+0x1b1/0x2d0 cma_cm_event_handler+0x4a/0x1a0 [rdma_cm] cma_ib_req_handler+0x3a0/0x7e0 [rdma_cm] cm_process_work+0x28/0x1a0 [ib_cm] ? _raw_spin_unlock_irq+0x2f/0x50 cm_req_handler+0x618/0xa60 [ib_cm] cm_work_handler+0x71/0x520 [ib_cm] Commit 667db86bcbe8 ("RDMA/rtrs: Register ib event handler") introduced a new element .deinit but never used it at all. Fix it by invoking the `deinit()` to appropriately unregister the IB event handler. Уязвимость функции dev_free() компонента rtrs.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: let net.core.dev_weight always be non-zero The following problem was encountered during stability test: (NULL net_device): NAPI poll function process_backlog+0x0/0x530 \ returned 1, exceeding its budget of 0. ------------[ cut here ]------------ list_add double add: new=ffff88905f746f48, prev=ffff88905f746f48, \ next=ffff88905f746e40. WARNING: CPU: 18 PID: 5462 at lib/list_debug.c:35 \ __list_add_valid_or_report+0xf3/0x130 CPU: 18 UID: 0 PID: 5462 Comm: ping Kdump: loaded Not tainted 6.13.0-rc7+ RIP: 0010:__list_add_valid_or_report+0xf3/0x130 Call Trace: ? __warn+0xcd/0x250 ? __list_add_valid_or_report+0xf3/0x130 enqueue_to_backlog+0x923/0x1070 netif_rx_internal+0x92/0x2b0 __netif_rx+0x15/0x170 loopback_xmit+0x2ef/0x450 dev_hard_start_xmit+0x103/0x490 __dev_queue_xmit+0xeac/0x1950 ip_finish_output2+0x6cc/0x1620 ip_output+0x161/0x270 ip_push_pending_frames+0x155/0x1a0 raw_sendmsg+0xe13/0x1550 __sys_sendto+0x3bf/0x4e0 __x64_sys_sendto+0xdc/0x1b0 do_syscall_64+0x5b/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e The reproduction command is as follows: sysctl -w net.core.dev_weight=0 ping 127.0.0.1 This is because when the napi's weight is set to 0, process_backlog() may return 0 and clear the NAPI_STATE_SCHED bit of napi->state, causing this napi to be re-polled in net_rx_action() until __do_softirq() times out. Since the NAPI_STATE_SCHED bit has been cleared, napi_schedule_rps() can be retriggered in enqueue_to_backlog(), causing this issue. Making the napi's weight always non-zero solves this problem. Triggering this issue requires system-wide admin (setting is not namespaced). Уязвимость компонента sysctl_net_core.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: xdp: Disallow attaching device-bound programs in generic mode Device-bound programs are used to support RX metadata kfuncs. These kfuncs are driver-specific and rely on the driver context to read the metadata. This means they can't work in generic XDP mode. However, there is no check to disallow such programs from being attached in generic mode, in which case the metadata kfuncs will be called in an invalid context, leading to crashes. Fix this by adding a check to disallow attaching device-bound programs in generic mode. Уязвимость компонента net/core/dev.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rxrpc, afs: Fix peer hash locking vs RCU callback In its address list, afs now retains pointers to and refs on one or more rxrpc_peer objects. The address list is freed under RCU and at this time, it puts the refs on those peers. Now, when an rxrpc_peer object runs out of refs, it gets removed from the peer hash table and, for that, rxrpc has to take a spinlock. However, it is now being called from afs's RCU cleanup, which takes place in BH context - but it is just taking an ordinary spinlock. The put may also be called from non-BH context, and so there exists the possibility of deadlock if the BH-based RCU cleanup happens whilst the hash spinlock is held. This led to the attached lockdep complaint. Fix this by changing spinlocks of rxnet->peer_hash_lock back to BH-disabling locks. ================================ WARNING: inconsistent lock state 6.13.0-rc5-build2+ #1223 Tainted: G E -------------------------------- inconsistent {SOFTIRQ-ON-W} -> {IN-SOFTIRQ-W} usage. swapper/1/0 [HC0[0]:SC1[1]:HE1:SE0] takes: ffff88810babe228 (&rxnet->peer_hash_lock){+.?.}-{3:3}, at: rxrpc_put_peer+0xcb/0x180 {SOFTIRQ-ON-W} state was registered at: mark_usage+0x164/0x180 __lock_acquire+0x544/0x990 lock_acquire.part.0+0x103/0x280 _raw_spin_lock+0x2f/0x40 rxrpc_peer_keepalive_worker+0x144/0x440 process_one_work+0x486/0x7c0 process_scheduled_works+0x73/0x90 worker_thread+0x1c8/0x2a0 kthread+0x19b/0x1b0 ret_from_fork+0x24/0x40 ret_from_fork_asm+0x1a/0x30 irq event stamp: 972402 hardirqs last enabled at (972402): [<ffffffff8244360e>] _raw_spin_unlock_irqrestore+0x2e/0x50 hardirqs last disabled at (972401): [<ffffffff82443328>] _raw_spin_lock_irqsave+0x18/0x60 softirqs last enabled at (972300): [<ffffffff810ffbbe>] handle_softirqs+0x3ee/0x430 softirqs last disabled at (972313): [<ffffffff810ffc54>] __irq_exit_rcu+0x44/0x110 other info that might help us debug this: Possible unsafe locking scenario: CPU0 ---- lock(&rxnet->peer_hash_lock); <Interrupt> lock(&rxnet->peer_hash_lock); *** DEADLOCK *** 1 lock held by swapper/1/0: #0: ffffffff83576be0 (rcu_callback){....}-{0:0}, at: rcu_lock_acquire+0x7/0x30 stack backtrace: CPU: 1 UID: 0 PID: 0 Comm: swapper/1 Tainted: G E 6.13.0-rc5-build2+ #1223 Tainted: [E]=UNSIGNED_MODULE Hardware name: ASUS All Series/H97-PLUS, BIOS 2306 10/09/2014 Call Trace: <IRQ> dump_stack_lvl+0x57/0x80 print_usage_bug.part.0+0x227/0x240 valid_state+0x53/0x70 mark_lock_irq+0xa5/0x2f0 mark_lock+0xf7/0x170 mark_usage+0xe1/0x180 __lock_acquire+0x544/0x990 lock_acquire.part.0+0x103/0x280 _raw_spin_lock+0x2f/0x40 rxrpc_put_peer+0xcb/0x180 afs_free_addrlist+0x46/0x90 [kafs] rcu_do_batch+0x2d2/0x640 rcu_core+0x2f7/0x350 handle_softirqs+0x1ee/0x430 __irq_exit_rcu+0x44/0x110 irq_exit_rcu+0xa/0x30 sysvec_apic_timer_interrupt+0x7f/0xa0 </IRQ> Уязвимость компонента net/rxrpc/peer_event.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: driver core: class: Fix wild pointer dereferences in API class_dev_iter_next() There are a potential wild pointer dereferences issue regarding APIs class_dev_iter_(init|next|exit)(), as explained by below typical usage: // All members of @iter are wild pointers. struct class_dev_iter iter; // class_dev_iter_init(@iter, @class, ...) checks parameter @class for // potential class_to_subsys() error, and it returns void type and does // not initialize its output parameter @iter, so caller can not detect // the error and continues to invoke class_dev_iter_next(@iter) even if // @iter still contains wild pointers. class_dev_iter_init(&iter, ...); // Dereference these wild pointers in @iter here once suffer the error. while (dev = class_dev_iter_next(&iter)) { ... }; // Also dereference these wild pointers here. class_dev_iter_exit(&iter); Actually, all callers of these APIs have such usage pattern in kernel tree. Fix by: - Initialize output parameter @iter by memset() in class_dev_iter_init() and give callers prompt by pr_crit() for the error. - Check if @iter is valid in class_dev_iter_next(). Уязвимость функции class_dev_iter_next() ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nilfs2: protect access to buffers with no active references nilfs_lookup_dirty_data_buffers(), which iterates through the buffers attached to dirty data folios/pages, accesses the attached buffers without locking the folios/pages. For data cache, nilfs_clear_folio_dirty() may be called asynchronously when the file system degenerates to read only, so nilfs_lookup_dirty_data_buffers() still has the potential to cause use after free issues when buffers lose the protection of their dirty state midway due to this asynchronous clearing and are unintentionally freed by try_to_free_buffers(). Eliminate this race issue by adjusting the lock section in this function. Уязвимость компонента fs/nilfs2 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ax25: rcu protect dev->ax25_ptr syzbot found a lockdep issue [1]. We should remove ax25 RTNL dependency in ax25_setsockopt() This should also fix a variety of possible UAF in ax25. [1] WARNING: possible circular locking dependency detected 6.13.0-rc3-syzkaller-00762-g9268abe611b0 #0 Not tainted ------------------------------------------------------ syz.5.1818/12806 is trying to acquire lock: ffffffff8fcb3988 (rtnl_mutex){+.+.}-{4:4}, at: ax25_setsockopt+0xa55/0xe90 net/ax25/af_ax25.c:680 but task is already holding lock: ffff8880617ac258 (sk_lock-AF_AX25){+.+.}-{0:0}, at: lock_sock include/net/sock.h:1618 [inline] ffff8880617ac258 (sk_lock-AF_AX25){+.+.}-{0:0}, at: ax25_setsockopt+0x209/0xe90 net/ax25/af_ax25.c:574 which lock already depends on the new lock. the existing dependency chain (in reverse order) is: -> #1 (sk_lock-AF_AX25){+.+.}-{0:0}: lock_acquire+0x1ed/0x550 kernel/locking/lockdep.c:5849 lock_sock_nested+0x48/0x100 net/core/sock.c:3642 lock_sock include/net/sock.h:1618 [inline] ax25_kill_by_device net/ax25/af_ax25.c:101 [inline] ax25_device_event+0x24d/0x580 net/ax25/af_ax25.c:146 notifier_call_chain+0x1a5/0x3f0 kernel/notifier.c:85 __dev_notify_flags+0x207/0x400 dev_change_flags+0xf0/0x1a0 net/core/dev.c:9026 dev_ifsioc+0x7c8/0xe70 net/core/dev_ioctl.c:563 dev_ioctl+0x719/0x1340 net/core/dev_ioctl.c:820 sock_do_ioctl+0x240/0x460 net/socket.c:1234 sock_ioctl+0x626/0x8e0 net/socket.c:1339 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl+0xf5/0x170 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f -> #0 (rtnl_mutex){+.+.}-{4:4}: check_prev_add kernel/locking/lockdep.c:3161 [inline] check_prevs_add kernel/locking/lockdep.c:3280 [inline] validate_chain+0x18ef/0x5920 kernel/locking/lockdep.c:3904 __lock_acquire+0x1397/0x2100 kernel/locking/lockdep.c:5226 lock_acquire+0x1ed/0x550 kernel/locking/lockdep.c:5849 __mutex_lock_common kernel/locking/mutex.c:585 [inline] __mutex_lock+0x1ac/0xee0 kernel/locking/mutex.c:735 ax25_setsockopt+0xa55/0xe90 net/ax25/af_ax25.c:680 do_sock_setsockopt+0x3af/0x720 net/socket.c:2324 __sys_setsockopt net/socket.c:2349 [inline] __do_sys_setsockopt net/socket.c:2355 [inline] __se_sys_setsockopt net/socket.c:2352 [inline] __x64_sys_setsockopt+0x1ee/0x280 net/socket.c:2352 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f other info that might help us debug this: Possible unsafe locking scenario: CPU0 CPU1 ---- ---- lock(sk_lock-AF_AX25); lock(rtnl_mutex); lock(sk_lock-AF_AX25); lock(rtnl_mutex); *** DEADLOCK *** 1 lock held by syz.5.1818/12806: #0: ffff8880617ac258 (sk_lock-AF_AX25){+.+.}-{0:0}, at: lock_sock include/net/sock.h:1618 [inline] #0: ffff8880617ac258 (sk_lock-AF_AX25){+.+.}-{0:0}, at: ax25_setsockopt+0x209/0xe90 net/ax25/af_ax25.c:574 stack backtrace: CPU: 1 UID: 0 PID: 12806 Comm: syz.5.1818 Not tainted 6.13.0-rc3-syzkaller-00762-g9268abe611b0 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_circular_bug+0x13a/0x1b0 kernel/locking/lockdep.c:2074 check_noncircular+0x36a/0x4a0 kernel/locking/lockdep.c:2206 check_prev_add kernel/locking/lockdep.c:3161 [inline] check_prevs_add kernel/lockin ---truncated--- Уязвимость компонента ax25 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: timers/migration: Fix off-by-one root mis-connection Before attaching a new root to the old root, the children counter of the new root is checked to verify that only the upcoming CPU's top group have been connected to it. However since the recently added commit b729cc1ec21a ("timers/migration: Fix another race between hotplug and idle entry/exit") this check is not valid anymore because the old root is pre-accounted as a child to the new root. Therefore after connecting the upcoming CPU's top group to the new root, the children count to be expected must be 2 and not 1 anymore. This omission results in the old root to not be connected to the new root. Then eventually the system may run with more than one top level, which defeats the purpose of a single idle migrator. Also the old root is pre-accounted but not connected upon the new root creation. But it can be connected to the new root later on. Therefore the old root may be accounted twice to the new root. The propagation of such overcommit can end up creating a double final top-level root with a groupmask incorrectly initialized. Although harmless given that the final top level roots will never have a parent to walk up to, this oddity opportunistically reported the core issue: WARNING: CPU: 8 PID: 0 at kernel/time/timer_migration.c:543 tmigr_requires_handle_remote CPU: 8 UID: 0 PID: 0 Comm: swapper/8 RIP: 0010:tmigr_requires_handle_remote Call Trace: <IRQ> ? tmigr_requires_handle_remote ? hrtimer_run_queues update_process_times tick_periodic tick_handle_periodic __sysvec_apic_timer_interrupt sysvec_apic_timer_interrupt </IRQ> Fix the problem by taking the old root into account in the children count of the new root so the connection is not omitted. Also warn when more than one top level group exists to better detect similar issues in the future. Уязвимость функции tmigr_setup_groups() компонента timer_migration.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ptp: Ensure info->enable callback is always set The ioctl and sysfs handlers unconditionally call the ->enable callback. Not all drivers implement that callback, leading to NULL dereferences. Example of affected drivers: ptp_s390.c, ptp_vclock.c and ptp_mock.c. Instead use a dummy callback if no better was specified by the driver. Уязвимость компонента drivers/ptp ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/compaction: fix UBSAN shift-out-of-bounds warning syzkaller reported a UBSAN shift-out-of-bounds warning of (1UL << order) in isolate_freepages_block(). The bogus compound_order can be any value because it is union with flags. Add back the MAX_PAGE_ORDER check to fix the warning. Уязвимость компонента mm/compaction ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hrtimers: Force migrate away hrtimers queued after CPUHP_AP_HRTIMERS_DYING hrtimers are migrated away from the dying CPU to any online target at the CPUHP_AP_HRTIMERS_DYING stage in order not to delay bandwidth timers handling tasks involved in the CPU hotplug forward progress. However wakeups can still be performed by the outgoing CPU after CPUHP_AP_HRTIMERS_DYING. Those can result again in bandwidth timers being armed. Depending on several considerations (crystal ball power management based election, earliest timer already enqueued, timer migration enabled or not), the target may eventually be the current CPU even if offline. If that happens, the timer is eventually ignored. The most notable example is RCU which had to deal with each and every of those wake-ups by deferring them to an online CPU, along with related workarounds: _ e787644caf76 (rcu: Defer RCU kthreads wakeup when CPU is dying) _ 9139f93209d1 (rcu/nocb: Fix RT throttling hrtimer armed from offline CPU) _ f7345ccc62a4 (rcu/nocb: Fix rcuog wake-up from offline softirq) The problem isn't confined to RCU though as the stop machine kthread (which runs CPUHP_AP_HRTIMERS_DYING) reports its completion at the end of its work through cpu_stop_signal_done() and performs a wake up that eventually arms the deadline server timer: WARNING: CPU: 94 PID: 588 at kernel/time/hrtimer.c:1086 hrtimer_start_range_ns+0x289/0x2d0 CPU: 94 UID: 0 PID: 588 Comm: migration/94 Not tainted Stopper: multi_cpu_stop+0x0/0x120 <- stop_machine_cpuslocked+0x66/0xc0 RIP: 0010:hrtimer_start_range_ns+0x289/0x2d0 Call Trace: <TASK> start_dl_timer enqueue_dl_entity dl_server_start enqueue_task_fair enqueue_task ttwu_do_activate try_to_wake_up complete cpu_stopper_thread Instead of providing yet another bandaid to work around the situation, fix it in the hrtimers infrastructure instead: always migrate away a timer to an online target whenever it is enqueued from an offline CPU. This will also allow to revert all the above RCU disgraceful hacks. Уязвимость компонентов hrtimers ядра операционной системы Linux связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tty: xilinx_uartps: split sysrq handling lockdep detects the following circular locking dependency: CPU 0 CPU 1 ========================== ============================ cdns_uart_isr() printk() uart_port_lock(port) console_lock() cdns_uart_console_write() if (!port->sysrq) uart_port_lock(port) uart_handle_break() port->sysrq = ... uart_handle_sysrq_char() printk() console_lock() The fixed commit attempts to avoid this situation by only taking the port lock in cdns_uart_console_write if port->sysrq unset. However, if (as shown above) cdns_uart_console_write runs before port->sysrq is set, then it will try to take the port lock anyway. This may result in a deadlock. Fix this by splitting sysrq handling into two parts. We use the prepare helper under the port lock and defer handling until we release the lock. Уязвимость компонента drivers/tty/serial/xilinx_uartps.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: omap: use threaded IRQ for LCD DMA When using touchscreen and framebuffer, Nokia 770 crashes easily with: BUG: scheduling while atomic: irq/144-ads7846/82/0x00010000 Modules linked in: usb_f_ecm g_ether usb_f_rndis u_ether libcomposite configfs omap_udc ohci_omap ohci_hcd CPU: 0 UID: 0 PID: 82 Comm: irq/144-ads7846 Not tainted 6.12.7-770 #2 Hardware name: Nokia 770 Call trace: unwind_backtrace from show_stack+0x10/0x14 show_stack from dump_stack_lvl+0x54/0x5c dump_stack_lvl from __schedule_bug+0x50/0x70 __schedule_bug from __schedule+0x4d4/0x5bc __schedule from schedule+0x34/0xa0 schedule from schedule_preempt_disabled+0xc/0x10 schedule_preempt_disabled from __mutex_lock.constprop.0+0x218/0x3b4 __mutex_lock.constprop.0 from clk_prepare_lock+0x38/0xe4 clk_prepare_lock from clk_set_rate+0x18/0x154 clk_set_rate from sossi_read_data+0x4c/0x168 sossi_read_data from hwa742_read_reg+0x5c/0x8c hwa742_read_reg from send_frame_handler+0xfc/0x300 send_frame_handler from process_pending_requests+0x74/0xd0 process_pending_requests from lcd_dma_irq_handler+0x50/0x74 lcd_dma_irq_handler from __handle_irq_event_percpu+0x44/0x130 __handle_irq_event_percpu from handle_irq_event+0x28/0x68 handle_irq_event from handle_level_irq+0x9c/0x170 handle_level_irq from generic_handle_domain_irq+0x2c/0x3c generic_handle_domain_irq from omap1_handle_irq+0x40/0x8c omap1_handle_irq from generic_handle_arch_irq+0x28/0x3c generic_handle_arch_irq from call_with_stack+0x1c/0x24 call_with_stack from __irq_svc+0x94/0xa8 Exception stack(0xc5255da0 to 0xc5255de8) 5da0: 00000001 c22fc620 00000000 00000000 c08384a8 c106fc00 00000000 c240c248 5dc0: c113a600 c3f6ec30 00000001 00000000 c22fc620 c5255df0 c22fc620 c0279a94 5de0: 60000013 ffffffff __irq_svc from clk_prepare_lock+0x4c/0xe4 clk_prepare_lock from clk_get_rate+0x10/0x74 clk_get_rate from uwire_setup_transfer+0x40/0x180 uwire_setup_transfer from spi_bitbang_transfer_one+0x2c/0x9c spi_bitbang_transfer_one from spi_transfer_one_message+0x2d0/0x664 spi_transfer_one_message from __spi_pump_transfer_message+0x29c/0x498 __spi_pump_transfer_message from __spi_sync+0x1f8/0x2e8 __spi_sync from spi_sync+0x24/0x40 spi_sync from ads7846_halfd_read_state+0x5c/0x1c0 ads7846_halfd_read_state from ads7846_irq+0x58/0x348 ads7846_irq from irq_thread_fn+0x1c/0x78 irq_thread_fn from irq_thread+0x120/0x228 irq_thread from kthread+0xc8/0xe8 kthread from ret_from_fork+0x14/0x28 As a quick fix, switch to a threaded IRQ which provides a stable system. Уязвимость функции omap_init_lcd_dma() компонента lcd_dma.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: batman-adv: Drop unmanaged ELP metric worker The ELP worker needs to calculate new metric values for all neighbors "reachable" over an interface. Some of the used metric sources require locks which might need to sleep. This sleep is incompatible with the RCU list iterator used for the recorded neighbors. The initial approach to work around of this problem was to queue another work item per neighbor and then run this in a new context. Even when this solved the RCU vs might_sleep() conflict, it has a major problems: Nothing was stopping the work item in case it is not needed anymore - for example because one of the related interfaces was removed or the batman-adv module was unloaded - resulting in potential invalid memory accesses. Directly canceling the metric worker also has various problems: * cancel_work_sync for a to-be-deactivated interface is called with rtnl_lock held. But the code in the ELP metric worker also tries to use rtnl_lock() - which will never return in this case. This also means that cancel_work_sync would never return because it is waiting for the worker to finish. * iterating over the neighbor list for the to-be-deactivated interface is currently done using the RCU specific methods. Which means that it is possible to miss items when iterating over it without the associated spinlock - a behaviour which is acceptable for a periodic metric check but not for a cleanup routine (which must "stop" all still running workers) The better approch is to get rid of the per interface neighbor metric worker and handle everything in the interface worker. The original problems are solved by: * creating a list of neighbors which require new metric information inside the RCU protected context, gathering the metric according to the new list outside the RCU protected context * only use rcu_trylock inside metric gathering code to avoid a deadlock when the cancel_delayed_work_sync is called in the interface removal code (which is called with the rtnl_lock held) Уязвимость компонентов net/batman-adv ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gpu: host1x: Fix a use of uninitialized mutex commit c8347f915e67 ("gpu: host1x: Fix boot regression for Tegra") caused a use of uninitialized mutex leading to below warning when CONFIG_DEBUG_MUTEXES and CONFIG_DEBUG_LOCK_ALLOC are enabled. [ 41.662843] ------------[ cut here ]------------ [ 41.663012] DEBUG_LOCKS_WARN_ON(lock->magic != lock) [ 41.663035] WARNING: CPU: 4 PID: 794 at kernel/locking/mutex.c:587 __mutex_lock+0x670/0x878 [ 41.663458] Modules linked in: rtw88_8822c(+) bluetooth(+) rtw88_pci rtw88_core mac80211 aquantia libarc4 crc_itu_t cfg80211 tegra194_cpufreq dwmac_tegra(+) arm_dsu_pmu stmmac_platform stmmac pcs_xpcs rfkill at24 host1x(+) tegra_bpmp_thermal ramoops reed_solomon fuse loop nfnetlink xfs mmc_block rpmb_core ucsi_ccg ina3221 crct10dif_ce xhci_tegra ghash_ce lm90 sha2_ce sha256_arm64 sha1_ce sdhci_tegra pwm_fan sdhci_pltfm sdhci gpio_keys rtc_tegra cqhci mmc_core phy_tegra_xusb i2c_tegra tegra186_gpc_dma i2c_tegra_bpmp spi_tegra114 dm_mirror dm_region_hash dm_log dm_mod [ 41.665078] CPU: 4 UID: 0 PID: 794 Comm: (udev-worker) Not tainted 6.11.0-29.31_1538613708.el10.aarch64+debug #1 [ 41.665838] Hardware name: NVIDIA NVIDIA Jetson AGX Orin Developer Kit/Jetson, BIOS 36.3.0-gcid-35594366 02/26/2024 [ 41.672555] pstate: 60400009 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 41.679636] pc : __mutex_lock+0x670/0x878 [ 41.683834] lr : __mutex_lock+0x670/0x878 [ 41.688035] sp : ffff800084b77090 [ 41.691446] x29: ffff800084b77160 x28: ffffdd4bebf7b000 x27: ffffdd4be96b1000 [ 41.698799] x26: 1fffe0002308361c x25: 1ffff0001096ee18 x24: 0000000000000000 [ 41.706149] x23: 0000000000000000 x22: 0000000000000002 x21: ffffdd4be6e3c7a0 [ 41.713500] x20: ffff800084b770f0 x19: ffff00011841b1e8 x18: 0000000000000000 [ 41.720675] x17: 0000000000000000 x16: 0000000000000000 x15: 0720072007200720 [ 41.728023] x14: 0000000000000000 x13: 0000000000000001 x12: ffff6001a96eaab3 [ 41.735375] x11: 1fffe001a96eaab2 x10: ffff6001a96eaab2 x9 : ffffdd4be4838bbc [ 41.742723] x8 : 00009ffe5691554e x7 : ffff000d4b755593 x6 : 0000000000000001 [ 41.749985] x5 : ffff000d4b755590 x4 : 1fffe0001d88f001 x3 : dfff800000000000 [ 41.756988] x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff0000ec478000 [ 41.764251] Call trace: [ 41.766695] __mutex_lock+0x670/0x878 [ 41.770373] mutex_lock_nested+0x2c/0x40 [ 41.774134] host1x_intr_start+0x54/0xf8 [host1x] [ 41.778863] host1x_runtime_resume+0x150/0x228 [host1x] [ 41.783935] pm_generic_runtime_resume+0x84/0xc8 [ 41.788485] __rpm_callback+0xa0/0x478 [ 41.792422] rpm_callback+0x15c/0x1a8 [ 41.795922] rpm_resume+0x698/0xc08 [ 41.799597] __pm_runtime_resume+0xa8/0x140 [ 41.803621] host1x_probe+0x810/0xbc0 [host1x] [ 41.807909] platform_probe+0xcc/0x1a8 [ 41.811845] really_probe+0x188/0x800 [ 41.815347] __driver_probe_device+0x164/0x360 [ 41.819810] driver_probe_device+0x64/0x1a8 [ 41.823834] __driver_attach+0x180/0x490 [ 41.827773] bus_for_each_dev+0x104/0x1a0 [ 41.831797] driver_attach+0x44/0x68 [ 41.835296] bus_add_driver+0x23c/0x4e8 [ 41.839235] driver_register+0x15c/0x3a8 [ 41.843170] __platform_register_drivers+0xa4/0x208 [ 41.848159] tegra_host1x_init+0x4c/0xff8 [host1x] [ 41.853147] do_one_initcall+0xd4/0x380 [ 41.856997] do_init_module+0x1dc/0x698 [ 41.860758] load_module+0xc70/0x1300 [ 41.864435] __do_sys_init_module+0x1a8/0x1d0 [ 41.868721] __arm64_sys_init_module+0x74/0xb0 [ 41.873183] invoke_syscall.constprop.0+0xdc/0x1e8 [ 41.877997] do_el0_svc+0x154/0x1d0 [ 41.881671] el0_svc+0x54/0x140 [ 41.884820] el0t_64_sync_handler+0x120/0x130 [ 41.889285] el0t_64_sync+0x1a4/0x1a8 [ 41.892960] irq event stamp: 69737 [ 41.896370] hardirqs last enabled at (69737): [<ffffdd4be6d7768c>] _raw_spin_unlock_irqrestore+0x44/0xe8 [ 41.905739] hardirqs last disabled at (69736): ---truncated--- Уязвимость компонента drivers/gpu/host1x ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Cancel the running bpf_timer through kworker for PREEMPT_RT During the update procedure, when overwrite element in a pre-allocated htab, the freeing of old_element is protected by the bucket lock. The reason why the bucket lock is necessary is that the old_element has already been stashed in htab->extra_elems after alloc_htab_elem() returns. If freeing the old_element after the bucket lock is unlocked, the stashed element may be reused by concurrent update procedure and the freeing of old_element will run concurrently with the reuse of the old_element. However, the invocation of check_and_free_fields() may acquire a spin-lock which violates the lockdep rule because its caller has already held a raw-spin-lock (bucket lock). The following warning will be reported when such race happens: BUG: scheduling while atomic: test_progs/676/0x00000003 3 locks held by test_progs/676: #0: ffffffff864b0240 (rcu_read_lock_trace){....}-{0:0}, at: bpf_prog_test_run_syscall+0x2c0/0x830 #1: ffff88810e961188 (&htab->lockdep_key){....}-{2:2}, at: htab_map_update_elem+0x306/0x1500 #2: ffff8881f4eac1b8 (&base->softirq_expiry_lock){....}-{2:2}, at: hrtimer_cancel_wait_running+0xe9/0x1b0 Modules linked in: bpf_testmod(O) Preemption disabled at: [<ffffffff817837a3>] htab_map_update_elem+0x293/0x1500 CPU: 0 UID: 0 PID: 676 Comm: test_progs Tainted: G ... 6.12.0+ #11 Tainted: [W]=WARN, [O]=OOT_MODULE Hardware name: QEMU Standard PC (i440FX + PIIX, 1996)... Call Trace: <TASK> dump_stack_lvl+0x57/0x70 dump_stack+0x10/0x20 __schedule_bug+0x120/0x170 __schedule+0x300c/0x4800 schedule_rtlock+0x37/0x60 rtlock_slowlock_locked+0x6d9/0x54c0 rt_spin_lock+0x168/0x230 hrtimer_cancel_wait_running+0xe9/0x1b0 hrtimer_cancel+0x24/0x30 bpf_timer_delete_work+0x1d/0x40 bpf_timer_cancel_and_free+0x5e/0x80 bpf_obj_free_fields+0x262/0x4a0 check_and_free_fields+0x1d0/0x280 htab_map_update_elem+0x7fc/0x1500 bpf_prog_9f90bc20768e0cb9_overwrite_cb+0x3f/0x43 bpf_prog_ea601c4649694dbd_overwrite_timer+0x5d/0x7e bpf_prog_test_run_syscall+0x322/0x830 __sys_bpf+0x135d/0x3ca0 __x64_sys_bpf+0x75/0xb0 x64_sys_call+0x1b5/0xa10 do_syscall_64+0x3b/0xc0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 ... </TASK> It seems feasible to break the reuse and refill of per-cpu extra_elems into two independent parts: reuse the per-cpu extra_elems with bucket lock being held and refill the old_element as per-cpu extra_elems after the bucket lock is unlocked. However, it will make the concurrent overwrite procedures on the same CPU return unexpected -E2BIG error when the map is full. Therefore, the patch fixes the lock problem by breaking the cancelling of bpf_timer into two steps for PREEMPT_RT: 1) use hrtimer_try_to_cancel() and check its return value 2) if the timer is running, use hrtimer_cancel() through a kworker to cancel it again Considering that the current implementation of hrtimer_cancel() will try to acquire a being held softirq_expiry_lock when the current timer is running, these steps above are reasonable. However, it also has downside. When the timer is running, the cancelling of the timer is delayed when releasing the last map uref. The delay is also fixable (e.g., break the cancelling of bpf timer into two parts: one part in locked scope, another one in unlocked scope), it can be revised later if necessary. It is a bit hard to decide the right fix tag. One reason is that the problem depends on PREEMPT_RT which is enabled in v6.12. Considering the softirq_expiry_lock lock exists since v5.4 and bpf_timer is introduced in v5.15, the bpf_timer commit is used in the fixes tag and an extra depends-on tag is added to state the dependency on PREEMPT_RT. Depends-on: v6.12+ with PREEMPT_RT enabled [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: reject mismatching sum of field_len with set key length The field length description provides the length of each separated key field in the concatenation, each field gets rounded up to 32-bits to calculate the pipapo rule width from pipapo_init(). The set key length provides the total size of the key aligned to 32-bits. Register-based arithmetics still allows for combining mismatching set key length and field length description, eg. set key length 10 and field description [ 5, 4 ] leading to pipapo width of 12. Уязвимость компонента nf_tables_api.c ядра операционной системы Linux связана с некорректным вычислением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btusb: mediatek: Add locks for usb_driver_claim_interface() The documentation for usb_driver_claim_interface() says that "the device lock" is needed when the function is called from places other than probe(). This appears to be the lock for the USB interface device. The Mediatek btusb code gets called via this path: Workqueue: hci0 hci_power_on [bluetooth] Call trace: usb_driver_claim_interface btusb_mtk_claim_iso_intf btusb_mtk_setup hci_dev_open_sync hci_power_on process_scheduled_works worker_thread kthread With the above call trace the device lock hasn't been claimed. Claim it. Without this fix, we'd sometimes see the error "Failed to claim iso interface". Sometimes we'd even see worse errors, like a NULL pointer dereference (where `intf->dev.driver` was NULL) with a trace like: Call trace: usb_suspend_both usb_runtime_suspend __rpm_callback rpm_suspend pm_runtime_work process_scheduled_works Both errors appear to be fixed with the proper locking. Уязвимость функции btusb_mtk_claim_iso_intf() компонента bluetooth/btusb.c ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: don't flush non-uploaded STAs If STA state is pre-moved to AUTHORIZED (such as in IBSS scenarios) and insertion fails, the station is freed. In this case, the driver never knew about the station, so trying to flush it is unexpected and may crash. Check if the sta was uploaded to the driver before and fix this. Уязвимость компонента driver-ops.h ядра операционной системы Linux связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: Fix the warning "__rxe_cleanup+0x12c/0x170 [rdma_rxe]" The Call Trace is as below: " <TASK> ? show_regs.cold+0x1a/0x1f ? __rxe_cleanup+0x12c/0x170 [rdma_rxe] ? __warn+0x84/0xd0 ? __rxe_cleanup+0x12c/0x170 [rdma_rxe] ? report_bug+0x105/0x180 ? handle_bug+0x46/0x80 ? exc_invalid_op+0x19/0x70 ? asm_exc_invalid_op+0x1b/0x20 ? __rxe_cleanup+0x12c/0x170 [rdma_rxe] ? __rxe_cleanup+0x124/0x170 [rdma_rxe] rxe_destroy_qp.cold+0x24/0x29 [rdma_rxe] ib_destroy_qp_user+0x118/0x190 [ib_core] rdma_destroy_qp.cold+0x43/0x5e [rdma_cm] rtrs_cq_qp_destroy.cold+0x1d/0x2b [rtrs_core] rtrs_srv_close_work.cold+0x1b/0x31 [rtrs_server] process_one_work+0x21d/0x3f0 worker_thread+0x4a/0x3c0 ? process_one_work+0x3f0/0x3f0 kthread+0xf0/0x120 ? kthread_complete_and_exit+0x20/0x20 ret_from_fork+0x22/0x30 </TASK> " When too many rdma resources are allocated, rxe needs more time to handle these rdma resources. Sometimes with the current timeout, rxe can not release the rdma resources correctly. Compared with other rdma drivers, a bigger timeout is used. Уязвимость функции __rxe_cleanup() компонента rxe_pool.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: landlock: Handle weird files A corrupted filesystem (e.g. bcachefs) might return weird files. Instead of throwing a warning and allowing access to such file, treat them as regular files. Уязвимость функции get_mode_access() компонента landlock/fs.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью искажённого файла [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:H', score=7.3) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: Avoid putting some root ports into D3 on TUXEDO Sirius Gen1 commit 9d26d3a8f1b0 ("PCI: Put PCIe ports into D3 during suspend") sets the policy that all PCIe ports are allowed to use D3. When the system is suspended if the port is not power manageable by the platform and won't be used for wakeup via a PME this sets up the policy for these ports to go into D3hot. This policy generally makes sense from an OSPM perspective but it leads to problems with wakeup from suspend on the TUXEDO Sirius 16 Gen 1 with a specific old BIOS. This manifests as a system hang. On the affected Device + BIOS combination, add a quirk for the root port of the problematic controller to ensure that these root ports are not put into D3hot at suspend. This patch is based on https://lore.kernel.org/linux-pci/20230708214457.1229-2-mario.limonciello@amd.com but with the added condition both in the documentation and in the code to apply only to the TUXEDO Sirius 16 Gen 1 with a specific old BIOS and only the affected root ports. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: block: don't revert iter for -EIOCBQUEUED blkdev_read_iter() has a few odd checks, like gating the position and count adjustment on whether or not the result is bigger-than-or-equal to zero (where bigger than makes more sense), and not checking the return value of blkdev_direct_IO() before doing an iov_iter_revert(). The latter can lead to attempting to revert with a negative value, which when passed to iov_iter_revert() as an unsigned value will lead to throwing a WARN_ON() because unroll is bigger than MAX_RW_COUNT. Be sane and don't revert for -EIOCBQUEUED, like what is done in other spots. Уязвимость функции blkdev_read_iter() компонента block/fops.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: seccomp: passthrough uretprobe systemcall without filtering When attaching uretprobes to processes running inside docker, the attached process is segfaulted when encountering the retprobe. The reason is that now that uretprobe is a system call the default seccomp filters in docker block it as they only allow a specific set of known syscalls. This is true for other userspace applications which use seccomp to control their syscall surface. Since uretprobe is a "kernel implementation detail" system call which is not used by userspace application code directly, it is impractical and there's very little point in forcing all userspace applications to explicitly allow it in order to avoid crashing tracked processes. Pass this systemcall through seccomp without depending on configuration. Note: uretprobe is currently only x86_64 and isn't expected to ever be supported in i386. [kees: minimized changes for easier backporting, tweaked commit log] Уязвимость компонента kernel/seccomp.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_midi: fix MIDI Streaming descriptor lengths While the MIDI jacks are configured correctly, and the MIDIStreaming endpoint descriptors are filled with the correct information, bNumEmbMIDIJack and bLength are set incorrectly in these descriptors. This does not matter when the numbers of in and out ports are equal, but when they differ the host will receive broken descriptors with uninitialized stack memory leaking into the descriptor for whichever value is smaller. The precise meaning of "in" and "out" in the port counts is not clearly defined and can be confusing. But elsewhere the driver consistently uses this to match the USB meaning of IN and OUT viewed from the host, so that "in" ports send data to the host and "out" ports receive data from it. Уязвимость функции f_midi_bind() компонента function/f_midi.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/kbuf: reallocate buf lists on upgrade IORING_REGISTER_PBUF_RING can reuse an old struct io_buffer_list if it was created for legacy selected buffer and has been emptied. It violates the requirement that most of the field should stay stable after publish. Always reallocate it instead. Уязвимость функции io_register_pbuf_ring() модуля io_uring/kbuf.c интерфейса асинхронного ввода/вывода ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: core: flush gadget workqueue after device removal device_del() can lead to new work being scheduled in gadget->work workqueue. This is observed, for example, with the dwc3 driver with the following call stack: device_del() gadget_unbind_driver() usb_gadget_disconnect_locked() dwc3_gadget_pullup() dwc3_gadget_soft_disconnect() usb_gadget_set_state() schedule_work(&gadget->work) Move flush_work() after device_del() to ensure the workqueue is cleaned up. Уязвимость компонента drivers/usb/gadget/udc/core.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Load DR6 with guest value only before entering .vcpu_run() loop Move the conditional loading of hardware DR6 with the guest's DR6 value out of the core .vcpu_run() loop to fix a bug where KVM can load hardware with a stale vcpu->arch.dr6. When the guest accesses a DR and host userspace isn't debugging the guest, KVM disables DR interception and loads the guest's values into hardware on VM-Enter and saves them on VM-Exit. This allows the guest to access DRs at will, e.g. so that a sequence of DR accesses to configure a breakpoint only generates one VM-Exit. For DR0-DR3, the logic/behavior is identical between VMX and SVM, and also identical between KVM_DEBUGREG_BP_ENABLED (userspace debugging the guest) and KVM_DEBUGREG_WONT_EXIT (guest using DRs), and so KVM handles loading DR0-DR3 in common code, _outside_ of the core kvm_x86_ops.vcpu_run() loop. But for DR6, the guest's value doesn't need to be loaded into hardware for KVM_DEBUGREG_BP_ENABLED, and SVM provides a dedicated VMCB field whereas VMX requires software to manually load the guest value, and so loading the guest's value into DR6 is handled by {svm,vmx}_vcpu_run(), i.e. is done _inside_ the core run loop. Unfortunately, saving the guest values on VM-Exit is initiated by common x86, again outside of the core run loop. If the guest modifies DR6 (in hardware, when DR interception is disabled), and then the next VM-Exit is a fastpath VM-Exit, KVM will reload hardware DR6 with vcpu->arch.dr6 and clobber the guest's actual value. The bug shows up primarily with nested VMX because KVM handles the VMX preemption timer in the fastpath, and the window between hardware DR6 being modified (in guest context) and DR6 being read by guest software is orders of magnitude larger in a nested setup. E.g. in non-nested, the VMX preemption timer would need to fire precisely between #DB injection and the #DB handler's read of DR6, whereas with a KVM-on-KVM setup, the window where hardware DR6 is "dirty" extends all the way from L1 writing DR6 to VMRESUME (in L1). L1's view: ========== <L1 disables DR interception> CPU 0/KVM-7289 [023] d.... 2925.640961: kvm_entry: vcpu 0 A: L1 Writes DR6 CPU 0/KVM-7289 [023] d.... 2925.640963: <hack>: Set DRs, DR6 = 0xffff0ff1 B: CPU 0/KVM-7289 [023] d.... 2925.640967: kvm_exit: vcpu 0 reason EXTERNAL_INTERRUPT intr_info 0x800000ec D: L1 reads DR6, arch.dr6 = 0 CPU 0/KVM-7289 [023] d.... 2925.640969: <hack>: Sync DRs, DR6 = 0xffff0ff0 CPU 0/KVM-7289 [023] d.... 2925.640976: kvm_entry: vcpu 0 L2 reads DR6, L1 disables DR interception CPU 0/KVM-7289 [023] d.... 2925.640980: kvm_exit: vcpu 0 reason DR_ACCESS info1 0x0000000000000216 CPU 0/KVM-7289 [023] d.... 2925.640983: kvm_entry: vcpu 0 CPU 0/KVM-7289 [023] d.... 2925.640983: <hack>: Set DRs, DR6 = 0xffff0ff0 L2 detects failure CPU 0/KVM-7289 [023] d.... 2925.640987: kvm_exit: vcpu 0 reason HLT L1 reads DR6 (confirms failure) CPU 0/KVM-7289 [023] d.... 2925.640990: <hack>: Sync DRs, DR6 = 0xffff0ff0 L0's view: ========== L2 reads DR6, arch.dr6 = 0 CPU 23/KVM-5046 [001] d.... 3410.005610: kvm_exit: vcpu 23 reason DR_ACCESS info1 0x0000000000000216 CPU 23/KVM-5046 [001] ..... 3410.005610: kvm_nested_vmexit: vcpu 23 reason DR_ACCESS info1 0x0000000000000216 L2 => L1 nested VM-Exit CPU 23/KVM-5046 [001] ..... 3410.005610: kvm_nested_vmexit_inject: reason: DR_ACCESS ext_inf1: 0x0000000000000216 CPU 23/KVM-5046 [001] d.... 3410.005610: kvm_entry: vcpu 23 CPU 23/KVM-5046 [001] d.... 3410.005611: kvm_exit: vcpu 23 reason VMREAD CPU 23/KVM-5046 [001] d.... 3410.005611: kvm_entry: vcpu 23 CPU 23/KVM-5046 [001] d.... 3410. ---truncated--- Уязвимость компонента KVM ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:H', score=7.3) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cpufreq/amd-pstate: Fix cpufreq_policy ref counting amd_pstate_update_limits() takes a cpufreq_policy reference but doesn't decrement the refcount in one of the exit paths, fix that. Уязвимость функции amd_pstate_init_prefcore() компонента amd-pstate.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: amdkfd: properly free gang_ctx_bo when failed to init user queue The destructor of a gtt bo is declared as void amdgpu_amdkfd_free_gtt_mem(struct amdgpu_device *adev, void **mem_obj); Which takes void** as the second parameter. GCC allows passing void* to the function because void* can be implicitly casted to any other types, so it can pass compiling. However, passing this void* parameter into the function's execution process(which expects void** and dereferencing void**) will result in errors. Уязвимость функции init_user_queue() компонента kfd_process_queue_manager.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: Add check for next_buffer in receive_encrypted_standard() Add check for the return value of cifs_buf_get() and cifs_small_buf_get() in receive_encrypted_standard() to prevent null pointer dereference. Уязвимость компонента smb ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mtd: spi-nor: sst: Fix SST write failure 'commit 18bcb4aa54ea ("mtd: spi-nor: sst: Factor out common write operation to `sst_nor_write_data()`")' introduced a bug where only one byte of data is written, regardless of the number of bytes passed to sst_nor_write_data(), causing a kernel crash during the write operation. Ensure the correct number of bytes are written as passed to sst_nor_write_data(). Call trace: [ 57.400180] ------------[ cut here ]------------ [ 57.404842] While writing 2 byte written 1 bytes [ 57.409493] WARNING: CPU: 0 PID: 737 at drivers/mtd/spi-nor/sst.c:187 sst_nor_write_data+0x6c/0x74 [ 57.418464] Modules linked in: [ 57.421517] CPU: 0 UID: 0 PID: 737 Comm: mtd_debug Not tainted 6.12.0-g5ad04afd91f9 #30 [ 57.429517] Hardware name: Xilinx Versal A2197 Processor board revA - x-prc-02 revA (DT) [ 57.437600] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 57.444557] pc : sst_nor_write_data+0x6c/0x74 [ 57.448911] lr : sst_nor_write_data+0x6c/0x74 [ 57.453264] sp : ffff80008232bb40 [ 57.456570] x29: ffff80008232bb40 x28: 0000000000010000 x27: 0000000000000001 [ 57.463708] x26: 000000000000ffff x25: 0000000000000000 x24: 0000000000000000 [ 57.470843] x23: 0000000000010000 x22: ffff80008232bbf0 x21: ffff000816230000 [ 57.477978] x20: ffff0008056c0080 x19: 0000000000000002 x18: 0000000000000006 [ 57.485112] x17: 0000000000000000 x16: 0000000000000000 x15: ffff80008232b580 [ 57.492246] x14: 0000000000000000 x13: ffff8000816d1530 x12: 00000000000004a4 [ 57.499380] x11: 000000000000018c x10: ffff8000816fd530 x9 : ffff8000816d1530 [ 57.506515] x8 : 00000000fffff7ff x7 : ffff8000816fd530 x6 : 0000000000000001 [ 57.513649] x5 : 0000000000000000 x4 : 0000000000000000 x3 : 0000000000000000 [ 57.520782] x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff0008049b0000 [ 57.527916] Call trace: [ 57.530354] sst_nor_write_data+0x6c/0x74 [ 57.534361] sst_nor_write+0xb4/0x18c [ 57.538019] mtd_write_oob_std+0x7c/0x88 [ 57.541941] mtd_write_oob+0x70/0xbc [ 57.545511] mtd_write+0x68/0xa8 [ 57.548733] mtdchar_write+0x10c/0x290 [ 57.552477] vfs_write+0xb4/0x3a8 [ 57.555791] ksys_write+0x74/0x10c [ 57.559189] __arm64_sys_write+0x1c/0x28 [ 57.563109] invoke_syscall+0x54/0x11c [ 57.566856] el0_svc_common.constprop.0+0xc0/0xe0 [ 57.571557] do_el0_svc+0x1c/0x28 [ 57.574868] el0_svc+0x30/0xcc [ 57.577921] el0t_64_sync_handler+0x120/0x12c [ 57.582276] el0t_64_sync+0x190/0x194 [ 57.585933] ---[ end trace 0000000000000000 ]--- [pratyush@kernel.org: add Cc stable tag] Уязвимость функции sst_nor_write_data() компонента drivers/mtd/spi-nor/sst.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: acct: perform last write from workqueue In [1] it was reported that the acct(2) system call can be used to trigger NULL deref in cases where it is set to write to a file that triggers an internal lookup. This can e.g., happen when pointing acc(2) to /sys/power/resume. At the point the where the write to this file happens the calling task has already exited and called exit_fs(). A lookup will thus trigger a NULL-deref when accessing current->fs. Reorganize the code so that the the final write happens from the workqueue but with the caller's credentials. This preserves the (strange) permission model and has almost no regression risk. This api should stop to exist though. Уязвимость компонента acct ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: SOF: stream-ipc: Check for cstream nullity in sof_ipc_msg_data() The nullity of sps->cstream should be checked similarly as it is done in sof_set_stream_data_offset() function. Assuming that it is not NULL if sps->stream is NULL is incorrect and can lead to NULL pointer dereference. Уязвимость функции sof_ipc_msg_data() компонента sound/soc/sof/stream-ipc.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfp: bpf: Add check for nfp_app_ctrl_msg_alloc() Add check for the return value of nfp_app_ctrl_msg_alloc() in nfp_bpf_cmsg_alloc() to prevent null pointer dereference. Уязвимость компонента bpf ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/i915/gt: Use spin_lock_irqsave() in interruptible context spin_lock/unlock() functions used in interrupt contexts could result in a deadlock, as seen in GitLab issue #13399, which occurs when interrupt comes in while holding a lock. Try to remedy the problem by saving irq state before spin lock acquisition. v2: add irqs' state save/restore calls to all locks/unlocks in signal_irq_work() execution (Maciej) v3: use with spin_lock_irqsave() in guc_lrc_desc_unpin() instead of other lock/unlock calls and add Fixes and Cc tags (Tvrtko); change title and commit message (cherry picked from commit c088387ddd6482b40f21ccf23db1125e8fa4af7e) Уязвимость компонента drivers/gpu/drm/i915/gt/uc/intel_guc_submission.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix softlockup in arena_map_free on 64k page kernel On an aarch64 kernel with CONFIG_PAGE_SIZE_64KB=y, arena_htab tests cause a segmentation fault and soft lockup. The same failure is not observed with 4k pages on aarch64. It turns out arena_map_free() is calling apply_to_existing_page_range() with the address returned by bpf_arena_get_kern_vm_start(). If this address is not page-aligned the code ends up calling apply_to_pte_range() with that unaligned address causing soft lockup. Fix it by round up GUARD_SZ to PAGE_SIZE << 1 so that the division by 2 in bpf_arena_get_kern_vm_start() returns a page-aligned value. Уязвимость компонента kernel/bpf ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: Add rx_skb of kfree_skb to raw_tp_null_args[]. Yan Zhai reported a BPF prog could trigger a null-ptr-deref [0] in trace_kfree_skb if the prog does not check if rx_sk is NULL. Commit c53795d48ee8 ("net: add rx_sk to trace_kfree_skb") added rx_sk to trace_kfree_skb, but rx_sk is optional and could be NULL. Let's add kfree_skb to raw_tp_null_args[] to let the BPF verifier validate such a prog and prevent the issue. Now we fail to load such a prog: libbpf: prog 'drop': -- BEGIN PROG LOAD LOG -- 0: R1=ctx() R10=fp0 ; int BPF_PROG(drop, struct sk_buff *skb, void *location, @ kfree_skb_sk_null.bpf.c:21 0: (79) r3 = *(u64 *)(r1 +24) func 'kfree_skb' arg3 has btf_id 5253 type STRUCT 'sock' 1: R1=ctx() R3_w=trusted_ptr_or_null_sock(id=1) ; bpf_printk("sk: %d, %d\n", sk, sk->__sk_common.skc_family); @ kfree_skb_sk_null.bpf.c:24 1: (69) r4 = *(u16 *)(r3 +16) R3 invalid mem access 'trusted_ptr_or_null_' processed 2 insns (limit 1000000) max_states_per_insn 0 total_states 0 peak_states 0 mark_read 0 -- END PROG LOAD LOG -- Note this fix requires commit 838a10bd2ebf ("bpf: Augment raw_tp arguments with PTR_MAYBE_NULL"). [0]: BUG: kernel NULL pointer dereference, address: 0000000000000010 PF: supervisor read access in kernel mode PF: error_code(0x0000) - not-present page PGD 0 P4D 0 PREEMPT SMP RIP: 0010:bpf_prog_5e21a6db8fcff1aa_drop+0x10/0x2d Call Trace: <TASK> ? __die+0x1f/0x60 ? page_fault_oops+0x148/0x420 ? search_bpf_extables+0x5b/0x70 ? fixup_exception+0x27/0x2c0 ? exc_page_fault+0x75/0x170 ? asm_exc_page_fault+0x22/0x30 ? bpf_prog_5e21a6db8fcff1aa_drop+0x10/0x2d bpf_trace_run4+0x68/0xd0 ? unix_stream_connect+0x1f4/0x6f0 sk_skb_reason_drop+0x90/0x120 unix_stream_connect+0x1f4/0x6f0 __sys_connect+0x7f/0xb0 __x64_sys_connect+0x14/0x20 do_syscall_64+0x47/0xc30 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: avoid holding freeze_mutex during mmap operation We use map->freeze_mutex to prevent races between map_freeze() and memory mapping BPF map contents with writable permissions. The way we naively do this means we'll hold freeze_mutex for entire duration of all the mm and VMA manipulations, which is completely unnecessary. This can potentially also lead to deadlocks, as reported by syzbot in [0]. So, instead, hold freeze_mutex only during writeability checks, bump (proactively) "write active" count for the map, unlock the mutex and proceed with mmap logic. And only if something went wrong during mmap logic, then undo that "write active" counter increment. [0] https://lore.kernel.org/bpf/678dcbc9.050a0220.303755.0066.GAE@google.com/ Уязвимость компонента syscall.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sockmap, vsock: For connectible sockets allow only connected sockmap expects all vsocks to have a transport assigned, which is expressed in vsock_proto::psock_update_sk_prot(). However, there is an edge case where an unconnected (connectible) socket may lose its previously assigned transport. This is handled with a NULL check in the vsock/BPF recv path. Another design detail is that listening vsocks are not supposed to have any transport assigned at all. Which implies they are not supported by the sockmap. But this is complicated by the fact that a socket, before switching to TCP_LISTEN, may have had some transport assigned during a failed connect() attempt. Hence, we may end up with a listening vsock in a sockmap, which blows up quickly: KASAN: null-ptr-deref in range [0x0000000000000120-0x0000000000000127] CPU: 7 UID: 0 PID: 56 Comm: kworker/7:0 Not tainted 6.14.0-rc1+ Workqueue: vsock-loopback vsock_loopback_work RIP: 0010:vsock_read_skb+0x4b/0x90 Call Trace: sk_psock_verdict_data_ready+0xa4/0x2e0 virtio_transport_recv_pkt+0x1ca8/0x2acc vsock_loopback_work+0x27d/0x3f0 process_one_work+0x846/0x1420 worker_thread+0x5b3/0xf80 kthread+0x35a/0x700 ret_from_fork+0x2d/0x70 ret_from_fork_asm+0x1a/0x30 For connectible sockets, instead of relying solely on the state of vsk->transport, tell sockmap to only allow those representing established connections. This aligns with the behaviour for AF_INET and AF_UNIX. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ibmvnic: Don't reference skb after sending to VIOS Previously, after successfully flushing the xmit buffer to VIOS, the tx_bytes stat was incremented by the length of the skb. It is invalid to access the skb memory after sending the buffer to the VIOS because, at any point after sending, the VIOS can trigger an interrupt to free this memory. A race between reading skb->len and freeing the skb is possible (especially during LPM) and will result in use-after-free: ================================================================== BUG: KASAN: slab-use-after-free in ibmvnic_xmit+0x75c/0x1808 [ibmvnic] Read of size 4 at addr c00000024eb48a70 by task hxecom/14495 <...> Call Trace: [c000000118f66cf0] [c0000000018cba6c] dump_stack_lvl+0x84/0xe8 (unreliable) [c000000118f66d20] [c0000000006f0080] print_report+0x1a8/0x7f0 [c000000118f66df0] [c0000000006f08f0] kasan_report+0x128/0x1f8 [c000000118f66f00] [c0000000006f2868] __asan_load4+0xac/0xe0 [c000000118f66f20] [c0080000046eac84] ibmvnic_xmit+0x75c/0x1808 [ibmvnic] [c000000118f67340] [c0000000014be168] dev_hard_start_xmit+0x150/0x358 <...> Freed by task 0: kasan_save_stack+0x34/0x68 kasan_save_track+0x2c/0x50 kasan_save_free_info+0x64/0x108 __kasan_mempool_poison_object+0x148/0x2d4 napi_skb_cache_put+0x5c/0x194 net_tx_action+0x154/0x5b8 handle_softirqs+0x20c/0x60c do_softirq_own_stack+0x6c/0x88 <...> The buggy address belongs to the object at c00000024eb48a00 which belongs to the cache skbuff_head_cache of size 224 ================================================================== Уязвимость компонента drivers/net/ethernet/ibm/ibmvnic.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=8.6) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: s390/ism: add release function for struct device According to device_release() in /drivers/base/core.c, a device without a release function is a broken device and must be fixed. The current code directly frees the device after calling device_add() without waiting for other kernel parts to release their references. Thus, a reference could still be held to a struct device, e.g., by sysfs, leading to potential use-after-free issues if a proper release function is not set. Уязвимость компонента drivers/s390 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: cls_api: fix error handling causing NULL dereference tcf_exts_miss_cookie_base_alloc() calls xa_alloc_cyclic() which can return 1 if the allocation succeeded after wrapping. This was treated as an error, with value 1 returned to caller tcf_exts_init_ex() which sets exts->actions to NULL and returns 1 to caller fl_change(). fl_change() treats err == 1 as success, calling tcf_exts_validate_ex() which calls tcf_action_init() with exts->actions as argument, where it is dereferenced. Example trace: BUG: kernel NULL pointer dereference, address: 0000000000000000 CPU: 114 PID: 16151 Comm: handler114 Kdump: loaded Not tainted 5.14.0-503.16.1.el9_5.x86_64 #1 RIP: 0010:tcf_action_init+0x1f8/0x2c0 Call Trace: tcf_action_init+0x1f8/0x2c0 tcf_exts_validate_ex+0x175/0x190 fl_change+0x537/0x1120 [cls_flower] Уязвимость компонента net/sched/cls_api.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: geneve: Fix use-after-free in geneve_find_dev(). syzkaller reported a use-after-free in geneve_find_dev() [0] without repro. geneve_configure() links struct geneve_dev.next to net_generic(net, geneve_net_id)->geneve_list. The net here could differ from dev_net(dev) if IFLA_NET_NS_PID, IFLA_NET_NS_FD, or IFLA_TARGET_NETNSID is set. When dev_net(dev) is dismantled, geneve_exit_batch_rtnl() finally calls unregister_netdevice_queue() for each dev in the netns, and later the dev is freed. However, its geneve_dev.next is still linked to the backend UDP socket netns. Then, use-after-free will occur when another geneve dev is created in the netns. Let's call geneve_dellink() instead in geneve_destroy_tunnels(). [0]: BUG: KASAN: slab-use-after-free in geneve_find_dev drivers/net/geneve.c:1295 [inline] BUG: KASAN: slab-use-after-free in geneve_configure+0x234/0x858 drivers/net/geneve.c:1343 Read of size 2 at addr ffff000054d6ee24 by task syz.1.4029/13441 CPU: 1 UID: 0 PID: 13441 Comm: syz.1.4029 Not tainted 6.13.0-g0ad9617c78ac #24 dc35ca22c79fb82e8e7bc5c9c9adafea898b1e3d Hardware name: linux,dummy-virt (DT) Call trace: show_stack+0x38/0x50 arch/arm64/kernel/stacktrace.c:466 (C) __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0xbc/0x108 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x16c/0x6f0 mm/kasan/report.c:489 kasan_report+0xc0/0x120 mm/kasan/report.c:602 __asan_report_load2_noabort+0x20/0x30 mm/kasan/report_generic.c:379 geneve_find_dev drivers/net/geneve.c:1295 [inline] geneve_configure+0x234/0x858 drivers/net/geneve.c:1343 geneve_newlink+0xb8/0x128 drivers/net/geneve.c:1634 rtnl_newlink_create+0x23c/0x868 net/core/rtnetlink.c:3795 __rtnl_newlink net/core/rtnetlink.c:3906 [inline] rtnl_newlink+0x1054/0x1630 net/core/rtnetlink.c:4021 rtnetlink_rcv_msg+0x61c/0x918 net/core/rtnetlink.c:6911 netlink_rcv_skb+0x1dc/0x398 net/netlink/af_netlink.c:2543 rtnetlink_rcv+0x34/0x50 net/core/rtnetlink.c:6938 netlink_unicast_kernel net/netlink/af_netlink.c:1322 [inline] netlink_unicast+0x618/0x838 net/netlink/af_netlink.c:1348 netlink_sendmsg+0x5fc/0x8b0 net/netlink/af_netlink.c:1892 sock_sendmsg_nosec net/socket.c:713 [inline] __sock_sendmsg net/socket.c:728 [inline] ____sys_sendmsg+0x410/0x6f8 net/socket.c:2568 ___sys_sendmsg+0x178/0x1d8 net/socket.c:2622 __sys_sendmsg net/socket.c:2654 [inline] __do_sys_sendmsg net/socket.c:2659 [inline] __se_sys_sendmsg net/socket.c:2657 [inline] __arm64_sys_sendmsg+0x12c/0x1c8 net/socket.c:2657 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x90/0x278 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x13c/0x250 arch/arm64/kernel/syscall.c:132 do_el0_svc+0x54/0x70 arch/arm64/kernel/syscall.c:151 el0_svc+0x4c/0xa8 arch/arm64/kernel/entry-common.c:744 el0t_64_sync_handler+0x78/0x108 arch/arm64/kernel/entry-common.c:762 el0t_64_sync+0x198/0x1a0 arch/arm64/kernel/entry.S:600 Allocated by task 13247: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x30/0x68 mm/kasan/common.c:68 kasan_save_alloc_info+0x44/0x58 mm/kasan/generic.c:568 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0x84/0xa0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4298 [inline] __kmalloc_node_noprof+0x2a0/0x560 mm/slub.c:4304 __kvmalloc_node_noprof+0x9c/0x230 mm/util.c:645 alloc_netdev_mqs+0xb8/0x11a0 net/core/dev.c:11470 rtnl_create_link+0x2b8/0xb50 net/core/rtnetlink.c:3604 rtnl_newlink_create+0x19c/0x868 net/core/rtnetlink.c:3780 __rtnl_newlink net/core/rtnetlink.c:3906 [inline] rtnl_newlink+0x1054/0x1630 net/core/rtnetlink.c:4021 rtnetlink_rcv_msg+0x61c/0x918 net/core/rtnetlink.c:6911 netlink_rcv_skb+0x1dc/0x398 net/netlink/af_netlink.c:2543 rtnetlink_rcv+0x34/0x50 net/core/rtnetlink.c:6938 netlink_unicast_kernel net/netlink/af_n ---truncated--- Уязвимость функции geneve_find_dev() компонента drivers/net/geneve.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: USB: gadget: f_midi: f_midi_complete to call queue_work When using USB MIDI, a lock is attempted to be acquired twice through a re-entrant call to f_midi_transmit, causing a deadlock. Fix it by using queue_work() to schedule the inner f_midi_transmit() via a high priority work queue from the completion handler. Уязвимость компонента f_midi ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/migrate_device: don't add folio to be freed to LRU in migrate_device_finalize() If migration succeeded, we called folio_migrate_flags()->mem_cgroup_migrate() to migrate the memcg from the old to the new folio. This will set memcg_data of the old folio to 0. Similarly, if migration failed, memcg_data of the dst folio is left unset. If we call folio_putback_lru() on such folios (memcg_data == 0), we will add the folio to be freed to the LRU, making memcg code unhappy. Running the hmm selftests: # ./hmm-tests ... # RUN hmm.hmm_device_private.migrate ... [ 102.078007][T14893] page: refcount:1 mapcount:0 mapping:0000000000000000 index:0x7ff27d200 pfn:0x13cc00 [ 102.079974][T14893] anon flags: 0x17ff00000020018(uptodate|dirty|swapbacked|node=0|zone=2|lastcpupid=0x7ff) [ 102.082037][T14893] raw: 017ff00000020018 dead000000000100 dead000000000122 ffff8881353896c9 [ 102.083687][T14893] raw: 00000007ff27d200 0000000000000000 00000001ffffffff 0000000000000000 [ 102.085331][T14893] page dumped because: VM_WARN_ON_ONCE_FOLIO(!memcg && !mem_cgroup_disabled()) [ 102.087230][T14893] ------------[ cut here ]------------ [ 102.088279][T14893] WARNING: CPU: 0 PID: 14893 at ./include/linux/memcontrol.h:726 folio_lruvec_lock_irqsave+0x10e/0x170 [ 102.090478][T14893] Modules linked in: [ 102.091244][T14893] CPU: 0 UID: 0 PID: 14893 Comm: hmm-tests Not tainted 6.13.0-09623-g6c216bc522fd #151 [ 102.093089][T14893] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-2.fc40 04/01/2014 [ 102.094848][T14893] RIP: 0010:folio_lruvec_lock_irqsave+0x10e/0x170 [ 102.096104][T14893] Code: ... [ 102.099908][T14893] RSP: 0018:ffffc900236c37b0 EFLAGS: 00010293 [ 102.101152][T14893] RAX: 0000000000000000 RBX: ffffea0004f30000 RCX: ffffffff8183f426 [ 102.102684][T14893] RDX: ffff8881063cb880 RSI: ffffffff81b8117f RDI: ffff8881063cb880 [ 102.104227][T14893] RBP: 0000000000000000 R08: 0000000000000005 R09: 0000000000000000 [ 102.105757][T14893] R10: 0000000000000001 R11: 0000000000000002 R12: ffffc900236c37d8 [ 102.107296][T14893] R13: ffff888277a2bcb0 R14: 000000000000001f R15: 0000000000000000 [ 102.108830][T14893] FS: 00007ff27dbdd740(0000) GS:ffff888277a00000(0000) knlGS:0000000000000000 [ 102.110643][T14893] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 102.111924][T14893] CR2: 00007ff27d400000 CR3: 000000010866e000 CR4: 0000000000750ef0 [ 102.113478][T14893] PKRU: 55555554 [ 102.114172][T14893] Call Trace: [ 102.114805][T14893] <TASK> [ 102.115397][T14893] ? folio_lruvec_lock_irqsave+0x10e/0x170 [ 102.116547][T14893] ? __warn.cold+0x110/0x210 [ 102.117461][T14893] ? folio_lruvec_lock_irqsave+0x10e/0x170 [ 102.118667][T14893] ? report_bug+0x1b9/0x320 [ 102.119571][T14893] ? handle_bug+0x54/0x90 [ 102.120494][T14893] ? exc_invalid_op+0x17/0x50 [ 102.121433][T14893] ? asm_exc_invalid_op+0x1a/0x20 [ 102.122435][T14893] ? __wake_up_klogd.part.0+0x76/0xd0 [ 102.123506][T14893] ? dump_page+0x4f/0x60 [ 102.124352][T14893] ? folio_lruvec_lock_irqsave+0x10e/0x170 [ 102.125500][T14893] folio_batch_move_lru+0xd4/0x200 [ 102.126577][T14893] ? __pfx_lru_add+0x10/0x10 [ 102.127505][T14893] __folio_batch_add_and_move+0x391/0x720 [ 102.128633][T14893] ? __pfx_lru_add+0x10/0x10 [ 102.129550][T14893] folio_putback_lru+0x16/0x80 [ 102.130564][T14893] migrate_device_finalize+0x9b/0x530 [ 102.131640][T14893] dmirror_migrate_to_device.constprop.0+0x7c5/0xad0 [ 102.133047][T14893] dmirror_fops_unlocked_ioctl+0x89b/0xc80 Likely, nothing else goes wrong: putting the last folio reference will remove the folio from the LRU again. So besides memcg complaining, adding the folio to be freed to the LRU is just an unnecessary step. The new flow resembles what we have in migrate_folio_move(): add the dst to the lru, rem ---truncated--- Уязвимость функции migrate_device_finalize() модуля mm/migrate_device.c подсистемы управления памятью ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drop_monitor: fix incorrect initialization order Syzkaller reports the following bug: BUG: spinlock bad magic on CPU#1, syz-executor.0/7995 lock: 0xffff88805303f3e0, .magic: 00000000, .owner: <none>/-1, .owner_cpu: 0 CPU: 1 PID: 7995 Comm: syz-executor.0 Tainted: G E 5.10.209+ #1 Hardware name: VMware, Inc. VMware Virtual Platform/440BX Desktop Reference Platform, BIOS 6.00 11/12/2020 Call Trace: __dump_stack lib/dump_stack.c:77 [inline] dump_stack+0x119/0x179 lib/dump_stack.c:118 debug_spin_lock_before kernel/locking/spinlock_debug.c:83 [inline] do_raw_spin_lock+0x1f6/0x270 kernel/locking/spinlock_debug.c:112 __raw_spin_lock_irqsave include/linux/spinlock_api_smp.h:117 [inline] _raw_spin_lock_irqsave+0x50/0x70 kernel/locking/spinlock.c:159 reset_per_cpu_data+0xe6/0x240 [drop_monitor] net_dm_cmd_trace+0x43d/0x17a0 [drop_monitor] genl_family_rcv_msg_doit+0x22f/0x330 net/netlink/genetlink.c:739 genl_family_rcv_msg net/netlink/genetlink.c:783 [inline] genl_rcv_msg+0x341/0x5a0 net/netlink/genetlink.c:800 netlink_rcv_skb+0x14d/0x440 net/netlink/af_netlink.c:2497 genl_rcv+0x29/0x40 net/netlink/genetlink.c:811 netlink_unicast_kernel net/netlink/af_netlink.c:1322 [inline] netlink_unicast+0x54b/0x800 net/netlink/af_netlink.c:1348 netlink_sendmsg+0x914/0xe00 net/netlink/af_netlink.c:1916 sock_sendmsg_nosec net/socket.c:651 [inline] __sock_sendmsg+0x157/0x190 net/socket.c:663 ____sys_sendmsg+0x712/0x870 net/socket.c:2378 ___sys_sendmsg+0xf8/0x170 net/socket.c:2432 __sys_sendmsg+0xea/0x1b0 net/socket.c:2461 do_syscall_64+0x30/0x40 arch/x86/entry/common.c:46 entry_SYSCALL_64_after_hwframe+0x62/0xc7 RIP: 0033:0x7f3f9815aee9 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b0 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f3f972bf0c8 EFLAGS: 00000246 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 00007f3f9826d050 RCX: 00007f3f9815aee9 RDX: 0000000020000000 RSI: 0000000020001300 RDI: 0000000000000007 RBP: 00007f3f981b63bd R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 000000000000006e R14: 00007f3f9826d050 R15: 00007ffe01ee6768 If drop_monitor is built as a kernel module, syzkaller may have time to send a netlink NET_DM_CMD_START message during the module loading. This will call the net_dm_monitor_start() function that uses a spinlock that has not yet been initialized. To fix this, let's place resource initialization above the registration of a generic netlink family. Found by InfoTeCS on behalf of Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость функции net_dm_monitor_start() ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring: prevent opcode speculation sqe->opcode is used for different tables, make sure we santitise it against speculations. Уязвимость компонента io_uring ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tcp: drop secpath at the same time as we currently drop dst Xiumei reported hitting the WARN in xfrm6_tunnel_net_exit while running tests that boil down to: - create a pair of netns - run a basic TCP test over ipcomp6 - delete the pair of netns The xfrm_state found on spi_byaddr was not deleted at the time we delete the netns, because we still have a reference on it. This lingering reference comes from a secpath (which holds a ref on the xfrm_state), which is still attached to an skb. This skb is not leaked, it ends up on sk_receive_queue and then gets defer-free'd by skb_attempt_defer_free. The problem happens when we defer freeing an skb (push it on one CPU's defer_list), and don't flush that list before the netns is deleted. In that case, we still have a reference on the xfrm_state that we don't expect at this point. We already drop the skb's dst in the TCP receive path when it's no longer needed, so let's also drop the secpath. At this point, tcp_filter has already called into the LSM hooks that may require the secpath, so it should not be needed anymore. However, in some of those places, the MPTCP extension has just been attached to the skb, so we cannot simply drop all extensions. Уязвимость компонента tcp ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gtp: Suppress list corruption splat in gtp_net_exit_batch_rtnl(). Brad Spengler reported the list_del() corruption splat in gtp_net_exit_batch_rtnl(). [0] Commit eb28fd76c0a0 ("gtp: Destroy device along with udp socket's netns dismantle.") added the for_each_netdev() loop in gtp_net_exit_batch_rtnl() to destroy devices in each netns as done in geneve and ip tunnels. However, this could trigger ->dellink() twice for the same device during ->exit_batch_rtnl(). Say we have two netns A & B and gtp device B that resides in netns B but whose UDP socket is in netns A. 1. cleanup_net() processes netns A and then B. 2. gtp_net_exit_batch_rtnl() finds the device B while iterating netns A's gn->gtp_dev_list and calls ->dellink(). [ device B is not yet unlinked from netns B as unregister_netdevice_many() has not been called. ] 3. gtp_net_exit_batch_rtnl() finds the device B while iterating netns B's for_each_netdev() and calls ->dellink(). gtp_dellink() cleans up the device's hash table, unlinks the dev from gn->gtp_dev_list, and calls unregister_netdevice_queue(). Basically, calling gtp_dellink() multiple times is fine unless CONFIG_DEBUG_LIST is enabled. Let's remove for_each_netdev() in gtp_net_exit_batch_rtnl() and delegate the destruction to default_device_exit_batch() as done in bareudp. [0]: list_del corruption, ffff8880aaa62c00->next (autoslab_size_M_dev_P_net_core_dev_11127_8_1328_8_S_4096_A_64_n_139+0xc00/0x1000 [slab object]) is LIST_POISON1 (ffffffffffffff02) (prev is 0xffffffffffffff04) kernel BUG at lib/list_debug.c:58! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN CPU: 1 UID: 0 PID: 1804 Comm: kworker/u8:7 Tainted: G T 6.12.13-grsec-full-20250211091339 #1 Tainted: [T]=RANDSTRUCT Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 Workqueue: netns cleanup_net RIP: 0010:[<ffffffff84947381>] __list_del_entry_valid_or_report+0x141/0x200 lib/list_debug.c:58 Code: c2 76 91 31 c0 e8 9f b1 f7 fc 0f 0b 4d 89 f0 48 c7 c1 02 ff ff ff 48 89 ea 48 89 ee 48 c7 c7 e0 c2 76 91 31 c0 e8 7f b1 f7 fc <0f> 0b 4d 89 e8 48 c7 c1 04 ff ff ff 48 89 ea 48 89 ee 48 c7 c7 60 RSP: 0018:fffffe8040b4fbd0 EFLAGS: 00010283 RAX: 00000000000000cc RBX: dffffc0000000000 RCX: ffffffff818c4054 RDX: ffffffff84947381 RSI: ffffffff818d1512 RDI: 0000000000000000 RBP: ffff8880aaa62c00 R08: 0000000000000001 R09: fffffbd008169f32 R10: fffffe8040b4f997 R11: 0000000000000001 R12: a1988d84f24943e4 R13: ffffffffffffff02 R14: ffffffffffffff04 R15: ffff8880aaa62c08 RBX: kasan shadow of 0x0 RCX: __wake_up_klogd.part.0+0x74/0xe0 kernel/printk/printk.c:4554 RDX: __list_del_entry_valid_or_report+0x141/0x200 lib/list_debug.c:58 RSI: vprintk+0x72/0x100 kernel/printk/printk_safe.c:71 RBP: autoslab_size_M_dev_P_net_core_dev_11127_8_1328_8_S_4096_A_64_n_139+0xc00/0x1000 [slab object] RSP: process kstack fffffe8040b4fbd0+0x7bd0/0x8000 [kworker/u8:7+netns 1804 ] R09: kasan shadow of process kstack fffffe8040b4f990+0x7990/0x8000 [kworker/u8:7+netns 1804 ] R10: process kstack fffffe8040b4f997+0x7997/0x8000 [kworker/u8:7+netns 1804 ] R15: autoslab_size_M_dev_P_net_core_dev_11127_8_1328_8_S_4096_A_64_n_139+0xc08/0x1000 [slab object] FS: 0000000000000000(0000) GS:ffff888116000000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000748f5372c000 CR3: 0000000015408000 CR4: 00000000003406f0 shadow CR4: 00000000003406f0 Stack: 0000000000000000 ffffffff8a0c35e7 ffffffff8a0c3603 ffff8880aaa62c00 ffff8880aaa62c00 0000000000000004 ffff88811145311c 0000000000000005 0000000000000001 ffff8880aaa62000 fffffe8040b4fd40 ffffffff8a0c360d Call Trace: <TASK> [<ffffffff8a0c360d>] __list_del_entry_valid include/linux/list.h:131 [inline] fffffe8040b4fc28 [<ffffffff8a0c360d>] __list_del_entry include/linux/list.h:248 [inline] fffffe8040b4fc28 [<ffffffff8a0c360d>] list_del include/linux/list.h:262 [inl ---truncated--- Уязвимость компонента gtp ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: powerpc/code-patching: Fix KASAN hit by not flagging text patching area as VM_ALLOC Erhard reported the following KASAN hit while booting his PowerMac G4 with a KASAN-enabled kernel 6.13-rc6: BUG: KASAN: vmalloc-out-of-bounds in copy_to_kernel_nofault+0xd8/0x1c8 Write of size 8 at addr f1000000 by task chronyd/1293 CPU: 0 UID: 123 PID: 1293 Comm: chronyd Tainted: G W 6.13.0-rc6-PMacG4 #2 Tainted: [W]=WARN Hardware name: PowerMac3,6 7455 0x80010303 PowerMac Call Trace: [c2437590] [c1631a84] dump_stack_lvl+0x70/0x8c (unreliable) [c24375b0] [c0504998] print_report+0xdc/0x504 [c2437610] [c050475c] kasan_report+0xf8/0x108 [c2437690] [c0505a3c] kasan_check_range+0x24/0x18c [c24376a0] [c03fb5e4] copy_to_kernel_nofault+0xd8/0x1c8 [c24376c0] [c004c014] patch_instructions+0x15c/0x16c [c2437710] [c00731a8] bpf_arch_text_copy+0x60/0x7c [c2437730] [c0281168] bpf_jit_binary_pack_finalize+0x50/0xac [c2437750] [c0073cf4] bpf_int_jit_compile+0xb30/0xdec [c2437880] [c0280394] bpf_prog_select_runtime+0x15c/0x478 [c24378d0] [c1263428] bpf_prepare_filter+0xbf8/0xc14 [c2437990] [c12677ec] bpf_prog_create_from_user+0x258/0x2b4 [c24379d0] [c027111c] do_seccomp+0x3dc/0x1890 [c2437ac0] [c001d8e0] system_call_exception+0x2dc/0x420 [c2437f30] [c00281ac] ret_from_syscall+0x0/0x2c --- interrupt: c00 at 0x5a1274 NIP: 005a1274 LR: 006a3b3c CTR: 005296c8 REGS: c2437f40 TRAP: 0c00 Tainted: G W (6.13.0-rc6-PMacG4) MSR: 0200f932 <VEC,EE,PR,FP,ME,IR,DR,RI> CR: 24004422 XER: 00000000 GPR00: 00000166 af8f3fa0 a7ee3540 00000001 00000000 013b6500 005a5858 0200f932 GPR08: 00000000 00001fe9 013d5fc8 005296c8 2822244c 00b2fcd8 00000000 af8f4b57 GPR16: 00000000 00000001 00000000 00000000 00000000 00000001 00000000 00000002 GPR24: 00afdbb0 00000000 00000000 00000000 006e0004 013ce060 006e7c1c 00000001 NIP [005a1274] 0x5a1274 LR [006a3b3c] 0x6a3b3c --- interrupt: c00 The buggy address belongs to the virtual mapping at [f1000000, f1002000) created by: text_area_cpu_up+0x20/0x190 The buggy address belongs to the physical page: page: refcount:1 mapcount:0 mapping:00000000 index:0x0 pfn:0x76e30 flags: 0x80000000(zone=2) raw: 80000000 00000000 00000122 00000000 00000000 00000000 ffffffff 00000001 raw: 00000000 page dumped because: kasan: bad access detected Memory state around the buggy address: f0ffff00: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 f0ffff80: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 >f1000000: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 ^ f1000080: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f1000100: f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 f8 ================================================================== f8 corresponds to KASAN_VMALLOC_INVALID which means the area is not initialised hence not supposed to be used yet. Powerpc text patching infrastructure allocates a virtual memory area using get_vm_area() and flags it as VM_ALLOC. But that flag is meant to be used for vmalloc() and vmalloc() allocated memory is not supposed to be used before a call to __vmalloc_node_range() which is never called for that area. That went undetected until commit e4137f08816b ("mm, kasan, kmsan: instrument copy_from/to_kernel_nofault") The area allocated by text_area_cpu_up() is not vmalloc memory, it is mapped directly on demand when needed by map_kernel_page(). There is no VM flag corresponding to such usage, so just pass no flag. That way the area will be unpoisonned and usable immediately. Уязвимость компонента powerpc/code-patching ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf, test_run: Fix use-after-free issue in eth_skb_pkt_type() KMSAN reported a use-after-free issue in eth_skb_pkt_type()[1]. The cause of the issue was that eth_skb_pkt_type() accessed skb's data that didn't contain an Ethernet header. This occurs when bpf_prog_test_run_xdp() passes an invalid value as the user_data argument to bpf_test_init(). Fix this by returning an error when user_data is less than ETH_HLEN in bpf_test_init(). Additionally, remove the check for "if (user_size > size)" as it is unnecessary. [1] BUG: KMSAN: use-after-free in eth_skb_pkt_type include/linux/etherdevice.h:627 [inline] BUG: KMSAN: use-after-free in eth_type_trans+0x4ee/0x980 net/ethernet/eth.c:165 eth_skb_pkt_type include/linux/etherdevice.h:627 [inline] eth_type_trans+0x4ee/0x980 net/ethernet/eth.c:165 __xdp_build_skb_from_frame+0x5a8/0xa50 net/core/xdp.c:635 xdp_recv_frames net/bpf/test_run.c:272 [inline] xdp_test_run_batch net/bpf/test_run.c:361 [inline] bpf_test_run_xdp_live+0x2954/0x3330 net/bpf/test_run.c:390 bpf_prog_test_run_xdp+0x148e/0x1b10 net/bpf/test_run.c:1318 bpf_prog_test_run+0x5b7/0xa30 kernel/bpf/syscall.c:4371 __sys_bpf+0x6a6/0xe20 kernel/bpf/syscall.c:5777 __do_sys_bpf kernel/bpf/syscall.c:5866 [inline] __se_sys_bpf kernel/bpf/syscall.c:5864 [inline] __x64_sys_bpf+0xa4/0xf0 kernel/bpf/syscall.c:5864 x64_sys_call+0x2ea0/0x3d90 arch/x86/include/generated/asm/syscalls_64.h:322 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xd9/0x1d0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: free_pages_prepare mm/page_alloc.c:1056 [inline] free_unref_page+0x156/0x1320 mm/page_alloc.c:2657 __free_pages+0xa3/0x1b0 mm/page_alloc.c:4838 bpf_ringbuf_free kernel/bpf/ringbuf.c:226 [inline] ringbuf_map_free+0xff/0x1e0 kernel/bpf/ringbuf.c:235 bpf_map_free kernel/bpf/syscall.c:838 [inline] bpf_map_free_deferred+0x17c/0x310 kernel/bpf/syscall.c:862 process_one_work kernel/workqueue.c:3229 [inline] process_scheduled_works+0xa2b/0x1b60 kernel/workqueue.c:3310 worker_thread+0xedf/0x1550 kernel/workqueue.c:3391 kthread+0x535/0x6b0 kernel/kthread.c:389 ret_from_fork+0x6e/0x90 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 CPU: 1 UID: 0 PID: 17276 Comm: syz.1.16450 Not tainted 6.12.0-05490-g9bb88c659673 #8 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-3.fc41 04/01/2014 Уязвимость компонента net/bpf/test_run.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: allow small head cache usage with large MAX_SKB_FRAGS values Sabrina reported the following splat: WARNING: CPU: 0 PID: 1 at net/core/dev.c:6935 netif_napi_add_weight_locked+0x8f2/0xba0 Modules linked in: CPU: 0 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.14.0-rc1-net-00092-g011b03359038 #996 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS Arch Linux 1.16.3-1-1 04/01/2014 RIP: 0010:netif_napi_add_weight_locked+0x8f2/0xba0 Code: e8 c3 e6 6a fe 48 83 c4 28 5b 5d 41 5c 41 5d 41 5e 41 5f c3 cc cc cc cc c7 44 24 10 ff ff ff ff e9 8f fb ff ff e8 9e e6 6a fe <0f> 0b e9 d3 fe ff ff e8 92 e6 6a fe 48 8b 04 24 be ff ff ff ff 48 RSP: 0000:ffffc9000001fc60 EFLAGS: 00010293 RAX: 0000000000000000 RBX: ffff88806ce48128 RCX: 1ffff11001664b9e RDX: ffff888008f00040 RSI: ffffffff8317ca42 RDI: ffff88800b325cb6 RBP: ffff88800b325c40 R08: 0000000000000001 R09: ffffed100167502c R10: ffff88800b3a8163 R11: 0000000000000000 R12: ffff88800ac1c168 R13: ffff88800ac1c168 R14: ffff88800ac1c168 R15: 0000000000000007 FS: 0000000000000000(0000) GS:ffff88806ce00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffff888008201000 CR3: 0000000004c94001 CR4: 0000000000370ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> gro_cells_init+0x1ba/0x270 xfrm_input_init+0x4b/0x2a0 xfrm_init+0x38/0x50 ip_rt_init+0x2d7/0x350 ip_init+0xf/0x20 inet_init+0x406/0x590 do_one_initcall+0x9d/0x2e0 do_initcalls+0x23b/0x280 kernel_init_freeable+0x445/0x490 kernel_init+0x20/0x1d0 ret_from_fork+0x46/0x80 ret_from_fork_asm+0x1a/0x30 </TASK> irq event stamp: 584330 hardirqs last enabled at (584338): [<ffffffff8168bf87>] __up_console_sem+0x77/0xb0 hardirqs last disabled at (584345): [<ffffffff8168bf6c>] __up_console_sem+0x5c/0xb0 softirqs last enabled at (583242): [<ffffffff833ee96d>] netlink_insert+0x14d/0x470 softirqs last disabled at (583754): [<ffffffff8317c8cd>] netif_napi_add_weight_locked+0x77d/0xba0 on kernel built with MAX_SKB_FRAGS=45, where SKB_WITH_OVERHEAD(1024) is smaller than GRO_MAX_HEAD. Such built additionally contains the revert of the single page frag cache so that napi_get_frags() ends up using the page frag allocator, triggering the splat. Note that the underlying issue is independent from the mentioned revert; address it ensuring that the small head cache will fit either TCP and GRO allocation and updating napi_alloc_skb() and __netdev_alloc_skb() to select kmalloc() usage for any allocation fitting such cache. Уязвимость функций SKB_HEAD_ALIGN(), __netdev_alloc_skb() и napi_alloc_skb() (include/net/gro.h, net/core/gro.c, net/core/skbuff.c) ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: SOF: ipc4-topology: Harden loops for looking up ALH copiers Other, non DAI copier widgets could have the same stream name (sname) as the ALH copier and in that case the copier->data is NULL, no alh_data is attached, which could lead to NULL pointer dereference. We could check for this NULL pointer in sof_ipc4_prepare_copier_module() and avoid the crash, but a similar loop in sof_ipc4_widget_setup_comp_dai() will miscalculate the ALH device count, causing broken audio. The correct fix is to harden the matching logic by making sure that the 1. widget is a DAI widget - so dai = w->private is valid 2. the dai (and thus the copier) is ALH copier [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tee: optee: Fix supplicant wait loop OP-TEE supplicant is a user-space daemon and it's possible for it be hung or crashed or killed in the middle of processing an OP-TEE RPC call. It becomes more complicated when there is incorrect shutdown ordering of the supplicant process vs the OP-TEE client application which can eventually lead to system hang-up waiting for the closure of the client application. Allow the client process waiting in kernel for supplicant response to be killed rather than indefinitely waiting in an unkillable state. Also, a normal uninterruptible wait should not have resulted in the hung-task watchdog getting triggered, but the endless loop would. This fixes issues observed during system reboot/shutdown when supplicant got hung for some reason or gets crashed/killed which lead to client getting hung in an unkillable state. It in turn lead to system being in hung up state requiring hard power off/on to recover. Уязвимость функции optee_supp_thrd_req() (drivers/tee/optee/supp.c) ядра операционной системы Linux связана с некорректной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: efi: Don't map the entire mokvar table to determine its size Currently, when validating the mokvar table, we (re)map the entire table on each iteration of the loop, adding space as we discover new entries. If the table grows over a certain size, this fails due to limitations of early_memmap(), and we get a failure and traceback: ------------[ cut here ]------------ WARNING: CPU: 0 PID: 0 at mm/early_ioremap.c:139 __early_ioremap+0xef/0x220 ... Call Trace: <TASK> ? __early_ioremap+0xef/0x220 ? __warn.cold+0x93/0xfa ? __early_ioremap+0xef/0x220 ? report_bug+0xff/0x140 ? early_fixup_exception+0x5d/0xb0 ? early_idt_handler_common+0x2f/0x3a ? __early_ioremap+0xef/0x220 ? efi_mokvar_table_init+0xce/0x1d0 ? setup_arch+0x864/0xc10 ? start_kernel+0x6b/0xa10 ? x86_64_start_reservations+0x24/0x30 ? x86_64_start_kernel+0xed/0xf0 ? common_startup_64+0x13e/0x141 </TASK> ---[ end trace 0000000000000000 ]--- mokvar: Failed to map EFI MOKvar config table pa=0x7c4c3000, size=265187. Mapping the entire structure isn't actually necessary, as we don't ever need more than one entry header mapped at once. Changes efi_mokvar_table_init() to only map each entry header, not the entire table, when determining the table size. Since we're not mapping any data past the variable name, it also changes the code to enforce that each variable name is NUL terminated, rather than attempting to verify it in place. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: core: bsg: Fix crash when arpmb command fails If the device doesn't support arpmb we'll crash due to copying user data in bsg_transport_sg_io_fn(). In the case where ufs_bsg_exec_advanced_rpmb_req() returns an error, do not set the job's reply_len. Memory crash backtrace: 3,1290,531166405,-;ufshcd 0000:00:12.5: ARPMB OP failed: error code -22 4,1308,531166555,-;Call Trace: 4,1309,531166559,-; <TASK> 4,1310,531166565,-; ? show_regs+0x6d/0x80 4,1311,531166575,-; ? die+0x37/0xa0 4,1312,531166583,-; ? do_trap+0xd4/0xf0 4,1313,531166593,-; ? do_error_trap+0x71/0xb0 4,1314,531166601,-; ? usercopy_abort+0x6c/0x80 4,1315,531166610,-; ? exc_invalid_op+0x52/0x80 4,1316,531166622,-; ? usercopy_abort+0x6c/0x80 4,1317,531166630,-; ? asm_exc_invalid_op+0x1b/0x20 4,1318,531166643,-; ? usercopy_abort+0x6c/0x80 4,1319,531166652,-; __check_heap_object+0xe3/0x120 4,1320,531166661,-; check_heap_object+0x185/0x1d0 4,1321,531166670,-; __check_object_size.part.0+0x72/0x150 4,1322,531166679,-; __check_object_size+0x23/0x30 4,1323,531166688,-; bsg_transport_sg_io_fn+0x314/0x3b0 Уязвимость компонента drivers/ufs/core/ufs_bsg.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm-integrity: Avoid divide by zero in table status in Inline mode In Inline mode, the journal is unused, and journal_sectors is zero. Calculating the journal watermark requires dividing by journal_sectors, which should be done only if the journal is configured. Otherwise, a simple table query (dmsetup table) can cause OOPS. This bug did not show on some systems, perhaps only due to compiler optimization. On my 32-bit testing machine, this reliably crashes with the following: : Oops: divide error: 0000 [#1] PREEMPT SMP : CPU: 0 UID: 0 PID: 2450 Comm: dmsetup Not tainted 6.14.0-rc2+ #959 : EIP: dm_integrity_status+0x2f8/0xab0 [dm_integrity] ... Уязвимость функции dm_integrity_status() (drivers/md/dm-integrity.c) ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: always handle address removal under msk socket lock Syzkaller reported a lockdep splat in the PM control path: WARNING: CPU: 0 PID: 6693 at ./include/net/sock.h:1711 sock_owned_by_me include/net/sock.h:1711 [inline] WARNING: CPU: 0 PID: 6693 at ./include/net/sock.h:1711 msk_owned_by_me net/mptcp/protocol.h:363 [inline] WARNING: CPU: 0 PID: 6693 at ./include/net/sock.h:1711 mptcp_pm_nl_addr_send_ack+0x57c/0x610 net/mptcp/pm_netlink.c:788 Modules linked in: CPU: 0 UID: 0 PID: 6693 Comm: syz.0.205 Not tainted 6.14.0-rc2-syzkaller-00303-gad1b832bf1cf #0 Hardware name: Google Compute Engine/Google Compute Engine, BIOS Google 12/27/2024 RIP: 0010:sock_owned_by_me include/net/sock.h:1711 [inline] RIP: 0010:msk_owned_by_me net/mptcp/protocol.h:363 [inline] RIP: 0010:mptcp_pm_nl_addr_send_ack+0x57c/0x610 net/mptcp/pm_netlink.c:788 Code: 5b 41 5c 41 5d 41 5e 41 5f 5d c3 cc cc cc cc e8 ca 7b d3 f5 eb b9 e8 c3 7b d3 f5 90 0f 0b 90 e9 dd fb ff ff e8 b5 7b d3 f5 90 <0f> 0b 90 e9 3e fb ff ff 44 89 f1 80 e1 07 38 c1 0f 8c eb fb ff ff RSP: 0000:ffffc900034f6f60 EFLAGS: 00010283 RAX: ffffffff8bee3c2b RBX: 0000000000000001 RCX: 0000000000080000 RDX: ffffc90004d42000 RSI: 000000000000a407 RDI: 000000000000a408 RBP: ffffc900034f7030 R08: ffffffff8bee37f6 R09: 0100000000000000 R10: dffffc0000000000 R11: ffffed100bcc62e4 R12: ffff88805e6316e0 R13: ffff88805e630c00 R14: dffffc0000000000 R15: ffff88805e630c00 FS: 00007f7e9a7e96c0(0000) GS:ffff8880b8600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000001b2fd18ff8 CR3: 0000000032c24000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> mptcp_pm_remove_addr+0x103/0x1d0 net/mptcp/pm.c:59 mptcp_pm_remove_anno_addr+0x1f4/0x2f0 net/mptcp/pm_netlink.c:1486 mptcp_nl_remove_subflow_and_signal_addr net/mptcp/pm_netlink.c:1518 [inline] mptcp_pm_nl_del_addr_doit+0x118d/0x1af0 net/mptcp/pm_netlink.c:1629 genl_family_rcv_msg_doit net/netlink/genetlink.c:1115 [inline] genl_family_rcv_msg net/netlink/genetlink.c:1195 [inline] genl_rcv_msg+0xb1f/0xec0 net/netlink/genetlink.c:1210 netlink_rcv_skb+0x206/0x480 net/netlink/af_netlink.c:2543 genl_rcv+0x28/0x40 net/netlink/genetlink.c:1219 netlink_unicast_kernel net/netlink/af_netlink.c:1322 [inline] netlink_unicast+0x7f6/0x990 net/netlink/af_netlink.c:1348 netlink_sendmsg+0x8de/0xcb0 net/netlink/af_netlink.c:1892 sock_sendmsg_nosec net/socket.c:718 [inline] __sock_sendmsg+0x221/0x270 net/socket.c:733 ____sys_sendmsg+0x53a/0x860 net/socket.c:2573 ___sys_sendmsg net/socket.c:2627 [inline] __sys_sendmsg+0x269/0x350 net/socket.c:2659 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f7e9998cde9 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f7e9a7e9038 EFLAGS: 00000246 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 00007f7e99ba5fa0 RCX: 00007f7e9998cde9 RDX: 000000002000c094 RSI: 0000400000000000 RDI: 0000000000000007 RBP: 00007f7e99a0e2a0 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 00007f7e99ba5fa0 R15: 00007fff49231088 Indeed the PM can try to send a RM_ADDR over a msk without acquiring first the msk socket lock. The bugged code-path comes from an early optimization: when there are no subflows, the PM should (usually) not send RM_ADDR notifications. The above statement is incorrect, as without locks another process could concur ---truncated--- Уязвимость функции mptcp_nl_remove_subflow_and_signal_addr() (net/mptcp/pm_netlink.c) ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/vt-d: Fix suspicious RCU usage Commit <d74169ceb0d2> ("iommu/vt-d: Allocate DMAR fault interrupts locally") moved the call to enable_drhd_fault_handling() to a code path that does not hold any lock while traversing the drhd list. Fix it by ensuring the dmar_global_lock lock is held when traversing the drhd list. Without this fix, the following warning is triggered: ============================= WARNING: suspicious RCU usage 6.14.0-rc3 #55 Not tainted ----------------------------- drivers/iommu/intel/dmar.c:2046 RCU-list traversed in non-reader section!! other info that might help us debug this: rcu_scheduler_active = 1, debug_locks = 1 2 locks held by cpuhp/1/23: #0: ffffffff84a67c50 (cpu_hotplug_lock){++++}-{0:0}, at: cpuhp_thread_fun+0x87/0x2c0 #1: ffffffff84a6a380 (cpuhp_state-up){+.+.}-{0:0}, at: cpuhp_thread_fun+0x87/0x2c0 stack backtrace: CPU: 1 UID: 0 PID: 23 Comm: cpuhp/1 Not tainted 6.14.0-rc3 #55 Call Trace: <TASK> dump_stack_lvl+0xb7/0xd0 lockdep_rcu_suspicious+0x159/0x1f0 ? __pfx_enable_drhd_fault_handling+0x10/0x10 enable_drhd_fault_handling+0x151/0x180 cpuhp_invoke_callback+0x1df/0x990 cpuhp_thread_fun+0x1ea/0x2c0 smpboot_thread_fn+0x1f5/0x2e0 ? __pfx_smpboot_thread_fn+0x10/0x10 kthread+0x12a/0x2d0 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x4a/0x60 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Holding the lock in enable_drhd_fault_handling() triggers a lockdep splat about a possible deadlock between dmar_global_lock and cpu_hotplug_lock. This is avoided by not holding dmar_global_lock when calling iommu_device_register(), which initiates the device probe process. Уязвимость функций intel_iommu_init() (drivers/iommu/intel/iommu.c) и enable_drhd_fault_handling() (drivers/iommu/intel/dmar.c) ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usbnet: gl620a: fix endpoint checking in genelink_bind() Syzbot reports [1] a warning in usb_submit_urb() triggered by inconsistencies between expected and actually present endpoints in gl620a driver. Since genelink_bind() does not properly verify whether specified eps are in fact provided by the device, in this case, an artificially manufactured one, one may get a mismatch. Fix the issue by resorting to a usbnet utility function usbnet_get_endpoints(), usually reserved for this very problem. Check for endpoints and return early before proceeding further if any are missing. [1] Syzbot report: usb 5-1: Manufacturer: syz usb 5-1: SerialNumber: syz usb 5-1: config 0 descriptor?? gl620a 5-1:0.23 usb0: register 'gl620a' at usb-dummy_hcd.0-1, ... ------------[ cut here ]------------ usb 5-1: BOGUS urb xfer, pipe 3 != type 1 WARNING: CPU: 2 PID: 1841 at drivers/usb/core/urb.c:503 usb_submit_urb+0xe4b/0x1730 drivers/usb/core/urb.c:503 Modules linked in: CPU: 2 UID: 0 PID: 1841 Comm: kworker/2:2 Not tainted 6.12.0-syzkaller-07834-g06afb0f36106 #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Workqueue: mld mld_ifc_work RIP: 0010:usb_submit_urb+0xe4b/0x1730 drivers/usb/core/urb.c:503 ... Call Trace: <TASK> usbnet_start_xmit+0x6be/0x2780 drivers/net/usb/usbnet.c:1467 __netdev_start_xmit include/linux/netdevice.h:5002 [inline] netdev_start_xmit include/linux/netdevice.h:5011 [inline] xmit_one net/core/dev.c:3590 [inline] dev_hard_start_xmit+0x9a/0x7b0 net/core/dev.c:3606 sch_direct_xmit+0x1ae/0xc30 net/sched/sch_generic.c:343 __dev_xmit_skb net/core/dev.c:3827 [inline] __dev_queue_xmit+0x13d4/0x43e0 net/core/dev.c:4400 dev_queue_xmit include/linux/netdevice.h:3168 [inline] neigh_resolve_output net/core/neighbour.c:1514 [inline] neigh_resolve_output+0x5bc/0x950 net/core/neighbour.c:1494 neigh_output include/net/neighbour.h:539 [inline] ip6_finish_output2+0xb1b/0x2070 net/ipv6/ip6_output.c:141 __ip6_finish_output net/ipv6/ip6_output.c:215 [inline] ip6_finish_output+0x3f9/0x1360 net/ipv6/ip6_output.c:226 NF_HOOK_COND include/linux/netfilter.h:303 [inline] ip6_output+0x1f8/0x540 net/ipv6/ip6_output.c:247 dst_output include/net/dst.h:450 [inline] NF_HOOK include/linux/netfilter.h:314 [inline] NF_HOOK include/linux/netfilter.h:308 [inline] mld_sendpack+0x9f0/0x11d0 net/ipv6/mcast.c:1819 mld_send_cr net/ipv6/mcast.c:2120 [inline] mld_ifc_work+0x740/0xca0 net/ipv6/mcast.c:2651 process_one_work+0x9c5/0x1ba0 kernel/workqueue.c:3229 process_scheduled_works kernel/workqueue.c:3310 [inline] worker_thread+0x6c8/0xf00 kernel/workqueue.c:3391 kthread+0x2c1/0x3a0 kernel/kthread.c:389 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Уязвимость функции genelink_bind() (drivers/net/usb/gl620a.c) ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i2c: npcm: disable interrupt enable bit before devm_request_irq The customer reports that there is a soft lockup issue related to the i2c driver. After checking, the i2c module was doing a tx transfer and the bmc machine reboots in the middle of the i2c transaction, the i2c module keeps the status without being reset. Due to such an i2c module status, the i2c irq handler keeps getting triggered since the i2c irq handler is registered in the kernel booting process after the bmc machine is doing a warm rebooting. The continuous triggering is stopped by the soft lockup watchdog timer. Disable the interrupt enable bit in the i2c module before calling devm_request_irq to fix this issue since the i2c relative status bit is read-only. Here is the soft lockup log. [ 28.176395] watchdog: BUG: soft lockup - CPU#0 stuck for 26s! [swapper/0:1] [ 28.183351] Modules linked in: [ 28.186407] CPU: 0 PID: 1 Comm: swapper/0 Not tainted 5.15.120-yocto-s-dirty-bbebc78 #1 [ 28.201174] pstate: 40000005 (nZcv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 28.208128] pc : __do_softirq+0xb0/0x368 [ 28.212055] lr : __do_softirq+0x70/0x368 [ 28.215972] sp : ffffff8035ebca00 [ 28.219278] x29: ffffff8035ebca00 x28: 0000000000000002 x27: ffffff80071a3780 [ 28.226412] x26: ffffffc008bdc000 x25: ffffffc008bcc640 x24: ffffffc008be50c0 [ 28.233546] x23: ffffffc00800200c x22: 0000000000000000 x21: 000000000000001b [ 28.240679] x20: 0000000000000000 x19: ffffff80001c3200 x18: ffffffffffffffff [ 28.247812] x17: ffffffc02d2e0000 x16: ffffff8035eb8b40 x15: 00001e8480000000 [ 28.254945] x14: 02c3647e37dbfcb6 x13: 02c364f2ab14200c x12: 0000000002c364f2 [ 28.262078] x11: 00000000fa83b2da x10: 000000000000b67e x9 : ffffffc008010250 [ 28.269211] x8 : 000000009d983d00 x7 : 7fffffffffffffff x6 : 0000036d74732434 [ 28.276344] x5 : 00ffffffffffffff x4 : 0000000000000015 x3 : 0000000000000198 [ 28.283476] x2 : ffffffc02d2e0000 x1 : 00000000000000e0 x0 : ffffffc008bdcb40 [ 28.290611] Call trace: [ 28.293052] __do_softirq+0xb0/0x368 [ 28.296625] __irq_exit_rcu+0xe0/0x100 [ 28.300374] irq_exit+0x14/0x20 [ 28.303513] handle_domain_irq+0x68/0x90 [ 28.307440] gic_handle_irq+0x78/0xb0 [ 28.311098] call_on_irq_stack+0x20/0x38 [ 28.315019] do_interrupt_handler+0x54/0x5c [ 28.319199] el1_interrupt+0x2c/0x4c [ 28.322777] el1h_64_irq_handler+0x14/0x20 [ 28.326872] el1h_64_irq+0x74/0x78 [ 28.330269] __setup_irq+0x454/0x780 [ 28.333841] request_threaded_irq+0xd0/0x1b4 [ 28.338107] devm_request_threaded_irq+0x84/0x100 [ 28.342809] npcm_i2c_probe_bus+0x188/0x3d0 [ 28.346990] platform_probe+0x6c/0xc4 [ 28.350653] really_probe+0xcc/0x45c [ 28.354227] __driver_probe_device+0x8c/0x160 [ 28.358578] driver_probe_device+0x44/0xe0 [ 28.362670] __driver_attach+0x124/0x1d0 [ 28.366589] bus_for_each_dev+0x7c/0xe0 [ 28.370426] driver_attach+0x28/0x30 [ 28.373997] bus_add_driver+0x124/0x240 [ 28.377830] driver_register+0x7c/0x124 [ 28.381662] __platform_driver_register+0x2c/0x34 [ 28.386362] npcm_i2c_init+0x3c/0x5c [ 28.389937] do_one_initcall+0x74/0x230 [ 28.393768] kernel_init_freeable+0x24c/0x2b4 [ 28.398126] kernel_init+0x28/0x130 [ 28.401614] ret_from_fork+0x10/0x20 [ 28.405189] Kernel panic - not syncing: softlockup: hung tasks [ 28.411011] SMP: stopping secondary CPUs [ 28.414933] Kernel Offset: disabled [ 28.418412] CPU features: 0x00000000,00000802 [ 28.427644] Rebooting in 20 seconds.. Уязвимость функции npcm_i2c_probe_bus() (drivers/i2c/busses/i2c-npcm7xx.c) ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe/userptr: fix EFAULT handling Currently we treat EFAULT from hmm_range_fault() as a non-fatal error when called from xe_vm_userptr_pin() with the idea that we want to avoid killing the entire vm and chucking an error, under the assumption that the user just did an unmap or something, and has no intention of actually touching that memory from the GPU. At this point we have already zapped the PTEs so any access should generate a page fault, and if the pin fails there also it will then become fatal. However it looks like it's possible for the userptr vma to still be on the rebind list in preempt_rebind_work_func(), if we had to retry the pin again due to something happening in the caller before we did the rebind step, but in the meantime needing to re-validate the userptr and this time hitting the EFAULT. This explains an internal user report of hitting: [ 191.738349] WARNING: CPU: 1 PID: 157 at drivers/gpu/drm/xe/xe_res_cursor.h:158 xe_pt_stage_bind.constprop.0+0x60a/0x6b0 [xe] [ 191.738551] Workqueue: xe-ordered-wq preempt_rebind_work_func [xe] [ 191.738616] RIP: 0010:xe_pt_stage_bind.constprop.0+0x60a/0x6b0 [xe] [ 191.738690] Call Trace: [ 191.738692] <TASK> [ 191.738694] ? show_regs+0x69/0x80 [ 191.738698] ? __warn+0x93/0x1a0 [ 191.738703] ? xe_pt_stage_bind.constprop.0+0x60a/0x6b0 [xe] [ 191.738759] ? report_bug+0x18f/0x1a0 [ 191.738764] ? handle_bug+0x63/0xa0 [ 191.738767] ? exc_invalid_op+0x19/0x70 [ 191.738770] ? asm_exc_invalid_op+0x1b/0x20 [ 191.738777] ? xe_pt_stage_bind.constprop.0+0x60a/0x6b0 [xe] [ 191.738834] ? ret_from_fork_asm+0x1a/0x30 [ 191.738849] bind_op_prepare+0x105/0x7b0 [xe] [ 191.738906] ? dma_resv_reserve_fences+0x301/0x380 [ 191.738912] xe_pt_update_ops_prepare+0x28c/0x4b0 [xe] [ 191.738966] ? kmemleak_alloc+0x4b/0x80 [ 191.738973] ops_execute+0x188/0x9d0 [xe] [ 191.739036] xe_vm_rebind+0x4ce/0x5a0 [xe] [ 191.739098] ? trace_hardirqs_on+0x4d/0x60 [ 191.739112] preempt_rebind_work_func+0x76f/0xd00 [xe] Followed by NPD, when running some workload, since the sg was never actually populated but the vma is still marked for rebind when it should be skipped for this special EFAULT case. This is confirmed to fix the user report. v2 (MattB): - Move earlier. v3 (MattB): - Update the commit message to make it clear that this indeed fixes the issue. (cherry picked from commit 6b93cb98910c826c2e2004942f8b060311e43618) Уязвимость функции xe_vm_userptr_pin() драйвера (drivers/gpu/drm/xe/xe_vm.c) ядра операционных систем Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: uprobes: Reject the shared zeropage in uprobe_write_opcode() We triggered the following crash in syzkaller tests: BUG: Bad page state in process syz.7.38 pfn:1eff3 page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x1eff3 flags: 0x3fffff00004004(referenced|reserved|node=0|zone=1|lastcpupid=0x1fffff) raw: 003fffff00004004 ffffe6c6c07bfcc8 ffffe6c6c07bfcc8 0000000000000000 raw: 0000000000000000 0000000000000000 00000000fffffffe 0000000000000000 page dumped because: PAGE_FLAGS_CHECK_AT_FREE flag(s) set Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.13.0-1ubuntu1.1 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x32/0x50 bad_page+0x69/0xf0 free_unref_page_prepare+0x401/0x500 free_unref_page+0x6d/0x1b0 uprobe_write_opcode+0x460/0x8e0 install_breakpoint.part.0+0x51/0x80 register_for_each_vma+0x1d9/0x2b0 __uprobe_register+0x245/0x300 bpf_uprobe_multi_link_attach+0x29b/0x4f0 link_create+0x1e2/0x280 __sys_bpf+0x75f/0xac0 __x64_sys_bpf+0x1a/0x30 do_syscall_64+0x56/0x100 entry_SYSCALL_64_after_hwframe+0x78/0xe2 BUG: Bad rss-counter state mm:00000000452453e0 type:MM_FILEPAGES val:-1 The following syzkaller test case can be used to reproduce: r2 = creat(&(0x7f0000000000)='./file0\x00', 0x8) write$nbd(r2, &(0x7f0000000580)=ANY=[], 0x10) r4 = openat(0xffffffffffffff9c, &(0x7f0000000040)='./file0\x00', 0x42, 0x0) mmap$IORING_OFF_SQ_RING(&(0x7f0000ffd000/0x3000)=nil, 0x3000, 0x0, 0x12, r4, 0x0) r5 = userfaultfd(0x80801) ioctl$UFFDIO_API(r5, 0xc018aa3f, &(0x7f0000000040)={0xaa, 0x20}) r6 = userfaultfd(0x80801) ioctl$UFFDIO_API(r6, 0xc018aa3f, &(0x7f0000000140)) ioctl$UFFDIO_REGISTER(r6, 0xc020aa00, &(0x7f0000000100)={{&(0x7f0000ffc000/0x4000)=nil, 0x4000}, 0x2}) ioctl$UFFDIO_ZEROPAGE(r5, 0xc020aa04, &(0x7f0000000000)={{&(0x7f0000ffd000/0x1000)=nil, 0x1000}}) r7 = bpf$PROG_LOAD(0x5, &(0x7f0000000140)={0x2, 0x3, &(0x7f0000000200)=ANY=[@ANYBLOB="1800000000120000000000000000000095"], &(0x7f0000000000)='GPL\x00', 0x7, 0x0, 0x0, 0x0, 0x0, '\x00', 0x0, @fallback=0x30, 0xffffffffffffffff, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x10, 0x0, @void, @value}, 0x94) bpf$BPF_LINK_CREATE_XDP(0x1c, &(0x7f0000000040)={r7, 0x0, 0x30, 0x1e, @val=@uprobe_multi={&(0x7f0000000080)='./file0\x00', &(0x7f0000000100)=[0x2], 0x0, 0x0, 0x1}}, 0x40) The cause is that zero pfn is set to the PTE without increasing the RSS count in mfill_atomic_pte_zeropage() and the refcount of zero folio does not increase accordingly. Then, the operation on the same pfn is performed in uprobe_write_opcode()->__replace_page() to unconditional decrease the RSS count and old_folio's refcount. Therefore, two bugs are introduced: 1. The RSS count is incorrect, when process exit, the check_mm() report error "Bad rss-count". 2. The reserved folio (zero folio) is freed when folio->refcount is zero, then free_pages_prepare->free_page_is_bad() report error "Bad page state". There is more, the following warning could also theoretically be triggered: __replace_page() -> ... -> folio_remove_rmap_pte() -> VM_WARN_ON_FOLIO(is_zero_folio(folio), folio) Considering that uprobe hit on the zero folio is a very rare case, just reject zero old folio immediately after get_user_page_vma_remote(). [ mingo: Cleaned up the changelog ] Уязвимость функции uprobe_write_opcode() модуля kernel/events/uprobes.c ядра операционных систем Linux связана с некорректным расчетом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ice: Fix deinitializing VF in error path If ice_ena_vfs() fails after calling ice_create_vf_entries(), it frees all VFs without removing them from snapshot PF-VF mailbox list, leading to list corruption. Reproducer: devlink dev eswitch set $PF1_PCI mode switchdev ip l s $PF1 up ip l s $PF1 promisc on sleep 1 echo 1 > /sys/class/net/$PF1/device/sriov_numvfs sleep 1 echo 1 > /sys/class/net/$PF1/device/sriov_numvfs Trace (minimized): list_add corruption. next->prev should be prev (ffff8882e241c6f0), but was 0000000000000000. (next=ffff888455da1330). kernel BUG at lib/list_debug.c:29! RIP: 0010:__list_add_valid_or_report+0xa6/0x100 ice_mbx_init_vf_info+0xa7/0x180 [ice] ice_initialize_vf_entry+0x1fa/0x250 [ice] ice_sriov_configure+0x8d7/0x1520 [ice] ? __percpu_ref_switch_mode+0x1b1/0x5d0 ? __pfx_ice_sriov_configure+0x10/0x10 [ice] Sometimes a KASAN report can be seen instead with a similar stack trace: BUG: KASAN: use-after-free in __list_add_valid_or_report+0xf1/0x100 VFs are added to this list in ice_mbx_init_vf_info(), but only removed in ice_free_vfs(). Move the removing to ice_free_vf_entries(), which is also being called in other places where VFs are being removed (including ice_free_vfs() itself). Уязвимость компонента drivers/net/ethernet/intel/ice ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/bnxt_re: Fix the page details for the srq created by kernel consumers While using nvme target with use_srq on, below kernel panic is noticed. [ 549.698111] bnxt_en 0000:41:00.0 enp65s0np0: FEC autoneg off encoding: Clause 91 RS(544,514) [ 566.393619] Oops: divide error: 0000 [#1] PREEMPT SMP NOPTI .. [ 566.393799] <TASK> [ 566.393807] ? __die_body+0x1a/0x60 [ 566.393823] ? die+0x38/0x60 [ 566.393835] ? do_trap+0xe4/0x110 [ 566.393847] ? bnxt_qplib_alloc_init_hwq+0x1d4/0x580 [bnxt_re] [ 566.393867] ? bnxt_qplib_alloc_init_hwq+0x1d4/0x580 [bnxt_re] [ 566.393881] ? do_error_trap+0x7c/0x120 [ 566.393890] ? bnxt_qplib_alloc_init_hwq+0x1d4/0x580 [bnxt_re] [ 566.393911] ? exc_divide_error+0x34/0x50 [ 566.393923] ? bnxt_qplib_alloc_init_hwq+0x1d4/0x580 [bnxt_re] [ 566.393939] ? asm_exc_divide_error+0x16/0x20 [ 566.393966] ? bnxt_qplib_alloc_init_hwq+0x1d4/0x580 [bnxt_re] [ 566.393997] bnxt_qplib_create_srq+0xc9/0x340 [bnxt_re] [ 566.394040] bnxt_re_create_srq+0x335/0x3b0 [bnxt_re] [ 566.394057] ? srso_return_thunk+0x5/0x5f [ 566.394068] ? __init_swait_queue_head+0x4a/0x60 [ 566.394090] ib_create_srq_user+0xa7/0x150 [ib_core] [ 566.394147] nvmet_rdma_queue_connect+0x7d0/0xbe0 [nvmet_rdma] [ 566.394174] ? lock_release+0x22c/0x3f0 [ 566.394187] ? srso_return_thunk+0x5/0x5f Page size and shift info is set only for the user space SRQs. Set page size and page shift for kernel space SRQs also. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ovl: fix UAF in ovl_dentry_update_reval by moving dput() in ovl_link_up The issue was caused by dput(upper) being called before ovl_dentry_update_reval(), while upper->d_flags was still accessed in ovl_dentry_remote(). Move dput(upper) after its last use to prevent use-after-free. BUG: KASAN: slab-use-after-free in ovl_dentry_remote fs/overlayfs/util.c:162 [inline] BUG: KASAN: slab-use-after-free in ovl_dentry_update_reval+0xd2/0xf0 fs/overlayfs/util.c:167 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:114 print_address_description mm/kasan/report.c:377 [inline] print_report+0xc3/0x620 mm/kasan/report.c:488 kasan_report+0xd9/0x110 mm/kasan/report.c:601 ovl_dentry_remote fs/overlayfs/util.c:162 [inline] ovl_dentry_update_reval+0xd2/0xf0 fs/overlayfs/util.c:167 ovl_link_up fs/overlayfs/copy_up.c:610 [inline] ovl_copy_up_one+0x2105/0x3490 fs/overlayfs/copy_up.c:1170 ovl_copy_up_flags+0x18d/0x200 fs/overlayfs/copy_up.c:1223 ovl_rename+0x39e/0x18c0 fs/overlayfs/dir.c:1136 vfs_rename+0xf84/0x20a0 fs/namei.c:4893 ... </TASK> Уязвимость компонента fs/overlayfs ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Fix a WARN during dereg_mr for DM type Memory regions (MR) of type DM (device memory) do not have an associated umem. In the __mlx5_ib_dereg_mr() -> mlx5_free_priv_descs() flow, the code incorrectly takes the wrong branch, attempting to call dma_unmap_single() on a DMA address that is not mapped. This results in a WARN [1], as shown below. The issue is resolved by properly accounting for the DM type and ensuring the correct branch is selected in mlx5_free_priv_descs(). [1] WARNING: CPU: 12 PID: 1346 at drivers/iommu/dma-iommu.c:1230 iommu_dma_unmap_page+0x79/0x90 Modules linked in: ip6table_mangle ip6table_nat ip6table_filter ip6_tables iptable_mangle xt_conntrack xt_MASQUERADE nf_conntrack_netlink nfnetlink xt_addrtype iptable_nat nf_nat br_netfilter rpcsec_gss_krb5 auth_rpcgss oid_registry ovelay rpcrdma rdma_ucm ib_iser libiscsi scsi_transport_iscsi ib_umad rdma_cm ib_ipoib iw_cm ib_cm mlx5_ib ib_uverbs ib_core fuse mlx5_core CPU: 12 UID: 0 PID: 1346 Comm: ibv_rc_pingpong Not tainted 6.12.0-rc7+ #1631 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:iommu_dma_unmap_page+0x79/0x90 Code: 2b 49 3b 29 72 26 49 3b 69 08 73 20 4d 89 f0 44 89 e9 4c 89 e2 48 89 ee 48 89 df 5b 5d 41 5c 41 5d 41 5e 41 5f e9 07 b8 88 ff <0f> 0b 5b 5d 41 5c 41 5d 41 5e 41 5f c3 cc cc cc cc 66 0f 1f 44 00 RSP: 0018:ffffc90001913a10 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffff88810194b0a8 RCX: 0000000000000000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000001 RBP: ffff88810194b0a8 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000000 R12: 0000000000000000 R13: 0000000000000001 R14: 0000000000000000 R15: 0000000000000000 FS: 00007f537abdd740(0000) GS:ffff88885fb00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f537aeb8000 CR3: 000000010c248001 CR4: 0000000000372eb0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? __warn+0x84/0x190 ? iommu_dma_unmap_page+0x79/0x90 ? report_bug+0xf8/0x1c0 ? handle_bug+0x55/0x90 ? exc_invalid_op+0x13/0x60 ? asm_exc_invalid_op+0x16/0x20 ? iommu_dma_unmap_page+0x79/0x90 dma_unmap_page_attrs+0xe6/0x290 mlx5_free_priv_descs+0xb0/0xe0 [mlx5_ib] __mlx5_ib_dereg_mr+0x37e/0x520 [mlx5_ib] ? _raw_spin_unlock_irq+0x24/0x40 ? wait_for_completion+0xfe/0x130 ? rdma_restrack_put+0x63/0xe0 [ib_core] ib_dereg_mr_user+0x5f/0x120 [ib_core] ? lock_release+0xc6/0x280 destroy_hw_idr_uobject+0x1d/0x60 [ib_uverbs] uverbs_destroy_uobject+0x58/0x1d0 [ib_uverbs] uobj_destroy+0x3f/0x70 [ib_uverbs] ib_uverbs_cmd_verbs+0x3e4/0xbb0 [ib_uverbs] ? __pfx_uverbs_destroy_def_handler+0x10/0x10 [ib_uverbs] ? lock_acquire+0xc1/0x2f0 ? ib_uverbs_ioctl+0xcb/0x170 [ib_uverbs] ? ib_uverbs_ioctl+0x116/0x170 [ib_uverbs] ? lock_release+0xc6/0x280 ib_uverbs_ioctl+0xe7/0x170 [ib_uverbs] ? ib_uverbs_ioctl+0xcb/0x170 [ib_uverbs] __x64_sys_ioctl+0x1b0/0xa70 do_syscall_64+0x6b/0x140 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f537adaf17b Code: 0f 1e fa 48 8b 05 1d ad 0c 00 64 c7 00 26 00 00 00 48 c7 c0 ff ff ff ff c3 66 0f 1f 44 00 00 f3 0f 1e fa b8 10 00 00 00 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d ed ac 0c 00 f7 d8 64 89 01 48 RSP: 002b:00007ffff218f0b8 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 00007ffff218f1d8 RCX: 00007f537adaf17b RDX: 00007ffff218f1c0 RSI: 00000000c0181b01 RDI: 0000000000000003 RBP: 00007ffff218f1a0 R08: 00007f537aa8d010 R09: 0000561ee2e4f270 R10: 00007f537aace3a8 R11: 0000000000000246 R12: 00007ffff218f190 R13: 000000000000001c R14: 0000561ee2e4d7c0 R15: 00007ffff218f450 </TASK> Уязвимость компонента RDMA/mlx5 ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf/core: Add RCU read lock protection to perf_iterate_ctx() The perf_iterate_ctx() function performs RCU list traversal but currently lacks RCU read lock protection. This causes lockdep warnings when running perf probe with unshare(1) under CONFIG_PROVE_RCU_LIST=y: WARNING: suspicious RCU usage kernel/events/core.c:8168 RCU-list traversed in non-reader section!! Call Trace: lockdep_rcu_suspicious ? perf_event_addr_filters_apply perf_iterate_ctx perf_event_exec begin_new_exec ? load_elf_phdrs load_elf_binary ? lock_acquire ? find_held_lock ? bprm_execve bprm_execve do_execveat_common.isra.0 __x64_sys_execve do_syscall_64 entry_SYSCALL_64_after_hwframe This protection was previously present but was removed in commit bd2756811766 ("perf: Rewrite core context handling"). Add back the necessary rcu_read_lock()/rcu_read_unlock() pair around perf_iterate_ctx() call in perf_event_exec(). [ mingo: Use scoped_guard() as suggested by Peter ] Уязвимость компонента perf/core ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: idpf: fix checksums set in idpf_rx_rsc() idpf_rx_rsc() uses skb_transport_offset(skb) while the transport header is not set yet. This triggers the following warning for CONFIG_DEBUG_NET=y builds. DEBUG_NET_WARN_ON_ONCE(!skb_transport_header_was_set(skb)) [ 69.261620] WARNING: CPU: 7 PID: 0 at ./include/linux/skbuff.h:3020 idpf_vport_splitq_napi_poll (include/linux/skbuff.h:3020) idpf [ 69.261629] Modules linked in: vfat fat dummy bridge intel_uncore_frequency_tpmi intel_uncore_frequency_common intel_vsec_tpmi idpf intel_vsec cdc_ncm cdc_eem cdc_ether usbnet mii xhci_pci xhci_hcd ehci_pci ehci_hcd libeth [ 69.261644] CPU: 7 UID: 0 PID: 0 Comm: swapper/7 Tainted: G S W 6.14.0-smp-DEV #1697 [ 69.261648] Tainted: [S]=CPU_OUT_OF_SPEC, [W]=WARN [ 69.261650] RIP: 0010:idpf_vport_splitq_napi_poll (include/linux/skbuff.h:3020) idpf [ 69.261677] ? __warn (kernel/panic.c:242 kernel/panic.c:748) [ 69.261682] ? idpf_vport_splitq_napi_poll (include/linux/skbuff.h:3020) idpf [ 69.261687] ? report_bug (lib/bug.c:?) [ 69.261690] ? handle_bug (arch/x86/kernel/traps.c:285) [ 69.261694] ? exc_invalid_op (arch/x86/kernel/traps.c:309) [ 69.261697] ? asm_exc_invalid_op (arch/x86/include/asm/idtentry.h:621) [ 69.261700] ? __pfx_idpf_vport_splitq_napi_poll (drivers/net/ethernet/intel/idpf/idpf_txrx.c:4011) idpf [ 69.261704] ? idpf_vport_splitq_napi_poll (include/linux/skbuff.h:3020) idpf [ 69.261708] ? idpf_vport_splitq_napi_poll (drivers/net/ethernet/intel/idpf/idpf_txrx.c:3072) idpf [ 69.261712] __napi_poll (net/core/dev.c:7194) [ 69.261716] net_rx_action (net/core/dev.c:7265) [ 69.261718] ? __qdisc_run (net/sched/sch_generic.c:293) [ 69.261721] ? sched_clock (arch/x86/include/asm/preempt.h:84 arch/x86/kernel/tsc.c:288) [ 69.261726] handle_softirqs (kernel/softirq.c:561) Уязвимость компонента idpf ядра операционной системы Linux связана с некорректным вычислением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=8.2) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipvlan: ensure network headers are in skb linear part syzbot found that ipvlan_process_v6_outbound() was assuming the IPv6 network header isis present in skb->head [1] Add the needed pskb_network_may_pull() calls for both IPv4 and IPv6 handlers. [1] BUG: KMSAN: uninit-value in __ipv6_addr_type+0xa2/0x490 net/ipv6/addrconf_core.c:47 __ipv6_addr_type+0xa2/0x490 net/ipv6/addrconf_core.c:47 ipv6_addr_type include/net/ipv6.h:555 [inline] ip6_route_output_flags_noref net/ipv6/route.c:2616 [inline] ip6_route_output_flags+0x51/0x720 net/ipv6/route.c:2651 ip6_route_output include/net/ip6_route.h:93 [inline] ipvlan_route_v6_outbound+0x24e/0x520 drivers/net/ipvlan/ipvlan_core.c:476 ipvlan_process_v6_outbound drivers/net/ipvlan/ipvlan_core.c:491 [inline] ipvlan_process_outbound drivers/net/ipvlan/ipvlan_core.c:541 [inline] ipvlan_xmit_mode_l3 drivers/net/ipvlan/ipvlan_core.c:605 [inline] ipvlan_queue_xmit+0xd72/0x1780 drivers/net/ipvlan/ipvlan_core.c:671 ipvlan_start_xmit+0x5b/0x210 drivers/net/ipvlan/ipvlan_main.c:223 __netdev_start_xmit include/linux/netdevice.h:5150 [inline] netdev_start_xmit include/linux/netdevice.h:5159 [inline] xmit_one net/core/dev.c:3735 [inline] dev_hard_start_xmit+0x247/0xa20 net/core/dev.c:3751 sch_direct_xmit+0x399/0xd40 net/sched/sch_generic.c:343 qdisc_restart net/sched/sch_generic.c:408 [inline] __qdisc_run+0x14da/0x35d0 net/sched/sch_generic.c:416 qdisc_run+0x141/0x4d0 include/net/pkt_sched.h:127 net_tx_action+0x78b/0x940 net/core/dev.c:5484 handle_softirqs+0x1a0/0x7c0 kernel/softirq.c:561 __do_softirq+0x14/0x1a kernel/softirq.c:595 do_softirq+0x9a/0x100 kernel/softirq.c:462 __local_bh_enable_ip+0x9f/0xb0 kernel/softirq.c:389 local_bh_enable include/linux/bottom_half.h:33 [inline] rcu_read_unlock_bh include/linux/rcupdate.h:919 [inline] __dev_queue_xmit+0x2758/0x57d0 net/core/dev.c:4611 dev_queue_xmit include/linux/netdevice.h:3311 [inline] packet_xmit+0x9c/0x6c0 net/packet/af_packet.c:276 packet_snd net/packet/af_packet.c:3132 [inline] packet_sendmsg+0x93e0/0xa7e0 net/packet/af_packet.c:3164 sock_sendmsg_nosec net/socket.c:718 [inline] Уязвимость ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Fix the recovery flow of the UMR QP This patch addresses an issue in the recovery flow of the UMR QP, ensuring tasks do not get stuck, as highlighted by the call trace [1]. During recovery, before transitioning the QP to the RESET state, the software must wait for all outstanding WRs to complete. Failing to do so can cause the firmware to skip sending some flushed CQEs with errors and simply discard them upon the RESET, as per the IB specification. This race condition can result in lost CQEs and tasks becoming stuck. To resolve this, the patch sends a final WR which serves only as a barrier before moving the QP state to RESET. Once a CQE is received for that final WR, it guarantees that no outstanding WRs remain, making it safe to transition the QP to RESET and subsequently back to RTS, restoring proper functionality. Note: For the barrier WR, we simply reuse the failed and ready WR. Since the QP is in an error state, it will only receive IB_WC_WR_FLUSH_ERR. However, as it serves only as a barrier we don't care about its status. [1] INFO: task rdma_resource_l:1922 blocked for more than 120 seconds. Tainted: G W 6.12.0-rc7+ #1626 "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. task:rdma_resource_l state:D stack:0 pid:1922 tgid:1922 ppid:1369 flags:0x00004004 Call Trace: <TASK> __schedule+0x420/0xd30 schedule+0x47/0x130 schedule_timeout+0x280/0x300 ? mark_held_locks+0x48/0x80 ? lockdep_hardirqs_on_prepare+0xe5/0x1a0 wait_for_completion+0x75/0x130 mlx5r_umr_post_send_wait+0x3c2/0x5b0 [mlx5_ib] ? __pfx_mlx5r_umr_done+0x10/0x10 [mlx5_ib] mlx5r_umr_revoke_mr+0x93/0xc0 [mlx5_ib] __mlx5_ib_dereg_mr+0x299/0x520 [mlx5_ib] ? _raw_spin_unlock_irq+0x24/0x40 ? wait_for_completion+0xfe/0x130 ? rdma_restrack_put+0x63/0xe0 [ib_core] ib_dereg_mr_user+0x5f/0x120 [ib_core] ? lock_release+0xc6/0x280 destroy_hw_idr_uobject+0x1d/0x60 [ib_uverbs] uverbs_destroy_uobject+0x58/0x1d0 [ib_uverbs] uobj_destroy+0x3f/0x70 [ib_uverbs] ib_uverbs_cmd_verbs+0x3e4/0xbb0 [ib_uverbs] ? __pfx_uverbs_destroy_def_handler+0x10/0x10 [ib_uverbs] ? __lock_acquire+0x64e/0x2080 ? mark_held_locks+0x48/0x80 ? find_held_lock+0x2d/0xa0 ? lock_acquire+0xc1/0x2f0 ? ib_uverbs_ioctl+0xcb/0x170 [ib_uverbs] ? __fget_files+0xc3/0x1b0 ib_uverbs_ioctl+0xe7/0x170 [ib_uverbs] ? ib_uverbs_ioctl+0xcb/0x170 [ib_uverbs] __x64_sys_ioctl+0x1b0/0xa70 do_syscall_64+0x6b/0x140 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f99c918b17b RSP: 002b:00007ffc766d0468 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 00007ffc766d0578 RCX: 00007f99c918b17b RDX: 00007ffc766d0560 RSI: 00000000c0181b01 RDI: 0000000000000003 RBP: 00007ffc766d0540 R08: 00007f99c8f99010 R09: 000000000000bd7e R10: 00007f99c94c1c70 R11: 0000000000000246 R12: 00007ffc766d0530 R13: 000000000000001c R14: 0000000040246a80 R15: 0000000000000000 </TASK> [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: keys: Fix UAF in key_put() Once a key's reference count has been reduced to 0, the garbage collector thread may destroy it at any time and so key_put() is not allowed to touch the key after that point. The most key_put() is normally allowed to do is to touch key_gc_work as that's a static global variable. However, in an effort to speed up the reclamation of quota, this is now done in key_put() once the key's usage is reduced to 0 - but now the code is looking at the key after the deadline, which is forbidden. Fix this by using a flag to indicate that a key can be gc'd now rather than looking at the key's refcount in the garbage collector. Уязвимость функции key_put() компонента security/keys/key.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: enetc: VFs do not support HWTSTAMP_TX_ONESTEP_SYNC Actually ENETC VFs do not support HWTSTAMP_TX_ONESTEP_SYNC because only ENETC PF can access PMa_SINGLE_STEP registers. And there will be a crash if VFs are used to test one-step timestamp, the crash log as follows. [ 129.110909] Unable to handle kernel paging request at virtual address 00000000000080c0 [ 129.287769] Call trace: [ 129.290219] enetc_port_mac_wr+0x30/0xec (P) [ 129.294504] enetc_start_xmit+0xda4/0xe74 [ 129.298525] enetc_xmit+0x70/0xec [ 129.301848] dev_hard_start_xmit+0x98/0x118 [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf/core: Order the PMU list to fix warning about unordered pmu_ctx_list Syskaller triggers a warning due to prev_epc->pmu != next_epc->pmu in perf_event_swap_task_ctx_data(). vmcore shows that two lists have the same perf_event_pmu_context, but not in the same order. The problem is that the order of pmu_ctx_list for the parent is impacted by the time when an event/PMU is added. While the order for a child is impacted by the event order in the pinned_groups and flexible_groups. So the order of pmu_ctx_list in the parent and child may be different. To fix this problem, insert the perf_event_pmu_context to its proper place after iteration of the pmu_ctx_list. The follow testcase can trigger above warning: # perf record -e cycles --call-graph lbr -- taskset -c 3 ./a.out & # perf stat -e cpu-clock,cs -p xxx // xxx is the pid of a.out test.c void main() { int count = 0; pid_t pid; printf("%d running\n", getpid()); sleep(30); printf("running\n"); pid = fork(); if (pid == -1) { printf("fork error\n"); return; } if (pid == 0) { while (1) { count++; } } else { while (1) { count++; } } } The testcase first opens an LBR event, so it will allocate task_ctx_data, and then open tracepoint and software events, so the parent context will have 3 different perf_event_pmu_contexts. On inheritance, child ctx will insert the perf_event_pmu_context in another order and the warning will trigger. [ mingo: Tidied up the changelog. ] Уязвимость ядра операционной системы Linux связана с чрезмерным итерированием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched_ext: Fix pick_task_scx() picking non-queued tasks when it's called without balance() a6250aa251ea ("sched_ext: Handle cases where pick_task_scx() is called without preceding balance_scx()") added a workaround to handle the cases where pick_task_scx() is called without prececing balance_scx() which is due to a fair class bug where pick_taks_fair() may return NULL after a true return from balance_fair(). The workaround detects when pick_task_scx() is called without preceding balance_scx() and emulates SCX_RQ_BAL_KEEP and triggers kicking to avoid stalling. Unfortunately, the workaround code was testing whether @prev was on SCX to decide whether to keep the task running. This is incorrect as the task may be on SCX but no longer runnable. This could lead to a non-runnable task to be returned from pick_task_scx() which cause interesting confusions and failures. e.g. A common failure mode is the task ending up with (!on_rq && on_cpu) state which can cause potential wakers to busy loop, which can easily lead to deadlocks. Fix it by testing whether @prev has SCX_TASK_QUEUED set. This makes @prev_on_scx only used in one place. Open code the usage and improve the comment while at it. Уязвимость компонента sched_ext функции pick_task_scx ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ftrace: Avoid potential division by zero in function_stat_show() Check whether denominator expression x * (x - 1) * 1000 mod {2^32, 2^64} produce zero and skip stddev computation in that case. For now don't care about rec->counter * rec->counter overflow because rec->time * rec->time overflow will likely happen earlier. Уязвимость компонента ftrace функции function_stat_show ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: Fix bad hist from corrupting named_triggers list The following commands causes a crash: ~# cd /sys/kernel/tracing/events/rcu/rcu_callback ~# echo 'hist:name=bad:keys=common_pid:onmax(bogus).save(common_pid)' > trigger bash: echo: write error: Invalid argument ~# echo 'hist:name=bad:keys=common_pid' > trigger Because the following occurs: event_trigger_write() { trigger_process_regex() { event_hist_trigger_parse() { data = event_trigger_alloc(..); event_trigger_register(.., data) { cmd_ops->reg(.., data, ..) [hist_register_trigger()] { data->ops->init() [event_hist_trigger_init()] { save_named_trigger(name, data) { list_add(&data->named_list, &named_triggers); } } } } ret = create_actions(); (return -EINVAL) if (ret) goto out_unreg; [..] ret = hist_trigger_enable(data, ...) { list_add_tail_rcu(&data->list, &file->triggers); <<<---- SKIPPED!!! (this is important!) [..] out_unreg: event_hist_unregister(.., data) { cmd_ops->unreg(.., data, ..) [hist_unregister_trigger()] { list_for_each_entry(iter, &file->triggers, list) { if (!hist_trigger_match(data, iter, named_data, false)) <- never matches continue; [..] test = iter; } if (test && test->ops->free) <<<-- test is NULL test->ops->free(test) [event_hist_trigger_free()] { [..] if (data->name) del_named_trigger(data) { list_del(&data->named_list); <<<<-- NEVER gets removed! } } } } [..] kfree(data); <<<-- frees item but it is still on list The next time a hist with name is registered, it causes an u-a-f bug and the kernel can crash. Move the code around such that if event_trigger_register() succeeds, the next thing called is hist_trigger_enable() which adds it to the list. A bunch of actions is called if get_named_trigger_data() returns false. But that doesn't need to be called after event_trigger_register(), so it can be moved up, allowing event_trigger_register() to be called just before hist_trigger_enable() keeping them together and allowing the file->triggers to be properly populated. Уязвимость компонента tracing функции event_trigger_write ядра операционной системы Linux связана с недостаточной обработкой регулярных выражений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFSv4: Fix a deadlock when recovering state on a sillyrenamed file If the file is sillyrenamed, and slated for delete on close, it is possible for a server reboot to triggeer an open reclaim, with can again race with the application call to close(). When that happens, the call to put_nfs_open_context() can trigger a synchronous delegreturn call which deadlocks because it is not marked as privileged. Instead, ensure that the call to nfs4_inode_return_delegation_on_close() catches the delegreturn, and schedules it asynchronously. Уязвимость компонента NFSv4 функции close ядра операционной системы Linux связана с взаимной блокировкой потоков выполнения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/bnxt_re: Add sanity checks on rdev validity There is a possibility that ulp_irq_stop and ulp_irq_start callbacks will be called when the device is in detached state. This can cause a crash due to NULL pointer dereference as the rdev is already freed. Уязвимость компонента bnxt_re ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: acpi: typec: ucsi: Introduce a ->poll_cci method For the ACPI backend of UCSI the UCSI "registers" are just a memory copy of the register values in an opregion. The ACPI implementation in the BIOS ensures that the opregion contents are synced to the embedded controller and it ensures that the registers (in particular CCI) are synced back to the opregion on notifications. While there is an ACPI call that syncs the actual registers to the opregion there is rarely a need to do this and on some ACPI implementations it actually breaks in various interesting ways. The only reason to force a sync from the embedded controller is to poll CCI while notifications are disabled. Only the ucsi core knows if this is the case and guessing based on the current command is suboptimal, i.e. leading to the following spurious assertion splat: WARNING: CPU: 3 PID: 76 at drivers/usb/typec/ucsi/ucsi.c:1388 ucsi_reset_ppm+0x1b4/0x1c0 [typec_ucsi] CPU: 3 UID: 0 PID: 76 Comm: kworker/3:0 Not tainted 6.12.11-200.fc41.x86_64 #1 Hardware name: LENOVO 21D0/LNVNB161216, BIOS J6CN45WW 03/17/2023 Workqueue: events_long ucsi_init_work [typec_ucsi] RIP: 0010:ucsi_reset_ppm+0x1b4/0x1c0 [typec_ucsi] Call Trace: <TASK> ucsi_init_work+0x3c/0xac0 [typec_ucsi] process_one_work+0x179/0x330 worker_thread+0x252/0x390 kthread+0xd2/0x100 ret_from_fork+0x34/0x50 ret_from_fork_asm+0x1a/0x30 </TASK> Thus introduce a ->poll_cci() method that works like ->read_cci() with an additional forced sync and document that this should be used when polling with notifications disabled. For all other backends that presumably don't have this issue use the same implementation for both methods. Уязвимость функции poll_cci файла drivers/usb/typec/ucsi/ucsi.c ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mctp i3c: handle NULL header address daddr can be NULL if there is no neighbour table entry present, in that case the tx packet should be dropped. saddr will usually be set by MCTP core, but check for NULL in case a packet is transmitted by a different protocol. Уязвимость функции mctp_i3c_header_create() (drivers/net/mctp/mctp-i3c.c) ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: caif_virtio: fix wrong pointer check in cfv_probe() del_vqs() frees virtqueues, therefore cfv->vq_tx pointer should be checked for NULL before calling it, not cfv->vdev. Also the current implementation is redundant because the pointer cfv->vdev is dereferenced before it is checked for NULL. Fix this by checking cfv->vq_tx for NULL instead of cfv->vdev before calling del_vqs(). Уязвимость файла drivers/net/caif/caif_virtio.c ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: limit printed string from FW file There's no guarantee here that the file is always with a NUL-termination, so reading the string may read beyond the end of the TLV. If that's the last TLV in the file, it can perhaps even read beyond the end of the file buffer. Fix that by limiting the print format to the size of the buffer we have. Уязвимость компонента drivers/net/wireless/intel/iwlwifi ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: clean up ROC on failure If the firmware fails to start the session protection, then we do call iwl_mvm_roc_finished() here, but that won't do anything at all because IWL_MVM_STATUS_ROC_P2P_RUNNING was never set. Set IWL_MVM_STATUS_ROC_P2P_RUNNING in the failure/stop path. If it started successfully before, it's already set, so that doesn't matter, and if it didn't start it needs to be set to clean up. Not doing so will lead to a WARN_ON() later on a fresh remain- on-channel, since the link is already active when activated as it was never deactivated. Уязвимость функции iwl_mvm_rx_session_protect_notif() (drivers/net/wireless/intel/iwlwifi/mvm/time-event.c) ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-665')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=7.6) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm: memory-failure: update ttu flag inside unmap_poisoned_folio Patch series "mm: memory_failure: unmap poisoned folio during migrate properly", v3. Fix two bugs during folio migration if the folio is poisoned. This patch (of 3): Commit 6da6b1d4a7df ("mm/hwpoison: convert TTU_IGNORE_HWPOISON to TTU_HWPOISON") introduce TTU_HWPOISON to replace TTU_IGNORE_HWPOISON in order to stop send SIGBUS signal when accessing an error page after a memory error on a clean folio. However during page migration, anon folio must be set with TTU_HWPOISON during unmap_*(). For pagecache we need some policy just like the one in hwpoison_user_mappings to set this flag. So move this policy from hwpoison_user_mappings to unmap_poisoned_folio to handle this warning properly. Warning will be produced during unamp poison folio with the following log: ------------[ cut here ]------------ WARNING: CPU: 1 PID: 365 at mm/rmap.c:1847 try_to_unmap_one+0x8fc/0xd3c Modules linked in: CPU: 1 UID: 0 PID: 365 Comm: bash Tainted: G W 6.13.0-rc1-00018-gacdb4bbda7ab #42 Tainted: [W]=WARN Hardware name: QEMU QEMU Virtual Machine, BIOS 0.0.0 02/06/2015 pstate: 20400005 (nzCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : try_to_unmap_one+0x8fc/0xd3c lr : try_to_unmap_one+0x3dc/0xd3c Call trace: try_to_unmap_one+0x8fc/0xd3c (P) try_to_unmap_one+0x3dc/0xd3c (L) rmap_walk_anon+0xdc/0x1f8 rmap_walk+0x3c/0x58 try_to_unmap+0x88/0x90 unmap_poisoned_folio+0x30/0xa8 do_migrate_range+0x4a0/0x568 offline_pages+0x5a4/0x670 memory_block_action+0x17c/0x374 memory_subsys_offline+0x3c/0x78 device_offline+0xa4/0xd0 state_store+0x8c/0xf0 dev_attr_store+0x18/0x2c sysfs_kf_write+0x44/0x54 kernfs_fop_write_iter+0x118/0x1a8 vfs_write+0x3a8/0x4bc ksys_write+0x6c/0xf8 __arm64_sys_write+0x1c/0x28 invoke_syscall+0x44/0x100 el0_svc_common.constprop.0+0x40/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x30/0xd0 el0t_64_sync_handler+0xc8/0xcc el0t_64_sync+0x198/0x19c ---[ end trace 0000000000000000 ]--- [mawupeng1@huawei.com: unmap_poisoned_folio(): remove shadowed local `mapping', per Miaohe] [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFS: fix nfs_release_folio() to not deadlock via kcompactd writeback Add PF_KCOMPACTD flag and current_is_kcompactd() helper to check for it so nfs_release_folio() can skip calling nfs_wb_folio() from kcompactd. Otherwise NFS can deadlock waiting for kcompactd enduced writeback which recurses back to NFS (which triggers writeback to NFSD via NFS loopback mount on the same host, NFSD blocks waiting for XFS's call to __filemap_get_folio): 6070.550357] INFO: task kcompactd0:58 blocked for more than 4435 seconds. {--- [58] "kcompactd0" [<0>] folio_wait_bit+0xe8/0x200 [<0>] folio_wait_writeback+0x2b/0x80 [<0>] nfs_wb_folio+0x80/0x1b0 [nfs] [<0>] nfs_release_folio+0x68/0x130 [nfs] [<0>] split_huge_page_to_list_to_order+0x362/0x840 [<0>] migrate_pages_batch+0x43d/0xb90 [<0>] migrate_pages_sync+0x9a/0x240 [<0>] migrate_pages+0x93c/0x9f0 [<0>] compact_zone+0x8e2/0x1030 [<0>] compact_node+0xdb/0x120 [<0>] kcompactd+0x121/0x2e0 [<0>] kthread+0xcf/0x100 [<0>] ret_from_fork+0x31/0x40 [<0>] ret_from_fork_asm+0x1a/0x30 ---} [akpm@linux-foundation.org: fix build] Уязвимость функций kcompactd() (mm/compaction.c) и nfs_release_folio() (fs/nfs/file.c) ядра операционной системы Linux связана с некорректной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: nl80211: reject cooked mode if it is set along with other flags It is possible to set both MONITOR_FLAG_COOK_FRAMES and MONITOR_FLAG_ACTIVE flags simultaneously on the same monitor interface from the userspace. This causes a sub-interface to be created with no IEEE80211_SDATA_IN_DRIVER bit set because the monitor interface is in the cooked state and it takes precedence over all other states. When the interface is then being deleted the kernel calls WARN_ONCE() from check_sdata_in_driver() because of missing that bit. Fix this by rejecting MONITOR_FLAG_COOK_FRAMES if it is set along with other flags. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость функции parse_monitor_flags() (net/wireless/nl80211.c) ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: regulatory: improve invalid hints checking Syzbot keeps reporting an issue [1] that occurs when erroneous symbols sent from userspace get through into user_alpha2[] via regulatory_hint_user() call. Such invalid regulatory hints should be rejected. While a sanity check from commit 47caf685a685 ("cfg80211: regulatory: reject invalid hints") looks to be enough to deter these very cases, there is a way to get around it due to 2 reasons. 1) The way isalpha() works, symbols other than latin lower and upper letters may be used to determine a country/domain. For instance, greek letters will also be considered upper/lower letters and for such characters isalpha() will return true as well. However, ISO-3166-1 alpha2 codes should only hold latin characters. 2) While processing a user regulatory request, between reg_process_hint_user() and regulatory_hint_user() there happens to be a call to queue_regulatory_request() which modifies letters in request->alpha2[] with toupper(). This works fine for latin symbols, less so for weird letter characters from the second part of _ctype[]. Syzbot triggers a warning in is_user_regdom_saved() by first sending over an unexpected non-latin letter that gets malformed by toupper() into a character that ends up failing isalpha() check. Prevent this by enhancing is_an_alpha2() to ensure that incoming symbols are latin letters and nothing else. [1] Syzbot report: ------------[ cut here ]------------ Unexpected user alpha2: A� WARNING: CPU: 1 PID: 964 at net/wireless/reg.c:442 is_user_regdom_saved net/wireless/reg.c:440 [inline] WARNING: CPU: 1 PID: 964 at net/wireless/reg.c:442 restore_alpha2 net/wireless/reg.c:3424 [inline] WARNING: CPU: 1 PID: 964 at net/wireless/reg.c:442 restore_regulatory_settings+0x3c0/0x1e50 net/wireless/reg.c:3516 Modules linked in: CPU: 1 UID: 0 PID: 964 Comm: kworker/1:2 Not tainted 6.12.0-rc5-syzkaller-00044-gc1e939a21eb1 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Workqueue: events_power_efficient crda_timeout_work RIP: 0010:is_user_regdom_saved net/wireless/reg.c:440 [inline] RIP: 0010:restore_alpha2 net/wireless/reg.c:3424 [inline] RIP: 0010:restore_regulatory_settings+0x3c0/0x1e50 net/wireless/reg.c:3516 ... Call Trace: <TASK> crda_timeout_work+0x27/0x50 net/wireless/reg.c:542 process_one_work kernel/workqueue.c:3229 [inline] process_scheduled_works+0xa65/0x1850 kernel/workqueue.c:3310 worker_thread+0x870/0xd30 kernel/workqueue.c:3391 kthread+0x2f2/0x390 kernel/kthread.c:389 ret_from_fork+0x4d/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Уязвимость функции is_an_alpha2() (net/wireless/reg.c) ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/imagination: avoid deadlock on fence release Do scheduler queue fence release processing on a workqueue, rather than in the release function itself. Fixes deadlock issues such as the following: [ 607.400437] ============================================ [ 607.405755] WARNING: possible recursive locking detected [ 607.415500] -------------------------------------------- [ 607.420817] weston:zfq0/24149 is trying to acquire lock: [ 607.426131] ffff000017d041a0 (reservation_ww_class_mutex){+.+.}-{3:3}, at: pvr_gem_object_vunmap+0x40/0xc0 [powervr] [ 607.436728] but task is already holding lock: [ 607.442554] ffff000017d105a0 (reservation_ww_class_mutex){+.+.}-{3:3}, at: dma_buf_ioctl+0x250/0x554 [ 607.451727] other info that might help us debug this: [ 607.458245] Possible unsafe locking scenario: [ 607.464155] CPU0 [ 607.466601] ---- [ 607.469044] lock(reservation_ww_class_mutex); [ 607.473584] lock(reservation_ww_class_mutex); [ 607.478114] *** DEADLOCK *** Уязвимость функций pvr_queue_fence_get_driver_name() и pvr_queue_fence_init() (drivers/gpu/drm/imagination/pvr_queue.c) ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gpio: rcar: Use raw_spinlock to protect register access Use raw_spinlock in order to fix spurious messages about invalid context when spinlock debugging is enabled. The lock is only used to serialize register access. [ 4.239592] ============================= [ 4.239595] [ BUG: Invalid wait context ] [ 4.239599] 6.13.0-rc7-arm64-renesas-05496-gd088502a519f #35 Not tainted [ 4.239603] ----------------------------- [ 4.239606] kworker/u8:5/76 is trying to lock: [ 4.239609] ffff0000091898a0 (&p->lock){....}-{3:3}, at: gpio_rcar_config_interrupt_input_mode+0x34/0x164 [ 4.239641] other info that might help us debug this: [ 4.239643] context-{5:5} [ 4.239646] 5 locks held by kworker/u8:5/76: [ 4.239651] #0: ffff0000080fb148 ((wq_completion)async){+.+.}-{0:0}, at: process_one_work+0x190/0x62c [ 4.250180] OF: /soc/sound@ec500000/ports/port@0/endpoint: Read of boolean property 'frame-master' with a value. [ 4.254094] #1: ffff80008299bd80 ((work_completion)(&entry->work)){+.+.}-{0:0}, at: process_one_work+0x1b8/0x62c [ 4.254109] #2: ffff00000920c8f8 [ 4.258345] OF: /soc/sound@ec500000/ports/port@1/endpoint: Read of boolean property 'bitclock-master' with a value. [ 4.264803] (&dev->mutex){....}-{4:4}, at: __device_attach_async_helper+0x3c/0xdc [ 4.264820] #3: ffff00000a50ca40 (request_class#2){+.+.}-{4:4}, at: __setup_irq+0xa0/0x690 [ 4.264840] #4: [ 4.268872] OF: /soc/sound@ec500000/ports/port@1/endpoint: Read of boolean property 'frame-master' with a value. [ 4.273275] ffff00000a50c8c8 (lock_class){....}-{2:2}, at: __setup_irq+0xc4/0x690 [ 4.296130] renesas_sdhi_internal_dmac ee100000.mmc: mmc1 base at 0x00000000ee100000, max clock rate 200 MHz [ 4.304082] stack backtrace: [ 4.304086] CPU: 1 UID: 0 PID: 76 Comm: kworker/u8:5 Not tainted 6.13.0-rc7-arm64-renesas-05496-gd088502a519f #35 [ 4.304092] Hardware name: Renesas Salvator-X 2nd version board based on r8a77965 (DT) [ 4.304097] Workqueue: async async_run_entry_fn [ 4.304106] Call trace: [ 4.304110] show_stack+0x14/0x20 (C) [ 4.304122] dump_stack_lvl+0x6c/0x90 [ 4.304131] dump_stack+0x14/0x1c [ 4.304138] __lock_acquire+0xdfc/0x1584 [ 4.426274] lock_acquire+0x1c4/0x33c [ 4.429942] _raw_spin_lock_irqsave+0x5c/0x80 [ 4.434307] gpio_rcar_config_interrupt_input_mode+0x34/0x164 [ 4.440061] gpio_rcar_irq_set_type+0xd4/0xd8 [ 4.444422] __irq_set_trigger+0x5c/0x178 [ 4.448435] __setup_irq+0x2e4/0x690 [ 4.452012] request_threaded_irq+0xc4/0x190 [ 4.456285] devm_request_threaded_irq+0x7c/0xf4 [ 4.459398] ata1: link resume succeeded after 1 retries [ 4.460902] mmc_gpiod_request_cd_irq+0x68/0xe0 [ 4.470660] mmc_start_host+0x50/0xac [ 4.474327] mmc_add_host+0x80/0xe4 [ 4.477817] tmio_mmc_host_probe+0x2b0/0x440 [ 4.482094] renesas_sdhi_probe+0x488/0x6f4 [ 4.486281] renesas_sdhi_internal_dmac_probe+0x60/0x78 [ 4.491509] platform_probe+0x64/0xd8 [ 4.495178] really_probe+0xb8/0x2a8 [ 4.498756] __driver_probe_device+0x74/0x118 [ 4.503116] driver_probe_device+0x3c/0x154 [ 4.507303] __device_attach_driver+0xd4/0x160 [ 4.511750] bus_for_each_drv+0x84/0xe0 [ 4.515588] __device_attach_async_helper+0xb0/0xdc [ 4.520470] async_run_entry_fn+0x30/0xd8 [ 4.524481] process_one_work+0x210/0x62c [ 4.528494] worker_thread+0x1ac/0x340 [ 4.532245] kthread+0x10c/0x110 [ 4.535476] ret_from_fork+0x10/0x20 Уязвимость функций gpio_rcar_config_interrupt_input_mode(), gpio_rcar_config_general_input_output_mode(), gpio_rcar_get_multiple(), gpio_rcar_set(), gpio_rcar_set_multiple() и gpio_rcar_probe() (drivers/gpio/gpio-rcar.c) ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/amd_nb: Use rdmsr_safe() in amd_get_mmconfig_range() Xen doesn't offer MSR_FAM10H_MMIO_CONF_BASE to all guests. This results in the following warning: unchecked MSR access error: RDMSR from 0xc0010058 at rIP: 0xffffffff8101d19f (xen_do_read_msr+0x7f/0xa0) Call Trace: xen_read_msr+0x1e/0x30 amd_get_mmconfig_range+0x2b/0x80 quirk_amd_mmconfig_area+0x28/0x100 pnp_fixup_device+0x39/0x50 __pnp_add_device+0xf/0x150 pnp_add_device+0x3d/0x100 pnpacpi_add_device_handler+0x1f9/0x280 acpi_ns_get_device_callback+0x104/0x1c0 acpi_ns_walk_namespace+0x1d0/0x260 acpi_get_devices+0x8a/0xb0 pnpacpi_init+0x50/0x80 do_one_initcall+0x46/0x2e0 kernel_init_freeable+0x1da/0x2f0 kernel_init+0x16/0x1b0 ret_from_fork+0x30/0x50 ret_from_fork_asm+0x1b/0x30 based on quirks for a "PNP0c01" device. Treating MMCFG as disabled is the right course of action, so no change is needed there. This was most likely exposed by fixing the Xen MSR accessors to not be silently-safe. Уязвимость функции amd_get_mmconfig_range() модуля arch/x86/kernel/amd_nb.c ядра операционных систем Linux связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: slimbus: messaging: Free transaction ID in delayed interrupt scenario In case of interrupt delay for any reason, slim_do_transfer() returns timeout error but the transaction ID (TID) is not freed. This results into invalid memory access inside qcom_slim_ngd_rx_msgq_cb() due to invalid TID. Fix the issue by freeing the TID in slim_do_transfer() before returning timeout error to avoid invalid memory access. Call trace: __memcpy_fromio+0x20/0x190 qcom_slim_ngd_rx_msgq_cb+0x130/0x290 [slim_qcom_ngd_ctrl] vchan_complete+0x2a0/0x4a0 tasklet_action_common+0x274/0x700 tasklet_action+0x28/0x3c _stext+0x188/0x620 run_ksoftirqd+0x34/0x74 smpboot_thread_fn+0x1d8/0x464 kthread+0x178/0x238 ret_from_fork+0x10/0x20 Code: aa0003e8 91000429 f100044a 3940002b (3800150b) ---[ end trace 0fe00bec2b975c99 ]--- Kernel panic - not syncing: Oops: Fatal exception in interrupt. Уязвимость функции slim_do_transfer() драйвера (drivers/slimbus/messaging.c) ядра операционных систем Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cdx: Fix possible UAF error in driver_override_show() Fixed a possible UAF problem in driver_override_show() in drivers/cdx/cdx.c This function driver_override_show() is part of DEVICE_ATTR_RW, which includes both driver_override_show() and driver_override_store(). These functions can be executed concurrently in sysfs. The driver_override_store() function uses driver_set_override() to update the driver_override value, and driver_set_override() internally locks the device (device_lock(dev)). If driver_override_show() reads cdx_dev->driver_override without locking, it could potentially access a freed pointer if driver_override_store() frees the string concurrently. This could lead to printing a kernel address, which is a security risk since DEVICE_ATTR can be read by all users. Additionally, a similar pattern is used in drivers/amba/bus.c, as well as many other bus drivers, where device_lock() is taken in the show function, and it has been working without issues. This potential bug was detected by our experimental static analysis tool, which analyzes locking APIs and paired functions to identify data races and atomicity violations. Уязвимость функции driver_override_show() компонента drivers/cdx/cdx.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: atm: cxacru: fix a flaw in existing endpoint checks Syzbot once again identified a flaw in usb endpoint checking, see [1]. This time the issue stems from a commit authored by me (2eabb655a968 ("usb: atm: cxacru: fix endpoint checking in cxacru_bind()")). While using usb_find_common_endpoints() may usually be enough to discard devices with wrong endpoints, in this case one needs more than just finding and identifying the sufficient number of endpoints of correct types - one needs to check the endpoint's address as well. Since cxacru_bind() fills URBs with CXACRU_EP_CMD address in mind, switch the endpoint verification approach to usb_check_XXX_endpoints() instead to fix incomplete ep testing. [1] Syzbot report: usb 5-1: BOGUS urb xfer, pipe 3 != type 1 WARNING: CPU: 0 PID: 1378 at drivers/usb/core/urb.c:504 usb_submit_urb+0xc4e/0x18c0 drivers/usb/core/urb.c:503 ... RIP: 0010:usb_submit_urb+0xc4e/0x18c0 drivers/usb/core/urb.c:503 ... Call Trace: <TASK> cxacru_cm+0x3c8/0xe50 drivers/usb/atm/cxacru.c:649 cxacru_card_status drivers/usb/atm/cxacru.c:760 [inline] cxacru_bind+0xcf9/0x1150 drivers/usb/atm/cxacru.c:1223 usbatm_usb_probe+0x314/0x1d30 drivers/usb/atm/usbatm.c:1058 cxacru_usb_probe+0x184/0x220 drivers/usb/atm/cxacru.c:1377 usb_probe_interface+0x641/0xbb0 drivers/usb/core/driver.c:396 really_probe+0x2b9/0xad0 drivers/base/dd.c:658 __driver_probe_device+0x1a2/0x390 drivers/base/dd.c:800 driver_probe_device+0x50/0x430 drivers/base/dd.c:830 ... Уязвимость функции usb_find_common_endpoints() драйвера USB (drivers/usb/atm/cxacru.c) ядра операционных систем Linux связана с недостаточной проверкой входных данных при обработке конечных точек. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: renesas_usbhs: Flush the notify_hotplug_work When performing continuous unbind/bind operations on the USB drivers available on the Renesas RZ/G2L SoC, a kernel crash with the message "Unable to handle kernel NULL pointer dereference at virtual address" may occur. This issue points to the usbhsc_notify_hotplug() function. Flush the delayed work to avoid its execution when driver resources are unavailable. Уязвимость функции usbhsc_notify_hotplug() драйвера USB (drivers/usb/renesas_usbhs/common.c) ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: typec: ucsi: Fix NULL pointer access Resources should be released only after all threads that utilize them have been destroyed. This commit ensures that resources are not released prematurely by waiting for the associated workqueue to complete before deallocating them. Уязвимость драйвера USB (drivers/usb/typec/ucsi/ucsi.c) ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched/fair: Fix potential memory corruption in child_cfs_rq_on_list child_cfs_rq_on_list attempts to convert a 'prev' pointer to a cfs_rq. This 'prev' pointer can originate from struct rq's leaf_cfs_rq_list, making the conversion invalid and potentially leading to memory corruption. Depending on the relative positions of leaf_cfs_rq_list and the task group (tg) pointer within the struct, this can cause a memory fault or access garbage data. The issue arises in list_add_leaf_cfs_rq, where both cfs_rq->leaf_cfs_rq_list and rq->leaf_cfs_rq_list are added to the same leaf list. Also, rq->tmp_alone_branch can be set to rq->leaf_cfs_rq_list. This adds a check `if (prev == &rq->leaf_cfs_rq_list)` after the main conditional in child_cfs_rq_on_list. This ensures that the container_of operation will convert a correct cfs_rq struct. This check is sufficient because only cfs_rqs on the same CPU are added to the list, so verifying the 'prev' pointer against the current rq's list head is enough. Fixes a potential memory corruption issue that due to current struct layout might not be manifesting as a crash but could lead to unpredictable behavior when the layout changes. Уязвимость функции child_cfs_rq_on_list() компонента kernel/sched/fair.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vlan: enforce underlying device type Currently, VLAN devices can be created on top of non-ethernet devices. Besides the fact that it doesn't make much sense, this also causes a bug which leaks the address of a kernel function to usermode. When creating a VLAN device, we initialize GARP (garp_init_applicant) and MRP (mrp_init_applicant) for the underlying device. As part of the initialization process, we add the multicast address of each applicant to the underlying device, by calling dev_mc_add. __dev_mc_add uses dev->addr_len to determine the length of the new multicast address. This causes an out-of-bounds read if dev->addr_len is greater than 6, since the multicast addresses provided by GARP and MRP are only 6 bytes long. This behaviour can be reproduced using the following commands: ip tunnel add gretest mode ip6gre local ::1 remote ::2 dev lo ip l set up dev gretest ip link add link gretest name vlantest type vlan id 100 Then, the following command will display the address of garp_pdu_rcv: ip maddr show | grep 01:80:c2:00:00:21 Fix the bug by enforcing the type of the underlying device during VLAN device initialization. Уязвимость компонента net/8021q/vlan.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ethtool: netlink: Allow NULL nlattrs when getting a phy_device ethnl_req_get_phydev() is used to lookup a phy_device, in the case an ethtool netlink command targets a specific phydev within a netdev's topology. It takes as a parameter a const struct nlattr *header that's used for error handling : if (!phydev) { NL_SET_ERR_MSG_ATTR(extack, header, "no phy matching phyindex"); return ERR_PTR(-ENODEV); } In the notify path after a ->set operation however, there's no request attributes available. The typical callsite for the above function looks like: phydev = ethnl_req_get_phydev(req_base, tb[ETHTOOL_A_XXX_HEADER], info->extack); So, when tb is NULL (such as in the ethnl notify path), we have a nice crash. It turns out that there's only the PLCA command that is in that case, as the other phydev-specific commands don't have a notification. This commit fixes the crash by passing the cmd index and the nlattr array separately, allowing NULL-checking it directly inside the helper. Уязвимость функции ethnl_req_get_phydev() ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ppp: Fix KMSAN uninit-value warning with bpf Syzbot caught an "KMSAN: uninit-value" warning [1], which is caused by the ppp driver not initializing a 2-byte header when using socket filter. The following code can generate a PPP filter BPF program: ''' struct bpf_program fp; pcap_t *handle; handle = pcap_open_dead(DLT_PPP_PPPD, 65535); pcap_compile(handle, &fp, "ip and outbound", 0, 0); bpf_dump(&fp, 1); ''' Its output is: ''' (000) ldh [2] (001) jeq #0x21 jt 2 jf 5 (002) ldb [0] (003) jeq #0x1 jt 4 jf 5 (004) ret #65535 (005) ret #0 ''' Wen can find similar code at the following link: https://github.com/ppp-project/ppp/blob/master/pppd/options.c#L1680 The maintainer of this code repository is also the original maintainer of the ppp driver. As you can see the BPF program skips 2 bytes of data and then reads the 'Protocol' field to determine if it's an IP packet. Then it read the first byte of the first 2 bytes to determine the direction. The issue is that only the first byte indicating direction is initialized in current ppp driver code while the second byte is not initialized. For normal BPF programs generated by libpcap, uninitialized data won't be used, so it's not a problem. However, for carefully crafted BPF programs, such as those generated by syzkaller [2], which start reading from offset 0, the uninitialized data will be used and caught by KMSAN. [1] https://syzkaller.appspot.com/bug?extid=853242d9c9917165d791 [2] https://syzkaller.appspot.com/text?tag=ReproC&x=11994913980000 Уязвимость ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: hns3: make sure ptp clock is unregister and freed if hclge_ptp_get_cycle returns an error During the initialization of ptp, hclge_ptp_get_cycle might return an error and returned directly without unregister clock and free it. To avoid that, call hclge_ptp_destroy_clock to unregist and free clock if hclge_ptp_get_cycle failed. Уязвимость функции hclge_ptp_get_cycle() ядра операционной системы Linux связана с неверной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: llc: do not use skb_get() before dev_queue_xmit() syzbot is able to crash hosts [1], using llc and devices not supporting IFF_TX_SKB_SHARING. In this case, e1000 driver calls eth_skb_pad(), while the skb is shared. Simply replace skb_get() by skb_clone() in net/llc/llc_s_ac.c Note that e1000 driver might have an issue with pktgen, because it does not clear IFF_TX_SKB_SHARING, this is an orthogonal change. We need to audit other skb_get() uses in net/llc. [1] kernel BUG at net/core/skbuff.c:2178 ! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN NOPTI CPU: 0 UID: 0 PID: 16371 Comm: syz.2.2764 Not tainted 6.14.0-rc4-syzkaller-00052-gac9c34d1e45a #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:pskb_expand_head+0x6ce/0x1240 net/core/skbuff.c:2178 Call Trace: <TASK> __skb_pad+0x18a/0x610 net/core/skbuff.c:2466 __skb_put_padto include/linux/skbuff.h:3843 [inline] skb_put_padto include/linux/skbuff.h:3862 [inline] eth_skb_pad include/linux/etherdevice.h:656 [inline] e1000_xmit_frame+0x2d99/0x5800 drivers/net/ethernet/intel/e1000/e1000_main.c:3128 __netdev_start_xmit include/linux/netdevice.h:5151 [inline] netdev_start_xmit include/linux/netdevice.h:5160 [inline] xmit_one net/core/dev.c:3806 [inline] dev_hard_start_xmit+0x9a/0x7b0 net/core/dev.c:3822 sch_direct_xmit+0x1ae/0xc30 net/sched/sch_generic.c:343 __dev_xmit_skb net/core/dev.c:4045 [inline] __dev_queue_xmit+0x13d4/0x43e0 net/core/dev.c:4621 dev_queue_xmit include/linux/netdevice.h:3313 [inline] llc_sap_action_send_test_c+0x268/0x320 net/llc/llc_s_ac.c:144 llc_exec_sap_trans_actions net/llc/llc_sap.c:153 [inline] llc_sap_next_state net/llc/llc_sap.c:182 [inline] llc_sap_state_process+0x239/0x510 net/llc/llc_sap.c:209 llc_ui_sendmsg+0xd0d/0x14e0 net/llc/af_llc.c:993 sock_sendmsg_nosec net/socket.c:718 [inline] Уязвимость функции skb_get() ядра операционной системы Linux связана с некорректной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: gso: fix ownership in __udp_gso_segment In __udp_gso_segment the skb destructor is removed before segmenting the skb but the socket reference is kept as-is. This is an issue if the original skb is later orphaned as we can hit the following bug: kernel BUG at ./include/linux/skbuff.h:3312! (skb_orphan) RIP: 0010:ip_rcv_core+0x8b2/0xca0 Call Trace: ip_rcv+0xab/0x6e0 __netif_receive_skb_one_core+0x168/0x1b0 process_backlog+0x384/0x1100 __napi_poll.constprop.0+0xa1/0x370 net_rx_action+0x925/0xe50 The above can happen following a sequence of events when using OpenVSwitch, when an OVS_ACTION_ATTR_USERSPACE action precedes an OVS_ACTION_ATTR_OUTPUT action: 1. OVS_ACTION_ATTR_USERSPACE is handled (in do_execute_actions): the skb goes through queue_gso_packets and then __udp_gso_segment, where its destructor is removed. 2. The segments' data are copied and sent to userspace. 3. OVS_ACTION_ATTR_OUTPUT is handled (in do_execute_actions) and the same original skb is sent to its path. 4. If it later hits skb_orphan, we hit the bug. Fix this by also removing the reference to the socket in __udp_gso_segment. Уязвимость функции __udp_gso_segment() ядра операционной системы Linux связана с некорректной обработкой ошибок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvme-tcp: fix potential memory corruption in nvme_tcp_recv_pdu() nvme_tcp_recv_pdu() doesn't check the validity of the header length. When header digests are enabled, a target might send a packet with an invalid header length (e.g. 255), causing nvme_tcp_verify_hdgst() to access memory outside the allocated area and cause memory corruptions by overwriting it with the calculated digest. Fix this by rejecting packets with an unexpected header length. Уязвимость функции nvme_tcp_recv_pdu() компонента drivers/nvme/host/tcp.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль nvme-tcp в ядро системы, для этого выполнить одну из команд: ```bash lsmod | grep nvme-tcp``` или ```bash kmod list | grep nvme-tcp``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: команда для выгрузки модуля nvme-tcp.ko: ```bash sudo rmmod nvme-tcp``` 2. Запретить загрузку модулей: От имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл `/etc/modprobe.d/blacklist.local.conf` или файл `/etc/modprobe.d/nvme-tcp.conf`. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; добавить в файл строку: ```bash install nvme-tcp /bin/false``` сохранить файл. 3. Обновить текущий образ initramfs: ```bash sudo update-initramfs -uk all``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: intel-ish-hid: Fix use-after-free issue in ishtp_hid_remove() The system can experience a random crash a few minutes after the driver is removed. This issue occurs due to improper handling of memory freeing in the ishtp_hid_remove() function. The function currently frees the `driver_data` directly within the loop that destroys the HID devices, which can lead to accessing freed memory. Specifically, `hid_destroy_device()` uses `driver_data` when it calls `hid_ishtp_set_feature()` to power off the sensor, so freeing `driver_data` beforehand can result in accessing invalid memory. This patch resolves the issue by storing the `driver_data` in a temporary variable before calling `hid_destroy_device()`, and then freeing the `driver_data` after the device is destroyed. Уязвимость функции ishtp_hid_remove() компонента drivers/hid/intel-ish-hid/ishtp-hid.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: intel-ish-hid: Fix use-after-free issue in hid_ishtp_cl_remove() During the `rmmod` operation for the `intel_ishtp_hid` driver, a use-after-free issue can occur in the hid_ishtp_cl_remove() function. The function hid_ishtp_cl_deinit() is called before ishtp_hid_remove(), which can lead to accessing freed memory or resources during the removal process. Call Trace: ? ishtp_cl_send+0x168/0x220 [intel_ishtp] ? hid_output_report+0xe3/0x150 [hid] hid_ishtp_set_feature+0xb5/0x120 [intel_ishtp_hid] ishtp_hid_request+0x7b/0xb0 [intel_ishtp_hid] hid_hw_request+0x1f/0x40 [hid] sensor_hub_set_feature+0x11f/0x190 [hid_sensor_hub] _hid_sensor_power_state+0x147/0x1e0 [hid_sensor_trigger] hid_sensor_runtime_resume+0x22/0x30 [hid_sensor_trigger] sensor_hub_remove+0xa8/0xe0 [hid_sensor_hub] hid_device_remove+0x49/0xb0 [hid] hid_destroy_device+0x6f/0x90 [hid] ishtp_hid_remove+0x42/0x70 [intel_ishtp_hid] hid_ishtp_cl_remove+0x6b/0xb0 [intel_ishtp_hid] ishtp_cl_device_remove+0x4a/0x60 [intel_ishtp] ... Additionally, ishtp_hid_remove() is a HID level power off, which should occur before the ISHTP level disconnect. This patch resolves the issue by reordering the calls in hid_ishtp_cl_remove(). The function ishtp_hid_remove() is now called before hid_ishtp_cl_deinit(). Уязвимость функции hid_ishtp_cl_remove() компонента drivers/hid/intel-ish-hid/ishtp-hid-client.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: don't try to talk to a dead firmware This fixes: bad state = 0 WARNING: CPU: 10 PID: 702 at drivers/net/wireless/inel/iwlwifi/iwl-trans.c:178 iwl_trans_send_cmd+0xba/0xe0 [iwlwifi] Call Trace: <TASK> ? __warn+0xca/0x1c0 ? iwl_trans_send_cmd+0xba/0xe0 [iwlwifi 64fa9ad799a0e0d2ba53d4af93a53ad9a531f8d4] iwl_fw_dbg_clear_monitor_buf+0xd7/0x110 [iwlwifi 64fa9ad799a0e0d2ba53d4af93a53ad9a531f8d4] _iwl_dbgfs_fw_dbg_clear_write+0xe2/0x120 [iwlmvm 0e8adb18cea92d2c341766bcc10b18699290068a] Ask whether the firmware is alive before sending a command. Уязвимость ядра операционной системы Linux связана с некорректной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hwpoison, memory_hotplug: lock folio before unmap hwpoisoned folio Commit b15c87263a69 ("hwpoison, memory_hotplug: allow hwpoisoned pages to be offlined) add page poison checks in do_migrate_range in order to make offline hwpoisoned page possible by introducing isolate_lru_page and try_to_unmap for hwpoisoned page. However folio lock must be held before calling try_to_unmap. Add it to fix this problem. Warning will be produced if folio is not locked during unmap: ------------[ cut here ]------------ kernel BUG at ./include/linux/swapops.h:400! Internal error: Oops - BUG: 00000000f2000800 [#1] PREEMPT SMP Modules linked in: CPU: 4 UID: 0 PID: 411 Comm: bash Tainted: G W 6.13.0-rc1-00016-g3c434c7ee82a-dirty #41 Tainted: [W]=WARN Hardware name: QEMU QEMU Virtual Machine, BIOS 0.0.0 02/06/2015 pstate: 40400005 (nZcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : try_to_unmap_one+0xb08/0xd3c lr : try_to_unmap_one+0x3dc/0xd3c Call trace: try_to_unmap_one+0xb08/0xd3c (P) try_to_unmap_one+0x3dc/0xd3c (L) rmap_walk_anon+0xdc/0x1f8 rmap_walk+0x3c/0x58 try_to_unmap+0x88/0x90 unmap_poisoned_folio+0x30/0xa8 do_migrate_range+0x4a0/0x568 offline_pages+0x5a4/0x670 memory_block_action+0x17c/0x374 memory_subsys_offline+0x3c/0x78 device_offline+0xa4/0xd0 state_store+0x8c/0xf0 dev_attr_store+0x18/0x2c sysfs_kf_write+0x44/0x54 kernfs_fop_write_iter+0x118/0x1a8 vfs_write+0x3a8/0x4bc ksys_write+0x6c/0xf8 __arm64_sys_write+0x1c/0x28 invoke_syscall+0x44/0x100 el0_svc_common.constprop.0+0x40/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x30/0xd0 el0t_64_sync_handler+0xc8/0xcc el0t_64_sync+0x198/0x19c Code: f9407be0 b5fff320 d4210000 17ffff97 (d4210000) ---[ end trace 0000000000000000 ]--- Уязвимость компонента memory_hotplug ядра операционной системы Linux связана с некорректной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm: abort vma_modify() on merge out of memory failure The remainder of vma_modify() relies upon the vmg state remaining pristine after a merge attempt. Usually this is the case, however in the one edge case scenario of a merge attempt failing not due to the specified range being unmergeable, but rather due to an out of memory error arising when attempting to commit the merge, this assumption becomes untrue. This results in vmg->start, end being modified, and thus the proceeding attempts to split the VMA will be done with invalid start/end values. Thankfully, it is likely practically impossible for us to hit this in reality, as it would require a maple tree node pre-allocation failure that would likely never happen due to it being 'too small to fail', i.e. the kernel would simply keep retrying reclaim until it succeeded. However, this scenario remains theoretically possible, and what we are doing here is wrong so we must correct it. The safest option is, when this scenario occurs, to simply give up the operation. If we cannot allocate memory to merge, then we cannot allocate memory to split either (perhaps moreso!). Any scenario where this would be happening would be under very extreme (likely fatal) memory pressure, so it's best we give up early. So there is no doubt it is appropriate to simply bail out in this scenario. However, in general we must if at all possible never assume VMG state is stable after a merge attempt, since merge operations update VMG fields. As a result, additionally also make this clear by storing start, end in local variables. The issue was reported originally by syzkaller, and by Brad Spengler (via an off-list discussion), and in both instances it manifested as a triggering of the assert: VM_WARN_ON_VMG(start >= end, vmg); In vma_merge_existing_range(). It seems at least one scenario in which this is occurring is one in which the merge being attempted is due to an madvise() across multiple VMAs which looks like this: start end |<------>| |----------|------| | vma | next | |----------|------| When madvise_walk_vmas() is invoked, we first find vma in the above (determining prev to be equal to vma as we are offset into vma), and then enter the loop. We determine the end of vma that forms part of the range we are madvise()'ing by setting 'tmp' to this value: /* Here vma->vm_start <= start < (end|vma->vm_end) */ tmp = vma->vm_end; We then invoke the madvise() operation via visit(), letting prev get updated to point to vma as part of the operation: /* Here vma->vm_start <= start < tmp <= (end|vma->vm_end). */ error = visit(vma, &prev, start, tmp, arg); Where the visit() function pointer in this instance is madvise_vma_behavior(). As observed in syzkaller reports, it is ultimately madvise_update_vma() that is invoked, calling vma_modify_flags_name() and vma_modify() in turn. Then, in vma_modify(), we attempt the merge: merged = vma_merge_existing_range(vmg); if (merged) return merged; We invoke this with vmg->start, end set to start, tmp as such: start tmp |<--->| |----------|------| | vma | next | |----------|------| We find ourselves in the merge right scenario, but the one in which we cannot remove the middle (we are offset into vma). Here we have a special case where vmg->start, end get set to perhaps unintuitive values - we intended to shrink the middle VMA and expand the next. This means vmg->start, end are set to... vma->vm_start, start. Now the commit_merge() fails, and vmg->start, end are left like this. This means we return to the rest of vma_modify() with vmg->start, end (here denoted as start', end') set as: start' end' |<-->| |----------|------| | vma | next | |----------|------| So we now erroneously try to split accordingly. This is where the unfortunate ---truncated--- Уязвимость компонента mm ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rapidio: fix an API misues when rio_add_net() fails rio_add_net() calls device_register() and fails when device_register() fails. Thus, put_device() should be used rather than kfree(). Add "mport->net = NULL;" to avoid a use after free issue. Уязвимость компонента drivers/rapidio/devices/rio_mport_cdev.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rapidio: add check for rio_add_net() in rio_scan_alloc_net() The return value of rio_add_net() should be checked. If it fails, put_device() should be called to free the memory and give up the reference initialized in rio_add_net(). Уязвимость функции rio_add_net() модуля drivers/rapidio/rio-scan.c ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Add check for mgmt_alloc_skb() in mgmt_device_connected() Add check for the return value of mgmt_alloc_skb() in mgmt_device_connected() to prevent null pointer dereference. Уязвимость функции mgmt_alloc_skb() модуля net/bluetooth/mgmt.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Add check for mgmt_alloc_skb() in mgmt_remote_name() Add check for the return value of mgmt_alloc_skb() in mgmt_remote_name() to prevent null pointer dereference. Уязвимость функции mgmt_alloc_skb() модуля net/bluetooth/mgmt.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: fix 'scheduling while atomic' in mptcp_pm_nl_append_new_local_addr If multiple connection requests attempt to create an implicit mptcp endpoint in parallel, more than one caller may end up in mptcp_pm_nl_append_new_local_addr because none found the address in local_addr_list during their call to mptcp_pm_nl_get_local_id. In this case, the concurrent new_local_addr calls may delete the address entry created by the previous caller. These deletes use synchronize_rcu, but this is not permitted in some of the contexts where this function may be called. During packet recv, the caller may be in a rcu read critical section and have preemption disabled. An example stack: BUG: scheduling while atomic: swapper/2/0/0x00000302 Call Trace: <IRQ> dump_stack_lvl (lib/dump_stack.c:117 (discriminator 1)) dump_stack (lib/dump_stack.c:124) __schedule_bug (kernel/sched/core.c:5943) schedule_debug.constprop.0 (arch/x86/include/asm/preempt.h:33 kernel/sched/core.c:5970) __schedule (arch/x86/include/asm/jump_label.h:27 include/linux/jump_label.h:207 kernel/sched/features.h:29 kernel/sched/core.c:6621) schedule (arch/x86/include/asm/preempt.h:84 kernel/sched/core.c:6804 kernel/sched/core.c:6818) schedule_timeout (kernel/time/timer.c:2160) wait_for_completion (kernel/sched/completion.c:96 kernel/sched/completion.c:116 kernel/sched/completion.c:127 kernel/sched/completion.c:148) __wait_rcu_gp (include/linux/rcupdate.h:311 kernel/rcu/update.c:444) synchronize_rcu (kernel/rcu/tree.c:3609) mptcp_pm_nl_append_new_local_addr (net/mptcp/pm_netlink.c:966 net/mptcp/pm_netlink.c:1061) mptcp_pm_nl_get_local_id (net/mptcp/pm_netlink.c:1164) mptcp_pm_get_local_id (net/mptcp/pm.c:420) subflow_check_req (net/mptcp/subflow.c:98 net/mptcp/subflow.c:213) subflow_v4_route_req (net/mptcp/subflow.c:305) tcp_conn_request (net/ipv4/tcp_input.c:7216) subflow_v4_conn_request (net/mptcp/subflow.c:651) tcp_rcv_state_process (net/ipv4/tcp_input.c:6709) tcp_v4_do_rcv (net/ipv4/tcp_ipv4.c:1934) tcp_v4_rcv (net/ipv4/tcp_ipv4.c:2334) ip_protocol_deliver_rcu (net/ipv4/ip_input.c:205 (discriminator 1)) ip_local_deliver_finish (include/linux/rcupdate.h:813 net/ipv4/ip_input.c:234) ip_local_deliver (include/linux/netfilter.h:314 include/linux/netfilter.h:308 net/ipv4/ip_input.c:254) ip_sublist_rcv_finish (include/net/dst.h:461 net/ipv4/ip_input.c:580) ip_sublist_rcv (net/ipv4/ip_input.c:640) ip_list_rcv (net/ipv4/ip_input.c:675) __netif_receive_skb_list_core (net/core/dev.c:5583 net/core/dev.c:5631) netif_receive_skb_list_internal (net/core/dev.c:5685 net/core/dev.c:5774) napi_complete_done (include/linux/list.h:37 include/net/gro.h:449 include/net/gro.h:444 net/core/dev.c:6114) igb_poll (drivers/net/ethernet/intel/igb/igb_main.c:8244) igb __napi_poll (net/core/dev.c:6582) net_rx_action (net/core/dev.c:6653 net/core/dev.c:6787) handle_softirqs (kernel/softirq.c:553) __irq_exit_rcu (kernel/softirq.c:588 kernel/softirq.c:427 kernel/softirq.c:636) irq_exit_rcu (kernel/softirq.c:651) common_interrupt (arch/x86/kernel/irq.c:247 (discriminator 14)) </IRQ> This problem seems particularly prevalent if the user advertises an endpoint that has a different external vs internal address. In the case where the external address is advertised and multiple connections already exist, multiple subflow SYNs arrive in parallel which tends to trigger the race during creation of the first local_addr_list entries which have the internal address instead. Fix by skipping the replacement of an existing implicit local address if called via mptcp_pm_nl_get_local_id. Уязвимость функции mptcp_pm_nl_append_new_local_addr() модуля net/mptcp/pm_netlink.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe/hmm: Don't dereference struct page pointers without notifier lock The pnfs that we obtain from hmm_range_fault() point to pages that we don't have a reference on, and the guarantee that they are still in the cpu page-tables is that the notifier lock must be held and the notifier seqno is still valid. So while building the sg table and marking the pages accesses / dirty we need to hold this lock with a validated seqno. However, the lock is reclaim tainted which makes sg_alloc_table_from_pages_segment() unusable, since it internally allocates memory. Instead build the sg-table manually. For the non-iommu case this might lead to fewer coalesces, but if that's a problem it can be fixed up later in the resource cursor code. For the iommu case, the whole sg-table may still be coalesced to a single contigous device va region. This avoids marking pages that we don't own dirty and accessed, and it also avoid dereferencing struct pages that we don't own. v2: - Use assert to check whether hmm pfns are valid (Matthew Auld) - Take into account that large pages may cross range boundaries (Matthew Auld) v3: - Don't unnecessarily check for a non-freed sg-table. (Matthew Auld) - Add a missing up_read() in an error path. (Matthew Auld) (cherry picked from commit ea3e66d280ce2576664a862693d1da8fd324c317) Уязвимость функции hmm_range_fault() модуля drivers/gpu/drm/xe/xe_hmm.c ядра операционной системы Linux связана с некорректной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: Fix NULL Pointer Dereference in KFD queue Through KFD IOCTL Fuzzing we encountered a NULL pointer derefrence when calling kfd_queue_acquire_buffers. (cherry picked from commit 049e5bf3c8406f87c3d8e1958e0a16804fa1d530) Уязвимость функции kfd_queue_acquire_buffers() модуля drivers/gpu/drm/amd/amdkfd/kfd_queue.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix null check for pipe_ctx->plane_state in resource_build_scaling_params Null pointer dereference issue could occur when pipe_ctx->plane_state is null. The fix adds a check to ensure 'pipe_ctx->plane_state' is not null before accessing. This prevents a null pointer dereference. Found by code review. (cherry picked from commit 63e6a77ccf239337baa9b1e7787cde9fa0462092) Уязвимость функции resource_build_scaling_params() модуля drivers/gpu/drm/amd/display/dc/core/dc_resource.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gpio: aggregator: protect driver attr handlers against module unload Both new_device_store and delete_device_store touch module global resources (e.g. gpio_aggregator_lock). To prevent race conditions with module unload, a reference needs to be held. Add try_module_get() in these handlers. For new_device_store, this eliminates what appears to be the most dangerous scenario: if an id is allocated from gpio_aggregator_idr but platform_device_register has not yet been called or completed, a concurrent module unload could fail to unregister/delete the device, leaving behind a dangling platform device/GPIO forwarder. This can result in various issues. The following simple reproducer demonstrates these problems: #!/bin/bash while :; do # note: whether 'gpiochip0 0' exists or not does not matter. echo 'gpiochip0 0' > /sys/bus/platform/drivers/gpio-aggregator/new_device done & while :; do modprobe gpio-aggregator modprobe -r gpio-aggregator done & wait Starting with the following warning, several kinds of warnings will appear and the system may become unstable: ------------[ cut here ]------------ list_del corruption, ffff888103e2e980->next is LIST_POISON1 (dead000000000100) WARNING: CPU: 1 PID: 1327 at lib/list_debug.c:56 __list_del_entry_valid_or_report+0xa3/0x120 [...] RIP: 0010:__list_del_entry_valid_or_report+0xa3/0x120 [...] Call Trace: <TASK> ? __list_del_entry_valid_or_report+0xa3/0x120 ? __warn.cold+0x93/0xf2 ? __list_del_entry_valid_or_report+0xa3/0x120 ? report_bug+0xe6/0x170 ? __irq_work_queue_local+0x39/0xe0 ? handle_bug+0x58/0x90 ? exc_invalid_op+0x13/0x60 ? asm_exc_invalid_op+0x16/0x20 ? __list_del_entry_valid_or_report+0xa3/0x120 gpiod_remove_lookup_table+0x22/0x60 new_device_store+0x315/0x350 [gpio_aggregator] kernfs_fop_write_iter+0x137/0x1f0 vfs_write+0x262/0x430 ksys_write+0x60/0xd0 do_syscall_64+0x6c/0x180 entry_SYSCALL_64_after_hwframe+0x76/0x7e [...] </TASK> ---[ end trace 0000000000000000 ]--- Уязвимость модуля drivers/gpio/gpio-aggregator.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix bug on trap in smb2_lock If lock count is greater than 1, flags could be old value. It should be checked with flags of smb_lock, not flags. It will cause bug-on trap from locks_free_lock in error handling routine. Уязвимость функции smb2_lock() модуля fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с некорректной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in smb2_lock If smb_lock->zero_len has value, ->llist of smb_lock is not delete and flock is old one. It will cause use-after-free on error handling routine. Уязвимость компонента ksmbd ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix out-of-bounds in parse_sec_desc() If osidoffset, gsidoffset and dacloffset could be greater than smb_ntsd struct size. If it is smaller, It could cause slab-out-of-bounds. And when validating sid, It need to check it included subauth array size. Уязвимость компонента fs/smb/server/smbacl.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix type confusion via race condition when using ipc_msg_send_request req->handle is allocated using ksmbd_acquire_id(&ipc_ida), based on ida_alloc. req->handle from ksmbd_ipc_login_request and FSCTL_PIPE_TRANSCEIVE ioctl can be same and it could lead to type confusion between messages, resulting in access to unexpected parts of memory after an incorrect delivery. ksmbd check type of ipc response but missing add continue to check next ipc reponse. Уязвимость функции ipc_msg_send_request() модуля fs/smb/server/transport_ipc.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: appleir: Fix potential NULL dereference at raw event handle Syzkaller reports a NULL pointer dereference issue in input_event(). BUG: KASAN: null-ptr-deref in instrument_atomic_read include/linux/instrumented.h:68 [inline] BUG: KASAN: null-ptr-deref in _test_bit include/asm-generic/bitops/instrumented-non-atomic.h:141 [inline] BUG: KASAN: null-ptr-deref in is_event_supported drivers/input/input.c:67 [inline] BUG: KASAN: null-ptr-deref in input_event+0x42/0xa0 drivers/input/input.c:395 Read of size 8 at addr 0000000000000028 by task syz-executor199/2949 CPU: 0 UID: 0 PID: 2949 Comm: syz-executor199 Not tainted 6.13.0-rc4-syzkaller-00076-gf097a36ef88d #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Call Trace: <IRQ> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 kasan_report+0xd9/0x110 mm/kasan/report.c:602 check_region_inline mm/kasan/generic.c:183 [inline] kasan_check_range+0xef/0x1a0 mm/kasan/generic.c:189 instrument_atomic_read include/linux/instrumented.h:68 [inline] _test_bit include/asm-generic/bitops/instrumented-non-atomic.h:141 [inline] is_event_supported drivers/input/input.c:67 [inline] input_event+0x42/0xa0 drivers/input/input.c:395 input_report_key include/linux/input.h:439 [inline] key_down drivers/hid/hid-appleir.c:159 [inline] appleir_raw_event+0x3e5/0x5e0 drivers/hid/hid-appleir.c:232 __hid_input_report.constprop.0+0x312/0x440 drivers/hid/hid-core.c:2111 hid_ctrl+0x49f/0x550 drivers/hid/usbhid/hid-core.c:484 __usb_hcd_giveback_urb+0x389/0x6e0 drivers/usb/core/hcd.c:1650 usb_hcd_giveback_urb+0x396/0x450 drivers/usb/core/hcd.c:1734 dummy_timer+0x17f7/0x3960 drivers/usb/gadget/udc/dummy_hcd.c:1993 __run_hrtimer kernel/time/hrtimer.c:1739 [inline] __hrtimer_run_queues+0x20a/0xae0 kernel/time/hrtimer.c:1803 hrtimer_run_softirq+0x17d/0x350 kernel/time/hrtimer.c:1820 handle_softirqs+0x206/0x8d0 kernel/softirq.c:561 __do_softirq kernel/softirq.c:595 [inline] invoke_softirq kernel/softirq.c:435 [inline] __irq_exit_rcu+0xfa/0x160 kernel/softirq.c:662 irq_exit_rcu+0x9/0x30 kernel/softirq.c:678 instr_sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1049 [inline] sysvec_apic_timer_interrupt+0x90/0xb0 arch/x86/kernel/apic/apic.c:1049 </IRQ> <TASK> asm_sysvec_apic_timer_interrupt+0x1a/0x20 arch/x86/include/asm/idtentry.h:702 __mod_timer+0x8f6/0xdc0 kernel/time/timer.c:1185 add_timer+0x62/0x90 kernel/time/timer.c:1295 schedule_timeout+0x11f/0x280 kernel/time/sleep_timeout.c:98 usbhid_wait_io+0x1c7/0x380 drivers/hid/usbhid/hid-core.c:645 usbhid_init_reports+0x19f/0x390 drivers/hid/usbhid/hid-core.c:784 hiddev_ioctl+0x1133/0x15b0 drivers/hid/usbhid/hiddev.c:794 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl fs/ioctl.c:892 [inline] __x64_sys_ioctl+0x190/0x200 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> This happens due to the malformed report items sent by the emulated device which results in a report, that has no fields, being added to the report list. Due to this appleir_input_configured() is never called, hidinput_connect() fails which results in the HID_CLAIMED_INPUT flag is not being set. However, it does not make appleir_probe() fail and lets the event callback to be called without the associated input device. Thus, add a check for the HID_CLAIMED_INPUT flag and leave the event hook early if the driver didn't claim any input_dev for some reason. Moreover, some other hid drivers accessing input_dev in their event callbacks do have similar checks, too. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость функции input_event() модуля drivers/hid/hid-appleir.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drivers: virt: acrn: hsm: Use kzalloc to avoid info leak in pmcmd_ioctl In the "pmcmd_ioctl" function, three memory objects allocated by kmalloc are initialized by "hcall_get_cpu_state", which are then copied to user space. The initializer is indeed implemented in "acrn_hypercall2" (arch/x86/include/asm/acrn.h). There is a risk of information leakage due to uninitialized bytes. Уязвимость компонента hsm ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bus: mhi: host: pci_generic: Use pci_try_reset_function() to avoid deadlock There are multiple places from where the recovery work gets scheduled asynchronously. Also, there are multiple places where the caller waits synchronously for the recovery to be completed. One such place is during the PM shutdown() callback. If the device is not alive during recovery_work, it will try to reset the device using pci_reset_function(). This function internally will take the device_lock() first before resetting the device. By this time, if the lock has already been acquired, then recovery_work will get stalled while waiting for the lock. And if the lock was already acquired by the caller which waits for the recovery_work to be completed, it will lead to deadlock. This is what happened on the X1E80100 CRD device when the device died before shutdown() callback. Driver core calls the driver's shutdown() callback while holding the device_lock() leading to deadlock. And this deadlock scenario can occur on other paths as well, like during the PM suspend() callback, where the driver core would hold the device_lock() before calling driver's suspend() callback. And if the recovery_work was already started, it could lead to deadlock. This is also observed on the X1E80100 CRD. So to fix both issues, use pci_try_reset_function() in recovery_work. This function first checks for the availability of the device_lock() before trying to reset the device. If the lock is available, it will acquire it and reset the device. Otherwise, it will return -EAGAIN. If that happens, recovery_work will fail with the error message "Recovery failed" as not much could be done. Уязвимость компонента mhi ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netmem: prevent TX of unreadable skbs Currently on stable trees we have support for netmem/devmem RX but not TX. It is not safe to forward/redirect an RX unreadable netmem packet into the device's TX path, as the device may call dma-mapping APIs on dma addrs that should not be passed to it. Fix this by preventing the xmit of unreadable skbs. Tested by configuring tc redirect: sudo tc qdisc add dev eth1 ingress sudo tc filter add dev eth1 ingress protocol ip prio 1 flower ip_proto \ tcp src_ip 192.168.1.12 action mirred egress redirect dev eth1 Before, I see unreadable skbs in the driver's TX path passed to dma mapping APIs. After, I don't see unreadable skbs in the driver's TX path passed to dma mapping APIs. Уязвимость компонента netmem ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: prevent connection release during oplock break notification ksmbd_work could be freed when after connection release. Increment r_count of ksmbd_conn to indicate that requests are not finished yet and to not release the connection. [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Assign normalized_pix_clk when color depth = 14 [WHY & HOW] A warning message "WARNING: CPU: 4 PID: 459 at ... /dc_resource.c:3397 calculate_phy_pix_clks+0xef/0x100 [amdgpu]" occurs because the display_color_depth == COLOR_DEPTH_141414 is not handled. This is observed in Radeon RX 6600 XT. It is fixed by assigning pix_clk * (14 * 3) / 24 - same as the rests. Also fixes the indentation in get_norm_pix_clk. (cherry picked from commit 274a87eb389f58eddcbc5659ab0b180b37e92775) Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: qla1280: Fix kernel oops when debug level > 2 A null dereference or oops exception will eventually occur when qla1280.c driver is compiled with DEBUG_QLA1280 enabled and ql_debug_level > 2. I think its clear from the code that the intention here is sg_dma_len(s) not length of sg_next(s) when printing the debug info. Уязвимость компонента qla1280.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Revert "openvswitch: switch to per-action label counting in conntrack" Currently, ovs_ct_set_labels() is only called for confirmed conntrack entries (ct) within ovs_ct_commit(). However, if the conntrack entry does not have the labels_ext extension, attempting to allocate it in ovs_ct_get_conn_labels() for a confirmed entry triggers a warning in nf_ct_ext_add(): WARN_ON(nf_ct_is_confirmed(ct)); This happens when the conntrack entry is created externally before OVS increments net->ct.labels_used. The issue has become more likely since commit fcb1aa5163b1 ("openvswitch: switch to per-action label counting in conntrack"), which changed to use per-action label counting and increment net->ct.labels_used when a flow with ct action is added. Since there’s no straightforward way to fully resolve this issue at the moment, this reverts the commit to avoid breaking existing use cases. Уязвимость ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_conncount: Fully initialize struct nf_conncount_tuple in insert_tree() Since commit b36e4523d4d5 ("netfilter: nf_conncount: fix garbage collection confirm race"), `cpu` and `jiffies32` were introduced to the struct nf_conncount_tuple. The commit made nf_conncount_add() initialize `conn->cpu` and `conn->jiffies32` when allocating the struct. In contrast, count_tree() was not changed to initialize them. By commit 34848d5c896e ("netfilter: nf_conncount: Split insert and traversal"), count_tree() was split and the relevant allocation code now resides in insert_tree(). Initialize `conn->cpu` and `conn->jiffies32` in insert_tree(). BUG: KMSAN: uninit-value in find_or_evict net/netfilter/nf_conncount.c:117 [inline] BUG: KMSAN: uninit-value in __nf_conncount_add+0xd9c/0x2850 net/netfilter/nf_conncount.c:143 find_or_evict net/netfilter/nf_conncount.c:117 [inline] __nf_conncount_add+0xd9c/0x2850 net/netfilter/nf_conncount.c:143 count_tree net/netfilter/nf_conncount.c:438 [inline] nf_conncount_count+0x82f/0x1e80 net/netfilter/nf_conncount.c:521 connlimit_mt+0x7f6/0xbd0 net/netfilter/xt_connlimit.c:72 __nft_match_eval net/netfilter/nft_compat.c:403 [inline] nft_match_eval+0x1a5/0x300 net/netfilter/nft_compat.c:433 expr_call_ops_eval net/netfilter/nf_tables_core.c:240 [inline] nft_do_chain+0x426/0x2290 net/netfilter/nf_tables_core.c:288 nft_do_chain_ipv4+0x1a5/0x230 net/netfilter/nft_chain_filter.c:23 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xf4/0x400 net/netfilter/core.c:626 nf_hook_slow_list+0x24d/0x860 net/netfilter/core.c:663 NF_HOOK_LIST include/linux/netfilter.h:350 [inline] ip_sublist_rcv+0x17b7/0x17f0 net/ipv4/ip_input.c:633 ip_list_rcv+0x9ef/0xa40 net/ipv4/ip_input.c:669 __netif_receive_skb_list_ptype net/core/dev.c:5936 [inline] __netif_receive_skb_list_core+0x15c5/0x1670 net/core/dev.c:5983 __netif_receive_skb_list net/core/dev.c:6035 [inline] netif_receive_skb_list_internal+0x1085/0x1700 net/core/dev.c:6126 netif_receive_skb_list+0x5a/0x460 net/core/dev.c:6178 xdp_recv_frames net/bpf/test_run.c:280 [inline] xdp_test_run_batch net/bpf/test_run.c:361 [inline] bpf_test_run_xdp_live+0x2e86/0x3480 net/bpf/test_run.c:390 bpf_prog_test_run_xdp+0xf1d/0x1ae0 net/bpf/test_run.c:1316 bpf_prog_test_run+0x5e5/0xa30 kernel/bpf/syscall.c:4407 __sys_bpf+0x6aa/0xd90 kernel/bpf/syscall.c:5813 __do_sys_bpf kernel/bpf/syscall.c:5902 [inline] __se_sys_bpf kernel/bpf/syscall.c:5900 [inline] __ia32_sys_bpf+0xa0/0xe0 kernel/bpf/syscall.c:5900 ia32_sys_call+0x394d/0x4180 arch/x86/include/generated/asm/syscalls_32.h:358 do_syscall_32_irqs_on arch/x86/entry/common.c:165 [inline] __do_fast_syscall_32+0xb0/0x110 arch/x86/entry/common.c:387 do_fast_syscall_32+0x38/0x80 arch/x86/entry/common.c:412 do_SYSENTER_32+0x1f/0x30 arch/x86/entry/common.c:450 entry_SYSENTER_compat_after_hwframe+0x84/0x8e Uninit was created at: slab_post_alloc_hook mm/slub.c:4121 [inline] slab_alloc_node mm/slub.c:4164 [inline] kmem_cache_alloc_noprof+0x915/0xe10 mm/slub.c:4171 insert_tree net/netfilter/nf_conncount.c:372 [inline] count_tree net/netfilter/nf_conncount.c:450 [inline] nf_conncount_count+0x1415/0x1e80 net/netfilter/nf_conncount.c:521 connlimit_mt+0x7f6/0xbd0 net/netfilter/xt_connlimit.c:72 __nft_match_eval net/netfilter/nft_compat.c:403 [inline] nft_match_eval+0x1a5/0x300 net/netfilter/nft_compat.c:433 expr_call_ops_eval net/netfilter/nf_tables_core.c:240 [inline] nft_do_chain+0x426/0x2290 net/netfilter/nf_tables_core.c:288 nft_do_chain_ipv4+0x1a5/0x230 net/netfilter/nft_chain_filter.c:23 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xf4/0x400 net/netfilter/core.c:626 nf_hook_slow_list+0x24d/0x860 net/netfilter/core.c:663 NF_HOOK_LIST include/linux/netfilter.h:350 [inline] ip_sublist_rcv+0x17b7/0x17f0 net/ipv4/ip_input.c:633 ip_list_rcv+0x9ef/0xa40 net/ip ---truncated--- Уязвимость компонента nf_conncount ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: eth: bnxt: do not update checksum in bnxt_xdp_build_skb() The bnxt_rx_pkt() updates ip_summed value at the end if checksum offload is enabled. When the XDP-MB program is attached and it returns XDP_PASS, the bnxt_xdp_build_skb() is called to update skb_shared_info. The main purpose of bnxt_xdp_build_skb() is to update skb_shared_info, but it updates ip_summed value too if checksum offload is enabled. This is actually duplicate work. When the bnxt_rx_pkt() updates ip_summed value, it checks if ip_summed is CHECKSUM_NONE or not. It means that ip_summed should be CHECKSUM_NONE at this moment. But ip_summed may already be updated to CHECKSUM_UNNECESSARY in the XDP-MB-PASS path. So the by skb_checksum_none_assert() WARNS about it. This is duplicate work and updating ip_summed in the bnxt_xdp_build_skb() is not needed. Splat looks like: WARNING: CPU: 3 PID: 5782 at ./include/linux/skbuff.h:5155 bnxt_rx_pkt+0x479b/0x7610 [bnxt_en] Modules linked in: bnxt_re bnxt_en rdma_ucm rdma_cm iw_cm ib_cm ib_uverbs veth xt_nat xt_tcpudp xt_conntrack nft_chain_nat xt_MASQUERADE nf_] CPU: 3 UID: 0 PID: 5782 Comm: socat Tainted: G W 6.14.0-rc4+ #27 Tainted: [W]=WARN Hardware name: ASUS System Product Name/PRIME Z690-P D4, BIOS 0603 11/01/2021 RIP: 0010:bnxt_rx_pkt+0x479b/0x7610 [bnxt_en] Code: 54 24 0c 4c 89 f1 4c 89 ff c1 ea 1f ff d3 0f 1f 00 49 89 c6 48 85 c0 0f 84 4c e5 ff ff 48 89 c7 e8 ca 3d a0 c8 e9 8f f4 ff ff <0f> 0b f RSP: 0018:ffff88881ba09928 EFLAGS: 00010202 RAX: 0000000000000000 RBX: 00000000c7590303 RCX: 0000000000000000 RDX: 1ffff1104e7d1610 RSI: 0000000000000001 RDI: ffff8881c91300b8 RBP: ffff88881ba09b28 R08: ffff888273e8b0d0 R09: ffff888273e8b070 R10: ffff888273e8b010 R11: ffff888278b0f000 R12: ffff888273e8b080 R13: ffff8881c9130e00 R14: ffff8881505d3800 R15: ffff888273e8b000 FS: 00007f5a2e7be080(0000) GS:ffff88881ba00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fff2e708ff8 CR3: 000000013e3b0000 CR4: 00000000007506f0 PKRU: 55555554 Call Trace: <IRQ> ? __warn+0xcd/0x2f0 ? bnxt_rx_pkt+0x479b/0x7610 ? report_bug+0x326/0x3c0 ? handle_bug+0x53/0xa0 ? exc_invalid_op+0x14/0x50 ? asm_exc_invalid_op+0x16/0x20 ? bnxt_rx_pkt+0x479b/0x7610 ? bnxt_rx_pkt+0x3e41/0x7610 ? __pfx_bnxt_rx_pkt+0x10/0x10 ? napi_complete_done+0x2cf/0x7d0 __bnxt_poll_work+0x4e8/0x1220 ? __pfx___bnxt_poll_work+0x10/0x10 ? __pfx_mark_lock.part.0+0x10/0x10 bnxt_poll_p5+0x36a/0xfa0 ? __pfx_bnxt_poll_p5+0x10/0x10 __napi_poll.constprop.0+0xa0/0x440 net_rx_action+0x899/0xd00 ... Following ping.py patch adds xdp-mb-pass case. so ping.py is going to be able to reproduce this issue. Уязвимость компонента drivers/net/ethernet/broadcom/bnxt ядра операционной системы Linux связана с дублированием операций на ресурсе. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: eth: bnxt: fix truesize for mb-xdp-pass case When mb-xdp is set and return is XDP_PASS, packet is converted from xdp_buff to sk_buff with xdp_update_skb_shared_info() in bnxt_xdp_build_skb(). bnxt_xdp_build_skb() passes incorrect truesize argument to xdp_update_skb_shared_info(). The truesize is calculated as BNXT_RX_PAGE_SIZE * sinfo->nr_frags but the skb_shared_info was wiped by napi_build_skb() before. So it stores sinfo->nr_frags before bnxt_xdp_build_skb() and use it instead of getting skb_shared_info from xdp_get_shared_info_from_buff(). Splat looks like: ------------[ cut here ]------------ WARNING: CPU: 2 PID: 0 at net/core/skbuff.c:6072 skb_try_coalesce+0x504/0x590 Modules linked in: xt_nat xt_tcpudp veth af_packet xt_conntrack nft_chain_nat xt_MASQUERADE nf_conntrack_netlink xfrm_user xt_addrtype nft_coms CPU: 2 UID: 0 PID: 0 Comm: swapper/2 Not tainted 6.14.0-rc2+ #3 RIP: 0010:skb_try_coalesce+0x504/0x590 Code: 4b fd ff ff 49 8b 34 24 40 80 e6 40 0f 84 3d fd ff ff 49 8b 74 24 48 40 f6 c6 01 0f 84 2e fd ff ff 48 8d 4e ff e9 25 fd ff ff <0f> 0b e99 RSP: 0018:ffffb62c4120caa8 EFLAGS: 00010287 RAX: 0000000000000003 RBX: ffffb62c4120cb14 RCX: 0000000000000ec0 RDX: 0000000000001000 RSI: ffffa06e5d7dc000 RDI: 0000000000000003 RBP: ffffa06e5d7ddec0 R08: ffffa06e6120a800 R09: ffffa06e7a119900 R10: 0000000000002310 R11: ffffa06e5d7dcec0 R12: ffffe4360575f740 R13: ffffe43600000000 R14: 0000000000000002 R15: 0000000000000002 FS: 0000000000000000(0000) GS:ffffa0755f700000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f147b76b0f8 CR3: 00000001615d4000 CR4: 00000000007506f0 PKRU: 55555554 Call Trace: <IRQ> ? __warn+0x84/0x130 ? skb_try_coalesce+0x504/0x590 ? report_bug+0x18a/0x1a0 ? handle_bug+0x53/0x90 ? exc_invalid_op+0x14/0x70 ? asm_exc_invalid_op+0x16/0x20 ? skb_try_coalesce+0x504/0x590 inet_frag_reasm_finish+0x11f/0x2e0 ip_defrag+0x37a/0x900 ip_local_deliver+0x51/0x120 ip_sublist_rcv_finish+0x64/0x70 ip_sublist_rcv+0x179/0x210 ip_list_rcv+0xf9/0x130 How to reproduce: <Node A> ip link set $interface1 xdp obj xdp_pass.o ip link set $interface1 mtu 9000 up ip a a 10.0.0.1/24 dev $interface1 <Node B> ip link set $interfac2 mtu 9000 up ip a a 10.0.0.2/24 dev $interface2 ping 10.0.0.1 -s 65000 Following ping.py patch adds xdp-mb-pass case. so ping.py is going to be able to reproduce this issue. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: Fix integer overflow while processing closetimeo mount option User-provided mount parameter closetimeo of type u32 is intended to have an upper limit, but before it is validated, the value is converted from seconds to jiffies which can lead to an integer overflow. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента cifs ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: Fix integer overflow while processing acdirmax mount option User-provided mount parameter acdirmax of type u32 is intended to have an upper limit, but before it is validated, the value is converted from seconds to jiffies which can lead to an integer overflow. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента cifs ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: Fix integer overflow while processing acregmax mount option User-provided mount parameter acregmax of type u32 is intended to have an upper limit, but before it is validated, the value is converted from seconds to jiffies which can lead to an integer overflow. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента cifs ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched_ext: Validate prev_cpu in scx_bpf_select_cpu_dfl() If a BPF scheduler provides an invalid CPU (outside the nr_cpu_ids range) as prev_cpu to scx_bpf_select_cpu_dfl() it can cause a kernel crash. To prevent this, validate prev_cpu in scx_bpf_select_cpu_dfl() and trigger an scx error if an invalid CPU is specified. Уязвимость компонента sched_ext ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm-flakey: Fix memory corruption in optional corrupt_bio_byte feature Fix memory corruption due to incorrect parameter being passed to bio_init Уязвимость компонента drivers/md/dm-flakey.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in ksmbd_free_work_struct ->interim_entry of ksmbd_work could be deleted after oplock is freed. We don't need to manage it with linked list. The interim request could be immediately sent whenever a oplock break wait is needed. Уязвимость компонента ksmbd ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ksmbd.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль ksmbd в ядро системы, для этого выполнить одну из команд: lsmod | grep ksmbd или kmod list | grep ksmbd Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: команда для выгрузки модуля ksmbd.ko: sudo rmmod ksmbd 2. Запретить загрузку модулей: от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-ksmbd.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; добавить в файл строку: install ksmbd /bin/false сохранить файл. 3. Обновить текущий образ initramfs: sudo update-initramfs -uk all Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix slab-use-after-free on hdcp_work [Why] A slab-use-after-free is reported when HDCP is destroyed but the property_validate_dwork queue is still running. [How] Cancel the delayed work when destroying workqueue. (cherry picked from commit 725a04ba5a95e89c89633d4322430cfbca7ce128) Уязвимость компонента drivers/gpu/drm/amd/display/amdgpu_dm ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: L2CAP: Fix slab-use-after-free Read in l2cap_send_cmd After the hci sync command releases l2cap_conn, the hci receive data work queue references the released l2cap_conn when sending to the upper layer. Add hci dev lock to the hci receive data work queue to synchronize the two. [1] BUG: KASAN: slab-use-after-free in l2cap_send_cmd+0x187/0x8d0 net/bluetooth/l2cap_core.c:954 Read of size 8 at addr ffff8880271a4000 by task kworker/u9:2/5837 CPU: 0 UID: 0 PID: 5837 Comm: kworker/u9:2 Not tainted 6.13.0-rc5-syzkaller-00163-gab75170520d4 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Workqueue: hci1 hci_rx_work Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x169/0x550 mm/kasan/report.c:489 kasan_report+0x143/0x180 mm/kasan/report.c:602 l2cap_build_cmd net/bluetooth/l2cap_core.c:2964 [inline] l2cap_send_cmd+0x187/0x8d0 net/bluetooth/l2cap_core.c:954 l2cap_sig_send_rej net/bluetooth/l2cap_core.c:5502 [inline] l2cap_sig_channel net/bluetooth/l2cap_core.c:5538 [inline] l2cap_recv_frame+0x221f/0x10db0 net/bluetooth/l2cap_core.c:6817 hci_acldata_packet net/bluetooth/hci_core.c:3797 [inline] hci_rx_work+0x508/0xdb0 net/bluetooth/hci_core.c:4040 process_one_work kernel/workqueue.c:3229 [inline] process_scheduled_works+0xa66/0x1840 kernel/workqueue.c:3310 worker_thread+0x870/0xd30 kernel/workqueue.c:3391 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> Allocated by task 5837: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0x98/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __kmalloc_cache_noprof+0x243/0x390 mm/slub.c:4329 kmalloc_noprof include/linux/slab.h:901 [inline] kzalloc_noprof include/linux/slab.h:1037 [inline] l2cap_conn_add+0xa9/0x8e0 net/bluetooth/l2cap_core.c:6860 l2cap_connect_cfm+0x115/0x1090 net/bluetooth/l2cap_core.c:7239 hci_connect_cfm include/net/bluetooth/hci_core.h:2057 [inline] hci_remote_features_evt+0x68e/0xac0 net/bluetooth/hci_event.c:3726 hci_event_func net/bluetooth/hci_event.c:7473 [inline] hci_event_packet+0xac2/0x1540 net/bluetooth/hci_event.c:7525 hci_rx_work+0x3f3/0xdb0 net/bluetooth/hci_core.c:4035 process_one_work kernel/workqueue.c:3229 [inline] process_scheduled_works+0xa66/0x1840 kernel/workqueue.c:3310 worker_thread+0x870/0xd30 kernel/workqueue.c:3391 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 Freed by task 54: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x40/0x50 mm/kasan/generic.c:582 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x59/0x70 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2353 [inline] slab_free mm/slub.c:4613 [inline] kfree+0x196/0x430 mm/slub.c:4761 l2cap_connect_cfm+0xcc/0x1090 net/bluetooth/l2cap_core.c:7235 hci_connect_cfm include/net/bluetooth/hci_core.h:2057 [inline] hci_conn_failed+0x287/0x400 net/bluetooth/hci_conn.c:1266 hci_abort_conn_sync+0x56c/0x11f0 net/bluetooth/hci_sync.c:5603 hci_cmd_sync_work+0x22b/0x400 net/bluetooth/hci_sync.c:332 process_one_work kernel/workqueue.c:3229 [inline] process_scheduled_works+0xa66/0x1840 kernel/workqueue.c:3310 worker_thread+0x870/0xd30 kernel/workqueue.c:3391 kthread+0x2f0/0x390 kernel/kthread.c:389 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entr ---truncated--- Уязвимость компонента net/bluetooth/l2cap_core.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Bridge, fix the crash caused by LAG state check When removing LAG device from bridge, NETDEV_CHANGEUPPER event is triggered. Driver finds the lower devices (PFs) to flush all the offloaded entries. And mlx5_lag_is_shared_fdb is checked, it returns false if one of PF is unloaded. In such case, mlx5_esw_bridge_lag_rep_get() and its caller return NULL, instead of the alive PF, and the flush is skipped. Besides, the bridge fdb entry's lastuse is updated in mlx5 bridge event handler. But this SWITCHDEV_FDB_ADD_TO_BRIDGE event can be ignored in this case because the upper interface for bond is deleted, and the entry will never be aged because lastuse is never updated. To make things worse, as the entry is alive, mlx5 bridge workqueue keeps sending that event, which is then handled by kernel bridge notifier. It causes the following crash when accessing the passed bond netdev which is already destroyed. To fix this issue, remove such checks. LAG state is already checked in commit 15f8f168952f ("net/mlx5: Bridge, verify LAG state when adding bond to bridge"), driver still need to skip offload if LAG becomes invalid state after initialization. Oops: stack segment: 0000 [#1] SMP CPU: 3 UID: 0 PID: 23695 Comm: kworker/u40:3 Tainted: G OE 6.11.0_mlnx #1 Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 Workqueue: mlx5_bridge_wq mlx5_esw_bridge_update_work [mlx5_core] RIP: 0010:br_switchdev_event+0x2c/0x110 [bridge] Code: 44 00 00 48 8b 02 48 f7 00 00 02 00 00 74 69 41 54 55 53 48 83 ec 08 48 8b a8 08 01 00 00 48 85 ed 74 4a 48 83 fe 02 48 89 d3 <4c> 8b 65 00 74 23 76 49 48 83 fe 05 74 7e 48 83 fe 06 75 2f 0f b7 RSP: 0018:ffffc900092cfda0 EFLAGS: 00010297 RAX: ffff888123bfe000 RBX: ffffc900092cfe08 RCX: 00000000ffffffff RDX: ffffc900092cfe08 RSI: 0000000000000001 RDI: ffffffffa0c585f0 RBP: 6669746f6e690a30 R08: 0000000000000000 R09: ffff888123ae92c8 R10: 0000000000000000 R11: fefefefefefefeff R12: ffff888123ae9c60 R13: 0000000000000001 R14: ffffc900092cfe08 R15: 0000000000000000 FS: 0000000000000000(0000) GS:ffff88852c980000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f15914c8734 CR3: 0000000002830005 CR4: 0000000000770ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? __die_body+0x1a/0x60 ? die+0x38/0x60 ? do_trap+0x10b/0x120 ? do_error_trap+0x64/0xa0 ? exc_stack_segment+0x33/0x50 ? asm_exc_stack_segment+0x22/0x30 ? br_switchdev_event+0x2c/0x110 [bridge] ? sched_balance_newidle.isra.149+0x248/0x390 notifier_call_chain+0x4b/0xa0 atomic_notifier_call_chain+0x16/0x20 mlx5_esw_bridge_update+0xec/0x170 [mlx5_core] mlx5_esw_bridge_update_work+0x19/0x40 [mlx5_core] process_scheduled_works+0x81/0x390 worker_thread+0x106/0x250 ? bh_worker+0x110/0x110 kthread+0xb7/0xe0 ? kthread_park+0x80/0x80 ret_from_fork+0x2d/0x50 ? kthread_park+0x80/0x80 ret_from_fork_asm+0x11/0x20 </TASK> Уязвимость компонента net/mlx5 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: Prevent creation of classes with TC_H_ROOT The function qdisc_tree_reduce_backlog() uses TC_H_ROOT as a termination condition when traversing up the qdisc tree to update parent backlog counters. However, if a class is created with classid TC_H_ROOT, the traversal terminates prematurely at this class instead of reaching the actual root qdisc, causing parent statistics to be incorrectly maintained. In case of DRR, this could lead to a crash as reported by Mingi Cho. Prevent the creation of any Qdisc class with classid TC_H_ROOT (0xFFFFFFFF) across all qdisc types, as suggested by Jamal. Уязвимость компонента net_sched ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: mctp: unshare packets when reassembling Ensure that the frag_list used for reassembly isn't shared with other packets. This avoids incorrect reassembly when packets are cloned, and prevents a memory leak due to circular references between fragments and their skb_shared_info. The upcoming MCTP-over-USB driver uses skb_clone which can trigger the problem - other MCTP drivers don't share SKBs. A kunit test is added to reproduce the issue. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: eth: bnxt: fix kernel panic in the bnxt_get_queue_stats{rx | tx} When qstats-get operation is executed, callbacks of netdev_stats_ops are called. The bnxt_get_queue_stats{rx | tx} collect per-queue stats from sw_stats in the rings. But {rx | tx | cp}_ring are allocated when the interface is up. So, these rings are not allocated when the interface is down. The qstats-get is allowed even if the interface is down. However, the bnxt_get_queue_stats{rx | tx}() accesses cp_ring and tx_ring without null check. So, it needs to avoid accessing rings if the interface is down. Reproducer: ip link set $interface down ./cli.py --spec netdev.yaml --dump qstats-get OR ip link set $interface down python ./stats.py Splat looks like: BUG: kernel NULL pointer dereference, address: 0000000000000000 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 1680fa067 P4D 1680fa067 PUD 16be3b067 PMD 0 Oops: Oops: 0000 [#1] PREEMPT SMP NOPTI CPU: 0 UID: 0 PID: 1495 Comm: python3 Not tainted 6.14.0-rc4+ #32 5cd0f999d5a15c574ac72b3e4b907341 Hardware name: ASUS System Product Name/PRIME Z690-P D4, BIOS 0603 11/01/2021 RIP: 0010:bnxt_get_queue_stats_rx+0xf/0x70 [bnxt_en] Code: c6 87 b5 18 00 00 02 eb a2 66 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 0f 1f 44 01 RSP: 0018:ffffabef43cdb7e0 EFLAGS: 00010282 RAX: 0000000000000000 RBX: ffffffffc04c8710 RCX: 0000000000000000 RDX: ffffabef43cdb858 RSI: 0000000000000000 RDI: ffff8d504e850000 RBP: ffff8d506c9f9c00 R08: 0000000000000004 R09: ffff8d506bcd901c R10: 0000000000000015 R11: ffff8d506bcd9000 R12: 0000000000000000 R13: ffffabef43cdb8c0 R14: ffff8d504e850000 R15: 0000000000000000 FS: 00007f2c5462b080(0000) GS:ffff8d575f600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 0000000167fd0000 CR4: 00000000007506f0 PKRU: 55555554 Call Trace: <TASK> ? __die+0x20/0x70 ? page_fault_oops+0x15a/0x460 ? sched_balance_find_src_group+0x58d/0xd10 ? exc_page_fault+0x6e/0x180 ? asm_exc_page_fault+0x22/0x30 ? bnxt_get_queue_stats_rx+0xf/0x70 [bnxt_en cdd546fd48563c280cfd30e9647efa420db07bf1] netdev_nl_stats_by_netdev+0x2b1/0x4e0 ? xas_load+0x9/0xb0 ? xas_find+0x183/0x1d0 ? xa_find+0x8b/0xe0 netdev_nl_qstats_get_dumpit+0xbf/0x1e0 genl_dumpit+0x31/0x90 netlink_dump+0x1a8/0x360 Уязвимость компонента bnxt ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: eth: bnxt: return fail if interface is down in bnxt_queue_mem_alloc() The bnxt_queue_mem_alloc() is called to allocate new queue memory when a queue is restarted. It internally accesses rx buffer descriptor corresponding to the index. The rx buffer descriptor is allocated and set when the interface is up and it's freed when the interface is down. So, if queue is restarted if interface is down, kernel panic occurs. Splat looks like: BUG: unable to handle page fault for address: 000000000000b240 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] PREEMPT SMP NOPTI CPU: 3 UID: 0 PID: 1563 Comm: ncdevmem2 Not tainted 6.14.0-rc2+ #9 844ddba6e7c459cafd0bf4db9a3198e Hardware name: ASUS System Product Name/PRIME Z690-P D4, BIOS 0603 11/01/2021 RIP: 0010:bnxt_queue_mem_alloc+0x3f/0x4e0 [bnxt_en] Code: 41 54 4d 89 c4 4d 69 c0 c0 05 00 00 55 48 89 f5 53 48 89 fb 4c 8d b5 40 05 00 00 48 83 ec 15 RSP: 0018:ffff9dcc83fef9e8 EFLAGS: 00010202 RAX: ffffffffc0457720 RBX: ffff934ed8d40000 RCX: 0000000000000000 RDX: 000000000000001f RSI: ffff934ea508f800 RDI: ffff934ea508f808 RBP: ffff934ea508f800 R08: 000000000000b240 R09: ffff934e84f4b000 R10: ffff9dcc83fefa30 R11: ffff934e84f4b000 R12: 000000000000001f R13: ffff934ed8d40ac0 R14: ffff934ea508fd40 R15: ffff934e84f4b000 FS: 00007fa73888c740(0000) GS:ffff93559f780000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000000000b240 CR3: 0000000145a2e000 CR4: 00000000007506f0 PKRU: 55555554 Call Trace: <TASK> ? __die+0x20/0x70 ? page_fault_oops+0x15a/0x460 ? exc_page_fault+0x6e/0x180 ? asm_exc_page_fault+0x22/0x30 ? __pfx_bnxt_queue_mem_alloc+0x10/0x10 [bnxt_en 7f85e76f4d724ba07471d7e39d9e773aea6597b7] ? bnxt_queue_mem_alloc+0x3f/0x4e0 [bnxt_en 7f85e76f4d724ba07471d7e39d9e773aea6597b7] netdev_rx_queue_restart+0xc5/0x240 net_devmem_bind_dmabuf_to_queue+0xf8/0x200 netdev_nl_bind_rx_doit+0x3a7/0x450 genl_family_rcv_msg_doit+0xd9/0x130 genl_rcv_msg+0x184/0x2b0 ? __pfx_netdev_nl_bind_rx_doit+0x10/0x10 ? __pfx_genl_rcv_msg+0x10/0x10 netlink_rcv_skb+0x54/0x100 genl_rcv+0x24/0x40 ... Уязвимость компонента bnxt ядра операционной системы Linux связана с ненадлежащей очисткой при обработке исключениия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: handle errors in mlx5_chains_create_table() In mlx5_chains_create_table(), the return value of mlx5_get_fdb_sub_ns() and mlx5_get_flow_namespace() must be checked to prevent NULL pointer dereferences. If either function fails, the function should log error message with mlx5_core_warn() and return error pointer. Уязвимость компонента net/mlx5 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: hyperv_fb: Allow graceful removal of framebuffer When a Hyper-V framebuffer device is unbind, hyperv_fb driver tries to release the framebuffer forcefully. If this framebuffer is in use it produce the following WARN and hence this framebuffer is never released. [ 44.111220] WARNING: CPU: 35 PID: 1882 at drivers/video/fbdev/core/fb_info.c:70 framebuffer_release+0x2c/0x40 < snip > [ 44.111289] Call Trace: [ 44.111290] <TASK> [ 44.111291] ? show_regs+0x6c/0x80 [ 44.111295] ? __warn+0x8d/0x150 [ 44.111298] ? framebuffer_release+0x2c/0x40 [ 44.111300] ? report_bug+0x182/0x1b0 [ 44.111303] ? handle_bug+0x6e/0xb0 [ 44.111306] ? exc_invalid_op+0x18/0x80 [ 44.111308] ? asm_exc_invalid_op+0x1b/0x20 [ 44.111311] ? framebuffer_release+0x2c/0x40 [ 44.111313] ? hvfb_remove+0x86/0xa0 [hyperv_fb] [ 44.111315] vmbus_remove+0x24/0x40 [hv_vmbus] [ 44.111323] device_remove+0x40/0x80 [ 44.111325] device_release_driver_internal+0x20b/0x270 [ 44.111327] ? bus_find_device+0xb3/0xf0 Fix this by moving the release of framebuffer and assosiated memory to fb_ops.fb_destroy function, so that framebuffer framework handles it gracefully. While we fix this, also replace manual registrations/unregistration of framebuffer with devm_register_framebuffer. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: hyperv_fb: Fix hang in kdump kernel when on Hyper-V Gen 2 VMs Gen 2 Hyper-V VMs boot via EFI and have a standard EFI framebuffer device. When the kdump kernel runs in such a VM, loading the efifb driver may hang because of accessing the framebuffer at the wrong memory address. The scenario occurs when the hyperv_fb driver in the original kernel moves the framebuffer to a different MMIO address because of conflicts with an already-running efifb or simplefb driver. The hyperv_fb driver then informs Hyper-V of the change, which is allowed by the Hyper-V FB VMBus device protocol. However, when the kexec command loads the kdump kernel into crash memory via the kexec_file_load() system call, the system call doesn't know the framebuffer has moved, and it sets up the kdump screen_info using the original framebuffer address. The transition to the kdump kernel does not go through the Hyper-V host, so Hyper-V does not reset the framebuffer address like it would do on a reboot. When efifb tries to run, it accesses a non-existent framebuffer address, which traps to the Hyper-V host. After many such accesses, the Hyper-V host thinks the guest is being malicious, and throttles the guest to the point that it runs very slowly or appears to have hung. When the kdump kernel is loaded into crash memory via the kexec_load() system call, the problem does not occur. In this case, the kexec command builds the screen_info table itself in user space from data returned by the FBIOGET_FSCREENINFO ioctl against /dev/fb0, which gives it the new framebuffer location. This problem was originally reported in 2020 [1], resulting in commit 3cb73bc3fa2a ("hyperv_fb: Update screen_info after removing old framebuffer"). This commit solved the problem by setting orig_video_isVGA to 0, so the kdump kernel was unaware of the EFI framebuffer. The efifb driver did not try to load, and no hang occurred. But in 2024, commit c25a19afb81c ("fbdev/hyperv_fb: Do not clear global screen_info") effectively reverted 3cb73bc3fa2a. Commit c25a19afb81c has no reference to 3cb73bc3fa2a, so perhaps it was done without knowing the implications that were reported with 3cb73bc3fa2a. In any case, as of commit c25a19afb81c, the original problem came back again. Interestingly, the hyperv_drm driver does not have this problem because it never moves the framebuffer. The difference is that the hyperv_drm driver removes any conflicting framebuffers *before* allocating an MMIO address, while the hyperv_fb drivers removes conflicting framebuffers *after* allocating an MMIO address. With the "after" ordering, hyperv_fb may encounter a conflict and move the framebuffer to a different MMIO address. But the conflict is essentially bogus because it is removed a few lines of code later. Rather than fix the problem with the approach from 2020 in commit 3cb73bc3fa2a, instead slightly reorder the steps in hyperv_fb so conflicting framebuffers are removed before allocating an MMIO address. Then the default framebuffer MMIO address should always be available, and there's never any confusion about which framebuffer address the kdump kernel should use -- it's always the original address provided by the Hyper-V host. This approach is already used by the hyperv_drm driver, and is consistent with the usage guidelines at the head of the module with the function aperture_remove_conflicting_devices(). This approach also solves a related minor problem when kexec_load() is used to load the kdump kernel. With current code, unbinding and rebinding the hyperv_fb driver could result in the framebuffer moving back to the default framebuffer address, because on the rebind there are no conflicts. If such a move is done after the kdump kernel is loaded with the new framebuffer address, at kdump time it could again have the wrong address. This problem and fix are described in terms of the kdump kernel, but it can also occur ---truncated--- Уязвимость компонента hyperv_fb ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/hyperv: Fix address space leak when Hyper-V DRM device is removed When a Hyper-V DRM device is probed, the driver allocates MMIO space for the vram, and maps it cacheable. If the device removed, or in the error path for device probing, the MMIO space is released but no unmap is done. Consequently the kernel address space for the mapping is leaked. Fix this by adding iounmap() calls in the device removal path, and in the error path during device probing. Уязвимость компонента drivers/gpu/drm/hyperv/hyperv_drm_drv.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: cancel wiphy_work before freeing wiphy A wiphy_work can be queued from the moment the wiphy is allocated and initialized (i.e. wiphy_new_nm). When a wiphy_work is queued, the rdev::wiphy_work is getting queued. If wiphy_free is called before the rdev::wiphy_work had a chance to run, the wiphy memory will be freed, and then when it eventally gets to run it'll use invalid memory. Fix this by canceling the work before freeing the wiphy. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched: address a potential NULL pointer dereference in the GRED scheduler. If kzalloc in gred_init returns a NULL pointer, the code follows the error handling path, invoking gred_destroy. This, in turn, calls gred_offload, where memset could receive a NULL pointer as input, potentially leading to a kernel crash. When table->opt is NULL in gred_init(), gred_change_table_def() is not called yet, so it is not necessary to call ->ndo_setup_tc() in gred_offload(). Уязвимость компонента sched ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ice: fix memory leak in aRFS after reset Fix aRFS (accelerated Receive Flow Steering) structures memory leak by adding a checker to verify if aRFS memory is already allocated while configuring VSI. aRFS objects are allocated in two cases: - as part of VSI initialization (at probe), and - as part of reset handling However, VSI reconfiguration executed during reset involves memory allocation one more time, without prior releasing already allocated resources. This led to the memory leak with the following signature: [root@os-delivery ~]# cat /sys/kernel/debug/kmemleak unreferenced object 0xff3c1ca7252e6000 (size 8192): comm "kworker/0:0", pid 8, jiffies 4296833052 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc 0): [<ffffffff991ec485>] __kmalloc_cache_noprof+0x275/0x340 [<ffffffffc0a6e06a>] ice_init_arfs+0x3a/0xe0 [ice] [<ffffffffc09f1027>] ice_vsi_cfg_def+0x607/0x850 [ice] [<ffffffffc09f244b>] ice_vsi_setup+0x5b/0x130 [ice] [<ffffffffc09c2131>] ice_init+0x1c1/0x460 [ice] [<ffffffffc09c64af>] ice_probe+0x2af/0x520 [ice] [<ffffffff994fbcd3>] local_pci_probe+0x43/0xa0 [<ffffffff98f07103>] work_for_cpu_fn+0x13/0x20 [<ffffffff98f0b6d9>] process_one_work+0x179/0x390 [<ffffffff98f0c1e9>] worker_thread+0x239/0x340 [<ffffffff98f14abc>] kthread+0xcc/0x100 [<ffffffff98e45a6d>] ret_from_fork+0x2d/0x50 [<ffffffff98e083ba>] ret_from_fork_asm+0x1a/0x30 ... Уязвимость компонента drivers/net/ethernet/intel/ice ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pinctrl: nuvoton: npcm8xx: Add NULL check in npcm8xx_gpio_fw devm_kasprintf() calls can return null pointers on failure. But the return values were not checked in npcm8xx_gpio_fw(). Add NULL check in npcm8xx_gpio_fw(), to handle kernel NULL pointer dereference error. Уязвимость компонента npcm8xx ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/slab/kvfree_rcu: Switch to WQ_MEM_RECLAIM wq Currently kvfree_rcu() APIs use a system workqueue which is "system_unbound_wq" to driver RCU machinery to reclaim a memory. Recently, it has been noted that the following kernel warning can be observed: <snip> workqueue: WQ_MEM_RECLAIM nvme-wq:nvme_scan_work is flushing !WQ_MEM_RECLAIM events_unbound:kfree_rcu_work WARNING: CPU: 21 PID: 330 at kernel/workqueue.c:3719 check_flush_dependency+0x112/0x120 Modules linked in: intel_uncore_frequency(E) intel_uncore_frequency_common(E) skx_edac(E) ... CPU: 21 UID: 0 PID: 330 Comm: kworker/u144:6 Tainted: G E 6.13.2-0_g925d379822da #1 Hardware name: Wiwynn Twin Lakes MP/Twin Lakes Passive MP, BIOS YMM20 02/01/2023 Workqueue: nvme-wq nvme_scan_work RIP: 0010:check_flush_dependency+0x112/0x120 Code: 05 9a 40 14 02 01 48 81 c6 c0 00 00 00 48 8b 50 18 48 81 c7 c0 00 00 00 48 89 f9 48 ... RSP: 0018:ffffc90000df7bd8 EFLAGS: 00010082 RAX: 000000000000006a RBX: ffffffff81622390 RCX: 0000000000000027 RDX: 00000000fffeffff RSI: 000000000057ffa8 RDI: ffff88907f960c88 RBP: 0000000000000000 R08: ffffffff83068e50 R09: 000000000002fffd R10: 0000000000000004 R11: 0000000000000000 R12: ffff8881001a4400 R13: 0000000000000000 R14: ffff88907f420fb8 R15: 0000000000000000 FS: 0000000000000000(0000) GS:ffff88907f940000(0000) knlGS:0000000000000000 CR2: 00007f60c3001000 CR3: 000000107d010005 CR4: 00000000007726f0 PKRU: 55555554 Call Trace: <TASK> ? __warn+0xa4/0x140 ? check_flush_dependency+0x112/0x120 ? report_bug+0xe1/0x140 ? check_flush_dependency+0x112/0x120 ? handle_bug+0x5e/0x90 ? exc_invalid_op+0x16/0x40 ? asm_exc_invalid_op+0x16/0x20 ? timer_recalc_next_expiry+0x190/0x190 ? check_flush_dependency+0x112/0x120 ? check_flush_dependency+0x112/0x120 __flush_work.llvm.1643880146586177030+0x174/0x2c0 flush_rcu_work+0x28/0x30 kvfree_rcu_barrier+0x12f/0x160 kmem_cache_destroy+0x18/0x120 bioset_exit+0x10c/0x150 disk_release.llvm.6740012984264378178+0x61/0xd0 device_release+0x4f/0x90 kobject_put+0x95/0x180 nvme_put_ns+0x23/0xc0 nvme_remove_invalid_namespaces+0xb3/0xd0 nvme_scan_work+0x342/0x490 process_scheduled_works+0x1a2/0x370 worker_thread+0x2ff/0x390 ? pwq_release_workfn+0x1e0/0x1e0 kthread+0xb1/0xe0 ? __kthread_parkme+0x70/0x70 ret_from_fork+0x30/0x40 ? __kthread_parkme+0x70/0x70 ret_from_fork_asm+0x11/0x20 </TASK> ---[ end trace 0000000000000000 ]--- <snip> To address this switch to use of independent WQ_MEM_RECLAIM workqueue, so the rules are not violated from workqueue framework point of view. Apart of that, since kvfree_rcu() does reclaim memory it is worth to go with WQ_MEM_RECLAIM type of wq because it is designed for this purpose. Уязвимость компонента mm/slab/kvfree_rcu ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm: fix kernel BUG when userfaultfd_move encounters swapcache userfaultfd_move() checks whether the PTE entry is present or a swap entry. - If the PTE entry is present, move_present_pte() handles folio migration by setting: src_folio->index = linear_page_index(dst_vma, dst_addr); - If the PTE entry is a swap entry, move_swap_pte() simply copies the PTE to the new dst_addr. This approach is incorrect because, even if the PTE is a swap entry, it can still reference a folio that remains in the swap cache. This creates a race window between steps 2 and 4. 1. add_to_swap: The folio is added to the swapcache. 2. try_to_unmap: PTEs are converted to swap entries. 3. pageout: The folio is written back. 4. Swapcache is cleared. If userfaultfd_move() occurs in the window between steps 2 and 4, after the swap PTE has been moved to the destination, accessing the destination triggers do_swap_page(), which may locate the folio in the swapcache. However, since the folio's index has not been updated to match the destination VMA, do_swap_page() will detect a mismatch. This can result in two critical issues depending on the system configuration. If KSM is disabled, both small and large folios can trigger a BUG during the add_rmap operation due to: page_pgoff(folio, page) != linear_page_index(vma, address) [ 13.336953] page: refcount:6 mapcount:1 mapping:00000000f43db19c index:0xffffaf150 pfn:0x4667c [ 13.337520] head: order:2 mapcount:1 entire_mapcount:0 nr_pages_mapped:1 pincount:0 [ 13.337716] memcg:ffff00000405f000 [ 13.337849] anon flags: 0x3fffc0000020459(locked|uptodate|dirty|owner_priv_1|head|swapbacked|node=0|zone=0|lastcpupid=0xffff) [ 13.338630] raw: 03fffc0000020459 ffff80008507b538 ffff80008507b538 ffff000006260361 [ 13.338831] raw: 0000000ffffaf150 0000000000004000 0000000600000000 ffff00000405f000 [ 13.339031] head: 03fffc0000020459 ffff80008507b538 ffff80008507b538 ffff000006260361 [ 13.339204] head: 0000000ffffaf150 0000000000004000 0000000600000000 ffff00000405f000 [ 13.339375] head: 03fffc0000000202 fffffdffc0199f01 ffffffff00000000 0000000000000001 [ 13.339546] head: 0000000000000004 0000000000000000 00000000ffffffff 0000000000000000 [ 13.339736] page dumped because: VM_BUG_ON_PAGE(page_pgoff(folio, page) != linear_page_index(vma, address)) [ 13.340190] ------------[ cut here ]------------ [ 13.340316] kernel BUG at mm/rmap.c:1380! [ 13.340683] Internal error: Oops - BUG: 00000000f2000800 [#1] PREEMPT SMP [ 13.340969] Modules linked in: [ 13.341257] CPU: 1 UID: 0 PID: 107 Comm: a.out Not tainted 6.14.0-rc3-gcf42737e247a-dirty #299 [ 13.341470] Hardware name: linux,dummy-virt (DT) [ 13.341671] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 13.341815] pc : __page_check_anon_rmap+0xa0/0xb0 [ 13.341920] lr : __page_check_anon_rmap+0xa0/0xb0 [ 13.342018] sp : ffff80008752bb20 [ 13.342093] x29: ffff80008752bb20 x28: fffffdffc0199f00 x27: 0000000000000001 [ 13.342404] x26: 0000000000000000 x25: 0000000000000001 x24: 0000000000000001 [ 13.342575] x23: 0000ffffaf0d0000 x22: 0000ffffaf0d0000 x21: fffffdffc0199f00 [ 13.342731] x20: fffffdffc0199f00 x19: ffff000006210700 x18: 00000000ffffffff [ 13.342881] x17: 6c203d2120296567 x16: 6170202c6f696c6f x15: 662866666f67705f [ 13.343033] x14: 6567617028454741 x13: 2929737365726464 x12: ffff800083728ab0 [ 13.343183] x11: ffff800082996bf8 x10: 0000000000000fd7 x9 : ffff80008011bc40 [ 13.343351] x8 : 0000000000017fe8 x7 : 00000000fffff000 x6 : ffff8000829eebf8 [ 13.343498] x5 : c0000000fffff000 x4 : 0000000000000000 x3 : 0000000000000000 [ 13.343645] x2 : 0000000000000000 x1 : ffff0000062db980 x0 : 000000000000005f [ 13.343876] Call trace: [ 13.344045] __page_check_anon_rmap+0xa0/0xb0 (P) [ 13.344234] folio_add_anon_rmap_ptes+0x22c/0x320 [ 13.344333] do_swap_page+0x1060/0x1400 [ 13.344417] __handl ---truncated--- Уязвимость комопнента mm ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix out-of-bound accesses [WHAT & HOW] hpo_stream_to_link_encoder_mapping has size MAX_HPO_DP2_ENCODERS(=4), but location can have size up to 6. As a result, it is necessary to check location against MAX_HPO_DP2_ENCODERS. Similiarly, disp_cfg_stream_location can be used as an array index which should be 0..5, so the ASSERT's conditions should be less without equal. [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: switchdev: Convert blocking notification chain to a raw one A blocking notification chain uses a read-write semaphore to protect the integrity of the chain. The semaphore is acquired for writing when adding / removing notifiers to / from the chain and acquired for reading when traversing the chain and informing notifiers about an event. In case of the blocking switchdev notification chain, recursive notifications are possible which leads to the semaphore being acquired twice for reading and to lockdep warnings being generated [1]. Specifically, this can happen when the bridge driver processes a SWITCHDEV_BRPORT_UNOFFLOADED event which causes it to emit notifications about deferred events when calling switchdev_deferred_process(). Fix this by converting the notification chain to a raw notification chain in a similar fashion to the netdev notification chain. Protect the chain using the RTNL mutex by acquiring it when modifying the chain. Events are always informed under the RTNL mutex, but add an assertion in call_switchdev_blocking_notifiers() to make sure this is not violated in the future. Maintain the "blocking" prefix as events are always emitted from process context and listeners are allowed to block. [1]: WARNING: possible recursive locking detected 6.14.0-rc4-custom-g079270089484 #1 Not tainted -------------------------------------------- ip/52731 is trying to acquire lock: ffffffff850918d8 ((switchdev_blocking_notif_chain).rwsem){++++}-{4:4}, at: blocking_notifier_call_chain+0x58/0xa0 but task is already holding lock: ffffffff850918d8 ((switchdev_blocking_notif_chain).rwsem){++++}-{4:4}, at: blocking_notifier_call_chain+0x58/0xa0 other info that might help us debug this: Possible unsafe locking scenario: CPU0 ---- lock((switchdev_blocking_notif_chain).rwsem); lock((switchdev_blocking_notif_chain).rwsem); *** DEADLOCK *** May be due to missing lock nesting notation 3 locks held by ip/52731: #0: ffffffff84f795b0 (rtnl_mutex){+.+.}-{4:4}, at: rtnl_newlink+0x727/0x1dc0 #1: ffffffff8731f628 (&net->rtnl_mutex){+.+.}-{4:4}, at: rtnl_newlink+0x790/0x1dc0 #2: ffffffff850918d8 ((switchdev_blocking_notif_chain).rwsem){++++}-{4:4}, at: blocking_notifier_call_chain+0x58/0xa0 stack backtrace: ... ? __pfx_down_read+0x10/0x10 ? __pfx_mark_lock+0x10/0x10 ? __pfx_switchdev_port_attr_set_deferred+0x10/0x10 blocking_notifier_call_chain+0x58/0xa0 switchdev_port_attr_notify.constprop.0+0xb3/0x1b0 ? __pfx_switchdev_port_attr_notify.constprop.0+0x10/0x10 ? mark_held_locks+0x94/0xe0 ? switchdev_deferred_process+0x11a/0x340 switchdev_port_attr_set_deferred+0x27/0xd0 switchdev_deferred_process+0x164/0x340 br_switchdev_port_unoffload+0xc8/0x100 [bridge] br_switchdev_blocking_event+0x29f/0x580 [bridge] notifier_call_chain+0xa2/0x440 blocking_notifier_call_chain+0x6e/0xa0 switchdev_bridge_port_unoffload+0xde/0x1a0 ... Уязвимость компонента net/switchdev/switchdev.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: init return value in amdgpu_ttm_clear_buffer Otherwise an uninitialized value can be returned if amdgpu_res_cleared returns true for all regions. Possibly closes: https://gitlab.freedesktop.org/drm/amd/-/issues/3812 (cherry picked from commit 7c62aacc3b452f73a1284198c81551035fac6d71) Уязвимость функции amdgpu_ttm_clear_buffer() драйвера AMDgpu ядра операционной системы Linux связана с использованием неинициализированного указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/netfs/read_collect: add to next->prev_donated If multiple subrequests donate data to the same "next" request (depending on the subrequest completion order), each of them would overwrite the `prev_donated` field, causing data corruption and a BUG() crash ("Can't donate prior to front"). [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: fix missing .is_two_pixels_per_container Starting from 6.11, AMDGPU driver, while being loaded with amdgpu.dc=1, due to lack of .is_two_pixels_per_container function in dce60_tg_funcs, causes a NULL pointer dereference on PCs with old GPUs, such as R9 280X. So this fix adds missing .is_two_pixels_per_container to dce60_tg_funcs. (cherry picked from commit bd4b125eb949785c6f8a53b0494e32795421209d) Уязвимость функции dce60_tg_funcs() драйвера (drivers/gpu/drm/amd/display/dc/dce60/dce60_timing_generator.c) ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: NULL-check BO's backing store when determining GFX12 PTE flags PRT BOs may not have any backing store, so bo->tbo.resource will be NULL. Check for that before dereferencing. (cherry picked from commit 3e3fcd29b505cebed659311337ea03b7698767fc) Уязвимость модуля drivers/gpu/drm/amd/amdgpu/gmc_v12_0.c драйвера AMDgpu ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/microcode/AMD: Fix out-of-bounds on systems with CPU-less NUMA nodes Currently, load_microcode_amd() iterates over all NUMA nodes, retrieves their CPU masks and unconditionally accesses per-CPU data for the first CPU of each mask. According to Documentation/admin-guide/mm/numaperf.rst: "Some memory may share the same node as a CPU, and others are provided as memory only nodes." Therefore, some node CPU masks may be empty and wouldn't have a "first CPU". On a machine with far memory (and therefore CPU-less NUMA nodes): - cpumask_of_node(nid) is 0 - cpumask_first(0) is CONFIG_NR_CPUS - cpu_data(CONFIG_NR_CPUS) accesses the cpu_info per-CPU array at an index that is 1 out of bounds This does not have any security implications since flashing microcode is a privileged operation but I believe this has reliability implications by potentially corrupting memory while flashing a microcode update. When booting with CONFIG_UBSAN_BOUNDS=y on an AMD machine that flashes a microcode update. I get the following splat: UBSAN: array-index-out-of-bounds in arch/x86/kernel/cpu/microcode/amd.c:X:Y index 512 is out of range for type 'unsigned long[512]' [...] Call Trace: dump_stack __ubsan_handle_out_of_bounds load_microcode_amd request_microcode_amd reload_store kernfs_fop_write_iter vfs_write ksys_write do_syscall_64 entry_SYSCALL_64_after_hwframe Change the loop to go over only NUMA nodes which have CPUs before determining whether the first CPU on the respective node needs microcode update. [ bp: Massage commit message, fix typo. ] Уязвимость компонента arch/x86/kernel/cpu/microcode/amd.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: ignore non-functional sensor in HP 5MP Camera The HP 5MP Camera (USB ID 0408:5473) reports a HID sensor interface that is not actually implemented. Attempting to access this non-functional sensor via iio_info causes system hangs as runtime PM tries to wake up an unresponsive sensor. [453] hid-sensor-hub 0003:0408:5473.0003: Report latency attributes: ffffffff:ffffffff [453] hid-sensor-hub 0003:0408:5473.0003: common attributes: 5:1, 2:1, 3:1 ffffffff:ffffffff Add this device to the HID ignore list since the sensor interface is non-functional by design and should not be exposed to userspace. Уязвимость функции HID_USB_DEVICE() драйвера (drivers/hid/hid-quirks.c) ядра операционной системы Linux связана с неправильной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iscsi_ibft: Fix UBSAN shift-out-of-bounds warning in ibft_attr_show_nic() When performing an iSCSI boot using IPv6, iscsistart still reads the /sys/firmware/ibft/ethernetX/subnet-mask entry. Since the IPv6 prefix length is 64, this causes the shift exponent to become negative, triggering a UBSAN warning. As the concept of a subnet mask does not apply to IPv6, the value is set to ~0 to suppress the warning message. Уязвимость функции ibft_attr_show_nic() компонента drivers/firmware/iscsi_ibft.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix incorrect validation for num_aces field of smb_acl parse_dcal() validate num_aces to allocate posix_ace_state_array. if (num_aces > ULONG_MAX / sizeof(struct smb_ace *)) It is an incorrect validation that we can create an array of size ULONG_MAX. smb_acl has ->size field to calculate actual number of aces in request buffer size. Use this to check invalid num_aces. Уязвимость компонента ksmbd ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:H', score=7.6) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/sched: Fix fence reference count leak The last_scheduled fence leaks when an entity is being killed and adding the cleanup callback fails. Decrement the reference count of prev when dma_fence_add_callback() fails, ensuring proper balance. [phasta: add git tag info for stable kernel] Уязвимость функции dma_fence_add_callback() ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/radeon: fix uninitialized size issue in radeon_vce_cs_parse() On the off chance that command stream passed from userspace via ioctl() call to radeon_vce_cs_parse() is weirdly crafted and first command to execute is to encode (case 0x03000001), the function in question will attempt to call radeon_vce_cs_reloc() with size argument that has not been properly initialized. Specifically, 'size' will point to 'tmp' variable before the latter had a chance to be assigned any value. Play it safe and init 'tmp' with 0, thus ensuring that radeon_vce_cs_reloc() will catch an early error in cases like these. Found by Linux Verification Center (linuxtesting.org) with static analysis tool SVACE. (cherry picked from commit 2d52de55f9ee7aaee0e09ac443f77855989c6b68) Уязвимость функции radeon_vce_cs_parse() компонента drivers/gpu/drm/radeon/radeon_vce.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xsk: fix an integer overflow in xp_create_and_assign_umem() Since the i and pool->chunk_size variables are of type 'u32', their product can wrap around and then be cast to 'u64'. This can lead to two different XDP buffers pointing to the same memory area. Found by InfoTeCS on behalf of Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента xsk ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: firmware: qcom: uefisecapp: fix efivars registration race Since the conversion to using the TZ allocator, the efivars service is registered before the memory pool has been allocated, something which can lead to a NULL-pointer dereference in case of a racing EFI variable access. Make sure that all resources have been set up before registering the efivars. Уязвимость модуля drivers/firmware/qcom/qcom_qseecom_uefisecapp.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: proc: fix UAF in proc_get_inode() Fix race between rmmod and /proc/XXX's inode instantiation. The bug is that pde->proc_ops don't belong to /proc, it belongs to a module, therefore dereferencing it after /proc entry has been registered is a bug unless use_pde/unuse_pde() pair has been used. use_pde/unuse_pde can be avoided (2 atomic ops!) because pde->proc_ops never changes so information necessary for inode instantiation can be saved _before_ proc_register() in PDE itself and used later, avoiding pde->proc_ops->... dereference. rmmod lookup sys_delete_module proc_lookup_de pde_get(de); proc_get_inode(dir->i_sb, de); mod->exit() proc_remove remove_proc_subtree proc_entry_rundown(de); free_module(mod); if (S_ISREG(inode->i_mode)) if (de->proc_ops->proc_read_iter) --> As module is already freed, will trigger UAF BUG: unable to handle page fault for address: fffffbfff80a702b PGD 817fc4067 P4D 817fc4067 PUD 817fc0067 PMD 102ef4067 PTE 0 Oops: Oops: 0000 [#1] PREEMPT SMP KASAN PTI CPU: 26 UID: 0 PID: 2667 Comm: ls Tainted: G Hardware name: QEMU Standard PC (i440FX + PIIX, 1996) RIP: 0010:proc_get_inode+0x302/0x6e0 RSP: 0018:ffff88811c837998 EFLAGS: 00010a06 RAX: dffffc0000000000 RBX: ffffffffc0538140 RCX: 0000000000000007 RDX: 1ffffffff80a702b RSI: 0000000000000001 RDI: ffffffffc0538158 RBP: ffff8881299a6000 R08: 0000000067bbe1e5 R09: 1ffff11023906f20 R10: ffffffffb560ca07 R11: ffffffffb2b43a58 R12: ffff888105bb78f0 R13: ffff888100518048 R14: ffff8881299a6004 R15: 0000000000000001 FS: 00007f95b9686840(0000) GS:ffff8883af100000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: fffffbfff80a702b CR3: 0000000117dd2000 CR4: 00000000000006f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> proc_lookup_de+0x11f/0x2e0 __lookup_slow+0x188/0x350 walk_component+0x2ab/0x4f0 path_lookupat+0x120/0x660 filename_lookup+0x1ce/0x560 vfs_statx+0xac/0x150 __do_sys_newstat+0x96/0x110 do_syscall_64+0x5f/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e [adobriyan@gmail.com: don't do 2 atomic ops on the common path] Уязвимость компонента proc ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/huge_memory: drop beyond-EOF folios with the right number of refs When an after-split folio is large and needs to be dropped due to EOF, folio_put_refs(folio, folio_nr_pages(folio)) should be used to drop all page cache refs. Otherwise, the folio will not be freed, causing memory leak. This leak would happen on a filesystem with blocksize > page_size and a truncate is performed, where the blocksize makes folios split to >0 order ones, causing truncated folios not being freed. Уязвимость модуля mm/huge_memory.c ядра операционной системы Linux связана с возможной утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: accel/qaic: Fix integer overflow in qaic_validate_req() These are u64 variables that come from the user via qaic_attach_slice_bo_ioctl(). Use check_add_overflow() to ensure that the math doesn't have an integer wrapping bug. Уязвимость функции qaic_validate_req() ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfs: Call `invalidate_cache` only if implemented Many filesystems such as NFS and Ceph do not implement the `invalidate_cache` method. On those filesystems, if writing to the cache (`NETFS_WRITE_TO_CACHE`) fails for some reason, the kernel crashes like this: BUG: kernel NULL pointer dereference, address: 0000000000000000 #PF: supervisor instruction fetch in kernel mode #PF: error_code(0x0010) - not-present page PGD 0 P4D 0 Oops: Oops: 0010 [#1] SMP PTI CPU: 9 UID: 0 PID: 3380 Comm: kworker/u193:11 Not tainted 6.13.3-cm4all1-hp #437 Hardware name: HP ProLiant DL380 Gen9/ProLiant DL380 Gen9, BIOS P89 10/17/2018 Workqueue: events_unbound netfs_write_collection_worker RIP: 0010:0x0 Code: Unable to access opcode bytes at 0xffffffffffffffd6. RSP: 0018:ffff9b86e2ca7dc0 EFLAGS: 00010202 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 7fffffffffffffff RDX: 0000000000000001 RSI: ffff89259d576a18 RDI: ffff89259d576900 RBP: ffff89259d5769b0 R08: ffff9b86e2ca7d28 R09: 0000000000000002 R10: ffff89258ceaca80 R11: 0000000000000001 R12: 0000000000000020 R13: ffff893d158b9338 R14: ffff89259d576900 R15: ffff89259d5769b0 FS: 0000000000000000(0000) GS:ffff893c9fa40000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffffffffffffd6 CR3: 000000054442e003 CR4: 00000000001706f0 Call Trace: <TASK> ? __die+0x1f/0x60 ? page_fault_oops+0x15c/0x460 ? try_to_wake_up+0x2d2/0x530 ? exc_page_fault+0x5e/0x100 ? asm_exc_page_fault+0x22/0x30 netfs_write_collection_worker+0xe9f/0x12b0 ? xs_poll_check_readable+0x3f/0x80 ? xs_stream_data_receive_workfn+0x8d/0x110 process_one_work+0x134/0x2d0 worker_thread+0x299/0x3a0 ? __pfx_worker_thread+0x10/0x10 kthread+0xba/0xe0 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x30/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Modules linked in: CR2: 0000000000000000 This patch adds the missing `NULL` check. Уязвимость модуля fs/netfs/write_collect.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: ucan: fix out of bound read in strscpy() source Commit 7fdaf8966aae ("can: ucan: use strscpy() to instead of strncpy()") unintentionally introduced a one byte out of bound read on strscpy()'s source argument (which is kind of ironic knowing that strscpy() is meant to be a more secure alternative :)). Let's consider below buffers: dest[len + 1]; /* will be NUL terminated */ src[len]; /* may not be NUL terminated */ When doing: strncpy(dest, src, len); dest[len] = '\0'; strncpy() will read up to len bytes from src. On the other hand: strscpy(dest, src, len + 1); will read up to len + 1 bytes from src, that is to say, an out of bound read of one byte will occur on src if it is not NUL terminated. Note that the src[len] byte is never copied, but strscpy() still needs to read it to check whether a truncation occurred or not. This exact pattern happened in ucan. The root cause is that the source is not NUL terminated. Instead of doing a copy in a local buffer, directly NUL terminate it as soon as usb_control_msg() returns. With this, the local firmware_str[] variable can be removed. On top of this do a couple refactors: - ucan_ctl_payload->raw is only used for the firmware string, so rename it to ucan_ctl_payload->fw_str and change its type from u8 to char. - ucan_device_request_in() is only used to retrieve the firmware string, so rename it to ucan_get_fw_str() and refactor it to make it directly handle all the string termination logic. Уязвимость модуля drivers/net/can/usb/ucan.c ядра операционной системы Linux связана с ошибками чтения за пределами границ буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: atm: fix use after free in lec_send() The ->send() operation frees skb so save the length before calling ->send() to avoid a use after free. Уязвимость функции lec_send() компонента net/atm/lec.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=8.6) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: Fix memleak of nhc_pcpu_rth_output in fib_check_nh_v6_gw(). fib_check_nh_v6_gw() expects that fib6_nh_init() cleans up everything when it fails. Commit 7dd73168e273 ("ipv6: Always allocate pcpu memory in a fib6_nh") moved fib_nh_common_init() before alloc_percpu_gfp() within fib6_nh_init() but forgot to add cleanup for fib6_nh->nh_common.nhc_pcpu_rth_output in case it fails to allocate fib6_nh->rt6i_pcpu, resulting in memleak. Let's call fib_nh_common_release() and clear nhc_pcpu_rth_output in the error path. Note that we can remove the fib6_nh_release() call in nh_create_ipv6() later in net-next.git. Уязвимость функции fib_check_nh_v6_gw() ядра операционной системы Linux связана с возможной утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Fix error code in chan_alloc_skb_cb() The chan_alloc_skb_cb() function is supposed to return error pointers on error. Returning NULL will lead to a NULL dereference. Уязвимость компонента Bluetooth ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: regulator: check that dummy regulator has been probed before using it Due to asynchronous driver probing there is a chance that the dummy regulator hasn't already been probed when first accessing it. Уязвимость компонента drivers/regulator/core.c ядра операционной системы Linux связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: regulator: dummy: force synchronous probing Sometimes I get a NULL pointer dereference at boot time in kobject_get() with the following call stack: anatop_regulator_probe() devm_regulator_register() regulator_register() regulator_resolve_supply() kobject_get() By placing some extra BUG_ON() statements I could verify that this is raised because probing of the 'dummy' regulator driver is not completed ('dummy_regulator_rdev' is still NULL). In the JTAG debugger I can see that dummy_regulator_probe() and anatop_regulator_probe() can be run by different kernel threads (kworker/u4:*). I haven't further investigated whether this can be changed or if there are other possibilities to force synchronization between these two probe routines. On the other hand I don't expect much boot time penalty by probing the 'dummy' regulator synchronously. Уязвимость функции kobject_get ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Fix soft lockup during bt pages loop Driver runs a for-loop when allocating bt pages and mapping them with buffer pages. When a large buffer (e.g. MR over 100GB) is being allocated, it may require a considerable loop count. This will lead to soft lockup: watchdog: BUG: soft lockup - CPU#27 stuck for 22s! ... Call trace: hem_list_alloc_mid_bt+0x124/0x394 [hns_roce_hw_v2] hns_roce_hem_list_request+0xf8/0x160 [hns_roce_hw_v2] hns_roce_mtr_create+0x2e4/0x360 [hns_roce_hw_v2] alloc_mr_pbl+0xd4/0x17c [hns_roce_hw_v2] hns_roce_reg_user_mr+0xf8/0x190 [hns_roce_hw_v2] ib_uverbs_reg_mr+0x118/0x290 watchdog: BUG: soft lockup - CPU#35 stuck for 23s! ... Call trace: hns_roce_hem_list_find_mtt+0x7c/0xb0 [hns_roce_hw_v2] mtr_map_bufs+0xc4/0x204 [hns_roce_hw_v2] hns_roce_mtr_create+0x31c/0x3c4 [hns_roce_hw_v2] alloc_mr_pbl+0xb0/0x160 [hns_roce_hw_v2] hns_roce_reg_user_mr+0x108/0x1c0 [hns_roce_hw_v2] ib_uverbs_reg_mr+0x120/0x2bc Add a cond_resched() to fix soft lockup during these loops. In order not to affect the allocation performance of normal-size buffer, set the loop count of a 100GB MR as the threshold to call cond_resched(). Уязвимость компонента RDMA/hns ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ARM: dts: bcm2711: Fix xHCI power-domain During s2idle tests on the Raspberry CM4 the VPU firmware always crashes on xHCI power-domain resume: root@raspberrypi:/sys/power# echo freeze > state [ 70.724347] xhci_suspend finished [ 70.727730] xhci_plat_suspend finished [ 70.755624] bcm2835-power bcm2835-power: Power grafx off [ 70.761127] USB: Set power to 0 [ 74.653040] USB: Failed to set power to 1 (-110) This seems to be caused because of the mixed usage of raspberrypi-power and bcm2835-power at the same time. So avoid the usage of the VPU firmware power-domain driver, which prevents the VPU crash. Уязвимость компонента bcm2711 ядра операционной системы Linux с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: arm64: Unconditionally save+flush host FPSIMD/SVE/SME state There are several problems with the way hyp code lazily saves the host's FPSIMD/SVE state, including: * Host SVE being discarded unexpectedly due to inconsistent configuration of TIF_SVE and CPACR_ELx.ZEN. This has been seen to result in QEMU crashes where SVE is used by memmove(), as reported by Eric Auger: https://issues.redhat.com/browse/RHEL-68997 * Host SVE state is discarded *after* modification by ptrace, which was an unintentional ptrace ABI change introduced with lazy discarding of SVE state. * The host FPMR value can be discarded when running a non-protected VM, where FPMR support is not exposed to a VM, and that VM uses FPSIMD/SVE. In these cases the hyp code does not save the host's FPMR before unbinding the host's FPSIMD/SVE/SME state, leaving a stale value in memory. Avoid these by eagerly saving and "flushing" the host's FPSIMD/SVE/SME state when loading a vCPU such that KVM does not need to save any of the host's FPSIMD/SVE/SME state. For clarity, fpsimd_kvm_prepare() is removed and the necessary call to fpsimd_save_and_flush_cpu_state() is placed in kvm_arch_vcpu_load_fp(). As 'fpsimd_state' and 'fpmr_ptr' should not be used, they are set to NULL; all uses of these will be removed in subsequent patches. Historical problems go back at least as far as v5.17, e.g. erroneous assumptions about TIF_SVE being clear in commit: 8383741ab2e773a9 ("KVM: arm64: Get rid of host SVE tracking/saving") ... and so this eager save+flush probably needs to be backported to ALL stable trees. Уязвимость компонента arm64 ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: soc: qcom: pdr: Fix the potential deadlock When some client process A call pdr_add_lookup() to add the look up for the service and does schedule locator work, later a process B got a new server packet indicating locator is up and call pdr_locator_new_server() which eventually sets pdr->locator_init_complete to true which process A sees and takes list lock and queries domain list but it will timeout due to deadlock as the response will queued to the same qmi->wq and it is ordered workqueue and process B is not able to complete new server request work due to deadlock on list lock. Fix it by removing the unnecessary list iteration as the list iteration is already being done inside locator work, so avoid it here and just call schedule_work() here. Process A Process B process_scheduled_works() pdr_add_lookup() qmi_data_ready_work() process_scheduled_works() pdr_locator_new_server() pdr->locator_init_complete=true; pdr_locator_work() mutex_lock(&pdr->list_lock); pdr_locate_service() mutex_lock(&pdr->list_lock); pdr_get_domain_list() pr_err("PDR: %s get domain list txn wait failed: %d\n", req->service_name, ret); Timeout error log due to deadlock: " PDR: tms/servreg get domain list txn wait failed: -110 PDR: service lookup for msm/adsp/sensor_pd:tms/servreg failed: -110 " Thanks to Bjorn and Johan for letting me know that this commit also fixes an audio regression when using the in-kernel pd-mapper as that makes it easier to hit this race. [1] Уязвимость функции pdr_locator_new_server() компонента drivers/soc/qcom/pdr_interface.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/migrate: fix shmem xarray update during migration A shmem folio can be either in page cache or in swap cache, but not at the same time. Namely, once it is in swap cache, folio->mapping should be NULL, and the folio is no longer in a shmem mapping. In __folio_migrate_mapping(), to determine the number of xarray entries to update, folio_test_swapbacked() is used, but that conflates shmem in page cache case and shmem in swap cache case. It leads to xarray multi-index entry corruption, since it turns a sibling entry to a normal entry during xas_store() (see [1] for a userspace reproduction). Fix it by only using folio_test_swapcache() to determine whether xarray is storing swap cache entries or not to choose the right number of xarray entries to update. [1] https://lore.kernel.org/linux-mm/Z8idPCkaJW1IChjT@casper.infradead.org/ Note: In __split_huge_page(), folio_test_anon() && folio_test_swapcache() is used to get swap_cache address space, but that ignores the shmem folio in swap cache case. It could lead to NULL pointer dereferencing when a in-swap-cache shmem folio is split at __xa_store(), since !folio_test_anon() is true and folio->mapping is NULL. But fortunately, its caller split_huge_page_to_list_to_order() bails out early with EBUSY when folio->mapping is NULL. So no need to take care of it here. Уязвимость функции __folio_migrate_mapping() компонента mm/migrate.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dpll: fix xa_alloc_cyclic() error handling In case of returning 1 from xa_alloc_cyclic() (wrapping) ERR_PTR(1) will be returned, which will cause IS_ERR() to be false. Which can lead to dereference not allocated pointer (pin). Fix it by checking if err is lower than zero. This wasn't found in real usecase, only noticed. Credit to Pierre. Уязвимость компонента dpll операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: devlink: fix xa_alloc_cyclic() error handling In case of returning 1 from xa_alloc_cyclic() (wrapping) ERR_PTR(1) will be returned, which will cause IS_ERR() to be false. Which can lead to dereference not allocated pointer (rel). Fix it by checking if err is lower than zero. This wasn't found in real usecase, only noticed. Credit to Pierre. Уязвимость компонента devlink ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: atm: Fix NULL pointer dereference When MPOA_cache_impos_rcvd() receives the msg, it can trigger Null Pointer Dereference Vulnerability if both entry and holding_time are NULL. Because there is only for the situation where entry is NULL and holding_time exists, it can be passed when both entry and holding_time are NULL. If these are NULL, the entry will be passd to eg_cache_put() as parameter and it is referenced by entry->use code in it. kasan log: [ 3.316691] Oops: general protection fault, probably for non-canonical address 0xdffffc0000000006:I [ 3.317568] KASAN: null-ptr-deref in range [0x0000000000000030-0x0000000000000037] [ 3.318188] CPU: 3 UID: 0 PID: 79 Comm: ex Not tainted 6.14.0-rc2 #102 [ 3.318601] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 [ 3.319298] RIP: 0010:eg_cache_remove_entry+0xa5/0x470 [ 3.319677] Code: c1 f7 6e fd 48 c7 c7 00 7e 38 b2 e8 95 64 54 fd 48 c7 c7 40 7e 38 b2 48 89 ee e80 [ 3.321220] RSP: 0018:ffff88800583f8a8 EFLAGS: 00010006 [ 3.321596] RAX: 0000000000000006 RBX: ffff888005989000 RCX: ffffffffaecc2d8e [ 3.322112] RDX: 0000000000000000 RSI: 0000000000000004 RDI: 0000000000000030 [ 3.322643] RBP: 0000000000000000 R08: 0000000000000000 R09: fffffbfff6558b88 [ 3.323181] R10: 0000000000000003 R11: 203a207972746e65 R12: 1ffff11000b07f15 [ 3.323707] R13: dffffc0000000000 R14: ffff888005989000 R15: ffff888005989068 [ 3.324185] FS: 000000001b6313c0(0000) GS:ffff88806d380000(0000) knlGS:0000000000000000 [ 3.325042] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 3.325545] CR2: 00000000004b4b40 CR3: 000000000248e000 CR4: 00000000000006f0 [ 3.326430] Call Trace: [ 3.326725] <TASK> [ 3.326927] ? die_addr+0x3c/0xa0 [ 3.327330] ? exc_general_protection+0x161/0x2a0 [ 3.327662] ? asm_exc_general_protection+0x26/0x30 [ 3.328214] ? vprintk_emit+0x15e/0x420 [ 3.328543] ? eg_cache_remove_entry+0xa5/0x470 [ 3.328910] ? eg_cache_remove_entry+0x9a/0x470 [ 3.329294] ? __pfx_eg_cache_remove_entry+0x10/0x10 [ 3.329664] ? console_unlock+0x107/0x1d0 [ 3.329946] ? __pfx_console_unlock+0x10/0x10 [ 3.330283] ? do_syscall_64+0xa6/0x1a0 [ 3.330584] ? entry_SYSCALL_64_after_hwframe+0x47/0x7f [ 3.331090] ? __pfx_prb_read_valid+0x10/0x10 [ 3.331395] ? down_trylock+0x52/0x80 [ 3.331703] ? vprintk_emit+0x15e/0x420 [ 3.331986] ? __pfx_vprintk_emit+0x10/0x10 [ 3.332279] ? down_trylock+0x52/0x80 [ 3.332527] ? _printk+0xbf/0x100 [ 3.332762] ? __pfx__printk+0x10/0x10 [ 3.333007] ? _raw_write_lock_irq+0x81/0xe0 [ 3.333284] ? __pfx__raw_write_lock_irq+0x10/0x10 [ 3.333614] msg_from_mpoad+0x1185/0x2750 [ 3.333893] ? __build_skb_around+0x27b/0x3a0 [ 3.334183] ? __pfx_msg_from_mpoad+0x10/0x10 [ 3.334501] ? __alloc_skb+0x1c0/0x310 [ 3.334809] ? __pfx___alloc_skb+0x10/0x10 [ 3.335283] ? _raw_spin_lock+0xe0/0xe0 [ 3.335632] ? finish_wait+0x8d/0x1e0 [ 3.335975] vcc_sendmsg+0x684/0xba0 [ 3.336250] ? __pfx_vcc_sendmsg+0x10/0x10 [ 3.336587] ? __pfx_autoremove_wake_function+0x10/0x10 [ 3.337056] ? fdget+0x176/0x3e0 [ 3.337348] __sys_sendto+0x4a2/0x510 [ 3.337663] ? __pfx___sys_sendto+0x10/0x10 [ 3.337969] ? ioctl_has_perm.constprop.0.isra.0+0x284/0x400 [ 3.338364] ? sock_ioctl+0x1bb/0x5a0 [ 3.338653] ? __rseq_handle_notify_resume+0x825/0xd20 [ 3.339017] ? __pfx_sock_ioctl+0x10/0x10 [ 3.339316] ? __pfx___rseq_handle_notify_resume+0x10/0x10 [ 3.339727] ? selinux_file_ioctl+0xa4/0x260 [ 3.340166] __x64_sys_sendto+0xe0/0x1c0 [ 3.340526] ? syscall_exit_to_user_mode+0x123/0x140 [ 3.340898] do_syscall_64+0xa6/0x1a0 [ 3.341170] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 3.341533] RIP: 0033:0x44a380 [ 3.341757] Code: 0f 1f 84 00 00 00 00 00 66 90 f3 0f 1e fa 41 89 ca 64 8b 04 25 18 00 00 00 85 c00 [ ---truncated--- Уязвимость компонента mpc.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bcachefs: bch2_ioctl_subvolume_destroy() fixes bch2_evict_subvolume_inodes() was getting stuck - due to incorrectly pruning the dcache. Also, fix missing permissions checks. Уязвимость компонента bcachefs ядра операционной системы Linux связана с ошибками обработки разрешений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: memstick: rtsx_usb_ms: Fix slab-use-after-free in rtsx_usb_ms_drv_remove This fixes the following crash: ================================================================== BUG: KASAN: slab-use-after-free in rtsx_usb_ms_poll_card+0x159/0x200 [rtsx_usb_ms] Read of size 8 at addr ffff888136335380 by task kworker/6:0/140241 CPU: 6 UID: 0 PID: 140241 Comm: kworker/6:0 Kdump: loaded Tainted: G E 6.14.0-rc6+ #1 Tainted: [E]=UNSIGNED_MODULE Hardware name: LENOVO 30FNA1V7CW/1057, BIOS S0EKT54A 07/01/2024 Workqueue: events rtsx_usb_ms_poll_card [rtsx_usb_ms] Call Trace: <TASK> dump_stack_lvl+0x51/0x70 print_address_description.constprop.0+0x27/0x320 ? rtsx_usb_ms_poll_card+0x159/0x200 [rtsx_usb_ms] print_report+0x3e/0x70 kasan_report+0xab/0xe0 ? rtsx_usb_ms_poll_card+0x159/0x200 [rtsx_usb_ms] rtsx_usb_ms_poll_card+0x159/0x200 [rtsx_usb_ms] ? __pfx_rtsx_usb_ms_poll_card+0x10/0x10 [rtsx_usb_ms] ? __pfx___schedule+0x10/0x10 ? kick_pool+0x3b/0x270 process_one_work+0x357/0x660 worker_thread+0x390/0x4c0 ? __pfx_worker_thread+0x10/0x10 kthread+0x190/0x1d0 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x2d/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Allocated by task 161446: kasan_save_stack+0x20/0x40 kasan_save_track+0x10/0x30 __kasan_kmalloc+0x7b/0x90 __kmalloc_noprof+0x1a7/0x470 memstick_alloc_host+0x1f/0xe0 [memstick] rtsx_usb_ms_drv_probe+0x47/0x320 [rtsx_usb_ms] platform_probe+0x60/0xe0 call_driver_probe+0x35/0x120 really_probe+0x123/0x410 __driver_probe_device+0xc7/0x1e0 driver_probe_device+0x49/0xf0 __device_attach_driver+0xc6/0x160 bus_for_each_drv+0xe4/0x160 __device_attach+0x13a/0x2b0 bus_probe_device+0xbd/0xd0 device_add+0x4a5/0x760 platform_device_add+0x189/0x370 mfd_add_device+0x587/0x5e0 mfd_add_devices+0xb1/0x130 rtsx_usb_probe+0x28e/0x2e0 [rtsx_usb] usb_probe_interface+0x15c/0x460 call_driver_probe+0x35/0x120 really_probe+0x123/0x410 __driver_probe_device+0xc7/0x1e0 driver_probe_device+0x49/0xf0 __device_attach_driver+0xc6/0x160 bus_for_each_drv+0xe4/0x160 __device_attach+0x13a/0x2b0 rebind_marked_interfaces.isra.0+0xcc/0x110 usb_reset_device+0x352/0x410 usbdev_do_ioctl+0xe5c/0x1860 usbdev_ioctl+0xa/0x20 __x64_sys_ioctl+0xc5/0xf0 do_syscall_64+0x59/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e Freed by task 161506: kasan_save_stack+0x20/0x40 kasan_save_track+0x10/0x30 kasan_save_free_info+0x36/0x60 __kasan_slab_free+0x34/0x50 kfree+0x1fd/0x3b0 device_release+0x56/0xf0 kobject_cleanup+0x73/0x1c0 rtsx_usb_ms_drv_remove+0x13d/0x220 [rtsx_usb_ms] platform_remove+0x2f/0x50 device_release_driver_internal+0x24b/0x2e0 bus_remove_device+0x124/0x1d0 device_del+0x239/0x530 platform_device_del.part.0+0x19/0xe0 platform_device_unregister+0x1c/0x40 mfd_remove_devices_fn+0x167/0x170 device_for_each_child_reverse+0xc9/0x130 mfd_remove_devices+0x6e/0xa0 rtsx_usb_disconnect+0x2e/0xd0 [rtsx_usb] usb_unbind_interface+0xf3/0x3f0 device_release_driver_internal+0x24b/0x2e0 proc_disconnect_claim+0x13d/0x220 usbdev_do_ioctl+0xb5e/0x1860 usbdev_ioctl+0xa/0x20 __x64_sys_ioctl+0xc5/0xf0 do_syscall_64+0x59/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e Last potentially related work creation: kasan_save_stack+0x20/0x40 kasan_record_aux_stack+0x85/0x90 insert_work+0x29/0x100 __queue_work+0x34a/0x540 call_timer_fn+0x2a/0x160 expire_timers+0x5f/0x1f0 __run_timer_base.part.0+0x1b6/0x1e0 run_timer_softirq+0x8b/0xe0 handle_softirqs+0xf9/0x360 __irq_exit_rcu+0x114/0x130 sysvec_apic_timer_interrupt+0x72/0x90 asm_sysvec_apic_timer_interrupt+0x16/0x20 Second to last potentially related work creation: kasan_save_stack+0x20/0x40 kasan_record_aux_stack+0x85/0x90 insert_work+0x29/0x100 __queue_work+0x34a/0x540 call_timer_fn+0x2a/0x160 expire_timers+0x5f/0x1f0 __run_timer_base.part.0+0x1b6/0x1e0 run_timer_softirq+0x8b/0xe0 handle_softirqs+0xf9/0x ---truncated--- Уязвимость функции rtsx_usb_ms_drv_remove() компонента drivers/memstick/host/rtsx_usb_ms.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: socket: Lookup orig tuple for IPv6 SNAT nf_sk_lookup_slow_v4 does the conntrack lookup for IPv4 packets to restore the original 5-tuple in case of SNAT, to be able to find the right socket (if any). Then socket_match() can correctly check whether the socket was transparent. However, the IPv6 counterpart (nf_sk_lookup_slow_v6) lacks this conntrack lookup, making xt_socket fail to match on the socket when the packet was SNATed. Add the same logic to nf_sk_lookup_slow_v6. IPv6 SNAT is used in Kubernetes clusters for pod-to-world packets, as pods' addresses are in the fd00::/8 ULA subnet and need to be replaced with the node's external address. Cilium leverages Envoy to enforce L7 policies, and Envoy uses transparent sockets. Cilium inserts an iptables prerouting rule that matches on `-m socket --transparent` and redirects the packets to localhost, but it fails to match SNATed IPv6 packets due to that missing conntrack lookup. Уязвимость компонента netfilter ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: xhci: Apply the link chain quirk on NEC isoc endpoints Two clearly different specimens of NEC uPD720200 (one with start/stop bug, one without) were seen to cause IOMMU faults after some Missed Service Errors. Faulting address is immediately after a transfer ring segment and patched dynamic debug messages revealed that the MSE was received when waiting for a TD near the end of that segment: [ 1.041954] xhci_hcd: Miss service interval error for slot 1 ep 2 expected TD DMA ffa08fe0 [ 1.042120] xhci_hcd: AMD-Vi: Event logged [IO_PAGE_FAULT domain=0x0005 address=0xffa09000 flags=0x0000] [ 1.042146] xhci_hcd: AMD-Vi: Event logged [IO_PAGE_FAULT domain=0x0005 address=0xffa09040 flags=0x0000] It gets even funnier if the next page is a ring segment accessible to the HC. Below, it reports MSE in segment at ff1e8000, plows through a zero-filled page at ff1e9000 and starts reporting events for TRBs in page at ff1ea000 every microframe, instead of jumping to seg ff1e6000. [ 7.041671] xhci_hcd: Miss service interval error for slot 1 ep 2 expected TD DMA ff1e8fe0 [ 7.041999] xhci_hcd: Miss service interval error for slot 1 ep 2 expected TD DMA ff1e8fe0 [ 7.042011] xhci_hcd: WARN: buffer overrun event for slot 1 ep 2 on endpoint [ 7.042028] xhci_hcd: All TDs skipped for slot 1 ep 2. Clear skip flag. [ 7.042134] xhci_hcd: WARN: buffer overrun event for slot 1 ep 2 on endpoint [ 7.042138] xhci_hcd: ERROR Transfer event TRB DMA ptr not part of current TD ep_index 2 comp_code 31 [ 7.042144] xhci_hcd: Looking for event-dma 00000000ff1ea040 trb-start 00000000ff1e6820 trb-end 00000000ff1e6820 [ 7.042259] xhci_hcd: WARN: buffer overrun event for slot 1 ep 2 on endpoint [ 7.042262] xhci_hcd: ERROR Transfer event TRB DMA ptr not part of current TD ep_index 2 comp_code 31 [ 7.042266] xhci_hcd: Looking for event-dma 00000000ff1ea050 trb-start 00000000ff1e6820 trb-end 00000000ff1e6820 At some point completion events change from Isoch Buffer Overrun to Short Packet and the HC finally finds cycle bit mismatch in ff1ec000. [ 7.098130] xhci_hcd: ERROR Transfer event TRB DMA ptr not part of current TD ep_index 2 comp_code 13 [ 7.098132] xhci_hcd: Looking for event-dma 00000000ff1ecc50 trb-start 00000000ff1e6820 trb-end 00000000ff1e6820 [ 7.098254] xhci_hcd: ERROR Transfer event TRB DMA ptr not part of current TD ep_index 2 comp_code 13 [ 7.098256] xhci_hcd: Looking for event-dma 00000000ff1ecc60 trb-start 00000000ff1e6820 trb-end 00000000ff1e6820 [ 7.098379] xhci_hcd: Overrun event on slot 1 ep 2 It's possible that data from the isochronous device were written to random buffers of pending TDs on other endpoints (either IN or OUT), other devices or even other HCs in the same IOMMU domain. Lastly, an error from a different USB device on another HC. Was it caused by the above? I don't know, but it may have been. The disk was working without any other issues and generated PCIe traffic to starve the NEC of upstream BW and trigger those MSEs. The two HCs shared one x1 slot by means of a commercial "PCIe splitter" board. [ 7.162604] usb 10-2: reset SuperSpeed USB device number 3 using xhci_hcd [ 7.178990] sd 9:0:0:0: [sdb] tag#0 UNKNOWN(0x2003) Result: hostbyte=0x07 driverbyte=DRIVER_OK cmd_age=0s [ 7.179001] sd 9:0:0:0: [sdb] tag#0 CDB: opcode=0x28 28 00 04 02 ae 00 00 02 00 00 [ 7.179004] I/O error, dev sdb, sector 67284480 op 0x0:(READ) flags 0x80700 phys_seg 5 prio class 0 Fortunately, it appears that this ridiculous bug is avoided by setting the chain bit of Link TRBs on isochronous rings. Other ancient HCs are known which also expect the bit to be set and they ignore Link TRBs if it's not. Reportedly, 0.95 spec guaranteed that the bit is set. The bandwidth-starved NEC HC running a 32KB/uframe UVC endpoint reports tens of MSEs per second and runs into the bug within seconds. Chaining Link TRBs allows the same workload to run for many minutes, many times. No ne ---truncated--- Уязвимость компонента drivers/usb/host/xhci.h ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: xhci: Don't skip on Stopped - Length Invalid Up until commit d56b0b2ab142 ("usb: xhci: ensure skipped isoc TDs are returned when isoc ring is stopped") in v6.11, the driver didn't skip missed isochronous TDs when handling Stoppend and Stopped - Length Invalid events. Instead, it erroneously cleared the skip flag, which would cause the ring to get stuck, as future events won't match the missed TD which is never removed from the queue until it's cancelled. This buggy logic seems to have been in place substantially unchanged since the 3.x series over 10 years ago, which probably speaks first and foremost about relative rarity of this case in normal usage, but by the spec I see no reason why it shouldn't be possible. After d56b0b2ab142, TDs are immediately skipped when handling those Stopped events. This poses a potential problem in case of Stopped - Length Invalid, which occurs either on completed TDs (likely already given back) or Link and No-Op TRBs. Such event won't be recognized as matching any TD (unless it's the rare Link TRB inside a TD) and will result in skipping all pending TDs, giving them back possibly before they are done, risking isoc data loss and maybe UAF by HW. As a compromise, don't skip and don't clear the skip flag on this kind of event. Then the next event will skip missed TDs. A downside of not handling Stopped - Length Invalid on a Link inside a TD is that if the TD is cancelled, its actual length will not be updated to account for TRBs (silently) completed before the TD was stopped. I had no luck producing this sequence of completion events so there is no compelling demonstration of any resulting disaster. It may be a very rare, obscure condition. The sole motivation for this patch is that if such unlikely event does occur, I'd rather risk reporting a cancelled partially done isoc frame as empty than gamble with UAF. This will be fixed more properly by looking at Stopped event's TRB pointer when making skipping decisions, but such rework is unlikely to be backported to v6.12, which will stay around for a few years. Уязвимость компонента xhci ядра операционной системы Linux связана с недостатками в обработке исключительных состояний. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfsd: fix management of listener transports Currently, when no active threads are running, a root user using nfsdctl command can try to remove a particular listener from the list of previously added ones, then start the server by increasing the number of threads, it leads to the following problem: [ 158.835354] refcount_t: addition on 0; use-after-free. [ 158.835603] WARNING: CPU: 2 PID: 9145 at lib/refcount.c:25 refcount_warn_saturate+0x160/0x1a0 [ 158.836017] Modules linked in: rpcrdma rdma_cm iw_cm ib_cm ib_core nfsd auth_rpcgss nfs_acl lockd grace overlay isofs uinput snd_seq_dummy snd_hrtimer nft_fib_inet nft_fib_ipv4 nft_fib_ipv6 nft_fib nft_reject_inet nf_reject_ipv4 nf_reject_ipv6 nft_reject nft_ct nft_chain_nat nf_nat nf_conntrack nf_defrag_ipv6 nf_defrag_ipv4 rfkill ip_set nf_tables qrtr sunrpc vfat fat uvcvideo videobuf2_vmalloc videobuf2_memops uvc videobuf2_v4l2 videodev videobuf2_common snd_hda_codec_generic mc e1000e snd_hda_intel snd_intel_dspcfg snd_hda_codec snd_hda_core snd_hwdep snd_seq snd_seq_device snd_pcm snd_timer snd soundcore sg loop dm_multipath dm_mod nfnetlink vsock_loopback vmw_vsock_virtio_transport_common vmw_vsock_vmci_transport vmw_vmci vsock xfs libcrc32c crct10dif_ce ghash_ce vmwgfx sha2_ce sha256_arm64 sr_mod sha1_ce cdrom nvme drm_client_lib drm_ttm_helper ttm nvme_core drm_kms_helper nvme_auth drm fuse [ 158.840093] CPU: 2 UID: 0 PID: 9145 Comm: nfsd Kdump: loaded Tainted: G B W 6.13.0-rc6+ #7 [ 158.840624] Tainted: [B]=BAD_PAGE, [W]=WARN [ 158.840802] Hardware name: VMware, Inc. VMware20,1/VBSA, BIOS VMW201.00V.24006586.BA64.2406042154 06/04/2024 [ 158.841220] pstate: 61400005 (nZCv daif +PAN -UAO -TCO +DIT -SSBS BTYPE=--) [ 158.841563] pc : refcount_warn_saturate+0x160/0x1a0 [ 158.841780] lr : refcount_warn_saturate+0x160/0x1a0 [ 158.842000] sp : ffff800089be7d80 [ 158.842147] x29: ffff800089be7d80 x28: ffff00008e68c148 x27: ffff00008e68c148 [ 158.842492] x26: ffff0002e3b5c000 x25: ffff600011cd1829 x24: ffff00008653c010 [ 158.842832] x23: ffff00008653c000 x22: 1fffe00011cd1829 x21: ffff00008653c028 [ 158.843175] x20: 0000000000000002 x19: ffff00008653c010 x18: 0000000000000000 [ 158.843505] x17: 0000000000000000 x16: 0000000000000000 x15: 0000000000000000 [ 158.843836] x14: 0000000000000000 x13: 0000000000000001 x12: ffff600050a26493 [ 158.844143] x11: 1fffe00050a26492 x10: ffff600050a26492 x9 : dfff800000000000 [ 158.844475] x8 : 00009fffaf5d9b6e x7 : ffff000285132493 x6 : 0000000000000001 [ 158.844823] x5 : ffff000285132490 x4 : ffff600050a26493 x3 : ffff8000805e72bc [ 158.845174] x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff000098588000 [ 158.845528] Call trace: [ 158.845658] refcount_warn_saturate+0x160/0x1a0 (P) [ 158.845894] svc_recv+0x58c/0x680 [sunrpc] [ 158.846183] nfsd+0x1fc/0x348 [nfsd] [ 158.846390] kthread+0x274/0x2f8 [ 158.846546] ret_from_fork+0x10/0x20 [ 158.846714] ---[ end trace 0000000000000000 ]--- nfsd_nl_listener_set_doit() would manipulate the list of transports of server's sv_permsocks and close the specified listener but the other list of transports (server's sp_xprts list) would not be changed leading to the problem above. Instead, determined if the nfsdctl is trying to remove a listener, in which case, delete all the existing listener transports and re-create all-but-the-removed ones. Уязвимость комопнента nfsd ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfsd: put dl_stid if fail to queue dl_recall Before calling nfsd4_run_cb to queue dl_recall to the callback_wq, we increment the reference count of dl_stid. We expect that after the corresponding work_struct is processed, the reference count of dl_stid will be decremented through the callback function nfsd4_cb_recall_release. However, if the call to nfsd4_run_cb fails, the incremented reference count of dl_stid will not be decremented correspondingly, leading to the following nfs4_stid leak: unreferenced object 0xffff88812067b578 (size 344): comm "nfsd", pid 2761, jiffies 4295044002 (age 5541.241s) hex dump (first 32 bytes): 01 00 00 00 6b 6b 6b 6b b8 02 c0 e2 81 88 ff ff ....kkkk........ 00 6b 6b 6b 6b 6b 6b 6b 00 00 00 00 ad 4e ad de .kkkkkkk.....N.. backtrace: kmem_cache_alloc+0x4b9/0x700 nfsd4_process_open1+0x34/0x300 nfsd4_open+0x2d1/0x9d0 nfsd4_proc_compound+0x7a2/0xe30 nfsd_dispatch+0x241/0x3e0 svc_process_common+0x5d3/0xcc0 svc_process+0x2a3/0x320 nfsd+0x180/0x2e0 kthread+0x199/0x1d0 ret_from_fork+0x30/0x50 ret_from_fork_asm+0x1b/0x30 unreferenced object 0xffff8881499f4d28 (size 368): comm "nfsd", pid 2761, jiffies 4295044005 (age 5541.239s) hex dump (first 32 bytes): 01 00 00 00 00 00 00 00 30 4d 9f 49 81 88 ff ff ........0M.I.... 30 4d 9f 49 81 88 ff ff 20 00 00 00 01 00 00 00 0M.I.... ....... backtrace: kmem_cache_alloc+0x4b9/0x700 nfs4_alloc_stid+0x29/0x210 alloc_init_deleg+0x92/0x2e0 nfs4_set_delegation+0x284/0xc00 nfs4_open_delegation+0x216/0x3f0 nfsd4_process_open2+0x2b3/0xee0 nfsd4_open+0x770/0x9d0 nfsd4_proc_compound+0x7a2/0xe30 nfsd_dispatch+0x241/0x3e0 svc_process_common+0x5d3/0xcc0 svc_process+0x2a3/0x320 nfsd+0x180/0x2e0 kthread+0x199/0x1d0 ret_from_fork+0x30/0x50 ret_from_fork_asm+0x1b/0x30 Fix it by checking the result of nfsd4_run_cb and call nfs4_put_stid if fail to queue dl_recall. Уязвимость компонента nfsd ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: streamzap: fix race between device disconnection and urb callback Syzkaller has reported a general protection fault at function ir_raw_event_store_with_filter(). This crash is caused by a NULL pointer dereference of dev->raw pointer, even though it is checked for NULL in the same function, which means there is a race condition. It occurs due to the incorrect order of actions in the streamzap_disconnect() function: rc_unregister_device() is called before usb_kill_urb(). The dev->raw pointer is freed and set to NULL in rc_unregister_device(), and only after that usb_kill_urb() waits for in-progress requests to finish. If rc_unregister_device() is called while streamzap_callback() handler is not finished, this can lead to accessing freed resources. Thus rc_unregister_device() should be called after usb_kill_urb(). Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента streamzap.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: vimc: skip .s_stream() for stopped entities Syzbot reported [1] a warning prompted by a check in call_s_stream() that checks whether .s_stream() operation is warranted for unstarted or stopped subdevs. Add a simple fix in vimc_streamer_pipeline_terminate() ensuring that entities skip a call to .s_stream() unless they have been previously properly started. [1] Syzbot report: ------------[ cut here ]------------ WARNING: CPU: 0 PID: 5933 at drivers/media/v4l2-core/v4l2-subdev.c:460 call_s_stream+0x2df/0x350 drivers/media/v4l2-core/v4l2-subdev.c:460 Modules linked in: CPU: 0 UID: 0 PID: 5933 Comm: syz-executor330 Not tainted 6.13.0-rc2-syzkaller-00362-g2d8308bf5b67 #0 ... Call Trace: <TASK> vimc_streamer_pipeline_terminate+0x218/0x320 drivers/media/test-drivers/vimc/vimc-streamer.c:62 vimc_streamer_pipeline_init drivers/media/test-drivers/vimc/vimc-streamer.c:101 [inline] vimc_streamer_s_stream+0x650/0x9a0 drivers/media/test-drivers/vimc/vimc-streamer.c:203 vimc_capture_start_streaming+0xa1/0x130 drivers/media/test-drivers/vimc/vimc-capture.c:256 vb2_start_streaming+0x15f/0x5a0 drivers/media/common/videobuf2/videobuf2-core.c:1789 vb2_core_streamon+0x2a7/0x450 drivers/media/common/videobuf2/videobuf2-core.c:2348 vb2_streamon drivers/media/common/videobuf2/videobuf2-v4l2.c:875 [inline] vb2_ioctl_streamon+0xf4/0x170 drivers/media/common/videobuf2/videobuf2-v4l2.c:1118 __video_do_ioctl+0xaf0/0xf00 drivers/media/v4l2-core/v4l2-ioctl.c:3122 video_usercopy+0x4d2/0x1620 drivers/media/v4l2-core/v4l2-ioctl.c:3463 v4l2_ioctl+0x1ba/0x250 drivers/media/v4l2-core/v4l2-dev.c:366 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl fs/ioctl.c:892 [inline] __x64_sys_ioctl+0x190/0x200 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f2b85c01b19 ... [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arm64: Don't call NULL in do_compat_alignment_fixup() do_alignment_t32_to_handler() only fixes up alignment faults for specific instructions; it returns NULL otherwise (e.g. LDREX). When that's the case, signal to the caller that it needs to proceed with the regular alignment fault handling (i.e. SIGBUS). Without this patch, the kernel panics: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 Mem abort info: ESR = 0x0000000086000006 EC = 0x21: IABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x06: level 2 translation fault user pgtable: 4k pages, 48-bit VAs, pgdp=00000800164aa000 [0000000000000000] pgd=0800081fdbd22003, p4d=0800081fdbd22003, pud=08000815d51c6003, pmd=0000000000000000 Internal error: Oops: 0000000086000006 [#1] SMP Modules linked in: cfg80211 rfkill xt_nat xt_tcpudp xt_conntrack nft_chain_nat xt_MASQUERADE nf_nat nf_conntrack_netlink nf_conntrack nf_defrag_ipv6 nf_defrag_ipv4 xfrm_user xfrm_algo xt_addrtype nft_compat br_netfilter veth nvme_fa> libcrc32c crc32c_generic raid0 multipath linear dm_mod dax raid1 md_mod xhci_pci nvme xhci_hcd nvme_core t10_pi usbcore igb crc64_rocksoft crc64 crc_t10dif crct10dif_generic crct10dif_ce crct10dif_common usb_common i2c_algo_bit i2c> CPU: 2 PID: 3932954 Comm: WPEWebProcess Not tainted 6.1.0-31-arm64 #1 Debian 6.1.128-1 Hardware name: GIGABYTE MP32-AR1-00/MP32-AR1-00, BIOS F18v (SCP: 1.08.20211002) 12/01/2021 pstate: 80400009 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : 0x0 lr : do_compat_alignment_fixup+0xd8/0x3dc sp : ffff80000f973dd0 x29: ffff80000f973dd0 x28: ffff081b42526180 x27: 0000000000000000 x26: 0000000000000000 x25: 0000000000000000 x24: 0000000000000000 x23: 0000000000000004 x22: 0000000000000000 x21: 0000000000000001 x20: 00000000e8551f00 x19: ffff80000f973eb0 x18: 0000000000000000 x17: 0000000000000000 x16: 0000000000000000 x15: 0000000000000000 x14: 0000000000000000 x13: 0000000000000000 x12: 0000000000000000 x11: 0000000000000000 x10: 0000000000000000 x9 : ffffaebc949bc488 x8 : 0000000000000000 x7 : 0000000000000000 x6 : 0000000000000000 x5 : 0000000000400000 x4 : 0000fffffffffffe x3 : 0000000000000000 x2 : ffff80000f973eb0 x1 : 00000000e8551f00 x0 : 0000000000000001 Call trace: 0x0 do_alignment_fault+0x40/0x50 do_mem_abort+0x4c/0xa0 el0_da+0x48/0xf0 el0t_32_sync_handler+0x110/0x140 el0t_32_sync+0x190/0x194 Code: bad PC value ---[ end trace 0000000000000000 ]--- Уязвимость компонента compat_alignment.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/gup: reject FOLL_SPLIT_PMD with hugetlb VMAs Patch series "mm: fixes for device-exclusive entries (hmm)", v2. Discussing the PageTail() call in make_device_exclusive_range() with Willy, I recently discovered [1] that device-exclusive handling does not properly work with THP, making the hmm-tests selftests fail if THPs are enabled on the system. Looking into more details, I found that hugetlb is not properly fenced, and I realized that something that was bugging me for longer -- how device-exclusive entries interact with mapcounts -- completely breaks migration/swapout/split/hwpoison handling of these folios while they have device-exclusive PTEs. The program below can be used to allocate 1 GiB worth of pages and making them device-exclusive on a kernel with CONFIG_TEST_HMM. Once they are device-exclusive, these folios cannot get swapped out (proc$pid/smaps_rollup will always indicate 1 GiB RSS no matter how much one forces memory reclaim), and when having a memory block onlined to ZONE_MOVABLE, trying to offline it will loop forever and complain about failed migration of a page that should be movable. # echo offline > /sys/devices/system/memory/memory136/state # echo online_movable > /sys/devices/system/memory/memory136/state # ./hmm-swap & ... wait until everything is device-exclusive # echo offline > /sys/devices/system/memory/memory136/state [ 285.193431][T14882] page: refcount:2 mapcount:0 mapping:0000000000000000 index:0x7f20671f7 pfn:0x442b6a [ 285.196618][T14882] memcg:ffff888179298000 [ 285.198085][T14882] anon flags: 0x5fff0000002091c(referenced|uptodate| dirty|active|owner_2|swapbacked|node=1|zone=3|lastcpupid=0x7ff) [ 285.201734][T14882] raw: ... [ 285.204464][T14882] raw: ... [ 285.207196][T14882] page dumped because: migration failure [ 285.209072][T14882] page_owner tracks the page as allocated [ 285.210915][T14882] page last allocated via order 0, migratetype Movable, gfp_mask 0x140dca(GFP_HIGHUSER_MOVABLE|__GFP_COMP|__GFP_ZERO), id 14926, tgid 14926 (hmm-swap), ts 254506295376, free_ts 227402023774 [ 285.216765][T14882] post_alloc_hook+0x197/0x1b0 [ 285.218874][T14882] get_page_from_freelist+0x76e/0x3280 [ 285.220864][T14882] __alloc_frozen_pages_noprof+0x38e/0x2740 [ 285.223302][T14882] alloc_pages_mpol+0x1fc/0x540 [ 285.225130][T14882] folio_alloc_mpol_noprof+0x36/0x340 [ 285.227222][T14882] vma_alloc_folio_noprof+0xee/0x1a0 [ 285.229074][T14882] __handle_mm_fault+0x2b38/0x56a0 [ 285.230822][T14882] handle_mm_fault+0x368/0x9f0 ... This series fixes all issues I found so far. There is no easy way to fix without a bigger rework/cleanup. I have a bunch of cleanups on top (some previous sent, some the result of the discussion in v1) that I will send out separately once this landed and I get to it. I wish we could just use some special present PROT_NONE PTEs instead of these (non-present, non-none) fake-swap entries; but that just results in the same problem we keep having (lack of spare PTE bits), and staring at other similar fake-swap entries, that ship has sailed. With this series, make_device_exclusive() doesn't actually belong into mm/rmap.c anymore, but I'll leave moving that for another day. I only tested this series with the hmm-tests selftests due to lack of HW, so I'd appreciate some testing, especially if the interaction between two GPUs wanting a device-exclusive entry works as expected. <program> #include <stdio.h> #include <fcntl.h> #include <stdint.h> #include <unistd.h> #include <stdlib.h> #include <string.h> #include <sys/mman.h> #include <sys/ioctl.h> #include <linux/types.h> #include <linux/ioctl.h> #define HMM_DMIRROR_EXCLUSIVE _IOWR('H', 0x05, struct hmm_dmirror_cmd) struct hmm_dmirror_cmd { __u64 addr; __u64 ptr; __u64 npages; __u64 cpages; __u64 faults; }; const size_t size = 1 * 1024 * 1024 * 1024ul; const size_t chunk_size = 2 * 1024 * 1024ul; int m ---truncated--- Уязвимость компонента mm/gup ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: Fix use-after-free in print_graph_function_flags during tracer switching Kairui reported a UAF issue in print_graph_function_flags() during ftrace stress testing [1]. This issue can be reproduced if puting a 'mdelay(10)' after 'mutex_unlock(&trace_types_lock)' in s_start(), and executing the following script: $ echo function_graph > current_tracer $ cat trace > /dev/null & $ sleep 5 # Ensure the 'cat' reaches the 'mdelay(10)' point $ echo timerlat > current_tracer The root cause lies in the two calls to print_graph_function_flags within print_trace_line during each s_show(): * One through 'iter->trace->print_line()'; * Another through 'event->funcs->trace()', which is hidden in print_trace_fmt() before print_trace_line returns. Tracer switching only updates the former, while the latter continues to use the print_line function of the old tracer, which in the script above is print_graph_function_flags. Moreover, when switching from the 'function_graph' tracer to the 'timerlat' tracer, s_start only calls graph_trace_close of the 'function_graph' tracer to free 'iter->private', but does not set it to NULL. This provides an opportunity for 'event->funcs->trace()' to use an invalid 'iter->private'. To fix this issue, set 'iter->private' to NULL immediately after freeing it in graph_trace_close(), ensuring that an invalid pointer is not passed to other tracers. Additionally, clean up the unnecessary 'iter->private = NULL' during each 'cat trace' when using wakeup and irqsoff tracers. [1] https://lore.kernel.org/all/20231112150030.84609-1-ryncsn@gmail.com/ Уязвимость компонента kernel/trace ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: exfat: fix random stack corruption after get_block When get_block is called with a buffer_head allocated on the stack, such as do_mpage_readpage, stack corruption due to buffer_head UAF may occur in the following race condition situation. <CPU 0> <CPU 1> mpage_read_folio <<bh on stack>> do_mpage_readpage exfat_get_block bh_read __bh_read get_bh(bh) submit_bh wait_on_buffer ... end_buffer_read_sync __end_buffer_read_notouch unlock_buffer <<keep going>> ... ... ... ... <<bh is not valid out of mpage_read_folio>> . . another_function <<variable A on stack>> put_bh(bh) atomic_dec(bh->b_count) * stack corruption here * This patch returns -EAGAIN if a folio does not have buffers when bh_read needs to be called. By doing this, the caller can fallback to functions like block_read_full_folio(), create a buffer_head in the folio, and then call get_block again. Let's do not call bh_read() with on-stack buffer_head. Уязвимость компонента fs/exfat ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix null pointer dereference in alloc_preauth_hash() The Client send malformed smb2 negotiate request. ksmbd return error response. Subsequently, the client can send smb2 session setup even thought conn->preauth_info is not allocated. This patch add KSMBD_SESS_NEED_SETUP status of connection to ignore session setup request if smb2 negotiate phase is not complete. Уязвимость функции alloc_preauth_hash() ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: validate zero num_subauth before sub_auth is accessed Access psid->sub_auth[psid->num_subauth - 1] without checking if num_subauth is non-zero leads to an out-of-bounds read. This patch adds a validation step to ensure num_subauth != 0 before sub_auth is accessed. Уязвимость компонента ksmbd ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=8.3) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix overflow in dacloffset bounds check The dacloffset field was originally typed as int and used in an unchecked addition, which could overflow and bypass the existing bounds check in both smb_check_perm_dacl() and smb_inherit_dacl(). This could result in out-of-bounds memory access and a kernel crash when dereferencing the DACL pointer. This patch converts dacloffset to unsigned int and uses check_add_overflow() to validate access to the DACL. [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix session use-after-free in multichannel connection There is a race condition between session setup and ksmbd_sessions_deregister. The session can be freed before the connection is added to channel list of session. This patch check reference count of session before freeing it. Уязвимость компонента ksmbd ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in ksmbd_sessions_deregister() In multichannel mode, UAF issue can occur in session_deregister when the second channel sets up a session through the connection of the first channel. session that is freed through the global session table can be accessed again through ->sessions of connection. Уязвимость функции ksmbd_sessions_deregister() компонента user_session.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: add bounds check for create lease context Add missing bounds check for create lease context. Уязвимость ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=8.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: add bounds check for durable handle context Add missing bounds check for durable handle context. [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: acpi: nfit: fix narrowing conversion in acpi_nfit_ctl Syzkaller has reported a warning in to_nfit_bus_uuid(): "only secondary bus families can be translated". This warning is emited if the argument is equal to NVDIMM_BUS_FAMILY_NFIT == 0. Function acpi_nfit_ctl() first verifies that a user-provided value call_pkg->nd_family of type u64 is not equal to 0. Then the value is converted to int, and only after that is compared to NVDIMM_BUS_FAMILY_MAX. This can lead to passing an invalid argument to acpi_nfit_ctl(), if call_pkg->nd_family is non-zero, while the lower 32 bits are zero. Furthermore, it is best to return EINVAL immediately upon seeing the invalid user input. The WARNING is insufficient to prevent further undefined behavior based on other invalid user input. All checks of the input value should be applied to the original variable call_pkg->nd_family. [iweiny: update commit message] Уязвимость компонента acpi ядра операционной системы Linux связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-704')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/mm: Fix flush_tlb_range() when used for zapping normal PMDs On the following path, flush_tlb_range() can be used for zapping normal PMD entries (PMD entries that point to page tables) together with the PTE entries in the pointed-to page table: collapse_pte_mapped_thp pmdp_collapse_flush flush_tlb_range The arm64 version of flush_tlb_range() has a comment describing that it can be used for page table removal, and does not use any last-level invalidation optimizations. Fix the X86 version by making it behave the same way. Currently, X86 only uses this information for the following two purposes, which I think means the issue doesn't have much impact: - In native_flush_tlb_multi() for checking if lazy TLB CPUs need to be IPI'd to avoid issues with speculative page table walks. - In Hyper-V TLB paravirtualization, again for lazy TLB stuff. The patch "x86/mm: only invalidate final translations with INVLPGB" which is currently under review (see <https://lore.kernel.org/all/20241230175550.4046587-13-riel@surriel.com/>) would probably be making the impact of this a lot worse. Уязвимость компонента x86/mm ядра операционной системы Linux связана с недостатком механизма безопасности данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: uprobes/x86: Harden uretprobe syscall trampoline check Jann reported a possible issue when trampoline_check_ip returns address near the bottom of the address space that is allowed to call into the syscall if uretprobes are not set up: https://lore.kernel.org/bpf/202502081235.5A6F352985@keescook/T/#m9d416df341b8fbc11737dacbcd29f0054413cbbf Though the mmap minimum address restrictions will typically prevent creating mappings there, let's make sure uretprobe syscall checks for that. Уязвимость компонента uprobes/x86 ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: BPF: Don't override subprog's return value The verifier test `calls: div by 0 in subprog` triggers a panic at the ld.bu instruction. The ld.bu insn is trying to load byte from memory address returned by the subprog. The subprog actually set the correct address at the a5 register (dedicated register for BPF return values). But at commit 73c359d1d356 ("LoongArch: BPF: Sign-extend return values") we also sign extended a5 to the a0 register (return value in LoongArch). For function call insn, we later propagate the a0 register back to a5 register. This is right for native calls but wrong for bpf2bpf calls which expect zero-extended return value in a5 register. So only move a0 to a5 for native calls (i.e. non-BPF_PSEUDO_CALL). [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Increase ARCH_DMA_MINALIGN up to 16 ARCH_DMA_MINALIGN is 1 by default, but some LoongArch-specific devices (such as APBDMA) require 16 bytes alignment. When the data buffer length is too small, the hardware may make an error writing cacheline. Thus, it is dangerous to allocate a small memory buffer for DMA. It's always safe to define ARCH_DMA_MINALIGN as L1_CACHE_BYTES but unnecessary (kmalloc() need small memory objects). Therefore, just increase it to 16. Уязвимость ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usbnet:fix NPE during rx_complete Missing usbnet_going_away Check in Critical Path. The usb_submit_urb function lacks a usbnet_going_away validation, whereas __usbnet_queue_skb includes this check. This inconsistency creates a race condition where: A URB request may succeed, but the corresponding SKB data fails to be queued. Subsequent processes: (e.g., rx_complete → defer_bh → __skb_unlink(skb, list)) attempt to access skb->next, triggering a NULL pointer dereference (Kernel Panic). Уязвимость компонента usbnet ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ibmveth: make veth_pool_store stop hanging v2: - Created a single error handling unlock and exit in veth_pool_store - Greatly expanded commit message with previous explanatory-only text Summary: Use rtnl_mutex to synchronize veth_pool_store with itself, ibmveth_close and ibmveth_open, preventing multiple calls in a row to napi_disable. Background: Two (or more) threads could call veth_pool_store through writing to /sys/devices/vio/30000002/pool*/*. You can do this easily with a little shell script. This causes a hang. I configured LOCKDEP, compiled ibmveth.c with DEBUG, and built a new kernel. I ran this test again and saw: Setting pool0/active to 0 Setting pool1/active to 1 [ 73.911067][ T4365] ibmveth 30000002 eth0: close starting Setting pool1/active to 1 Setting pool1/active to 0 [ 73.911367][ T4366] ibmveth 30000002 eth0: close starting [ 73.916056][ T4365] ibmveth 30000002 eth0: close complete [ 73.916064][ T4365] ibmveth 30000002 eth0: open starting [ 110.808564][ T712] systemd-journald[712]: Sent WATCHDOG=1 notification. [ 230.808495][ T712] systemd-journald[712]: Sent WATCHDOG=1 notification. [ 243.683786][ T123] INFO: task stress.sh:4365 blocked for more than 122 seconds. [ 243.683827][ T123] Not tainted 6.14.0-01103-g2df0c02dab82-dirty #8 [ 243.683833][ T123] "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. [ 243.683838][ T123] task:stress.sh state:D stack:28096 pid:4365 tgid:4365 ppid:4364 task_flags:0x400040 flags:0x00042000 [ 243.683852][ T123] Call Trace: [ 243.683857][ T123] [c00000000c38f690] [0000000000000001] 0x1 (unreliable) [ 243.683868][ T123] [c00000000c38f840] [c00000000001f908] __switch_to+0x318/0x4e0 [ 243.683878][ T123] [c00000000c38f8a0] [c000000001549a70] __schedule+0x500/0x12a0 [ 243.683888][ T123] [c00000000c38f9a0] [c00000000154a878] schedule+0x68/0x210 [ 243.683896][ T123] [c00000000c38f9d0] [c00000000154ac80] schedule_preempt_disabled+0x30/0x50 [ 243.683904][ T123] [c00000000c38fa00] [c00000000154dbb0] __mutex_lock+0x730/0x10f0 [ 243.683913][ T123] [c00000000c38fb10] [c000000001154d40] napi_enable+0x30/0x60 [ 243.683921][ T123] [c00000000c38fb40] [c000000000f4ae94] ibmveth_open+0x68/0x5dc [ 243.683928][ T123] [c00000000c38fbe0] [c000000000f4aa20] veth_pool_store+0x220/0x270 [ 243.683936][ T123] [c00000000c38fc70] [c000000000826278] sysfs_kf_write+0x68/0xb0 [ 243.683944][ T123] [c00000000c38fcb0] [c0000000008240b8] kernfs_fop_write_iter+0x198/0x2d0 [ 243.683951][ T123] [c00000000c38fd00] [c00000000071b9ac] vfs_write+0x34c/0x650 [ 243.683958][ T123] [c00000000c38fdc0] [c00000000071bea8] ksys_write+0x88/0x150 [ 243.683966][ T123] [c00000000c38fe10] [c0000000000317f4] system_call_exception+0x124/0x340 [ 243.683973][ T123] [c00000000c38fe50] [c00000000000d05c] system_call_vectored_common+0x15c/0x2ec ... [ 243.684087][ T123] Showing all locks held in the system: [ 243.684095][ T123] 1 lock held by khungtaskd/123: [ 243.684099][ T123] #0: c00000000278e370 (rcu_read_lock){....}-{1:2}, at: debug_show_all_locks+0x50/0x248 [ 243.684114][ T123] 4 locks held by stress.sh/4365: [ 243.684119][ T123] #0: c00000003a4cd3f8 (sb_writers#3){.+.+}-{0:0}, at: ksys_write+0x88/0x150 [ 243.684132][ T123] #1: c000000041aea888 (&of->mutex#2){+.+.}-{3:3}, at: kernfs_fop_write_iter+0x154/0x2d0 [ 243.684143][ T123] #2: c0000000366fb9a8 (kn->active#64){.+.+}-{0:0}, at: kernfs_fop_write_iter+0x160/0x2d0 [ 243.684155][ T123] #3: c000000035ff4cb8 (&dev->lock){+.+.}-{3:3}, at: napi_enable+0x30/0x60 [ 243.684166][ T123] 5 locks held by stress.sh/4366: [ 243.684170][ T123] #0: c00000003a4cd3f8 (sb_writers#3){.+.+}-{0:0}, at: ksys_write+0x88/0x150 [ 243. ---truncated--- [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arcnet: Add NULL check in com20020pci_probe() devm_kasprintf() returns NULL when memory allocation fails. Currently, com20020pci_probe() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue and ensure no resources are left allocated. Уязвимость компонента com20020-pci.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: fix geneve_opt length integer overflow struct geneve_opt uses 5 bit length for each single option, which means every vary size option should be smaller than 128 bytes. However, all current related Netlink policies cannot promise this length condition and the attacker can exploit a exact 128-byte size option to *fake* a zero length option and confuse the parsing logic, further achieve heap out-of-bounds read. One example crash log is like below: [ 3.905425] ================================================================== [ 3.905925] BUG: KASAN: slab-out-of-bounds in nla_put+0xa9/0xe0 [ 3.906255] Read of size 124 at addr ffff888005f291cc by task poc/177 [ 3.906646] [ 3.906775] CPU: 0 PID: 177 Comm: poc-oob-read Not tainted 6.1.132 #1 [ 3.907131] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 [ 3.907784] Call Trace: [ 3.907925] <TASK> [ 3.908048] dump_stack_lvl+0x44/0x5c [ 3.908258] print_report+0x184/0x4be [ 3.909151] kasan_report+0xc5/0x100 [ 3.909539] kasan_check_range+0xf3/0x1a0 [ 3.909794] memcpy+0x1f/0x60 [ 3.909968] nla_put+0xa9/0xe0 [ 3.910147] tunnel_key_dump+0x945/0xba0 [ 3.911536] tcf_action_dump_1+0x1c1/0x340 [ 3.912436] tcf_action_dump+0x101/0x180 [ 3.912689] tcf_exts_dump+0x164/0x1e0 [ 3.912905] fw_dump+0x18b/0x2d0 [ 3.913483] tcf_fill_node+0x2ee/0x460 [ 3.914778] tfilter_notify+0xf4/0x180 [ 3.915208] tc_new_tfilter+0xd51/0x10d0 [ 3.918615] rtnetlink_rcv_msg+0x4a2/0x560 [ 3.919118] netlink_rcv_skb+0xcd/0x200 [ 3.919787] netlink_unicast+0x395/0x530 [ 3.921032] netlink_sendmsg+0x3d0/0x6d0 [ 3.921987] __sock_sendmsg+0x99/0xa0 [ 3.922220] __sys_sendto+0x1b7/0x240 [ 3.922682] __x64_sys_sendto+0x72/0x90 [ 3.922906] do_syscall_64+0x5e/0x90 [ 3.923814] entry_SYSCALL_64_after_hwframe+0x6e/0xd8 [ 3.924122] RIP: 0033:0x7e83eab84407 [ 3.924331] Code: 48 89 fa 4c 89 df e8 38 aa 00 00 8b 93 08 03 00 00 59 5e 48 83 f8 fc 74 1a 5b c3 0f 1f 84 00 00 00 00 00 48 8b 44 24 10 0f 05 <5b> c3 0f 1f 80 00 00 00 00 83 e2 39 83 faf [ 3.925330] RSP: 002b:00007ffff505e370 EFLAGS: 00000202 ORIG_RAX: 000000000000002c [ 3.925752] RAX: ffffffffffffffda RBX: 00007e83eaafa740 RCX: 00007e83eab84407 [ 3.926173] RDX: 00000000000001a8 RSI: 00007ffff505e3c0 RDI: 0000000000000003 [ 3.926587] RBP: 00007ffff505f460 R08: 00007e83eace1000 R09: 000000000000000c [ 3.926977] R10: 0000000000000000 R11: 0000000000000202 R12: 00007ffff505f3c0 [ 3.927367] R13: 00007ffff505f5c8 R14: 00007e83ead1b000 R15: 00005d4fbbe6dcb8 Fix these issues by enforing correct length condition in related policies. Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_tunnel: fix geneve_opt type confusion addition When handling multiple NFTA_TUNNEL_KEY_OPTS_GENEVE attributes, the parsing logic should place every geneve_opt structure one by one compactly. Hence, when deciding the next geneve_opt position, the pointer addition should be in units of char *. However, the current implementation erroneously does type conversion before the addition, which will lead to heap out-of-bounds write. [ 6.989857] ================================================================== [ 6.990293] BUG: KASAN: slab-out-of-bounds in nft_tunnel_obj_init+0x977/0xa70 [ 6.990725] Write of size 124 at addr ffff888005f18974 by task poc/178 [ 6.991162] [ 6.991259] CPU: 0 PID: 178 Comm: poc-oob-write Not tainted 6.1.132 #1 [ 6.991655] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 [ 6.992281] Call Trace: [ 6.992423] <TASK> [ 6.992586] dump_stack_lvl+0x44/0x5c [ 6.992801] print_report+0x184/0x4be [ 6.993790] kasan_report+0xc5/0x100 [ 6.994252] kasan_check_range+0xf3/0x1a0 [ 6.994486] memcpy+0x38/0x60 [ 6.994692] nft_tunnel_obj_init+0x977/0xa70 [ 6.995677] nft_obj_init+0x10c/0x1b0 [ 6.995891] nf_tables_newobj+0x585/0x950 [ 6.996922] nfnetlink_rcv_batch+0xdf9/0x1020 [ 6.998997] nfnetlink_rcv+0x1df/0x220 [ 6.999537] netlink_unicast+0x395/0x530 [ 7.000771] netlink_sendmsg+0x3d0/0x6d0 [ 7.001462] __sock_sendmsg+0x99/0xa0 [ 7.001707] ____sys_sendmsg+0x409/0x450 [ 7.002391] ___sys_sendmsg+0xfd/0x170 [ 7.003145] __sys_sendmsg+0xea/0x170 [ 7.004359] do_syscall_64+0x5e/0x90 [ 7.005817] entry_SYSCALL_64_after_hwframe+0x6e/0xd8 [ 7.006127] RIP: 0033:0x7ec756d4e407 [ 7.006339] Code: 48 89 fa 4c 89 df e8 38 aa 00 00 8b 93 08 03 00 00 59 5e 48 83 f8 fc 74 1a 5b c3 0f 1f 84 00 00 00 00 00 48 8b 44 24 10 0f 05 <5b> c3 0f 1f 80 00 00 00 00 83 e2 39 83 faf [ 7.007364] RSP: 002b:00007ffed5d46760 EFLAGS: 00000202 ORIG_RAX: 000000000000002e [ 7.007827] RAX: ffffffffffffffda RBX: 00007ec756cc4740 RCX: 00007ec756d4e407 [ 7.008223] RDX: 0000000000000000 RSI: 00007ffed5d467f0 RDI: 0000000000000003 [ 7.008620] RBP: 00007ffed5d468a0 R08: 0000000000000000 R09: 0000000000000000 [ 7.009039] R10: 0000000000000000 R11: 0000000000000202 R12: 0000000000000000 [ 7.009429] R13: 00007ffed5d478b0 R14: 00007ec756ee5000 R15: 00005cbd4e655cb8 Fix this bug with correct pointer addition and conversion in parse and dump code. Уязвимость компонента net/netfilter/nft_tunnel.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2025-22056 необходимо запретить загрузку модуля _br_netfilter.ko_ в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль _br_netfilter_ в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep br_netfilter ``` или ``` kmod list | grep br_netfilter ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod br_netfilter ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл _/etc/modprobe.d/blacklist.local.conf_ (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово _install_, название блокируемого модуля и shell-комманду: ``` install br_netfilter /bin/true ``` 5. Обновить параметры загрузки командой: {code:bash} sudo update-initramfs -uk all {code} 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: decrease cached dst counters in dst_release Upstream fix ac888d58869b ("net: do not delay dst_entries_add() in dst_release()") moved decrementing the dst count from dst_destroy to dst_release to avoid accessing already freed data in case of netns dismantle. However in case CONFIG_DST_CACHE is enabled and OvS+tunnels are used, this fix is incomplete as the same issue will be seen for cached dsts: Unable to handle kernel paging request at virtual address ffff5aabf6b5c000 Call trace: percpu_counter_add_batch+0x3c/0x160 (P) dst_release+0xec/0x108 dst_cache_destroy+0x68/0xd8 dst_destroy+0x13c/0x168 dst_destroy_rcu+0x1c/0xb0 rcu_do_batch+0x18c/0x7d0 rcu_core+0x174/0x378 rcu_core_si+0x18/0x30 Fix this by invalidating the cache, and thus decrementing cached dst counters, in dst_release too. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: udp: Fix memory accounting leak. Matt Dowling reported a weird UDP memory usage issue. Under normal operation, the UDP memory usage reported in /proc/net/sockstat remains close to zero. However, it occasionally spiked to 524,288 pages and never dropped. Moreover, the value doubled when the application was terminated. Finally, it caused intermittent packet drops. We can reproduce the issue with the script below [0]: 1. /proc/net/sockstat reports 0 pages # cat /proc/net/sockstat | grep UDP: UDP: inuse 1 mem 0 2. Run the script till the report reaches 524,288 # python3 test.py & sleep 5 # cat /proc/net/sockstat | grep UDP: UDP: inuse 3 mem 524288 <-- (INT_MAX + 1) >> PAGE_SHIFT 3. Kill the socket and confirm the number never drops # pkill python3 && sleep 5 # cat /proc/net/sockstat | grep UDP: UDP: inuse 1 mem 524288 4. (necessary since v6.0) Trigger proto_memory_pcpu_drain() # python3 test.py & sleep 1 && pkill python3 5. The number doubles # cat /proc/net/sockstat | grep UDP: UDP: inuse 1 mem 1048577 The application set INT_MAX to SO_RCVBUF, which triggered an integer overflow in udp_rmem_release(). When a socket is close()d, udp_destruct_common() purges its receive queue and sums up skb->truesize in the queue. This total is calculated and stored in a local unsigned integer variable. The total size is then passed to udp_rmem_release() to adjust memory accounting. However, because the function takes a signed integer argument, the total size can wrap around, causing an overflow. Then, the released amount is calculated as follows: 1) Add size to sk->sk_forward_alloc. 2) Round down sk->sk_forward_alloc to the nearest lower multiple of PAGE_SIZE and assign it to amount. 3) Subtract amount from sk->sk_forward_alloc. 4) Pass amount >> PAGE_SHIFT to __sk_mem_reduce_allocated(). When the issue occurred, the total in udp_destruct_common() was 2147484480 (INT_MAX + 833), which was cast to -2147482816 in udp_rmem_release(). At 1) sk->sk_forward_alloc is changed from 3264 to -2147479552, and 2) sets -2147479552 to amount. 3) reverts the wraparound, so we don't see a warning in inet_sock_destruct(). However, udp_memory_allocated ends up doubling at 4). Since commit 3cd3399dd7a8 ("net: implement per-cpu reserves for memory_allocated"), memory usage no longer doubles immediately after a socket is close()d because __sk_mem_reduce_allocated() caches the amount in udp_memory_per_cpu_fw_alloc. However, the next time a UDP socket receives a packet, the subtraction takes effect, causing UDP memory usage to double. This issue makes further memory allocation fail once the socket's sk->sk_rmem_alloc exceeds net.ipv4.udp_rmem_min, resulting in packet drops. To prevent this issue, let's use unsigned int for the calculation and call sk_forward_alloc_add() only once for the small delta. Note that first_packet_length() also potentially has the same problem. [0]: from socket import * SO_RCVBUFFORCE = 33 INT_MAX = (2 ** 31) - 1 s = socket(AF_INET, SOCK_DGRAM) s.bind(('', 0)) s.setsockopt(SOL_SOCKET, SO_RCVBUFFORCE, INT_MAX) c = socket(AF_INET, SOCK_DGRAM) c.connect(s.getsockname()) data = b'a' * 100 while True: c.send(data) Уязвимость ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: udp: Fix multiple wraparounds of sk->sk_rmem_alloc. __udp_enqueue_schedule_skb() has the following condition: if (atomic_read(&sk->sk_rmem_alloc) > sk->sk_rcvbuf) goto drop; sk->sk_rcvbuf is initialised by net.core.rmem_default and later can be configured by SO_RCVBUF, which is limited by net.core.rmem_max, or SO_RCVBUFFORCE. If we set INT_MAX to sk->sk_rcvbuf, the condition is always false as sk->sk_rmem_alloc is also signed int. Then, the size of the incoming skb is added to sk->sk_rmem_alloc unconditionally. This results in integer overflow (possibly multiple times) on sk->sk_rmem_alloc and allows a single socket to have skb up to net.core.udp_mem[1]. For example, if we set a large value to udp_mem[1] and INT_MAX to sk->sk_rcvbuf and flood packets to the socket, we can see multiple overflows: # cat /proc/net/sockstat | grep UDP: UDP: inuse 3 mem 7956736 <-- (7956736 << 12) bytes > INT_MAX * 15 ^- PAGE_SHIFT # ss -uam State Recv-Q ... UNCONN -1757018048 ... <-- flipping the sign repeatedly skmem:(r2537949248,rb2147483646,t0,tb212992,f1984,w0,o0,bl0,d0) Previously, we had a boundary check for INT_MAX, which was removed by commit 6a1f12dd85a8 ("udp: relax atomic operation on sk->sk_rmem_alloc"). A complete fix would be to revert it and cap the right operand by INT_MAX: rmem = atomic_add_return(size, &sk->sk_rmem_alloc); if (rmem > min(size + (unsigned int)sk->sk_rcvbuf, INT_MAX)) goto uncharge_drop; but we do not want to add the expensive atomic_add_return() back just for the corner case. Casting rmem to unsigned int prevents multiple wraparounds, but we still allow a single wraparound. # cat /proc/net/sockstat | grep UDP: UDP: inuse 3 mem 524288 <-- (INT_MAX + 1) >> 12 # ss -uam State Recv-Q ... UNCONN -2147482816 ... <-- INT_MAX + 831 bytes skmem:(r2147484480,rb2147483646,t0,tb212992,f3264,w0,o0,bl0,d14468947) So, let's define rmem and rcvbuf as unsigned int and check skb->truesize only when rcvbuf is large enough to lower the overflow possibility. Note that we still have a small chance to see overflow if multiple skbs to the same socket are processed on different core at the same time and each size does not exceed the limit but the total size does. Note also that we must ignore skb->truesize for a small buffer as explained in commit 363dc73acacb ("udp: be less conservative with sock rmem accounting"). Уязвимость ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: mvpp2: Prevent parser TCAM memory corruption Protect the parser TCAM/SRAM memory, and the cached (shadow) SRAM information, from concurrent modifications. Both the TCAM and SRAM tables are indirectly accessed by configuring an index register that selects the row to read or write to. This means that operations must be atomic in order to, e.g., avoid spreading writes across multiple rows. Since the shadow SRAM array is used to find free rows in the hardware table, it must also be protected in order to avoid TOCTOU errors where multiple cores allocate the same row. This issue was detected in a situation where `mvpp2_set_rx_mode()` ran concurrently on two CPUs. In this particular case the MVPP2_PE_MAC_UC_PROMISCUOUS entry was corrupted, causing the classifier unit to drop all incoming unicast - indicated by the `rx_classifier_drops` counter. Уязвимость ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sctp: add mutual exclusion in proc_sctp_do_udp_port() We must serialize calls to sctp_udp_sock_stop() and sctp_udp_sock_start() or risk a crash as syzbot reported: Oops: general protection fault, probably for non-canonical address 0xdffffc000000000d: 0000 [#1] SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000068-0x000000000000006f] CPU: 1 UID: 0 PID: 6551 Comm: syz.1.44 Not tainted 6.14.0-syzkaller-g7f2ff7b62617 #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 RIP: 0010:kernel_sock_shutdown+0x47/0x70 net/socket.c:3653 Call Trace: <TASK> udp_tunnel_sock_release+0x68/0x80 net/ipv4/udp_tunnel_core.c:181 sctp_udp_sock_stop+0x71/0x160 net/sctp/protocol.c:930 proc_sctp_do_udp_port+0x264/0x450 net/sctp/sysctl.c:553 proc_sys_call_handler+0x3d0/0x5b0 fs/proc/proc_sysctl.c:601 iter_file_splice_write+0x91c/0x1150 fs/splice.c:738 do_splice_from fs/splice.c:935 [inline] direct_splice_actor+0x18f/0x6c0 fs/splice.c:1158 splice_direct_to_actor+0x342/0xa30 fs/splice.c:1102 do_splice_direct_actor fs/splice.c:1201 [inline] do_splice_direct+0x174/0x240 fs/splice.c:1227 do_sendfile+0xafd/0xe50 fs/read_write.c:1368 __do_sys_sendfile64 fs/read_write.c:1429 [inline] __se_sys_sendfile64 fs/read_write.c:1415 [inline] __x64_sys_sendfile64+0x1d8/0x220 fs/read_write.c:1415 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] Уязвимость компонента sysctl.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netlabel: Fix NULL pointer exception caused by CALIPSO on IPv4 sockets When calling netlbl_conn_setattr(), addr->sa_family is used to determine the function behavior. If sk is an IPv4 socket, but the connect function is called with an IPv6 address, the function calipso_sock_setattr() is triggered. Inside this function, the following code is executed: sk_fullsock(__sk) ? inet_sk(__sk)->pinet6 : NULL; Since sk is an IPv4 socket, pinet6 is NULL, leading to a null pointer dereference. This patch fixes the issue by checking if inet6_sk(sk) returns a NULL pointer before accessing pinet6. Уязвимость компонента calipso.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: don't unregister hook when table is dormant When nf_tables_updchain encounters an error, hook registration needs to be rolled back. This should only be done if the hook has been registered, which won't happen when the table is flagged as dormant (inactive). Just move the assignment into the registration block. Уязвимость компонента nf_tables ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: idpf: fix adapter NULL pointer dereference on reboot With SRIOV enabled, idpf ends up calling into idpf_remove() twice. First via idpf_shutdown() and then again when idpf_remove() calls into sriov_disable(), because the VF devices use the idpf driver, hence the same remove routine. When that happens, it is possible for the adapter to be NULL from the first call to idpf_remove(), leading to a NULL pointer dereference. echo 1 > /sys/class/net/<netif>/device/sriov_numvfs reboot BUG: kernel NULL pointer dereference, address: 0000000000000020 ... RIP: 0010:idpf_remove+0x22/0x1f0 [idpf] ... ? idpf_remove+0x22/0x1f0 [idpf] ? idpf_remove+0x1e4/0x1f0 [idpf] pci_device_remove+0x3f/0xb0 device_release_driver_internal+0x19f/0x200 pci_stop_bus_device+0x6d/0x90 pci_stop_and_remove_bus_device+0x12/0x20 pci_iov_remove_virtfn+0xbe/0x120 sriov_disable+0x34/0xe0 idpf_sriov_configure+0x58/0x140 [idpf] idpf_remove+0x1b9/0x1f0 [idpf] idpf_shutdown+0x12/0x30 [idpf] pci_device_shutdown+0x35/0x60 device_shutdown+0x156/0x200 ... Replace the direct idpf_remove() call in idpf_shutdown() with idpf_vc_core_deinit() and idpf_deinit_dflt_mbx(), which perform the bulk of the cleanup, such as stopping the init task, freeing IRQs, destroying the vports and freeing the mailbox. This avoids the calls to sriov_disable() in addition to a small netdev cleanup, and destroying workqueues, which don't seem to be required on shutdown. Уязвимость компонента idpf ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: imx-card: Add NULL check in imx_card_probe() devm_kasprintf() returns NULL when memory allocation fails. Currently, imx_card_probe() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. Уязвимость компонента imx-card.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: cadence: Fix out-of-bounds array access in cdns_mrvl_xspi_setup_clock() If requested_clk > 128, cdns_mrvl_xspi_setup_clock() iterates over the entire cdns_mrvl_xspi_clk_div_list array without breaking out early, causing 'i' to go beyond the array bounds. Fix that by stopping the loop when it gets to the last entry, clamping the clock to the minimum 6.25 MHz. Fixes the following warning with an UBSAN kernel: vmlinux.o: warning: objtool: cdns_mrvl_xspi_setup_clock: unexpected end of section .text.cdns_mrvl_xspi_setup_clock Уязвимость функции cdns_mrvl_xspi_setup_clock() компонента drivers/spi/spi-cadence-xspi.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ublk: make sure ubq->canceling is set when queue is frozen Now ublk driver depends on `ubq->canceling` for deciding if the request can be dispatched via uring_cmd & io_uring_cmd_complete_in_task(). Once ubq->canceling is set, the uring_cmd can be done via ublk_cancel_cmd() and io_uring_cmd_done(). So set ubq->canceling when queue is frozen, this way makes sure that the flag can be observed from ublk_queue_rq() reliably, and avoids use-after-free on uring_cmd. Уязвимость компонента ublk_drv.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/9p: fix NULL pointer dereference on mkdir When a 9p tree was mounted with option 'posixacl', parent directory had a default ACL set for its subdirectories, e.g.: setfacl -m default:group:simpsons:rwx parentdir then creating a subdirectory crashed 9p client, as v9fs_fid_add() call in function v9fs_vfs_mkdir_dotl() sets the passed 'fid' pointer to NULL (since dafbe689736) even though the subsequent v9fs_set_create_acl() call expects a valid non-NULL 'fid' pointer: [ 37.273191] BUG: kernel NULL pointer dereference, address: 0000000000000000 ... [ 37.322338] Call Trace: [ 37.323043] <TASK> [ 37.323621] ? __die (arch/x86/kernel/dumpstack.c:421 arch/x86/kernel/dumpstack.c:434) [ 37.324448] ? page_fault_oops (arch/x86/mm/fault.c:714) [ 37.325532] ? search_module_extables (kernel/module/main.c:3733) [ 37.326742] ? p9_client_walk (net/9p/client.c:1165) 9pnet [ 37.328006] ? search_bpf_extables (kernel/bpf/core.c:804) [ 37.329142] ? exc_page_fault (./arch/x86/include/asm/paravirt.h:686 arch/x86/mm/fault.c:1488 arch/x86/mm/fault.c:1538) [ 37.330196] ? asm_exc_page_fault (./arch/x86/include/asm/idtentry.h:574) [ 37.331330] ? p9_client_walk (net/9p/client.c:1165) 9pnet [ 37.332562] ? v9fs_fid_xattr_get (fs/9p/xattr.c:30) 9p [ 37.333824] v9fs_fid_xattr_set (fs/9p/fid.h:23 fs/9p/xattr.c:121) 9p [ 37.335077] v9fs_set_acl (fs/9p/acl.c:276) 9p [ 37.336112] v9fs_set_create_acl (fs/9p/acl.c:307) 9p [ 37.337326] v9fs_vfs_mkdir_dotl (fs/9p/vfs_inode_dotl.c:411) 9p [ 37.338590] vfs_mkdir (fs/namei.c:4313) [ 37.339535] do_mkdirat (fs/namei.c:4336) [ 37.340465] __x64_sys_mkdir (fs/namei.c:4354) [ 37.341455] do_syscall_64 (arch/x86/entry/common.c:52 arch/x86/entry/common.c:83) [ 37.342447] entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) Fix this by simply swapping the sequence of these two calls in v9fs_vfs_mkdir_dotl(), i.e. calling v9fs_set_create_acl() before v9fs_fid_add(). [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spufs: fix a leak in spufs_create_context() Leak fixes back in 2008 missed one case - if we are trying to set affinity and spufs_mkdir() fails, we need to drop the reference to neighbor. Уязвимость функции spufs_create_context() ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spufs: fix gang directory lifetimes prior to "[POWERPC] spufs: Fix gang destroy leaks" we used to have a problem with gang lifetimes - creation of a gang returns opened gang directory, which normally gets removed when that gets closed, but if somebody has created a context belonging to that gang and kept it alive until the gang got closed, removal failed and we ended up with a leak. Unfortunately, it had been fixed the wrong way. Dentry of gang directory was no longer pinned, and rmdir on close was gone. One problem was that failure of open kept calling simple_rmdir() as cleanup, which meant an unbalanced dput(). Another bug was in the success case - gang creation incremented link count on root directory, but that was no longer undone when gang got destroyed. Fix consists of * reverting the commit in question * adding a counter to gang, protected by ->i_rwsem of gang directory inode. * having it set to 1 at creation time, dropped in both spufs_dir_close() and spufs_gang_close() and bumped in spufs_create_context(), provided that it's not 0. * using simple_recursive_removal() to take the gang directory out when counter reaches zero. Уязвимость компонента spufs ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spufs: fix a leak on spufs_new_file() failure It's called from spufs_fill_dir(), and caller of that will do spufs_rmdir() in case of failure. That does remove everything we'd managed to create, but... the problem dentry is still negative. IOW, it needs to be explicitly dropped. Уязвимость функции spufs_rmdir() ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rtnetlink: Allocate vfinfo size for VF GUIDs when supported Commit 30aad41721e0 ("net/core: Add support for getting VF GUIDs") added support for getting VF port and node GUIDs in netlink ifinfo messages, but their size was not taken into consideration in the function that allocates the netlink message, causing the following warning when a netlink message is filled with many VF port and node GUIDs: # echo 64 > /sys/bus/pci/devices/0000\:08\:00.0/sriov_numvfs # ip link show dev ib0 RTNETLINK answers: Message too long Cannot send link get request: Message too long Kernel warning: ------------[ cut here ]------------ WARNING: CPU: 2 PID: 1930 at net/core/rtnetlink.c:4151 rtnl_getlink+0x586/0x5a0 Modules linked in: xt_conntrack xt_MASQUERADE nfnetlink xt_addrtype iptable_nat nf_nat br_netfilter overlay mlx5_ib macsec mlx5_core tls rpcrdma rdma_ucm ib_uverbs ib_iser libiscsi scsi_transport_iscsi ib_umad rdma_cm iw_cm ib_ipoib fuse ib_cm ib_core CPU: 2 UID: 0 PID: 1930 Comm: ip Not tainted 6.14.0-rc2+ #1 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:rtnl_getlink+0x586/0x5a0 Code: cb 82 e8 3d af 0a 00 4d 85 ff 0f 84 08 ff ff ff 4c 89 ff 41 be ea ff ff ff e8 66 63 5b ff 49 c7 07 80 4f cb 82 e9 36 fc ff ff <0f> 0b e9 16 fe ff ff e8 de a0 56 00 66 66 2e 0f 1f 84 00 00 00 00 RSP: 0018:ffff888113557348 EFLAGS: 00010246 RAX: 00000000ffffffa6 RBX: ffff88817e87aa34 RCX: dffffc0000000000 RDX: 0000000000000003 RSI: 0000000000000000 RDI: ffff88817e87afb8 RBP: 0000000000000009 R08: ffffffff821f44aa R09: 0000000000000000 R10: ffff8881260f79a8 R11: ffff88817e87af00 R12: ffff88817e87aa00 R13: ffffffff8563d300 R14: 00000000ffffffa6 R15: 00000000ffffffff FS: 00007f63a5dbf280(0000) GS:ffff88881ee00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f63a5ba4493 CR3: 00000001700fe002 CR4: 0000000000772eb0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? __warn+0xa5/0x230 ? rtnl_getlink+0x586/0x5a0 ? report_bug+0x22d/0x240 ? handle_bug+0x53/0xa0 ? exc_invalid_op+0x14/0x50 ? asm_exc_invalid_op+0x16/0x20 ? skb_trim+0x6a/0x80 ? rtnl_getlink+0x586/0x5a0 ? __pfx_rtnl_getlink+0x10/0x10 ? rtnetlink_rcv_msg+0x1e5/0x860 ? __pfx___mutex_lock+0x10/0x10 ? rcu_is_watching+0x34/0x60 ? __pfx_lock_acquire+0x10/0x10 ? stack_trace_save+0x90/0xd0 ? filter_irq_stacks+0x1d/0x70 ? kasan_save_stack+0x30/0x40 ? kasan_save_stack+0x20/0x40 ? kasan_save_track+0x10/0x30 rtnetlink_rcv_msg+0x21c/0x860 ? entry_SYSCALL_64_after_hwframe+0x76/0x7e ? __pfx_rtnetlink_rcv_msg+0x10/0x10 ? arch_stack_walk+0x9e/0xf0 ? rcu_is_watching+0x34/0x60 ? lock_acquire+0xd5/0x410 ? rcu_is_watching+0x34/0x60 netlink_rcv_skb+0xe0/0x210 ? __pfx_rtnetlink_rcv_msg+0x10/0x10 ? __pfx_netlink_rcv_skb+0x10/0x10 ? rcu_is_watching+0x34/0x60 ? __pfx___netlink_lookup+0x10/0x10 ? lock_release+0x62/0x200 ? netlink_deliver_tap+0xfd/0x290 ? rcu_is_watching+0x34/0x60 ? lock_release+0x62/0x200 ? netlink_deliver_tap+0x95/0x290 netlink_unicast+0x31f/0x480 ? __pfx_netlink_unicast+0x10/0x10 ? rcu_is_watching+0x34/0x60 ? lock_acquire+0xd5/0x410 netlink_sendmsg+0x369/0x660 ? lock_release+0x62/0x200 ? __pfx_netlink_sendmsg+0x10/0x10 ? import_ubuf+0xb9/0xf0 ? __import_iovec+0x254/0x2b0 ? lock_release+0x62/0x200 ? __pfx_netlink_sendmsg+0x10/0x10 ____sys_sendmsg+0x559/0x5a0 ? __pfx_____sys_sendmsg+0x10/0x10 ? __pfx_copy_msghdr_from_user+0x10/0x10 ? rcu_is_watching+0x34/0x60 ? do_read_fault+0x213/0x4a0 ? rcu_is_watching+0x34/0x60 ___sys_sendmsg+0xe4/0x150 ? __pfx____sys_sendmsg+0x10/0x10 ? do_fault+0x2cc/0x6f0 ? handle_pte_fault+0x2e3/0x3d0 ? __pfx_handle_pte_fault+0x10/0x10 ---truncated--- Уязвимость функции rtnl_vfinfo_size() компонента net/core/rtnetlink.c ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: exfat: fix missing shutdown check xfstests generic/730 test failed because after deleting the device that still had dirty data, the file could still be read without returning an error. The reason is the missing shutdown check in ->read_iter. I also noticed that shutdown checks were missing from ->write_iter, ->splice_read, and ->mmap. This commit adds shutdown checks to all of them. Уязвимость компонента exfat ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Revert "smb: client: fix TCP timers deadlock after rmmod" This reverts commit e9f2517a3e18a54a3943c098d2226b245d488801. Commit e9f2517a3e18 ("smb: client: fix TCP timers deadlock after rmmod") is intended to fix a null-ptr-deref in LOCKDEP, which is mentioned as CVE-2024-54680, but is actually did not fix anything; The issue can be reproduced on top of it. [0] Also, it reverted the change by commit ef7134c7fc48 ("smb: client: Fix use-after-free of network namespace.") and introduced a real issue by reviving the kernel TCP socket. When a reconnect happens for a CIFS connection, the socket state transitions to FIN_WAIT_1. Then, inet_csk_clear_xmit_timers_sync() in tcp_close() stops all timers for the socket. If an incoming FIN packet is lost, the socket will stay at FIN_WAIT_1 forever, and such sockets could be leaked up to net.ipv4.tcp_max_orphans. Usually, FIN can be retransmitted by the peer, but if the peer aborts the connection, the issue comes into reality. I warned about this privately by pointing out the exact report [1], but the bogus fix was finally merged. So, we should not stop the timers to finally kill the connection on our side in that case, meaning we must not use a kernel socket for TCP whose sk->sk_net_refcnt is 0. The kernel socket does not have a reference to its netns to make it possible to tear down netns without cleaning up every resource in it. For example, tunnel devices use a UDP socket internally, but we can destroy netns without removing such devices and let it complete during exit. Otherwise, netns would be leaked when the last application died. However, this is problematic for TCP sockets because TCP has timers to close the connection gracefully even after the socket is close()d. The lifetime of the socket and its netns is different from the lifetime of the underlying connection. If the socket user does not maintain the netns lifetime, the timer could be fired after the socket is close()d and its netns is freed up, resulting in use-after-free. Actually, we have seen so many similar issues and converted such sockets to have a reference to netns. That's why I converted the CIFS client socket to have a reference to netns (sk->sk_net_refcnt == 1), which is somehow mentioned as out-of-scope of CIFS and technically wrong in e9f2517a3e18, but **is in-scope and right fix**. Regarding the LOCKDEP issue, we can prevent the module unload by bumping the module refcount when switching the LOCKDDEP key in sock_lock_init_class_and_name(). [2] For a while, let's revert the bogus fix. Note that now we can use sk_net_refcnt_upgrade() for the socket conversion, but I'll do so later separately to make backport easy. Уязвимость компонента client ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: staging: vchiq_arm: Fix possible NPR of keep-alive thread In case vchiq_platform_conn_state_changed() is never called or fails before driver removal, ka_thread won't be a valid pointer to a task_struct. So do the necessary checks before calling kthread_stop to avoid a crash. Уязвимость компонента vchiq_arm ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ocfs2: validate l_tree_depth to avoid out-of-bounds access The l_tree_depth field is 16-bit (__le16), but the actual maximum depth is limited to OCFS2_MAX_PATH_DEPTH. Add a check to prevent out-of-bounds access if l_tree_depth has an invalid value, which may occur when reading from a corrupted mounted disk [1]. Уязвимость компонента ocfs2 ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Prevent integer overflow in hdr_first_de() The "de_off" and "used" variables come from the disk so they both need to check. The problem is that on 32bit systems if they're both greater than UINT_MAX - 16 then the check does work as intended because of an integer overflow. Уязвимость компонента fs/ntfs3: ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Fix a couple integer overflows on 32bit systems On 32bit systems the "off + sizeof(struct NTFS_DE)" addition can have an integer wrapping issue. Fix it by using size_add(). Уязвимость компонента index.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: backend: make sure to NULL terminate stack buffer Make sure to NULL terminate the buffer in iio_backend_debugfs_write_reg() before passing it to sscanf(). It is a stack variable so we should not assume it will 0 initialized. Уязвимость компонента backend ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vhost-scsi: Fix handling of multiple calls to vhost_scsi_set_endpoint If vhost_scsi_set_endpoint is called multiple times without a vhost_scsi_clear_endpoint between them, we can hit multiple bugs found by Haoran Zhang: 1. Use-after-free when no tpgs are found: This fixes a use after free that occurs when vhost_scsi_set_endpoint is called more than once and calls after the first call do not find any tpgs to add to the vs_tpg. When vhost_scsi_set_endpoint first finds tpgs to add to the vs_tpg array match=true, so we will do: vhost_vq_set_backend(vq, vs_tpg); ... kfree(vs->vs_tpg); vs->vs_tpg = vs_tpg; If vhost_scsi_set_endpoint is called again and no tpgs are found match=false so we skip the vhost_vq_set_backend call leaving the pointer to the vs_tpg we then free via: kfree(vs->vs_tpg); vs->vs_tpg = vs_tpg; If a scsi request is then sent we do: vhost_scsi_handle_vq -> vhost_scsi_get_req -> vhost_vq_get_backend which sees the vs_tpg we just did a kfree on. 2. Tpg dir removal hang: This patch fixes an issue where we cannot remove a LIO/target layer tpg (and structs above it like the target) dir due to the refcount dropping to -1. The problem is that if vhost_scsi_set_endpoint detects a tpg is already in the vs->vs_tpg array or if the tpg has been removed so target_depend_item fails, the undepend goto handler will do target_undepend_item on all tpgs in the vs_tpg array dropping their refcount to 0. At this time vs_tpg contains both the tpgs we have added in the current vhost_scsi_set_endpoint call as well as tpgs we added in previous calls which are also in vs->vs_tpg. Later, when vhost_scsi_clear_endpoint runs it will do target_undepend_item on all the tpgs in the vs->vs_tpg which will drop their refcount to -1. Userspace will then not be able to remove the tpg and will hang when it tries to do rmdir on the tpg dir. 3. Tpg leak: This fixes a bug where we can leak tpgs and cause them to be un-removable because the target name is overwritten when vhost_scsi_set_endpoint is called multiple times but with different target names. The bug occurs if a user has called VHOST_SCSI_SET_ENDPOINT and setup a vhost-scsi device to target/tpg mapping, then calls VHOST_SCSI_SET_ENDPOINT again with a new target name that has tpgs we haven't seen before (target1 has tpg1 but target2 has tpg2). When this happens we don't teardown the old target tpg mapping and just overwrite the target name and the vs->vs_tpg array. Later when we do vhost_scsi_clear_endpoint, we are passed in either target1 or target2's name and we will only match that target's tpgs when we loop over the vs->vs_tpg. We will then return from the function without doing target_undepend_item on the tpgs. Because of all these bugs, it looks like being able to call vhost_scsi_set_endpoint multiple times was never supported. The major user, QEMU, already has checks to prevent this use case. So to fix the issues, this patch prevents vhost_scsi_set_endpoint from being called if it's already successfully added tpgs. To add, remove or change the tpg config or target name, you must do a vhost_scsi_clear_endpoint first. Уязвимость компонента drivers/vhost/scsi.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: w1: fix NULL pointer dereference in probe The w1_uart_probe() function calls w1_uart_serdev_open() (which includes devm_serdev_device_open()) before setting the client ops via serdev_device_set_client_ops(). This ordering can trigger a NULL pointer dereference in the serdev controller's receive_buf handler, as it assumes serdev->ops is valid when SERPORT_ACTIVE is set. This is similar to the issue fixed in commit 5e700b384ec1 ("platform/chrome: cros_ec_uart: properly fix race condition") where devm_serdev_device_open() was called before fully initializing the device. Fix the race by ensuring client ops are set before enabling the port via w1_uart_serdev_open(). Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/core: Fix use-after-free when rename device name Syzbot reported a slab-use-after-free with the following call trace: ================================================================== BUG: KASAN: slab-use-after-free in nla_put+0xd3/0x150 lib/nlattr.c:1099 Read of size 5 at addr ffff888140ea1c60 by task syz.0.988/10025 CPU: 0 UID: 0 PID: 10025 Comm: syz.0.988 Not tainted 6.14.0-rc4-syzkaller-00859-gf77f12010f67 #0 Hardware name: Google Compute Engine, BIOS Google 02/12/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0x16e/0x5b0 mm/kasan/report.c:521 kasan_report+0x143/0x180 mm/kasan/report.c:634 kasan_check_range+0x282/0x290 mm/kasan/generic.c:189 __asan_memcpy+0x29/0x70 mm/kasan/shadow.c:105 nla_put+0xd3/0x150 lib/nlattr.c:1099 nla_put_string include/net/netlink.h:1621 [inline] fill_nldev_handle+0x16e/0x200 drivers/infiniband/core/nldev.c:265 rdma_nl_notify_event+0x561/0xef0 drivers/infiniband/core/nldev.c:2857 ib_device_notify_register+0x22/0x230 drivers/infiniband/core/device.c:1344 ib_register_device+0x1292/0x1460 drivers/infiniband/core/device.c:1460 rxe_register_device+0x233/0x350 drivers/infiniband/sw/rxe/rxe_verbs.c:1540 rxe_net_add+0x74/0xf0 drivers/infiniband/sw/rxe/rxe_net.c:550 rxe_newlink+0xde/0x1a0 drivers/infiniband/sw/rxe/rxe.c:212 nldev_newlink+0x5ea/0x680 drivers/infiniband/core/nldev.c:1795 rdma_nl_rcv_skb drivers/infiniband/core/netlink.c:239 [inline] rdma_nl_rcv+0x6dd/0x9e0 drivers/infiniband/core/netlink.c:259 netlink_unicast_kernel net/netlink/af_netlink.c:1313 [inline] netlink_unicast+0x7f6/0x990 net/netlink/af_netlink.c:1339 netlink_sendmsg+0x8de/0xcb0 net/netlink/af_netlink.c:1883 sock_sendmsg_nosec net/socket.c:709 [inline] __sock_sendmsg+0x221/0x270 net/socket.c:724 ____sys_sendmsg+0x53a/0x860 net/socket.c:2564 ___sys_sendmsg net/socket.c:2618 [inline] __sys_sendmsg+0x269/0x350 net/socket.c:2650 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f42d1b8d169 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 ... RSP: 002b:00007f42d2960038 EFLAGS: 00000246 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 00007f42d1da6320 RCX: 00007f42d1b8d169 RDX: 0000000000000000 RSI: 00004000000002c0 RDI: 000000000000000c RBP: 00007f42d1c0e2a0 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 00007f42d1da6320 R15: 00007ffe399344a8 </TASK> Allocated by task 10025: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3f/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0x98/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4294 [inline] __kmalloc_node_track_caller_noprof+0x28b/0x4c0 mm/slub.c:4313 __kmemdup_nul mm/util.c:61 [inline] kstrdup+0x42/0x100 mm/util.c:81 kobject_set_name_vargs+0x61/0x120 lib/kobject.c:274 dev_set_name+0xd5/0x120 drivers/base/core.c:3468 assign_name drivers/infiniband/core/device.c:1202 [inline] ib_register_device+0x178/0x1460 drivers/infiniband/core/device.c:1384 rxe_register_device+0x233/0x350 drivers/infiniband/sw/rxe/rxe_verbs.c:1540 rxe_net_add+0x74/0xf0 drivers/infiniband/sw/rxe/rxe_net.c:550 rxe_newlink+0xde/0x1a0 drivers/infiniband/sw/rxe/rxe.c:212 nldev_newlink+0x5ea/0x680 drivers/infiniband/core/nldev.c:1795 rdma_nl_rcv_skb drivers/infiniband/core/netlink.c:239 [inline] rdma_nl_rcv+0x6dd/0x9e0 drivers/infiniband/core/netlink.c:259 netlink_unicast_kernel net/netlink/af_netlink.c:1313 [inline] netlink_unicast+0x7f6/0x990 net/netlink/af_netlink.c:1339 netlink_sendmsg+0x8de/0xcb0 net ---truncated--- Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Fix mlx5_poll_one() cur_qp update flow When cur_qp isn't NULL, in order to avoid fetching the QP from the radix tree again we check if the next cqe QP is identical to the one we already have. The bug however is that we are checking if the QP is identical by checking the QP number inside the CQE against the QP number inside the mlx5_ib_qp, but that's wrong since the QP number from the CQE is from FW so it should be matched against mlx5_core_qp which is our FW QP number. Otherwise we could use the wrong QP when handling a CQE which could cause the kernel trace below. This issue is mainly noticeable over QPs 0 & 1, since for now they are the only QPs in our driver whereas the QP number inside mlx5_ib_qp doesn't match the QP number inside mlx5_core_qp. BUG: kernel NULL pointer dereference, address: 0000000000000012 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP CPU: 0 UID: 0 PID: 7927 Comm: kworker/u62:1 Not tainted 6.14.0-rc3+ #189 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 Workqueue: ib-comp-unb-wq ib_cq_poll_work [ib_core] RIP: 0010:mlx5_ib_poll_cq+0x4c7/0xd90 [mlx5_ib] Code: 03 00 00 8d 58 ff 21 cb 66 39 d3 74 39 48 c7 c7 3c 89 6e a0 0f b7 db e8 b7 d2 b3 e0 49 8b 86 60 03 00 00 48 c7 c7 4a 89 6e a0 <0f> b7 5c 98 02 e8 9f d2 b3 e0 41 0f b7 86 78 03 00 00 83 e8 01 21 RSP: 0018:ffff88810511bd60 EFLAGS: 00010046 RAX: 0000000000000010 RBX: 0000000000000000 RCX: 0000000000000000 RDX: 0000000000000000 RSI: ffff88885fa1b3c0 RDI: ffffffffa06e894a RBP: 00000000000000b0 R08: 0000000000000000 R09: ffff88810511bc10 R10: 0000000000000001 R11: 0000000000000001 R12: ffff88810d593000 R13: ffff88810e579108 R14: ffff888105146000 R15: 00000000000000b0 FS: 0000000000000000(0000) GS:ffff88885fa00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000012 CR3: 00000001077e6001 CR4: 0000000000370eb0 Call Trace: <TASK> ? __die+0x20/0x60 ? page_fault_oops+0x150/0x3e0 ? exc_page_fault+0x74/0x130 ? asm_exc_page_fault+0x22/0x30 ? mlx5_ib_poll_cq+0x4c7/0xd90 [mlx5_ib] __ib_process_cq+0x5a/0x150 [ib_core] ib_cq_poll_work+0x31/0x90 [ib_core] process_one_work+0x169/0x320 worker_thread+0x288/0x3a0 ? work_busy+0xb0/0xb0 kthread+0xd7/0x1f0 ? kthreads_online_cpu+0x130/0x130 ? kthreads_online_cpu+0x130/0x130 ret_from_fork+0x2d/0x50 ? kthreads_online_cpu+0x130/0x130 ret_from_fork_asm+0x11/0x20 </TASK> Уязвимость компонента RDMA/mlx5 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix array bounds error with may_goto may_goto uses an additional 8 bytes on the stack, which causes the interpreters[] array to go out of bounds when calculating index by stack_size. 1. If a BPF program is rewritten, re-evaluate the stack size. For non-JIT cases, reject loading directly. 2. For non-JIT cases, calculating interpreters[idx] may still cause out-of-bounds array access, and just warn about it. 3. For jit_requested cases, the execution of bpf_func also needs to be warned. So move the definition of function __bpf_prog_ret0_warn out of the macro definition CONFIG_BPF_JIT_ALWAYS_ON. Уязвимость компонента bpf ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/erdma: Prevent use-after-free in erdma_accept_newconn() After the erdma_cep_put(new_cep) being called, new_cep will be freed, and the following dereference will cause a UAF problem. Fix this issue. Уязвимость функции erdma_accept_newconn() компонента drivers/infiniband/hw/erdma/erdma_cm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/core: Don't expose hw_counters outside of init net namespace Commit 467f432a521a ("RDMA/core: Split port and device counter sysfs attributes") accidentally almost exposed hw counters to non-init net namespaces. It didn't expose them fully, as an attempt to read any of those counters leads to a crash like this one: [42021.807566] BUG: kernel NULL pointer dereference, address: 0000000000000028 [42021.814463] #PF: supervisor read access in kernel mode [42021.819549] #PF: error_code(0x0000) - not-present page [42021.824636] PGD 0 P4D 0 [42021.827145] Oops: 0000 [#1] SMP PTI [42021.830598] CPU: 82 PID: 2843922 Comm: switchto-defaul Kdump: loaded Tainted: G S W I XXX [42021.841697] Hardware name: XXX [42021.849619] RIP: 0010:hw_stat_device_show+0x1e/0x40 [ib_core] [42021.855362] Code: 90 90 90 90 90 90 90 90 90 90 90 90 f3 0f 1e fa 0f 1f 44 00 00 49 89 d0 4c 8b 5e 20 48 8b 8f b8 04 00 00 48 81 c7 f0 fa ff ff <48> 8b 41 28 48 29 ce 48 83 c6 d0 48 c1 ee 04 69 d6 ab aa aa aa 48 [42021.873931] RSP: 0018:ffff97fe90f03da0 EFLAGS: 00010287 [42021.879108] RAX: ffff9406988a8c60 RBX: ffff940e1072d438 RCX: 0000000000000000 [42021.886169] RDX: ffff94085f1aa000 RSI: ffff93c6cbbdbcb0 RDI: ffff940c7517aef0 [42021.893230] RBP: ffff97fe90f03e70 R08: ffff94085f1aa000 R09: 0000000000000000 [42021.900294] R10: ffff94085f1aa000 R11: ffffffffc0775680 R12: ffffffff87ca2530 [42021.907355] R13: ffff940651602840 R14: ffff93c6cbbdbcb0 R15: ffff94085f1aa000 [42021.914418] FS: 00007fda1a3b9700(0000) GS:ffff94453fb80000(0000) knlGS:0000000000000000 [42021.922423] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [42021.928130] CR2: 0000000000000028 CR3: 00000042dcfb8003 CR4: 00000000003726f0 [42021.935194] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [42021.942257] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [42021.949324] Call Trace: [42021.951756] <TASK> [42021.953842] [<ffffffff86c58674>] ? show_regs+0x64/0x70 [42021.959030] [<ffffffff86c58468>] ? __die+0x78/0xc0 [42021.963874] [<ffffffff86c9ef75>] ? page_fault_oops+0x2b5/0x3b0 [42021.969749] [<ffffffff87674b92>] ? exc_page_fault+0x1a2/0x3c0 [42021.975549] [<ffffffff87801326>] ? asm_exc_page_fault+0x26/0x30 [42021.981517] [<ffffffffc0775680>] ? __pfx_show_hw_stats+0x10/0x10 [ib_core] [42021.988482] [<ffffffffc077564e>] ? hw_stat_device_show+0x1e/0x40 [ib_core] [42021.995438] [<ffffffff86ac7f8e>] dev_attr_show+0x1e/0x50 [42022.000803] [<ffffffff86a3eeb1>] sysfs_kf_seq_show+0x81/0xe0 [42022.006508] [<ffffffff86a11134>] seq_read_iter+0xf4/0x410 [42022.011954] [<ffffffff869f4b2e>] vfs_read+0x16e/0x2f0 [42022.017058] [<ffffffff869f50ee>] ksys_read+0x6e/0xe0 [42022.022073] [<ffffffff8766f1ca>] do_syscall_64+0x6a/0xa0 [42022.027441] [<ffffffff8780013b>] entry_SYSCALL_64_after_hwframe+0x78/0xe2 The problem can be reproduced using the following steps: ip netns add foo ip netns exec foo bash cat /sys/class/infiniband/mlx4_0/hw_counters/* The panic occurs because of casting the device pointer into an ib_device pointer using container_of() in hw_stat_device_show() is wrong and leads to a memory corruption. However the real problem is that hw counters should never been exposed outside of the non-init net namespace. Fix this by saving the index of the corresponding attribute group (it might be 1 or 2 depending on the presence of driver-specific attributes) and zeroing the pointer to hw_counters group for compat devices during the initialization. With this fix applied hw_counters are not available in a non-init net namespace: find /sys/class/infiniband/mlx4_0/ -name hw_counters /sys/class/infiniband/mlx4_0/ports/1/hw_counters /sys/class/infiniband/mlx4_0/ports/2/hw_counters /sys/class/infiniband/mlx4_0/hw_counters ip netns add foo ip netns exec foo bash find /sys/class/infiniband/mlx4_0/ -name hw_counters Уязвимость компонента RDMA/core ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/mm/pat: Fix VM_PAT handling when fork() fails in copy_page_range() If track_pfn_copy() fails, we already added the dst VMA to the maple tree. As fork() fails, we'll cleanup the maple tree, and stumble over the dst VMA for which we neither performed any reservation nor copied any page tables. Consequently untrack_pfn() will see VM_PAT and try obtaining the PAT information from the page table -- which fails because the page table was not copied. The easiest fix would be to simply clear the VM_PAT flag of the dst VMA if track_pfn_copy() fails. However, the whole thing is about "simply" clearing the VM_PAT flag is shaky as well: if we passed track_pfn_copy() and performed a reservation, but copying the page tables fails, we'll simply clear the VM_PAT flag, not properly undoing the reservation ... which is also wrong. So let's fix it properly: set the VM_PAT flag only if the reservation succeeded (leaving it clear initially), and undo the reservation if anything goes wrong while copying the page tables: clearing the VM_PAT flag after undoing the reservation. Note that any copied page table entries will get zapped when the VMA will get removed later, after copy_page_range() succeeded; as VM_PAT is not set then, we won't try cleaning VM_PAT up once more and untrack_pfn() will be happy. Note that leaving these page tables in place without a reservation is not a problem, as we are aborting fork(); this process will never run. A reproducer can trigger this usually at the first try: https://gitlab.com/davidhildenbrand/scratchspace/-/raw/main/reproducers/pat_fork.c WARNING: CPU: 26 PID: 11650 at arch/x86/mm/pat/memtype.c:983 get_pat_info+0xf6/0x110 Modules linked in: ... CPU: 26 UID: 0 PID: 11650 Comm: repro3 Not tainted 6.12.0-rc5+ #92 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-2.fc40 04/01/2014 RIP: 0010:get_pat_info+0xf6/0x110 ... Call Trace: <TASK> ... untrack_pfn+0x52/0x110 unmap_single_vma+0xa6/0xe0 unmap_vmas+0x105/0x1f0 exit_mmap+0xf6/0x460 __mmput+0x4b/0x120 copy_process+0x1bf6/0x2aa0 kernel_clone+0xab/0x440 __do_sys_clone+0x66/0x90 do_syscall_64+0x95/0x180 Likely this case was missed in: d155df53f310 ("x86/mm/pat: clear VM_PAT if copy_p4d_range failed") ... and instead of undoing the reservation we simply cleared the VM_PAT flag. Keep the documentation of these functions in include/linux/pgtable.h, one place is more than sufficient -- we should clean that up for the other functions like track_pfn_remap/untrack_pfn separately. Уязвимость функции get_pat_info() модуля arch/x86/mm/pat/memtype.c платформы x86 ядра операционной системы Linux связана с раскрытием конфиденциальной информации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Fix page_size variable overflow Change all variables storing mlx5_umem_mkc_find_best_pgsz() result to unsigned long to support values larger than 31 and avoid overflow. For example: If we try to register 4GB of memory that is contiguous in physical memory, the driver will optimize the page_size and try to use an mkey with 4GB entity size. The 'unsigned int' page_size variable will overflow to '0' and we'll hit the WARN_ON() in alloc_cacheable_mr(). WARNING: CPU: 2 PID: 1203 at drivers/infiniband/hw/mlx5/mr.c:1124 alloc_cacheable_mr+0x22/0x580 [mlx5_ib] Modules linked in: mlx5_ib mlx5_core bonding ip6_gre ip6_tunnel tunnel6 ip_gre gre rdma_rxe rdma_ucm ib_uverbs ib_ipoib ib_umad rpcrdma ib_iser libiscsi scsi_transport_iscsi rdma_cm iw_cm ib_cm fuse ib_core [last unloaded: mlx5_core] CPU: 2 UID: 70878 PID: 1203 Comm: rdma_resource_l Tainted: G W 6.14.0-rc4-dirty #43 Tainted: [W]=WARN Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:alloc_cacheable_mr+0x22/0x580 [mlx5_ib] Code: 90 90 90 90 90 90 90 90 0f 1f 44 00 00 55 48 89 e5 41 57 41 56 41 55 41 54 41 52 53 48 83 ec 30 f6 46 28 04 4c 8b 77 08 75 21 <0f> 0b 49 c7 c2 ea ff ff ff 48 8d 65 d0 4c 89 d0 5b 41 5a 41 5c 41 RSP: 0018:ffffc900006ffac8 EFLAGS: 00010246 RAX: 0000000004c0d0d0 RBX: ffff888217a22000 RCX: 0000000000100001 RDX: 00007fb7ac480000 RSI: ffff8882037b1240 RDI: ffff8882046f0600 RBP: ffffc900006ffb28 R08: 0000000000000001 R09: 0000000000000000 R10: 00000000000007e0 R11: ffffea0008011d40 R12: ffff8882037b1240 R13: ffff8882046f0600 R14: ffff888217a22000 R15: ffffc900006ffe00 FS: 00007fb7ed013340(0000) GS:ffff88885fd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fb7ed1d8000 CR3: 00000001fd8f6006 CR4: 0000000000772eb0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? __warn+0x81/0x130 ? alloc_cacheable_mr+0x22/0x580 [mlx5_ib] ? report_bug+0xfc/0x1e0 ? handle_bug+0x55/0x90 ? exc_invalid_op+0x17/0x70 ? asm_exc_invalid_op+0x1a/0x20 ? alloc_cacheable_mr+0x22/0x580 [mlx5_ib] create_real_mr+0x54/0x150 [mlx5_ib] ib_uverbs_reg_mr+0x17f/0x2a0 [ib_uverbs] ib_uverbs_handler_UVERBS_METHOD_INVOKE_WRITE+0xca/0x140 [ib_uverbs] ib_uverbs_run_method+0x6d0/0x780 [ib_uverbs] ? __pfx_ib_uverbs_handler_UVERBS_METHOD_INVOKE_WRITE+0x10/0x10 [ib_uverbs] ib_uverbs_cmd_verbs+0x19b/0x360 [ib_uverbs] ? walk_system_ram_range+0x79/0xd0 ? ___pte_offset_map+0x1b/0x110 ? __pte_offset_map_lock+0x80/0x100 ib_uverbs_ioctl+0xac/0x110 [ib_uverbs] __x64_sys_ioctl+0x94/0xb0 do_syscall_64+0x50/0x110 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7fb7ecf0737b Code: ff ff ff 85 c0 79 9b 49 c7 c4 ff ff ff ff 5b 5d 4c 89 e0 41 5c c3 66 0f 1f 84 00 00 00 00 00 f3 0f 1e fa b8 10 00 00 00 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d 7d 2a 0f 00 f7 d8 64 89 01 48 RSP: 002b:00007ffdbe03ecc8 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 00007ffdbe03edb8 RCX: 00007fb7ecf0737b RDX: 00007ffdbe03eda0 RSI: 00000000c0181b01 RDI: 0000000000000003 RBP: 00007ffdbe03ed80 R08: 00007fb7ecc84010 R09: 00007ffdbe03eed4 R10: 0000000000000009 R11: 0000000000000246 R12: 00007ffdbe03eed4 R13: 000000000000000c R14: 000000000000000c R15: 00007fb7ecc84150 </TASK> Уязвимость компонента RDMA/mlx5 ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: brcmstb: Fix error path after a call to regulator_bulk_get() If the regulator_bulk_get() returns an error and no regulators are created, we need to set their number to zero. If we don't do this and the PCIe link up fails, a call to the regulator_bulk_free() will result in a kernel panic. While at it, print the error value, as we cannot return an error upwards as the kernel will WARN() on an error from add_bus(). [kwilczynski: commit log, use comma in the message to match style with other similar messages] Уязвимость ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/vkms: Fix use after free and double free on init error If the driver initialization fails, the vkms_exit() function might access an uninitialized or freed default_config pointer and it might double free it. Fix both possible errors by initializing default_config only when the driver initialization succeeded. Уязвимость компонента drivers/gpu/drm/vkms ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btnxpuart: Fix kernel panic during FW release This fixes a kernel panic seen during release FW in a stress test scenario where WLAN and BT FW download occurs simultaneously, and due to a HW bug, chip sends out only 1 bootloader signatures. When driver receives the bootloader signature, it enters FW download mode, but since no consequtive bootloader signatures seen, FW file is not requested. After 60 seconds, when FW download times out, release_firmware causes a kernel panic. [ 2601.949184] Unable to handle kernel paging request at virtual address 0000312e6f006573 [ 2601.992076] user pgtable: 4k pages, 48-bit VAs, pgdp=0000000111802000 [ 2601.992080] [0000312e6f006573] pgd=0000000000000000, p4d=0000000000000000 [ 2601.992087] Internal error: Oops: 0000000096000021 [#1] PREEMPT SMP [ 2601.992091] Modules linked in: algif_hash algif_skcipher af_alg btnxpuart(O) pciexxx(O) mlan(O) overlay fsl_jr_uio caam_jr caamkeyblob_desc caamhash_desc caamalg_desc crypto_engine authenc libdes crct10dif_ce polyval_ce snd_soc_fsl_easrc snd_soc_fsl_asoc_card imx8_media_dev(C) snd_soc_fsl_micfil polyval_generic snd_soc_fsl_xcvr snd_soc_fsl_sai snd_soc_imx_audmux snd_soc_fsl_asrc snd_soc_imx_card snd_soc_imx_hdmi snd_soc_fsl_aud2htx snd_soc_fsl_utils imx_pcm_dma dw_hdmi_cec flexcan can_dev [ 2602.001825] CPU: 2 PID: 20060 Comm: hciconfig Tainted: G C O 6.6.23-lts-next-06236-gb586a521770e #1 [ 2602.010182] Hardware name: NXP i.MX8MPlus EVK board (DT) [ 2602.010185] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 2602.010191] pc : _raw_spin_lock+0x34/0x68 [ 2602.010201] lr : free_fw_priv+0x20/0xfc [ 2602.020561] sp : ffff800089363b30 [ 2602.020563] x29: ffff800089363b30 x28: ffff0000d0eb5880 x27: 0000000000000000 [ 2602.020570] x26: 0000000000000000 x25: ffff0000d728b330 x24: 0000000000000000 [ 2602.020577] x23: ffff0000dc856f38 [ 2602.033797] x22: ffff800089363b70 x21: ffff0000dc856000 [ 2602.033802] x20: ff00312e6f006573 x19: ffff0000d0d9ea80 x18: 0000000000000000 [ 2602.033809] x17: 0000000000000000 x16: 0000000000000000 x15: 0000aaaad80dd480 [ 2602.083320] x14: 0000000000000000 x13: 00000000000001b9 x12: 0000000000000002 [ 2602.083326] x11: 0000000000000000 x10: 0000000000000a60 x9 : ffff800089363a30 [ 2602.083333] x8 : ffff0001793d75c0 x7 : ffff0000d6dbc400 x6 : 0000000000000000 [ 2602.083339] x5 : 00000000410fd030 x4 : 0000000000000000 x3 : 0000000000000001 [ 2602.083346] x2 : 0000000000000000 x1 : 0000000000000001 x0 : ff00312e6f006573 [ 2602.083354] Call trace: [ 2602.083356] _raw_spin_lock+0x34/0x68 [ 2602.083364] release_firmware+0x48/0x6c [ 2602.083370] nxp_setup+0x3c4/0x540 [btnxpuart] [ 2602.083383] hci_dev_open_sync+0xf0/0xa34 [ 2602.083391] hci_dev_open+0xd8/0x178 [ 2602.083399] hci_sock_ioctl+0x3b0/0x590 [ 2602.083405] sock_do_ioctl+0x60/0x118 [ 2602.083413] sock_ioctl+0x2f4/0x374 [ 2602.091430] __arm64_sys_ioctl+0xac/0xf0 [ 2602.091437] invoke_syscall+0x48/0x110 [ 2602.091445] el0_svc_common.constprop.0+0xc0/0xe0 [ 2602.091452] do_el0_svc+0x1c/0x28 [ 2602.091457] el0_svc+0x40/0xe4 [ 2602.091465] el0t_64_sync_handler+0x120/0x12c [ 2602.091470] el0t_64_sync+0x190/0x194 Уязвимость компонента Bluetooth ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: goto right label 'out_mmap_sem' in ext4_setattr() Otherwise, if ext4_inode_attach_jinode() fails, a hung task will happen because filemap_invalidate_unlock() isn't called to unlock mapping->invalidate_lock. Like this: EXT4-fs error (device sda) in ext4_setattr:5557: Out of memory INFO: task fsstress:374 blocked for more than 122 seconds. Not tainted 6.14.0-rc1-next-20250206-xfstests-dirty #726 "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. task:fsstress state:D stack:0 pid:374 tgid:374 ppid:373 task_flags:0x440140 flags:0x00000000 Call Trace: <TASK> __schedule+0x2c9/0x7f0 schedule+0x27/0xa0 schedule_preempt_disabled+0x15/0x30 rwsem_down_read_slowpath+0x278/0x4c0 down_read+0x59/0xb0 page_cache_ra_unbounded+0x65/0x1b0 filemap_get_pages+0x124/0x3e0 filemap_read+0x114/0x3d0 vfs_read+0x297/0x360 ksys_read+0x6c/0xe0 do_syscall_64+0x4b/0x110 entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость компонента ext4 ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: block: fix adding folio to bio >4GB folio is possible on some ARCHs, such as aarch64, 16GB hugepage is supported, then 'offset' of folio can't be held in 'unsigned int', cause warning in bio_add_folio_nofail() and IO failure. Fix it by adjusting 'page' & trimming 'offset' so that `->bi_offset` won't be overflow, and folio can be added to bio successfully. Уязвимость ядра операционной системы Linux связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid accessing uninitialized curseg syzbot reports a f2fs bug as below: F2FS-fs (loop3): Stopped filesystem due to reason: 7 kworker/u8:7: attempt to access beyond end of device BUG: unable to handle page fault for address: ffffed1604ea3dfa RIP: 0010:get_ckpt_valid_blocks fs/f2fs/segment.h:361 [inline] RIP: 0010:has_curseg_enough_space fs/f2fs/segment.h:570 [inline] RIP: 0010:__get_secs_required fs/f2fs/segment.h:620 [inline] RIP: 0010:has_not_enough_free_secs fs/f2fs/segment.h:633 [inline] RIP: 0010:has_enough_free_secs+0x575/0x1660 fs/f2fs/segment.h:649 <TASK> f2fs_is_checkpoint_ready fs/f2fs/segment.h:671 [inline] f2fs_write_inode+0x425/0x540 fs/f2fs/inode.c:791 write_inode fs/fs-writeback.c:1525 [inline] __writeback_single_inode+0x708/0x10d0 fs/fs-writeback.c:1745 writeback_sb_inodes+0x820/0x1360 fs/fs-writeback.c:1976 wb_writeback+0x413/0xb80 fs/fs-writeback.c:2156 wb_do_writeback fs/fs-writeback.c:2303 [inline] wb_workfn+0x410/0x1080 fs/fs-writeback.c:2343 process_one_work kernel/workqueue.c:3236 [inline] process_scheduled_works+0xa66/0x1840 kernel/workqueue.c:3317 worker_thread+0x870/0xd30 kernel/workqueue.c:3398 kthread+0x7a9/0x920 kernel/kthread.c:464 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 Commit 8b10d3653735 ("f2fs: introduce FAULT_NO_SEGMENT") allows to trigger no free segment fault in allocator, then it will update curseg->segno to NULL_SEGNO, though, CP_ERROR_FLAG has been set, f2fs_write_inode() missed to check the flag, and access invalid curseg->segno directly in below call path, then resulting in panic: - f2fs_write_inode - f2fs_is_checkpoint_ready - has_enough_free_secs - has_not_enough_free_secs - __get_secs_required - has_curseg_enough_space - get_ckpt_valid_blocks : access invalid curseg->segno To avoid this issue, let's: - check CP_ERROR_FLAG flag in prior to f2fs_is_checkpoint_ready() in f2fs_write_inode(). - in has_curseg_enough_space(), save curseg->segno into a temp variable, and verify its validation before use. Уязвимость компонента f2fs ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md: fix mddev uaf while iterating all_mddevs list While iterating all_mddevs list from md_notify_reboot() and md_exit(), list_for_each_entry_safe is used, and this can race with deletint the next mddev, causing UAF: t1: spin_lock //list_for_each_entry_safe(mddev, n, ...) mddev_get(mddev1) // assume mddev2 is the next entry spin_unlock t2: //remove mddev2 ... mddev_free spin_lock list_del spin_unlock kfree(mddev2) mddev_put(mddev1) spin_lock //continue dereference mddev2->all_mddevs The old helper for_each_mddev() actually grab the reference of mddev2 while holding the lock, to prevent from being freed. This problem can be fixed the same way, however, the code will be complex. Hence switch to use list_for_each_entry, in this case mddev_put() can free the mddev1 and it's not safe as well. Refer to md_seq_show(), also factor out a helper mddev_put_locked() to fix this problem. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 ffmpeg A reachable assertion in FFmpeg git-master commit N-113007-g8d24a28d06 allows attackers to cause a Denial of Service (DoS) via opening a crafted AAC file. Уязвимость библиотеки фильтрации аудио/видео libavfilter мультимедийной библиотеки FFmpeg связана с неконтролируемым достижимым утверждением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg FFmpeg git-master,N-113007-g8d24a28d06 was discovered to contain a segmentation violation via the component /libavcodec/jpeg2000dec.c. Уязвимость компонента libavcodec/jpeg2000dec.c мультимедийной библиотеки FFmpeg связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 edk2 EDK2 contains a vulnerability in BIOS where a user may cause an Integer Overflow or Wraparound by network means. A successful exploitation of this vulnerability may lead to denial of service. Уязвимость компонента NetworkPkg/IScsiDxe/IScsiProto.c среды разработки для UEFI приложений EDK2 связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:R/S:U/C:N/I:L/A:L', score=3.5) - включить защиту файловой системы ("установить МКЦ на ФС"); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - по возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 edk2 EDK2 contains a vulnerability in BIOS where an attacker may cause “ Improper Input Validation” by local access. Successful exploitation of this vulnerability could alter control flow in unexpected ways, potentially allowing arbitrary command execution and impacting Confidentiality, Integrity, and Availability. [NistCWE(cwe='CWE-20')] None None edk2: - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. Astra Linux 1.8 libfcgi FastCGI fcgi2 (aka fcgi) 2.x through 2.4.4 has an integer overflow (and resultant heap-based buffer overflow) via crafted nameLen or valueLen values in data to the IPC socket. This occurs in ReadParams in fcgiapp.c. Уязвимость функции ReadParams реализации протокола FastCGI библиотеки fcgi2 (fcgi) связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки запросов, содержащих специально сформированные значения параметров nameLen или valueLen [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.3) - Запускайте приложения, использующие libfcgi, с минимально необходимыми привилегиями. - Убедитесь, что ваши веб-приложения, использующие libfcgi, корректно проверяют и санитизируют все входные данные, чтобы предотвратить атаки, такие как SQL-инъекции и XSS. - Настройте веб-сервер для использования HTTPS, чтобы защитить данные, передаваемые между клиентом и сервером. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: timer: Don't take register_mutex with copy_from/to_user() The infamous mmap_lock taken in copy_from/to_user() can be often problematic when it's called inside another mutex, as they might lead to deadlocks. In the case of ALSA timer code, the bad pattern is with guard(mutex)(&register_mutex) that covers copy_from/to_user() -- which was mistakenly introduced at converting to guard(), and it had been carefully worked around in the past. This patch fixes those pieces simply by moving copy_from/to_user() out of the register mutex lock again. Уязвимость компонента core/timer.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: thermal: int340x: Add NULL check for adev Not all devices have an ACPI companion fwnode, so adev might be NULL. This is similar to the commit cd2fd6eab480 ("platform/x86: int3472: Check for adev == NULL"). Add a check for adev not being set and return -ENODEV in that case to avoid a possible NULL pointer deref in int3402_thermal_probe(). Note, under the same directory, int3400_thermal_probe() has such a check. [ rjw: Subject edit, added Fixes: ] Уязвимость компонента int3402_thermal.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: watch_queue: fix pipe accounting mismatch Currently, watch_queue_set_size() modifies the pipe buffers charged to user->pipe_bufs without updating the pipe->nr_accounted on the pipe itself, due to the if (!pipe_has_watch_queue()) test in pipe_resize_ring(). This means that when the pipe is ultimately freed, we decrement user->pipe_bufs by something other than what than we had charged to it, potentially leading to an underflow. This in turn can cause subsequent too_many_pipe_buffers_soft() tests to fail with -EPERM. To remedy this, explicitly account for the pipe usage in watch_queue_set_size() to match the number set via account_pipe_buffers() (It's unclear why watch_queue_set_size() does not update nr_accounted; it may be due to intentional overprovisioning in watch_queue_set_size()?) Уязвимость ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: misc: pci_endpoint_test: Avoid issue of interrupts remaining after request_irq error After devm_request_irq() fails with error in pci_endpoint_test_request_irq(), the pci_endpoint_test_free_irq_vectors() is called assuming that all IRQs have been released. However, some requested IRQs remain unreleased, so there are still /proc/irq/* entries remaining, and this results in WARN() with the following message: remove_proc_entry: removing non-empty directory 'irq/30', leaking at least 'pci-endpoint-test.0' WARNING: CPU: 0 PID: 202 at fs/proc/generic.c:719 remove_proc_entry +0x190/0x19c To solve this issue, set the number of remaining IRQs to test->num_irqs, and release IRQs in advance by calling pci_endpoint_test_release_irq(). [kwilczynski: commit log] Уязвимость ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Acquire SRCU in KVM_GET_MP_STATE to protect guest memory accesses Acquire a lock on kvm->srcu when userspace is getting MP state to handle a rather extreme edge case where "accepting" APIC events, i.e. processing pending INIT or SIPI, can trigger accesses to guest memory. If the vCPU is in L2 with INIT *and* a TRIPLE_FAULT request pending, then getting MP state will trigger a nested VM-Exit by way of ->check_nested_events(), and emuating the nested VM-Exit can access guest memory. The splat was originally hit by syzkaller on a Google-internal kernel, and reproduced on an upstream kernel by hacking the triple_fault_event_test selftest to stuff a pending INIT, store an MSR on VM-Exit (to generate a memory access on VMX), and do vcpu_mp_state_get() to trigger the scenario. ============================= WARNING: suspicious RCU usage 6.14.0-rc3-b112d356288b-vmx/pi_lockdep_false_pos-lock #3 Not tainted ----------------------------- include/linux/kvm_host.h:1058 suspicious rcu_dereference_check() usage! other info that might help us debug this: rcu_scheduler_active = 2, debug_locks = 1 1 lock held by triple_fault_ev/1256: #0: ffff88810df5a330 (&vcpu->mutex){+.+.}-{4:4}, at: kvm_vcpu_ioctl+0x8b/0x9a0 [kvm] stack backtrace: CPU: 11 UID: 1000 PID: 1256 Comm: triple_fault_ev Not tainted 6.14.0-rc3-b112d356288b-vmx #3 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 0.0.0 02/06/2015 Call Trace: <TASK> dump_stack_lvl+0x7f/0x90 lockdep_rcu_suspicious+0x144/0x190 kvm_vcpu_gfn_to_memslot+0x156/0x180 [kvm] kvm_vcpu_read_guest+0x3e/0x90 [kvm] read_and_check_msr_entry+0x2e/0x180 [kvm_intel] __nested_vmx_vmexit+0x550/0xde0 [kvm_intel] kvm_check_nested_events+0x1b/0x30 [kvm] kvm_apic_accept_events+0x33/0x100 [kvm] kvm_arch_vcpu_ioctl_get_mpstate+0x30/0x1d0 [kvm] kvm_vcpu_ioctl+0x33e/0x9a0 [kvm] __x64_sys_ioctl+0x8b/0xb0 do_syscall_64+0x6c/0x170 entry_SYSCALL_64_after_hwframe+0x4b/0x53 </TASK> Уязвимость компонента KVM ядра операционной системы Linux связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sctp: detect and prevent references to a freed transport in sendmsg sctp_sendmsg() re-uses associations and transports when possible by doing a lookup based on the socket endpoint and the message destination address, and then sctp_sendmsg_to_asoc() sets the selected transport in all the message chunks to be sent. There's a possible race condition if another thread triggers the removal of that selected transport, for instance, by explicitly unbinding an address with setsockopt(SCTP_SOCKOPT_BINDX_REM), after the chunks have been set up and before the message is sent. This can happen if the send buffer is full, during the period when the sender thread temporarily releases the socket lock in sctp_wait_for_sndbuf(). This causes the access to the transport data in sctp_outq_select_transport(), when the association outqueue is flushed, to result in a use-after-free read. This change avoids this scenario by having sctp_transport_free() signal the freeing of the transport, tagging it as "dead". In order to do this, the patch restores the "dead" bit in struct sctp_transport, which was removed in commit 47faa1e4c50e ("sctp: remove the dead field of sctp_transport"). Then, in the scenario where the sender thread has released the socket lock in sctp_wait_for_sndbuf(), the bit is checked again after re-acquiring the socket lock to detect the deletion. This is done while holding a reference to the transport to prevent it from being freed in the process. If the transport was deleted while the socket lock was relinquished, sctp_sendmsg_to_asoc() will return -EAGAIN to let userspace retry the send. The bug was found by a private syzbot instance (see the error report [1] and the C reproducer that triggers it [2]). Уязвимость компонента sctp ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: Fix null-ptr-deref by sock_lock_init_class_and_name() and rmmod. When I ran the repro [0] and waited a few seconds, I observed two LOCKDEP splats: a warning immediately followed by a null-ptr-deref. [1] Reproduction Steps: 1) Mount CIFS 2) Add an iptables rule to drop incoming FIN packets for CIFS 3) Unmount CIFS 4) Unload the CIFS module 5) Remove the iptables rule At step 3), the CIFS module calls sock_release() for the underlying TCP socket, and it returns quickly. However, the socket remains in FIN_WAIT_1 because incoming FIN packets are dropped. At this point, the module's refcnt is 0 while the socket is still alive, so the following rmmod command succeeds. # ss -tan State Recv-Q Send-Q Local Address:Port Peer Address:Port FIN-WAIT-1 0 477 10.0.2.15:51062 10.0.0.137:445 # lsmod | grep cifs cifs 1159168 0 This highlights a discrepancy between the lifetime of the CIFS module and the underlying TCP socket. Even after CIFS calls sock_release() and it returns, the TCP socket does not die immediately in order to close the connection gracefully. While this is generally fine, it causes an issue with LOCKDEP because CIFS assigns a different lock class to the TCP socket's sk->sk_lock using sock_lock_init_class_and_name(). Once an incoming packet is processed for the socket or a timer fires, sk->sk_lock is acquired. Then, LOCKDEP checks the lock context in check_wait_context(), where hlock_class() is called to retrieve the lock class. However, since the module has already been unloaded, hlock_class() logs a warning and returns NULL, triggering the null-ptr-deref. If LOCKDEP is enabled, we must ensure that a module calling sock_lock_init_class_and_name() (CIFS, NFS, etc) cannot be unloaded while such a socket is still alive to prevent this issue. Let's hold the module reference in sock_lock_init_class_and_name() and release it when the socket is freed in sk_prot_free(). Note that sock_lock_init() clears sk->sk_owner for svc_create_socket() that calls sock_lock_init_class_and_name() for a listening socket, which clones a socket by sk_clone_lock() without GFP_ZERO. [0]: CIFS_SERVER="10.0.0.137" CIFS_PATH="//${CIFS_SERVER}/Users/Administrator/Desktop/CIFS_TEST" DEV="enp0s3" CRED="/root/WindowsCredential.txt" MNT=$(mktemp -d /tmp/XXXXXX) mount -t cifs ${CIFS_PATH} ${MNT} -o vers=3.0,credentials=${CRED},cache=none,echo_interval=1 iptables -A INPUT -s ${CIFS_SERVER} -j DROP for i in $(seq 10); do umount ${MNT} rmmod cifs sleep 1 done rm -r ${MNT} iptables -D INPUT -s ${CIFS_SERVER} -j DROP [1]: DEBUG_LOCKS_WARN_ON(1) WARNING: CPU: 10 PID: 0 at kernel/locking/lockdep.c:234 hlock_class (kernel/locking/lockdep.c:234 kernel/locking/lockdep.c:223) Modules linked in: cifs_arc4 nls_ucs2_utils cifs_md4 [last unloaded: cifs] CPU: 10 UID: 0 PID: 0 Comm: swapper/10 Not tainted 6.14.0 #36 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:hlock_class (kernel/locking/lockdep.c:234 kernel/locking/lockdep.c:223) ... Call Trace: <IRQ> __lock_acquire (kernel/locking/lockdep.c:4853 kernel/locking/lockdep.c:5178) lock_acquire (kernel/locking/lockdep.c:469 kernel/locking/lockdep.c:5853 kernel/locking/lockdep.c:5816) _raw_spin_lock_nested (kernel/locking/spinlock.c:379) tcp_v4_rcv (./include/linux/skbuff.h:1678 ./include/net/tcp.h:2547 net/ipv4/tcp_ipv4.c:2350) ... BUG: kernel NULL pointer dereference, address: 00000000000000c4 PF: supervisor read access in kernel mode PF: error_code(0x0000) - not-present page PGD 0 Oops: Oops: 0000 [#1] PREEMPT SMP NOPTI CPU: 10 UID: 0 PID: 0 Comm: swapper/10 Tainted: G W 6.14.0 #36 Tainted: [W]=WARN Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:__lock_acquire (kernel/ ---truncated--- Уязвимость компонентов net ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: backlight: led_bl: Hold led_access lock when calling led_sysfs_disable() Lockdep detects the following issue on led-backlight removal: [ 142.315935] ------------[ cut here ]------------ [ 142.315954] WARNING: CPU: 2 PID: 292 at drivers/leds/led-core.c:455 led_sysfs_enable+0x54/0x80 ... [ 142.500725] Call trace: [ 142.503176] led_sysfs_enable+0x54/0x80 (P) [ 142.507370] led_bl_remove+0x80/0xa8 [led_bl] [ 142.511742] platform_remove+0x30/0x58 [ 142.515501] device_remove+0x54/0x90 ... Indeed, led_sysfs_enable() has to be called with the led_access lock held. Hold the lock when calling led_sysfs_disable(). Уязвимость компонента backlight ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: fix NULL pointer in can_accept_new_subflow When testing valkey benchmark tool with MPTCP, the kernel panics in 'mptcp_can_accept_new_subflow' because subflow_req->msk is NULL. Call trace: mptcp_can_accept_new_subflow (./net/mptcp/subflow.c:63 (discriminator 4)) (P) subflow_syn_recv_sock (./net/mptcp/subflow.c:854) tcp_check_req (./net/ipv4/tcp_minisocks.c:863) tcp_v4_rcv (./net/ipv4/tcp_ipv4.c:2268) ip_protocol_deliver_rcu (./net/ipv4/ip_input.c:207) ip_local_deliver_finish (./net/ipv4/ip_input.c:234) ip_local_deliver (./net/ipv4/ip_input.c:254) ip_rcv_finish (./net/ipv4/ip_input.c:449) ... According to the debug log, the same req received two SYN-ACK in a very short time, very likely because the client retransmits the syn ack due to multiple reasons. Even if the packets are transmitted with a relevant time interval, they can be processed by the server on different CPUs concurrently). The 'subflow_req->msk' ownership is transferred to the subflow the first, and there will be a risk of a null pointer dereference here. This patch fixes this issue by moving the 'subflow_req->msk' under the `own_req == true` conditional. Note that the !msk check in subflow_hmac_valid() can be dropped, because the same check already exists under the own_req mpj branch where the code has been moved to. Уязвимость компонента mptcp ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mfd: ene-kb3930: Fix a potential NULL pointer dereference The off_gpios could be NULL. Add missing check in the kb3930_probe(). This is similar to the issue fixed in commit b1ba8bcb2d1f ("backlight: hx8357: Fix potential NULL pointer dereference"). This was detected by our static analysis tool. Уязвимость компонента ene-kb3930 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i3c: Add NULL pointer check in i3c_master_queue_ibi() The I3C master driver may receive an IBI from a target device that has not been probed yet. In such cases, the master calls `i3c_master_queue_ibi()` to queue an IBI work task, leading to "Unable to handle kernel read from unreadable memory" and resulting in a kernel panic. Typical IBI handling flow: 1. The I3C master scans target devices and probes their respective drivers. 2. The target device driver calls `i3c_device_request_ibi()` to enable IBI and assigns `dev->ibi = ibi`. 3. The I3C master receives an IBI from the target device and calls `i3c_master_queue_ibi()` to queue the target device driver’s IBI handler task. However, since target device events are asynchronous to the I3C probe sequence, step 3 may occur before step 2, causing `dev->ibi` to be `NULL`, leading to a kernel panic. Add a NULL pointer check in `i3c_master_queue_ibi()` to prevent accessing an uninitialized `dev->ibi`, ensuring stability. Уязвимость компонента i3c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: soc: samsung: exynos-chipid: Add NULL pointer check in exynos_chipid_probe() soc_dev_attr->revision could be NULL, thus, a pointer check is added to prevent potential NULL pointer dereference. This is similar to the fix in commit 3027e7b15b02 ("ice: Fix some null pointer dereference issues in ice_ptp.c"). This issue is found by our static analysis tool. Уязвимость ядра операционной системы Linux связана с ошибками разыменования нулеового указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tpm: do not start chip while suspended Checking TPM_CHIP_FLAG_SUSPENDED after the call to tpm_find_get_ops() can lead to a spurious tpm_chip_start() call: [35985.503771] i2c i2c-1: Transfer while suspended [35985.503796] WARNING: CPU: 0 PID: 74 at drivers/i2c/i2c-core.h:56 __i2c_transfer+0xbe/0x810 [35985.503802] Modules linked in: [35985.503808] CPU: 0 UID: 0 PID: 74 Comm: hwrng Tainted: G W 6.13.0-next-20250203-00005-gfa0cb5642941 #19 9c3d7f78192f2d38e32010ac9c90fdc71109ef6f [35985.503814] Tainted: [W]=WARN [35985.503817] Hardware name: Google Morphius/Morphius, BIOS Google_Morphius.13434.858.0 10/26/2023 [35985.503819] RIP: 0010:__i2c_transfer+0xbe/0x810 [35985.503825] Code: 30 01 00 00 4c 89 f7 e8 40 fe d8 ff 48 8b 93 80 01 00 00 48 85 d2 75 03 49 8b 16 48 c7 c7 0a fb 7c a7 48 89 c6 e8 32 ad b0 fe <0f> 0b b8 94 ff ff ff e9 33 04 00 00 be 02 00 00 00 83 fd 02 0f 5 [35985.503828] RSP: 0018:ffffa106c0333d30 EFLAGS: 00010246 [35985.503833] RAX: 074ba64aa20f7000 RBX: ffff8aa4c1167120 RCX: 0000000000000000 [35985.503836] RDX: 0000000000000000 RSI: ffffffffa77ab0e4 RDI: 0000000000000001 [35985.503838] RBP: 0000000000000001 R08: 0000000000000001 R09: 0000000000000000 [35985.503841] R10: 0000000000000004 R11: 00000001000313d5 R12: ffff8aa4c10f1820 [35985.503843] R13: ffff8aa4c0e243c0 R14: ffff8aa4c1167250 R15: ffff8aa4c1167120 [35985.503846] FS: 0000000000000000(0000) GS:ffff8aa4eae00000(0000) knlGS:0000000000000000 [35985.503849] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [35985.503852] CR2: 00007fab0aaf1000 CR3: 0000000105328000 CR4: 00000000003506f0 [35985.503855] Call Trace: [35985.503859] <TASK> [35985.503863] ? __warn+0xd4/0x260 [35985.503868] ? __i2c_transfer+0xbe/0x810 [35985.503874] ? report_bug+0xf3/0x210 [35985.503882] ? handle_bug+0x63/0xb0 [35985.503887] ? exc_invalid_op+0x16/0x50 [35985.503892] ? asm_exc_invalid_op+0x16/0x20 [35985.503904] ? __i2c_transfer+0xbe/0x810 [35985.503913] tpm_cr50_i2c_transfer_message+0x24/0xf0 [35985.503920] tpm_cr50_i2c_read+0x8e/0x120 [35985.503928] tpm_cr50_request_locality+0x75/0x170 [35985.503935] tpm_chip_start+0x116/0x160 [35985.503942] tpm_try_get_ops+0x57/0x90 [35985.503948] tpm_find_get_ops+0x26/0xd0 [35985.503955] tpm_get_random+0x2d/0x80 Don't move forward with tpm_chip_start() inside tpm_try_get_ops(), unless TPM_CHIP_FLAG_SUSPENDED is not set. tpm_find_get_ops() will return NULL in such a failure case. Уязвимость компонента tpm ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: fix off-by-one error in do_split Syzkaller detected a use-after-free issue in ext4_insert_dentry that was caused by out-of-bounds access due to incorrect splitting in do_split. BUG: KASAN: use-after-free in ext4_insert_dentry+0x36a/0x6d0 fs/ext4/namei.c:2109 Write of size 251 at addr ffff888074572f14 by task syz-executor335/5847 CPU: 0 UID: 0 PID: 5847 Comm: syz-executor335 Not tainted 6.12.0-rc6-syzkaller-00318-ga9cda7c0ffed #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/30/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 kasan_check_range+0x282/0x290 mm/kasan/generic.c:189 __asan_memcpy+0x40/0x70 mm/kasan/shadow.c:106 ext4_insert_dentry+0x36a/0x6d0 fs/ext4/namei.c:2109 add_dirent_to_buf+0x3d9/0x750 fs/ext4/namei.c:2154 make_indexed_dir+0xf98/0x1600 fs/ext4/namei.c:2351 ext4_add_entry+0x222a/0x25d0 fs/ext4/namei.c:2455 ext4_add_nondir+0x8d/0x290 fs/ext4/namei.c:2796 ext4_symlink+0x920/0xb50 fs/ext4/namei.c:3431 vfs_symlink+0x137/0x2e0 fs/namei.c:4615 do_symlinkat+0x222/0x3a0 fs/namei.c:4641 __do_sys_symlink fs/namei.c:4662 [inline] __se_sys_symlink fs/namei.c:4660 [inline] __x64_sys_symlink+0x7a/0x90 fs/namei.c:4660 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> The following loop is located right above 'if' statement. for (i = count-1; i >= 0; i--) { /* is more than half of this entry in 2nd half of the block? */ if (size + map[i].size/2 > blocksize/2) break; size += map[i].size; move++; } 'i' in this case could go down to -1, in which case sum of active entries wouldn't exceed half the block size, but previous behaviour would also do split in half if sum would exceed at the very last block, which in case of having too many long name files in a single block could lead to out-of-bounds access and following use-after-free. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bus: mhi: host: Fix race between unprepare and queue_buf A client driver may use mhi_unprepare_from_transfer() to quiesce incoming data during the client driver's tear down. The client driver might also be processing data at the same time, resulting in a call to mhi_queue_buf() which will invoke mhi_gen_tre(). If mhi_gen_tre() runs after mhi_unprepare_from_transfer() has torn down the channel, a panic will occur due to an invalid dereference leading to a page fault. This occurs because mhi_gen_tre() does not verify the channel state after locking it. Fix this by having mhi_gen_tre() confirm the channel state is valid, or return error to avoid accessing deinitialized data. [mani: added stable tag] Уязвимость ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/net: fix io_req_post_cqe abuse by send bundle [ 114.987980][ T5313] WARNING: CPU: 6 PID: 5313 at io_uring/io_uring.c:872 io_req_post_cqe+0x12e/0x4f0 [ 114.991597][ T5313] RIP: 0010:io_req_post_cqe+0x12e/0x4f0 [ 115.001880][ T5313] Call Trace: [ 115.002222][ T5313] <TASK> [ 115.007813][ T5313] io_send+0x4fe/0x10f0 [ 115.009317][ T5313] io_issue_sqe+0x1a6/0x1740 [ 115.012094][ T5313] io_wq_submit_work+0x38b/0xed0 [ 115.013223][ T5313] io_worker_handle_work+0x62a/0x1600 [ 115.013876][ T5313] io_wq_worker+0x34f/0xdf0 As the comment states, io_req_post_cqe() should only be used by multishot requests, i.e. REQ_F_APOLL_MULTISHOT, which bundled sends are not. Add a flag signifying whether a request wants to post multiple CQEs. Eventually REQ_F_APOLL_MULTISHOT should imply the new flag, but that's left out for simplicity. Уязвимость компонента io_uring/net ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: venus: hfi_parser: refactor hfi packet parsing logic words_count denotes the number of words in total payload, while data points to payload of various property within it. When words_count reaches last word, data can access memory beyond the total payload. This can lead to OOB access. With this patch, the utility api for handling individual properties now returns the size of data consumed. Accordingly remaining bytes are calculated before parsing the payload, thereby eliminates the OOB access possibilities. Уязвимость компонента hfi_parser ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: venus: hfi_parser: add check to avoid out of bound access There is a possibility that init_codecs is invoked multiple times during manipulated payload from video firmware. In such case, if codecs_count can get incremented to value more than MAX_CODEC_NUM, there can be OOB access. Reset the count so that it always starts from beginning. Уязвимость компонента hfi_parser ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: venus: hfi: add check to handle incorrect queue size qsize represents size of shared queued between driver and video firmware. Firmware can modify this value to an invalid large value. In such situation, empty_space will be bigger than the space actually available. Since new_wr_idx is not checked, so the following code will result in an OOB write. ... qsize = qhdr->q_size if (wr_idx >= rd_idx) empty_space = qsize - (wr_idx - rd_idx) .... if (new_wr_idx < qsize) { memcpy(wr_ptr, packet, dwords << 2) --> OOB write Add check to ensure qsize is within the allocated size while reading and writing packets into the queue. Уязвимость компонента venus ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: venus: hfi: add a check to handle OOB in sfr region sfr->buf_size is in shared memory and can be modified by malicious user. OOB write is possible when the size is made higher than actual sfr data buffer. Cap the size to allocated size for such cases. Уязвимость компонента venus ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mediatek: vcodec: Fix a resource leak related to the scp device in FW initialization On Mediatek devices with a system companion processor (SCP) the mtk_scp structure has to be removed explicitly to avoid a resource leak. Free the structure in case the allocation of the firmware structure fails during the firmware initialization. Уязвимость компонента mtk_vcodec_fw_scp.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: vmd: Make vmd_dev::cfg_lock a raw_spinlock_t type The access to the PCI config space via pci_ops::read and pci_ops::write is a low-level hardware access. The functions can be accessed with disabled interrupts even on PREEMPT_RT. The pci_lock is a raw_spinlock_t for this purpose. A spinlock_t becomes a sleeping lock on PREEMPT_RT, so it cannot be acquired with disabled interrupts. The vmd_dev::cfg_lock is accessed in the same context as the pci_lock. Make vmd_dev::cfg_lock a raw_spinlock_t type so it can be used with interrupts disabled. This was reported as: BUG: sleeping function called from invalid context at kernel/locking/spinlock_rt.c:48 Call Trace: rt_spin_lock+0x4e/0x130 vmd_pci_read+0x8d/0x100 [vmd] pci_user_read_config_byte+0x6f/0xe0 pci_read_config+0xfe/0x290 sysfs_kf_bin_read+0x68/0x90 [bigeasy: reword commit message] Tested-off-by: Luis Claudio R. Goncalves <lgoncalv@redhat.com> [kwilczynski: commit log] [bhelgaas: add back report info from https://lore.kernel.org/lkml/20241218115951.83062-1-ryotkkr98@gmail.com/] Уязвимость ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe/vf: Don't try to trigger a full GT reset if VF VFs don't have access to the GDRST(0x941c) register that driver uses to reset a GT. Attempt to trigger a reset using debugfs: $ cat /sys/kernel/debug/dri/0000:00:02.1/gt0/force_reset or due to a hang condition detected by the driver leads to: [ ] xe 0000:00:02.1: [drm] GT0: trying reset from force_reset [xe] [ ] xe 0000:00:02.1: [drm] GT0: reset queued [ ] xe 0000:00:02.1: [drm] GT0: reset started [ ] ------------[ cut here ]------------ [ ] xe 0000:00:02.1: [drm] GT0: VF is trying to write 0x1 to an inaccessible register 0x941c+0x0 [ ] WARNING: CPU: 3 PID: 3069 at drivers/gpu/drm/xe/xe_gt_sriov_vf.c:996 xe_gt_sriov_vf_write32+0xc6/0x580 [xe] [ ] RIP: 0010:xe_gt_sriov_vf_write32+0xc6/0x580 [xe] [ ] Call Trace: [ ] <TASK> [ ] ? show_regs+0x6c/0x80 [ ] ? __warn+0x93/0x1c0 [ ] ? xe_gt_sriov_vf_write32+0xc6/0x580 [xe] [ ] ? report_bug+0x182/0x1b0 [ ] ? handle_bug+0x6e/0xb0 [ ] ? exc_invalid_op+0x18/0x80 [ ] ? asm_exc_invalid_op+0x1b/0x20 [ ] ? xe_gt_sriov_vf_write32+0xc6/0x580 [xe] [ ] ? xe_gt_sriov_vf_write32+0xc6/0x580 [xe] [ ] ? xe_gt_tlb_invalidation_reset+0xef/0x110 [xe] [ ] ? __mutex_unlock_slowpath+0x41/0x2e0 [ ] xe_mmio_write32+0x64/0x150 [xe] [ ] do_gt_reset+0x2f/0xa0 [xe] [ ] gt_reset_worker+0x14e/0x1e0 [xe] [ ] process_one_work+0x21c/0x740 [ ] worker_thread+0x1db/0x3c0 Fix that by sending H2G VF_RESET(0x5507) action instead. Уязвимость компонента drm/xe/vf ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: vlan: don't propagate flags on open With the device instance lock, there is now a possibility of a deadlock: [ 1.211455] ============================================ [ 1.211571] WARNING: possible recursive locking detected [ 1.211687] 6.14.0-rc5-01215-g032756b4ca7a-dirty #5 Not tainted [ 1.211823] -------------------------------------------- [ 1.211936] ip/184 is trying to acquire lock: [ 1.212032] ffff8881024a4c30 (&dev->lock){+.+.}-{4:4}, at: dev_set_allmulti+0x4e/0xb0 [ 1.212207] [ 1.212207] but task is already holding lock: [ 1.212332] ffff8881024a4c30 (&dev->lock){+.+.}-{4:4}, at: dev_open+0x50/0xb0 [ 1.212487] [ 1.212487] other info that might help us debug this: [ 1.212626] Possible unsafe locking scenario: [ 1.212626] [ 1.212751] CPU0 [ 1.212815] ---- [ 1.212871] lock(&dev->lock); [ 1.212944] lock(&dev->lock); [ 1.213016] [ 1.213016] *** DEADLOCK *** [ 1.213016] [ 1.213143] May be due to missing lock nesting notation [ 1.213143] [ 1.213294] 3 locks held by ip/184: [ 1.213371] #0: ffffffff838b53e0 (rtnl_mutex){+.+.}-{4:4}, at: rtnl_nets_lock+0x1b/0xa0 [ 1.213543] #1: ffffffff84e5fc70 (&net->rtnl_mutex){+.+.}-{4:4}, at: rtnl_nets_lock+0x37/0xa0 [ 1.213727] #2: ffff8881024a4c30 (&dev->lock){+.+.}-{4:4}, at: dev_open+0x50/0xb0 [ 1.213895] [ 1.213895] stack backtrace: [ 1.213991] CPU: 0 UID: 0 PID: 184 Comm: ip Not tainted 6.14.0-rc5-01215-g032756b4ca7a-dirty #5 [ 1.213993] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS Arch Linux 1.16.3-1-1 04/01/2014 [ 1.213994] Call Trace: [ 1.213995] <TASK> [ 1.213996] dump_stack_lvl+0x8e/0xd0 [ 1.214000] print_deadlock_bug+0x28b/0x2a0 [ 1.214020] lock_acquire+0xea/0x2a0 [ 1.214027] __mutex_lock+0xbf/0xd40 [ 1.214038] dev_set_allmulti+0x4e/0xb0 # real_dev->flags & IFF_ALLMULTI [ 1.214040] vlan_dev_open+0xa5/0x170 # ndo_open on vlandev [ 1.214042] __dev_open+0x145/0x270 [ 1.214046] __dev_change_flags+0xb0/0x1e0 [ 1.214051] netif_change_flags+0x22/0x60 # IFF_UP vlandev [ 1.214053] dev_change_flags+0x61/0xb0 # for each device in group from dev->vlan_info [ 1.214055] vlan_device_event+0x766/0x7c0 # on netdevsim0 [ 1.214058] notifier_call_chain+0x78/0x120 [ 1.214062] netif_open+0x6d/0x90 [ 1.214064] dev_open+0x5b/0xb0 # locks netdevsim0 [ 1.214066] bond_enslave+0x64c/0x1230 [ 1.214075] do_set_master+0x175/0x1e0 # on netdevsim0 [ 1.214077] do_setlink+0x516/0x13b0 [ 1.214094] rtnl_newlink+0xaba/0xb80 [ 1.214132] rtnetlink_rcv_msg+0x440/0x490 [ 1.214144] netlink_rcv_skb+0xeb/0x120 [ 1.214150] netlink_unicast+0x1f9/0x320 [ 1.214153] netlink_sendmsg+0x346/0x3f0 [ 1.214157] __sock_sendmsg+0x86/0xb0 [ 1.214160] ____sys_sendmsg+0x1c8/0x220 [ 1.214164] ___sys_sendmsg+0x28f/0x2d0 [ 1.214179] __x64_sys_sendmsg+0xef/0x140 [ 1.214184] do_syscall_64+0xec/0x1d0 [ 1.214190] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 1.214191] RIP: 0033:0x7f2d1b4a7e56 Device setup: netdevsim0 (down) ^ ^ bond netdevsim1.100@netdevsim1 allmulticast=on (down) When we enslave the lower device (netdevsim0) which has a vlan, we propagate vlan's allmuti/promisc flags during ndo_open. This causes (re)locking on of the real_dev. Propagate allmulti/promisc on flags change, not on the open. There is a slight semantics change that vlans that are down now propagate the flags, but this seems unlikely to result in the real issues. Reproducer: echo 0 1 > /sys/bus/netdevsim/new_device dev_path=$(ls -d /sys/bus/netdevsim/devices/netdevsim0/net/*) dev=$(echo $dev_path | rev | cut -d/ -f1 | rev) ip link set dev $dev name netdevsim0 ip link set dev netdevsim0 up ip link add link netdevsim0 name netdevsim0.100 type vlan id 100 ip link set dev netdevsim0.100 allm ---truncated--- Уязвимость компонента vlan ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 nodejs The C++ method SignTraits::DeriveBits() may incorrectly call ThrowException() based on user-supplied inputs when executing in a background thread, crashing the Node.js process. Such cryptographic operations are commonly applied to untrusted inputs. Thus, this mechanism potentially allows an adversary to remotely crash a Node.js runtime. Уязвимость функции ThrowException() модели разрешений программной платформы Node.js связана с ошибкой обработки исключительных состояний при обработке метода SignTraits::DeriveBits(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-248')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) nodejs: - При использовании ПО NodeJS выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте NodeJS-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 dcmtk A vulnerability was found in DCMTK 3.6.9. It has been declared as critical. This vulnerability affects unknown code of the component dcmjpls JPEG-LS Decoder. The manipulation leads to memory corruption. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used. The name of the patch is 3239a7915. It is recommended to apply a patch to fix this issue. Уязвимость компонента dcmjpls библиотеки для работы с форматом DICOM DCMTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:P/I:P/A:P', score=7.5) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 pam-pkcs11 PAM-PKCS#11 is a Linux-PAM login module that allows a X.509 certificate based user login. Prior to version 0.6.13, if cert_policy is set to none (the default value), then pam_pkcs11 will only check if the user is capable of logging into the token. An attacker may create a different token with the user's public data (e.g. the user's certificate) and a PIN known to the attacker. If no signature with the private key is required, then the attacker may now login as user with that created token. The default to *not* check the private key's signature has been changed with commit commi6638576892b59a99389043c90a1e7dd4d783b921, so that all versions starting with pam_pkcs11-0.6.0 should be affected. As a workaround, in `pam_pkcs11.conf`, set at least `cert_policy = signature;`. Уязвимость модуля PAM для использования смарт-карт PAM PKCS связана с недостатками процедуры аутентификации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-287')] None None Astra Linux 1.8 webkit2gtk A permissions issue was addressed with additional restrictions. This issue is fixed in Safari 18.4, iOS 18.4 and iPadOS 18.4. Loading a malicious iframe may lead to a cross-site scripting attack. Уязвимость браузера Safari операционных систем iPadOS, iOS связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю провести атаку межсайтового скриптинга (XSS) [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A buffer overflow issue was addressed with improved memory handling. This issue is fixed in Safari 18.4, iOS 18.4 and iPadOS 18.4, iPadOS 17.7.6, macOS Sequoia 15.4, tvOS 18.4, watchOS 11.4. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целость и доступность защищаемой информации путем обработки или загрузки специально созданного веб-контента [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:H', score=7.0) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk This issue was addressed with improved handling of floats. This issue is fixed in Safari 18.5, iOS 18.5 and iPadOS 18.5, iPadOS 17.7.7, macOS Sequoia 15.5, tvOS 18.5, visionOS 2.5, watchOS 11.5. A type confusion issue could lead to memory corruption. Уязвимость операционных систем visionOS, macOS, tvOS, iPadOS, iOS, iPadOS , macOS связана с ошибками смешения типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать повреждение файлов [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.4, iOS 18.4 and iPadOS 18.4, iPadOS 17.7.6, macOS Sequoia 15.4, tvOS 18.4, visionOS 2.4, watchOS 11.4. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании путем обработки или загрузки специально созданного веб-контента [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.5, iOS 18.5 and iPadOS 18.5, macOS Sequoia 15.5, tvOS 18.5, visionOS 2.5, watchOS 11.5. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=8.0) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.4, iOS 18.4 and iPadOS 18.4, iPadOS 17.7.6, macOS Sequoia 15.4, tvOS 18.4, visionOS 2.4, watchOS 11.4. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модуля отображения веб-страниц WebKit браузера Safari операционных систем macOS, iOS, iPadOS, tvOS и visionOS связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 intel-microcode Incorrect initialization of resource in the branch prediction unit for some Intel(R) Core™ Ultra Processors may allow an authenticated user to potentially enable information disclosure via local access. Уязвимость модуля Branch Prediction Unit (BPU) микропрограммного обеспечения процессоров Intel Core Ultra связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.6) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 krb5 In MIT Kerberos 5 (aka krb5) before 1.22 (with incremental propagation), there is an integer overflow for a large update size to resize() in kdb_log.c. An authenticated attacker can cause an out-of-bounds write and kadmind daemon crash. Уязвимость сетевого протокола аутентификации Kerberos связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:C/C:N/I:L/A:H', score=7.1) krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 pam-pkcs11 In OpenSC pam_pkcs11 before 0.6.13, pam_sm_authenticate() wrongly returns PAM_IGNORE in many error situations (such as an error triggered by a smartcard before login), allowing authentication bypass. Уязвимость функции pam_sm_authenticate() модуля аутентификации PAM-PKCS#11 операционных систем Linux связана с ошибками аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процедуру аутентификации и получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-393')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N', score=6.7) Astra Linux 1.8 chromium Use after free in Lens in Google Chrome prior to 134.0.6998.117 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость браузеров Google Chrome и Microsoft Edge связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать влияние на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 libxslt numbers.c in libxslt before 1.1.43 has a use-after-free because, in nested XPath evaluations, an XPath context node can be modified but never restored. This is related to xsltNumberFormatGetValue, xsltEvalXPathPredicate, xsltEvalXPathStringNs, and xsltComputeSortResultInternal. Уязвимость файла numbers.ct библиотеки libxslt связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:N/I:H/A:H', score=7.8) libxslt: - Запускайте libxslt с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libxslt так, чтобы их могли изменять только администраторы системы. - Рассмотрите возможность изоляции процессов, работающих с libxslt, используя контейнеры (Docker, LXC) или механизмы виртуализации. Astra Linux 1.8 libxml2 libxml2 before 2.12.10 and 2.13.x before 2.13.6 has a stack-based buffer overflow in xmlSnprintfElements in valid.c. To exploit this, DTD validation must occur for an untrusted document or untrusted DTD. NOTE: this is similar to CVE-2017-9047. Уязвимость функции xmlSnprintfElements() библиотеки libxml2 связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N', score=7.8) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 dcmtk A buffer overflow in DCMTK git master v3.6.9+ DEV allows attackers to cause a Denial of Service (DoS) via a crafted DCM file. Уязвимость библиотеки для работы с форматом DICOM DCMTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 dcmtk DCMTK v3.6.9+ DEV was discovered to contain a buffer overflow via the component /dcmimgle/diinpxt.h. Уязвимость компонента dcmimgle/diinpxt.h библиотеки для работы с форматом DICOM DCMTK связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 dcmtk A NULL pointer dereference in the component /libsrc/dcrleccd.cc of DCMTK v3.6.9+ DEV allows attackers to cause a Denial of Service (DoS) via a crafted DICOM file. Уязвимость компонента /libsrc/dcrleccd.cc библиотеки для работы с форматом DICOM DCMTK связана с разыменованием указателя NULL . Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью созданного DICOM-файла [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 augeas A vulnerability has been found in Hercules Augeas 1.14.1 and classified as problematic. This vulnerability affects the function re_case_expand of the file src/fa.c. The manipulation of the argument re leads to null pointer dereference. Attacking locally is a requirement. The exploit has been disclosed to the public and may be used. Уязвимость функции re_case_expand компонента src/fa.c инструмента редактирования конфигураций Augeas связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-404')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - Использовать ПО augeas только на низком или отдельно выделенном уровне целостности - При использовании ПО augeas выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска augeas только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Запускать ПО в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird When requesting an OpenPGP key from a WKD server, an incorrect padding size was used and a network observer could have learned the length of the requested email address. This vulnerability was fixed in Thunderbird 136 and Thunderbird 128.8. Уязвимость почтового клиента Thunderbird связана с некорректным импортом ключа OpenPGP с сервера WKD. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 openh264 OpenH264 is a free license codec library which supports H.264 encoding and decoding. A vulnerability in the decoding functions of OpenH264 codec library could allow a remote, unauthenticated attacker to trigger a heap overflow. This vulnerability is due to a race condition between a Sequence Parameter Set (SPS) memory allocation and a subsequent non Instantaneous Decoder Refresh (non-IDR) Network Abstraction Layer (NAL) unit memory usage. An attacker could exploit this vulnerability by crafting a malicious bitstream and tricking a victim user into processing an arbitrary video containing the malicious bistream. An exploit could allow the attacker to cause an unexpected crash in the victim's user decoding client and, possibly, perform arbitrary commands on the victim's host by abusing the heap overflow. This vulnerability affects OpenH264 2.5.0 and earlier releases. Both Scalable Video Coding (SVC) mode and Advanced Video Coding (AVC) mode are affected by this vulnerability. OpenH264 software releases 2.6.0 and later contained the fix for this vulnerability. Users are advised to upgrade. There are no known workarounds for this vulnerability. ### For more information If you have any questions or comments about this advisory: * [Open an issue in cisco/openh264](https://github.com/cisco/openh264/issues) * Email Cisco Open Source Security ([oss-security@cisco.com](mailto:oss-security@cisco.com)) and Cisco PSIRT ([psirt@cisco.com](mailto:psirt@cisco.com)) ### Credits: * **Research:** Octavian Guzu and Andrew Calvano of Meta * **Fix ideation:** Philipp Hancke and Shyam Sadhwani of Meta * **Fix implementation:** Benzheng Zhang (@BenzhengZhang) * **Release engineering:** Benzheng Zhang (@BenzhengZhang) Уязвимость функций декодирования библиотеки OpenH264 связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующего удаленно, выполнить произвольный код путем отправки специально сформированного видеофайла [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) - При использовании ПО openh264 выполнять обработку файлов, полученных только из доверенных источников - Запускайте компоненты openh264 с минимально необходимыми привилегиями. - Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Запускайте приложения в контейнерах (например, Docker) Astra Linux 1.8 libxml2 libxml2 before 2.12.10 and 2.13.x before 2.13.6 has a NULL pointer dereference in xmlPatMatch in pattern.c. Уязвимость функции xmlPatMatch() в файле pattern.c библиотеки libxml2 связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 freetype An out of bounds write exists in FreeType versions 2.13.0 and below (newer versions of FreeType are not vulnerable) when attempting to parse font subglyph structures related to TrueType GX and variable font files. The vulnerable code assigns a signed short value to an unsigned long and then adds a static value causing it to wrap around and allocate too small of a heap buffer. The code then writes up to 6 signed long integers out of bounds relative to this buffer. This may result in arbitrary code execution. This vulnerability may have been exploited in the wild. Уязвимость библиотеки FreeType связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) - При использовании ПО freetype выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - установливать шрифты только из доверенных источников; - по возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 gimp GIMP XWD File Parsing Integer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of XWD files. The issue results from the lack of proper validation of user-supplied data, which can result in an integer overflow before allocating a buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-25082. Уязвимость компонента XWD File Parser графического редактора GIMP связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 gimp GIMP FLI File Parsing Out-Of-Bounds Write Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of FLI files. The issue results from the lack of proper validation of user-supplied data, which can result in a write past the end of an allocated buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-25100. Уязвимость плагина FLI графического редактора GIMP связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного вредоносного файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) - Использовать ПО gimp только на низком или отдельно выделенном уровне целостности - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 ruby-rack Rack provides an interface for developing web applications in Ruby. Prior to versions 2.2.13, 3.0.14, and 3.1.12, `Rack::Static` can serve files under the specified `root:` even if `urls:` are provided, which may expose other files under the specified `root:` unexpectedly. The vulnerability occurs because `Rack::Static` does not properly sanitize user-supplied paths before serving files. Specifically, encoded path traversal sequences are not correctly validated, allowing attackers to access files outside the designated static file directory. By exploiting this vulnerability, an attacker can gain access to all files under the specified `root:` directory, provided they are able to determine then path of the file. Versions 2.2.13, 3.0.14, and 3.1.12 contain a patch for the issue. Other mitigations include removing usage of `Rack::Static`, or ensuring that `root:` points at a directory path which only contains files which should be accessed publicly. It is likely that a CDN or similar static file server would also mitigate the issue. Уязвимость модульного интерфейса между веб-серверами и веб-приложениями Rack связана с ошибками проверки пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-23')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) - Отказаться от использования функции Rack::Static - Не используйте ПО ruby-rack для обработки конфиденциальных файлов - Запускайте приложения, использующие Ruby Rack, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Убедитесь, что ваши веб-приложения, использующие Ruby Rack, корректно проверяют и санитизируют все входные данные, чтобы предотвратить атаки, такие как SQL-инъекции и XSS. - Настройте веб-сервер для использования HTTPS, чтобы защитить данные, передаваемые между клиентом и сервером. Astra Linux 1.8 git Gitk is a Tcl/Tk based Git history browser. Starting with 1.7.0, when a user clones an untrusted repository and runs gitk without additional command arguments, files for which the user has write permission can be created and truncated. The option Support per-file encoding must have been enabled before in Gitk's Preferences. This option is disabled by default. The same happens when Show origin of this line is used in the main window (regardless of whether Support per-file encoding is enabled or not). This vulnerability is fixed in 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1, and 2.50.1. Уязвимость функций Support per-file encoding() и Show origin of this line() браузера Gitk существует из-за непринятия мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ на создание и удаление файлов пользователя [NistCWE(cwe='CWE-78')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N', score=3.6) jgit: - Удалить ПО jgit, если оно не используется и не является зависимостью других пакетов - При использовании ПО jgit выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды git: - Удалить ПО git, если оно не используется - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) git-lfs: - Удалить ПО git-lfs, если оно не используется - Обеспечить возможность запуска ПО git-lfs только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) golang-github-containers-buildah: - Обеспечить возможность использования библиотеки golang-github-containers-buildah только доверенными пользователями ОС - Включить режим замкнутой программной среды - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить мандатный контроль целостности (МКЦ) golang-github-dvsekhvalnov-jose2go: - Удалить библиотеку golang-github-dvsekhvalnov-jose2go, если она не используется и не является зависимостью других пакетов - Запускать ПО, использующее библиотеку golang-github-dvsekhvalnov-jose2go, в изолированной программной среде с применением инструмента Firejail - Использовать ПО, использующее библиотеку golang-github-dvsekhvalnov-jose2go, только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 git Gitk is a Tcl/Tk based Git history browser. Starting with 2.41.0, a Git repository can be crafted in such a way that with some social engineering a user who has cloned the repository can be tricked into running any script (e.g., Bourne shell, Perl, Python, ...) supplied by the attacker by invoking gitk filename, where filename has a particular structure. The script is run with the privileges of the user. This vulnerability is fixed in 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1, and 2.50. Уязвимость команды gitk filename браузера Gitk существует из-за непринятия мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-78')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.6) - Удалить ПО git, если оно не используется - Не использовать Gitk - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. A buffer overflow occurs during serialization of DollarBlend in a font, for base/write_t1.c and psi/zfapi.c. Уязвимость файлов base/write_t1.c и psi/zfapi.c компонента DollarBlend набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. The DOCXWRITE TXTWRITE device has a text buffer overflow via long characters to devices/vector/doc_common.c. Уязвимость функции txt_get_unicode() файла devices/vector/doc_common.c набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. The NPDL device has a Compression buffer overflow for contrib/japanese/gdevnpdl.c. Уязвимость файла contrib/japanese/gdevnpdl.c компонента NPDL Device набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. A buffer overflow occurs for a long TTF font name to pdf/pdf_fmap.c. Уязвимость файла pdf/pdf_fmap.c компонента TTF набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. A buffer overflow occurs via an oversized Type 4 function in a PDF document to pdf/pdf_func.c. Уязвимость функции Type 4 файла pdf/pdf_func.c набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с помощью специально созданного PDF-файла [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. A buffer overflow occurs when converting glyphs to Unicode in psi/zbfont.c. Уязвимость файла psi/zbfont.c набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с копированием буфера без проверки размера входных данных в результате некорректной конвертации глифов в Unicode. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.05.0. The BJ10V device has a Print buffer overflow in contrib/japanese/gdev10v.c. Уязвимость функции bj10v_print_page() файла contrib/japanese/gdev10v.c компонента BJ10V Device набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup. The package is vulnerable to a heap buffer over-read when sniffing content via the skip_insight_whitespace() function. Libsoup clients may read one byte out-of-bounds in response to a crafted HTTP response by an HTTP server. Уязвимость функции skip_insignificant_space() компонента soup-content-sniffer.c библиотеки доступа к HTTP серверам LibSoup связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:H', score=7.0) Astra Linux 1.8 libreoffice Improper Verification of Cryptographic Signature vulnerability in LibreOffice allows PDF Signature Spoofing by Improper Validation. In the affected versions of LibreOffice a flaw in the verification code for adbe.pkcs7.sha1 signatures could cause invalid signatures to be accepted as valid This issue affects LibreOffice: from 24.8 before < 24.8.6, from 25.2 before < 25.2.2. Уязвимость пакета офисных программ LibreOffice связана с некорректной проверкой криптографической подписи. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, подделывать цифровые подписи [NistCWE(cwe='CWE-347'), NistCWE(cwe='CWE-347')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=5.5) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 sqlite3 In SQLite 3.49.0 before 3.49.1, certain argument values to sqlite3_db_config (in the C-language API) can cause a denial of service (application crash). An sz*nBig multiplication is not cast to a 64-bit integer, and consequently some memory allocations may be incorrect. Уязвимость компонента SQLITE_DBCONFIG_LOOKASIDE встраиваемой СУБД SQLite связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:L', score=5.6) Для нейтрализации угрозы эксплуатации уязвимости необходимо выполнить одно из следующих требований: - запускать ПО sqlite3 в изолированной программной среде с применением инструмента Firejail; - отказаться от использования ПО sqlite3 в пользу ПО postgresql. Astra Linux 1.8 exim4 A use-after-free in Exim 4.96 through 4.98.1 could allow users (with command-line access) to escalate privileges. Уязвимость почтового сервера Exim связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=8.1) - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска exim4 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 firefox JavaScript code running while transforming a document with the XSLTProcessor could lead to a use-after-free. This vulnerability was fixed in Firefox 137, Firefox ESR 115.22, Firefox ESR 128.9, Thunderbird 137, and Thunderbird 128.9. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально сформированного PDF-документа [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox A crafted URL containing specific Unicode characters could have hidden the true origin of the page, resulting in a potential spoofing attack. This vulnerability was fixed in Firefox 137, Firefox ESR 128.9, Thunderbird 137, and Thunderbird 128.9. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 136, Thunderbird 136, Firefox ESR 128.8, and Thunderbird 128.8. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 137, Firefox ESR 128.9, Thunderbird 137, and Thunderbird 128.9. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox An attacker could read 32 bits of values spilled onto the stack in a JIT compiled function. This vulnerability was fixed in Firefox 137 and Thunderbird 137. Уязвимость веб-браузера Firefox связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально скомпилированной JIT функции [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Leaking of file descriptors from the fork server to web content processes could allow for privilege escalation attacks. This vulnerability was fixed in Firefox 137 and Thunderbird 137. Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird связана с утечкой файлового дескриптора. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [NistCWE(cwe='CWE-403')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N', score=7.4) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 136 and Thunderbird 136. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 137 and Thunderbird 137. Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox By first using the AI chatbot in one tab and later activating it in another tab, the document title of the previous tab would leak into the chat prompt. This vulnerability was fixed in Firefox 137. Уязвимость веб-браузера Firefox связана с раскрытием конфиденциальных персональных данных неавторизованным лицам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-359')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 18.4, iOS 18.4 and iPadOS 18.4, iPadOS 17.7.6, macOS Sequoia 15.4, tvOS 18.4, visionOS 2.4, watchOS 11.4. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 corosync Corosync through 3.1.9, if encryption is disabled or the attacker knows the encryption key, has a stack-based buffer overflow in orf_token_endian_convert in exec/totemsrp.c via a large UDP packet. Уязвимость функции orf_token_endian_convert() системы группового общения для отказоустойчивых кластеров Corosync связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании путем отправки специально сформированных UDP-пакетов [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.0) - Включите шифрование в Corosync: 1. Проверьте, что в конфигурационном файле `/etc/corosync/corosync.conf` параметры `crypto_cipher` и `crypto_hash` не установлены в значение `none` Если нет возможности включить шифрование в Corosync, то выполните следующие требования: - Ограничьте сетевой доступ к портам Corosync - Используйте выделенную сеть для кластера - Включите логирование `/etc/corosync/corosync.conf` - Мониторьте трафик на большие UDP-пакеты с помощью инструментов tcpdump или Wireshark Astra Linux 1.8 chromium Use after free in Site Isolation in Google Chrome prior to 135.0.7049.84 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Site Isolation веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 135.0.7049.52 allowed a remote attacker to perform privilege escalation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-358')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Extensions in Google Chrome prior to 135.0.7049.52 allowed a remote attacker to perform privilege escalation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-1287')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Navigations in Google Chrome prior to 135.0.7049.52 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Navigations веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Custom Tabs in Google Chrome prior to 135.0.7049.52 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Custom Tabs веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 135.0.7049.52 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость реализации функции Autofill веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Downloads in Google Chrome prior to 135.0.7049.52 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Downloads веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 xz-utils XZ Utils provide a general-purpose data-compression library plus command-line tools. In XZ Utils 5.3.3alpha to 5.8.0, the multithreaded .xz decoder in liblzma has a bug where invalid input can at least result in a crash. The effects include heap use after free and writing to an address based on the null pointer plus an offset. Applications and libraries that use the lzma_stream_decoder_mt function are affected. The bug has been fixed in XZ Utils 5.8.1, and the fix has been committed to the v5.4, v5.6, v5.8, and master branches in the xz Git repository. No new release packages will be made from the old stable branches, but a standalone patch is available that applies to all affected releases. Уязвимость функции lzma_stream_decoder_mt() библиотеки liblzma программы сжатия XZ Utils связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-366')] None None Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.5, iOS 18.5 and iPadOS 18.5, macOS Sequoia 15.5, tvOS 18.5, visionOS 2.5, watchOS 11.5. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модуля отображения веб-страниц WebKitGTK и WPE WebKit связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 18.5, iOS 18.5 and iPadOS 18.5, macOS Sequoia 15.5, tvOS 18.5, visionOS 2.5, watchOS 11.5. A malicious website may exfiltrate data cross-origin. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A type confusion issue was addressed with improved state handling. This issue is fixed in Safari 18.5, iOS 18.5 and iPadOS 18.5, iPadOS 17.7.7, macOS Sequoia 15.5, tvOS 18.5, visionOS 2.5, watchOS 11.5. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 18.5, iOS 18.5 and iPadOS 18.5, iPadOS 17.7.7, macOS Sequoia 15.5, tvOS 18.5, visionOS 2.5, watchOS 11.5. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk This issue was addressed with improved memory handling. This issue is fixed in Safari 18.5, iOS 18.5 and iPadOS 18.5, macOS Sequoia 15.5, tvOS 18.5, visionOS 2.5, watchOS 11.5. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:N/A:L', score=4.7) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 giflib Heap-based Buffer Overflow vulnerability in openEuler giflib on Linux. This vulnerability is associated with program files gif2rgb.C. This issue affects giflib: through 5.2.2. Уязвимость библиотеки для работы с GIF файлами GIFLIB связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=7.3) - При использовании ПО giflib выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО giflib в пользу ПО libwebp  - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 yelp A flaw was found in Yelp. The Gnome user help application allows the help document to execute arbitrary scripts. This vulnerability allows malicious users to input help documents, which may exfiltrate user files to an external environment. Уязвимость справочной системы Yelp и набора программ для создания документации Yelp XSL связана с включением функциональности из ненадежной управляющей сферы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-601'), NistCWE(cwe='CWE-601')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N', score=7.4) Для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: - От имени учетной записи администратора с высокой целостностью модифицируем в файле /usr/share/yelp-xsl/xslt/mallard/html/mal2html-svg.xsl основой шаблон обработки тегов svg: ```xml <xsl:template mode="mal2html.svg.mode" match="svg:*"> <xsl:if test="not(svg:script)"> <!-- Добавляем условие для фильтрации тегов svg:script --> .......... </xsl:if> <!-- Добавляем закрывающий тег для условия --> </xsl:template> ``` - Не открывать ненадежные ссылки на пользовательские схемы. - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 binutils A vulnerability has been found in GNU Binutils 2.43/2.44 and classified as problematic. Affected by this vulnerability is the function display_info of the file binutils/bucomm.c of the component objdump. The manipulation leads to memory leak. An attack has to be approached locally. The exploit has been disclosed to the public and may be used. The patch is named ba6ad3a18cb26b79e0e3b84c39f707535bbc344d. It is recommended to apply a patch to fix this issue. Уязвимость функции display_info() компонента objdump программного средства разработки GNU Binutils связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - Ограничить доступ к использованию команды objdump - При использовании команды objdump выполнять обработку файлов, полученных только из доверенных источников - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup. The SoupWebsocketConnection may accept a large WebSocket message, which may cause libsoup to allocate memory and lead to a denial of service (DoS). Уязвимость реализации протокола WebSocket библиотеки доступа к HTTP серверам LibSoup связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup. The libsoup append_param_quoted() function may contain an overflow bug resulting in a buffer under-read. Уязвимость функции append_param_quoted() компонента soup-headers.c библиотеки доступа к HTTP серверам LibSoup связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-127')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup. A vulnerability in the sniff_unknown() function may lead to heap buffer over-read. Уязвимость функции sniff_unknown() библиотеки libsoup графического интерфейса GNOME связана с недостаточной проверкой исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально сформированного POST-запроса [NistCWE(cwe='CWE-126')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L', score=6.5) Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup. A vulnerability in sniff_feed_or_html() and skip_insignificant_space() functions may lead to a heap buffer over-read. Уязвимость функций sniff_feed_or_html() и skip_insignificant_space() библиотеки libsoup графического интерфейса GNOME связана с отсутствием проверки длины буфера и чтением за границами памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально сформированного POST-запроса [NistCWE(cwe='CWE-126')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L', score=6.5) Astra Linux 1.8 poppler A floating-point exception in the PSStack::roll function of Poppler before 25.04.0 can cause an application to crash when handling malformed inputs associated with INT_MIN. Уязвимость библиотеки для отображения PDF-файлов Poppler связана с целочисленным переполнением в функции PSStack::roll(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) poppler: - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular poppler-22: - При использовании ПО poppler-22 выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 1.8 poppler Poppler before 25.04.0 allows crafted input files to trigger out-of-bounds reads in the JBIG2Bitmap::combine function in JBIG2Stream.cc because of a misplaced isOk check. Уязвимость библиотеки для отображения PDF-файлов Poppler связана с чтением за границами буфера памяти в функции JBIG2Bitmap::combine(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) poppler: - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular poppler-22: - При использовании ПО poppler-22 выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 1.8 libxml2 In libxml2 before 2.13.8 and 2.14.x before 2.14.2, out-of-bounds memory access can occur in the Python API (Python bindings) because of an incorrect return value. This occurs in xmlPythonFileRead and xmlPythonFileReadRaw because of a difference between bytes and characters. Уязвимость компонента Python API библиотеки libxml2 связана с некорректной проверкой возвращаемого значения метода или функции. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-393'), NistCWE(cwe='CWE-252')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:L', score=5.6) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libxml2 In libxml2 before 2.13.8 and 2.14.x before 2.14.2, xmlSchemaIDCFillNodeTables in xmlschemas.c has a heap-based buffer under-read. To exploit this, a crafted XML document must be validated against an XML schema with certain identity constraints, or a crafted XML schema must be used. Уязвимость функции xmlSchemaIDCFillNodeTables() файла xmlschemas.c библиотеки libxml2 связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью специально созданного XML файла [NistCWE(cwe='CWE-1284'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 sudo Sudo before 1.9.17p1, when used with a sudoers file that specifies a host that is neither the current host nor ALL, allows listed users to execute commands on unintended machines. Уязвимость программы системного администрирования Sudo связана с недостатками механизма авторизации. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:N/I:L/A:N', score=2.8) - Удалите из конфигурационного файла /etc/sudoers правила, использующие директивы Host или Host_Alias - Используя полномочия администратора системы с высоким уровнем целостности, с помощью файла конфигурации /etc/sudoers минимизируйте необходимые разрешения для пользователей, например, определите конкретные команды, которые пользователь может выполнять; - По возможности, избегайте использования NOPASSWD, то есть требуйте пароли для выполнения команд sudo для каждой сессии. - Для того, чтобы пароль не запоминался и запрашивался для каждой команды в файл /etc/sudoers добавить строчку: ``` Defaults timestamp_timeout=0 ``` - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 haproxy HAProxy 2.2 through 3.1.6, in certain uncommon configurations, has a sample_conv_regsub heap-based buffer overflow because of mishandling of the replacement of multiple short patterns with a longer one. Уязвимость компонента sample.c серверного программного обеспечения HAProxy связана с сравнением с использованием неверных факторов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1025')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:N/A:H', score=6.8) haproxy: - Обеспечить возможность запуска haproxy только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 openssh In sshd in OpenSSH before 10.0, the DisableForwarding directive does not adhere to the documentation stating that it disables X11 and agent forwarding. Уязвимость службы sshd средства криптографической защиты OpenSSH связана с несоответствием заявленной в документации функциональности директивы DisableForwarding. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-440')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N', score=4.3) Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора, откройте конфигурационные файлы SSH (/etc/ssh/ssh_config и ~/.ssh/config). Явно отключите X11 и переадресацию агента в конфигурации SSH: ``` X11Forwarding no AllowAgentForwarding no ``` Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup, where the soup_headers_parse_request() function may be vulnerable to an out-of-bound read. This flaw allows a malicious user to use a specially crafted HTTP request to crash the HTTP server. Уязвимость функции soup_headers_parse_request() компонента soup-headers.c библиотеки доступа к HTTP серверам LibSoup связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup. The implementation of HTTP range requests is vulnerable to a resource consumption attack. This flaw allows a malicious client to request the same range many times in a single HTTP request, causing the server to use large amounts of memory. This does not allow for a full denial of service. Уязвимость библиотеки libsoup графического интерфейса GNOME связана с асимметричным потреблением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1050')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) Astra Linux 1.8 libsoup3 A flaw was found in libsoup. The HTTP/2 server in libsoup may not fully validate the values of pseudo-headers :scheme, :authority, and :path, which may allow a user to cause a denial of service (DoS). Уязвимость функции on_frame_recv_callback() (soup-server-message-io-http1.c) библиотеки libsoup графического интерфейса GNOME связана с неправильной интерпретацией входных данных при обработке псевдозаголовков :scheme, :authority, и :path. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-115')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) libsoup3: - Обеспечить возможность использования библиотеки llibsoup3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup. SoupContentSniffer may be vulnerable to a NULL pointer dereference in the sniff_mp4 function. The HTTP server may cause the libsoup client to crash. Уязвимость функции sniff_mp4(soup-content-sniffer.c.) библиотеки libsoup графического интерфейса GNOME связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально сформированного POST-запроса [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup, where soup_auth_digest_authenticate() is vulnerable to a NULL pointer dereference. This issue may cause the libsoup client to crash. Уязвимость функции soup_auth_digest_authenticate() библиотеки libsoup графического интерфейса GNOME связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально сформированного POST-запроса [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 libsoup3, libsoup2.4 A use-after-free type vulnerability was found in libsoup, in the soup_message_headers_get_content_disposition() function. This flaw allows a malicious HTTP client to cause memory corruption in the libsoup server. Уязвимость функции soup_message_headers_get_content_disposition() компонента soup-message-headers.c библиотеки доступа к HTTP серверам LibSoup связана с освобождением ранее не выделенной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-590')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.0) Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup, where SoupAuthDigest is vulnerable to a NULL pointer dereference. The HTTP server may cause the libsoup client to crash. Уязвимость механизма HTTP дайджест-аутентификации библиотеки libsoup графического интерфейса GNOME связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально сформированного POST-запроса [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup, where the soup_message_headers_get_content_disposition() function is vulnerable to a NULL pointer dereference. This flaw allows a malicious HTTP peer to crash a libsoup client or server that uses this function. Уязвимость функции soup_message_headers_get_content_disposition() компонента soup-message-headers.c библиотеки доступа к HTTP серверам LibSoup связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup, where the soup_multipart_new_from_message() function is vulnerable to an out-of-bounds read. This flaw allows a malicious HTTP client to induce the libsoup server to read out of bounds. Уязвимость функции soup_multipart_new_from_message() (soup-multipart.c) библиотеки libsoup графического интерфейса GNOME связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H', score=7.4) Astra Linux 1.8 glib2.0 A flaw was found in GLib. An integer overflow and buffer under-read occur when parsing a long invalid ISO 8601 timestamp with the g_date_time_new_from_iso8601() function. Уязвимость функции g_date_time_new_from_iso8601() компонента gdatetime.c набора библиотек GLib связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=3.7) - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 1.8 firefox A race condition existed in nsHttpTransaction that could have been exploited to cause memory corruption, potentially leading to an exploitable condition. This vulnerability was fixed in Firefox 137.0.2. Уязвимость компонента nsHttpTransaction веб-браузера Firefox связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in USB in Google Chrome prior to 135.0.7049.95 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость интерфейса для подключения периферийных устройств USB браузеров Google Chrome и Microsoft Edge связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: ignore xattrs past end Once inside 'ext4_xattr_inode_dec_ref_all' we should ignore xattrs entries past the 'end' entry. This fixes the following KASAN reported issue: ================================================================== BUG: KASAN: slab-use-after-free in ext4_xattr_inode_dec_ref_all+0xb8c/0xe90 Read of size 4 at addr ffff888012c120c4 by task repro/2065 CPU: 1 UID: 0 PID: 2065 Comm: repro Not tainted 6.13.0-rc2+ #11 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x1fd/0x300 ? tcp_gro_dev_warn+0x260/0x260 ? _printk+0xc0/0x100 ? read_lock_is_recursive+0x10/0x10 ? irq_work_queue+0x72/0xf0 ? __virt_addr_valid+0x17b/0x4b0 print_address_description+0x78/0x390 print_report+0x107/0x1f0 ? __virt_addr_valid+0x17b/0x4b0 ? __virt_addr_valid+0x3ff/0x4b0 ? __phys_addr+0xb5/0x160 ? ext4_xattr_inode_dec_ref_all+0xb8c/0xe90 kasan_report+0xcc/0x100 ? ext4_xattr_inode_dec_ref_all+0xb8c/0xe90 ext4_xattr_inode_dec_ref_all+0xb8c/0xe90 ? ext4_xattr_delete_inode+0xd30/0xd30 ? __ext4_journal_ensure_credits+0x5f0/0x5f0 ? __ext4_journal_ensure_credits+0x2b/0x5f0 ? inode_update_timestamps+0x410/0x410 ext4_xattr_delete_inode+0xb64/0xd30 ? ext4_truncate+0xb70/0xdc0 ? ext4_expand_extra_isize_ea+0x1d20/0x1d20 ? __ext4_mark_inode_dirty+0x670/0x670 ? ext4_journal_check_start+0x16f/0x240 ? ext4_inode_is_fast_symlink+0x2f2/0x3a0 ext4_evict_inode+0xc8c/0xff0 ? ext4_inode_is_fast_symlink+0x3a0/0x3a0 ? do_raw_spin_unlock+0x53/0x8a0 ? ext4_inode_is_fast_symlink+0x3a0/0x3a0 evict+0x4ac/0x950 ? proc_nr_inodes+0x310/0x310 ? trace_ext4_drop_inode+0xa2/0x220 ? _raw_spin_unlock+0x1a/0x30 ? iput+0x4cb/0x7e0 do_unlinkat+0x495/0x7c0 ? try_break_deleg+0x120/0x120 ? 0xffffffff81000000 ? __check_object_size+0x15a/0x210 ? strncpy_from_user+0x13e/0x250 ? getname_flags+0x1dc/0x530 __x64_sys_unlinkat+0xc8/0xf0 do_syscall_64+0x65/0x110 entry_SYSCALL_64_after_hwframe+0x67/0x6f RIP: 0033:0x434ffd Code: 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 00 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 8 RSP: 002b:00007ffc50fa7b28 EFLAGS: 00000246 ORIG_RAX: 0000000000000107 RAX: ffffffffffffffda RBX: 00007ffc50fa7e18 RCX: 0000000000434ffd RDX: 0000000000000000 RSI: 0000000020000240 RDI: 0000000000000005 RBP: 00007ffc50fa7be0 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000001 R13: 00007ffc50fa7e08 R14: 00000000004bbf30 R15: 0000000000000001 </TASK> The buggy address belongs to the object at ffff888012c12000 which belongs to the cache filp of size 360 The buggy address is located 196 bytes inside of freed 360-byte region [ffff888012c12000, ffff888012c12168) The buggy address belongs to the physical page: page: refcount:1 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x12c12 head: order:1 mapcount:0 entire_mapcount:0 nr_pages_mapped:0 pincount:0 flags: 0x40(head|node=0|zone=0) page_type: f5(slab) raw: 0000000000000040 ffff888000ad7640 ffffea0000497a00 dead000000000004 raw: 0000000000000000 0000000000100010 00000001f5000000 0000000000000000 head: 0000000000000040 ffff888000ad7640 ffffea0000497a00 dead000000000004 head: 0000000000000000 0000000000100010 00000001f5000000 0000000000000000 head: 0000000000000001 ffffea00004b0481 ffffffffffffffff 0000000000000000 head: 0000000000000002 0000000000000000 00000000ffffffff 0000000000000000 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff888012c11f80: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ffff888012c12000: fa fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb > ffff888012c12080: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ^ ffff888012c12100: fb fb fb fb fb fb fb fb fb fb fb fb fb fc fc fc ffff888012c12180: fc fc fc fc fc fc fc fc fc ---truncated--- Уязвимость функции ext4_xattr_inode_dec_ref_all() компонента fs/ext4/xattr.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid out-of-bounds access in f2fs_truncate_inode_blocks() syzbot reports an UBSAN issue as below: ------------[ cut here ]------------ UBSAN: array-index-out-of-bounds in fs/f2fs/node.h:381:10 index 18446744073709550692 is out of range for type '__le32[5]' (aka 'unsigned int[5]') CPU: 0 UID: 0 PID: 5318 Comm: syz.0.0 Not tainted 6.14.0-rc3-syzkaller-00060-g6537cfb395f3 #0 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 ubsan_epilogue lib/ubsan.c:231 [inline] __ubsan_handle_out_of_bounds+0x121/0x150 lib/ubsan.c:429 get_nid fs/f2fs/node.h:381 [inline] f2fs_truncate_inode_blocks+0xa5e/0xf60 fs/f2fs/node.c:1181 f2fs_do_truncate_blocks+0x782/0x1030 fs/f2fs/file.c:808 f2fs_truncate_blocks+0x10d/0x300 fs/f2fs/file.c:836 f2fs_truncate+0x417/0x720 fs/f2fs/file.c:886 f2fs_file_write_iter+0x1bdb/0x2550 fs/f2fs/file.c:5093 aio_write+0x56b/0x7c0 fs/aio.c:1633 io_submit_one+0x8a7/0x18a0 fs/aio.c:2052 __do_sys_io_submit fs/aio.c:2111 [inline] __se_sys_io_submit+0x171/0x2e0 fs/aio.c:2081 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f238798cde9 index 18446744073709550692 (decimal, unsigned long long) = 0xfffffffffffffc64 (hexadecimal, unsigned long long) = -924 (decimal, long long) In f2fs_truncate_inode_blocks(), UBSAN detects that get_nid() tries to access .i_nid[-924], it means both offset[0] and level should zero. The possible case should be in f2fs_do_truncate_blocks(), we try to truncate inode size to zero, however, dn.ofs_in_node is zero and dn.node_page is not an inode page, so it fails to truncate inode page, and then pass zeroed free_from to f2fs_truncate_inode_blocks(), result in this issue. if (dn.ofs_in_node || IS_INODE(dn.node_page)) { f2fs_truncate_data_blocks_range(&dn, count); free_from += count; } I guess the reason why dn.node_page is not an inode page could be: there are multiple nat entries share the same node block address, once the node block address was reused, f2fs_get_node_page() may load a non-inode block. Let's add a sanity check for such condition to avoid out-of-bounds access issue. Уязвимость компонента f2fs ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jfs: add sanity check for agwidth in dbMount The width in dmapctl of the AG is zero, it trigger a divide error when calculating the control page level in dbAllocAG. To avoid this issue, add a check for agwidth in dbAllocAG. Уязвимость компонента jfs ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jfs: Prevent copying of nlink with value 0 from disk inode syzbot report a deadlock in diFree. [1] When calling "ioctl$LOOP_SET_STATUS64", the offset value passed in is 4, which does not match the mounted loop device, causing the mapping of the mounted loop device to be invalidated. When creating the directory and creating the inode of iag in diReadSpecial(), read the page of fixed disk inode (AIT) in raw mode in read_metapage(), the metapage data it returns is corrupted, which causes the nlink value of 0 to be assigned to the iag inode when executing copy_from_dinode(), which ultimately causes a deadlock when entering diFree(). To avoid this, first check the nlink value of dinode before setting iag inode. [1] WARNING: possible recursive locking detected 6.12.0-rc7-syzkaller-00212-g4a5df3796467 #0 Not tainted -------------------------------------------- syz-executor301/5309 is trying to acquire lock: ffff888044548920 (&(imap->im_aglock[index])){+.+.}-{3:3}, at: diFree+0x37c/0x2fb0 fs/jfs/jfs_imap.c:889 but task is already holding lock: ffff888044548920 (&(imap->im_aglock[index])){+.+.}-{3:3}, at: diAlloc+0x1b6/0x1630 other info that might help us debug this: Possible unsafe locking scenario: CPU0 ---- lock(&(imap->im_aglock[index])); lock(&(imap->im_aglock[index])); *** DEADLOCK *** May be due to missing lock nesting notation 5 locks held by syz-executor301/5309: #0: ffff8880422a4420 (sb_writers#9){.+.+}-{0:0}, at: mnt_want_write+0x3f/0x90 fs/namespace.c:515 #1: ffff88804755b390 (&type->i_mutex_dir_key#6/1){+.+.}-{3:3}, at: inode_lock_nested include/linux/fs.h:850 [inline] #1: ffff88804755b390 (&type->i_mutex_dir_key#6/1){+.+.}-{3:3}, at: filename_create+0x260/0x540 fs/namei.c:4026 #2: ffff888044548920 (&(imap->im_aglock[index])){+.+.}-{3:3}, at: diAlloc+0x1b6/0x1630 #3: ffff888044548890 (&imap->im_freelock){+.+.}-{3:3}, at: diNewIAG fs/jfs/jfs_imap.c:2460 [inline] #3: ffff888044548890 (&imap->im_freelock){+.+.}-{3:3}, at: diAllocExt fs/jfs/jfs_imap.c:1905 [inline] #3: ffff888044548890 (&imap->im_freelock){+.+.}-{3:3}, at: diAllocAG+0x4b7/0x1e50 fs/jfs/jfs_imap.c:1669 #4: ffff88804755a618 (&jfs_ip->rdwrlock/1){++++}-{3:3}, at: diNewIAG fs/jfs/jfs_imap.c:2477 [inline] #4: ffff88804755a618 (&jfs_ip->rdwrlock/1){++++}-{3:3}, at: diAllocExt fs/jfs/jfs_imap.c:1905 [inline] #4: ffff88804755a618 (&jfs_ip->rdwrlock/1){++++}-{3:3}, at: diAllocAG+0x869/0x1e50 fs/jfs/jfs_imap.c:1669 stack backtrace: CPU: 0 UID: 0 PID: 5309 Comm: syz-executor301 Not tainted 6.12.0-rc7-syzkaller-00212-g4a5df3796467 #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_deadlock_bug+0x483/0x620 kernel/locking/lockdep.c:3037 check_deadlock kernel/locking/lockdep.c:3089 [inline] validate_chain+0x15e2/0x5920 kernel/locking/lockdep.c:3891 __lock_acquire+0x1384/0x2050 kernel/locking/lockdep.c:5202 lock_acquire+0x1ed/0x550 kernel/locking/lockdep.c:5825 __mutex_lock_common kernel/locking/mutex.c:608 [inline] __mutex_lock+0x136/0xd70 kernel/locking/mutex.c:752 diFree+0x37c/0x2fb0 fs/jfs/jfs_imap.c:889 jfs_evict_inode+0x32d/0x440 fs/jfs/inode.c:156 evict+0x4e8/0x9b0 fs/inode.c:725 diFreeSpecial fs/jfs/jfs_imap.c:552 [inline] duplicateIXtree+0x3c6/0x550 fs/jfs/jfs_imap.c:3022 diNewIAG fs/jfs/jfs_imap.c:2597 [inline] diAllocExt fs/jfs/jfs_imap.c:1905 [inline] diAllocAG+0x17dc/0x1e50 fs/jfs/jfs_imap.c:1669 diAlloc+0x1d2/0x1630 fs/jfs/jfs_imap.c:1590 ialloc+0x8f/0x900 fs/jfs/jfs_inode.c:56 jfs_mkdir+0x1c5/0xba0 fs/jfs/namei.c:225 vfs_mkdir+0x2f9/0x4f0 fs/namei.c:4257 do_mkdirat+0x264/0x3a0 fs/namei.c:4280 __do_sys_mkdirat fs/namei.c:4295 [inline] __se_sys_mkdirat fs/namei.c:4293 [inline] __x64_sys_mkdirat+0x87/0xa0 fs/namei.c:4293 do_syscall_x64 arch/x86/en ---truncated--- Уязвимость ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jfs: Fix uninit-value access of imap allocated in the diMount() function syzbot reports that hex_dump_to_buffer is using uninit-value: ===================================================== BUG: KMSAN: uninit-value in hex_dump_to_buffer+0x888/0x1100 lib/hexdump.c:171 hex_dump_to_buffer+0x888/0x1100 lib/hexdump.c:171 print_hex_dump+0x13d/0x3e0 lib/hexdump.c:276 diFree+0x5ba/0x4350 fs/jfs/jfs_imap.c:876 jfs_evict_inode+0x510/0x550 fs/jfs/inode.c:156 evict+0x723/0xd10 fs/inode.c:796 iput_final fs/inode.c:1946 [inline] iput+0x97b/0xdb0 fs/inode.c:1972 txUpdateMap+0xf3e/0x1150 fs/jfs/jfs_txnmgr.c:2367 txLazyCommit fs/jfs/jfs_txnmgr.c:2664 [inline] jfs_lazycommit+0x627/0x11d0 fs/jfs/jfs_txnmgr.c:2733 kthread+0x6b9/0xef0 kernel/kthread.c:464 ret_from_fork+0x6d/0x90 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 Uninit was created at: slab_post_alloc_hook mm/slub.c:4121 [inline] slab_alloc_node mm/slub.c:4164 [inline] __kmalloc_cache_noprof+0x8e3/0xdf0 mm/slub.c:4320 kmalloc_noprof include/linux/slab.h:901 [inline] diMount+0x61/0x7f0 fs/jfs/jfs_imap.c:105 jfs_mount+0xa8e/0x11d0 fs/jfs/jfs_mount.c:176 jfs_fill_super+0xa47/0x17c0 fs/jfs/super.c:523 get_tree_bdev_flags+0x6ec/0x910 fs/super.c:1636 get_tree_bdev+0x37/0x50 fs/super.c:1659 jfs_get_tree+0x34/0x40 fs/jfs/super.c:635 vfs_get_tree+0xb1/0x5a0 fs/super.c:1814 do_new_mount+0x71f/0x15e0 fs/namespace.c:3560 path_mount+0x742/0x1f10 fs/namespace.c:3887 do_mount fs/namespace.c:3900 [inline] __do_sys_mount fs/namespace.c:4111 [inline] __se_sys_mount+0x71f/0x800 fs/namespace.c:4088 __x64_sys_mount+0xe4/0x150 fs/namespace.c:4088 x64_sys_call+0x39bf/0x3c30 arch/x86/include/generated/asm/syscalls_64.h:166 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f ===================================================== The reason is that imap is not properly initialized after memory allocation. It will cause the snprintf() function to write uninitialized data into linebuf within hex_dump_to_buffer(). Fix this by using kzalloc instead of kmalloc to clear its content at the beginning in diMount(). Уязвимость компонента jfs ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: fix memory leak in ath12k_pci_remove() Kmemleak reported this error: unreferenced object 0xffff1c165cec3060 (size 32): comm "insmod", pid 560, jiffies 4296964570 (age 235.596s) backtrace: [<000000005434db68>] __kmem_cache_alloc_node+0x1f4/0x2c0 [<000000001203b155>] kmalloc_trace+0x40/0x88 [<0000000028adc9c8>] _request_firmware+0xb8/0x608 [<00000000cad1aef7>] firmware_request_nowarn+0x50/0x80 [<000000005011a682>] local_pci_probe+0x48/0xd0 [<00000000077cd295>] pci_device_probe+0xb4/0x200 [<0000000087184c94>] really_probe+0x150/0x2c0 The firmware memory was allocated in ath12k_pci_probe(), but not freed in ath12k_pci_remove() in case ATH12K_FLAG_QMI_FAIL bit is set. So call ath12k_fw_unmap() to free the memory. Tested-on: WCN7850 hw2.0 PCI WLAN.HMT.2.0-02280-QCAHMTSWPL_V1.0_V2.0_SILICONZ-1 Уязвимость компонента ath12k ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PM: hibernate: Avoid deadlock in hibernate_compressor_param_set() syzbot reported a deadlock in lock_system_sleep() (see below). The write operation to "/sys/module/hibernate/parameters/compressor" conflicts with the registration of ieee80211 device, resulting in a deadlock when attempting to acquire system_transition_mutex under param_lock. To avoid this deadlock, change hibernate_compressor_param_set() to use mutex_trylock() for attempting to acquire system_transition_mutex and return -EBUSY when it fails. Task flags need not be saved or adjusted before calling mutex_trylock(&system_transition_mutex) because the caller is not going to end up waiting for this mutex and if it runs concurrently with system suspend in progress, it will be frozen properly when it returns to user space. syzbot report: syz-executor895/5833 is trying to acquire lock: ffffffff8e0828c8 (system_transition_mutex){+.+.}-{4:4}, at: lock_system_sleep+0x87/0xa0 kernel/power/main.c:56 but task is already holding lock: ffffffff8e07dc68 (param_lock){+.+.}-{4:4}, at: kernel_param_lock kernel/params.c:607 [inline] ffffffff8e07dc68 (param_lock){+.+.}-{4:4}, at: param_attr_store+0xe6/0x300 kernel/params.c:586 which lock already depends on the new lock. the existing dependency chain (in reverse order) is: -> #3 (param_lock){+.+.}-{4:4}: __mutex_lock_common kernel/locking/mutex.c:585 [inline] __mutex_lock+0x19b/0xb10 kernel/locking/mutex.c:730 ieee80211_rate_control_ops_get net/mac80211/rate.c:220 [inline] rate_control_alloc net/mac80211/rate.c:266 [inline] ieee80211_init_rate_ctrl_alg+0x18d/0x6b0 net/mac80211/rate.c:1015 ieee80211_register_hw+0x20cd/0x4060 net/mac80211/main.c:1531 mac80211_hwsim_new_radio+0x304e/0x54e0 drivers/net/wireless/virtual/mac80211_hwsim.c:5558 init_mac80211_hwsim+0x432/0x8c0 drivers/net/wireless/virtual/mac80211_hwsim.c:6910 do_one_initcall+0x128/0x700 init/main.c:1257 do_initcall_level init/main.c:1319 [inline] do_initcalls init/main.c:1335 [inline] do_basic_setup init/main.c:1354 [inline] kernel_init_freeable+0x5c7/0x900 init/main.c:1568 kernel_init+0x1c/0x2b0 init/main.c:1457 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 -> #2 (rtnl_mutex){+.+.}-{4:4}: __mutex_lock_common kernel/locking/mutex.c:585 [inline] __mutex_lock+0x19b/0xb10 kernel/locking/mutex.c:730 wg_pm_notification drivers/net/wireguard/device.c:80 [inline] wg_pm_notification+0x49/0x180 drivers/net/wireguard/device.c:64 notifier_call_chain+0xb7/0x410 kernel/notifier.c:85 notifier_call_chain_robust kernel/notifier.c:120 [inline] blocking_notifier_call_chain_robust kernel/notifier.c:345 [inline] blocking_notifier_call_chain_robust+0xc9/0x170 kernel/notifier.c:333 pm_notifier_call_chain_robust+0x27/0x60 kernel/power/main.c:102 snapshot_open+0x189/0x2b0 kernel/power/user.c:77 misc_open+0x35a/0x420 drivers/char/misc.c:179 chrdev_open+0x237/0x6a0 fs/char_dev.c:414 do_dentry_open+0x735/0x1c40 fs/open.c:956 vfs_open+0x82/0x3f0 fs/open.c:1086 do_open fs/namei.c:3830 [inline] path_openat+0x1e88/0x2d80 fs/namei.c:3989 do_filp_open+0x20c/0x470 fs/namei.c:4016 do_sys_openat2+0x17a/0x1e0 fs/open.c:1428 do_sys_open fs/open.c:1443 [inline] __do_sys_openat fs/open.c:1459 [inline] __se_sys_openat fs/open.c:1454 [inline] __x64_sys_openat+0x175/0x210 fs/open.c:1454 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f -> #1 ((pm_chain_head).rwsem){++++}-{4:4}: down_read+0x9a/0x330 kernel/locking/rwsem.c:1524 blocking_notifier_call_chain_robust kerne ---truncated--- [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf: Fix hang while freeing sigtrap event Perf can hang while freeing a sigtrap event if a related deferred signal hadn't managed to be sent before the file got closed: perf_event_overflow() task_work_add(perf_pending_task) fput() task_work_add(____fput()) task_work_run() ____fput() perf_release() perf_event_release_kernel() _free_event() perf_pending_task_sync() task_work_cancel() -> FAILED rcuwait_wait_event() Once task_work_run() is running, the list of pending callbacks is removed from the task_struct and from this point on task_work_cancel() can't remove any pending and not yet started work items, hence the task_work_cancel() failure and the hang on rcuwait_wait_event(). Task work could be changed to remove one work at a time, so a work running on the current task can always cancel a pending one, however the wait / wake design is still subject to inverted dependencies when remote targets are involved, as pictured by Oleg: T1 T2 fd = perf_event_open(pid => T2->pid); fd = perf_event_open(pid => T1->pid); close(fd) close(fd) <IRQ> <IRQ> perf_event_overflow() perf_event_overflow() task_work_add(perf_pending_task) task_work_add(perf_pending_task) </IRQ> </IRQ> fput() fput() task_work_add(____fput()) task_work_add(____fput()) task_work_run() task_work_run() ____fput() ____fput() perf_release() perf_release() perf_event_release_kernel() perf_event_release_kernel() _free_event() _free_event() perf_pending_task_sync() perf_pending_task_sync() rcuwait_wait_event() rcuwait_wait_event() Therefore the only option left is to acquire the event reference count upon queueing the perf task work and release it from the task work, just like it was done before 3a5465418f5f ("perf: Fix event leak upon exec and file release") but without the leaks it fixed. Some adjustments are necessary to make it work: * A child event might dereference its parent upon freeing. Care must be taken to release the parent last. * Some places assuming the event doesn't have any reference held and therefore can be freed right away must instead put the reference and let the reference counting to its job. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/mediatek: Fix NULL pointer deference in mtk_iommu_device_group Currently, mtk_iommu calls during probe iommu_device_register before the hw_list from driver data is initialized. Since iommu probing issue fix, it leads to NULL pointer dereference in mtk_iommu_device_group when hw_list is accessed with list_first_entry (not null safe). So, change the call order to ensure iommu_device_register is called after the driver data are initialized. Уязвимость компонента iommu/mediatek ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ppp: Add bound checking for skb data on ppp_sync_txmung Ensure we have enough data in linear buffer from skb before accessing initial bytes. This prevents potential out-of-bounds accesses when processing short packets. When ppp_sync_txmung receives an incoming package with an empty payload: (remote) gef➤ p *(struct pppoe_hdr *) (skb->head + skb->network_header) $18 = { type = 0x1, ver = 0x1, code = 0x0, sid = 0x2, length = 0x0, tag = 0xffff8880371cdb96 } from the skb struct (trimmed) tail = 0x16, end = 0x140, head = 0xffff88803346f400 "4", data = 0xffff88803346f416 ":\377", truesize = 0x380, len = 0x0, data_len = 0x0, mac_len = 0xe, hdr_len = 0x0, it is not safe to access data[2]. [pabeni@redhat.com: fixed subj typo] Уязвимость компонента drivers/net/ppp/ppp_synctty.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=8.2) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix UAF in decryption with multichannel After commit f7025d861694 ("smb: client: allocate crypto only for primary server") and commit b0abcd65ec54 ("smb: client: fix UAF in async decryption"), the channels started reusing AEAD TFM from primary channel to perform synchronous decryption, but that can't done as there could be multiple cifsd threads (one per channel) simultaneously accessing it to perform decryption. This fixes the following KASAN splat when running fstest generic/249 with 'vers=3.1.1,multichannel,max_channels=4,seal' against Windows Server 2022: BUG: KASAN: slab-use-after-free in gf128mul_4k_lle+0xba/0x110 Read of size 8 at addr ffff8881046c18a0 by task cifsd/986 CPU: 3 UID: 0 PID: 986 Comm: cifsd Not tainted 6.15.0-rc1 #1 PREEMPT(voluntary) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-3.fc41 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x5d/0x80 print_report+0x156/0x528 ? gf128mul_4k_lle+0xba/0x110 ? __virt_addr_valid+0x145/0x300 ? __phys_addr+0x46/0x90 ? gf128mul_4k_lle+0xba/0x110 kasan_report+0xdf/0x1a0 ? gf128mul_4k_lle+0xba/0x110 gf128mul_4k_lle+0xba/0x110 ghash_update+0x189/0x210 shash_ahash_update+0x295/0x370 ? __pfx_shash_ahash_update+0x10/0x10 ? __pfx_shash_ahash_update+0x10/0x10 ? __pfx_extract_iter_to_sg+0x10/0x10 ? ___kmalloc_large_node+0x10e/0x180 ? __asan_memset+0x23/0x50 crypto_ahash_update+0x3c/0xc0 gcm_hash_assoc_remain_continue+0x93/0xc0 crypt_message+0xe09/0xec0 [cifs] ? __pfx_crypt_message+0x10/0x10 [cifs] ? _raw_spin_unlock+0x23/0x40 ? __pfx_cifs_readv_from_socket+0x10/0x10 [cifs] decrypt_raw_data+0x229/0x380 [cifs] ? __pfx_decrypt_raw_data+0x10/0x10 [cifs] ? __pfx_cifs_read_iter_from_socket+0x10/0x10 [cifs] smb3_receive_transform+0x837/0xc80 [cifs] ? __pfx_smb3_receive_transform+0x10/0x10 [cifs] ? __pfx___might_resched+0x10/0x10 ? __pfx_smb3_is_transform_hdr+0x10/0x10 [cifs] cifs_demultiplex_thread+0x692/0x1570 [cifs] ? __pfx_cifs_demultiplex_thread+0x10/0x10 [cifs] ? rcu_is_watching+0x20/0x50 ? rcu_lockdep_current_cpu_online+0x62/0xb0 ? find_held_lock+0x32/0x90 ? kvm_sched_clock_read+0x11/0x20 ? local_clock_noinstr+0xd/0xd0 ? trace_irq_enable.constprop.0+0xa8/0xe0 ? __pfx_cifs_demultiplex_thread+0x10/0x10 [cifs] kthread+0x1fe/0x380 ? kthread+0x10f/0x380 ? __pfx_kthread+0x10/0x10 ? local_clock_noinstr+0xd/0xd0 ? ret_from_fork+0x1b/0x60 ? local_clock+0x15/0x30 ? lock_release+0x29b/0x390 ? rcu_is_watching+0x20/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x31/0x60 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/i915/huc: Fix fence not released on early probe errors HuC delayed loading fence, introduced with commit 27536e03271da ("drm/i915/huc: track delayed HuC load with a fence"), is registered with object tracker early on driver probe but unregistered only from driver remove, which is not called on early probe errors. Since its memory is allocated under devres, then released anyway, it may happen to be allocated again to the fence and reused on future driver probes, resulting in kernel warnings that taint the kernel: <4> [309.731371] ------------[ cut here ]------------ <3> [309.731373] ODEBUG: init destroyed (active state 0) object: ffff88813d7dd2e0 object type: i915_sw_fence hint: sw_fence_dummy_notify+0x0/0x20 [i915] <4> [309.731575] WARNING: CPU: 2 PID: 3161 at lib/debugobjects.c:612 debug_print_object+0x93/0xf0 ... <4> [309.731693] CPU: 2 UID: 0 PID: 3161 Comm: i915_module_loa Tainted: G U 6.14.0-CI_DRM_16362-gf0fd77956987+ #1 ... <4> [309.731700] RIP: 0010:debug_print_object+0x93/0xf0 ... <4> [309.731728] Call Trace: <4> [309.731730] <TASK> ... <4> [309.731949] __debug_object_init+0x17b/0x1c0 <4> [309.731957] debug_object_init+0x34/0x50 <4> [309.732126] __i915_sw_fence_init+0x34/0x60 [i915] <4> [309.732256] intel_huc_init_early+0x4b/0x1d0 [i915] <4> [309.732468] intel_uc_init_early+0x61/0x680 [i915] <4> [309.732667] intel_gt_common_init_early+0x105/0x130 [i915] <4> [309.732804] intel_root_gt_init_early+0x63/0x80 [i915] <4> [309.732938] i915_driver_probe+0x1fa/0xeb0 [i915] <4> [309.733075] i915_pci_probe+0xe6/0x220 [i915] <4> [309.733198] local_pci_probe+0x44/0xb0 <4> [309.733203] pci_device_probe+0xf4/0x270 <4> [309.733209] really_probe+0xee/0x3c0 <4> [309.733215] __driver_probe_device+0x8c/0x180 <4> [309.733219] driver_probe_device+0x24/0xd0 <4> [309.733223] __driver_attach+0x10f/0x220 <4> [309.733230] bus_for_each_dev+0x7d/0xe0 <4> [309.733236] driver_attach+0x1e/0x30 <4> [309.733239] bus_add_driver+0x151/0x290 <4> [309.733244] driver_register+0x5e/0x130 <4> [309.733247] __pci_register_driver+0x7d/0x90 <4> [309.733251] i915_pci_register_driver+0x23/0x30 [i915] <4> [309.733413] i915_init+0x34/0x120 [i915] <4> [309.733655] do_one_initcall+0x62/0x3f0 <4> [309.733667] do_init_module+0x97/0x2a0 <4> [309.733671] load_module+0x25ff/0x2890 <4> [309.733688] init_module_from_file+0x97/0xe0 <4> [309.733701] idempotent_init_module+0x118/0x330 <4> [309.733711] __x64_sys_finit_module+0x77/0x100 <4> [309.733715] x64_sys_call+0x1f37/0x2650 <4> [309.733719] do_syscall_64+0x91/0x180 <4> [309.733763] entry_SYSCALL_64_after_hwframe+0x76/0x7e <4> [309.733792] </TASK> ... <4> [309.733806] ---[ end trace 0000000000000000 ]--- That scenario is most easily reproducible with igt@i915_module_load@reload-with-fault-injection. Fix the issue by moving the cleanup step to driver release path. (cherry picked from commit 795dbde92fe5c6996a02a5b579481de73035e7bf) Уязвимость компонента drivers/gpu/drm/i915 ядра операционной системы Linux связана с недостаточной нейтрализацией специальных элементов в запросе. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: libwx: handle page_pool_dev_alloc_pages error page_pool_dev_alloc_pages could return NULL. There was a WARN_ON(!page) but it would still proceed to use the NULL pointer and then crash. This is similar to commit 001ba0902046 ("net: fec: handle page_pool_dev_alloc_pages error"). This is found by our static analysis tool KNighter. Уязвимость компонента drivers/net/ethernet/wangxun/libwx/wx_lib.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: tls: explicitly disallow disconnect syzbot discovered that it can disconnect a TLS socket and then run into all sort of unexpected corner cases. I have a vague recollection of Eric pointing this out to us a long time ago. Supporting disconnect is really hard, for one thing if offload is enabled we'd need to wait for all packets to be _acked_. Disconnect is not commonly used, disallow it. The immediate problem syzbot run into is the warning in the strp, but that's just the easiest bug to trigger: WARNING: CPU: 0 PID: 5834 at net/tls/tls_strp.c:486 tls_strp_msg_load+0x72e/0xa80 net/tls/tls_strp.c:486 RIP: 0010:tls_strp_msg_load+0x72e/0xa80 net/tls/tls_strp.c:486 Call Trace: <TASK> tls_rx_rec_wait+0x280/0xa60 net/tls/tls_sw.c:1363 tls_sw_recvmsg+0x85c/0x1c30 net/tls/tls_sw.c:2043 inet6_recvmsg+0x2c9/0x730 net/ipv6/af_inet6.c:678 sock_recvmsg_nosec net/socket.c:1023 [inline] sock_recvmsg+0x109/0x280 net/socket.c:1045 __sys_recvfrom+0x202/0x380 net/socket.c:2237 Уязвимость компонента tls_main.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tipc: fix memory leak in tipc_link_xmit In case the backlog transmit queue for system-importance messages is overloaded, tipc_link_xmit() returns -ENOBUFS but the skb list is not purged. This leads to memory leak and failure when a skb is allocated. This commit fixes this issue by purging the skb list before tipc_link_xmit() returns. Уязвимость компонента link.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ata: pata_pxa: Fix potential NULL pointer dereference in pxa_ata_probe() devm_ioremap() returns NULL on error. Currently, pxa_ata_probe() does not check for this case, which can result in a NULL pointer dereference. Add NULL check after devm_ioremap() to prevent this issue. Уязвимость функции pxa_ata_probe() ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ublk: fix handling recovery & reissue in ublk_abort_queue() Commit 8284066946e6 ("ublk: grab request reference when the request is handled by userspace") doesn't grab request reference in case of recovery reissue. Then the request can be requeued & re-dispatch & failed when canceling uring command. If it is one zc request, the request can be freed before io_uring returns the zc buffer back, then cause kernel panic: [ 126.773061] BUG: kernel NULL pointer dereference, address: 00000000000000c8 [ 126.773657] #PF: supervisor read access in kernel mode [ 126.774052] #PF: error_code(0x0000) - not-present page [ 126.774455] PGD 0 P4D 0 [ 126.774698] Oops: Oops: 0000 [#1] SMP NOPTI [ 126.775034] CPU: 13 UID: 0 PID: 1612 Comm: kworker/u64:55 Not tainted 6.14.0_blk+ #182 PREEMPT(full) [ 126.775676] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-1.fc39 04/01/2014 [ 126.776275] Workqueue: iou_exit io_ring_exit_work [ 126.776651] RIP: 0010:ublk_io_release+0x14/0x130 [ublk_drv] Fixes it by always grabbing request reference for aborting the request. Уязвимость компонента drivers/block/ublk_drv.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe: Fix an out-of-bounds shift when invalidating TLB When the size of the range invalidated is larger than rounddown_pow_of_two(ULONG_MAX), The function macro roundup_pow_of_two(length) will hit an out-of-bounds shift [1]. Use a full TLB invalidation for such cases. v2: - Use a define for the range size limit over which we use a full TLB invalidation. (Lucas) - Use a better calculation of the limit. [1]: [ 39.202421] ------------[ cut here ]------------ [ 39.202657] UBSAN: shift-out-of-bounds in ./include/linux/log2.h:57:13 [ 39.202673] shift exponent 64 is too large for 64-bit type 'long unsigned int' [ 39.202688] CPU: 8 UID: 0 PID: 3129 Comm: xe_exec_system_ Tainted: G U 6.14.0+ #10 [ 39.202690] Tainted: [U]=USER [ 39.202690] Hardware name: ASUS System Product Name/PRIME B560M-A AC, BIOS 2001 02/01/2023 [ 39.202691] Call Trace: [ 39.202692] <TASK> [ 39.202695] dump_stack_lvl+0x6e/0xa0 [ 39.202699] ubsan_epilogue+0x5/0x30 [ 39.202701] __ubsan_handle_shift_out_of_bounds.cold+0x61/0xe6 [ 39.202705] xe_gt_tlb_invalidation_range.cold+0x1d/0x3a [xe] [ 39.202800] ? find_held_lock+0x2b/0x80 [ 39.202803] ? mark_held_locks+0x40/0x70 [ 39.202806] xe_svm_invalidate+0x459/0x700 [xe] [ 39.202897] drm_gpusvm_notifier_invalidate+0x4d/0x70 [drm_gpusvm] [ 39.202900] __mmu_notifier_release+0x1f5/0x270 [ 39.202905] exit_mmap+0x40e/0x450 [ 39.202912] __mmput+0x45/0x110 [ 39.202914] exit_mm+0xc5/0x130 [ 39.202916] do_exit+0x21c/0x500 [ 39.202918] ? lockdep_hardirqs_on_prepare+0xdb/0x190 [ 39.202920] do_group_exit+0x36/0xa0 [ 39.202922] get_signal+0x8f8/0x900 [ 39.202926] arch_do_signal_or_restart+0x35/0x100 [ 39.202930] syscall_exit_to_user_mode+0x1fc/0x290 [ 39.202932] do_syscall_64+0xa1/0x180 [ 39.202934] ? do_user_addr_fault+0x59f/0x8a0 [ 39.202937] ? lock_release+0xd2/0x2a0 [ 39.202939] ? do_user_addr_fault+0x5a9/0x8a0 [ 39.202942] ? trace_hardirqs_off+0x4b/0xc0 [ 39.202944] ? clear_bhb_loop+0x25/0x80 [ 39.202946] ? clear_bhb_loop+0x25/0x80 [ 39.202947] ? clear_bhb_loop+0x25/0x80 [ 39.202950] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 39.202952] RIP: 0033:0x7fa945e543e1 [ 39.202961] Code: Unable to access opcode bytes at 0x7fa945e543b7. [ 39.202962] RSP: 002b:00007ffca8fb4170 EFLAGS: 00000293 [ 39.202963] RAX: 000000000000003d RBX: 0000000000000000 RCX: 00007fa945e543e3 [ 39.202964] RDX: 0000000000000000 RSI: 00007ffca8fb41ac RDI: 00000000ffffffff [ 39.202964] RBP: 00007ffca8fb4190 R08: 0000000000000000 R09: 00007fa945f600a0 [ 39.202965] R10: 0000000000000000 R11: 0000000000000293 R12: 0000000000000000 [ 39.202966] R13: 00007fa9460dd310 R14: 00007ffca8fb41ac R15: 0000000000000000 [ 39.202970] </TASK> [ 39.202970] ---[ end trace ]--- (cherry picked from commit b88f48f86500bc0b44b4f73ac66d500a40d320ad) Уязвимость компонента drivers/gpu/drm/xe ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/imagination: take paired job reference For paired jobs, have the fragment job take a reference on the geometry job, so that the geometry job cannot be freed until the fragment job has finished with it. The geometry job structure is accessed when the fragment job is being prepared by the GPU scheduler. Taking the reference prevents the geometry job being freed until the fragment job no longer requires it. Fixes a use after free bug detected by KASAN: [ 124.256386] BUG: KASAN: slab-use-after-free in pvr_queue_prepare_job+0x108/0x868 [powervr] [ 124.264893] Read of size 1 at addr ffff0000084cb960 by task kworker/u16:4/63 Уязвимость компонента drivers/gpu/drm/imagination ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/imagination: fix firmware memory leaks Free the memory used to hold the results of firmware image processing when the module is unloaded. Fix the related issue of the same memory being leaked if processing of the firmware image fails during module load. Ensure all firmware GEM objects are destroyed if firmware image processing fails. Fixes memory leaks on powervr module unload detected by Kmemleak: unreferenced object 0xffff000042e20000 (size 94208): comm "modprobe", pid 470, jiffies 4295277154 hex dump (first 32 bytes): 02 ae 7f ed bf 45 84 00 3c 5b 1f ed 9f 45 45 05 .....E..<[...EE. d5 4f 5d 14 6c 00 3d 23 30 d0 3a 4a 66 0e 48 c8 .O].l.=#0.:Jf.H. backtrace (crc dd329dec): kmemleak_alloc+0x30/0x40 ___kmalloc_large_node+0x140/0x188 __kmalloc_large_node_noprof+0x2c/0x13c __kmalloc_noprof+0x48/0x4c0 pvr_fw_init+0xaa4/0x1f50 [powervr] unreferenced object 0xffff000042d20000 (size 20480): comm "modprobe", pid 470, jiffies 4295277154 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 09 00 00 00 0b 00 00 00 ................ 00 00 00 00 00 00 00 00 07 00 00 00 08 00 00 00 ................ backtrace (crc 395b02e3): kmemleak_alloc+0x30/0x40 ___kmalloc_large_node+0x140/0x188 __kmalloc_large_node_noprof+0x2c/0x13c __kmalloc_noprof+0x48/0x4c0 pvr_fw_init+0xb0c/0x1f50 [powervr] Уязвимость компонента drivers/gpu/drm/imagination ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/nouveau: prime: fix ttm_bo_delayed_delete oops Fix an oops in ttm_bo_delayed_delete which results from dererencing a dangling pointer: Oops: general protection fault, probably for non-canonical address 0x6b6b6b6b6b6b6b7b: 0000 [#1] PREEMPT SMP CPU: 4 UID: 0 PID: 1082 Comm: kworker/u65:2 Not tainted 6.14.0-rc4-00267-g505460b44513-dirty #216 Hardware name: LENOVO 82N6/LNVNB161216, BIOS GKCN65WW 01/16/2024 Workqueue: ttm ttm_bo_delayed_delete [ttm] RIP: 0010:dma_resv_iter_first_unlocked+0x55/0x290 Code: 31 f6 48 c7 c7 00 2b fa aa e8 97 bd 52 ff e8 a2 c1 53 00 5a 85 c0 74 48 e9 88 01 00 00 4c 89 63 20 4d 85 e4 0f 84 30 01 00 00 <41> 8b 44 24 10 c6 43 2c 01 48 89 df 89 43 28 e8 97 fd ff ff 4c 8b RSP: 0018:ffffbf9383473d60 EFLAGS: 00010202 RAX: 0000000000000001 RBX: ffffbf9383473d88 RCX: 0000000000000000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 RBP: ffffbf9383473d78 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000000 R12: 6b6b6b6b6b6b6b6b R13: ffffa003bbf78580 R14: ffffa003a6728040 R15: 00000000000383cc FS: 0000000000000000(0000) GS:ffffa00991c00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000758348024dd0 CR3: 000000012c259000 CR4: 0000000000f50ef0 PKRU: 55555554 Call Trace: <TASK> ? __die_body.cold+0x19/0x26 ? die_addr+0x3d/0x70 ? exc_general_protection+0x159/0x460 ? asm_exc_general_protection+0x27/0x30 ? dma_resv_iter_first_unlocked+0x55/0x290 dma_resv_wait_timeout+0x56/0x100 ttm_bo_delayed_delete+0x69/0xb0 [ttm] process_one_work+0x217/0x5c0 worker_thread+0x1c8/0x3d0 ? apply_wqattrs_cleanup.part.0+0xc0/0xc0 kthread+0x10b/0x240 ? kthreads_online_cpu+0x140/0x140 ret_from_fork+0x40/0x70 ? kthreads_online_cpu+0x140/0x140 ret_from_fork_asm+0x11/0x20 </TASK> The cause of this is: - drm_prime_gem_destroy calls dma_buf_put(dma_buf) which releases the reference to the shared dma_buf. The reference count is 0, so the dma_buf is destroyed, which in turn decrements the corresponding amdgpu_bo reference count to 0, and the amdgpu_bo is destroyed - calling drm_gem_object_release then dma_resv_fini (which destroys the reservation object), then finally freeing the amdgpu_bo. - nouveau_bo obj->bo.base.resv is now a dangling pointer to the memory formerly allocated to the amdgpu_bo. - nouveau_gem_object_del calls ttm_bo_put(&nvbo->bo) which calls ttm_bo_release, which schedules ttm_bo_delayed_delete. - ttm_bo_delayed_delete runs and dereferences the dangling resv pointer, resulting in a general protection fault. Fix this by moving the drm_prime_gem_destroy call from nouveau_gem_object_del to nouveau_bo_del_ttm. This ensures that it will be run after ttm_bo_delayed_delete. Уязвимость компонента drm/nouveau ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Prevent division by zero The user can set any speed value. If speed is greater than UINT_MAX/8, division by zero is possible. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drm/amd/pm ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Prevent division by zero The user can set any speed value. If speed is greater than UINT_MAX/8, division by zero is possible. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drm/amd/pm ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Prevent division by zero The user can set any speed value. If speed is greater than UINT_MAX/8, division by zero is possible. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drm/amd/pm ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm/smu11: Prevent division by zero The user can set any speed value. If speed is greater than UINT_MAX/8, division by zero is possible. Found by Linux Verification Center (linuxtesting.org) with SVACE. (cherry picked from commit da7dc714a8f8e1c9fc33c57cd63583779a3bef71) Уязвимость компонента drm/amd/pm/smu11 ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Prevent division by zero The user can set any speed value. If speed is greater than UINT_MAX/8, division by zero is possible. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drm/amd/pm ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищемой информации и вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Prevent division by zero The user can set any speed value. If speed is greater than UINT_MAX/8, division by zero is possible. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drm/amd/pm ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищемой информации и вызвать отказ в обслуживании(DoS) [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/cma: Fix workqueue crash in cma_netevent_work_handler struct rdma_cm_id has member "struct work_struct net_work" that is reused for enqueuing cma_netevent_work_handler()s onto cma_wq. Below crash[1] can occur if more than one call to cma_netevent_callback() occurs in quick succession, which further enqueues cma_netevent_work_handler()s for the same rdma_cm_id, overwriting any previously queued work-item(s) that was just scheduled to run i.e. there is no guarantee the queued work item may run between two successive calls to cma_netevent_callback() and the 2nd INIT_WORK would overwrite the 1st work item (for the same rdma_cm_id), despite grabbing id_table_lock during enqueue. Also drgn analysis [2] indicates the work item was likely overwritten. Fix this by moving the INIT_WORK() to __rdma_create_id(), so that it doesn't race with any existing queue_work() or its worker thread. [1] Trimmed crash stack: ============================================= BUG: kernel NULL pointer dereference, address: 0000000000000008 kworker/u256:6 ... 6.12.0-0... Workqueue: cma_netevent_work_handler [rdma_cm] (rdma_cm) RIP: 0010:process_one_work+0xba/0x31a Call Trace: worker_thread+0x266/0x3a0 kthread+0xcf/0x100 ret_from_fork+0x31/0x50 ret_from_fork_asm+0x1a/0x30 ============================================= [2] drgn crash analysis: >>> trace = prog.crashed_thread().stack_trace() >>> trace (0) crash_setup_regs (./arch/x86/include/asm/kexec.h:111:15) (1) __crash_kexec (kernel/crash_core.c:122:4) (2) panic (kernel/panic.c:399:3) (3) oops_end (arch/x86/kernel/dumpstack.c:382:3) ... (8) process_one_work (kernel/workqueue.c:3168:2) (9) process_scheduled_works (kernel/workqueue.c:3310:3) (10) worker_thread (kernel/workqueue.c:3391:4) (11) kthread (kernel/kthread.c:389:9) Line workqueue.c:3168 for this kernel version is in process_one_work(): 3168 strscpy(worker->desc, pwq->wq->name, WORKER_DESC_LEN); >>> trace[8]["work"] *(struct work_struct *)0xffff92577d0a21d8 = { .data = (atomic_long_t){ .counter = (s64)536870912, <=== Note }, .entry = (struct list_head){ .next = (struct list_head *)0xffff924d075924c0, .prev = (struct list_head *)0xffff924d075924c0, }, .func = (work_func_t)cma_netevent_work_handler+0x0 = 0xffffffffc2cec280, } Suspicion is that pwq is NULL: >>> trace[8]["pwq"] (struct pool_workqueue *)<absent> In process_one_work(), pwq is assigned from: struct pool_workqueue *pwq = get_work_pwq(work); and get_work_pwq() is: static struct pool_workqueue *get_work_pwq(struct work_struct *work) { unsigned long data = atomic_long_read(&work->data); if (data & WORK_STRUCT_PWQ) return work_struct_pwq(data); else return NULL; } WORK_STRUCT_PWQ is 0x4: >>> print(repr(prog['WORK_STRUCT_PWQ'])) Object(prog, 'enum work_flags', value=4) But work->data is 536870912 which is 0x20000000. So, get_work_pwq() returns NULL and we crash in process_one_work(): 3168 strscpy(worker->desc, pwq->wq->name, WORKER_DESC_LEN); ============================================= Уязвимость компонента RDMA/cma ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: virtiofs: add filesystem context source name check In certain scenarios, for example, during fuzz testing, the source name may be NULL, which could lead to a kernel panic. Therefore, an extra check for the source name should be added. Уязвимость компонента virtiofs ядра операционной системы Linux связана с неправильной проверкой возвращаемого значения функции. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: slab: ensure slab->obj_exts is clear in a newly allocated slab page ktest recently reported crashes while running several buffered io tests with __alloc_tagging_slab_alloc_hook() at the top of the crash call stack. The signature indicates an invalid address dereference with low bits of slab->obj_exts being set. The bits were outside of the range used by page_memcg_data_flags and objext_flags and hence were not masked out by slab_obj_exts() when obtaining the pointer stored in slab->obj_exts. The typical crash log looks like this: 00510 Unable to handle kernel NULL pointer dereference at virtual address 0000000000000010 00510 Mem abort info: 00510 ESR = 0x0000000096000045 00510 EC = 0x25: DABT (current EL), IL = 32 bits 00510 SET = 0, FnV = 0 00510 EA = 0, S1PTW = 0 00510 FSC = 0x05: level 1 translation fault 00510 Data abort info: 00510 ISV = 0, ISS = 0x00000045, ISS2 = 0x00000000 00510 CM = 0, WnR = 1, TnD = 0, TagAccess = 0 00510 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 00510 user pgtable: 4k pages, 39-bit VAs, pgdp=0000000104175000 00510 [0000000000000010] pgd=0000000000000000, p4d=0000000000000000, pud=0000000000000000 00510 Internal error: Oops: 0000000096000045 [#1] SMP 00510 Modules linked in: 00510 CPU: 10 UID: 0 PID: 7692 Comm: cat Not tainted 6.15.0-rc1-ktest-g189e17946605 #19327 NONE 00510 Hardware name: linux,dummy-virt (DT) 00510 pstate: 20001005 (nzCv daif -PAN -UAO -TCO -DIT +SSBS BTYPE=--) 00510 pc : __alloc_tagging_slab_alloc_hook+0xe0/0x190 00510 lr : __kmalloc_noprof+0x150/0x310 00510 sp : ffffff80c87df6c0 00510 x29: ffffff80c87df6c0 x28: 000000000013d1ff x27: 000000000013d200 00510 x26: ffffff80c87df9e0 x25: 0000000000000000 x24: 0000000000000001 00510 x23: ffffffc08041953c x22: 000000000000004c x21: ffffff80c0002180 00510 x20: fffffffec3120840 x19: ffffff80c4821000 x18: 0000000000000000 00510 x17: fffffffec3d02f00 x16: fffffffec3d02e00 x15: fffffffec3d00700 00510 x14: fffffffec3d00600 x13: 0000000000000200 x12: 0000000000000006 00510 x11: ffffffc080bb86c0 x10: 0000000000000000 x9 : ffffffc080201e58 00510 x8 : ffffff80c4821060 x7 : 0000000000000000 x6 : 0000000055555556 00510 x5 : 0000000000000001 x4 : 0000000000000010 x3 : 0000000000000060 00510 x2 : 0000000000000000 x1 : ffffffc080f50cf8 x0 : ffffff80d801d000 00510 Call trace: 00510 __alloc_tagging_slab_alloc_hook+0xe0/0x190 (P) 00510 __kmalloc_noprof+0x150/0x310 00510 __bch2_folio_create+0x5c/0xf8 00510 bch2_folio_create+0x2c/0x40 00510 bch2_readahead+0xc0/0x460 00510 read_pages+0x7c/0x230 00510 page_cache_ra_order+0x244/0x3a8 00510 page_cache_async_ra+0x124/0x170 00510 filemap_readahead.isra.0+0x58/0xa0 00510 filemap_get_pages+0x454/0x7b0 00510 filemap_read+0xdc/0x418 00510 bch2_read_iter+0x100/0x1b0 00510 vfs_read+0x214/0x300 00510 ksys_read+0x6c/0x108 00510 __arm64_sys_read+0x20/0x30 00510 invoke_syscall.constprop.0+0x54/0xe8 00510 do_el0_svc+0x44/0xc8 00510 el0_svc+0x18/0x58 00510 el0t_64_sync_handler+0x104/0x130 00510 el0t_64_sync+0x154/0x158 00510 Code: d5384100 f9401c01 b9401aa3 b40002e1 (f8227881) 00510 ---[ end trace 0000000000000000 ]--- 00510 Kernel panic - not syncing: Oops: Fatal exception 00510 SMP: stopping secondary CPUs 00510 Kernel Offset: disabled 00510 CPU features: 0x0000,000000e0,00000410,8240500b 00510 Memory Limit: none Investigation indicates that these bits are already set when we allocate slab page and are not zeroed out after allocation. We are not yet sure why these crashes start happening only recently but regardless of the reason, not initializing a field that gets used later is wrong. Fix it by initializing slab->obj_exts during slab page allocation. Уязвимость компонента mm/slub.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix the warning from __kernel_write_iter [ 2110.972290] ------------[ cut here ]------------ [ 2110.972301] WARNING: CPU: 3 PID: 735 at fs/read_write.c:599 __kernel_write_iter+0x21b/0x280 This patch doesn't allow writing to directory. Уязвимость компонента fs/read_write.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in smb_break_all_levII_oplock() There is a room in smb_break_all_levII_oplock that can cause racy issues when unlocking in the middle of the loop. This patch use read lock to protect whole loop. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in __smb2_lease_break_noti() Move tcp_transport free to ksmbd_conn_free. If ksmbd connection is referenced when ksmbd server thread terminates, It will not be freed, but conn->tcp_transport is freed. __smb2_lease_break_noti can be performed asynchronously when the connection is disconnected. __smb2_lease_break_noti calls ksmbd_conn_write, which can cause use-after-free when conn->ksmbd_transport is already freed. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ksmbd.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль ksmbd в ядро системы, для этого выполнить одну из команд: lsmod | grep ksmbd или kmod list | grep ksmbd Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: команда для выгрузки модуля ksmbd.ko: sudo rmmod ksmbd 2. Запретить загрузку модулей: от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-ksmbd.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; добавить в файл строку: install ksmbd /bin/false сохранить файл. 3. Обновить текущий образ initramfs: sudo update-initramfs -uk all Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: Fix dangling pointer in krb_authenticate krb_authenticate frees sess->user and does not set the pointer to NULL. It calls ksmbd_krb5_authenticate to reinitialise sess->user but that function may return without doing so. If that happens then smb2_sess_setup, which calls krb_authenticate, will be accessing free'd memory when it later uses sess->user. Уязвимость функции krb_authenticate() модуля fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: isofs: Prevent the use of too small fid syzbot reported a slab-out-of-bounds Read in isofs_fh_to_parent. [1] The handle_bytes value passed in by the reproducing program is equal to 12. In handle_to_path(), only 12 bytes of memory are allocated for the structure file_handle->f_handle member, which causes an out-of-bounds access when accessing the member parent_block of the structure isofs_fid in isofs, because accessing parent_block requires at least 16 bytes of f_handle. Here, fh_len is used to indirectly confirm that the value of handle_bytes is greater than 3 before accessing parent_block. [1] BUG: KASAN: slab-out-of-bounds in isofs_fh_to_parent+0x1b8/0x210 fs/isofs/export.c:183 Read of size 4 at addr ffff0000cc030d94 by task syz-executor215/6466 CPU: 1 UID: 0 PID: 6466 Comm: syz-executor215 Not tainted 6.14.0-rc7-syzkaller-ga2392f333575 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 Call trace: show_stack+0x2c/0x3c arch/arm64/kernel/stacktrace.c:466 (C) __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0xe4/0x150 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0x198/0x550 mm/kasan/report.c:521 kasan_report+0xd8/0x138 mm/kasan/report.c:634 __asan_report_load4_noabort+0x20/0x2c mm/kasan/report_generic.c:380 isofs_fh_to_parent+0x1b8/0x210 fs/isofs/export.c:183 exportfs_decode_fh_raw+0x2dc/0x608 fs/exportfs/expfs.c:523 do_handle_to_path+0xa0/0x198 fs/fhandle.c:257 handle_to_path fs/fhandle.c:385 [inline] do_handle_open+0x8cc/0xb8c fs/fhandle.c:403 __do_sys_open_by_handle_at fs/fhandle.c:443 [inline] __se_sys_open_by_handle_at fs/fhandle.c:434 [inline] __arm64_sys_open_by_handle_at+0x80/0x94 fs/fhandle.c:434 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x98/0x2b8 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x130/0x23c arch/arm64/kernel/syscall.c:132 do_el0_svc+0x48/0x58 arch/arm64/kernel/syscall.c:151 el0_svc+0x54/0x168 arch/arm64/kernel/entry-common.c:744 el0t_64_sync_handler+0x84/0x108 arch/arm64/kernel/entry-common.c:762 el0t_64_sync+0x198/0x19c arch/arm64/kernel/entry.S:600 Allocated by task 6466: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x40/0x78 mm/kasan/common.c:68 kasan_save_alloc_info+0x40/0x50 mm/kasan/generic.c:562 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0xac/0xc4 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4294 [inline] __kmalloc_noprof+0x32c/0x54c mm/slub.c:4306 kmalloc_noprof include/linux/slab.h:905 [inline] handle_to_path fs/fhandle.c:357 [inline] do_handle_open+0x5a4/0xb8c fs/fhandle.c:403 __do_sys_open_by_handle_at fs/fhandle.c:443 [inline] __se_sys_open_by_handle_at fs/fhandle.c:434 [inline] __arm64_sys_open_by_handle_at+0x80/0x94 fs/fhandle.c:434 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x98/0x2b8 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x130/0x23c arch/arm64/kernel/syscall.c:132 do_el0_svc+0x48/0x58 arch/arm64/kernel/syscall.c:151 el0_svc+0x54/0x168 arch/arm64/kernel/entry-common.c:744 el0t_64_sync_handler+0x84/0x108 arch/arm64/kernel/entry-common.c:762 el0t_64_sync+0x198/0x19c arch/arm64/kernel/entry.S:600 Уязвимость компонента isofs ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i2c: cros-ec-tunnel: defer probe if parent EC is not present When i2c-cros-ec-tunnel and the EC driver are built-in, the EC parent device will not be found, leading to NULL pointer dereference. That can also be reproduced by unbinding the controller driver and then loading i2c-cros-ec-tunnel module (or binding the device). [ 271.991245] BUG: kernel NULL pointer dereference, address: 0000000000000058 [ 271.998215] #PF: supervisor read access in kernel mode [ 272.003351] #PF: error_code(0x0000) - not-present page [ 272.008485] PGD 0 P4D 0 [ 272.011022] Oops: Oops: 0000 [#1] SMP NOPTI [ 272.015207] CPU: 0 UID: 0 PID: 3859 Comm: insmod Tainted: G S 6.15.0-rc1-00004-g44722359ed83 #30 PREEMPT(full) 3c7fb39a552e7d949de2ad921a7d6588d3a4fdc5 [ 272.030312] Tainted: [S]=CPU_OUT_OF_SPEC [ 272.034233] Hardware name: HP Berknip/Berknip, BIOS Google_Berknip.13434.356.0 05/17/2021 [ 272.042400] RIP: 0010:ec_i2c_probe+0x2b/0x1c0 [i2c_cros_ec_tunnel] [ 272.048577] Code: 1f 44 00 00 41 57 41 56 41 55 41 54 53 48 83 ec 10 65 48 8b 05 06 a0 6c e7 48 89 44 24 08 4c 8d 7f 10 48 8b 47 50 4c 8b 60 78 <49> 83 7c 24 58 00 0f 84 2f 01 00 00 48 89 fb be 30 06 00 00 4c 9 [ 272.067317] RSP: 0018:ffffa32082a03940 EFLAGS: 00010282 [ 272.072541] RAX: ffff969580b6a810 RBX: ffff969580b68c10 RCX: 0000000000000000 [ 272.079672] RDX: 0000000000000000 RSI: 0000000000000282 RDI: ffff969580b68c00 [ 272.086804] RBP: 00000000fffffdfb R08: 0000000000000000 R09: 0000000000000000 [ 272.093936] R10: 0000000000000000 R11: ffffffffc0600000 R12: 0000000000000000 [ 272.101067] R13: ffffffffa666fbb8 R14: ffffffffc05b5528 R15: ffff969580b68c10 [ 272.108198] FS: 00007b930906fc40(0000) GS:ffff969603149000(0000) knlGS:0000000000000000 [ 272.116282] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 272.122024] CR2: 0000000000000058 CR3: 000000012631c000 CR4: 00000000003506f0 [ 272.129155] Call Trace: [ 272.131606] <TASK> [ 272.133709] ? acpi_dev_pm_attach+0xdd/0x110 [ 272.137985] platform_probe+0x69/0xa0 [ 272.141652] really_probe+0x152/0x310 [ 272.145318] __driver_probe_device+0x77/0x110 [ 272.149678] driver_probe_device+0x1e/0x190 [ 272.153864] __driver_attach+0x10b/0x1e0 [ 272.157790] ? driver_attach+0x20/0x20 [ 272.161542] bus_for_each_dev+0x107/0x150 [ 272.165553] bus_add_driver+0x15d/0x270 [ 272.169392] driver_register+0x65/0x110 [ 272.173232] ? cleanup_module+0xa80/0xa80 [i2c_cros_ec_tunnel 3a00532f3f4af4a9eade753f86b0f8dd4e4e5698] [ 272.182617] do_one_initcall+0x110/0x350 [ 272.186543] ? security_kernfs_init_security+0x49/0xd0 [ 272.191682] ? __kernfs_new_node+0x1b9/0x240 [ 272.195954] ? security_kernfs_init_security+0x49/0xd0 [ 272.201093] ? __kernfs_new_node+0x1b9/0x240 [ 272.205365] ? kernfs_link_sibling+0x105/0x130 [ 272.209810] ? kernfs_next_descendant_post+0x1c/0xa0 [ 272.214773] ? kernfs_activate+0x57/0x70 [ 272.218699] ? kernfs_add_one+0x118/0x160 [ 272.222710] ? __kernfs_create_file+0x71/0xa0 [ 272.227069] ? sysfs_add_bin_file_mode_ns+0xd6/0x110 [ 272.232033] ? internal_create_group+0x453/0x4a0 [ 272.236651] ? __vunmap_range_noflush+0x214/0x2d0 [ 272.241355] ? __free_frozen_pages+0x1dc/0x420 [ 272.245799] ? free_vmap_area_noflush+0x10a/0x1c0 [ 272.250505] ? load_module+0x1509/0x16f0 [ 272.254431] do_init_module+0x60/0x230 [ 272.258181] __se_sys_finit_module+0x27a/0x370 [ 272.262627] do_syscall_64+0x6a/0xf0 [ 272.266206] ? do_syscall_64+0x76/0xf0 [ 272.269956] ? irqentry_exit_to_user_mode+0x79/0x90 [ 272.274836] entry_SYSCALL_64_after_hwframe+0x55/0x5d [ 272.279887] RIP: 0033:0x7b9309168d39 [ 272.283466] Code: 5b 41 5c 5d c3 66 2e 0f 1f 84 00 00 00 00 00 66 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d af 40 0c 00 f7 d8 64 89 01 8 [ 272.302210] RSP: 002b:00007fff50f1a288 EFLAGS: 00000246 ORIG_RAX: 000 ---truncated--- Уязвимость модуля i2c-cros-ec-tunnel ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ti: icss-iep: Fix possible NULL pointer dereference for perout request The ICSS IEP driver tracks perout and pps enable state with flags. Currently when disabling pps and perout signals during icss_iep_exit(), results in NULL pointer dereference for perout. To fix the null pointer dereference issue, the icss_iep_perout_enable_hw function can be modified to directly clear the IEP CMP registers when disabling PPS or PEROUT, without referencing the ptp_perout_request structure, as its contents are irrelevant in this case. Уязвимость компонента drivers/net/ethernet/ti/icssg/icss_iep.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: fix OOB read when checking dotdot dir Mounting a corrupted filesystem with directory which contains '.' dir entry with rec_len == block size results in out-of-bounds read (later on, when the corrupted directory is removed). ext4_empty_dir() assumes every ext4 directory contains at least '.' and '..' as directory entries in the first data block. It first loads the '.' dir entry, performs sanity checks by calling ext4_check_dir_entry() and then uses its rec_len member to compute the location of '..' dir entry (in ext4_next_entry). It assumes the '..' dir entry fits into the same data block. If the rec_len of '.' is precisely one block (4KB), it slips through the sanity checks (it is considered the last directory entry in the data block) and leaves "struct ext4_dir_entry_2 *de" point exactly past the memory slot allocated to the data block. The following call to ext4_check_dir_entry() on new value of de then dereferences this pointer which results in out-of-bounds mem access. Fix this by extending __ext4_check_dir_entry() to check for '.' dir entries that reach the end of data block. Make sure to ignore the phony dir entries for checksum (by checking name_len for non-zero). Note: This is reported by KASAN as use-after-free in case another structure was recently freed from the slot past the bound, but it is really an OOB read. This issue was found by syzkaller tool. Call Trace: [ 38.594108] BUG: KASAN: slab-use-after-free in __ext4_check_dir_entry+0x67e/0x710 [ 38.594649] Read of size 2 at addr ffff88802b41a004 by task syz-executor/5375 [ 38.595158] [ 38.595288] CPU: 0 UID: 0 PID: 5375 Comm: syz-executor Not tainted 6.14.0-rc7 #1 [ 38.595298] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 [ 38.595304] Call Trace: [ 38.595308] <TASK> [ 38.595311] dump_stack_lvl+0xa7/0xd0 [ 38.595325] print_address_description.constprop.0+0x2c/0x3f0 [ 38.595339] ? __ext4_check_dir_entry+0x67e/0x710 [ 38.595349] print_report+0xaa/0x250 [ 38.595359] ? __ext4_check_dir_entry+0x67e/0x710 [ 38.595368] ? kasan_addr_to_slab+0x9/0x90 [ 38.595378] kasan_report+0xab/0xe0 [ 38.595389] ? __ext4_check_dir_entry+0x67e/0x710 [ 38.595400] __ext4_check_dir_entry+0x67e/0x710 [ 38.595410] ext4_empty_dir+0x465/0x990 [ 38.595421] ? __pfx_ext4_empty_dir+0x10/0x10 [ 38.595432] ext4_rmdir.part.0+0x29a/0xd10 [ 38.595441] ? __dquot_initialize+0x2a7/0xbf0 [ 38.595455] ? __pfx_ext4_rmdir.part.0+0x10/0x10 [ 38.595464] ? __pfx___dquot_initialize+0x10/0x10 [ 38.595478] ? down_write+0xdb/0x140 [ 38.595487] ? __pfx_down_write+0x10/0x10 [ 38.595497] ext4_rmdir+0xee/0x140 [ 38.595506] vfs_rmdir+0x209/0x670 [ 38.595517] ? lookup_one_qstr_excl+0x3b/0x190 [ 38.595529] do_rmdir+0x363/0x3c0 [ 38.595537] ? __pfx_do_rmdir+0x10/0x10 [ 38.595544] ? strncpy_from_user+0x1ff/0x2e0 [ 38.595561] __x64_sys_unlinkat+0xf0/0x130 [ 38.595570] do_syscall_64+0x5b/0x180 [ 38.595583] entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость компонента dir.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью искажённого файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dsa: free routing table on probe failure If complete = true in dsa_tree_setup(), it means that we are the last switch of the tree which is successfully probing, and we should be setting up all switches from our probe path. After "complete" becomes true, dsa_tree_setup_cpu_ports() or any subsequent function may fail. If that happens, the entire tree setup is in limbo: the first N-1 switches have successfully finished probing (doing nothing but having allocated persistent memory in the tree's dst->ports, and maybe dst->rtable), and switch N failed to probe, ending the tree setup process before anything is tangible from the user's PoV. If switch N fails to probe, its memory (ports) will be freed and removed from dst->ports. However, the dst->rtable elements pointing to its ports, as created by dsa_link_touch(), will remain there, and will lead to use-after-free if dereferenced. If dsa_tree_setup_switches() returns -EPROBE_DEFER, which is entirely possible because that is where ds->ops->setup() is, we get a kasan report like this: ================================================================== BUG: KASAN: slab-use-after-free in mv88e6xxx_setup_upstream_port+0x240/0x568 Read of size 8 at addr ffff000004f56020 by task kworker/u8:3/42 Call trace: __asan_report_load8_noabort+0x20/0x30 mv88e6xxx_setup_upstream_port+0x240/0x568 mv88e6xxx_setup+0xebc/0x1eb0 dsa_register_switch+0x1af4/0x2ae0 mv88e6xxx_register_switch+0x1b8/0x2a8 mv88e6xxx_probe+0xc4c/0xf60 mdio_probe+0x78/0xb8 really_probe+0x2b8/0x5a8 __driver_probe_device+0x164/0x298 driver_probe_device+0x78/0x258 __device_attach_driver+0x274/0x350 Allocated by task 42: __kasan_kmalloc+0x84/0xa0 __kmalloc_cache_noprof+0x298/0x490 dsa_switch_touch_ports+0x174/0x3d8 dsa_register_switch+0x800/0x2ae0 mv88e6xxx_register_switch+0x1b8/0x2a8 mv88e6xxx_probe+0xc4c/0xf60 mdio_probe+0x78/0xb8 really_probe+0x2b8/0x5a8 __driver_probe_device+0x164/0x298 driver_probe_device+0x78/0x258 __device_attach_driver+0x274/0x350 Freed by task 42: __kasan_slab_free+0x48/0x68 kfree+0x138/0x418 dsa_register_switch+0x2694/0x2ae0 mv88e6xxx_register_switch+0x1b8/0x2a8 mv88e6xxx_probe+0xc4c/0xf60 mdio_probe+0x78/0xb8 really_probe+0x2b8/0x5a8 __driver_probe_device+0x164/0x298 driver_probe_device+0x78/0x258 __device_attach_driver+0x274/0x350 The simplest way to fix the bug is to delete the routing table in its entirety. dsa_tree_setup_routing_table() has no problem in regenerating it even if we deleted links between ports other than those of switch N, because dsa_link_touch() first checks whether the port pair already exists in dst->rtable, allocating if not. The deletion of the routing table in its entirety already exists in dsa_tree_teardown(), so refactor that into a function that can also be called from the tree setup error path. In my analysis of the commit to blame, it is the one which added dsa_link elements to dst->rtable. Prior to that, each switch had its own ds->rtable which is freed when the switch fails to probe. But the tree is potentially persistent memory. Уязвимость компонента net/dsa/dsa.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: dsa: mv88e6xxx: avoid unregistering devlink regions which were never registered Russell King reports that a system with mv88e6xxx dereferences a NULL pointer when unbinding this driver: https://lore.kernel.org/netdev/Z_lRkMlTJ1KQ0kVX@shell.armlinux.org.uk/ The crash seems to be in devlink_region_destroy(), which is not NULL tolerant but is given a NULL devlink global region pointer. At least on some chips, some devlink regions are conditionally registered since the blamed commit, see mv88e6xxx_setup_devlink_regions_global(): if (cond && !cond(chip)) continue; These are MV88E6XXX_REGION_STU and MV88E6XXX_REGION_PVT. If the chip does not have an STU or PVT, it should crash like this. To fix the issue, avoid unregistering those regions which are NULL, i.e. were skipped at mv88e6xxx_setup_devlink_regions_global() time. Уязвимость ядра операционной системы Linux связана с ошибками разыменования нулевого указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании(DoS) [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cxgb4: fix memory leak in cxgb4_init_ethtool_filters() error path In the for loop used to allocate the loc_array and bmap for each port, a memory leak is possible when the allocation for loc_array succeeds, but the allocation for bmap fails. This is because when the control flow goes to the label free_eth_finfo, only the allocations starting from (i-1)th iteration are freed. Fix that by freeing the loc_array in the bmap allocation error path. Уязвимость компонента cxgb4_ethtool.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: openvswitch: fix nested key length validation in the set() action It's not safe to access nla_len(ovs_key) if the data is smaller than the netlink header. Check that the attribute is OK first. Уязвимость компонента openvswitch ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: mctp: Set SOCK_RCU_FREE Bind lookup runs under RCU, so ensure that a socket doesn't go away in the middle of a lookup. Уязвимость ядра операционной системы Linux связана с возможностью использования памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ethtool: cmis_cdb: use correct rpl size in ethtool_cmis_module_poll() rpl is passed as a pointer to ethtool_cmis_module_poll(), so the correct size of rpl is sizeof(*rpl) which should be just 1 byte. Using the pointer size instead can cause stack corruption: Kernel panic - not syncing: stack-protector: Kernel stack is corrupted in: ethtool_cmis_wait_for_cond+0xf4/0x100 CPU: 72 UID: 0 PID: 4440 Comm: kworker/72:2 Kdump: loaded Tainted: G OE 6.11.0 #24 Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: Dell Inc. PowerEdge R760/04GWWM, BIOS 1.6.6 09/20/2023 Workqueue: events module_flash_fw_work Call Trace: <TASK> panic+0x339/0x360 ? ethtool_cmis_wait_for_cond+0xf4/0x100 ? __pfx_status_success+0x10/0x10 ? __pfx_status_fail+0x10/0x10 __stack_chk_fail+0x10/0x10 ethtool_cmis_wait_for_cond+0xf4/0x100 ethtool_cmis_cdb_execute_cmd+0x1fc/0x330 ? __pfx_status_fail+0x10/0x10 cmis_cdb_module_features_get+0x6d/0xd0 ethtool_cmis_cdb_init+0x8a/0xd0 ethtool_cmis_fw_update+0x46/0x1d0 module_flash_fw_work+0x17/0xa0 process_one_work+0x179/0x390 worker_thread+0x239/0x340 ? __pfx_worker_thread+0x10/0x10 kthread+0xcc/0x100 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x2d/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Уязвимость функции ethtool_cmis_module_poll() компонента net/ethtool/cmis_cdb.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btrtl: Prevent potential NULL dereference The btrtl_initialize() function checks that rtl_load_file() either had an error or it loaded a zero length file. However, if it loaded a zero length file then the error code is not set correctly. It results in an error pointer vs NULL bug, followed by a NULL pointer dereference. This was detected by Smatch: drivers/bluetooth/btrtl.c:592 btrtl_initialize() warn: passing zero to 'ERR_PTR' Уязвимость компонента btrtl.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: Intel: avs: Fix null-ptr-deref in avs_component_probe() devm_kasprintf() returns NULL when memory allocation fails. Currently, avs_component_probe() does not check for this case, which results in a NULL pointer dereference. Уязвимость функции avs_component_probe() компонента sound/soc/intel/avs/pcm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: Purge vif txq in ieee80211_do_stop() After ieee80211_do_stop() SKB from vif's txq could still be processed. Indeed another concurrent vif schedule_and_wake_txq call could cause those packets to be dequeued (see ieee80211_handle_wake_tx_queue()) without checking the sdata current state. Because vif.drv_priv is now cleared in this function, this could lead to driver crash. For example in ath12k, ahvif is store in vif.drv_priv. Thus if ath12k_mac_op_tx() is called after ieee80211_do_stop(), ahvif->ah can be NULL, leading the ath12k_warn(ahvif->ah,...) call in this function to trigger the NULL deref below. Unable to handle kernel paging request at virtual address dfffffc000000001 KASAN: null-ptr-deref in range [0x0000000000000008-0x000000000000000f] batman_adv: bat0: Interface deactivated: brbh1337 Mem abort info: ESR = 0x0000000096000004 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x04: level 0 translation fault Data abort info: ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [dfffffc000000001] address between user and kernel address ranges Internal error: Oops: 0000000096000004 [#1] SMP CPU: 1 UID: 0 PID: 978 Comm: lbd Not tainted 6.13.0-g633f875b8f1e #114 Hardware name: HW (DT) pstate: 10000005 (nzcV daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : ath12k_mac_op_tx+0x6cc/0x29b8 [ath12k] lr : ath12k_mac_op_tx+0x174/0x29b8 [ath12k] sp : ffffffc086ace450 x29: ffffffc086ace450 x28: 0000000000000000 x27: 1ffffff810d59ca4 x26: ffffff801d05f7c0 x25: 0000000000000000 x24: 000000004000001e x23: ffffff8009ce4926 x22: ffffff801f9c0800 x21: ffffff801d05f7f0 x20: ffffff8034a19f40 x19: 0000000000000000 x18: ffffff801f9c0958 x17: ffffff800bc0a504 x16: dfffffc000000000 x15: ffffffc086ace4f8 x14: ffffff801d05f83c x13: 0000000000000000 x12: ffffffb003a0bf03 x11: 0000000000000000 x10: ffffffb003a0bf02 x9 : ffffff8034a19f40 x8 : ffffff801d05f818 x7 : 1ffffff0069433dc x6 : ffffff8034a19ee0 x5 : ffffff801d05f7f0 x4 : 0000000000000000 x3 : 0000000000000001 x2 : 0000000000000000 x1 : dfffffc000000000 x0 : 0000000000000008 Call trace: ath12k_mac_op_tx+0x6cc/0x29b8 [ath12k] (P) ieee80211_handle_wake_tx_queue+0x16c/0x260 ieee80211_queue_skb+0xeec/0x1d20 ieee80211_tx+0x200/0x2c8 ieee80211_xmit+0x22c/0x338 __ieee80211_subif_start_xmit+0x7e8/0xc60 ieee80211_subif_start_xmit+0xc4/0xee0 __ieee80211_subif_start_xmit_8023.isra.0+0x854/0x17a0 ieee80211_subif_start_xmit_8023+0x124/0x488 dev_hard_start_xmit+0x160/0x5a8 __dev_queue_xmit+0x6f8/0x3120 br_dev_queue_push_xmit+0x120/0x4a8 __br_forward+0xe4/0x2b0 deliver_clone+0x5c/0xd0 br_flood+0x398/0x580 br_dev_xmit+0x454/0x9f8 dev_hard_start_xmit+0x160/0x5a8 __dev_queue_xmit+0x6f8/0x3120 ip6_finish_output2+0xc28/0x1b60 __ip6_finish_output+0x38c/0x638 ip6_output+0x1b4/0x338 ip6_local_out+0x7c/0xa8 ip6_send_skb+0x7c/0x1b0 ip6_push_pending_frames+0x94/0xd0 rawv6_sendmsg+0x1a98/0x2898 inet_sendmsg+0x94/0xe0 __sys_sendto+0x1e4/0x308 __arm64_sys_sendto+0xc4/0x140 do_el0_svc+0x110/0x280 el0_svc+0x20/0x60 el0t_64_sync_handler+0x104/0x138 el0t_64_sync+0x154/0x158 To avoid that, empty vif's txq at ieee80211_do_stop() so no packet could be dequeued after ieee80211_do_stop() (new packets cannot be queued because SDATA_STATE_RUNNING is cleared at this point). Уязвимость компонента mac80211 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: at76c50x: fix use after free access in at76_disconnect The memory pointed to by priv is freed at the end of at76_delete_device function (using ieee80211_free_hw). But the code then accesses the udev field of the freed object to put the USB device. This may also lead to a memory leak of the usb device. Fix this by using udev from interface. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: hfsc: Fix a UAF vulnerability in class handling This patch fixes a Use-After-Free vulnerability in the HFSC qdisc class handling. The issue occurs due to a time-of-check/time-of-use condition in hfsc_change_class() when working with certain child qdiscs like netem or codel. The vulnerability works as follows: 1. hfsc_change_class() checks if a class has packets (q.qlen != 0) 2. It then calls qdisc_peek_len(), which for certain qdiscs (e.g., codel, netem) might drop packets and empty the queue 3. The code continues assuming the queue is still non-empty, adding the class to vttree 4. This breaks HFSC scheduler assumptions that only non-empty classes are in vttree 5. Later, when the class is destroyed, this can lead to a Use-After-Free The fix adds a second queue length check after qdisc_peek_len() to verify the queue wasn't emptied. Уязвимость компонента sch_hfsc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_hfsc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_hfsc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_hfsc ``` или ``` kmod list | grep sch_hfsc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_hfsc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_hfsc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: codel: remove sch->q.qlen check before qdisc_tree_reduce_backlog() After making all ->qlen_notify() callbacks idempotent, now it is safe to remove the check of qlen!=0 from both fq_codel_dequeue() and codel_qdisc_dequeue(). Уязвимость компонента sch_codel.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_fq_codel.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_fq_codel в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_fq_codel ``` или ``` kmod list | grep sch_fq_codel ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_fq_codel ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_fq_codel /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vmxnet3: Fix malformed packet sizing in vmxnet3_process_xdp vmxnet3 driver's XDP handling is buggy for packet sizes using ring0 (that is, packet sizes between 128 - 3k bytes). We noticed MTU-related connectivity issues with Cilium's service load- balancing in case of vmxnet3 as NIC underneath. A simple curl to a HTTP backend service where the XDP LB was doing IPIP encap led to overly large packet sizes but only for *some* of the packets (e.g. HTTP GET request) while others (e.g. the prior TCP 3WHS) looked completely fine on the wire. In fact, the pcap recording on the backend node actually revealed that the node with the XDP LB was leaking uninitialized kernel data onto the wire for the affected packets, for example, while the packets should have been 152 bytes their actual size was 1482 bytes, so the remainder after 152 bytes was padded with whatever other data was in that page at the time (e.g. we saw user/payload data from prior processed packets). We only noticed this through an MTU issue, e.g. when the XDP LB node and the backend node both had the same MTU (e.g. 1500) then the curl request got dropped on the backend node's NIC given the packet was too large even though the IPIP-encapped packet normally would never even come close to the MTU limit. Lowering the MTU on the XDP LB (e.g. 1480) allowed to let the curl request succeed (which also indicates that the kernel ignored the padding, and thus the issue wasn't very user-visible). Commit e127ce7699c1 ("vmxnet3: Fix missing reserved tailroom") was too eager to also switch xdp_prepare_buff() from rcd->len to rbi->len. It really needs to stick to rcd->len which is the actual packet length from the descriptor. The latter we also feed into vmxnet3_process_xdp_small(), by the way, and it indicates the correct length needed to initialize the xdp->{data,data_end} parts. For e127ce7699c1 ("vmxnet3: Fix missing reserved tailroom") the relevant part was adapting xdp_init_buff() to address the warning given the xdp_data_hard_end() depends on xdp->frame_sz. With that fixed, traffic on the wire looks good again. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L', score=8.6) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: driver core: fix potential NULL pointer dereference in dev_uevent() If userspace reads "uevent" device attribute at the same time as another threads unbinds the device from its driver, change to dev->driver from a valid pointer to NULL may result in crash. Fix this by using READ_ONCE() when fetching the pointer, and take bus' drivers klist lock to make sure driver instance will not disappear while we access it. Use WRITE_ONCE() when setting the driver pointer to ensure there is no tearing. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: spi-imx: Add check for spi_imx_setupxfer() Add check for the return value of spi_imx_setupxfer(). spi_imx->rx and spi_imx->tx function pointer can be NULL when spi_imx_setupxfer() return error, and make NULL pointer dereference. Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 Call trace: 0x0 spi_imx_pio_transfer+0x50/0xd8 spi_imx_transfer_one+0x18c/0x858 spi_transfer_one_message+0x43c/0x790 __spi_pump_transfer_message+0x238/0x5d4 __spi_sync+0x2b0/0x454 spi_write_then_read+0x11c/0x200 Уязвимость функции spi_imx_transfer_one ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix WARNING "do not call blocking ops when !TASK_RUNNING" wait_event_timeout() will set the state of the current task to TASK_UNINTERRUPTIBLE, before doing the condition check. This means that ksmbd_durable_scavenger_alive() will try to acquire the mutex while already in a sleeping state. The scheduler warns us by giving the following warning: do not call blocking ops when !TASK_RUNNING; state=2 set at [<0000000061515a6f>] prepare_to_wait_event+0x9f/0x6c0 WARNING: CPU: 2 PID: 4147 at kernel/sched/core.c:10099 __might_sleep+0x12f/0x160 mutex lock is not needed in ksmbd_durable_scavenger_alive(). [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: udmabuf: fix a buf size overflow issue during udmabuf creation by casting size_limit_mb to u64 when calculate pglimit. Уязвимость функции size_limit_mb ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sound/virtio: Fix cancel_sync warnings on uninitialized work_structs Betty reported hitting the following warning: [ 8.709131][ T221] WARNING: CPU: 2 PID: 221 at kernel/workqueue.c:4182 ... [ 8.713282][ T221] Call trace: [ 8.713365][ T221] __flush_work+0x8d0/0x914 [ 8.713468][ T221] __cancel_work_sync+0xac/0xfc [ 8.713570][ T221] cancel_work_sync+0x24/0x34 [ 8.713667][ T221] virtsnd_remove+0xa8/0xf8 [virtio_snd ab15f34d0dd772f6d11327e08a81d46dc9c36276] [ 8.713868][ T221] virtsnd_probe+0x48c/0x664 [virtio_snd ab15f34d0dd772f6d11327e08a81d46dc9c36276] [ 8.714035][ T221] virtio_dev_probe+0x28c/0x390 [ 8.714139][ T221] really_probe+0x1bc/0x4c8 ... It seems we're hitting the error path in virtsnd_probe(), which triggers a virtsnd_remove() which iterates over the substreams calling cancel_work_sync() on the elapsed_period work_struct. Looking at the code, from earlier in: virtsnd_probe()->virtsnd_build_devs()->virtsnd_pcm_parse_cfg() We set snd->nsubstreams, allocate the snd->substreams, and if we then hit an error on the info allocation or something in virtsnd_ctl_query_info() fails, we will exit without having initialized the elapsed_period work_struct. When that error path unwinds we then call virtsnd_remove() which as long as the substreams array is allocated, will iterate through calling cancel_work_sync() on the uninitialized work struct hitting this warning. Takashi Iwai suggested this fix, which initializes the substreams structure right after allocation, so that if we hit the error paths we avoid trying to cleanup uninitialized data. Note: I have not yet managed to reproduce the issue myself, so this patch has had limited testing. Feedback or thoughts would be appreciated! Уязвимость функции virtsnd_probe() ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Keep write operations atomic syzbot reported a NULL pointer dereference in __generic_file_write_iter. [1] Before the write operation is completed, the user executes ioctl[2] to clear the compress flag of the file, which causes the is_compressed() judgment to return 0, further causing the program to enter the wrong process and call the wrong ops ntfs_aops_cmpr, which triggers the null pointer dereference of write_begin. Use inode lock to synchronize ioctl and write to avoid this case. [1] Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 Mem abort info: ESR = 0x0000000086000006 EC = 0x21: IABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x06: level 2 translation fault user pgtable: 4k pages, 48-bit VAs, pgdp=000000011896d000 [0000000000000000] pgd=0800000118b44403, p4d=0800000118b44403, pud=0800000117517403, pmd=0000000000000000 Internal error: Oops: 0000000086000006 [#1] PREEMPT SMP Modules linked in: CPU: 0 UID: 0 PID: 6427 Comm: syz-executor347 Not tainted 6.13.0-rc3-syzkaller-g573067a5a685 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 pstate: 80400005 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : 0x0 lr : generic_perform_write+0x29c/0x868 mm/filemap.c:4055 sp : ffff80009d4978a0 x29: ffff80009d4979c0 x28: dfff800000000000 x27: ffff80009d497bc8 x26: 0000000000000000 x25: ffff80009d497960 x24: ffff80008ba71c68 x23: 0000000000000000 x22: ffff0000c655dac0 x21: 0000000000001000 x20: 000000000000000c x19: 1ffff00013a92f2c x18: ffff0000e183aa1c x17: 0004060000000014 x16: ffff800083275834 x15: 0000000000000001 x14: 0000000000000000 x13: 0000000000000001 x12: ffff0000c655dac0 x11: 0000000000ff0100 x10: 0000000000ff0100 x9 : 0000000000000000 x8 : 0000000000000000 x7 : 0000000000000000 x6 : 0000000000000000 x5 : ffff80009d497980 x4 : ffff80009d497960 x3 : 0000000000001000 x2 : 0000000000000000 x1 : ffff0000e183a928 x0 : ffff0000d60b0fc0 Call trace: 0x0 (P) __generic_file_write_iter+0xfc/0x204 mm/filemap.c:4156 ntfs_file_write_iter+0x54c/0x630 fs/ntfs3/file.c:1267 new_sync_write fs/read_write.c:586 [inline] vfs_write+0x920/0xcf4 fs/read_write.c:679 ksys_write+0x15c/0x26c fs/read_write.c:731 __do_sys_write fs/read_write.c:742 [inline] __se_sys_write fs/read_write.c:739 [inline] __arm64_sys_write+0x7c/0x90 fs/read_write.c:739 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x98/0x2b8 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x130/0x23c arch/arm64/kernel/syscall.c:132 do_el0_svc+0x48/0x58 arch/arm64/kernel/syscall.c:151 el0_svc+0x54/0x168 arch/arm64/kernel/entry-common.c:744 el0t_64_sync_handler+0x84/0x108 arch/arm64/kernel/entry-common.c:762 [2] ioctl$FS_IOC_SETFLAGS(r0, 0x40086602, &(0x7f00000000c0)=0x20) [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix kmemleak warning for percpu hashmap Vlad Poenaru reported the following kmemleak issue: unreferenced object 0x606fd7c44ac8 (size 32): backtrace (crc 0): pcpu_alloc_noprof+0x730/0xeb0 bpf_map_alloc_percpu+0x69/0xc0 prealloc_init+0x9d/0x1b0 htab_map_alloc+0x363/0x510 map_create+0x215/0x3a0 __sys_bpf+0x16b/0x3e0 __x64_sys_bpf+0x18/0x20 do_syscall_64+0x7b/0x150 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Further investigation shows the reason is due to not 8-byte aligned store of percpu pointer in htab_elem_set_ptr(): *(void __percpu **)(l->key + key_size) = pptr; Note that the whole htab_elem alignment is 8 (for x86_64). If the key_size is 4, that means pptr is stored in a location which is 4 byte aligned but not 8 byte aligned. In mm/kmemleak.c, scan_block() scans the memory based on 8 byte stride, so it won't detect above pptr, hence reporting the memory leak. In htab_map_alloc(), we already have htab->elem_size = sizeof(struct htab_elem) + round_up(htab->map.key_size, 8); if (percpu) htab->elem_size += sizeof(void *); else htab->elem_size += round_up(htab->map.value_size, 8); So storing pptr with 8-byte alignment won't cause any problem and can fix kmemleak too. The issue can be reproduced with bpf selftest as well: 1. Enable CONFIG_DEBUG_KMEMLEAK config 2. Add a getchar() before skel destroy in test_hash_map() in prog_tests/for_each.c. The purpose is to keep map available so kmemleak can be detected. 3. run './test_progs -t for_each/hash_map &' and a kmemleak should be reported. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: null - Use spin lock instead of mutex As the null algorithm may be freed in softirq context through af_alg, use spin locks instead of mutexes to protect the default null algorithm. Уязвимость компонента crypto_null.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: typec: class: Fix NULL pointer access Concurrent calls to typec_partner_unlink_device can lead to a NULL pointer dereference. This patch adds a mutex to protect USB device pointers and prevent this issue. The same mutex protects both the device pointers and the partner device registration. Уязвимость компонента drivers/usb/typec ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: gadget: check that event count does not exceed event buffer length The event count is read from register DWC3_GEVNTCOUNT. There is a check for the count being zero, but not for exceeding the event buffer length. Check that event count does not exceed event buffer length, avoiding an out-of-bounds access when memcpy'ing the event. Crash log: Unable to handle kernel paging request at virtual address ffffffc0129be000 pc : __memcpy+0x114/0x180 lr : dwc3_check_event_buf+0xec/0x348 x3 : 0000000000000030 x2 : 000000000000dfc4 x1 : ffffffc0129be000 x0 : ffffff87aad60080 Call trace: __memcpy+0x114/0x180 dwc3_interrupt+0x24/0x34 Уязвимость компонента gadget.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: chipidea: ci_hdrc_imx: fix usbmisc handling usbmisc is an optional device property so it is totally valid for the corresponding data->usbmisc_data to have a NULL value. Check that before dereferencing the pointer. Found by Linux Verification Center (linuxtesting.org) with Svace static analysis tool. Уязвимость компонента ci_hdrc_imx.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: cdns3: Fix deadlock when using NCM gadget The cdns3 driver has the same NCM deadlock as fixed in cdnsp by commit 58f2fcb3a845 ("usb: cdnsp: Fix deadlock issue during using NCM gadget"). Under PREEMPT_RT the deadlock can be readily triggered by heavy network traffic, for example using "iperf --bidir" over NCM ethernet link. The deadlock occurs because the threaded interrupt handler gets preempted by a softirq, but both are protected by the same spinlock. Prevent deadlock by disabling softirq during threaded irq handler. Уязвимость компонента cdns3 ядра операционной системы Linux связана с зависанием из-за повторной блокировки ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: xhci: Fix invalid pointer dereference in Etron workaround This check is performed before prepare_transfer() and prepare_ring(), so enqueue can already point at the final link TRB of a segment. And indeed it will, some 0.4% of times this code is called. Then enqueue + 1 is an invalid pointer. It will crash the kernel right away or load some junk which may look like a link TRB and cause the real link TRB to be replaced with a NOOP. This wouldn't end well. Use a functionally equivalent test which doesn't dereference the pointer and always gives correct result. Something has crashed my machine twice in recent days while playing with an Etron HC, and a control transfer stress test ran for confirmation has just crashed it again. The same test passes with this patch applied. Уязвимость компонента drivers/usb/host/xhci-ring.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: misc: microchip: pci1xxxx: Fix Kernel panic during IRQ handler registration Resolve kernel panic while accessing IRQ handler associated with the generated IRQ. This is done by acquiring the spinlock and storing the current interrupt state before handling the interrupt request using generic_handle_irq. A previous fix patch was submitted where 'generic_handle_irq' was replaced with 'handle_nested_irq'. However, this change also causes the kernel panic where after determining which GPIO triggered the interrupt and attempting to call handle_nested_irq with the mapped IRQ number, leads to a failure in locating the registered handler. Уязвимость компонента microchip ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mei: vsc: Fix fortify-panic caused by invalid counted_by() use gcc 15 honors the __counted_by(len) attribute on vsc_tp_packet.buf[] and the vsc-tp.c code is using this in a wrong way. len does not contain the available size in the buffer, it contains the actual packet length *without* the crc. So as soon as vsc_tp_xfer() tries to add the crc to buf[] the fortify-panic handler gets triggered: [ 80.842193] memcpy: detected buffer overflow: 4 byte write of buffer size 0 [ 80.842243] WARNING: CPU: 4 PID: 272 at lib/string_helpers.c:1032 __fortify_report+0x45/0x50 ... [ 80.843175] __fortify_panic+0x9/0xb [ 80.843186] vsc_tp_xfer.cold+0x67/0x67 [mei_vsc_hw] [ 80.843210] ? seqcount_lockdep_reader_access.constprop.0+0x82/0x90 [ 80.843229] ? lockdep_hardirqs_on+0x7c/0x110 [ 80.843250] mei_vsc_hw_start+0x98/0x120 [mei_vsc] [ 80.843270] mei_reset+0x11d/0x420 [mei] The easiest fix would be to just drop the counted-by but with the exception of the ack buffer in vsc_tp_xfer_helper() which only contains enough room for the packet-header, all other uses of vsc_tp_packet always use a buffer of VSC_TP_MAX_XFER_SIZE bytes for the packet. Instead of just dropping the counted-by, split the vsc_tp_packet struct definition into a header and a full-packet definition and use a fixed size buf[] in the packet definition, this way fortify-source buffer overrun checking still works when enabled. Уязвимость компонента drivers/misc/mei/vsc-tp.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mcb: fix a double free bug in chameleon_parse_gdd() In chameleon_parse_gdd(), if mcb_device_register() fails, 'mdev' would be released in mcb_device_register() via put_device(). Thus, goto 'err' label and free 'mdev' again causes a double free. Just return if mcb_device_register() fails. Уязвимость функции chameleon_parse_gdd() ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Return NULL from huge_pte_offset() for invalid PMD LoongArch's huge_pte_offset() currently returns a pointer to a PMD slot even if the underlying entry points to invalid_pte_table (indicating no mapping). Callers like smaps_hugetlb_range() fetch this invalid entry value (the address of invalid_pte_table) via this pointer. The generic is_swap_pte() check then incorrectly identifies this address as a swap entry on LoongArch, because it satisfies the "!pte_present() && !pte_none()" conditions. This misinterpretation, combined with a coincidental match by is_migration_entry() on the address bits, leads to kernel crashes in pfn_swap_entry_to_page(). Fix this at the architecture level by modifying huge_pte_offset() to check the PMD entry's content using pmd_none() before returning. If the entry is invalid (i.e., it points to invalid_pte_table), return NULL instead of the pointer to the slot. Уязвимость компонента hugetlbpage.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: irqchip/gic-v2m: Prevent use after free of gicv2m_get_fwnode() With ACPI in place, gicv2m_get_fwnode() is registered with the pci subsystem as pci_msi_get_fwnode_cb(), which may get invoked at runtime during a PCI host bridge probe. But, the call back is wrongly marked as __init, causing it to be freed, while being registered with the PCI subsystem and could trigger: Unable to handle kernel paging request at virtual address ffff8000816c0400 gicv2m_get_fwnode+0x0/0x58 (P) pci_set_bus_msi_domain+0x74/0x88 pci_register_host_bridge+0x194/0x548 This is easily reproducible on a Juno board with ACPI boot. Retain the function for later use. Уязвимость компонента irq-gic-v2m.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xen-netfront: handle NULL returned by xdp_convert_buff_to_frame() The function xdp_convert_buff_to_frame() may return NULL if it fails to correctly convert the XDP buffer into an XDP frame due to memory constraints, internal errors, or invalid data. Failing to check for NULL may lead to a NULL pointer dereference if the result is used later in processing, potentially causing crashes, data corruption, or undefined behavior. On XDP redirect failure, the associated page must be released explicitly if it was previously retained via get_page(). Failing to do so may result in a memory leak, as the pages reference count is not decremented. Уязвимость компонента xen-netfront.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched/eevdf: Fix se->slice being set to U64_MAX and resulting crash There is a code path in dequeue_entities() that can set the slice of a sched_entity to U64_MAX, which sometimes results in a crash. The offending case is when dequeue_entities() is called to dequeue a delayed group entity, and then the entity's parent's dequeue is delayed. In that case: 1. In the if (entity_is_task(se)) else block at the beginning of dequeue_entities(), slice is set to cfs_rq_min_slice(group_cfs_rq(se)). If the entity was delayed, then it has no queued tasks, so cfs_rq_min_slice() returns U64_MAX. 2. The first for_each_sched_entity() loop dequeues the entity. 3. If the entity was its parent's only child, then the next iteration tries to dequeue the parent. 4. If the parent's dequeue needs to be delayed, then it breaks from the first for_each_sched_entity() loop _without updating slice_. 5. The second for_each_sched_entity() loop sets the parent's ->slice to the saved slice, which is still U64_MAX. This throws off subsequent calculations with potentially catastrophic results. A manifestation we saw in production was: 6. In update_entity_lag(), se->slice is used to calculate limit, which ends up as a huge negative number. 7. limit is used in se->vlag = clamp(vlag, -limit, limit). Because limit is negative, vlag > limit, so se->vlag is set to the same huge negative number. 8. In place_entity(), se->vlag is scaled, which overflows and results in another huge (positive or negative) number. 9. The adjusted lag is subtracted from se->vruntime, which increases or decreases se->vruntime by a huge number. 10. pick_eevdf() calls entity_eligible()/vruntime_eligible(), which incorrectly returns false because the vruntime is so far from the other vruntimes on the queue, causing the (vruntime - cfs_rq->min_vruntime) * load calulation to overflow. 11. Nothing appears to be eligible, so pick_eevdf() returns NULL. 12. pick_next_entity() tries to dereference the return value of pick_eevdf() and crashes. Dumping the cfs_rq states from the core dumps with drgn showed tell-tale huge vruntime ranges and bogus vlag values, and I also traced se->slice being set to U64_MAX on live systems (which was usually "benign" since the rest of the runqueue needed to be in a particular state to crash). Fix it in dequeue_entities() by always setting slice from the first non-empty cfs_rq. Уязвимость функции dequeue_entities() компонента kernel/sched/fair.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: hfsc: Fix a potential UAF in hfsc_dequeue() too Similarly to the previous patch, we need to safe guard hfsc_dequeue() too. But for this one, we don't have a reliable reproducer. Уязвимость компонента sch_hfsc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tipc: fix NULL pointer dereference in tipc_mon_reinit_self() syzbot reported: tipc: Node number set to 1055423674 Oops: general protection fault, probably for non-canonical address 0xdffffc0000000000: 0000 [#1] SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] CPU: 3 UID: 0 PID: 6017 Comm: kworker/3:5 Not tainted 6.15.0-rc1-syzkaller-00246-g900241a5cc15 #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Workqueue: events tipc_net_finalize_work RIP: 0010:tipc_mon_reinit_self+0x11c/0x210 net/tipc/monitor.c:719 ... RSP: 0018:ffffc9000356fb68 EFLAGS: 00010246 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 000000003ee87cba RDX: 0000000000000000 RSI: ffffffff8dbc56a7 RDI: ffff88804c2cc010 RBP: dffffc0000000000 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000000 R12: 0000000000000007 R13: fffffbfff2111097 R14: ffff88804ead8000 R15: ffff88804ead9010 FS: 0000000000000000(0000) GS:ffff888097ab9000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000f720eb00 CR3: 000000000e182000 CR4: 0000000000352ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> tipc_net_finalize+0x10b/0x180 net/tipc/net.c:140 process_one_work+0x9cc/0x1b70 kernel/workqueue.c:3238 process_scheduled_works kernel/workqueue.c:3319 [inline] worker_thread+0x6c8/0xf10 kernel/workqueue.c:3400 kthread+0x3c2/0x780 kernel/kthread.c:464 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:153 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> ... RIP: 0010:tipc_mon_reinit_self+0x11c/0x210 net/tipc/monitor.c:719 ... RSP: 0018:ffffc9000356fb68 EFLAGS: 00010246 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 000000003ee87cba RDX: 0000000000000000 RSI: ffffffff8dbc56a7 RDI: ffff88804c2cc010 RBP: dffffc0000000000 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000000 R12: 0000000000000007 R13: fffffbfff2111097 R14: ffff88804ead8000 R15: ffff88804ead9010 FS: 0000000000000000(0000) GS:ffff888097ab9000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000f720eb00 CR3: 000000000e182000 CR4: 0000000000352ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 There is a racing condition between workqueue created when enabling bearer and another thread created when disabling bearer right after that as follow: enabling_bearer | disabling_bearer --------------- | ---------------- tipc_disc_timeout() | { | bearer_disable() ... | { schedule_work(&tn->work); | tipc_mon_delete() ... | { } | ... | write_lock_bh(&mon->lock); | mon->self = NULL; | write_unlock_bh(&mon->lock); | ... | } tipc_net_finalize_work() | } { | ... | tipc_net_finalize() | { | ... | tipc_mon_reinit_self() | { | ... | write_lock_bh(&mon->lock); | mon->self->addr = tipc_own_addr(net); | write_unlock_bh(&mon->lock); | ... ---truncated--- Уязвимость компонента monitor.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: core: Add NULL check in ufshcd_mcq_compl_pending_transfer() Add a NULL check for the returned hwq pointer by ufshcd_mcq_req_to_hwq(). This is similar to the fix in commit 74736103fb41 ("scsi: ufs: core: Fix ufshcd_abort_one racing issue"). Уязвимость компонента drivers/ufs/core ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: zoned: return EIO on RAID1 block group write pointer mismatch There was a bug report about a NULL pointer dereference in __btrfs_add_free_space_zoned() that ultimately happens because a conversion from the default metadata profile DUP to a RAID1 profile on two disks. The stack trace has the following signature: BTRFS error (device sdc): zoned: write pointer offset mismatch of zones in raid1 profile BUG: kernel NULL pointer dereference, address: 0000000000000058 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] PREEMPT SMP NOPTI RIP: 0010:__btrfs_add_free_space_zoned.isra.0+0x61/0x1a0 RSP: 0018:ffffa236b6f3f6d0 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffff96c8132f3400 RCX: 0000000000000001 RDX: 0000000010000000 RSI: 0000000000000000 RDI: ffff96c8132f3410 RBP: 0000000010000000 R08: 0000000000000003 R09: 0000000000000000 R10: 0000000000000000 R11: 00000000ffffffff R12: 0000000000000000 R13: ffff96c758f65a40 R14: 0000000000000001 R15: 000011aac0000000 FS: 00007fdab1cb2900(0000) GS:ffff96e60ca00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000058 CR3: 00000001a05ae000 CR4: 0000000000350ef0 Call Trace: <TASK> ? __die_body.cold+0x19/0x27 ? page_fault_oops+0x15c/0x2f0 ? exc_page_fault+0x7e/0x180 ? asm_exc_page_fault+0x26/0x30 ? __btrfs_add_free_space_zoned.isra.0+0x61/0x1a0 btrfs_add_free_space_async_trimmed+0x34/0x40 btrfs_add_new_free_space+0x107/0x120 btrfs_make_block_group+0x104/0x2b0 btrfs_create_chunk+0x977/0xf20 btrfs_chunk_alloc+0x174/0x510 ? srso_return_thunk+0x5/0x5f btrfs_inc_block_group_ro+0x1b1/0x230 btrfs_relocate_block_group+0x9e/0x410 btrfs_relocate_chunk+0x3f/0x130 btrfs_balance+0x8ac/0x12b0 ? srso_return_thunk+0x5/0x5f ? srso_return_thunk+0x5/0x5f ? __kmalloc_cache_noprof+0x14c/0x3e0 btrfs_ioctl+0x2686/0x2a80 ? srso_return_thunk+0x5/0x5f ? ioctl_has_perm.constprop.0.isra.0+0xd2/0x120 __x64_sys_ioctl+0x97/0xc0 do_syscall_64+0x82/0x160 ? srso_return_thunk+0x5/0x5f ? __memcg_slab_free_hook+0x11a/0x170 ? srso_return_thunk+0x5/0x5f ? kmem_cache_free+0x3f0/0x450 ? srso_return_thunk+0x5/0x5f ? srso_return_thunk+0x5/0x5f ? syscall_exit_to_user_mode+0x10/0x210 ? srso_return_thunk+0x5/0x5f ? do_syscall_64+0x8e/0x160 ? sysfs_emit+0xaf/0xc0 ? srso_return_thunk+0x5/0x5f ? srso_return_thunk+0x5/0x5f ? seq_read_iter+0x207/0x460 ? srso_return_thunk+0x5/0x5f ? vfs_read+0x29c/0x370 ? srso_return_thunk+0x5/0x5f ? srso_return_thunk+0x5/0x5f ? syscall_exit_to_user_mode+0x10/0x210 ? srso_return_thunk+0x5/0x5f ? do_syscall_64+0x8e/0x160 ? srso_return_thunk+0x5/0x5f ? exc_page_fault+0x7e/0x180 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7fdab1e0ca6d RSP: 002b:00007ffeb2b60c80 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 0000000000000003 RCX: 00007fdab1e0ca6d RDX: 00007ffeb2b60d80 RSI: 00000000c4009420 RDI: 0000000000000003 RBP: 00007ffeb2b60cd0 R08: 0000000000000000 R09: 0000000000000013 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 00007ffeb2b6343b R14: 00007ffeb2b60d80 R15: 0000000000000001 </TASK> CR2: 0000000000000058 ---[ end trace 0000000000000000 ]--- The 1st line is the most interesting here: BTRFS error (device sdc): zoned: write pointer offset mismatch of zones in raid1 profile When a RAID1 block-group is created and a write pointer mismatch between the disks in the RAID set is detected, btrfs sets the alloc_offset to the length of the block group marking it as full. Afterwards the code expects that a balance operation will evacuate the data in this block-group and repair the problems. But before this is possible, the new space of this block-group will be accounted in the free space cache. But in __btrfs_ ---truncated--- Уязвимость компонента fs/btrfs/zoned.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: mcq: Add NULL check in ufshcd_mcq_abort() A race can occur between the MCQ completion path and the abort handler: once a request completes, __blk_mq_free_request() sets rq->mq_hctx to NULL, meaning the subsequent ufshcd_mcq_req_to_hwq() call in ufshcd_mcq_abort() can return a NULL pointer. If this NULL pointer is dereferenced, the kernel will crash. Add a NULL check for the returned hwq pointer. If hwq is NULL, log an error and return FAILED, preventing a potential NULL-pointer dereference. As suggested by Bart, the ufshcd_cmd_inflight() check is removed. This is similar to the fix in commit 74736103fb41 ("scsi: ufs: core: Fix ufshcd_abort_one racing issue"). This is found by our static analysis tool KNighter. Уязвимость функции ufshcd_mcq_abort() компонента drivers/ufs/core/ufs-mcq.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cpufreq: scpi: Fix null-ptr-deref in scpi_cpufreq_get_rate() cpufreq_cpu_get_raw() can return NULL when the target CPU is not present in the policy->cpus mask. scpi_cpufreq_get_rate() does not check for this case, which results in a NULL pointer dereference. Уязвимость компонента scpi-cpufreq.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cpufreq: scmi: Fix null-ptr-deref in scmi_cpufreq_get_rate() cpufreq_cpu_get_raw() can return NULL when the target CPU is not present in the policy->cpus mask. scmi_cpufreq_get_rate() does not check for this case, which results in a NULL pointer dereference. Add NULL check after cpufreq_cpu_get_raw() to prevent this issue. Уязвимость функций scmi_cpufreq_get_rate() и cpufreq_cpu_get_raw() ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cpufreq: apple-soc: Fix null-ptr-deref in apple_soc_cpufreq_get_rate() cpufreq_cpu_get_raw() can return NULL when the target CPU is not present in the policy->cpus mask. apple_soc_cpufreq_get_rate() does not check for this case, which results in a NULL pointer dereference. Уязвимость функции apple_soc_cpufreq_get_rate() компонента drivers/cpufreq/apple-soc-cpufreq.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/niu: Niu requires MSIX ENTRY_DATA fields touch before entry reads Fix niu_try_msix() to not cause a fatal trap on sparc systems. Set PCI_DEV_FLAGS_MSIX_TOUCH_ENTRY_DATA_FIRST on the struct pci_dev to work around a bug in the hardware or firmware. For each vector entry in the msix table, niu chips will cause a fatal trap if any registers in that entry are read before that entries' ENTRY_DATA register is written to. Testing indicates writes to other registers are not sufficient to prevent the fatal trap, however the value does not appear to matter. This only needs to happen once after power up, so simply rebooting into a kernel lacking this fix will NOT cause the trap. NON-RESUMABLE ERROR: Reporting on cpu 64 NON-RESUMABLE ERROR: TPC [0x00000000005f6900] <msix_prepare_msi_desc+0x90/0xa0> NON-RESUMABLE ERROR: RAW [4010000000000016:00000e37f93e32ff:0000000202000080:ffffffffffffffff NON-RESUMABLE ERROR: 0000000800000000:0000000000000000:0000000000000000:0000000000000000] NON-RESUMABLE ERROR: handle [0x4010000000000016] stick [0x00000e37f93e32ff] NON-RESUMABLE ERROR: type [precise nonresumable] NON-RESUMABLE ERROR: attrs [0x02000080] < ASI sp-faulted priv > NON-RESUMABLE ERROR: raddr [0xffffffffffffffff] NON-RESUMABLE ERROR: insn effective address [0x000000c50020000c] NON-RESUMABLE ERROR: size [0x8] NON-RESUMABLE ERROR: asi [0x00] CPU: 64 UID: 0 PID: 745 Comm: kworker/64:1 Not tainted 6.11.5 #63 Workqueue: events work_for_cpu_fn TSTATE: 0000000011001602 TPC: 00000000005f6900 TNPC: 00000000005f6904 Y: 00000000 Not tainted TPC: <msix_prepare_msi_desc+0x90/0xa0> g0: 00000000000002e9 g1: 000000000000000c g2: 000000c50020000c g3: 0000000000000100 g4: ffff8000470307c0 g5: ffff800fec5be000 g6: ffff800047a08000 g7: 0000000000000000 o0: ffff800014feb000 o1: ffff800047a0b620 o2: 0000000000000011 o3: ffff800047a0b620 o4: 0000000000000080 o5: 0000000000000011 sp: ffff800047a0ad51 ret_pc: 00000000005f7128 RPC: <__pci_enable_msix_range+0x3cc/0x460> l0: 000000000000000d l1: 000000000000c01f l2: ffff800014feb0a8 l3: 0000000000000020 l4: 000000000000c000 l5: 0000000000000001 l6: 0000000020000000 l7: ffff800047a0b734 i0: ffff800014feb000 i1: ffff800047a0b730 i2: 0000000000000001 i3: 000000000000000d i4: 0000000000000000 i5: 0000000000000000 i6: ffff800047a0ae81 i7: 00000000101888b0 I7: <niu_try_msix.constprop.0+0xc0/0x130 [niu]> Call Trace: [<00000000101888b0>] niu_try_msix.constprop.0+0xc0/0x130 [niu] [<000000001018f840>] niu_get_invariants+0x183c/0x207c [niu] [<00000000101902fc>] niu_pci_init_one+0x27c/0x2fc [niu] [<00000000005ef3e4>] local_pci_probe+0x28/0x74 [<0000000000469240>] work_for_cpu_fn+0x8/0x1c [<000000000046b008>] process_scheduled_works+0x144/0x210 [<000000000046b518>] worker_thread+0x13c/0x1c0 [<00000000004710e0>] kthread+0xb8/0xc8 [<00000000004060c8>] ret_from_fork+0x1c/0x2c [<0000000000000000>] 0x0 Kernel panic - not syncing: Non-resumable error. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/vmscan: don't try to reclaim hwpoison folio Syzkaller reports a bug as follows: Injecting memory failure for pfn 0x18b00e at process virtual address 0x20ffd000 Memory failure: 0x18b00e: dirty swapcache page still referenced by 2 users Memory failure: 0x18b00e: recovery action for dirty swapcache page: Failed page: refcount:2 mapcount:0 mapping:0000000000000000 index:0x20ffd pfn:0x18b00e memcg:ffff0000dd6d9000 anon flags: 0x5ffffe00482011(locked|dirty|arch_1|swapbacked|hwpoison|node=0|zone=2|lastcpupid=0xfffff) raw: 005ffffe00482011 dead000000000100 dead000000000122 ffff0000e232a7c9 raw: 0000000000020ffd 0000000000000000 00000002ffffffff ffff0000dd6d9000 page dumped because: VM_BUG_ON_FOLIO(!folio_test_uptodate(folio)) ------------[ cut here ]------------ kernel BUG at mm/swap_state.c:184! Internal error: Oops - BUG: 00000000f2000800 [#1] SMP Modules linked in: CPU: 0 PID: 60 Comm: kswapd0 Not tainted 6.6.0-gcb097e7de84e #3 Hardware name: linux,dummy-virt (DT) pstate: 80400005 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : add_to_swap+0xbc/0x158 lr : add_to_swap+0xbc/0x158 sp : ffff800087f37340 x29: ffff800087f37340 x28: fffffc00052c0380 x27: ffff800087f37780 x26: ffff800087f37490 x25: ffff800087f37c78 x24: ffff800087f377a0 x23: ffff800087f37c50 x22: 0000000000000000 x21: fffffc00052c03b4 x20: 0000000000000000 x19: fffffc00052c0380 x18: 0000000000000000 x17: 296f696c6f662865 x16: 7461646f7470755f x15: 747365745f6f696c x14: 6f6621284f494c4f x13: 0000000000000001 x12: ffff600036d8b97b x11: 1fffe00036d8b97a x10: ffff600036d8b97a x9 : dfff800000000000 x8 : 00009fffc9274686 x7 : ffff0001b6c5cbd3 x6 : 0000000000000001 x5 : ffff0000c25896c0 x4 : 0000000000000000 x3 : 0000000000000000 x2 : 0000000000000000 x1 : ffff0000c25896c0 x0 : 0000000000000000 Call trace: add_to_swap+0xbc/0x158 shrink_folio_list+0x12ac/0x2648 shrink_inactive_list+0x318/0x948 shrink_lruvec+0x450/0x720 shrink_node_memcgs+0x280/0x4a8 shrink_node+0x128/0x978 balance_pgdat+0x4f0/0xb20 kswapd+0x228/0x438 kthread+0x214/0x230 ret_from_fork+0x10/0x20 I can reproduce this issue with the following steps: 1) When a dirty swapcache page is isolated by reclaim process and the page isn't locked, inject memory failure for the page. me_swapcache_dirty() clears uptodate flag and tries to delete from lru, but fails. Reclaim process will put the hwpoisoned page back to lru. 2) The process that maps the hwpoisoned page exits, the page is deleted the page will never be freed and will be in the lru forever. 3) If we trigger a reclaim again and tries to reclaim the page, add_to_swap() will trigger VM_BUG_ON_FOLIO due to the uptodate flag is cleared. To fix it, skip the hwpoisoned page in shrink_folio_list(). Besides, the hwpoison folio may not be unmapped by hwpoison_user_mappings() yet, unmap it in shrink_folio_list(), otherwise the folio will fail to be unmaped by hwpoison_user_mappings() since the folio isn't in lru list. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: Fix reference leak in pci_register_host_bridge() If device_register() fails, call put_device() to give up the reference to avoid a memory leak, per the comment at device_register(). Found by code review. [bhelgaas: squash Dan Carpenter's double free fix from https://lore.kernel.org/r/db806a6c-a91b-4e5a-a84b-6b7e01bdac85@stanley.mountain] Уязвимость функции pci_register_host_bridge() ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HSI: ssi_protocol: Fix use after free vulnerability in ssi_protocol Driver Due to Race Condition In the ssi_protocol_probe() function, &ssi->work is bound with ssip_xmit_work(), In ssip_pn_setup(), the ssip_pn_xmit() function within the ssip_pn_ops structure is capable of starting the work. If we remove the module which will call ssi_protocol_remove() to make a cleanup, it will free ssi through kfree(ssi), while the work mentioned above will be used. The sequence of operations that may lead to a UAF bug is as follows: CPU0 CPU1 | ssip_xmit_work ssi_protocol_remove | kfree(ssi); | | struct hsi_client *cl = ssi->cl; | // use ssi Fix it by ensuring that the work is canceled before proceeding with the cleanup in ssi_protocol_remove(). Уязвимость компонента drivers/hsi/clients/ssi_protocol.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jbd2: remove wrong sb->s_sequence check Journal emptiness is not determined by sb->s_sequence == 0 but rather by sb->s_start == 0 (which is set a few lines above). Furthermore 0 is a valid transaction ID so the check can spuriously trigger. Remove the invalid WARN_ON. Уязвимость ядра операционной системы Linux связана с некорректным вычислением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mtd: rawnand: brcmnand: fix PM resume warning Fixed warning on PM resume as shown below caused due to uninitialized struct nand_operation that checks chip select field : WARN_ON(op->cs >= nanddev_ntargets(&chip->base) [ 14.588522] ------------[ cut here ]------------ [ 14.588529] WARNING: CPU: 0 PID: 1392 at drivers/mtd/nand/raw/internals.h:139 nand_reset_op+0x1e0/0x1f8 [ 14.588553] Modules linked in: bdc udc_core [ 14.588579] CPU: 0 UID: 0 PID: 1392 Comm: rtcwake Tainted: G W 6.14.0-rc4-g5394eea10651 #16 [ 14.588590] Tainted: [W]=WARN [ 14.588593] Hardware name: Broadcom STB (Flattened Device Tree) [ 14.588598] Call trace: [ 14.588604] dump_backtrace from show_stack+0x18/0x1c [ 14.588622] r7:00000009 r6:0000008b r5:60000153 r4:c0fa558c [ 14.588625] show_stack from dump_stack_lvl+0x70/0x7c [ 14.588639] dump_stack_lvl from dump_stack+0x18/0x1c [ 14.588653] r5:c08d40b0 r4:c1003cb0 [ 14.588656] dump_stack from __warn+0x84/0xe4 [ 14.588668] __warn from warn_slowpath_fmt+0x18c/0x194 [ 14.588678] r7:c08d40b0 r6:c1003cb0 r5:00000000 r4:00000000 [ 14.588681] warn_slowpath_fmt from nand_reset_op+0x1e0/0x1f8 [ 14.588695] r8:70c40dff r7:89705f41 r6:36b4a597 r5:c26c9444 r4:c26b0048 [ 14.588697] nand_reset_op from brcmnand_resume+0x13c/0x150 [ 14.588714] r9:00000000 r8:00000000 r7:c24f8010 r6:c228a3f8 r5:c26c94bc r4:c26b0040 [ 14.588717] brcmnand_resume from platform_pm_resume+0x34/0x54 [ 14.588735] r5:00000010 r4:c0840a50 [ 14.588738] platform_pm_resume from dpm_run_callback+0x5c/0x14c [ 14.588757] dpm_run_callback from device_resume+0xc0/0x324 [ 14.588776] r9:c24f8054 r8:c24f80a0 r7:00000000 r6:00000000 r5:00000010 r4:c24f8010 [ 14.588779] device_resume from dpm_resume+0x130/0x160 [ 14.588799] r9:c22539e4 r8:00000010 r7:c22bebb0 r6:c24f8010 r5:c22539dc r4:c22539b0 [ 14.588802] dpm_resume from dpm_resume_end+0x14/0x20 [ 14.588822] r10:c2204e40 r9:00000000 r8:c228a3fc r7:00000000 r6:00000003 r5:c228a414 [ 14.588826] r4:00000010 [ 14.588828] dpm_resume_end from suspend_devices_and_enter+0x274/0x6f8 [ 14.588848] r5:c228a414 r4:00000000 [ 14.588851] suspend_devices_and_enter from pm_suspend+0x228/0x2bc [ 14.588868] r10:c3502910 r9:c3501f40 r8:00000004 r7:c228a438 r6:c0f95e18 r5:00000000 [ 14.588871] r4:00000003 [ 14.588874] pm_suspend from state_store+0x74/0xd0 [ 14.588889] r7:c228a438 r6:c0f934c8 r5:00000003 r4:00000003 [ 14.588892] state_store from kobj_attr_store+0x1c/0x28 [ 14.588913] r9:00000000 r8:00000000 r7:f09f9f08 r6:00000004 r5:c3502900 r4:c0283250 [ 14.588916] kobj_attr_store from sysfs_kf_write+0x40/0x4c [ 14.588936] r5:c3502900 r4:c0d92a48 [ 14.588939] sysfs_kf_write from kernfs_fop_write_iter+0x104/0x1f0 [ 14.588956] r5:c3502900 r4:c3501f40 [ 14.588960] kernfs_fop_write_iter from vfs_write+0x250/0x420 [ 14.588980] r10:c0e14b48 r9:00000000 r8:c25f5780 r7:00443398 r6:f09f9f68 r5:c34f7f00 [ 14.588983] r4:c042a88c [ 14.588987] vfs_write from ksys_write+0x74/0xe4 [ 14.589005] r10:00000004 r9:c25f5780 r8:c02002fA0 r7:00000000 r6:00000000 r5:c34f7f00 [ 14.589008] r4:c34f7f00 [ 14.589011] ksys_write from sys_write+0x10/0x14 [ 14.589029] r7:00000004 r6:004421c0 r5:00443398 r4:00000004 [ 14.589032] sys_write from ret_fast_syscall+0x0/0x5c [ 14.589044] Exception stack(0xf09f9fa8 to 0xf09f9ff0) [ 14.589050] 9fa0: 00000004 00443398 00000004 00443398 00000004 00000001 [ 14.589056] 9fc0: 00000004 00443398 004421c0 00000004 b6ecbd58 00000008 bebfbc38 0043eb78 [ 14.589062] 9fe0: 00440eb0 bebfbaf8 b6de18a0 b6e579e8 [ 14.589065] ---[ end trace 0000000000000000 ]--- The fix uses the higher level nand_reset(chip, chipnr); where chipnr = 0, when doing PM resume operation in compliance with the controller support for single die nand chip. Switching from nand_reset_op() to nan ---truncated--- Уязвимость компонента brcmnand.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pm: cpupower: bench: Prevent NULL dereference on malloc failure If malloc returns NULL due to low memory, 'config' pointer can be NULL. Add a check to prevent NULL dereference. Уязвимость компонента parse.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: pciehp: Avoid unnecessary device replacement check Hot-removal of nested PCI hotplug ports suffers from a long-standing race condition which can lead to a deadlock: A parent hotplug port acquires pci_lock_rescan_remove(), then waits for pciehp to unbind from a child hotplug port. Meanwhile that child hotplug port tries to acquire pci_lock_rescan_remove() as well in order to remove its own children. The deadlock only occurs if the parent acquires pci_lock_rescan_remove() first, not if the child happens to acquire it first. Several workarounds to avoid the issue have been proposed and discarded over the years, e.g.: https://lore.kernel.org/r/4c882e25194ba8282b78fe963fec8faae7cf23eb.1529173804.git.lukas@wunner.de/ A proper fix is being worked on, but needs more time as it is nontrivial and necessarily intrusive. Recent commit 9d573d19547b ("PCI: pciehp: Detect device replacement during system sleep") provokes more frequent occurrence of the deadlock when removing more than one Thunderbolt device during system sleep. The commit sought to detect device replacement, but also triggered on device removal. Differentiating reliably between replacement and removal is impossible because pci_get_dsn() returns 0 both if the device was removed, as well as if it was replaced with one lacking a Device Serial Number. Avoid the more frequent occurrence of the deadlock by checking whether the hotplug port itself was hot-removed. If so, there's no sense in checking whether its child device was replaced. This works because the ->resume_noirq() callback is invoked in top-down order for the entire hierarchy: A parent hotplug port detecting device replacement (or removal) marks all children as removed using pci_dev_set_disconnected() and a child hotplug port can then reliably detect being removed. Уязвимость компонента drivers/pci ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: avoid NULL pointer dereference in dbg call cifs_server_dbg() implies server to be non-NULL so move call under condition to avoid NULL pointer dereference. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента smb2misc.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: accel/ivpu: Fix deadlock in ivpu_ms_cleanup() Fix deadlock in ivpu_ms_cleanup() by preventing runtime resume after file_priv->ms_lock is acquired. During a failure in runtime resume, a cold boot is executed, which calls ivpu_ms_cleanup_all(). This function calls ivpu_ms_cleanup() that acquires file_priv->ms_lock and causes the deadlock. Уязвимость функции ivpu_ms_cleanup() компонента drivers/accel/ivpu/ivpu_ms.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: accel/ivpu: Fix PM related deadlocks in MS IOCTLs Prevent runtime resume/suspend while MS IOCTLs are in progress. Failed suspend will call ivpu_ms_cleanup() that would try to acquire file_priv->ms_lock, which is already held by the IOCTLs. Уязвимость компонента drivers/accel/ivpu ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: arm64: Tear down vGIC on failed vCPU creation If kvm_arch_vcpu_create() fails to share the vCPU page with the hypervisor, we propagate the error back to the ioctl but leave the vGIC vCPU data initialised. Note only does this leak the corresponding memory when the vCPU is destroyed but it can also lead to use-after-free if the redistributor device handling tries to walk into the vCPU. Add the missing cleanup to kvm_arch_vcpu_create(), ensuring that the vGIC vCPU structures are destroyed on error. Уязвимость компонента arm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pwm: mediatek: Prevent divide-by-zero in pwm_mediatek_config() With CONFIG_COMPILE_TEST && !CONFIG_HAVE_CLK, pwm_mediatek_config() has a divide-by-zero in the following line: do_div(resolution, clk_get_rate(pc->clk_pwms[pwm->hwpwm])); due to the fact that the !CONFIG_HAVE_CLK version of clk_get_rate() returns zero. This is presumably just a theoretical problem: COMPILE_TEST overrides the dependency on RALINK which would select COMMON_CLK. Regardless it's a good idea to check for the error explicitly to avoid divide-by-zero. Fixes the following warning: drivers/pwm/pwm-mediatek.o: warning: objtool: .text: unexpected end of section [ukleinek: s/CONFIG_CLK/CONFIG_HAVE_CLK/] Уязвимость компонента pwm-mediatek.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: omapfb: Add 'plane' value check Function dispc_ovl_setup is not intended to work with the value OMAP_DSS_WB of the enum parameter plane. The value of this parameter is initialized in dss_init_overlays and in the current state of the code it cannot take this value so it's not a real problem. For the purposes of defensive coding it wouldn't be superfluous to check the parameter value, because some functions down the call stack process this value correctly and some not. For example, in dispc_ovl_setup_global_alpha it may lead to buffer overflow. Add check for this value. Found by Linux Verification Center (linuxtesting.org) with SVACE static analysis tool. Уязвимость компонента dispc.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: handle amdgpu_cgs_create_device() errors in amd_powerplay_create() Add error handling to propagate amdgpu_cgs_create_device() failures to the caller. When amdgpu_cgs_create_device() fails, release hwmgr and return -ENOMEM to prevent null pointer dereference. [v1]->[v2]: Change error code from -EINVAL to -ENOMEM. Free hwmgr. Уязвимость компонента amd_powerplay.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: debugfs hang_hws skip GPU with MES debugfs hang_hws is used by GPU reset test with HWS, for MES this crash the kernel with NULL pointer access because dqm->packet_mgr is not setup for MES path. Skip GPU with MES for now, MES hang_hws debugfs interface will be supported later. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: Fix mode1 reset crash issue If HW scheduler hangs and mode1 reset is used to recover GPU, KFD signal user space to abort the processes. After process abort exit, user queues still use the GPU to access system memory before h/w is reset while KFD cleanup worker free system memory and free VRAM. There is use-after-free race bug that KFD allocate and reuse the freed system memory, and user queue write to the same system memory to corrupt the data structure and cause driver crash. To fix this race, KFD cleanup worker terminate user queues, then flush reset_domain wq to wait for any GPU ongoing reset complete, and then free outstanding BOs. Уязвимость компонента kfd_process.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: harden block_group::bg_list against list_del() races As far as I can tell, these calls of list_del_init() on bg_list cannot run concurrently with btrfs_mark_bg_unused() or btrfs_mark_bg_to_reclaim(), as they are in transaction error paths and situations where the block group is readonly. However, if there is any chance at all of racing with mark_bg_unused(), or a different future user of bg_list, better to be safe than sorry. Otherwise we risk the following interleaving (bg_list refcount in parens) T1 (some random op) T2 (btrfs_mark_bg_unused) !list_empty(&bg->bg_list); (1) list_del_init(&bg->bg_list); (1) list_move_tail (1) btrfs_put_block_group (0) btrfs_delete_unused_bgs bg = list_first_entry list_del_init(&bg->bg_list); btrfs_put_block_group(bg); (-1) Ultimately, this results in a broken ref count that hits zero one deref early and the real final deref underflows the refcount, resulting in a WARNING. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: st: Fix array overflow in st_setup() Change the array size to follow parms size instead of a fixed value. Уязвимость компонента st.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/jfs: Prevent integer overflow in AG size calculation The JFS filesystem calculates allocation group (AG) size using 1 << l2agsize in dbExtendFS(). When l2agsize exceeds 31 (possible with >2TB aggregates on 32-bit systems), this 32-bit shift operation causes undefined behavior and improper AG sizing. On 32-bit architectures: - Left-shifting 1 by 32+ bits results in 0 due to integer overflow - This creates invalid AG sizes (0 or garbage values) in sbi->bmap->db_agsize - Subsequent block allocations would reference invalid AG structures - Could lead to: - Filesystem corruption during extend operations - Kernel crashes due to invalid memory accesses - Security vulnerabilities via malformed on-disk structures Fix by casting to s64 before shifting: bmp->db_agsize = (s64)1 << l2agsize; This ensures 64-bit arithmetic even on 32-bit architectures. The cast matches the data type of db_agsize (s64) and follows similar patterns in JFS block calculation code. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента jfs_dmap.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: page_pool: avoid infinite loop to schedule delayed worker We noticed the kworker in page_pool_release_retry() was waken up repeatedly and infinitely in production because of the buggy driver causing the inflight less than 0 and warning us in page_pool_inflight()[1]. Since the inflight value goes negative, it means we should not expect the whole page_pool to get back to work normally. This patch mitigates the adverse effect by not rescheduling the kworker when detecting the inflight negative in page_pool_release_retry(). [1] [Mon Feb 10 20:36:11 2025] ------------[ cut here ]------------ [Mon Feb 10 20:36:11 2025] Negative(-51446) inflight packet-pages ... [Mon Feb 10 20:36:11 2025] Call Trace: [Mon Feb 10 20:36:11 2025] page_pool_release_retry+0x23/0x70 [Mon Feb 10 20:36:11 2025] process_one_work+0x1b1/0x370 [Mon Feb 10 20:36:11 2025] worker_thread+0x37/0x3a0 [Mon Feb 10 20:36:11 2025] kthread+0x11a/0x140 [Mon Feb 10 20:36:11 2025] ? process_one_work+0x370/0x370 [Mon Feb 10 20:36:11 2025] ? __kthread_cancel_work+0x40/0x40 [Mon Feb 10 20:36:11 2025] ret_from_fork+0x35/0x40 [Mon Feb 10 20:36:11 2025] ---[ end trace ebffe800f33e7e34 ]--- Note: before this patch, the above calltrace would flood the dmesg due to repeated reschedule of release_dw kworker. Уязвимость компонента page_pool.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: mpi3mr: Synchronous access b/w reset and tm thread for reply queue When the task management thread processes reply queues while the reset thread resets them, the task management thread accesses an invalid queue ID (0xFFFF), set by the reset thread, which points to unallocated memory, causing a crash. Add flag 'io_admin_reset_sync' to synchronize access between the reset, I/O, and admin threads. Before a reset, the reset handler sets this flag to block I/O and admin processing threads. If any thread bypasses the initial check, the reset thread waits up to 10 seconds for processing to finish. If the wait exceeds 10 seconds, the controller is marked as unrecoverable. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: pidff: Fix null pointer dereference in pidff_find_fields This function triggered a null pointer dereference if used to search for a report that isn't implemented on the device. This happened both for optional and required reports alike. The same logic was applied to pidff_find_special_field and although pidff_init_fields should return an error earlier if one of the required reports is missing, future modifications could change this logic and resurface this possible null pointer dereference again. LKML bug report: https://lore.kernel.org/all/CAL-gK7f5=R0nrrQdPtaZZr1fd-cdAMbDMuZ_NLA8vM0SX+nGSw@mail.gmail.com Уязвимость компонента hid-pidff.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ovl: don't allow datadir only In theory overlayfs could support upper layer directly referring to a data layer, but there's no current use case for this. Originally, when data-only layers were introduced, this wasn't allowed, only introduced by the "datadir+" feature, but without actually handling this case, resulting in an Oops. Fix by disallowing datadir without lowerdir. Уязвимость компонента fs/overlayfs ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: dsa: clean up FDB, MDB, VLAN entries on unbind As explained in many places such as commit b117e1e8a86d ("net: dsa: delete dsa_legacy_fdb_add and dsa_legacy_fdb_del"), DSA is written given the assumption that higher layers have balanced additions/deletions. As such, it only makes sense to be extremely vocal when those assumptions are violated and the driver unbinds with entries still present. But Ido Schimmel points out a very simple situation where that is wrong: https://lore.kernel.org/netdev/ZDazSM5UsPPjQuKr@shredder/ (also briefly discussed by me in the aforementioned commit). Basically, while the bridge bypass operations are not something that DSA explicitly documents, and for the majority of DSA drivers this API simply causes them to go to promiscuous mode, that isn't the case for all drivers. Some have the necessary requirements for bridge bypass operations to do something useful - see dsa_switch_supports_uc_filtering(). Although in tools/testing/selftests/net/forwarding/local_termination.sh, we made an effort to popularize better mechanisms to manage address filters on DSA interfaces from user space - namely macvlan for unicast, and setsockopt(IP_ADD_MEMBERSHIP) - through mtools - for multicast, the fact is that 'bridge fdb add ... self static local' also exists as kernel UAPI, and might be useful to someone, even if only for a quick hack. It seems counter-productive to block that path by implementing shim .ndo_fdb_add and .ndo_fdb_del operations which just return -EOPNOTSUPP in order to prevent the ndo_dflt_fdb_add() and ndo_dflt_fdb_del() from running, although we could do that. Accepting that cleanup is necessary seems to be the only option. Especially since we appear to be coming back at this from a different angle as well. Russell King is noticing that the WARN_ON() triggers even for VLANs: https://lore.kernel.org/netdev/Z_li8Bj8bD4-BYKQ@shell.armlinux.org.uk/ What happens in the bug report above is that dsa_port_do_vlan_del() fails, then the VLAN entry lingers on, and then we warn on unbind and leak it. This is not a straight revert of the blamed commit, but we now add an informational print to the kernel log (to still have a way to see that bugs exist), and some extra comments gathered from past years' experience, to justify the logic. [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: dsa: mv88e6xxx: fix -ENOENT when deleting VLANs and MST is unsupported Russell King reports that on the ZII dev rev B, deleting a bridge VLAN from a user port fails with -ENOENT: https://lore.kernel.org/netdev/Z_lQXNP0s5-IiJzd@shell.armlinux.org.uk/ This comes from mv88e6xxx_port_vlan_leave() -> mv88e6xxx_mst_put(), which tries to find an MST entry in &chip->msts associated with the SID, but fails and returns -ENOENT as such. But we know that this chip does not support MST at all, so that is not surprising. The question is why does the guard in mv88e6xxx_mst_put() not exit early: if (!sid) return 0; And the answer seems to be simple: the sid comes from vlan.sid which supposedly was previously populated by mv88e6xxx_vtu_get(). But some chip->info->ops->vtu_getnext() implementations do not populate vlan.sid, for example see mv88e6185_g1_vtu_getnext(). In that case, later in mv88e6xxx_port_vlan_leave() we are using a garbage sid which is just residual stack memory. Testing for sid == 0 covers all cases of a non-bridge VLAN or a bridge VLAN mapped to the default MSTI. For some chips, SID 0 is valid and installed by mv88e6xxx_stu_setup(). A chip which does not support the STU would implicitly only support mapping all VLANs to the default MSTI, so although SID 0 is not valid, it would be sufficient, if we were to zero-initialize the vlan structure, to fix the bug, due to the coincidence that a test for vlan.sid == 0 already exists and leads to the same (correct) behavior. Another option which would be sufficient would be to add a test for mv88e6xxx_has_stu() inside mv88e6xxx_mst_put(), symmetric to the one which already exists in mv88e6xxx_mst_get(). But that placement means the caller will have to dereference vlan.sid, which means it will access uninitialized memory, which is not nice even if it ignores it later. So we end up making both modifications, in order to not rely just on the sid == 0 coincidence, but also to avoid having uninitialized structure fields which might get temporarily accessed. Уязвимость компонента chip.c ядра операционной системы Linux связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/core: Silence oversized kvmalloc() warning syzkaller triggered an oversized kvmalloc() warning. Silence it by adding __GFP_NOWARN. syzkaller log: WARNING: CPU: 7 PID: 518 at mm/util.c:665 __kvmalloc_node_noprof+0x175/0x180 CPU: 7 UID: 0 PID: 518 Comm: c_repro Not tainted 6.11.0-rc6+ #6 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:__kvmalloc_node_noprof+0x175/0x180 RSP: 0018:ffffc90001e67c10 EFLAGS: 00010246 RAX: 0000000000000100 RBX: 0000000000000400 RCX: ffffffff8149d46b RDX: 0000000000000000 RSI: ffff8881030fae80 RDI: 0000000000000002 RBP: 000000712c800000 R08: 0000000000000100 R09: 0000000000000000 R10: ffffc90001e67c10 R11: 0030ae0601000000 R12: 0000000000000000 R13: 0000000000000000 R14: 00000000ffffffff R15: 0000000000000000 FS: 00007fde79159740(0000) GS:ffff88813bdc0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000020000180 CR3: 0000000105eb4005 CR4: 00000000003706b0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ib_umem_odp_get+0x1f6/0x390 mlx5_ib_reg_user_mr+0x1e8/0x450 ib_uverbs_reg_mr+0x28b/0x440 ib_uverbs_write+0x7d3/0xa30 vfs_write+0x1ac/0x6c0 ksys_write+0x134/0x170 ? __sanitizer_cov_trace_pc+0x1c/0x50 do_syscall_64+0x50/0x110 entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость компонента umem_odp.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe: Use local fence in error path of xe_migrate_clear The intent of the error path in xe_migrate_clear is to wait on locally generated fence and then return. The code is waiting on m->fence which could be the local fence but this is only stable under the job mutex leading to a possible UAF. Fix code to wait on local fence. (cherry picked from commit 762b7e95362170b3e13a8704f38d5e47eca4ba74) Уязвимость компонента drivers/gpu/drm/xe ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: prevent hang on link training fail [Why] When link training fails, the phy clock will be disabled. However, in enable_streams, it is assumed that link training succeeded and the mux selects the phy clock, causing a hang when a register write is made. [How] When enable_stream is hit, check if link training failed. If it did, fall back to the ref clock to avoid a hang and keep the system in a recoverable state. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: txgbe: fix memory leak in txgbe_probe() error path When txgbe_sw_init() is called, memory is allocated for wx->rss_key in wx_init_rss_key(). However, in txgbe_probe() function, the subsequent error paths after txgbe_sw_init() don't free the rss_key. Fix that by freeing it in error path along with wx->mac_table. Also change the label to which execution jumps when txgbe_sw_init() fails, because otherwise, it could lead to a double free for rss_key, when the mac_table allocation fails in wx_sw_init(). Уязвимость функции txgbe_probe() компонента drivers/net/ethernet/wangxun/txgbe/txgbe_main.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: eth: bnxt: fix missing ring index trim on error path Commit under Fixes converted tx_prod to be free running but missed masking it on the Tx error path. This crashes on error conditions, for example when DMA mapping fails. Уязвимость компонента drivers/net/ethernet/broadcom/bnxt ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ngbe: fix memory leak in ngbe_probe() error path When ngbe_sw_init() is called, memory is allocated for wx->rss_key in wx_init_rss_key(). However, in ngbe_probe() function, the subsequent error paths after ngbe_sw_init() don't free the rss_key. Fix that by freeing it in error path along with wx->mac_table. Also change the label to which execution jumps when ngbe_sw_init() fails, because otherwise, it could lead to a double free for rss_key, when the mac_table allocation fails in wx_sw_init(). Уязвимость функции ngbe_probe() компонента drivers/net/ethernet/wangxun/ngbe/ngbe_main.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: igc: fix PTM cycle trigger logic Writing to clear the PTM status 'valid' bit while the PTM cycle is triggered results in unreliable PTM operation. To fix this, clear the PTM 'trigger' and status after each PTM transaction. The issue can be reproduced with the following: $ sudo phc2sys -R 1000 -O 0 -i tsn0 -m Note: 1000 Hz (-R 1000) is unrealistically large, but provides a way to quickly reproduce the issue. PHC2SYS exits with: "ioctl PTP_OFFSET_PRECISE: Connection timed out" when the PTM transaction fails This patch also fixes a hang in igc_probe() when loading the igc driver in the kdump kernel on systems supporting PTM. The igc driver running in the base kernel enables PTM trigger in igc_probe(). Therefore the driver is always in PTM trigger mode, except in brief periods when manually triggering a PTM cycle. When a crash occurs, the NIC is reset while PTM trigger is enabled. Due to a hardware problem, the NIC is subsequently in a bad busmaster state and doesn't handle register reads/writes. When running igc_probe() in the kdump kernel, the first register access to a NIC register hangs driver probing and ultimately breaks kdump. With this patch, igc has PTM trigger disabled most of the time, and the trigger is only enabled for very brief (10 - 100 us) periods when manually triggering a PTM cycle. Chances that a crash occurs during a PTM trigger are not 0, but extremely reduced. Уязвимость компонентов igc ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfs: Only create /proc/fs/netfs with CONFIG_PROC_FS When testing a special config: CONFIG_NETFS_SUPPORTS=y CONFIG_PROC_FS=n The system crashes with something like: [ 3.766197] ------------[ cut here ]------------ [ 3.766484] kernel BUG at mm/mempool.c:560! [ 3.766789] Oops: invalid opcode: 0000 [#1] SMP NOPTI [ 3.767123] CPU: 0 UID: 0 PID: 1 Comm: swapper/0 Tainted: G W [ 3.767777] Tainted: [W]=WARN [ 3.767968] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), [ 3.768523] RIP: 0010:mempool_alloc_slab.cold+0x17/0x19 [ 3.768847] Code: 50 fe ff 58 5b 5d 41 5c 41 5d 41 5e 41 5f e9 93 95 13 00 [ 3.769977] RSP: 0018:ffffc90000013998 EFLAGS: 00010286 [ 3.770315] RAX: 000000000000002f RBX: ffff888100ba8640 RCX: 0000000000000000 [ 3.770749] RDX: 0000000000000000 RSI: 0000000000000003 RDI: 00000000ffffffff [ 3.771217] RBP: 0000000000092880 R08: 0000000000000000 R09: ffffc90000013828 [ 3.771664] R10: 0000000000000001 R11: 00000000ffffffea R12: 0000000000092cc0 [ 3.772117] R13: 0000000000000400 R14: ffff8881004b1620 R15: ffffea0004ef7e40 [ 3.772554] FS: 0000000000000000(0000) GS:ffff8881b5f3c000(0000) knlGS:0000000000000000 [ 3.773061] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 3.773443] CR2: ffffffff830901b4 CR3: 0000000004296001 CR4: 0000000000770ef0 [ 3.773884] PKRU: 55555554 [ 3.774058] Call Trace: [ 3.774232] <TASK> [ 3.774371] mempool_alloc_noprof+0x6a/0x190 [ 3.774649] ? _printk+0x57/0x80 [ 3.774862] netfs_alloc_request+0x85/0x2ce [ 3.775147] netfs_readahead+0x28/0x170 [ 3.775395] read_pages+0x6c/0x350 [ 3.775623] ? srso_alias_return_thunk+0x5/0xfbef5 [ 3.775928] page_cache_ra_unbounded+0x1bd/0x2a0 [ 3.776247] filemap_get_pages+0x139/0x970 [ 3.776510] ? srso_alias_return_thunk+0x5/0xfbef5 [ 3.776820] filemap_read+0xf9/0x580 [ 3.777054] ? srso_alias_return_thunk+0x5/0xfbef5 [ 3.777368] ? srso_alias_return_thunk+0x5/0xfbef5 [ 3.777674] ? find_held_lock+0x32/0x90 [ 3.777929] ? netfs_start_io_read+0x19/0x70 [ 3.778221] ? netfs_start_io_read+0x19/0x70 [ 3.778489] ? srso_alias_return_thunk+0x5/0xfbef5 [ 3.778800] ? lock_acquired+0x1e6/0x450 [ 3.779054] ? srso_alias_return_thunk+0x5/0xfbef5 [ 3.779379] netfs_buffered_read_iter+0x57/0x80 [ 3.779670] __kernel_read+0x158/0x2c0 [ 3.779927] bprm_execve+0x300/0x7a0 [ 3.780185] kernel_execve+0x10c/0x140 [ 3.780423] ? __pfx_kernel_init+0x10/0x10 [ 3.780690] kernel_init+0xd5/0x150 [ 3.780910] ret_from_fork+0x2d/0x50 [ 3.781156] ? __pfx_kernel_init+0x10/0x10 [ 3.781414] ret_from_fork_asm+0x1a/0x30 [ 3.781677] </TASK> [ 3.781823] Modules linked in: [ 3.782065] ---[ end trace 0000000000000000 ]--- This is caused by the following error path in netfs_init(): if (!proc_mkdir("fs/netfs", NULL)) goto error_proc; Fix this by adding ifdef in netfs_main(), so that /proc/fs/netfs is only created with CONFIG_PROC_FS. Уязвимость компонента fs/netfs ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu: Clear iommu-dma ops on cleanup If iommu_device_register() encounters an error, it can end up tearing down already-configured groups and default domains, however this currently still leaves devices hooked up to iommu-dma (and even historically the behaviour in this area was at best inconsistent across architectures/drivers...) Although in the case that an IOMMU is present whose driver has failed to probe, users cannot necessarily expect DMA to work anyway, it's still arguable that we should do our best to put things back as if the IOMMU driver was never there at all, and certainly the potential for crashing in iommu-dma itself is undesirable. Make sure we clean up the dev->dma_iommu flag along with everything else. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: 9p/net: fix improper handling of bogus negative read/write replies In p9_client_write() and p9_client_read_once(), if the server incorrectly replies with success but a negative write/read count then we would consider written (negative) <= rsize (positive) because both variables were signed. Make variables unsigned to avoid this problem. The reproducer linked below now fails with the following error instead of a null pointer deref: 9pnet: bogus RWRITE count (4294967295 > 3) Уязвимость функции p9_client_write() компонента 9p/net ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: aspeed: Add NULL pointer check in ast_vhub_init_dev() The variable d->name, returned by devm_kasprintf(), could be NULL. A pointer check is added to prevent potential NULL pointer dereference. This is similar to the fix in commit 3027e7b15b02 ("ice: Fix some null pointer dereference issues in ice_ptp.c"). This issue is found by our static analysis tool Уязвимость компонента dev.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: xhci: Fix isochronous Ring Underrun/Overrun event handling The TRB pointer of these events points at enqueue at the time of error occurrence on xHCI 1.1+ HCs or it's NULL on older ones. By the time we are handling the event, a new TD may be queued at this ring position. I can trigger this race by rising interrupt moderation to increase IRQ handling delay. Similar delay may occur naturally due to system load. If this ever happens after a Missed Service Error, missed TDs will be skipped and the new TD processed as if it matched the event. It could be given back prematurely, risking data loss or buffer UAF by the xHC. Don't complete TDs on xrun events and don't warn if queued TDs don't match the event's TRB pointer, which can be NULL or a link/no-op TRB. Don't warn if there are no queued TDs at all. Now that it's safe, also handle xrun events if the skip flag is clear. This ensures completion of any TD stuck in 'error mid TD' state right before the xrun event, which could happen if a driver submits a finite number of URBs to a buggy HC and then an error occurs on the last TD. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: s390/sclp: Add check for get_zeroed_page() Add check for the return value of get_zeroed_page() in sclp_console_init() to prevent null pointer dereference. Furthermore, to solve the memory leak caused by the loop allocation, add a free helper to do the free job. Уязвимость компонента sclp_con.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix deadlock between rcu_tasks_trace and event_mutex. Fix the following deadlock: CPU A _free_event() perf_kprobe_destroy() mutex_lock(&event_mutex) perf_trace_event_unreg() synchronize_rcu_tasks_trace() There are several paths where _free_event() grabs event_mutex and calls sync_rcu_tasks_trace. Above is one such case. CPU B bpf_prog_test_run_syscall() rcu_read_lock_trace() bpf_prog_run_pin_on_cpu() bpf_prog_load() bpf_tracing_func_proto() trace_set_clr_event() mutex_lock(&event_mutex) Delegate trace_set_clr_event() to workqueue to avoid such lock dependency. Уязвимость компонента bpf_trace.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Reset IRTE to host control if *new* route isn't postable Restore an IRTE back to host control (remapped or posted MSI mode) if the *new* GSI route prevents posting the IRQ directly to a vCPU, regardless of the GSI routing type. Updating the IRTE if and only if the new GSI is an MSI results in KVM leaving an IRTE posting to a vCPU. The dangling IRTE can result in interrupts being incorrectly delivered to the guest, and in the worst case scenario can result in use-after-free, e.g. if the VM is torn down, but the underlying host IRQ isn't freed. Уязвимость компонента avic.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pds_core: make wait_context part of q_info Make the wait_context a full part of the q_info struct rather than a stack variable that goes away after pdsc_adminq_post() is done so that the context is still available after the wait loop has given up. There was a case where a slow development firmware caused the adminq request to time out, but then later the FW finally finished the request and sent the interrupt. The handler tried to complete_all() the completion context that had been created on the stack in pdsc_adminq_post() but no longer existed. This caused bad pointer usage, kernel crashes, and much wailing and gnashing of teeth. Уязвимость компонента drivers/net/ethernet/amd/pds_core ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pds_core: handle unsupported PDS_CORE_CMD_FW_CONTROL result If the FW doesn't support the PDS_CORE_CMD_FW_CONTROL command the driver might at the least print garbage and at the worst crash when the user runs the "devlink dev info" devlink command. This happens because the stack variable fw_list is not 0 initialized which results in fw_list.num_fw_slots being a garbage value from the stack. Then the driver tries to access fw_list.fw_names[i] with i >= ARRAY_SIZE and runs off the end of the array. Fix this by initializing the fw_list and by not failing completely if the devcmd fails because other useful information is printed via devlink dev info even if the devcmd fails. Уязвимость компонента pds_core ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Fix null-ptr-deref in mlx5_create_{inner_,}ttc_table() Add NULL check for mlx5_get_flow_namespace() returns in mlx5_create_inner_ttc_table() and mlx5_create_ttc_table() to prevent NULL pointer dereference. Уязвимость функции mlx5_create_inner_ttc_table() компонента net/mlx ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: ops: Consistently treat platform_max as control value This reverts commit 9bdd10d57a88 ("ASoC: ops: Shift tested values in snd_soc_put_volsw() by +min"), and makes some additional related updates. There are two ways the platform_max could be interpreted; the maximum register value, or the maximum value the control can be set to. The patch moved from treating the value as a control value to a register one. When the patch was applied it was technically correct as snd_soc_limit_volume() also used the register interpretation. However, even then most of the other usages treated platform_max as a control value, and snd_soc_limit_volume() has since been updated to also do so in commit fb9ad24485087 ("ASoC: ops: add correct range check for limiting volume"). That patch however, missed updating snd_soc_put_volsw() back to the control interpretation, and fixing snd_soc_info_volsw_range(). The control interpretation makes more sense as limiting is typically done from the machine driver, so it is appropriate to use the customer facing representation rather than the internal codec representation. Update all the code to consistently use this interpretation of platform_max. Finally, also add some comments to the soc_mixer_control struct to hopefully avoid further patches switching between the two approaches. Уязвимость компонента ops ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: hfsc: Fix a UAF vulnerability in class with netem as child qdisc As described in Gerrard's report [1], we have a UAF case when an hfsc class has a netem child qdisc. The crux of the issue is that hfsc is assuming that checking for cl->qdisc->q.qlen == 0 guarantees that it hasn't inserted the class in the vttree or eltree (which is not true for the netem duplicate case). This patch checks the n_active class variable to make sure that the code won't insert the class in the vttree or eltree twice, catering for the reentrant case. [1] https://lore.kernel.org/netdev/CAHcdcOm+03OD2j6R0=YHKqmy=VgJ8xEOKuP6c7mSgnp-TEJJbw@mail.gmail.com/ Уязвимость модуля net/sched/sch_hfsc.c ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_hfsc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_hfsc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_hfsc ``` или ``` kmod list | grep sch_hfsc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_hfsc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_hfsc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: ump: Fix buffer overflow at UMP SysEx message conversion The conversion function from MIDI 1.0 to UMP packet contains an internal buffer to keep the incoming MIDI bytes, and its size is 4, as it was supposed to be the max size for a MIDI1 UMP packet data. However, the implementation overlooked that SysEx is handled in a different format, and it can be up to 6 bytes, as found in do_convert_to_ump(). It leads eventually to a buffer overflow, and may corrupt the memory when a longer SysEx message is received. The fix is simply to extend the buffer size to 6 to fit with the SysEx UMP message. Уязвимость функции do_convert_to_ump() ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mtd: inftlcore: Add error check for inftl_read_oob() In INFTL_findwriteunit(), the return value of inftl_read_oob() need to be checked. A proper implementation can be found in INFTL_deleteblock(). The status will be set as SECTOR_IGNORE to break from the while-loop correctly if the inftl_read_oob() fails. Уязвимость компонента inftlcore.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: BPF: Fix off-by-one error in build_prologue() Vincent reported that running BPF progs with tailcalls on LoongArch causes kernel hard lockup. Debugging the issues shows that the JITed image missing a jirl instruction at the end of the epilogue. There are two passes in JIT compiling, the first pass set the flags and the second pass generates JIT code based on those flags. With BPF progs mixing bpf2bpf and tailcalls, build_prologue() generates N insns in the first pass and then generates N+1 insns in the second pass. This makes epilogue_offset off by one and we will jump to some unexpected insn and cause lockup. Fix this by inserting a nop insn. [NistCWE(cwe='CWE-193'), NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: use sock_gen_put() when sk_state is TCP_TIME_WAIT It is possible for a pointer of type struct inet_timewait_sock to be returned from the functions __inet_lookup_established() and __inet6_lookup_established(). This can cause a crash when the returned pointer is of type struct inet_timewait_sock and sock_put() is called on it. The following is a crash call stack that shows sk->sk_wmem_alloc being accessed in sk_free() during the call to sock_put() on a struct inet_timewait_sock pointer. To avoid this issue, use sock_gen_put() instead of sock_put() when sk->sk_state is TCP_TIME_WAIT. mrdump.ko ipanic() + 120 vmlinux notifier_call_chain(nr_to_call=-1, nr_calls=0) + 132 vmlinux atomic_notifier_call_chain(val=0) + 56 vmlinux panic() + 344 vmlinux add_taint() + 164 vmlinux end_report() + 136 vmlinux kasan_report(size=0) + 236 vmlinux report_tag_fault() + 16 vmlinux do_tag_recovery() + 16 vmlinux __do_kernel_fault() + 88 vmlinux do_bad_area() + 28 vmlinux do_tag_check_fault() + 60 vmlinux do_mem_abort() + 80 vmlinux el1_abort() + 56 vmlinux el1h_64_sync_handler() + 124 vmlinux > 0xFFFFFFC080011294() vmlinux __lse_atomic_fetch_add_release(v=0xF2FFFF82A896087C) vmlinux __lse_atomic_fetch_sub_release(v=0xF2FFFF82A896087C) vmlinux arch_atomic_fetch_sub_release(i=1, v=0xF2FFFF82A896087C) + 8 vmlinux raw_atomic_fetch_sub_release(i=1, v=0xF2FFFF82A896087C) + 8 vmlinux atomic_fetch_sub_release(i=1, v=0xF2FFFF82A896087C) + 8 vmlinux __refcount_sub_and_test(i=1, r=0xF2FFFF82A896087C, oldp=0) + 8 vmlinux __refcount_dec_and_test(r=0xF2FFFF82A896087C, oldp=0) + 8 vmlinux refcount_dec_and_test(r=0xF2FFFF82A896087C) + 8 vmlinux sk_free(sk=0xF2FFFF82A8960700) + 28 vmlinux sock_put() + 48 vmlinux tcp6_check_fraglist_gro() + 236 vmlinux tcp6_gro_receive() + 624 vmlinux ipv6_gro_receive() + 912 vmlinux dev_gro_receive() + 1116 vmlinux napi_gro_receive() + 196 ccmni.ko ccmni_rx_callback() + 208 ccmni.ko ccmni_queue_recv_skb() + 388 ccci_dpmaif.ko dpmaif_rxq_push_thread() + 1088 vmlinux kthread() + 268 vmlinux 0xFFFFFFC08001F30C() Уязвимость компонента net ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Fix error handling path in bnxt_init_chip() WARN_ON() is triggered in __flush_work() if bnxt_init_chip() fails because we call cancel_work_sync() on dim work that has not been initialized. WARNING: CPU: 37 PID: 5223 at kernel/workqueue.c:4201 __flush_work.isra.0+0x212/0x230 The driver relies on the BNXT_STATE_NAPI_DISABLED bit to check if dim work has already been cancelled. But in the bnxt_open() path, BNXT_STATE_NAPI_DISABLED is not set and this causes the error path to think that it needs to cancel the uninitalized dim work. Fix it by setting BNXT_STATE_NAPI_DISABLED during initialization. The bit will be cleared when we enable NAPI and initialize dim work. Уязвимость компонента bnxt_en ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: plfxlc: Remove erroneous assert in plfxlc_mac_release plfxlc_mac_release() asserts that mac->lock is held. This assertion is incorrect, because even if it was possible, it would not be the valid behaviour. The function is used when probe fails or after the device is disconnected. In both cases mac->lock can not be held as the driver is not working with the device at the moment. All functions that use mac->lock unlock it just after it was held. There is also no need to hold mac->lock for plfxlc_mac_release() itself, as mac data is not affected, except for mac->flags, which is modified atomically. This bug leads to the following warning: ================================================================ WARNING: CPU: 0 PID: 127 at drivers/net/wireless/purelifi/plfxlc/mac.c:106 plfxlc_mac_release+0x7d/0xa0 Modules linked in: CPU: 0 PID: 127 Comm: kworker/0:2 Not tainted 6.1.124-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Workqueue: usb_hub_wq hub_event RIP: 0010:plfxlc_mac_release+0x7d/0xa0 drivers/net/wireless/purelifi/plfxlc/mac.c:106 Call Trace: <TASK> probe+0x941/0xbd0 drivers/net/wireless/purelifi/plfxlc/usb.c:694 usb_probe_interface+0x5c0/0xaf0 drivers/usb/core/driver.c:396 really_probe+0x2ab/0xcb0 drivers/base/dd.c:639 __driver_probe_device+0x1a2/0x3d0 drivers/base/dd.c:785 driver_probe_device+0x50/0x420 drivers/base/dd.c:815 __device_attach_driver+0x2cf/0x510 drivers/base/dd.c:943 bus_for_each_drv+0x183/0x200 drivers/base/bus.c:429 __device_attach+0x359/0x570 drivers/base/dd.c:1015 bus_probe_device+0xba/0x1e0 drivers/base/bus.c:489 device_add+0xb48/0xfd0 drivers/base/core.c:3696 usb_set_configuration+0x19dd/0x2020 drivers/usb/core/message.c:2165 usb_generic_driver_probe+0x84/0x140 drivers/usb/core/generic.c:238 usb_probe_device+0x130/0x260 drivers/usb/core/driver.c:293 really_probe+0x2ab/0xcb0 drivers/base/dd.c:639 __driver_probe_device+0x1a2/0x3d0 drivers/base/dd.c:785 driver_probe_device+0x50/0x420 drivers/base/dd.c:815 __device_attach_driver+0x2cf/0x510 drivers/base/dd.c:943 bus_for_each_drv+0x183/0x200 drivers/base/bus.c:429 __device_attach+0x359/0x570 drivers/base/dd.c:1015 bus_probe_device+0xba/0x1e0 drivers/base/bus.c:489 device_add+0xb48/0xfd0 drivers/base/core.c:3696 usb_new_device+0xbdd/0x18f0 drivers/usb/core/hub.c:2620 hub_port_connect drivers/usb/core/hub.c:5477 [inline] hub_port_connect_change drivers/usb/core/hub.c:5617 [inline] port_event drivers/usb/core/hub.c:5773 [inline] hub_event+0x2efe/0x5730 drivers/usb/core/hub.c:5855 process_one_work+0x8a9/0x11d0 kernel/workqueue.c:2292 worker_thread+0xa47/0x1200 kernel/workqueue.c:2439 kthread+0x28d/0x320 kernel/kthread.c:376 ret_from_fork+0x1f/0x30 arch/x86/entry/entry_64.S:295 </TASK> ================================================================ Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента mac.c ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in session logoff The sess->user object can currently be in use by another thread, for example if another connection has sent a session setup request to bind to the session being free'd. The handler for that connection could be in the smb2_sess_setup function which makes use of sess->user. Уязвимость функции smb2_sess_setup модуля fs/smb/server/smb2pdu.c компонента ksmbd ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) - Настройте брандмауэр для ограничения доступа к SMB сервису только с доверенных IP-адресов - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu: Fix two issues in iommu_copy_struct_from_user() In the review for iommu_copy_struct_to_user() helper, Matt pointed out that a NULL pointer should be rejected prior to dereferencing it: https://lore.kernel.org/all/86881827-8E2D-461C-BDA3-FA8FD14C343C@nvidia.com And Alok pointed out a typo at the same time: https://lore.kernel.org/all/480536af-6830-43ce-a327-adbd13dc3f1d@oracle.com Since both issues were copied from iommu_copy_struct_from_user(), fix them first in the current header. Уязвимость функции iommu_copy_struct_from_user() компонента iommu ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: irqchip/qcom-mpm: Prevent crash when trying to handle non-wake GPIOs On Qualcomm chipsets not all GPIOs are wakeup capable. Those GPIOs do not have a corresponding MPM pin and should not be handled inside the MPM driver. The IRQ domain hierarchy is always applied, so it's required to explicitly disconnect the hierarchy for those. The pinctrl-msm driver marks these with GPIO_NO_WAKE_IRQ. qcom-pdc has a check for this, but irq-qcom-mpm is currently missing the check. This is causing crashes when setting up interrupts for non-wake GPIOs: root@rb1:~# gpiomon -c gpiochip1 10 irq: IRQ159: trimming hierarchy from :soc@0:interrupt-controller@f200000-1 Unable to handle kernel paging request at virtual address ffff8000a1dc3820 Hardware name: Qualcomm Technologies, Inc. Robotics RB1 (DT) pc : mpm_set_type+0x80/0xcc lr : mpm_set_type+0x5c/0xcc Call trace: mpm_set_type+0x80/0xcc (P) qcom_mpm_set_type+0x64/0x158 irq_chip_set_type_parent+0x20/0x38 msm_gpio_irq_set_type+0x50/0x530 __irq_set_trigger+0x60/0x184 __setup_irq+0x304/0x6bc request_threaded_irq+0xc8/0x19c edge_detector_setup+0x260/0x364 linereq_create+0x420/0x5a8 gpio_ioctl+0x2d4/0x6c0 Fix this by copying the check for GPIO_NO_WAKE_IRQ from qcom-pdc.c, so that MPM is removed entirely from the hierarchy for non-wake GPIOs. Уязвимость компонента irq-qcom-mpm.c ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix slab-use-after-free in hdcp The HDCP code in amdgpu_dm_hdcp.c copies pointers to amdgpu_dm_connector objects without incrementing the kref reference counts. When using a USB-C dock, and the dock is unplugged, the corresponding amdgpu_dm_connector objects are freed, creating dangling pointers in the HDCP code. When the dock is plugged back, the dangling pointers are dereferenced, resulting in a slab-use-after-free: [ 66.775837] BUG: KASAN: slab-use-after-free in event_property_validate+0x42f/0x6c0 [amdgpu] [ 66.776171] Read of size 4 at addr ffff888127804120 by task kworker/0:1/10 [ 66.776179] CPU: 0 UID: 0 PID: 10 Comm: kworker/0:1 Not tainted 6.14.0-rc7-00180-g54505f727a38-dirty #233 [ 66.776183] Hardware name: HP HP Pavilion Aero Laptop 13-be0xxx/8916, BIOS F.17 12/18/2024 [ 66.776186] Workqueue: events event_property_validate [amdgpu] [ 66.776494] Call Trace: [ 66.776496] <TASK> [ 66.776497] dump_stack_lvl+0x70/0xa0 [ 66.776504] print_report+0x175/0x555 [ 66.776507] ? __virt_addr_valid+0x243/0x450 [ 66.776510] ? kasan_complete_mode_report_info+0x66/0x1c0 [ 66.776515] kasan_report+0xeb/0x1c0 [ 66.776518] ? event_property_validate+0x42f/0x6c0 [amdgpu] [ 66.776819] ? event_property_validate+0x42f/0x6c0 [amdgpu] [ 66.777121] __asan_report_load4_noabort+0x14/0x20 [ 66.777124] event_property_validate+0x42f/0x6c0 [amdgpu] [ 66.777342] ? __lock_acquire+0x6b40/0x6b40 [ 66.777347] ? enable_assr+0x250/0x250 [amdgpu] [ 66.777571] process_one_work+0x86b/0x1510 [ 66.777575] ? pwq_dec_nr_in_flight+0xcf0/0xcf0 [ 66.777578] ? assign_work+0x16b/0x280 [ 66.777580] ? lock_is_held_type+0xa3/0x130 [ 66.777583] worker_thread+0x5c0/0xfa0 [ 66.777587] ? process_one_work+0x1510/0x1510 [ 66.777588] kthread+0x3a2/0x840 [ 66.777591] ? kthread_is_per_cpu+0xd0/0xd0 [ 66.777594] ? trace_hardirqs_on+0x4f/0x60 [ 66.777597] ? _raw_spin_unlock_irq+0x27/0x60 [ 66.777599] ? calculate_sigpending+0x77/0xa0 [ 66.777602] ? kthread_is_per_cpu+0xd0/0xd0 [ 66.777605] ret_from_fork+0x40/0x90 [ 66.777607] ? kthread_is_per_cpu+0xd0/0xd0 [ 66.777609] ret_from_fork_asm+0x11/0x20 [ 66.777614] </TASK> [ 66.777643] Allocated by task 10: [ 66.777646] kasan_save_stack+0x39/0x60 [ 66.777649] kasan_save_track+0x14/0x40 [ 66.777652] kasan_save_alloc_info+0x37/0x50 [ 66.777655] __kasan_kmalloc+0xbb/0xc0 [ 66.777658] __kmalloc_cache_noprof+0x1c8/0x4b0 [ 66.777661] dm_dp_add_mst_connector+0xdd/0x5c0 [amdgpu] [ 66.777880] drm_dp_mst_port_add_connector+0x47e/0x770 [drm_display_helper] [ 66.777892] drm_dp_send_link_address+0x1554/0x2bf0 [drm_display_helper] [ 66.777901] drm_dp_check_and_send_link_address+0x187/0x1f0 [drm_display_helper] [ 66.777909] drm_dp_mst_link_probe_work+0x2b8/0x410 [drm_display_helper] [ 66.777917] process_one_work+0x86b/0x1510 [ 66.777919] worker_thread+0x5c0/0xfa0 [ 66.777922] kthread+0x3a2/0x840 [ 66.777925] ret_from_fork+0x40/0x90 [ 66.777927] ret_from_fork_asm+0x11/0x20 [ 66.777932] Freed by task 1713: [ 66.777935] kasan_save_stack+0x39/0x60 [ 66.777938] kasan_save_track+0x14/0x40 [ 66.777940] kasan_save_free_info+0x3b/0x60 [ 66.777944] __kasan_slab_free+0x52/0x70 [ 66.777946] kfree+0x13f/0x4b0 [ 66.777949] dm_dp_mst_connector_destroy+0xfa/0x150 [amdgpu] [ 66.778179] drm_connector_free+0x7d/0xb0 [ 66.778184] drm_mode_object_put.part.0+0xee/0x160 [ 66.778188] drm_mode_object_put+0x37/0x50 [ 66.778191] drm_atomic_state_default_clear+0x220/0xd60 [ 66.778194] __drm_atomic_state_free+0x16e/0x2a0 [ 66.778197] drm_mode_atomic_ioctl+0x15ed/0x2ba0 [ 66.778200] drm_ioctl_kernel+0x17a/0x310 [ 66.778203] drm_ioctl+0x584/0xd10 [ 66.778206] amdgpu_drm_ioctl+0xd2/0x1c0 [amdgpu] [ 66.778375] __x64_sys_ioctl+0x139/0x1a0 [ 66.778378] x64_sys_call+0xee7/0xfb0 [ 66.778381] ---truncated--- Уязвимость компонента amdgpu_dm_hdcp.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: firmware: arm_scmi: Balance device refcount when destroying devices Using device_find_child() to lookup the proper SCMI device to destroy causes an unbalance in device refcount, since device_find_child() calls an implicit get_device(): this, in turns, inhibits the call of the provided release methods upon devices destruction. As a consequence, one of the structures that is not freed properly upon destruction is the internal struct device_private dev->p populated by the drivers subsystem core. KMemleak detects this situation since loading/unloding some SCMI driver causes related devices to be created/destroyed without calling any device_release method. unreferenced object 0xffff00000f583800 (size 512): comm "insmod", pid 227, jiffies 4294912190 hex dump (first 32 bytes): 00 00 00 00 ad 4e ad de ff ff ff ff 00 00 00 00 .....N.......... ff ff ff ff ff ff ff ff 60 36 1d 8a 00 80 ff ff ........`6...... backtrace (crc 114e2eed): kmemleak_alloc+0xbc/0xd8 __kmalloc_cache_noprof+0x2dc/0x398 device_add+0x954/0x12d0 device_register+0x28/0x40 __scmi_device_create.part.0+0x1bc/0x380 scmi_device_create+0x2d0/0x390 scmi_create_protocol_devices+0x74/0xf8 scmi_device_request_notifier+0x1f8/0x2a8 notifier_call_chain+0x110/0x3b0 blocking_notifier_call_chain+0x70/0xb0 scmi_driver_register+0x350/0x7f0 0xffff80000a3b3038 do_one_initcall+0x12c/0x730 do_init_module+0x1dc/0x640 load_module+0x4b20/0x5b70 init_module_from_file+0xec/0x158 $ ./scripts/faddr2line ./vmlinux device_add+0x954/0x12d0 device_add+0x954/0x12d0: kmalloc_noprof at include/linux/slab.h:901 (inlined by) kzalloc_noprof at include/linux/slab.h:1037 (inlined by) device_private_init at drivers/base/core.c:3510 (inlined by) device_add at drivers/base/core.c:3561 Balance device refcount by issuing a put_device() on devices found via device_find_child(). Уязвимость компонента bus.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: accel/ivpu: Fix locking order in ivpu_job_submit Fix deadlock in job submission and abort handling. When a thread aborts currently executing jobs due to a fault, it first locks the global lock protecting submitted_jobs (#1). After the last job is destroyed, it proceeds to release the related context and locks file_priv (#2). Meanwhile, in the job submission thread, the file_priv lock (#2) is taken first, and then the submitted_jobs lock (#1) is obtained when a job is added to the submitted jobs list. CPU0 CPU1 ---- ---- (for example due to a fault) (jobs submissions keep coming) lock(&vdev->submitted_jobs_lock) #1 ivpu_jobs_abort_all() job_destroy() lock(&file_priv->lock) #2 lock(&vdev->submitted_jobs_lock) #1 file_priv_release() lock(&vdev->context_list_lock) lock(&file_priv->lock) #2 This order of locking causes a deadlock. To resolve this issue, change the order of locking in ivpu_job_submit(). Уязвимость компонента accel/ivpu ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm, slab: clean up slab->obj_exts always When memory allocation profiling is disabled at runtime or due to an error, shutdown_mem_profiling() is called: slab->obj_exts which previously allocated remains. It won't be cleared by unaccount_slab() because of mem_alloc_profiling_enabled() not true. It's incorrect, slab->obj_exts should always be cleaned up in unaccount_slab() to avoid following error: [...]BUG: Bad page state in process... .. [...]page dumped because: page still charged to cgroup [andriy.shevchenko@linux.intel.com: fold need_slab_obj_ext() into its only user] Уязвимость компонента slab ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: lan743x: Fix memleak issue when GSO enabled Always map the `skb` to the LS descriptor. Previously skb was mapped to EXT descriptor when the number of fragments is zero with GSO enabled. Mapping the skb to EXT descriptor prevents it from being freed, leading to a memory leak Уязвимость компонентов microchip ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ptp: ocp: Fix NULL dereference in Adva board SMA sysfs operations On Adva boards, SMA sysfs store/get operations can call __handle_signal_outputs() or __handle_signal_inputs() while the `irig` and `dcf` pointers are uninitialized, leading to a NULL pointer dereference in __handle_signal() and causing a kernel crash. Adva boards don't use `irig` or `dcf` functionality, so add Adva-specific callbacks `ptp_ocp_sma_adva_set_outputs()` and `ptp_ocp_sma_adva_set_inputs()` that avoid invoking `irig` or `dcf` input/output routines. Уязвимость компонента ptp ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Fix out-of-bound memcpy() during ethtool -w When retrieving the FW coredump using ethtool, it can sometimes cause memory corruption: BUG: KFENCE: memory corruption in __bnxt_get_coredump+0x3ef/0x670 [bnxt_en] Corrupted memory at 0x000000008f0f30e8 [ ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ] (in kfence-#45): __bnxt_get_coredump+0x3ef/0x670 [bnxt_en] ethtool_get_dump_data+0xdc/0x1a0 __dev_ethtool+0xa1e/0x1af0 dev_ethtool+0xa8/0x170 dev_ioctl+0x1b5/0x580 sock_do_ioctl+0xab/0xf0 sock_ioctl+0x1ce/0x2e0 __x64_sys_ioctl+0x87/0xc0 do_syscall_64+0x5c/0xf0 entry_SYSCALL_64_after_hwframe+0x78/0x80 ... This happens when copying the coredump segment list in bnxt_hwrm_dbg_dma_data() with the HWRM_DBG_COREDUMP_LIST FW command. The info->dest_buf buffer is allocated based on the number of coredump segments returned by the FW. The segment list is then DMA'ed by the FW and the length of the DMA is returned by FW. The driver then copies this DMA'ed segment list to info->dest_buf. In some cases, this DMA length may exceed the info->dest_buf length and cause the above BUG condition. Fix it by capping the copy length to not exceed the length of info->dest_buf. The extra DMA data contains no useful information. This code path is shared for the HWRM_DBG_COREDUMP_LIST and the HWRM_DBG_COREDUMP_RETRIEVE FW commands. The buffering is different for these 2 FW commands. To simplify the logic, we need to move the line to adjust the buffer length for HWRM_DBG_COREDUMP_RETRIEVE up, so that the new check to cap the copy length will work for both commands. Уязвимость компонента bnxt_coredump.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ice: Check VF VSI Pointer Value in ice_vc_add_fdir_fltr() As mentioned in the commit baeb705fd6a7 ("ice: always check VF VSI pointer values"), we need to perform a null pointer check on the return value of ice_get_vf_vsi() before using it. Уязвимость функции ice_vc_add_fdir_fltr() ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: qfq: Fix double list add in class with netem as child qdisc As described in Gerrard's report [1], there are use cases where a netem child qdisc will make the parent qdisc's enqueue callback reentrant. In the case of qfq, there won't be a UAF, but the code will add the same classifier to the list twice, which will cause memory corruption. This patch checks whether the class was already added to the agg->active list (cl_is_active) before doing the addition to cater for the reentrant case. [1] https://lore.kernel.org/netdev/CAHcdcOm+03OD2j6R0=YHKqmy=VgJ8xEOKuP6c7mSgnp-TEJJbw@mail.gmail.com/ Уязвимость компонента net/sched/sch_qfq.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: ets: Fix double list add in class with netem as child qdisc As described in Gerrard's report [1], there are use cases where a netem child qdisc will make the parent qdisc's enqueue callback reentrant. In the case of ets, there won't be a UAF, but the code will add the same classifier to the list twice, which will cause memory corruption. In addition to checking for qlen being zero, this patch checks whether the class was already added to the active_list (cl_is_active) before doing the addition to cater for the reentrant case. [1] https://lore.kernel.org/netdev/CAHcdcOm+03OD2j6R0=YHKqmy=VgJ8xEOKuP6c7mSgnp-TEJJbw@mail.gmail.com/ Уязвимость компонента sch_ets.c ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: drr: Fix double list add in class with netem as child qdisc As described in Gerrard's report [1], there are use cases where a netem child qdisc will make the parent qdisc's enqueue callback reentrant. In the case of drr, there won't be a UAF, but the code will add the same classifier to the list twice, which will cause memory corruption. In addition to checking for qlen being zero, this patch checks whether the class was already added to the active_list (cl_is_active) before adding to the list to cover for the reentrant case. [1] https://lore.kernel.org/netdev/CAHcdcOm+03OD2j6R0=YHKqmy=VgJ8xEOKuP6c7mSgnp-TEJJbw@mail.gmail.com/ Уязвимость компонента sch_drr.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pds_core: remove write-after-free of client_id A use-after-free error popped up in stress testing: [Mon Apr 21 21:21:33 2025] BUG: KFENCE: use-after-free write in pdsc_auxbus_dev_del+0xef/0x160 [pds_core] [Mon Apr 21 21:21:33 2025] Use-after-free write at 0x000000007013ecd1 (in kfence-#47): [Mon Apr 21 21:21:33 2025] pdsc_auxbus_dev_del+0xef/0x160 [pds_core] [Mon Apr 21 21:21:33 2025] pdsc_remove+0xc0/0x1b0 [pds_core] [Mon Apr 21 21:21:33 2025] pci_device_remove+0x24/0x70 [Mon Apr 21 21:21:33 2025] device_release_driver_internal+0x11f/0x180 [Mon Apr 21 21:21:33 2025] driver_detach+0x45/0x80 [Mon Apr 21 21:21:33 2025] bus_remove_driver+0x83/0xe0 [Mon Apr 21 21:21:33 2025] pci_unregister_driver+0x1a/0x80 The actual device uninit usually happens on a separate thread scheduled after this code runs, but there is no guarantee of order of thread execution, so this could be a problem. There's no actual need to clear the client_id at this point, so simply remove the offending code. Уязвимость компонента pds_core ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: mtk-star-emac: fix spinlock recursion issues on rx/tx poll Use spin_lock_irqsave and spin_unlock_irqrestore instead of spin_lock and spin_unlock in mtk_star_emac driver to avoid spinlock recursion occurrence that can happen when enabling the DMA interrupts again in rx/tx poll. ``` BUG: spinlock recursion on CPU#0, swapper/0/0 lock: 0xffff00000db9cf20, .magic: dead4ead, .owner: swapper/0/0, .owner_cpu: 0 CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Not tainted 6.15.0-rc2-next-20250417-00001-gf6a27738686c-dirty #28 PREEMPT Hardware name: MediaTek MT8365 Open Platform EVK (DT) Call trace: show_stack+0x18/0x24 (C) dump_stack_lvl+0x60/0x80 dump_stack+0x18/0x24 spin_dump+0x78/0x88 do_raw_spin_lock+0x11c/0x120 _raw_spin_lock+0x20/0x2c mtk_star_handle_irq+0xc0/0x22c [mtk_star_emac] __handle_irq_event_percpu+0x48/0x140 handle_irq_event+0x4c/0xb0 handle_fasteoi_irq+0xa0/0x1bc handle_irq_desc+0x34/0x58 generic_handle_domain_irq+0x1c/0x28 gic_handle_irq+0x4c/0x120 do_interrupt_handler+0x50/0x84 el1_interrupt+0x34/0x68 el1h_64_irq_handler+0x18/0x24 el1h_64_irq+0x6c/0x70 regmap_mmio_read32le+0xc/0x20 (P) _regmap_bus_reg_read+0x6c/0xac _regmap_read+0x60/0xdc regmap_read+0x4c/0x80 mtk_star_rx_poll+0x2f4/0x39c [mtk_star_emac] __napi_poll+0x38/0x188 net_rx_action+0x164/0x2c0 handle_softirqs+0x100/0x244 __do_softirq+0x14/0x20 ____do_softirq+0x10/0x20 call_on_irq_stack+0x24/0x64 do_softirq_own_stack+0x1c/0x40 __irq_exit_rcu+0xd4/0x10c irq_exit_rcu+0x10/0x1c el1_interrupt+0x38/0x68 el1h_64_irq_handler+0x18/0x24 el1h_64_irq+0x6c/0x70 cpuidle_enter_state+0xac/0x320 (P) cpuidle_enter+0x38/0x50 do_idle+0x1e4/0x260 cpu_startup_entry+0x34/0x3c rest_init+0xdc/0xe0 console_on_rootfs+0x0/0x6c __primary_switched+0x88/0x90 ``` Уязвимость компонента mtk_star_emac.c ядра операционной системы Linux связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btusb: avoid NULL pointer dereference in skb_dequeue() A NULL pointer dereference can occur in skb_dequeue() when processing a QCA firmware crash dump on WCN7851 (0489:e0f3). [ 93.672166] Bluetooth: hci0: ACL memdump size(589824) [ 93.672475] BUG: kernel NULL pointer dereference, address: 0000000000000008 [ 93.672517] Workqueue: hci0 hci_devcd_rx [bluetooth] [ 93.672598] RIP: 0010:skb_dequeue+0x50/0x80 The issue stems from handle_dump_pkt_qca() returning 0 even when a dump packet is successfully processed. This is because it incorrectly forwards the return value of hci_devcd_init() (which returns 0 on success). As a result, the caller (btusb_recv_acl_qca() or btusb_recv_evt_qca()) assumes the packet was not handled and passes it to hci_recv_frame(), leading to premature kfree() of the skb. Later, hci_devcd_rx() attempts to dequeue the same skb from the dump queue, resulting in a NULL pointer dereference. Fix this by: 1. Making handle_dump_pkt_qca() return 0 on success and negative errno on failure, consistent with kernel conventions. 2. Splitting dump packet detection into separate functions for ACL and event packets for better structure and readability. This ensures dump packets are properly identified and consumed, avoiding double handling and preventing NULL pointer access. Уязвимость компонента btusb ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: amd: acp: Fix NULL pointer deref in acp_i2s_set_tdm_slot Update chip data using dev_get_drvdata(dev->parent) to fix NULL pointer deref in acp_i2s_set_tdm_slot. Уязвимость компонента ASoC ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xsk: Fix race condition in AF_XDP generic RX path Move rx_lock from xsk_socket to xsk_buff_pool. Fix synchronization for shared umem mode in generic RX path where multiple sockets share single xsk_buff_pool. RX queue is exclusive to xsk_socket, while FILL queue can be shared between multiple sockets. This could result in race condition where two CPU cores access RX path of two different sockets sharing the same umem. Protect both queues by acquiring spinlock in shared xsk_buff_pool. Lock contention may be minimized in the future by some per-thread FQ buffering. It's safe and necessary to move spin_lock_bh(rx_lock) after xsk_rcv_check(): * xs->pool and spinlock_init is synchronized by xsk_bind() -> xsk_is_bound() memory barriers. * xsk_rcv_check() may return true at the moment of xsk_release() or xsk_unbind_dev(), however this will not cause any data races or race conditions. xsk_unbind_dev() removes xdp socket from all maps and waits for completion of all outstanding rx operations. Packets in RX path will either complete safely or drop. Уязвимость функции xsk_generic_rcv() модуля net/xdp/xsk.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vxlan: vnifilter: Fix unlocked deletion of default FDB entry When a VNI is deleted from a VXLAN device in 'vnifilter' mode, the FDB entry associated with the default remote (assuming one was configured) is deleted without holding the hash lock. This is wrong and will result in a warning [1] being generated by the lockdep annotation that was added by commit ebe642067455 ("vxlan: Create wrappers for FDB lookup"). Reproducer: # ip link add vx0 up type vxlan dstport 4789 external vnifilter local 192.0.2.1 # bridge vni add vni 10010 remote 198.51.100.1 dev vx0 # bridge vni del vni 10010 dev vx0 Fix by acquiring the hash lock before the deletion and releasing it afterwards. Blame the original commit that introduced the issue rather than the one that exposed it. [1] WARNING: CPU: 3 PID: 392 at drivers/net/vxlan/vxlan_core.c:417 vxlan_find_mac+0x17f/0x1a0 [...] RIP: 0010:vxlan_find_mac+0x17f/0x1a0 [...] Call Trace: <TASK> __vxlan_fdb_delete+0xbe/0x560 vxlan_vni_delete_group+0x2ba/0x940 vxlan_vni_del.isra.0+0x15f/0x580 vxlan_process_vni_filter+0x38b/0x7b0 vxlan_vnifilter_process+0x3bb/0x510 rtnetlink_rcv_msg+0x2f7/0xb70 netlink_rcv_skb+0x131/0x360 netlink_unicast+0x426/0x710 netlink_sendmsg+0x75a/0xc20 __sock_sendmsg+0xc1/0x150 ____sys_sendmsg+0x5aa/0x7b0 ___sys_sendmsg+0xfc/0x180 __sys_sendmsg+0x121/0x1b0 do_syscall_64+0xbb/0x1d0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость компонента vxlan_vnifilter.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: book3s64/radix : Align section vmemmap start address to PAGE_SIZE A vmemmap altmap is a device-provided region used to provide backing storage for struct pages. For each namespace, the altmap should belong to that same namespace. If the namespaces are created unaligned, there is a chance that the section vmemmap start address could also be unaligned. If the section vmemmap start address is unaligned, the altmap page allocated from the current namespace might be used by the previous namespace also. During the free operation, since the altmap is shared between two namespaces, the previous namespace may detect that the page does not belong to its altmap and incorrectly assume that the page is a normal page. It then attempts to free the normal page, which leads to a kernel crash. Kernel attempted to read user page (18) - exploit attempt? (uid: 0) BUG: Kernel NULL pointer dereference on read at 0x00000018 Faulting instruction address: 0xc000000000530c7c Oops: Kernel access of bad area, sig: 11 [#1] LE PAGE_SIZE=64K MMU=Radix SMP NR_CPUS=2048 NUMA pSeries CPU: 32 PID: 2104 Comm: ndctl Kdump: loaded Tainted: G W NIP: c000000000530c7c LR: c000000000530e00 CTR: 0000000000007ffe REGS: c000000015e57040 TRAP: 0300 Tainted: G W MSR: 800000000280b033 <SF,VEC,VSX,EE,FP,ME,IR,DR,RI,LE> CR: 84482404 CFAR: c000000000530dfc DAR: 0000000000000018 DSISR: 40000000 IRQMASK: 0 GPR00: c000000000530e00 c000000015e572e0 c000000002c5cb00 c00c000101008040 GPR04: 0000000000000000 0000000000000007 0000000000000001 000000000000001f GPR08: 0000000000000005 0000000000000000 0000000000000018 0000000000002000 GPR12: c0000000001d2fb0 c0000060de6b0080 0000000000000000 c0000060dbf90020 GPR16: c00c000101008000 0000000000000001 0000000000000000 c000000125b20f00 GPR20: 0000000000000001 0000000000000000 ffffffffffffffff c00c000101007fff GPR24: 0000000000000001 0000000000000000 0000000000000000 0000000000000000 GPR28: 0000000004040201 0000000000000001 0000000000000000 c00c000101008040 NIP [c000000000530c7c] get_pfnblock_flags_mask+0x7c/0xd0 LR [c000000000530e00] free_unref_page_prepare+0x130/0x4f0 Call Trace: free_unref_page+0x50/0x1e0 free_reserved_page+0x40/0x68 free_vmemmap_pages+0x98/0xe0 remove_pte_table+0x164/0x1e8 remove_pmd_table+0x204/0x2c8 remove_pud_table+0x1c4/0x288 remove_pagetable+0x1c8/0x310 vmemmap_free+0x24/0x50 section_deactivate+0x28c/0x2a0 __remove_pages+0x84/0x110 arch_remove_memory+0x38/0x60 memunmap_pages+0x18c/0x3d0 devm_action_release+0x30/0x50 release_nodes+0x68/0x140 devres_release_group+0x100/0x190 dax_pmem_compat_release+0x44/0x80 [dax_pmem_compat] device_for_each_child+0x8c/0x100 [dax_pmem_compat_remove+0x2c/0x50 [dax_pmem_compat] nvdimm_bus_remove+0x78/0x140 [libnvdimm] device_remove+0x70/0xd0 Another issue is that if there is no altmap, a PMD-sized vmemmap page will be allocated from RAM, regardless of the alignment of the section start address. If the section start address is not aligned to the PMD size, a VM_BUG_ON will be triggered when setting the PMD-sized page to page table. In this patch, we are aligning the section vmemmap start address to PAGE_SIZE. After alignment, the start address will not be part of the current namespace, and a normal page will be allocated for the vmemmap mapping of the current section. For the remaining sections, altmaps will be allocated. During the free operation, the normal page will be correctly freed. In the same way, a PMD_SIZE vmemmap page will be allocated only if the section start address is PMD_SIZE-aligned; otherwise, it will fall back to a PAGE-sized vmemmap allocation. Without this patch ================== NS1 start NS2 start _________________________________________________________ | NS1 | NS2 | --------------------------------------------------------- | Altmap| Altmap | .....|Altmap| Altmap | ........... | NS1 | NS1 ---truncated--- Уязвимость компонента book3s64/radix ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: Fix oob write in trace_seq_to_buffer() syzbot reported this bug: ================================================================== BUG: KASAN: slab-out-of-bounds in trace_seq_to_buffer kernel/trace/trace.c:1830 [inline] BUG: KASAN: slab-out-of-bounds in tracing_splice_read_pipe+0x6be/0xdd0 kernel/trace/trace.c:6822 Write of size 4507 at addr ffff888032b6b000 by task syz.2.320/7260 CPU: 1 UID: 0 PID: 7260 Comm: syz.2.320 Not tainted 6.15.0-rc1-syzkaller-00301-g3bde70a2c827 #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xc3/0x670 mm/kasan/report.c:521 kasan_report+0xe0/0x110 mm/kasan/report.c:634 check_region_inline mm/kasan/generic.c:183 [inline] kasan_check_range+0xef/0x1a0 mm/kasan/generic.c:189 __asan_memcpy+0x3c/0x60 mm/kasan/shadow.c:106 trace_seq_to_buffer kernel/trace/trace.c:1830 [inline] tracing_splice_read_pipe+0x6be/0xdd0 kernel/trace/trace.c:6822 .... ================================================================== It has been reported that trace_seq_to_buffer() tries to copy more data than PAGE_SIZE to buf. Therefore, to prevent this, we should use the smaller of trace_seq_used(&iter->seq) and PAGE_SIZE as an argument. Уязвимость компонента trace.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in kerberos authentication Setting sess->user = NULL was introduced to fix the dangling pointer created by ksmbd_free_user. However, it is possible another thread could be operating on the session and make use of sess->user after it has been passed to ksmbd_free_user but before sess->user is set to NULL. Уязвимость компонента auth.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in ksmbd_session_rpc_open A UAF issue can occur due to a race condition between ksmbd_session_rpc_open() and __session_rpc_close(). Add rpc_lock to the session to protect it. Уязвимость функции ksmbd_session_rpc_open() в модуле fs/smb/server/mgmt/user_session.c поддержки сервера SMB ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ksmbd.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль ksmbd в ядро системы, для этого выполнить одну из команд: lsmod | grep ksmbd или kmod list | grep ksmbd Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: команда для выгрузки модуля ksmbd.ko: sudo rmmod ksmbd 2. Запретить загрузку модулей: от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-ksmbd.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; добавить в файл строку: install ksmbd /bin/false сохранить файл. 3. Обновить текущий образ initramfs: sudo update-initramfs -uk all Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/amd: Fix potential buffer overflow in parse_ivrs_acpihid There is a string parsing logic error which can lead to an overflow of hid or uid buffers. Comparing ACPIID_LEN against a total string length doesn't take into account the lengths of individual hid and uid buffers so the check is insufficient in some cases. For example if the length of hid string is 4 and the length of the uid string is 260, the length of str will be equal to ACPIID_LEN + 1 but uid string will overflow uid buffer which size is 256. The same applies to the hid string with length 13 and uid string with length 250. Check the length of hid and uid strings separately to prevent buffer overflow. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента init.c ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm-bufio: don't schedule in atomic context A BUG was reported as below when CONFIG_DEBUG_ATOMIC_SLEEP and try_verify_in_tasklet are enabled. [ 129.444685][ T934] BUG: sleeping function called from invalid context at drivers/md/dm-bufio.c:2421 [ 129.444723][ T934] in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 934, name: kworker/1:4 [ 129.444740][ T934] preempt_count: 201, expected: 0 [ 129.444756][ T934] RCU nest depth: 0, expected: 0 [ 129.444781][ T934] Preemption disabled at: [ 129.444789][ T934] [<ffffffd816231900>] shrink_work+0x21c/0x248 [ 129.445167][ T934] kernel BUG at kernel/sched/walt/walt_debug.c:16! [ 129.445183][ T934] Internal error: Oops - BUG: 00000000f2000800 [#1] PREEMPT SMP [ 129.445204][ T934] Skip md ftrace buffer dump for: 0x1609e0 [ 129.447348][ T934] CPU: 1 PID: 934 Comm: kworker/1:4 Tainted: G W OE 6.6.56-android15-8-o-g6f82312b30b9-debug #1 1400000003000000474e5500b3187743670464e8 [ 129.447362][ T934] Hardware name: Qualcomm Technologies, Inc. Parrot QRD, Alpha-M (DT) [ 129.447373][ T934] Workqueue: dm_bufio_cache shrink_work [ 129.447394][ T934] pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 129.447406][ T934] pc : android_rvh_schedule_bug+0x0/0x8 [sched_walt_debug] [ 129.447435][ T934] lr : __traceiter_android_rvh_schedule_bug+0x44/0x6c [ 129.447451][ T934] sp : ffffffc0843dbc90 [ 129.447459][ T934] x29: ffffffc0843dbc90 x28: ffffffffffffffff x27: 0000000000000c8b [ 129.447479][ T934] x26: 0000000000000040 x25: ffffff804b3d6260 x24: ffffffd816232b68 [ 129.447497][ T934] x23: ffffff805171c5b4 x22: 0000000000000000 x21: ffffffd816231900 [ 129.447517][ T934] x20: ffffff80306ba898 x19: 0000000000000000 x18: ffffffc084159030 [ 129.447535][ T934] x17: 00000000d2b5dd1f x16: 00000000d2b5dd1f x15: ffffffd816720358 [ 129.447554][ T934] x14: 0000000000000004 x13: ffffff89ef978000 x12: 0000000000000003 [ 129.447572][ T934] x11: ffffffd817a823c4 x10: 0000000000000202 x9 : 7e779c5735de9400 [ 129.447591][ T934] x8 : ffffffd81560d004 x7 : 205b5d3938373434 x6 : ffffffd8167397c8 [ 129.447610][ T934] x5 : 0000000000000000 x4 : 0000000000000001 x3 : ffffffc0843db9e0 [ 129.447629][ T934] x2 : 0000000000002f15 x1 : 0000000000000000 x0 : 0000000000000000 [ 129.447647][ T934] Call trace: [ 129.447655][ T934] android_rvh_schedule_bug+0x0/0x8 [sched_walt_debug 1400000003000000474e550080cce8a8a78606b6] [ 129.447681][ T934] __might_resched+0x190/0x1a8 [ 129.447694][ T934] shrink_work+0x180/0x248 [ 129.447706][ T934] process_one_work+0x260/0x624 [ 129.447718][ T934] worker_thread+0x28c/0x454 [ 129.447729][ T934] kthread+0x118/0x158 [ 129.447742][ T934] ret_from_fork+0x10/0x20 [ 129.447761][ T934] Code: ???????? ???????? ???????? d2b5dd1f (d4210000) [ 129.447772][ T934] ---[ end trace 0000000000000000 ]--- dm_bufio_lock will call spin_lock_bh when try_verify_in_tasklet is enabled, and __scan will be called in atomic context. Уязвимость компонента dm-bufio.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/nouveau: Fix WARN_ON in nouveau_fence_context_kill() Nouveau is mostly designed in a way that it's expected that fences only ever get signaled through nouveau_fence_signal(). However, in at least one other place, nouveau_fence_done(), can signal fences, too. If that happens (race) a signaled fence remains in the pending list for a while, until it gets removed by nouveau_fence_update(). Should nouveau_fence_context_kill() run in the meantime, this would be a bug because the function would attempt to set an error code on an already signaled fence. Have nouveau_fence_context_kill() check for a fence being signaled. Уязвимость компонента nouveau_fence.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: adjust subpage bit start based on sectorsize When running machines with 64k page size and a 16k nodesize we started seeing tree log corruption in production. This turned out to be because we were not writing out dirty blocks sometimes, so this in fact affects all metadata writes. When writing out a subpage EB we scan the subpage bitmap for a dirty range. If the range isn't dirty we do bit_start++; to move onto the next bit. The problem is the bitmap is based on the number of sectors that an EB has. So in this case, we have a 64k pagesize, 16k nodesize, but a 4k sectorsize. This means our bitmap is 4 bits for every node. With a 64k page size we end up with 4 nodes per page. To make this easier this is how everything looks [0 16k 32k 48k ] logical address [0 4 8 12 ] radix tree offset [ 64k page ] folio [ 16k eb ][ 16k eb ][ 16k eb ][ 16k eb ] extent buffers [ | | | | | | | | | | | | | | | | ] bitmap Now we use all of our addressing based on fs_info->sectorsize_bits, so as you can see the above our 16k eb->start turns into radix entry 4. When we find a dirty range for our eb, we correctly do bit_start += sectors_per_node, because if we start at bit 0, the next bit for the next eb is 4, to correspond to eb->start 16k. However if our range is clean, we will do bit_start++, which will now put us offset from our radix tree entries. In our case, assume that the first time we check the bitmap the block is not dirty, we increment bit_start so now it == 1, and then we loop around and check again. This time it is dirty, and we go to find that start using the following equation start = folio_start + bit_start * fs_info->sectorsize; so in the case above, eb->start 0 is now dirty, and we calculate start as 0 + 1 * fs_info->sectorsize = 4096 4096 >> 12 = 1 Now we're looking up the radix tree for 1, and we won't find an eb. What's worse is now we're using bit_start == 1, so we do bit_start += sectors_per_node, which is now 5. If that eb is dirty we will run into the same thing, we will look at an offset that is not populated in the radix tree, and now we're skipping the writeout of dirty extent buffers. The best fix for this is to not use sectorsize_bits to address nodes, but that's a larger change. Since this is a fs corruption problem fix it simply by always using sectors_per_node to increment the start bit. Уязвимость компонента btrfs ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sch_htb: make htb_qlen_notify() idempotent htb_qlen_notify() always deactivates the HTB class and in fact could trigger a warning if it is already deactivated. Therefore, it is not idempotent and not friendly to its callers, like fq_codel_dequeue(). Let's make it idempotent to ease qdisc_tree_reduce_backlog() callers' life. Уязвимость компонента sch_htb.c ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: octeon_ep: Fix host hang issue during device reboot When the host loses heartbeat messages from the device, the driver calls the device-specific ndo_stop function, which frees the resources. If the driver is unloaded in this scenario, it calls ndo_stop again, attempting to free resources that have already been freed, leading to a host hang issue. To resolve this, dev_close should be called instead of the device-specific stop function.dev_close internally calls ndo_stop to stop the network interface and performs additional cleanup tasks. During the driver unload process, if the device is already down, ndo_stop is not called. Уязвимость компонента octeon_ep ядра операционной системы Linux связана с множественным освобождением одного и того же ресурса или дескриптора. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: simple-card-utils: Fix pointer check in graph_util_parse_link_direction Actually check if the passed pointers are valid, before writing to them. This also fixes a USBAN warning: UBSAN: invalid-load in ../sound/soc/fsl/imx-card.c:687:25 load of value 255 is not a valid value for type '_Bool' This is because playback_only is uninitialized and is not written to, as the playback-only property is absent. Уязвимость компонента ASoC ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: mtk_eth_soc: fix SER panic with 4GB+ RAM If the mtk_poll_rx() function detects the MTK_RESETTING flag, it will jump to release_desc and refill the high word of the SDP on the 4GB RFB. Subsequently, mtk_rx_clean will process an incorrect SDP, leading to a panic. Add patch from MediaTek's SDK to resolve this. Уязвимость компонента mtk_eth_soc ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf/x86/intel: KVM: Mask PEBS_ENABLE loaded for guest with vCPU's value. When generating the MSR_IA32_PEBS_ENABLE value that will be loaded on VM-Entry to a KVM guest, mask the value with the vCPU's desired PEBS_ENABLE value. Consulting only the host kernel's host vs. guest masks results in running the guest with PEBS enabled even when the guest doesn't want to use PEBS. Because KVM uses perf events to proxy the guest virtual PMU, simply looking at exclude_host can't differentiate between events created by host userspace, and events created by KVM on behalf of the guest. Running the guest with PEBS unexpectedly enabled typically manifests as crashes due to a near-infinite stream of #PFs. E.g. if the guest hasn't written MSR_IA32_DS_AREA, the CPU will hit page faults on address '0' when trying to record PEBS events. The issue is most easily reproduced by running `perf kvm top` from before commit 7b100989b4f6 ("perf evlist: Remove __evlist__add_default") (after which, `perf kvm top` effectively stopped using PEBS). The userspace side of perf creates a guest-only PEBS event, which intel_guest_get_msrs() misconstrues a guest-*owned* PEBS event. Arguably, this is a userspace bug, as enabling PEBS on guest-only events simply cannot work, and userspace can kill VMs in many other ways (there is no danger to the host). However, even if this is considered to be bad userspace behavior, there's zero downside to perf/KVM restricting PEBS to guest-owned events. Note, commit 854250329c02 ("KVM: x86/pmu: Disable guest PEBS temporarily in two rare situations") fixed the case where host userspace is profiling KVM *and* userspace, but missed the case where userspace is profiling only KVM. Уязвимость компонента core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H', score=8.7) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: objtool, media: dib8000: Prevent divide-by-zero in dib8000_set_dds() If dib8000_set_dds()'s call to dib8000_read32() returns zero, the result is a divide-by-zero. Prevent that from happening. Fixes the following warning with an UBSAN kernel: drivers/media/dvb-frontends/dib8000.o: warning: objtool: dib8000_tune() falls through to next function dib8096p_cfg_DibRx() Уязвимость компонента dib8000.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: Verify event formats that have "%*p.." The trace event verifier checks the formats of trace events to make sure that they do not point at memory that is not in the trace event itself or in data that will never be freed. If an event references data that was allocated when the event triggered and that same data is freed before the event is read, then the kernel can crash by reading freed memory. The verifier runs at boot up (or module load) and scans the print formats of the events and checks their arguments to make sure that dereferenced pointers are safe. If the format uses "%*p.." the verifier will ignore it, and that could be dangerous. Cover this case as well. Also add to the sample code a use case of "%*pbl". Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ftrace: Add cond_resched() to ftrace_graph_set_hash() When the kernel contains a large number of functions that can be traced, the loop in ftrace_graph_set_hash() may take a lot of time to execute. This may trigger the softlockup watchdog. Add cond_resched() within the loop to allow the kernel to remain responsive even when processing a large number of functions. This matches the cond_resched() that is used in other locations of the code that iterates over all functions that can be traced. Уязвимость компонента ftrace.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: codecs: wcd937x: fix a potential memory leak in wcd937x_soc_codec_probe() When snd_soc_dapm_new_controls() or snd_soc_dapm_add_routes() fails, wcd937x_soc_codec_probe() returns without releasing 'wcd937x->clsh_info', which is allocated by wcd_clsh_ctrl_alloc. Add wcd_clsh_ctrl_free() to prevent potential memory leak. Уязвимость функции wcd937x_soc_codec_probe() ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: Fix invalid data access in ath12k_dp_rx_h_undecap_nwifi In certain cases, hardware might provide packets with a length greater than the maximum native Wi-Fi header length. This can lead to accessing and modifying fields in the header within the ath12k_dp_rx_h_undecap_nwifi function for DP_RX_DECAP_TYPE_NATIVE_WIFI decap type and potentially resulting in invalid data access and memory corruption. Add a sanity check before processing the SKB to prevent invalid data access in the undecap native Wi-Fi function for the DP_RX_DECAP_TYPE_NATIVE_WIFI decap type. Tested-on: QCN9274 hw2.0 PCI WLAN.WBE.1.3.1-00173-QCAHKSWPL_SILICONZ-1 Уязвимость компонента wifi ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: Fix invalid entry fetch in ath12k_dp_mon_srng_process Currently, ath12k_dp_mon_srng_process uses ath12k_hal_srng_src_get_next_entry to fetch the next entry from the destination ring. This is incorrect because ath12k_hal_srng_src_get_next_entry is intended for source rings, not destination rings. This leads to invalid entry fetches, causing potential data corruption or crashes due to accessing incorrect memory locations. This happens because the source ring and destination ring have different handling mechanisms and using the wrong function results in incorrect pointer arithmetic and ring management. To fix this issue, replace the call to ath12k_hal_srng_src_get_next_entry with ath12k_hal_srng_dst_get_next_entry in ath12k_dp_mon_srng_process. This ensures that the correct function is used for fetching entries from the destination ring, preventing invalid memory accesses. Tested-on: QCN9274 hw2.0 PCI WLAN.WBE.1.3.1-00173-QCAHKSWPL_SILICONZ-1 Tested-on: WCN7850 hw2.0 WLAN.HMT.1.0.c5-00481-QCAHMTSWPL_V1.0_V2.0_SILICONZ-3 Уязвимость компонента wifi ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: phy: allow MDIO bus PM ops to start/stop state machine for phylink-controlled PHY DSA has 2 kinds of drivers: 1. Those who call dsa_switch_suspend() and dsa_switch_resume() from their device PM ops: qca8k-8xxx, bcm_sf2, microchip ksz 2. Those who don't: all others. The above methods should be optional. For type 1, dsa_switch_suspend() calls dsa_user_suspend() -> phylink_stop(), and dsa_switch_resume() calls dsa_user_resume() -> phylink_start(). These seem good candidates for setting mac_managed_pm = true because that is essentially its definition [1], but that does not seem to be the biggest problem for now, and is not what this change focuses on. Talking strictly about the 2nd category of DSA drivers here (which do not have MAC managed PM, meaning that for their attached PHYs, mdio_bus_phy_suspend() and mdio_bus_phy_resume() should run in full), I have noticed that the following warning from mdio_bus_phy_resume() is triggered: WARN_ON(phydev->state != PHY_HALTED && phydev->state != PHY_READY && phydev->state != PHY_UP); because the PHY state machine is running. It's running as a result of a previous dsa_user_open() -> ... -> phylink_start() -> phy_start() having been initiated by the user. The previous mdio_bus_phy_suspend() was supposed to have called phy_stop_machine(), but it didn't. So this is why the PHY is in state PHY_NOLINK by the time mdio_bus_phy_resume() runs. mdio_bus_phy_suspend() did not call phy_stop_machine() because for phylink, the phydev->adjust_link function pointer is NULL. This seems a technicality introduced by commit fddd91016d16 ("phylib: fix PAL state machine restart on resume"). That commit was written before phylink existed, and was intended to avoid crashing with consumer drivers which don't use the PHY state machine - phylink always does, when using a PHY. But phylink itself has historically not been developed with suspend/resume in mind, and apparently not tested too much in that scenario, allowing this bug to exist unnoticed for so long. Plus, prior to the WARN_ON(), it would have likely been invisible. This issue is not in fact restricted to type 2 DSA drivers (according to the above ad-hoc classification), but can be extrapolated to any MAC driver with phylink and MDIO-bus-managed PHY PM ops. DSA is just where the issue was reported. Assuming mac_managed_pm is set correctly, a quick search indicates the following other drivers might be affected: $ grep -Zlr PHYLINK_NETDEV drivers/ | xargs -0 grep -L mac_managed_pm drivers/net/ethernet/atheros/ag71xx.c drivers/net/ethernet/microchip/sparx5/sparx5_main.c drivers/net/ethernet/microchip/lan966x/lan966x_main.c drivers/net/ethernet/freescale/dpaa2/dpaa2-mac.c drivers/net/ethernet/freescale/fs_enet/fs_enet-main.c drivers/net/ethernet/freescale/dpaa/dpaa_eth.c drivers/net/ethernet/freescale/ucc_geth.c drivers/net/ethernet/freescale/enetc/enetc_pf_common.c drivers/net/ethernet/marvell/mvpp2/mvpp2_main.c drivers/net/ethernet/marvell/mvneta.c drivers/net/ethernet/marvell/prestera/prestera_main.c drivers/net/ethernet/mediatek/mtk_eth_soc.c drivers/net/ethernet/altera/altera_tse_main.c drivers/net/ethernet/wangxun/txgbe/txgbe_phy.c drivers/net/ethernet/meta/fbnic/fbnic_phylink.c drivers/net/ethernet/tehuti/tn40_phy.c drivers/net/ethernet/mscc/ocelot_net.c Make the existing conditions dependent on the PHY device having a phydev->phy_link_change() implementation equal to the default phy_link_change() provided by phylib. Otherwise, we implicitly know that the phydev has the phylink-provided phylink_phy_change() callback, and when phylink is used, the PHY state machine always needs to be stopped/ started on the suspend/resume path. The code is structured as such that if phydev->phy_link_change() is absent, it is a matter of time until the kernel will crash - no need to further complicate the test. Thus, for the situation where the PM is not managed b ---truncated--- [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: s390/pci: Fix duplicate pci_dev_put() in disable_slot() when PF has child VFs With commit bcb5d6c76903 ("s390/pci: introduce lock to synchronize state of zpci_dev's") the code to ignore power off of a PF that has child VFs was changed from a direct return to a goto to the unlock and pci_dev_put() section. The change however left the existing pci_dev_put() untouched resulting in a doubple put. This can subsequently cause a use after free if the struct pci_dev is released in an unexpected state. Fix this by removing the extra pci_dev_put(). Уязвимость компонента s390/pci ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: prevent out-of-bounds stream writes by validating *pos ksmbd_vfs_stream_write() did not validate whether the write offset (*pos) was within the bounds of the existing stream data length (v_len). If *pos was greater than or equal to v_len, this could lead to an out-of-bounds memory write. This patch adds a check to ensure *pos is less than v_len before proceeding. If the condition fails, -EINVAL is returned. Уязвимость компонента vfs.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) - Ограничьте доступ к SMB-портам (как правило, 445/tcp) сервера с ksmbd. Разрешите подключения только с определенных, доверенных IP-адресов или подсетей, используя iptables или nftables; - использовать hardened ядро ОС; - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arm64: bpf: Add BHB mitigation to the epilogue for cBPF programs A malicious BPF program may manipulate the branch history to influence what the hardware speculates will happen next. On exit from a BPF program, emit the BHB mititgation sequence. This is only applied for 'classic' cBPF programs that are loaded by seccomp. Уязвимость компонентов arm64 ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xenbus: Use kref to track req lifetime Marek reported seeing a NULL pointer fault in the xenbus_thread callstack: BUG: kernel NULL pointer dereference, address: 0000000000000000 RIP: e030:__wake_up_common+0x4c/0x180 Call Trace: <TASK> __wake_up_common_lock+0x82/0xd0 process_msg+0x18e/0x2f0 xenbus_thread+0x165/0x1c0 process_msg+0x18e is req->cb(req). req->cb is set to xs_wake_up(), a thin wrapper around wake_up(), or xenbus_dev_queue_reply(). It seems like it was xs_wake_up() in this case. It seems like req may have woken up the xs_wait_for_reply(), which kfree()ed the req. When xenbus_thread resumes, it faults on the zero-ed data. Linux Device Drivers 2nd edition states: "Normally, a wake_up call can cause an immediate reschedule to happen, meaning that other processes might run before wake_up returns." ... which would match the behaviour observed. Change to keeping two krefs on each request. One for the caller, and one for xenbus_thread. Each will kref_put() when finished, and the last will free it. This use of kref matches the description in Documentation/core-api/kref.rst Уязвимость компонентов xenbus ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/v3d: Add job to pending list if the reset was skipped When a CL/CSD job times out, we check if the GPU has made any progress since the last timeout. If so, instead of resetting the hardware, we skip the reset and let the timer get rearmed. This gives long-running jobs a chance to complete. However, when `timedout_job()` is called, the job in question is removed from the pending list, which means it won't be automatically freed through `free_job()`. Consequently, when we skip the reset and keep the job running, the job won't be freed when it finally completes. This situation leads to a memory leak, as exposed in [1] and [2]. Similarly to commit 704d3d60fec4 ("drm/etnaviv: don't block scheduler when GPU is still active"), this patch ensures the job is put back on the pending list when extending the timeout. Уязвимость компонента v3d_sched.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: Fix UAF in __close_file_table_ids A use-after-free is possible if one thread destroys the file via __ksmbd_close_fd while another thread holds a reference to it. The existing checks on fp->refcount are not sufficient to prevent this. The fix takes ft->lock around the section which removes the file from the file table. This prevents two threads acquiring the same file pointer via __close_file_table_ids, as well as the other functions which retrieve a file from the IDR and which already use this same lock. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ksmbd.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль ksmbd в ядро системы, для этого выполнить одну из команд: lsmod | grep ksmbd или kmod list | grep ksmbd Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: команда для выгрузки модуля ksmbd.ko: sudo rmmod ksmbd 2. Запретить загрузку модулей: от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-ksmbd.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; добавить в файл строку: install ksmbd /bin/false сохранить файл. 3. Обновить текущий образ initramfs: sudo update-initramfs -uk all Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: Avoid race in open_cached_dir with lease breaks A pre-existing valid cfid returned from find_or_create_cached_dir might race with a lease break, meaning open_cached_dir doesn't consider it valid, and thinks it's newly-constructed. This leaks a dentry reference if the allocation occurs before the queued lease break work runs. Avoid the race by extending holding the cfid_list_lock across find_or_create_cached_dir and when the result is checked. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: virtio-net: free xsk_buffs on error in virtnet_xsk_pool_enable() The selftests added to our CI by Bui Quang Minh recently reveals that there is a mem leak on the error path of virtnet_xsk_pool_enable(): unreferenced object 0xffff88800a68a000 (size 2048): comm "xdp_helper", pid 318, jiffies 4294692778 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc 0): __kvmalloc_node_noprof+0x402/0x570 virtnet_xsk_pool_enable+0x293/0x6a0 (drivers/net/virtio_net.c:5882) xp_assign_dev+0x369/0x670 (net/xdp/xsk_buff_pool.c:226) xsk_bind+0x6a5/0x1ae0 __sys_bind+0x15e/0x230 __x64_sys_bind+0x72/0xb0 do_syscall_64+0xc1/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента virtio-net ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: prevent rename with empty string Client can send empty newname string to ksmbd server. It will cause a kernel oops from d_alloc. This patch return the error when attempting to rename a file or directory with an empty new name string. [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: SVM: Forcibly leave SMM mode on SHUTDOWN interception Previously, commit ed129ec9057f ("KVM: x86: forcibly leave nested mode on vCPU reset") addressed an issue where a triple fault occurring in nested mode could lead to use-after-free scenarios. However, the commit did not handle the analogous situation for System Management Mode (SMM). This omission results in triggering a WARN when KVM forces a vCPU INIT after SHUTDOWN interception while the vCPU is in SMM. This situation was reprodused using Syzkaller by: 1) Creating a KVM VM and vCPU 2) Sending a KVM_SMI ioctl to explicitly enter SMM 3) Executing invalid instructions causing consecutive exceptions and eventually a triple fault The issue manifests as follows: WARNING: CPU: 0 PID: 25506 at arch/x86/kvm/x86.c:12112 kvm_vcpu_reset+0x1d2/0x1530 arch/x86/kvm/x86.c:12112 Modules linked in: CPU: 0 PID: 25506 Comm: syz-executor.0 Not tainted 6.1.130-syzkaller-00157-g164fe5dde9b6 #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:kvm_vcpu_reset+0x1d2/0x1530 arch/x86/kvm/x86.c:12112 Call Trace: <TASK> shutdown_interception+0x66/0xb0 arch/x86/kvm/svm/svm.c:2136 svm_invoke_exit_handler+0x110/0x530 arch/x86/kvm/svm/svm.c:3395 svm_handle_exit+0x424/0x920 arch/x86/kvm/svm/svm.c:3457 vcpu_enter_guest arch/x86/kvm/x86.c:10959 [inline] vcpu_run+0x2c43/0x5a90 arch/x86/kvm/x86.c:11062 kvm_arch_vcpu_ioctl_run+0x50f/0x1cf0 arch/x86/kvm/x86.c:11283 kvm_vcpu_ioctl+0x570/0xf00 arch/x86/kvm/../../../virt/kvm/kvm_main.c:4122 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:870 [inline] __se_sys_ioctl fs/ioctl.c:856 [inline] __x64_sys_ioctl+0x19a/0x210 fs/ioctl.c:856 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x35/0x80 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x6e/0xd8 Architecturally, INIT is blocked when the CPU is in SMM, hence KVM's WARN() in kvm_vcpu_reset() to guard against KVM bugs, e.g. to detect improper emulation of INIT. SHUTDOWN on SVM is a weird edge case where KVM needs to do _something_ sane with the VMCB, since it's technically undefined, and INIT is the least awful choice given KVM's ABI. So, double down on stuffing INIT on SHUTDOWN, and force the vCPU out of SMM to avoid any weirdness (and the WARN). Found by Linux Verification Center (linuxtesting.org) with Syzkaller. [sean: massage changelog, make it clear this isn't architectural behavior] [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/huge_memory: fix dereferencing invalid pmd migration entry When migrating a THP, concurrent access to the PMD migration entry during a deferred split scan can lead to an invalid address access, as illustrated below. To prevent this invalid access, it is necessary to check the PMD migration entry and return early. In this context, there is no need to use pmd_to_swp_entry and pfn_swap_entry_to_page to verify the equality of the target folio. Since the PMD migration entry is locked, it cannot be served as the target. Mailing list discussion and explanation from Hugh Dickins: "An anon_vma lookup points to a location which may contain the folio of interest, but might instead contain another folio: and weeding out those other folios is precisely what the "folio != pmd_folio((*pmd)" check (and the "risk of replacing the wrong folio" comment a few lines above it) is for." BUG: unable to handle page fault for address: ffffea60001db008 CPU: 0 UID: 0 PID: 2199114 Comm: tee Not tainted 6.14.0+ #4 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:split_huge_pmd_locked+0x3b5/0x2b60 Call Trace: <TASK> try_to_migrate_one+0x28c/0x3730 rmap_walk_anon+0x4f6/0x770 unmap_folio+0x196/0x1f0 split_huge_page_to_list_to_order+0x9f6/0x1560 deferred_split_scan+0xac5/0x12a0 shrinker_debugfs_scan_write+0x376/0x470 full_proxy_write+0x15c/0x220 vfs_write+0x2fc/0xcb0 ksys_write+0x146/0x250 do_syscall_64+0x6a/0x120 entry_SYSCALL_64_after_hwframe+0x76/0x7e The bug is found by syzkaller on an internal kernel, then confirmed on upstream. Уязвимость компонента huge_memory.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Scrub packet on bpf_redirect_peer When bpf_redirect_peer is used to redirect packets to a device in another network namespace, the skb isn't scrubbed. That can lead skb information from one namespace to be "misused" in another namespace. As one example, this is causing Cilium to drop traffic when using bpf_redirect_peer to redirect packets that just went through IPsec decryption to a container namespace. The following pwru trace shows (1) the packet path from the host's XFRM layer to the container's XFRM layer where it's dropped and (2) the number of active skb extensions at each function. NETNS MARK IFACE TUPLE FUNC 4026533547 d00 eth0 10.244.3.124:35473->10.244.2.158:53 xfrm_rcv_cb .active_extensions = (__u8)2, 4026533547 d00 eth0 10.244.3.124:35473->10.244.2.158:53 xfrm4_rcv_cb .active_extensions = (__u8)2, 4026533547 d00 eth0 10.244.3.124:35473->10.244.2.158:53 gro_cells_receive .active_extensions = (__u8)2, [...] 4026533547 0 eth0 10.244.3.124:35473->10.244.2.158:53 skb_do_redirect .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 ip_rcv .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 ip_rcv_core .active_extensions = (__u8)2, [...] 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 udp_queue_rcv_one_skb .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 __xfrm_policy_check .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 __xfrm_decode_session .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 security_xfrm_decode_session .active_extensions = (__u8)2, 4026534999 0 eth0 10.244.3.124:35473->10.244.2.158:53 kfree_skb_reason(SKB_DROP_REASON_XFRM_POLICY) .active_extensions = (__u8)2, In this case, there are no XFRM policies in the container's network namespace so the drop is unexpected. When we decrypt the IPsec packet, the XFRM state used for decryption is set in the skb extensions. This information is preserved across the netns switch. When we reach the XFRM policy check in the container's netns, __xfrm_policy_check drops the packet with LINUX_MIB_XFRMINNOPOLS because a (container-side) XFRM policy can't be found that matches the (host-side) XFRM state used for decryption. This patch fixes this by scrubbing the packet when using bpf_redirect_peer, as is done on typical netns switches via veth devices except skb->mark and skb->tstamp are not zeroed. Уязвимость компонента filter.c ядра операционной системы Linux связана с раскрытием информации в ошибочной области данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H', score=9.4) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: memblock: Accept allocated memory before use in memblock_double_array() When increasing the array size in memblock_double_array() and the slab is not yet available, a call to memblock_find_in_range() is used to reserve/allocate memory. However, the range returned may not have been accepted, which can result in a crash when booting an SNP guest: RIP: 0010:memcpy_orig+0x68/0x130 Code: ... RSP: 0000:ffffffff9cc03ce8 EFLAGS: 00010006 RAX: ff11001ff83e5000 RBX: 0000000000000000 RCX: fffffffffffff000 RDX: 0000000000000bc0 RSI: ffffffff9dba8860 RDI: ff11001ff83e5c00 RBP: 0000000000002000 R08: 0000000000000000 R09: 0000000000002000 R10: 000000207fffe000 R11: 0000040000000000 R12: ffffffff9d06ef78 R13: ff11001ff83e5000 R14: ffffffff9dba7c60 R15: 0000000000000c00 memblock_double_array+0xff/0x310 memblock_add_range+0x1fb/0x2f0 memblock_reserve+0x4f/0xa0 memblock_alloc_range_nid+0xac/0x130 memblock_alloc_internal+0x53/0xc0 memblock_alloc_try_nid+0x3d/0xa0 swiotlb_init_remap+0x149/0x2f0 mem_init+0xb/0xb0 mm_core_init+0x8f/0x350 start_kernel+0x17e/0x5d0 x86_64_start_reservations+0x14/0x30 x86_64_start_kernel+0x92/0xa0 secondary_startup_64_no_verify+0x194/0x19b Mitigate this by calling accept_memory() on the memory range returned before the slab is available. Prior to v6.12, the accept_memory() interface used a 'start' and 'end' parameter instead of 'start' and 'size', therefore the accept_memory() call must be adjusted to specify 'start + size' for 'end' when applying to kernels prior to v6.12. Уязвимость компонента memblock ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipvs: fix uninit-value for saddr in do_output_route4 syzbot reports for uninit-value for the saddr argument [1]. commit 4754957f04f5 ("ipvs: do not use random local source address for tunnels") already implies that the input value of saddr should be ignored but the code is still reading it which can prevent to connect the route. Fix it by changing the argument to ret_saddr. [1] BUG: KMSAN: uninit-value in do_output_route4+0x42c/0x4d0 net/netfilter/ipvs/ip_vs_xmit.c:147 do_output_route4+0x42c/0x4d0 net/netfilter/ipvs/ip_vs_xmit.c:147 __ip_vs_get_out_rt+0x403/0x21d0 net/netfilter/ipvs/ip_vs_xmit.c:330 ip_vs_tunnel_xmit+0x205/0x2380 net/netfilter/ipvs/ip_vs_xmit.c:1136 ip_vs_in_hook+0x1aa5/0x35b0 net/netfilter/ipvs/ip_vs_core.c:2063 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xf7/0x400 net/netfilter/core.c:626 nf_hook include/linux/netfilter.h:269 [inline] __ip_local_out+0x758/0x7e0 net/ipv4/ip_output.c:118 ip_local_out net/ipv4/ip_output.c:127 [inline] ip_send_skb+0x6a/0x3c0 net/ipv4/ip_output.c:1501 udp_send_skb+0xfda/0x1b70 net/ipv4/udp.c:1195 udp_sendmsg+0x2fe3/0x33c0 net/ipv4/udp.c:1483 inet_sendmsg+0x1fc/0x280 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x267/0x380 net/socket.c:727 ____sys_sendmsg+0x91b/0xda0 net/socket.c:2566 ___sys_sendmsg+0x28d/0x3c0 net/socket.c:2620 __sys_sendmmsg+0x41d/0x880 net/socket.c:2702 __compat_sys_sendmmsg net/compat.c:360 [inline] __do_compat_sys_sendmmsg net/compat.c:367 [inline] __se_compat_sys_sendmmsg net/compat.c:364 [inline] __ia32_compat_sys_sendmmsg+0xc8/0x140 net/compat.c:364 ia32_sys_call+0x3ffa/0x41f0 arch/x86/include/generated/asm/syscalls_32.h:346 do_syscall_32_irqs_on arch/x86/entry/syscall_32.c:83 [inline] __do_fast_syscall_32+0xb0/0x110 arch/x86/entry/syscall_32.c:306 do_fast_syscall_32+0x38/0x80 arch/x86/entry/syscall_32.c:331 do_SYSENTER_32+0x1f/0x30 arch/x86/entry/syscall_32.c:369 entry_SYSENTER_compat_after_hwframe+0x84/0x8e Uninit was created at: slab_post_alloc_hook mm/slub.c:4167 [inline] slab_alloc_node mm/slub.c:4210 [inline] __kmalloc_cache_noprof+0x8fa/0xe00 mm/slub.c:4367 kmalloc_noprof include/linux/slab.h:905 [inline] ip_vs_dest_dst_alloc net/netfilter/ipvs/ip_vs_xmit.c:61 [inline] __ip_vs_get_out_rt+0x35d/0x21d0 net/netfilter/ipvs/ip_vs_xmit.c:323 ip_vs_tunnel_xmit+0x205/0x2380 net/netfilter/ipvs/ip_vs_xmit.c:1136 ip_vs_in_hook+0x1aa5/0x35b0 net/netfilter/ipvs/ip_vs_core.c:2063 nf_hook_entry_hookfn include/linux/netfilter.h:154 [inline] nf_hook_slow+0xf7/0x400 net/netfilter/core.c:626 nf_hook include/linux/netfilter.h:269 [inline] __ip_local_out+0x758/0x7e0 net/ipv4/ip_output.c:118 ip_local_out net/ipv4/ip_output.c:127 [inline] ip_send_skb+0x6a/0x3c0 net/ipv4/ip_output.c:1501 udp_send_skb+0xfda/0x1b70 net/ipv4/udp.c:1195 udp_sendmsg+0x2fe3/0x33c0 net/ipv4/udp.c:1483 inet_sendmsg+0x1fc/0x280 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x267/0x380 net/socket.c:727 ____sys_sendmsg+0x91b/0xda0 net/socket.c:2566 ___sys_sendmsg+0x28d/0x3c0 net/socket.c:2620 __sys_sendmmsg+0x41d/0x880 net/socket.c:2702 __compat_sys_sendmmsg net/compat.c:360 [inline] __do_compat_sys_sendmmsg net/compat.c:367 [inline] __se_compat_sys_sendmmsg net/compat.c:364 [inline] __ia32_compat_sys_sendmmsg+0xc8/0x140 net/compat.c:364 ia32_sys_call+0x3ffa/0x41f0 arch/x86/include/generated/asm/syscalls_32.h:346 do_syscall_32_irqs_on arch/x86/entry/syscall_32.c:83 [inline] __do_fast_syscall_32+0xb0/0x110 arch/x86/entry/syscall_32.c:306 do_fast_syscall_32+0x38/0x80 arch/x86/entry/syscall_32.c:331 do_SYSENTER_32+0x1f/0x30 arch/x86/entry/syscall_32.c:369 entry_SYSENTER_compat_after_hwframe+0x84/0x8e CPU: 0 UID: 0 PID: 22408 Comm: syz.4.5165 Not tainted 6.15.0-rc3-syzkaller-00019-gbc3372351d0c #0 PREEMPT(undef) Hardware name: Google Google Compute Engi ---truncated--- Уязвимость компонента ip_vs_xmit.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arm64: bpf: Only mitigate cBPF programs loaded by unprivileged users Support for eBPF programs loaded by unprivileged users is typically disabled. This means only cBPF programs need to be mitigated for BHB. In addition, only mitigate cBPF programs that were loaded by an unprivileged user. Privileged users can also load the same program via eBPF, making the mitigation pointless. Уязвимость компонента bpf_jit_comp.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: typec: ucsi: displayport: Fix deadlock This patch introduces the ucsi_con_mutex_lock / ucsi_con_mutex_unlock functions to the UCSI driver. ucsi_con_mutex_lock ensures the connector mutex is only locked if a connection is established and the partner pointer is valid. This resolves a deadlock scenario where ucsi_displayport_remove_partner holds con->mutex waiting for dp_altmode_work to complete while dp_altmode_work attempts to acquire it. Уязвимость компонентов drivers/usb/typec/ucsi/ ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iio: light: opt3001: fix deadlock due to concurrent flag access The threaded IRQ function in this driver is reading the flag twice: once to lock a mutex and once to unlock it. Even though the code setting the flag is designed to prevent it, there are subtle cases where the flag could be true at the mutex_lock stage and false at the mutex_unlock stage. This results in the mutex not being unlocked, resulting in a deadlock. Fix it by making the opt3001_irq() code generally more robust, reading the flag into a variable and using the variable value at both stages. Уязвимость функции opt3001_irq() в модуле drivers/iio/light/opt3001.c драйвера фотодатчиков ядра операционной системы Linux связана с возникновением взаимной блокировки. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: imu: st_lsm6dsx: fix possible lockup in st_lsm6dsx_read_tagged_fifo Prevent st_lsm6dsx_read_tagged_fifo from falling in an infinite loop in case pattern_len is equal to zero and the device FIFO is not empty. Уязвимость функции st_lsm6dsx_read_tagged_fifo() компонента st_lsm6dsx_buffer.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: imu: st_lsm6dsx: fix possible lockup in st_lsm6dsx_read_fifo Prevent st_lsm6dsx_read_fifo from falling in an infinite loop in case pattern_len is equal to zero and the device FIFO is not empty. Уязвимость функции st_lsm6dsx_read_fifo() компонента st_lsm6dsx_buffer.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: staging: bcm2835-camera: Initialise dev in v4l2_dev Commit 42a2f6664e18 ("staging: vc04_services: Move global g_state to vchiq_state") changed mmal_init to pass dev->v4l2_dev.dev to vchiq_mmal_init, however nothing iniitialised dev->v4l2_dev, so we got a NULL pointer dereference. Set dev->v4l2_dev.dev during bcm2835_mmal_probe. The device pointer could be passed into v4l2_device_register to set it, however that also has other effects that would need additional changes. Уязвимость компонента bcm2835-camera ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Input: mtk-pmic-keys - fix possible null pointer dereference In mtk_pmic_keys_probe, the regs parameter is only set if the button is parsed in the device tree. However, on hardware where the button is left floating, that node will most likely be removed not to enable that input. In that case the code will try to dereference a null pointer. Let's use the regs struct instead as it is defined for all supported platforms. Note that it is ok setting the key reg even if that latter is disabled as the interrupt won't be enabled anyway. Уязвимость функции mtk_pmic_keys_lp_reset_setup() компонента mtk-pmic-keys.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: fix out-of-bounds access during multi-link element defragmentation Currently during the multi-link element defragmentation process, the multi-link element length added to the total IEs length when calculating the length of remaining IEs after the multi-link element in cfg80211_defrag_mle(). This could lead to out-of-bounds access if the multi-link element or its corresponding fragment elements are the last elements in the IEs buffer. To address this issue, correctly calculate the remaining IEs length by deducting the multi-link element end offset from total IEs end offset. Уязвимость компонента wifi ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: s390/pci: Fix missing check for zpci_create_device() error return The zpci_create_device() function returns an error pointer that needs to be checked before dereferencing it as a struct zpci_dev pointer. Add the missing check in __clp_add() where it was missed when adding the scan_list in the fixed commit. Simply not adding the device to the scan list results in the previous behavior. Уязвимость компонента s390/pci ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: riscv: module: Fix out-of-bounds relocation access The current code allows rel[j] to access one element past the end of the relocation section. Simplify to num_relocations which is equivalent to the existing size expression. Уязвимость модуля riscv ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: exynos: Disable iocc if dma-coherent property isn't set If dma-coherent property isn't set then descriptors are non-cacheable and the iocc shareability bits should be disabled. Without this UFS can end up in an incompatible configuration and suffer from random cache related stability issues. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: block: integrity: Do not call set_page_dirty_lock() Placing multiple protection information buffers inside the same page can lead to oopses because set_page_dirty_lock() can't be called from interrupt context. Since a protection information buffer is not backed by a file there is no point in setting its page dirty, there is nothing to synchronize. Drop the call to set_page_dirty_lock() and remove the last argument to bio_integrity_unpin_bvec(). Уязвимость компонента block ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: qcom: Fix sc7280 lpass potential buffer overflow Case values introduced in commit 5f78e1fb7a3e ("ASoC: qcom: Add driver support for audioreach solution") cause out of bounds access in arrays of sc7280 driver data (e.g. in case of RX_CODEC_DMA_RX_0 in sc7280_snd_hw_params()). Redefine LPASS_MAX_PORTS to consider the maximum possible port id for q6dsp as sc7280 driver utilizes some of those values. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента qcom/lpass.h ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: block: fix resource leak in blk_register_queue() error path When registering a queue fails after blk_mq_sysfs_register() is successful but the function later encounters an error, we need to clean up the blk_mq_sysfs resources. Add the missing blk_mq_sysfs_unregister() call in the error path to properly clean up these resources and prevent a memory leak. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: smartpqi: Use is_kdump_kernel() to check for kdump The smartpqi driver checks the reset_devices variable to determine whether special adjustments need to be made for kdump. This has the effect that after a regular kexec reboot, some driver parameters such as max_transfer_size are much lower than usual. More importantly, kexec reboot tests have revealed memory corruption caused by the driver log being written to system memory after a kexec. Fix this by testing is_kdump_kernel() rather than reset_devices where appropriate. Уязвимость компонента scsi ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: wl1251: fix memory leak in wl1251_tx_work The skb dequeued from tx_queue is lost when wl1251_ps_elp_wakeup fails with a -ETIMEDOUT error. Fix that by queueing the skb back to tx_queue. Уязвимость функции wl1251_tx_work компонента wl1251/tx.c модуля wifi ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: qibfs: fix _another_ leak failure to allocate inode => leaked dentry... this one had been there since the initial merge; to be fair, if we are that far OOM, the odds of failing at that particular allocation are low... Уязвимость компонента qibfs ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: USB: wdm: close race between wdm_open and wdm_wwan_port_stop Clearing WDM_WWAN_IN_USE must be the last action or we can open a chardev whose URBs are still poisoned Уязвимость модуля USB ядра операционной системы Linux связана с преждевременным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: typec: class: Invalidate USB device pointers on partner unregistration To avoid using invalid USB device pointers after a Type-C partner disconnects, this patch clears the pointers upon partner unregistration. This ensures a clean state for future connections. Уязвимость компонента usb ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pds_core: Prevent possible adminq overflow/stuck condition The pds_core's adminq is protected by the adminq_lock, which prevents more than 1 command to be posted onto it at any one time. This makes it so the client drivers cannot simultaneously post adminq commands. However, the completions happen in a different context, which means multiple adminq commands can be posted sequentially and all waiting on completion. On the FW side, the backing adminq request queue is only 16 entries long and the retry mechanism and/or overflow/stuck prevention is lacking. This can cause the adminq to get stuck, so commands are no longer processed and completions are no longer sent by the FW. As an initial fix, prevent more than 16 outstanding adminq commands so there's no way to cause the adminq from getting stuck. This works because the backing adminq request queue will never have more than 16 pending adminq commands, so it will never overflow. This is done by reducing the adminq depth to 16. Уязвимость компонентов ethernet/amd/pds_core ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fix a couple of races in MNT_TREE_BENEATH handling by do_move_mount() Normally do_lock_mount(path, _) is locking a mountpoint pinned by *path and at the time when matching unlock_mount() unlocks that location it is still pinned by the same thing. Unfortunately, for 'beneath' case it's no longer that simple - the object being locked is not the one *path points to. It's the mountpoint of path->mnt. The thing is, without sufficient locking ->mnt_parent may change under us and none of the locks are held at that point. The rules are * mount_lock stabilizes m->mnt_parent for any mount m. * namespace_sem stabilizes m->mnt_parent, provided that m is mounted. * if either of the above holds and refcount of m is positive, we are guaranteed the same for refcount of m->mnt_parent. namespace_sem nests inside inode_lock(), so do_lock_mount() has to take inode_lock() before grabbing namespace_sem. It does recheck that path->mnt is still mounted in the same place after getting namespace_sem, and it does take care to pin the dentry. It is needed, since otherwise we might end up with racing mount --move (or umount) happening while we were getting locks; in that case dentry would no longer be a mountpoint and could've been evicted on memory pressure along with its inode - not something you want when grabbing lock on that inode. However, pinning a dentry is not enough - the matching mount is also pinned only by the fact that path->mnt is mounted on top it and at that point we are not holding any locks whatsoever, so the same kind of races could end up with all references to that mount gone just as we are about to enter inode_lock(). If that happens, we are left with filesystem being shut down while we are holding a dentry reference on it; results are not pretty. What we need to do is grab both dentry and mount at the same time; that makes inode_lock() safe *and* avoids the problem with fs getting shut down under us. After taking namespace_sem we verify that path->mnt is still mounted (which stabilizes its ->mnt_parent) and check that it's still mounted at the same place. From that point on to the matching namespace_unlock() we are guaranteed that mount/dentry pair we'd grabbed are also pinned by being the mountpoint of path->mnt, so we can quietly drop both the dentry reference (as the current code does) and mnt one - it's OK to do under namespace_sem, since we are not dropping the final refs. That solves the problem on do_lock_mount() side; unlock_mount() also has one, since dentry is guaranteed to stay pinned only until the namespace_unlock(). That's easy to fix - just have inode_unlock() done earlier, while it's still pinned by mp->m_dentry. Уязвимость функции do_move_mount() компонента fs/namespace.c связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: phy: leds: fix memory leak A network restart test on a router led to an out-of-memory condition, which was traced to a memory leak in the PHY LED trigger code. The root cause is misuse of the devm API. The registration function (phy_led_triggers_register) is called from phy_attach_direct, not phy_probe, and the unregister function (phy_led_triggers_unregister) is called from phy_detach, not phy_remove. This means the register and unregister functions can be called multiple times for the same PHY device, but devm-allocated memory is not freed until the driver is unbound. This also prevents kmemleak from detecting the leak, as the devm API internally stores the allocated pointer. Fix this by replacing devm_kzalloc/devm_kcalloc with standard kzalloc/kcalloc, and add the corresponding kfree calls in the unregister path. Уязвимость компонента phy_led_triggers.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: brcm80211: fmac: Add error handling for brcmf_usb_dl_writeimage() The function brcmf_usb_dl_writeimage() calls the function brcmf_usb_dl_cmd() but dose not check its return value. The 'state.state' and the 'state.bytes' are uninitialized if the function brcmf_usb_dl_cmd() fails. It is dangerous to use uninitialized variables in the conditions. Add error handling for brcmf_usb_dl_cmd() to jump to error handling path if the brcmf_usb_dl_cmd() fails and the 'state.state' and the 'state.bytes' are uninitialized. Improve the error message to report more detailed error information. Уязвимость ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: parisc: Fix double SIGFPE crash Camm noticed that on parisc a SIGFPE exception will crash an application with a second SIGFPE in the signal handler. Dave analyzed it, and it happens because glibc uses a double-word floating-point store to atomically update function descriptors. As a result of lazy binding, we hit a floating-point store in fpe_func almost immediately. When the T bit is set, an assist exception trap occurs when when the co-processor encounters *any* floating-point instruction except for a double store of register %fr0. The latter cancels all pending traps. Let's fix this by clearing the Trap (T) bit in the FP status register before returning to the signal handler in userspace. The issue can be reproduced with this test program: root@parisc:~# cat fpe.c static void fpe_func(int sig, siginfo_t *i, void *v) { sigset_t set; sigemptyset(&set); sigaddset(&set, SIGFPE); sigprocmask(SIG_UNBLOCK, &set, NULL); printf("GOT signal %d with si_code %ld\n", sig, i->si_code); } int main() { struct sigaction action = { .sa_sigaction = fpe_func, .sa_flags = SA_RESTART|SA_SIGINFO }; sigaction(SIGFPE, &action, 0); feenableexcept(FE_OVERFLOW); return printf("%lf\n",1.7976931348623158E308*1.7976931348623158E308); } root@parisc:~# gcc fpe.c -lm root@parisc:~# ./a.out Floating point exception root@parisc:~# strace -f ./a.out execve("./a.out", ["./a.out"], 0xf9ac7034 /* 20 vars */) = 0 getrlimit(RLIMIT_STACK, {rlim_cur=8192*1024, rlim_max=RLIM_INFINITY}) = 0 ... rt_sigaction(SIGFPE, {sa_handler=0x1110a, sa_mask=[], sa_flags=SA_RESTART|SA_SIGINFO}, NULL, 8) = 0 --- SIGFPE {si_signo=SIGFPE, si_code=FPE_FLTOVF, si_addr=0x1078f} --- --- SIGFPE {si_signo=SIGFPE, si_code=FPE_FLTOVF, si_addr=0xf8f21237} --- +++ killed by SIGFPE +++ Floating point exception Уязвимость компонента parisc ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: Flush gso_skb list too during ->change() Previously, when reducing a qdisc's limit via the ->change() operation, only the main skb queue was trimmed, potentially leaving packets in the gso_skb list. This could result in NULL pointer dereference when we only check sch->limit against sch->q.qlen. This patch introduces a new helper, qdisc_dequeue_internal(), which ensures both the gso_skb list and the main queue are properly flushed when trimming excess packets. All relevant qdiscs (codel, fq, fq_codel, fq_pie, hhf, pie) are updated to use this helper in their ->change() routines. Уязвимость компонентов net/sched/ ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: m_can: m_can_class_allocate_dev(): initialize spin lock on device probe The spin lock tx_handling_spinlock in struct m_can_classdev is not being initialized. This leads the following spinlock bad magic complaint from the kernel, eg. when trying to send CAN frames with cansend from can-utils: | BUG: spinlock bad magic on CPU#0, cansend/95 | lock: 0xff60000002ec1010, .magic: 00000000, .owner: <none>/-1, .owner_cpu: 0 | CPU: 0 UID: 0 PID: 95 Comm: cansend Not tainted 6.15.0-rc3-00032-ga79be02bba5c #5 NONE | Hardware name: MachineWare SIM-V (DT) | Call Trace: | [<ffffffff800133e0>] dump_backtrace+0x1c/0x24 | [<ffffffff800022f2>] show_stack+0x28/0x34 | [<ffffffff8000de3e>] dump_stack_lvl+0x4a/0x68 | [<ffffffff8000de70>] dump_stack+0x14/0x1c | [<ffffffff80003134>] spin_dump+0x62/0x6e | [<ffffffff800883ba>] do_raw_spin_lock+0xd0/0x142 | [<ffffffff807a6fcc>] _raw_spin_lock_irqsave+0x20/0x2c | [<ffffffff80536dba>] m_can_start_xmit+0x90/0x34a | [<ffffffff806148b0>] dev_hard_start_xmit+0xa6/0xee | [<ffffffff8065b730>] sch_direct_xmit+0x114/0x292 | [<ffffffff80614e2a>] __dev_queue_xmit+0x3b0/0xaa8 | [<ffffffff8073b8fa>] can_send+0xc6/0x242 | [<ffffffff8073d1c0>] raw_sendmsg+0x1a8/0x36c | [<ffffffff805ebf06>] sock_write_iter+0x9a/0xee | [<ffffffff801d06ea>] vfs_write+0x184/0x3a6 | [<ffffffff801d0a88>] ksys_write+0xa0/0xc0 | [<ffffffff801d0abc>] __riscv_sys_write+0x14/0x1c | [<ffffffff8079ebf8>] do_trap_ecall_u+0x168/0x212 | [<ffffffff807a830a>] handle_exception+0x146/0x152 Initializing the spin lock in m_can_class_allocate_dev solves that problem. Уязвимость компонента m_can ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: typec: ucsi: displayport: Fix NULL pointer access This patch ensures that the UCSI driver waits for all pending tasks in the ucsi_displayport_work workqueue to finish executing before proceeding with the partner removal. Уязвимость компонента ucsi/displayport.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: module: ensure that kobject_put() is safe for module type kobjects In 'lookup_or_create_module_kobject()', an internal kobject is created using 'module_ktype'. So call to 'kobject_put()' on error handling path causes an attempt to use an uninitialized completion pointer in 'module_kobject_release()'. In this scenario, we just want to release kobject without an extra synchronization required for a regular module unloading process, so adding an extra check whether 'complete()' is actually required makes 'kobject_put()' safe. Уязвимость ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: ipset: fix region locking in hash types Region locking introduced in v5.6-rc4 contained three macros to handle the region locks: ahash_bucket_start(), ahash_bucket_end() which gave back the start and end hash bucket values belonging to a given region lock and ahash_region() which should give back the region lock belonging to a given hash bucket. The latter was incorrect which can lead to a race condition between the garbage collector and adding new elements when a hash type of set is defined with timeouts. Уязвимость компонента netfilter ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2025-37997 необходимо запретить загрузку модуля netfilter в ядро Linux (Обратите внимание: отключение загрузки модуля _netfilter_ в ядре Linux приведёт к невозможности фильтрации и обработки сетевых пакетов, например, с помощью {_}iptables{_}). Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль br_netfilter в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep br_netfilter ``` или ``` kmod list | grep br_netfilter ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod br_netfilter ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install br_netfilter /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: openvswitch: Fix unsafe attribute parsing in output_userspace() This patch replaces the manual Netlink attribute iteration in output_userspace() with nla_for_each_nested(), which ensures that only well-formed attributes are processed. Уязвимость функции output_userspace() компонента net/openvswitch/actions.c ядра операционной системы Linux связана с ошибками обработки типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/erofs/fileio: call erofs_onlinefolio_split() after bio_add_folio() If bio_add_folio() fails (because it is full), erofs_fileio_scan_folio() needs to submit the I/O request via erofs_fileio_rq_submit() and allocate a new I/O request with an empty `struct bio`. Then it retries the bio_add_folio() call. However, at this point, erofs_onlinefolio_split() has already been called which increments `folio->private`; the retry will call erofs_onlinefolio_split() again, but there will never be a matching erofs_onlinefolio_end() call. This leaves the folio locked forever and all waiters will be stuck in folio_wait_bit_common(). This bug has been added by commit ce63cb62d794 ("erofs: support unencoded inodes for fileio"), but was practically unreachable because there was room for 256 folios in the `struct bio` - until commit 9f74ae8c9ac9 ("erofs: shorten bvecs[] for file-backed mounts") which reduced the array capacity to 16 folios. It was now trivial to trigger the bug by manually invoking readahead from userspace, e.g.: posix_fadvise(fd, 0, st.st_size, POSIX_FADV_WILLNEED); This should be fixed by invoking erofs_onlinefolio_split() only after bio_add_folio() has succeeded. This is safe: asynchronous completions invoking erofs_onlinefolio_end() will not unlock the folio because erofs_fileio_scan_folio() is still holding a reference to be released by erofs_onlinefolio_end() at the end. Уязвимость компонента fs/erofs/fileio.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sch_hfsc: Fix qlen accounting bug when using peek in hfsc_enqueue() When enqueuing the first packet to an HFSC class, hfsc_enqueue() calls the child qdisc's peek() operation before incrementing sch->q.qlen and sch->qstats.backlog. If the child qdisc uses qdisc_peek_dequeued(), this may trigger an immediate dequeue and potential packet drop. In such cases, qdisc_tree_reduce_backlog() is called, but the HFSC qdisc's qlen and backlog have not yet been updated, leading to inconsistent queue accounting. This can leave an empty HFSC class in the active list, causing further consequences like use-after-free. This patch fixes the bug by moving the increment of sch->q.qlen and sch->qstats.backlog before the call to the child qdisc's peek() operation. This ensures that queue length and backlog are always accurate when packet drops or dequeues are triggered during the peek. Уязвимость функции hfsc_enqueue() компонента net/sched/sch_hfsc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_hfsc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_hfsc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_hfsc ``` или ``` kmod list | grep sch_hfsc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_hfsc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_hfsc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: hfsc: Address reentrant enqueue adding class to eltree twice Savino says: "We are writing to report that this recent patch (141d34391abbb315d68556b7c67ad97885407547) [1] can be bypassed, and a UAF can still occur when HFSC is utilized with NETEM. The patch only checks the cl->cl_nactive field to determine whether it is the first insertion or not [2], but this field is only incremented by init_vf [3]. By using HFSC_RSC (which uses init_ed) [4], it is possible to bypass the check and insert the class twice in the eltree. Under normal conditions, this would lead to an infinite loop in hfsc_dequeue for the reasons we already explained in this report [5]. However, if TBF is added as root qdisc and it is configured with a very low rate, it can be utilized to prevent packets from being dequeued. This behavior can be exploited to perform subsequent insertions in the HFSC eltree and cause a UAF." To fix both the UAF and the infinite loop, with netem as an hfsc child, check explicitly in hfsc_enqueue whether the class is already in the eltree whenever the HFSC_RSC flag is set. [1] https://web.git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=141d34391abbb315d68556b7c67ad97885407547 [2] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1572 [3] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L677 [4] https://elixir.bootlin.com/linux/v6.15-rc5/source/net/sched/sch_hfsc.c#L1574 [5] https://lore.kernel.org/netdev/8DuRWwfqjoRDLDmBMlIfbrsZg9Gx50DHJc1ilxsEBNe2D6NMoigR_eIRIG0LOjMc3r10nUUZtArXx4oZBIdUfZQrwjcQhdinnMis_0G7VEk=@willsroot.io/T/#u Уязвимость компонента net/sched/sch_hfsc.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2025-38001 необходимо запретить загрузку модулей `sch_hfsc.ko` и `sch_netem.ko` в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружены ли модули sch_hfsc и sch_netem в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_hfsc lsmod | grep sch_netem ``` или ``` kmod list | grep sch_hfsc kmod list | grep sch_netem ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_hfsc sudo rmmod sch_netem ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install sch_hfsc /bin/true install sch_netem /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: bcm: add missing rcu read protection for procfs content When the procfs content is generated for a bcm_op which is in the process to be removed the procfs output might show unreliable data (UAF). As the removal of bcm_op's is already implemented with rcu handling this patch adds the missing rcu_read_lock() and makes sure the list entries are properly removed under rcu protection. Уязвимость компонента net/can/bcm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: bcm: add locking for bcm_op runtime updates The CAN broadcast manager (CAN BCM) can send a sequence of CAN frames via hrtimer. The content and also the length of the sequence can be changed resp reduced at runtime where the 'currframe' counter is then set to zero. Although this appeared to be a safe operation the updates of 'currframe' can be triggered from user space and hrtimer context in bcm_can_tx(). Anderson Nascimento created a proof of concept that triggered a KASAN slab-out-of-bounds read access which can be prevented with a spin_lock_bh. At the rework of bcm_can_tx() the 'count' variable has been moved into the protected section as this variable can be modified from both contexts too. Уязвимость компонента net/can/bcm.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: ti: k3-udma: Add missing locking Recent kernels complain about a missing lock in k3-udma.c when the lock validator is enabled: [ 4.128073] WARNING: CPU: 0 PID: 746 at drivers/dma/ti/../virt-dma.h:169 udma_start.isra.0+0x34/0x238 [ 4.137352] CPU: 0 UID: 0 PID: 746 Comm: kworker/0:3 Not tainted 6.12.9-arm64 #28 [ 4.144867] Hardware name: pp-v12 (DT) [ 4.148648] Workqueue: events udma_check_tx_completion [ 4.153841] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 4.160834] pc : udma_start.isra.0+0x34/0x238 [ 4.165227] lr : udma_start.isra.0+0x30/0x238 [ 4.169618] sp : ffffffc083cabcf0 [ 4.172963] x29: ffffffc083cabcf0 x28: 0000000000000000 x27: ffffff800001b005 [ 4.180167] x26: ffffffc0812f0000 x25: 0000000000000000 x24: 0000000000000000 [ 4.187370] x23: 0000000000000001 x22: 00000000e21eabe9 x21: ffffff8000fa0670 [ 4.194571] x20: ffffff8001b6bf00 x19: ffffff8000fa0430 x18: ffffffc083b95030 [ 4.201773] x17: 0000000000000000 x16: 00000000f0000000 x15: 0000000000000048 [ 4.208976] x14: 0000000000000048 x13: 0000000000000000 x12: 0000000000000001 [ 4.216179] x11: ffffffc08151a240 x10: 0000000000003ea1 x9 : ffffffc08046ab68 [ 4.223381] x8 : ffffffc083cabac0 x7 : ffffffc081df3718 x6 : 0000000000029fc8 [ 4.230583] x5 : ffffffc0817ee6d8 x4 : 0000000000000bc0 x3 : 0000000000000000 [ 4.237784] x2 : 0000000000000000 x1 : 00000000001fffff x0 : 0000000000000000 [ 4.244986] Call trace: [ 4.247463] udma_start.isra.0+0x34/0x238 [ 4.251509] udma_check_tx_completion+0xd0/0xdc [ 4.256076] process_one_work+0x244/0x3fc [ 4.260129] process_scheduled_works+0x6c/0x74 [ 4.264610] worker_thread+0x150/0x1dc [ 4.268398] kthread+0xd8/0xe8 [ 4.271492] ret_from_fork+0x10/0x20 [ 4.275107] irq event stamp: 220 [ 4.278363] hardirqs last enabled at (219): [<ffffffc080a27c7c>] _raw_spin_unlock_irq+0x38/0x50 [ 4.287183] hardirqs last disabled at (220): [<ffffffc080a1c154>] el1_dbg+0x24/0x50 [ 4.294879] softirqs last enabled at (182): [<ffffffc080037e68>] handle_softirqs+0x1c0/0x3cc [ 4.303437] softirqs last disabled at (177): [<ffffffc080010170>] __do_softirq+0x1c/0x28 [ 4.311559] ---[ end trace 0000000000000000 ]--- This commit adds the missing locking. Уязвимость компонента drivers/dma/ti/k3-udma.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: mctp: Don't access ifa_index when missing In mctp_dump_addrinfo, ifa_index can be used to filter interfaces, but only when the struct ifaddrmsg is provided. Otherwise it will be comparing to uninitialised memory - reproducible in the syzkaller case from dhcpd, or busybox "ip addr show". The kernel MCTP implementation has always filtered by ifa_index, so existing userspace programs expecting to dump MCTP addresses must already be passing a valid ifa_index value (either 0 or a real index). BUG: KMSAN: uninit-value in mctp_dump_addrinfo+0x208/0xac0 net/mctp/device.c:128 mctp_dump_addrinfo+0x208/0xac0 net/mctp/device.c:128 rtnl_dump_all+0x3ec/0x5b0 net/core/rtnetlink.c:4380 rtnl_dumpit+0xd5/0x2f0 net/core/rtnetlink.c:6824 netlink_dump+0x97b/0x1690 net/netlink/af_netlink.c:2309 [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: uclogic: Add NULL check in uclogic_input_configured() devm_kasprintf() returns NULL when memory allocation fails. Currently, uclogic_input_configured() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. Уязвимость функции uclogic_input_configured() компонента HID ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/page_alloc: fix race condition in unaccepted memory handling The page allocator tracks the number of zones that have unaccepted memory using static_branch_enc/dec() and uses that static branch in hot paths to determine if it needs to deal with unaccepted memory. Borislav and Thomas pointed out that the tracking is racy: operations on static_branch are not serialized against adding/removing unaccepted pages to/from the zone. Sanity checks inside static_branch machinery detects it: WARNING: CPU: 0 PID: 10 at kernel/jump_label.c:276 __static_key_slow_dec_cpuslocked+0x8e/0xa0 The comment around the WARN() explains the problem: /* * Warn about the '-1' case though; since that means a * decrement is concurrent with a first (0->1) increment. IOW * people are trying to disable something that wasn't yet fully * enabled. This suggests an ordering problem on the user side. */ The effect of this static_branch optimization is only visible on microbenchmark. Instead of adding more complexity around it, remove it altogether. Уязвимость функций static_branch_enc(),static_branch_dec() компонента page_alloc ядра операционной системы Linux связана с конкурентным доступом к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: disable napi on driver removal A warning on driver removal started occurring after commit 9dd05df8403b ("net: warn if NAPI instance wasn't shut down"). Disable tx napi before deleting it in mt76_dma_cleanup(). WARNING: CPU: 4 PID: 18828 at net/core/dev.c:7288 __netif_napi_del_locked+0xf0/0x100 CPU: 4 UID: 0 PID: 18828 Comm: modprobe Not tainted 6.15.0-rc4 #4 PREEMPT(lazy) Hardware name: ASUS System Product Name/PRIME X670E-PRO WIFI, BIOS 3035 09/05/2024 RIP: 0010:__netif_napi_del_locked+0xf0/0x100 Call Trace: <TASK> mt76_dma_cleanup+0x54/0x2f0 [mt76] mt7921_pci_remove+0xd5/0x190 [mt7921e] pci_device_remove+0x47/0xc0 device_release_driver_internal+0x19e/0x200 driver_detach+0x48/0x90 bus_remove_driver+0x6d/0xf0 pci_unregister_driver+0x2e/0xb0 __do_sys_delete_module.isra.0+0x197/0x2e0 do_syscall_64+0x7b/0x160 entry_SYSCALL_64_after_hwframe+0x76/0x7e Tested with mt7921e but the same pattern can be actually applied to other mt76 drivers calling mt76_dma_cleanup() during removal. Tx napi is enabled in their *_dma_init() functions and only toggled off and on again inside their suspend/resume/reset paths. So it should be okay to disable tx napi in such a generic way. Found by Linux Verification Center (linuxtesting.org). Уязвимость компонента net/core/dev.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: phy: tegra: xusb: Use a bitmask for UTMI pad power state tracking The current implementation uses bias_pad_enable as a reference count to manage the shared bias pad for all UTMI PHYs. However, during system suspension with connected USB devices, multiple power-down requests for the UTMI pad result in a mismatch in the reference count, which in turn produces warnings such as: [ 237.762967] WARNING: CPU: 10 PID: 1618 at tegra186_utmi_pad_power_down+0x160/0x170 [ 237.763103] Call trace: [ 237.763104] tegra186_utmi_pad_power_down+0x160/0x170 [ 237.763107] tegra186_utmi_phy_power_off+0x10/0x30 [ 237.763110] phy_power_off+0x48/0x100 [ 237.763113] tegra_xusb_enter_elpg+0x204/0x500 [ 237.763119] tegra_xusb_suspend+0x48/0x140 [ 237.763122] platform_pm_suspend+0x2c/0xb0 [ 237.763125] dpm_run_callback.isra.0+0x20/0xa0 [ 237.763127] __device_suspend+0x118/0x330 [ 237.763129] dpm_suspend+0x10c/0x1f0 [ 237.763130] dpm_suspend_start+0x88/0xb0 [ 237.763132] suspend_devices_and_enter+0x120/0x500 [ 237.763135] pm_suspend+0x1ec/0x270 The root cause was traced back to the dynamic power-down changes introduced in commit a30951d31b25 ("xhci: tegra: USB2 pad power controls"), where the UTMI pad was being powered down without verifying its current state. This unbalanced behavior led to discrepancies in the reference count. To rectify this issue, this patch replaces the single reference counter with a bitmask, renamed to utmi_pad_enabled. Each bit in the mask corresponds to one of the four USB2 PHYs, allowing us to track each pad's enablement status individually. With this change: - The bias pad is powered on only when the mask is clear. - Each UTMI pad is powered on or down based on its corresponding bit in the mask, preventing redundant operations. - The overall power state of the shared bias pad is maintained correctly during suspend/resume cycles. The mutex used to prevent race conditions during UTMI pad enable/disable operations has been moved from the tegra186_utmi_bias_pad_power_on/off functions to the parent functions tegra186_utmi_pad_power_on/down. This change ensures that there are no race conditions when updating the bitmask. Уязвимость функции reference_count bias_pad_enable() ядра операционной системы Linux связана с конкурентным доступом к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии в системе [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: csa unmap use uninterruptible lock After process exit to unmap csa and free GPU vm, if signal is accepted and then waiting to take vm lock is interrupted and return, it causes memory leaking and below warning backtrace. Change to use uninterruptible wait lock fix the issue. WARNING: CPU: 69 PID: 167800 at amd/amdgpu/amdgpu_kms.c:1525 amdgpu_driver_postclose_kms+0x294/0x2a0 [amdgpu] Call Trace: <TASK> drm_file_free.part.0+0x1da/0x230 [drm] drm_close_helper.isra.0+0x65/0x70 [drm] drm_release+0x6a/0x120 [drm] amdgpu_drm_release+0x51/0x60 [amdgpu] __fput+0x9f/0x280 ____fput+0xe/0x20 task_work_run+0x67/0xa0 do_exit+0x217/0x3c0 do_group_exit+0x3b/0xb0 get_signal+0x14a/0x8d0 arch_do_signal_or_restart+0xde/0x100 exit_to_user_mode_loop+0xc1/0x1a0 exit_to_user_mode_prepare+0xf4/0x100 syscall_exit_to_user_mode+0x17/0x40 do_syscall_64+0x69/0xc0 (cherry picked from commit 7dbbfb3c171a6f63b01165958629c9c26abf38ab) [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched_ext: bpf_iter_scx_dsq_new() should always initialize iterator BPF programs may call next() and destroy() on BPF iterators even after new() returns an error value (e.g. bpf_for_each() macro ignores error returns from new()). bpf_iter_scx_dsq_new() could leave the iterator in an uninitialized state after an error return causing bpf_iter_scx_dsq_next() to dereference garbage data. Make bpf_iter_scx_dsq_new() always clear $kit->dsq so that next() and destroy() become noops. Уязвимость функции bpf_iter_scx_dsq_new() компонента sched_ext ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: Set n_channels after allocating struct cfg80211_scan_request Make sure that n_channels is set after allocating the struct cfg80211_registered_device::int_scan_req member. Seen with syzkaller: UBSAN: array-index-out-of-bounds in net/mac80211/scan.c:1208:5 index 0 is out of range for type 'struct ieee80211_channel *[] __counted_by(n_channels)' (aka 'struct ieee80211_channel *[]') This was missed in the initial conversions because I failed to locate the allocation likely due to the "sizeof(void *)" not matching the "channels" array type. Уязвимость компонента net/mac80211/scan.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: idxd: Refactor remove call with idxd_cleanup() helper The idxd_cleanup() helper cleans up perfmon, interrupts, internals and so on. Refactor remove call with the idxd_cleanup() helper to avoid code duplication. Note, this also fixes the missing put_device() for idxd groups, enginces and wqs. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: idxd: fix memory leak in error handling path of idxd_alloc Memory allocated for idxd is not freed if an error occurs during idxd_alloc(). To fix it, free the allocated memory in the reverse order of allocation before exiting the function in case of an error. Уязвимость функции idxd_alloc() ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: bpf: abort dispatch if device destroyed The current HID bpf implementation assumes no output report/request will go through it after hid_bpf_destroy_device() has been called. This leads to a bug that unplugging certain types of HID devices causes a cleaned- up SRCU to be accessed. The bug was previously a hidden failure until a recent x86 percpu change [1] made it access not-present pages. The bug will be triggered if the conditions below are met: A) a device under the driver has some LEDs on B) hid_ll_driver->request() is uninplemented (e.g., logitech-djreceiver) If condition A is met, hidinput_led_worker() is always scheduled *after* hid_bpf_destroy_device(). hid_destroy_device ` hid_bpf_destroy_device ` cleanup_srcu_struct(&hdev->bpf.srcu) ` hid_remove_device ` ... ` led_classdev_unregister ` led_trigger_set(led_cdev, NULL) ` led_set_brightness(led_cdev, LED_OFF) ` ... ` input_inject_event ` input_event_dispose ` hidinput_input_event ` schedule_work(&hid->led_work) [hidinput_led_worker] This is fine when condition B is not met, where hidinput_led_worker() calls hid_ll_driver->request(). This is the case for most HID drivers, which implement it or use the generic one from usbhid. The driver itself or an underlying driver will then abort processing the request. Otherwise, hidinput_led_worker() tries hid_hw_output_report() and leads to the bug. hidinput_led_worker ` hid_hw_output_report ` dispatch_hid_bpf_output_report ` srcu_read_lock(&hdev->bpf.srcu) ` srcu_read_unlock(&hdev->bpf.srcu, idx) The bug has existed since the introduction [2] of dispatch_hid_bpf_output_report(). However, the same bug also exists in dispatch_hid_bpf_raw_requests(), and I've reproduced (no visible effect because of the lack of [1], but confirmed bpf.destroyed == 1) the bug against the commit (i.e., the Fixes:) introducing the function. This is because hidinput_led_worker() falls back to hid_hw_raw_request() when hid_ll_driver->output_report() is uninplemented (e.g., logitech- djreceiver). hidinput_led_worker ` hid_hw_output_report: -ENOSYS ` hid_hw_raw_request ` dispatch_hid_bpf_raw_requests ` srcu_read_lock(&hdev->bpf.srcu) ` srcu_read_unlock(&hdev->bpf.srcu, idx) Fix the issue by returning early in the two mentioned functions if hid_bpf has been marked as destroyed. Though dispatch_hid_bpf_device_event() handles input events, and there is no evidence that it may be called after the destruction, the same check, as a safety net, is also added to it to maintain the consistency among all dispatch functions. The impact of the bug on other architectures is unclear. Even if it acts as a hidden failure, this is still dangerous because it corrupts whatever is on the address calculated by SRCU. Thus, CC'ing the stable list. [1]: commit 9d7de2aa8b41 ("x86/percpu/64: Use relative percpu offsets") [2]: commit 9286675a2aed ("HID: bpf: add HID-BPF hooks for hid_hw_output_report") Уязвимость функции hid_bpf_destroy_device() компонента HID ядра операционной системы Linux связана с неверной нейтрализация особых элементов в выходных данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/tls: fix kernel panic when alloc_page failed We cannot set frag_list to NULL pointer when alloc_page failed. It will be used in tls_strp_check_queue_ok when the next time tls_strp_read_sock is called. This is because we don't reset full_len in tls_strp_flush_anchor_copy() so the recv path will try to continue handling the partial record on the next call but we dettached the rcvq from the frag list. Alternative fix would be to reset full_len. Unable to handle kernel NULL pointer dereference at virtual address 0000000000000028 Call trace: tls_strp_check_rcv+0x128/0x27c tls_strp_data_ready+0x34/0x44 tls_data_ready+0x3c/0x1f0 tcp_data_ready+0x9c/0xe4 tcp_data_queue+0xf6c/0x12d0 tcp_rcv_established+0x52c/0x798 Уязвимость функции tls_strp_flush_anchor_copy ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mlxsw: spectrum_router: Fix use-after-free when deleting GRE net devices The driver only offloads neighbors that are constructed on top of net devices registered by it or their uppers (which are all Ethernet). The device supports GRE encapsulation and decapsulation of forwarded traffic, but the driver will not offload dummy neighbors constructed on top of GRE net devices as they are not uppers of its net devices: # ip link add name gre1 up type gre tos inherit local 192.0.2.1 remote 198.51.100.1 # ip neigh add 0.0.0.0 lladdr 0.0.0.0 nud noarp dev gre1 $ ip neigh show dev gre1 nud noarp 0.0.0.0 lladdr 0.0.0.0 NOARP (Note that the neighbor is not marked with 'offload') When the driver is reloaded and the existing configuration is replayed, the driver does not perform the same check regarding existing neighbors and offloads the previously added one: # devlink dev reload pci/0000:01:00.0 $ ip neigh show dev gre1 nud noarp 0.0.0.0 lladdr 0.0.0.0 offload NOARP If the neighbor is later deleted, the driver will ignore the notification (given the GRE net device is not its upper) and will therefore keep referencing freed memory, resulting in a use-after-free [1] when the net device is deleted: # ip neigh del 0.0.0.0 lladdr 0.0.0.0 dev gre1 # ip link del dev gre1 Fix by skipping neighbor replay if the net device for which the replay is performed is not our upper. [1] BUG: KASAN: slab-use-after-free in mlxsw_sp_neigh_entry_update+0x1ea/0x200 Read of size 8 at addr ffff888155b0e420 by task ip/2282 [...] Call Trace: <TASK> dump_stack_lvl+0x6f/0xa0 print_address_description.constprop.0+0x6f/0x350 print_report+0x108/0x205 kasan_report+0xdf/0x110 mlxsw_sp_neigh_entry_update+0x1ea/0x200 mlxsw_sp_router_rif_gone_sync+0x2a8/0x440 mlxsw_sp_rif_destroy+0x1e9/0x750 mlxsw_sp_netdevice_ipip_ol_event+0x3c9/0xdc0 mlxsw_sp_router_netdevice_event+0x3ac/0x15e0 notifier_call_chain+0xca/0x150 call_netdevice_notifiers_info+0x7f/0x100 unregister_netdevice_many_notify+0xc8c/0x1d90 rtnl_dellink+0x34e/0xa50 rtnetlink_rcv_msg+0x6fb/0xb70 netlink_rcv_skb+0x131/0x360 netlink_unicast+0x426/0x710 netlink_sendmsg+0x75a/0xc20 __sock_sendmsg+0xc1/0x150 ____sys_sendmsg+0x5aa/0x7b0 ___sys_sendmsg+0xfc/0x180 __sys_sendmsg+0x121/0x1b0 do_syscall_64+0xbb/0x1d0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость компонента spectrum_router ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Disable MACsec offload for uplink representor profile MACsec offload is not supported in switchdev mode for uplink representors. When switching to the uplink representor profile, the MACsec offload feature must be cleared from the netdevice's features. If left enabled, attempts to add offloads result in a null pointer dereference, as the uplink representor does not support MACsec offload even though the feature bit remains set. Clear NETIF_F_HW_MACSEC in mlx5e_fix_uplink_rep_features(). Kernel log: Oops: general protection fault, probably for non-canonical address 0xdffffc000000000f: 0000 [#1] SMP KASAN KASAN: null-ptr-deref in range [0x0000000000000078-0x000000000000007f] CPU: 29 UID: 0 PID: 4714 Comm: ip Not tainted 6.14.0-rc4_for_upstream_debug_2025_03_02_17_35 #1 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:__mutex_lock+0x128/0x1dd0 Code: d0 7c 08 84 d2 0f 85 ad 15 00 00 8b 35 91 5c fe 03 85 f6 75 29 49 8d 7e 60 48 b8 00 00 00 00 00 fc ff df 48 89 fa 48 c1 ea 03 <80> 3c 02 00 0f 85 a6 15 00 00 4d 3b 76 60 0f 85 fd 0b 00 00 65 ff RSP: 0018:ffff888147a4f160 EFLAGS: 00010206 RAX: dffffc0000000000 RBX: 0000000000000000 RCX: 0000000000000001 RDX: 000000000000000f RSI: 0000000000000000 RDI: 0000000000000078 RBP: ffff888147a4f2e0 R08: ffffffffa05d2c19 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000000 R12: 0000000000000000 R13: dffffc0000000000 R14: 0000000000000018 R15: ffff888152de0000 FS: 00007f855e27d800(0000) GS:ffff88881ee80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000004e5768 CR3: 000000013ae7c005 CR4: 0000000000372eb0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe07f0 DR7: 0000000000000400 Call Trace: <TASK> ? die_addr+0x3d/0xa0 ? exc_general_protection+0x144/0x220 ? asm_exc_general_protection+0x22/0x30 ? mlx5e_macsec_add_secy+0xf9/0x700 [mlx5_core] ? __mutex_lock+0x128/0x1dd0 ? lockdep_set_lock_cmp_fn+0x190/0x190 ? mlx5e_macsec_add_secy+0xf9/0x700 [mlx5_core] ? mutex_lock_io_nested+0x1ae0/0x1ae0 ? lock_acquire+0x1c2/0x530 ? macsec_upd_offload+0x145/0x380 ? lockdep_hardirqs_on_prepare+0x400/0x400 ? kasan_save_stack+0x30/0x40 ? kasan_save_stack+0x20/0x40 ? kasan_save_track+0x10/0x30 ? __kasan_kmalloc+0x77/0x90 ? __kmalloc_noprof+0x249/0x6b0 ? genl_family_rcv_msg_attrs_parse.constprop.0+0xb5/0x240 ? mlx5e_macsec_add_secy+0xf9/0x700 [mlx5_core] mlx5e_macsec_add_secy+0xf9/0x700 [mlx5_core] ? mlx5e_macsec_add_rxsa+0x11a0/0x11a0 [mlx5_core] macsec_update_offload+0x26c/0x820 ? macsec_set_mac_address+0x4b0/0x4b0 ? lockdep_hardirqs_on_prepare+0x284/0x400 ? _raw_spin_unlock_irqrestore+0x47/0x50 macsec_upd_offload+0x2c8/0x380 ? macsec_update_offload+0x820/0x820 ? __nla_parse+0x22/0x30 ? genl_family_rcv_msg_attrs_parse.constprop.0+0x15e/0x240 genl_family_rcv_msg_doit+0x1cc/0x2a0 ? genl_family_rcv_msg_attrs_parse.constprop.0+0x240/0x240 ? cap_capable+0xd4/0x330 genl_rcv_msg+0x3ea/0x670 ? genl_family_rcv_msg_dumpit+0x2a0/0x2a0 ? lockdep_set_lock_cmp_fn+0x190/0x190 ? macsec_update_offload+0x820/0x820 netlink_rcv_skb+0x12b/0x390 ? genl_family_rcv_msg_dumpit+0x2a0/0x2a0 ? netlink_ack+0xd80/0xd80 ? rwsem_down_read_slowpath+0xf90/0xf90 ? netlink_deliver_tap+0xcd/0xac0 ? netlink_deliver_tap+0x155/0xac0 ? _copy_from_iter+0x1bb/0x12c0 genl_rcv+0x24/0x40 netlink_unicast+0x440/0x700 ? netlink_attachskb+0x760/0x760 ? lock_acquire+0x1c2/0x530 ? __might_fault+0xbb/0x170 netlink_sendmsg+0x749/0xc10 ? netlink_unicast+0x700/0x700 ? __might_fault+0xbb/0x170 ? netlink_unicast+0x700/0x700 __sock_sendmsg+0xc5/0x190 ____sys_sendmsg+0x53f/0x760 ? import_iovec+0x7/0x10 ? kernel_sendmsg+0x30/0x30 ? __copy_msghdr+0x3c0/0x3c0 ? filter_irq_stacks+0x90/0x90 ? stack_depot_save_flags+0x28/0xa30 ___sys_sen ---truncated--- Уязвимость функции mlx5e_fix_uplink_rep_features ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/core: Fix "KASAN: slab-use-after-free Read in ib_register_device" problem Call Trace: __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xc3/0x670 mm/kasan/report.c:521 kasan_report+0xe0/0x110 mm/kasan/report.c:634 strlen+0x93/0xa0 lib/string.c:420 __fortify_strlen include/linux/fortify-string.h:268 [inline] get_kobj_path_length lib/kobject.c:118 [inline] kobject_get_path+0x3f/0x2a0 lib/kobject.c:158 kobject_uevent_env+0x289/0x1870 lib/kobject_uevent.c:545 ib_register_device drivers/infiniband/core/device.c:1472 [inline] ib_register_device+0x8cf/0xe00 drivers/infiniband/core/device.c:1393 rxe_register_device+0x275/0x320 drivers/infiniband/sw/rxe/rxe_verbs.c:1552 rxe_net_add+0x8e/0xe0 drivers/infiniband/sw/rxe/rxe_net.c:550 rxe_newlink+0x70/0x190 drivers/infiniband/sw/rxe/rxe.c:225 nldev_newlink+0x3a3/0x680 drivers/infiniband/core/nldev.c:1796 rdma_nl_rcv_msg+0x387/0x6e0 drivers/infiniband/core/netlink.c:195 rdma_nl_rcv_skb.constprop.0.isra.0+0x2e5/0x450 netlink_unicast_kernel net/netlink/af_netlink.c:1313 [inline] netlink_unicast+0x53a/0x7f0 net/netlink/af_netlink.c:1339 netlink_sendmsg+0x8d1/0xdd0 net/netlink/af_netlink.c:1883 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg net/socket.c:727 [inline] ____sys_sendmsg+0xa95/0xc70 net/socket.c:2566 ___sys_sendmsg+0x134/0x1d0 net/socket.c:2620 __sys_sendmsg+0x16d/0x220 net/socket.c:2652 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x260 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f This problem is similar to the problem that the commit 1d6a9e7449e2 ("RDMA/core: Fix use-after-free when rename device name") fixes. The root cause is: the function ib_device_rename() renames the name with lock. But in the function kobject_uevent(), this name is accessed without lock protection at the same time. The solution is to add the lock protection when this name is accessed in the function kobject_uevent(). Уязвимость функции ib_device_rename ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfs: handle failure of nfs_get_lock_context in unlock path When memory is insufficient, the allocation of nfs_lock_context in nfs_get_lock_context() fails and returns -ENOMEM. If we mistakenly treat an nfs4_unlockdata structure (whose l_ctx member has been set to -ENOMEM) as valid and proceed to execute rpc_run_task(), this will trigger a NULL pointer dereference in nfs4_locku_prepare. For example: BUG: kernel NULL pointer dereference, address: 000000000000000c PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP PTI CPU: 15 UID: 0 PID: 12 Comm: kworker/u64:0 Not tainted 6.15.0-rc2-dirty #60 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-2.fc40 Workqueue: rpciod rpc_async_schedule RIP: 0010:nfs4_locku_prepare+0x35/0xc2 Code: 89 f2 48 89 fd 48 c7 c7 68 69 ef b5 53 48 8b 8e 90 00 00 00 48 89 f3 RSP: 0018:ffffbbafc006bdb8 EFLAGS: 00010246 RAX: 000000000000004b RBX: ffff9b964fc1fa00 RCX: 0000000000000000 RDX: 0000000000000000 RSI: fffffffffffffff4 RDI: ffff9ba53fddbf40 RBP: ffff9ba539934000 R08: 0000000000000000 R09: ffffbbafc006bc38 R10: ffffffffb6b689c8 R11: 0000000000000003 R12: ffff9ba539934030 R13: 0000000000000001 R14: 0000000004248060 R15: ffffffffb56d1c30 FS: 0000000000000000(0000) GS:ffff9ba5881f0000(0000) knlGS:00000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000000000000c CR3: 000000093f244000 CR4: 00000000000006f0 Call Trace: <TASK> __rpc_execute+0xbc/0x480 rpc_async_schedule+0x2f/0x40 process_one_work+0x232/0x5d0 worker_thread+0x1da/0x3d0 ? __pfx_worker_thread+0x10/0x10 kthread+0x10d/0x240 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x34/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Modules linked in: CR2: 000000000000000c ---[ end trace 0000000000000000 ]--- Free the allocated nfs4_unlockdata when nfs_get_lock_context() fails and return NULL to terminate subsequent rpc_run_task, preventing NULL pointer dereference. Уязвимость функции nfs_get_lock_context ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: Fix slab-use-after-free Read in rxe_queue_cleanup bug Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x7d/0xa0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xcf/0x610 mm/kasan/report.c:489 kasan_report+0xb5/0xe0 mm/kasan/report.c:602 rxe_queue_cleanup+0xd0/0xe0 drivers/infiniband/sw/rxe/rxe_queue.c:195 rxe_cq_cleanup+0x3f/0x50 drivers/infiniband/sw/rxe/rxe_cq.c:132 __rxe_cleanup+0x168/0x300 drivers/infiniband/sw/rxe/rxe_pool.c:232 rxe_create_cq+0x22e/0x3a0 drivers/infiniband/sw/rxe/rxe_verbs.c:1109 create_cq+0x658/0xb90 drivers/infiniband/core/uverbs_cmd.c:1052 ib_uverbs_create_cq+0xc7/0x120 drivers/infiniband/core/uverbs_cmd.c:1095 ib_uverbs_write+0x969/0xc90 drivers/infiniband/core/uverbs_main.c:679 vfs_write fs/read_write.c:677 [inline] vfs_write+0x26a/0xcc0 fs/read_write.c:659 ksys_write+0x1b8/0x200 fs/read_write.c:731 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xaa/0x1b0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f In the function rxe_create_cq, when rxe_cq_from_init fails, the function rxe_cleanup will be called to handle the allocated resources. In fact, some memory resources have already been freed in the function rxe_cq_from_init. Thus, this problem will occur. The solution is to let rxe_cleanup do all the work. Уязвимость функции rxe_create_cq ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: regulator: max20086: fix invalid memory access max20086_parse_regulators_dt() calls of_regulator_match() using an array of struct of_regulator_match allocated on the stack for the matches argument. of_regulator_match() calls devm_of_regulator_put_matches(), which calls devres_alloc() to allocate a struct devm_of_regulator_matches which will be de-allocated using devm_of_regulator_put_matches(). struct devm_of_regulator_matches is populated with the stack allocated matches array. If the device fails to probe, devm_of_regulator_put_matches() will be called and will try to call of_node_put() on that stack pointer, generating the following dmesg entries: max20086 6-0028: Failed to read DEVICE_ID reg: -121 kobject: '\xc0$\xa5\x03' (000000002cebcb7a): is not initialized, yet kobject_put() is being called. Followed by a stack trace matching the call flow described above. Switch to allocating the matches array using devm_kcalloc() to avoid accessing the stack pointer long after it's out of scope. This also has the advantage of allowing multiple max20086 to probe without overriding the data stored inside the global of_regulator_match. Уязвимость функции max20086_parse_regulators_dt ядра операционной системы Linux связана с неправильной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: padata: do not leak refcount in reorder_work A recent patch that addressed a UAF introduced a reference count leak: the parallel_data refcount is incremented unconditionally, regardless of the return value of queue_work(). If the work item is already queued, the incremented refcount is never decremented. Fix this by checking the return value of queue_work() and decrementing the refcount when necessary. Resolves: Unreferenced object 0xffff9d9f421e3d80 (size 192): comm "cryptomgr_probe", pid 157, jiffies 4294694003 hex dump (first 32 bytes): 80 8b cf 41 9f 9d ff ff b8 97 e0 89 ff ff ff ff ...A............ d0 97 e0 89 ff ff ff ff 19 00 00 00 1f 88 23 00 ..............#. backtrace (crc 838fb36): __kmalloc_cache_noprof+0x284/0x320 padata_alloc_pd+0x20/0x1e0 padata_alloc_shell+0x3b/0xa0 0xffffffffc040a54d cryptomgr_probe+0x43/0xc0 kthread+0xf6/0x1f0 ret_from_fork+0x2f/0x50 ret_from_fork_asm+0x1a/0x30 Уязвимость функции queue_work() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/Kconfig: make CFI_AUTO_DEFAULT depend on !RUST or Rust >= 1.88 Calling core::fmt::write() from rust code while FineIBT is enabled results in a kernel panic: [ 4614.199779] kernel BUG at arch/x86/kernel/cet.c:132! [ 4614.205343] Oops: invalid opcode: 0000 [#1] PREEMPT SMP NOPTI [ 4614.211781] CPU: 2 UID: 0 PID: 6057 Comm: dmabuf_dump Tainted: G U O 6.12.17-android16-0-g6ab38c534a43 #1 9da040f27673ec3945e23b998a0f8bd64c846599 [ 4614.227832] Tainted: [U]=USER, [O]=OOT_MODULE [ 4614.241247] RIP: 0010:do_kernel_cp_fault+0xea/0xf0 ... [ 4614.398144] RIP: 0010:_RNvXs5_NtNtNtCs3o2tGsuHyou_4core3fmt3num3impyNtB9_7Display3fmt+0x0/0x20 [ 4614.407792] Code: 48 f7 df 48 0f 48 f9 48 89 f2 89 c6 5d e9 18 fd ff ff 0f 1f 84 00 00 00 00 00 f3 0f 1e fa 41 81 ea 14 61 af 2c 74 03 0f 0b 90 <66> 0f 1f 00 55 48 89 e5 48 89 f2 48 8b 3f be 01 00 00 00 5d e9 e7 [ 4614.428775] RSP: 0018:ffffb95acfa4ba68 EFLAGS: 00010246 [ 4614.434609] RAX: 0000000000000000 RBX: 0000000000000010 RCX: 0000000000000000 [ 4614.442587] RDX: 0000000000000007 RSI: ffffb95acfa4ba70 RDI: ffffb95acfa4bc88 [ 4614.450557] RBP: ffffb95acfa4bae0 R08: ffff0a00ffffff05 R09: 0000000000000070 [ 4614.458527] R10: 0000000000000000 R11: ffffffffab67eaf0 R12: ffffb95acfa4bcc8 [ 4614.466493] R13: ffffffffac5d50f0 R14: 0000000000000000 R15: 0000000000000000 [ 4614.474473] ? __cfi__RNvXs5_NtNtNtCs3o2tGsuHyou_4core3fmt3num3impyNtB9_7Display3fmt+0x10/0x10 [ 4614.484118] ? _RNvNtCs3o2tGsuHyou_4core3fmt5write+0x1d2/0x250 This happens because core::fmt::write() calls core::fmt::rt::Argument::fmt(), which currently has CFI disabled: library/core/src/fmt/rt.rs: 171 // FIXME: Transmuting formatter in new and indirectly branching to/calling 172 // it here is an explicit CFI violation. 173 #[allow(inline_no_sanitize)] 174 #[no_sanitize(cfi, kcfi)] 175 #[inline] 176 pub(super) unsafe fn fmt(&self, f: &mut Formatter<'_>) -> Result { This causes a Control Protection exception, because FineIBT has sealed off the original function's endbr64. This makes rust currently incompatible with FineIBT. Add a Kconfig dependency that prevents FineIBT from getting turned on by default if rust is enabled. [ Rust 1.88.0 (scheduled for 2025-06-26) should have this fixed [1], and thus we relaxed the condition with Rust >= 1.88. When `objtool` lands checking for this with e.g. [2], the plan is to ideally run that in upstream Rust's CI to prevent regressions early [3], since we do not control `core`'s source code. Alice tested the Rust PR backported to an older compiler. Peter would like that Rust provides a stable `core` which can be pulled into the kernel: "Relying on that much out of tree code is 'unfortunate'". - Miguel ] [ Reduced splat. - Miguel ] Уязвимость функции core::fmt::write() модуля arch/x86/Kconfig ядра операционных систем Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: correct the order of prelim_ref arguments in btrfs__prelim_ref btrfs_prelim_ref() calls the old and new reference variables in the incorrect order. This causes a NULL pointer dereference because oldref is passed as NULL to trace_btrfs_prelim_ref_insert(). Note, trace_btrfs_prelim_ref_insert() is being called with newref as oldref (and oldref as NULL) on purpose in order to print out the values of newref. To reproduce: echo 1 > /sys/kernel/debug/tracing/events/btrfs/btrfs_prelim_ref_insert/enable Perform some writeback operations. Backtrace: BUG: kernel NULL pointer dereference, address: 0000000000000018 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 115949067 P4D 115949067 PUD 11594a067 PMD 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 1 UID: 0 PID: 1188 Comm: fsstress Not tainted 6.15.0-rc2-tester+ #47 PREEMPT(voluntary) 7ca2cef72d5e9c600f0c7718adb6462de8149622 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-2-gc13ff2cd-prebuilt.qemu.org 04/01/2014 RIP: 0010:trace_event_raw_event_btrfs__prelim_ref+0x72/0x130 Code: e8 43 81 9f ff 48 85 c0 74 78 4d 85 e4 0f 84 8f 00 00 00 49 8b 94 24 c0 06 00 00 48 8b 0a 48 89 48 08 48 8b 52 08 48 89 50 10 <49> 8b 55 18 48 89 50 18 49 8b 55 20 48 89 50 20 41 0f b6 55 28 88 RSP: 0018:ffffce44820077a0 EFLAGS: 00010286 RAX: ffff8c6b403f9014 RBX: ffff8c6b55825730 RCX: 304994edf9cf506b RDX: d8b11eb7f0fdb699 RSI: ffff8c6b403f9010 RDI: ffff8c6b403f9010 RBP: 0000000000000001 R08: 0000000000000001 R09: 0000000000000010 R10: 00000000ffffffff R11: 0000000000000000 R12: ffff8c6b4e8fb000 R13: 0000000000000000 R14: ffffce44820077a8 R15: ffff8c6b4abd1540 FS: 00007f4dc6813740(0000) GS:ffff8c6c1d378000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000018 CR3: 000000010eb42000 CR4: 0000000000750ef0 PKRU: 55555554 Call Trace: <TASK> prelim_ref_insert+0x1c1/0x270 find_parent_nodes+0x12a6/0x1ee0 ? __entry_text_end+0x101f06/0x101f09 ? srso_alias_return_thunk+0x5/0xfbef5 ? srso_alias_return_thunk+0x5/0xfbef5 ? srso_alias_return_thunk+0x5/0xfbef5 ? srso_alias_return_thunk+0x5/0xfbef5 btrfs_is_data_extent_shared+0x167/0x640 ? fiemap_process_hole+0xd0/0x2c0 extent_fiemap+0xa5c/0xbc0 ? __entry_text_end+0x101f05/0x101f09 btrfs_fiemap+0x7e/0xd0 do_vfs_ioctl+0x425/0x9d0 __x64_sys_ioctl+0x75/0xc0 Уязвимость функции btrfs_prelim_ref() модуля include/trace/events/btrfs.h ядра операционных систем Linux связана с разыменованием указателей в результате вызовов старых и новых переменных в неправильном порядке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvmet-tcp: don't restore null sk_state_change queue->state_change is set as part of nvmet_tcp_set_queue_sock(), but if the TCP connection isn't established when nvmet_tcp_set_queue_sock() is called then queue->state_change isn't set and sock->sk->sk_state_change isn't replaced. As such we don't need to restore sock->sk->sk_state_change if queue->state_change is NULL. This avoids NULL pointer dereferences such as this: [ 286.462026][ C0] BUG: kernel NULL pointer dereference, address: 0000000000000000 [ 286.462814][ C0] #PF: supervisor instruction fetch in kernel mode [ 286.463796][ C0] #PF: error_code(0x0010) - not-present page [ 286.464392][ C0] PGD 8000000140620067 P4D 8000000140620067 PUD 114201067 PMD 0 [ 286.465086][ C0] Oops: Oops: 0010 [#1] SMP KASAN PTI [ 286.465559][ C0] CPU: 0 UID: 0 PID: 1628 Comm: nvme Not tainted 6.15.0-rc2+ #11 PREEMPT(voluntary) [ 286.466393][ C0] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-3.fc41 04/01/2014 [ 286.467147][ C0] RIP: 0010:0x0 [ 286.467420][ C0] Code: Unable to access opcode bytes at 0xffffffffffffffd6. [ 286.467977][ C0] RSP: 0018:ffff8883ae008580 EFLAGS: 00010246 [ 286.468425][ C0] RAX: 0000000000000000 RBX: ffff88813fd34100 RCX: ffffffffa386cc43 [ 286.469019][ C0] RDX: 1ffff11027fa68b6 RSI: 0000000000000008 RDI: ffff88813fd34100 [ 286.469545][ C0] RBP: ffff88813fd34160 R08: 0000000000000000 R09: ffffed1027fa682c [ 286.470072][ C0] R10: ffff88813fd34167 R11: 0000000000000000 R12: ffff88813fd344c3 [ 286.470585][ C0] R13: ffff88813fd34112 R14: ffff88813fd34aec R15: ffff888132cdd268 [ 286.471070][ C0] FS: 00007fe3c04c7d80(0000) GS:ffff88840743f000(0000) knlGS:0000000000000000 [ 286.471644][ C0] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 286.472543][ C0] CR2: ffffffffffffffd6 CR3: 000000012daca000 CR4: 00000000000006f0 [ 286.473500][ C0] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 286.474467][ C0] DR3: 0000000000000000 DR6: 00000000ffff07f0 DR7: 0000000000000400 [ 286.475453][ C0] Call Trace: [ 286.476102][ C0] <IRQ> [ 286.476719][ C0] tcp_fin+0x2bb/0x440 [ 286.477429][ C0] tcp_data_queue+0x190f/0x4e60 [ 286.478174][ C0] ? __build_skb_around+0x234/0x330 [ 286.478940][ C0] ? rcu_is_watching+0x11/0xb0 [ 286.479659][ C0] ? __pfx_tcp_data_queue+0x10/0x10 [ 286.480431][ C0] ? tcp_try_undo_loss+0x640/0x6c0 [ 286.481196][ C0] ? seqcount_lockdep_reader_access.constprop.0+0x82/0x90 [ 286.482046][ C0] ? kvm_clock_get_cycles+0x14/0x30 [ 286.482769][ C0] ? ktime_get+0x66/0x150 [ 286.483433][ C0] ? rcu_is_watching+0x11/0xb0 [ 286.484146][ C0] tcp_rcv_established+0x6e4/0x2050 [ 286.484857][ C0] ? rcu_is_watching+0x11/0xb0 [ 286.485523][ C0] ? ipv4_dst_check+0x160/0x2b0 [ 286.486203][ C0] ? __pfx_tcp_rcv_established+0x10/0x10 [ 286.486917][ C0] ? lock_release+0x217/0x2c0 [ 286.487595][ C0] tcp_v4_do_rcv+0x4d6/0x9b0 [ 286.488279][ C0] tcp_v4_rcv+0x2af8/0x3e30 [ 286.488904][ C0] ? raw_local_deliver+0x51b/0xad0 [ 286.489551][ C0] ? rcu_is_watching+0x11/0xb0 [ 286.490198][ C0] ? __pfx_tcp_v4_rcv+0x10/0x10 [ 286.490813][ C0] ? __pfx_raw_local_deliver+0x10/0x10 [ 286.491487][ C0] ? __pfx_nf_confirm+0x10/0x10 [nf_conntrack] [ 286.492275][ C0] ? rcu_is_watching+0x11/0xb0 [ 286.492900][ C0] ip_protocol_deliver_rcu+0x8f/0x370 [ 286.493579][ C0] ip_local_deliver_finish+0x297/0x420 [ 286.494268][ C0] ip_local_deliver+0x168/0x430 [ 286.494867][ C0] ? __pfx_ip_local_deliver+0x10/0x10 [ 286.495498][ C0] ? __pfx_ip_local_deliver_finish+0x10/0x10 [ 286.496204][ C0] ? ip_rcv_finish_core+0x19a/0x1f20 [ 286.496806][ C0] ? lock_release+0x217/0x2c0 [ 286.497414][ C0] ip_rcv+0x455/0x6e0 [ 286.497945][ C0] ? __pfx_ip_rcv+0x10/0x10 [ ---truncated--- Уязвимость функции nvmet_tcp_set_queue_sock ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vxlan: Annotate FDB data races The 'used' and 'updated' fields in the FDB entry structure can be accessed concurrently by multiple threads, leading to reports such as [1]. Can be reproduced using [2]. Suppress these reports by annotating these accesses using READ_ONCE() / WRITE_ONCE(). [1] BUG: KCSAN: data-race in vxlan_xmit / vxlan_xmit write to 0xffff942604d263a8 of 8 bytes by task 286 on cpu 0: vxlan_xmit+0xb29/0x2380 dev_hard_start_xmit+0x84/0x2f0 __dev_queue_xmit+0x45a/0x1650 packet_xmit+0x100/0x150 packet_sendmsg+0x2114/0x2ac0 __sys_sendto+0x318/0x330 __x64_sys_sendto+0x76/0x90 x64_sys_call+0x14e8/0x1c00 do_syscall_64+0x9e/0x1a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f read to 0xffff942604d263a8 of 8 bytes by task 287 on cpu 2: vxlan_xmit+0xadf/0x2380 dev_hard_start_xmit+0x84/0x2f0 __dev_queue_xmit+0x45a/0x1650 packet_xmit+0x100/0x150 packet_sendmsg+0x2114/0x2ac0 __sys_sendto+0x318/0x330 __x64_sys_sendto+0x76/0x90 x64_sys_call+0x14e8/0x1c00 do_syscall_64+0x9e/0x1a0 entry_SYSCALL_64_after_hwframe+0x77/0x7f value changed: 0x00000000fffbac6e -> 0x00000000fffbac6f Reported by Kernel Concurrency Sanitizer on: CPU: 2 UID: 0 PID: 287 Comm: mausezahn Not tainted 6.13.0-rc7-01544-gb4b270f11a02 #5 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-3.fc41 04/01/2014 [2] #!/bin/bash set +H echo whitelist > /sys/kernel/debug/kcsan echo !vxlan_xmit > /sys/kernel/debug/kcsan ip link add name vx0 up type vxlan id 10010 dstport 4789 local 192.0.2.1 bridge fdb add 00:11:22:33:44:55 dev vx0 self static dst 198.51.100.1 taskset -c 0 mausezahn vx0 -a own -b 00:11:22:33:44:55 -c 0 -q & taskset -c 2 mausezahn vx0 -a own -b 00:11:22:33:44:55 -c 0 -q & Уязвимость модуля drivers/net/vxlan/vxlan_core.c ядра операционных систем Linux связана с состоянием гонки. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cpufreq: amd-pstate: Remove unnecessary driver_lock in set_boost set_boost is a per-policy function call, hence a driver wide lock is unnecessary. Also this mutex_acquire can collide with the mutex_acquire from the mode-switch path in status_store(), which can lead to a deadlock. So, remove it. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Avoid WARN_ON when configuring MQPRIO with HTB offload enabled When attempting to enable MQPRIO while HTB offload is already configured, the driver currently returns `-EINVAL` and triggers a `WARN_ON`, leading to an unnecessary call trace. Update the code to handle this case more gracefully by returning `-EOPNOTSUPP` instead, while also providing a helpful user message. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: serial: mctrl_gpio: split disable_ms into sync and no_sync APIs The following splat has been observed on a SAMA5D27 platform using atmel_serial: BUG: sleeping function called from invalid context at kernel/irq/manage.c:738 in_atomic(): 1, irqs_disabled(): 128, non_block: 0, pid: 27, name: kworker/u5:0 preempt_count: 1, expected: 0 INFO: lockdep is turned off. irq event stamp: 0 hardirqs last enabled at (0): [<00000000>] 0x0 hardirqs last disabled at (0): [<c01588f0>] copy_process+0x1c4c/0x7bec softirqs last enabled at (0): [<c0158944>] copy_process+0x1ca0/0x7bec softirqs last disabled at (0): [<00000000>] 0x0 CPU: 0 UID: 0 PID: 27 Comm: kworker/u5:0 Not tainted 6.13.0-rc7+ #74 Hardware name: Atmel SAMA5 Workqueue: hci0 hci_power_on [bluetooth] Call trace: unwind_backtrace from show_stack+0x18/0x1c show_stack from dump_stack_lvl+0x44/0x70 dump_stack_lvl from __might_resched+0x38c/0x598 __might_resched from disable_irq+0x1c/0x48 disable_irq from mctrl_gpio_disable_ms+0x74/0xc0 mctrl_gpio_disable_ms from atmel_disable_ms.part.0+0x80/0x1f4 atmel_disable_ms.part.0 from atmel_set_termios+0x764/0x11e8 atmel_set_termios from uart_change_line_settings+0x15c/0x994 uart_change_line_settings from uart_set_termios+0x2b0/0x668 uart_set_termios from tty_set_termios+0x600/0x8ec tty_set_termios from ttyport_set_flow_control+0x188/0x1e0 ttyport_set_flow_control from wilc_setup+0xd0/0x524 [hci_wilc] wilc_setup [hci_wilc] from hci_dev_open_sync+0x330/0x203c [bluetooth] hci_dev_open_sync [bluetooth] from hci_dev_do_open+0x40/0xb0 [bluetooth] hci_dev_do_open [bluetooth] from hci_power_on+0x12c/0x664 [bluetooth] hci_power_on [bluetooth] from process_one_work+0x998/0x1a38 process_one_work from worker_thread+0x6e0/0xfb4 worker_thread from kthread+0x3d4/0x484 kthread from ret_from_fork+0x14/0x28 This warning is emitted when trying to toggle, at the highest level, some flow control (with serdev_device_set_flow_control) in a device driver. At the lowest level, the atmel_serial driver is using serial_mctrl_gpio lib to enable/disable the corresponding IRQs accordingly. The warning emitted by CONFIG_DEBUG_ATOMIC_SLEEP is due to disable_irq (called in mctrl_gpio_disable_ms) being possibly called in some atomic context (some tty drivers perform modem lines configuration in regions protected by port lock). Split mctrl_gpio_disable_ms into two differents APIs, a non-blocking one and a blocking one. Replace mctrl_gpio_disable_ms calls with the relevant version depending on whether the call is protected by some port lock. Уязвимость драйвера TTY ядра операционных систем Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: firmware: arm_ffa: Set dma_mask for ffa devices Set dma_mask for FFA devices, otherwise DMA allocation using the device pointer lead to following warning: WARNING: CPU: 1 PID: 1 at kernel/dma/mapping.c:597 dma_alloc_attrs+0xe0/0x124 Уязвимость модуля drivers/firmware/arm_ffa/bus.c ядра операционных систем Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: cx231xx: set device_caps for 417 The video_device for the MPEG encoder did not set device_caps. Add this, otherwise the video device can't be registered (you get a WARN_ON instead). Not seen before since currently 417 support is disabled, but I found this while experimenting with it. Уязвимость модуля drivers/media/usb/cx231xx/cx231xx-417.c ядра операционных систем Linux связана с неверным управлением идентификаторами ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: fix debug actions order The order of actions taken for debug was implemented incorrectly. Now we implemented the dump split and do the FW reset only in the middle of the dump (rather than the FW killing itself on error.) As a result, some of the actions taken when applying the config will now crash the device, so we need to fix the order. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/fred: Fix system hang during S4 resume with FRED enabled Upon a wakeup from S4, the restore kernel starts and initializes the FRED MSRs as needed from its perspective. It then loads a hibernation image, including the image kernel, and attempts to load image pages directly into their original page frames used before hibernation unless those frames are currently in use. Once all pages are moved to their original locations, it jumps to a "trampoline" page in the image kernel. At this point, the image kernel takes control, but the FRED MSRs still contain values set by the restore kernel, which may differ from those set by the image kernel before hibernation. Therefore, the image kernel must ensure the FRED MSRs have the same values as before hibernation. Since these values depend only on the location of the kernel text and data, they can be recomputed from scratch. Уязвимость модуля arch/x86/power/cpu.c ядра операционных систем Linux связана с некорректной инициализацией ресурса в результате несоответствия значений данных до и после режима гибернации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: virtio_ring: Fix data race by tagging event_triggered as racy for KCSAN syzbot reports a data-race when accessing the event_triggered, here is the simplified stack when the issue occurred: ================================================================== BUG: KCSAN: data-race in virtqueue_disable_cb / virtqueue_enable_cb_delayed write to 0xffff8881025bc452 of 1 bytes by task 3288 on cpu 0: virtqueue_enable_cb_delayed+0x42/0x3c0 drivers/virtio/virtio_ring.c:2653 start_xmit+0x230/0x1310 drivers/net/virtio_net.c:3264 __netdev_start_xmit include/linux/netdevice.h:5151 [inline] netdev_start_xmit include/linux/netdevice.h:5160 [inline] xmit_one net/core/dev.c:3800 [inline] read to 0xffff8881025bc452 of 1 bytes by interrupt on cpu 1: virtqueue_disable_cb_split drivers/virtio/virtio_ring.c:880 [inline] virtqueue_disable_cb+0x92/0x180 drivers/virtio/virtio_ring.c:2566 skb_xmit_done+0x5f/0x140 drivers/net/virtio_net.c:777 vring_interrupt+0x161/0x190 drivers/virtio/virtio_ring.c:2715 __handle_irq_event_percpu+0x95/0x490 kernel/irq/handle.c:158 handle_irq_event_percpu kernel/irq/handle.c:193 [inline] value changed: 0x01 -> 0x00 ================================================================== When the data race occurs, the function virtqueue_enable_cb_delayed() sets event_triggered to false, and virtqueue_disable_cb_split/packed() reads it as false due to the race condition. Since event_triggered is an unreliable hint used for optimization, this should only cause the driver temporarily suggest that the device not send an interrupt notification when the event index is used. Fix this KCSAN reported data-race issue by explicitly tagging the access as data_racy. Уязвимость функции virtqueue_enable_cb_delayed() модуля drivers/virtio/virtio_ring.c ядра операционных систем Linux связана с состоянием гонки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/resctrl: Fix allocation of cleanest CLOSID on platforms with no monitors Commit 6eac36bb9eb0 ("x86/resctrl: Allocate the cleanest CLOSID by searching closid_num_dirty_rmid") added logic that causes resctrl to search for the CLOSID with the fewest dirty cache lines when creating a new control group, if requested by the arch code. This depends on the values read from the llc_occupancy counters. The logic is applicable to architectures where the CLOSID effectively forms part of the monitoring identifier and so do not allow complete freedom to choose an unused monitoring identifier for a given CLOSID. This support missed that some platforms may not have these counters. This causes a NULL pointer dereference when creating a new control group as the array was not allocated by dom_data_init(). As this feature isn't necessary on platforms that don't have cache occupancy monitors, add this to the check that occurs when a new control group is allocated. Уязвимость компонента x86/resctrl ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: Fix use-after-free in cifs_fill_dirent There is a race condition in the readdir concurrency process, which may access the rsp buffer after it has been released, triggering the following KASAN warning. ================================================================== BUG: KASAN: slab-use-after-free in cifs_fill_dirent+0xb03/0xb60 [cifs] Read of size 4 at addr ffff8880099b819c by task a.out/342975 CPU: 2 UID: 0 PID: 342975 Comm: a.out Not tainted 6.15.0-rc6+ #240 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.1-2.fc37 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x53/0x70 print_report+0xce/0x640 kasan_report+0xb8/0xf0 cifs_fill_dirent+0xb03/0xb60 [cifs] cifs_readdir+0x12cb/0x3190 [cifs] iterate_dir+0x1a1/0x520 __x64_sys_getdents+0x134/0x220 do_syscall_64+0x4b/0x110 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f996f64b9f9 Code: ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 44 00 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 0d f7 c3 0c 00 f7 d8 64 89 8 RSP: 002b:00007f996f53de78 EFLAGS: 00000207 ORIG_RAX: 000000000000004e RAX: ffffffffffffffda RBX: 00007f996f53ecdc RCX: 00007f996f64b9f9 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000003 RBP: 00007f996f53dea0 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000207 R12: ffffffffffffff88 R13: 0000000000000000 R14: 00007ffc8cd9a500 R15: 00007f996f51e000 </TASK> Allocated by task 408: kasan_save_stack+0x20/0x40 kasan_save_track+0x14/0x30 __kasan_slab_alloc+0x6e/0x70 kmem_cache_alloc_noprof+0x117/0x3d0 mempool_alloc_noprof+0xf2/0x2c0 cifs_buf_get+0x36/0x80 [cifs] allocate_buffers+0x1d2/0x330 [cifs] cifs_demultiplex_thread+0x22b/0x2690 [cifs] kthread+0x394/0x720 ret_from_fork+0x34/0x70 ret_from_fork_asm+0x1a/0x30 Freed by task 342979: kasan_save_stack+0x20/0x40 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3b/0x60 __kasan_slab_free+0x37/0x50 kmem_cache_free+0x2b8/0x500 cifs_buf_release+0x3c/0x70 [cifs] cifs_readdir+0x1c97/0x3190 [cifs] iterate_dir+0x1a1/0x520 __x64_sys_getdents64+0x134/0x220 do_syscall_64+0x4b/0x110 entry_SYSCALL_64_after_hwframe+0x76/0x7e The buggy address belongs to the object at ffff8880099b8000 which belongs to the cache cifs_request of size 16588 The buggy address is located 412 bytes inside of freed 16588-byte region [ffff8880099b8000, ffff8880099bc0cc) The buggy address belongs to the physical page: page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x99b8 head: order:3 mapcount:0 entire_mapcount:0 nr_pages_mapped:0 pincount:0 anon flags: 0x80000000000040(head|node=0|zone=1) page_type: f5(slab) raw: 0080000000000040 ffff888001e03400 0000000000000000 dead000000000001 raw: 0000000000000000 0000000000010001 00000000f5000000 0000000000000000 head: 0080000000000040 ffff888001e03400 0000000000000000 dead000000000001 head: 0000000000000000 0000000000010001 00000000f5000000 0000000000000000 head: 0080000000000003 ffffea0000266e01 00000000ffffffff 00000000ffffffff head: ffffffffffffffff 0000000000000000 00000000ffffffff 0000000000000008 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff8880099b8080: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff8880099b8100: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb >ffff8880099b8180: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ^ ffff8880099b8200: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff8880099b8280: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ================================================================== POC is available in the link [1]. The problem triggering process is as follows: Process 1 Process 2 ----------------------------------- ---truncated--- [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/tipc: fix slab-use-after-free Read in tipc_aead_encrypt_done Syzbot reported a slab-use-after-free with the following call trace: ================================================================== BUG: KASAN: slab-use-after-free in tipc_aead_encrypt_done+0x4bd/0x510 net/tipc/crypto.c:840 Read of size 8 at addr ffff88807a733000 by task kworker/1:0/25 Call Trace: kasan_report+0xd9/0x110 mm/kasan/report.c:601 tipc_aead_encrypt_done+0x4bd/0x510 net/tipc/crypto.c:840 crypto_request_complete include/crypto/algapi.h:266 aead_request_complete include/crypto/internal/aead.h:85 cryptd_aead_crypt+0x3b8/0x750 crypto/cryptd.c:772 crypto_request_complete include/crypto/algapi.h:266 cryptd_queue_worker+0x131/0x200 crypto/cryptd.c:181 process_one_work+0x9fb/0x1b60 kernel/workqueue.c:3231 Allocated by task 8355: kzalloc_noprof include/linux/slab.h:778 tipc_crypto_start+0xcc/0x9e0 net/tipc/crypto.c:1466 tipc_init_net+0x2dd/0x430 net/tipc/core.c:72 ops_init+0xb9/0x650 net/core/net_namespace.c:139 setup_net+0x435/0xb40 net/core/net_namespace.c:343 copy_net_ns+0x2f0/0x670 net/core/net_namespace.c:508 create_new_namespaces+0x3ea/0xb10 kernel/nsproxy.c:110 unshare_nsproxy_namespaces+0xc0/0x1f0 kernel/nsproxy.c:228 ksys_unshare+0x419/0x970 kernel/fork.c:3323 __do_sys_unshare kernel/fork.c:3394 Freed by task 63: kfree+0x12a/0x3b0 mm/slub.c:4557 tipc_crypto_stop+0x23c/0x500 net/tipc/crypto.c:1539 tipc_exit_net+0x8c/0x110 net/tipc/core.c:119 ops_exit_list+0xb0/0x180 net/core/net_namespace.c:173 cleanup_net+0x5b7/0xbf0 net/core/net_namespace.c:640 process_one_work+0x9fb/0x1b60 kernel/workqueue.c:3231 After freed the tipc_crypto tx by delete namespace, tipc_aead_encrypt_done may still visit it in cryptd_queue_worker workqueue. I reproduce this issue by: ip netns add ns1 ip link add veth1 type veth peer name veth2 ip link set veth1 netns ns1 ip netns exec ns1 tipc bearer enable media eth dev veth1 ip netns exec ns1 tipc node set key this_is_a_master_key master ip netns exec ns1 tipc bearer disable media eth dev veth1 ip netns del ns1 The key of reproduction is that, simd_aead_encrypt is interrupted, leading to crypto_simd_usable() return false. Thus, the cryptd_queue_worker is triggered, and the tipc_crypto tx will be visited. tipc_disc_timeout tipc_bearer_xmit_skb tipc_crypto_xmit tipc_aead_encrypt crypto_aead_encrypt // encrypt() simd_aead_encrypt // crypto_simd_usable() is false child = &ctx->cryptd_tfm->base; simd_aead_encrypt crypto_aead_encrypt // encrypt() cryptd_aead_encrypt_enqueue cryptd_aead_enqueue cryptd_enqueue_request // trigger cryptd_queue_worker queue_work_on(smp_processor_id(), cryptd_wq, &cpu_queue->work) Fix this by holding net reference count before encrypt. Уязвимость функции tipc_aead_encrypt_done() модуля net/tipc/crypto.c ядра операционных систем Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: idpf: fix null-ptr-deref in idpf_features_check idpf_features_check is used to validate the TX packet. skb header length is compared with the hardware supported value received from the device control plane. The value is stored in the adapter structure and to access it, vport pointer is used. During reset all the vports are released and the vport pointer that the netdev private structure points to is NULL. To avoid null-ptr-deref, store the max header length value in netdev private structure. This also helps to cache the value and avoid accessing adapter pointer in hot path. BUG: kernel NULL pointer dereference, address: 0000000000000068 ... RIP: 0010:idpf_features_check+0x6d/0xe0 [idpf] Call Trace: <TASK> ? __die+0x23/0x70 ? page_fault_oops+0x154/0x520 ? exc_page_fault+0x76/0x190 ? asm_exc_page_fault+0x26/0x30 ? idpf_features_check+0x6d/0xe0 [idpf] netif_skb_features+0x88/0x310 validate_xmit_skb+0x2a/0x2b0 validate_xmit_skb_list+0x4c/0x70 sch_direct_xmit+0x19d/0x3a0 __dev_queue_xmit+0xb74/0xe70 ... Уязвимость драйвера idpf ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ptp: ocp: Limit signal/freq counts in summary output functions The debugfs summary output could access uninitialized elements in the freq_in[] and signal_out[] arrays, causing NULL pointer dereferences and triggering a kernel Oops (page_fault_oops). This patch adds u8 fields (nr_freq_in, nr_signal_out) to track the number of initialized elements, with a maximum of 4 per array. The summary output functions are updated to respect these limits, preventing out-of-bounds access and ensuring safe array handling. Widen the label variables because the change confuses GCC about max length of the strings. Уязвимость компонента drivers/ptp/ptp_ocp.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf/x86/intel: Fix segfault with PEBS-via-PT with sample_freq Currently, using PEBS-via-PT with a sample frequency instead of a sample period, causes a segfault. For example: BUG: kernel NULL pointer dereference, address: 0000000000000195 <NMI> ? __die_body.cold+0x19/0x27 ? page_fault_oops+0xca/0x290 ? exc_page_fault+0x7e/0x1b0 ? asm_exc_page_fault+0x26/0x30 ? intel_pmu_pebs_event_update_no_drain+0x40/0x60 ? intel_pmu_pebs_event_update_no_drain+0x32/0x60 intel_pmu_drain_pebs_icl+0x333/0x350 handle_pmi_common+0x272/0x3c0 intel_pmu_handle_irq+0x10a/0x2e0 perf_event_nmi_handler+0x2a/0x50 That happens because intel_pmu_pebs_event_update_no_drain() assumes all the pebs_enabled bits represent counter indexes, which is not always the case. In this particular case, bits 60 and 61 are set for PEBS-via-PT purposes. The behaviour of PEBS-via-PT with sample frequency is questionable because although a PMI is generated (PEBS_PMI_AFTER_EACH_RECORD), the period is not adjusted anyway. Putting that aside, fix intel_pmu_pebs_event_update_no_drain() by passing the mask of counter bits instead of 'size'. Note, prior to the Fixes commit, 'size' would be limited to the maximum counter index, so the issue was not hit. Уязвимость компонента arch/x86/events/intel/ds.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: SOF: Intel: hda: Fix UAF when reloading module hda_generic_machine_select() appends -idisp to the tplg filename by allocating a new string with devm_kasprintf(), then stores the string right back into the global variable snd_soc_acpi_intel_hda_machines. When the module is unloaded, this memory is freed, resulting in a global variable pointing to freed memory. Reloading the module then triggers a use-after-free: BUG: KFENCE: use-after-free read in string+0x48/0xe0 Use-after-free read at 0x00000000967e0109 (in kfence-#99): string+0x48/0xe0 vsnprintf+0x329/0x6e0 devm_kvasprintf+0x54/0xb0 devm_kasprintf+0x58/0x80 hda_machine_select.cold+0x198/0x17a2 [snd_sof_intel_hda_generic] sof_probe_work+0x7f/0x600 [snd_sof] process_one_work+0x17b/0x330 worker_thread+0x2ce/0x3f0 kthread+0xcf/0x100 ret_from_fork+0x31/0x50 ret_from_fork_asm+0x1a/0x30 kfence-#99: 0x00000000198a940f-0x00000000ace47d9d, size=64, cache=kmalloc-64 allocated by task 333 on cpu 8 at 17.798069s (130.453553s ago): devm_kmalloc+0x52/0x120 devm_kvasprintf+0x66/0xb0 devm_kasprintf+0x58/0x80 hda_machine_select.cold+0x198/0x17a2 [snd_sof_intel_hda_generic] sof_probe_work+0x7f/0x600 [snd_sof] process_one_work+0x17b/0x330 worker_thread+0x2ce/0x3f0 kthread+0xcf/0x100 ret_from_fork+0x31/0x50 ret_from_fork_asm+0x1a/0x30 freed by task 1543 on cpu 4 at 141.586686s (6.665010s ago): release_nodes+0x43/0xb0 devres_release_all+0x90/0xf0 device_unbind_cleanup+0xe/0x70 device_release_driver_internal+0x1c1/0x200 driver_detach+0x48/0x90 bus_remove_driver+0x6d/0xf0 pci_unregister_driver+0x42/0xb0 __do_sys_delete_module+0x1d1/0x310 do_syscall_64+0x82/0x190 entry_SYSCALL_64_after_hwframe+0x76/0x7e Fix it by copying the match array with devm_kmemdup_array() before we modify it. Уязвимость компонента sound/soc/sof/intel/hda.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: espintcp: fix skb leaks A few error paths are missing a kfree_skb. Уязвимость функций esp_output_tcp_finish() (net/ipv4/esp4.c) и esp_output_tcp_finish() (net/ipv6/esp6.c) ядра операционной системы Linux связана с неправильным освобождением памяти («утечка памяти»). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: __legitimize_mnt(): check for MNT_SYNC_UMOUNT should be under mount_lock ... or we risk stealing final mntput from sync umount - raising mnt_count after umount(2) has verified that victim is not busy, but before it has set MNT_SYNC_UMOUNT; in that case __legitimize_mnt() doesn't see that it's safe to quietly undo mnt_count increment and leaves dropping the reference to caller, where it'll be a full-blown mntput(). Check under mount_lock is needed; leaving the current one done before taking that makes no sense - it's nowhere near common enough to bother with. Уязвимость функции __legitimize_mnt() компонента fs/namespace.c ядра операционной системы Linux связана с некорректным вычислением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: avoid NULL pointer dereference if no valid csum tree [BUG] When trying read-only scrub on a btrfs with rescue=idatacsums mount option, it will crash with the following call trace: BUG: kernel NULL pointer dereference, address: 0000000000000208 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page CPU: 1 UID: 0 PID: 835 Comm: btrfs Tainted: G O 6.15.0-rc3-custom+ #236 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS unknown 02/02/2022 RIP: 0010:btrfs_lookup_csums_bitmap+0x49/0x480 [btrfs] Call Trace: <TASK> scrub_find_fill_first_stripe+0x35b/0x3d0 [btrfs] scrub_simple_mirror+0x175/0x290 [btrfs] scrub_stripe+0x5f7/0x6f0 [btrfs] scrub_chunk+0x9a/0x150 [btrfs] scrub_enumerate_chunks+0x333/0x660 [btrfs] btrfs_scrub_dev+0x23e/0x600 [btrfs] btrfs_ioctl+0x1dcf/0x2f80 [btrfs] __x64_sys_ioctl+0x97/0xc0 do_syscall_64+0x4f/0x120 entry_SYSCALL_64_after_hwframe+0x76/0x7e [CAUSE] Mount option "rescue=idatacsums" will completely skip loading the csum tree, so that any data read will not find any data csum thus we will ignore data checksum verification. Normally call sites utilizing csum tree will check the fs state flag NO_DATA_CSUMS bit, but unfortunately scrub does not check that bit at all. This results in scrub to call btrfs_search_slot() on a NULL pointer and triggered above crash. [FIX] Check both extent and csum tree root before doing any tree search. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: copy_verifier_state() should copy 'loop_entry' field The bpf_verifier_state.loop_entry state should be copied by copy_verifier_state(). Otherwise, .loop_entry values from unrelated states would poison env->cur_state. Additionally, env->stack should not contain any states with .loop_entry != NULL. The states in env->stack are yet to be verified, while .loop_entry is set for states that reached an equivalent state. This means that env->cur_state->loop_entry should always be NULL after pop_stack(). See the selftest in the next commit for an example of the program that is not safe yet is accepted by verifier w/o this fix. This change has some verification performance impact for selftests: File Program Insns (A) Insns (B) Insns (DIFF) States (A) States (B) States (DIFF) ---------------------------------- ---------------------------- --------- --------- -------------- ---------- ---------- ------------- arena_htab.bpf.o arena_htab_llvm 717 426 -291 (-40.59%) 57 37 -20 (-35.09%) arena_htab_asm.bpf.o arena_htab_asm 597 445 -152 (-25.46%) 47 37 -10 (-21.28%) arena_list.bpf.o arena_list_del 309 279 -30 (-9.71%) 23 14 -9 (-39.13%) iters.bpf.o iter_subprog_check_stacksafe 155 141 -14 (-9.03%) 15 14 -1 (-6.67%) iters.bpf.o iter_subprog_iters 1094 1003 -91 (-8.32%) 88 83 -5 (-5.68%) iters.bpf.o loop_state_deps2 479 725 +246 (+51.36%) 46 63 +17 (+36.96%) kmem_cache_iter.bpf.o open_coded_iter 63 59 -4 (-6.35%) 7 6 -1 (-14.29%) verifier_bits_iter.bpf.o max_words 92 84 -8 (-8.70%) 8 7 -1 (-12.50%) verifier_iterating_callbacks.bpf.o cond_break2 113 107 -6 (-5.31%) 12 12 +0 (+0.00%) And significant negative impact for sched_ext: File Program Insns (A) Insns (B) Insns (DIFF) States (A) States (B) States (DIFF) ----------------- ---------------------- --------- --------- -------------------- ---------- ---------- ------------------ bpf.bpf.o lavd_init 7039 14723 +7684 (+109.16%) 490 1139 +649 (+132.45%) bpf.bpf.o layered_dispatch 11485 10548 -937 (-8.16%) 848 762 -86 (-10.14%) bpf.bpf.o layered_dump 7422 1000001 +992579 (+13373.47%) 681 31178 +30497 (+4478.27%) bpf.bpf.o layered_enqueue 16854 71127 +54273 (+322.02%) 1611 6450 +4839 (+300.37%) bpf.bpf.o p2dq_dispatch 665 791 +126 (+18.95%) 68 78 +10 (+14.71%) bpf.bpf.o p2dq_init 2343 2980 +637 (+27.19%) 201 237 +36 (+17.91%) bpf.bpf.o refresh_layer_cpumasks 16487 674760 +658273 (+3992.68%) 1770 65370 +63600 (+3593.22%) bpf.bpf.o rusty_select_cpu 1937 40872 +38935 (+2010.07%) 177 3210 +3033 (+1713.56%) scx_central.bpf.o central_dispatch 636 2687 +2051 (+322.48%) 63 227 +164 (+260.32%) scx_nest.bpf.o nest_init 636 815 +179 (+28.14%) 60 73 +13 (+21.67%) scx_qmap.bpf.o qmap_dispatch ---truncated--- [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: pktgen: fix access outside of user given buffer in pktgen_thread_write() Honour the user given buffer size for the strn_len() calls (otherwise strn_len() will access memory outside of the user given buffer). Уязвимость функции pktgen_thread_write() компонента net/core/pktgen.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: genirq/msi: Store the IOMMU IOVA directly in msi_desc instead of iommu_cookie The IOMMU translation for MSI message addresses has been a 2-step process, separated in time: 1) iommu_dma_prepare_msi(): A cookie pointer containing the IOVA address is stored in the MSI descriptor when an MSI interrupt is allocated. 2) iommu_dma_compose_msi_msg(): this cookie pointer is used to compute a translated message address. This has an inherent lifetime problem for the pointer stored in the cookie that must remain valid between the two steps. However, there is no locking at the irq layer that helps protect the lifetime. Today, this works under the assumption that the iommu domain is not changed while MSI interrupts being programmed. This is true for normal DMA API users within the kernel, as the iommu domain is attached before the driver is probed and cannot be changed while a driver is attached. Classic VFIO type1 also prevented changing the iommu domain while VFIO was running as it does not support changing the "container" after starting up. However, iommufd has improved this so that the iommu domain can be changed during VFIO operation. This potentially allows userspace to directly race VFIO_DEVICE_ATTACH_IOMMUFD_PT (which calls iommu_attach_group()) and VFIO_DEVICE_SET_IRQS (which calls into iommu_dma_compose_msi_msg()). This potentially causes both the cookie pointer and the unlocked call to iommu_get_domain_for_dev() on the MSI translation path to become UAFs. Fix the MSI cookie UAF by removing the cookie pointer. The translated IOVA address is already known during iommu_dma_prepare_msi() and cannot change. Thus, it can simply be stored as an integer in the MSI descriptor. The other UAF related to iommu_get_domain_for_dev() will be addressed in patch "iommu: Make iommu_dma_prepare_msi() into a generic operation" by using the IOMMU group mutex. Уязвимость компонента genirq/msi ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm: fix unconditional IO throttle caused by REQ_PREFLUSH When a bio with REQ_PREFLUSH is submitted to dm, __send_empty_flush() generates a flush_bio with REQ_OP_WRITE | REQ_PREFLUSH | REQ_SYNC, which causes the flush_bio to be throttled by wbt_wait(). An example from v5.4, similar problem also exists in upstream: crash> bt 2091206 PID: 2091206 TASK: ffff2050df92a300 CPU: 109 COMMAND: "kworker/u260:0" #0 [ffff800084a2f7f0] __switch_to at ffff80004008aeb8 #1 [ffff800084a2f820] __schedule at ffff800040bfa0c4 #2 [ffff800084a2f880] schedule at ffff800040bfa4b4 #3 [ffff800084a2f8a0] io_schedule at ffff800040bfa9c4 #4 [ffff800084a2f8c0] rq_qos_wait at ffff8000405925bc #5 [ffff800084a2f940] wbt_wait at ffff8000405bb3a0 #6 [ffff800084a2f9a0] __rq_qos_throttle at ffff800040592254 #7 [ffff800084a2f9c0] blk_mq_make_request at ffff80004057cf38 #8 [ffff800084a2fa60] generic_make_request at ffff800040570138 #9 [ffff800084a2fae0] submit_bio at ffff8000405703b4 #10 [ffff800084a2fb50] xlog_write_iclog at ffff800001280834 [xfs] #11 [ffff800084a2fbb0] xlog_sync at ffff800001280c3c [xfs] #12 [ffff800084a2fbf0] xlog_state_release_iclog at ffff800001280df4 [xfs] #13 [ffff800084a2fc10] xlog_write at ffff80000128203c [xfs] #14 [ffff800084a2fcd0] xlog_cil_push at ffff8000012846dc [xfs] #15 [ffff800084a2fda0] xlog_cil_push_work at ffff800001284a2c [xfs] #16 [ffff800084a2fdb0] process_one_work at ffff800040111d08 #17 [ffff800084a2fe00] worker_thread at ffff8000401121cc #18 [ffff800084a2fe70] kthread at ffff800040118de4 After commit 2def2845cc33 ("xfs: don't allow log IO to be throttled"), the metadata submitted by xlog_write_iclog() should not be throttled. But due to the existence of the dm layer, throttling flush_bio indirectly causes the metadata bio to be throttled. Fix this by conditionally adding REQ_IDLE to flush_bio.bi_opf, which makes wbt_should_throttle() return false to avoid wbt_wait(). Уязвимость функции __send_empty_flush() драйвера dm ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: orangefs: Do not truncate file size 'len' is used to store the result of i_size_read(), so making 'len' a size_t results in truncation to 4GiB on 32-bit systems. Уязвимость компонента fs/orangefs/inode.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm cache: prevent BUG_ON by blocking retries on failed device resumes A cache device failing to resume due to mapping errors should not be retried, as the failure leaves a partially initialized policy object. Repeating the resume operation risks triggering BUG_ON when reloading cache mappings into the incomplete policy object. Reproduce steps: 1. create a cache metadata consisting of 512 or more cache blocks, with some mappings stored in the first array block of the mapping array. Here we use cache_restore v1.0 to build the metadata. cat <<EOF >> cmeta.xml <superblock uuid="" block_size="128" nr_cache_blocks="512" \ policy="smq" hint_width="4"> <mappings> <mapping cache_block="0" origin_block="0" dirty="false"/> </mappings> </superblock> EOF dmsetup create cmeta --table "0 8192 linear /dev/sdc 0" cache_restore -i cmeta.xml -o /dev/mapper/cmeta --metadata-version=2 dmsetup remove cmeta 2. wipe the second array block of the mapping array to simulate data degradations. mapping_root=$(dd if=/dev/sdc bs=1c count=8 skip=192 \ 2>/dev/null | hexdump -e '1/8 "%u\n"') ablock=$(dd if=/dev/sdc bs=1c count=8 skip=$((4096*mapping_root+2056)) \ 2>/dev/null | hexdump -e '1/8 "%u\n"') dd if=/dev/zero of=/dev/sdc bs=4k count=1 seek=$ablock 3. try bringing up the cache device. The resume is expected to fail due to the broken array block. dmsetup create cmeta --table "0 8192 linear /dev/sdc 0" dmsetup create cdata --table "0 65536 linear /dev/sdc 8192" dmsetup create corig --table "0 524288 linear /dev/sdc 262144" dmsetup create cache --notable dmsetup load cache --table "0 524288 cache /dev/mapper/cmeta \ /dev/mapper/cdata /dev/mapper/corig 128 2 metadata2 writethrough smq 0" dmsetup resume cache 4. try resuming the cache again. An unexpected BUG_ON is triggered while loading cache mappings. dmsetup resume cache Kernel logs: (snip) ------------[ cut here ]------------ kernel BUG at drivers/md/dm-cache-policy-smq.c:752! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN NOPTI CPU: 0 UID: 0 PID: 332 Comm: dmsetup Not tainted 6.13.4 #3 RIP: 0010:smq_load_mapping+0x3e5/0x570 Fix by disallowing resume operations for devices that failed the initial attempt. Уязвимость компонента drivers/md/dm-cache-target.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: lzo - Fix compression buffer overrun Unlike the decompression code, the compression code in LZO never checked for output overruns. It instead assumes that the caller always provides enough buffer space, disregarding the buffer length provided by the caller. Add a safe compression interface that checks for the end of buffer before each write. Use the safe interface in crypto/lzo. Уязвимость модулей crypto, lzo ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: endpoint: pci-epf-test: Fix double free that causes kernel to oops Fix a kernel oops found while testing the stm32_pcie Endpoint driver with handling of PERST# deassertion: During EP initialization, pci_epf_test_alloc_space() allocates all BARs, which are further freed if epc_set_bar() fails (for instance, due to no free inbound window). However, when pci_epc_set_bar() fails, the error path: pci_epc_set_bar() -> pci_epf_free_space() does not clear the previous assignment to epf_test->reg[bar]. Then, if the host reboots, the PERST# deassertion restarts the BAR allocation sequence with the same allocation failure (no free inbound window), creating a double free situation since epf_test->reg[bar] was deallocated and is still non-NULL. Thus, make sure that pci_epf_alloc_space() and pci_epf_free_space() invocations are symmetric, and as such, set epf_test->reg[bar] to NULL when memory is freed. [kwilczynski: commit log] [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Данная компенсирующая мера применима для серверов и изолированных сред, выполняющих роль сетевых хранилищ (NAS), узлов обработки данных или виртуализации, где отсутствует необходимость использования транспортного протокола передачи данных SCTP. Для устранения угрозы эксплуатации уязвимости в таких средах необходимо запретить загрузку модуля sctp.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль sctp в ядро системы, для этого выполнить одну из команд: lsmod | grep sctp или kmod list | grep sctp Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: команда для выгрузки модуля sctp.ko: sudo rmmod sctp 2. Запретить загрузку модулей: от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-sctp.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; добавить в файл строку: install sctp /bin/false сохранить файл. 3. Обновить текущий образ initramfs: sudo update-initramfs -uk all Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/mm: Check return value from memblock_phys_alloc_range() At least with CONFIG_PHYSICAL_START=0x100000, if there is < 4 MiB of contiguous free memory available at this point, the kernel will crash and burn because memblock_phys_alloc_range() returns 0 on failure, which leads memblock_phys_free() to throw the first 4 MiB of physical memory to the wolves. At a minimum it should fail gracefully with a meaningful diagnostic, but in fact everything seems to work fine without the weird reserve allocation. Уязвимость компонента x86/mm ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libnvdimm/labels: Fix divide error in nd_label_data_init() If a faulty CXL memory device returns a broken zero LSA size in its memory device information (Identify Memory Device (Opcode 4000h), CXL spec. 3.1, 8.2.9.9.1.1), a divide error occurs in the libnvdimm driver: Oops: divide error: 0000 [#1] PREEMPT SMP NOPTI RIP: 0010:nd_label_data_init+0x10e/0x800 [libnvdimm] Code and flow: 1) CXL Command 4000h returns LSA size = 0 2) config_size is assigned to zero LSA size (CXL pmem driver): drivers/cxl/pmem.c: .config_size = mds->lsa_size, 3) max_xfer is set to zero (nvdimm driver): drivers/nvdimm/label.c: max_xfer = min_t(size_t, ndd->nsarea.max_xfer, config_size); 4) A subsequent DIV_ROUND_UP() causes a division by zero: drivers/nvdimm/label.c: /* Make our initial read size a multiple of max_xfer size */ drivers/nvdimm/label.c: read_size = min(DIV_ROUND_UP(read_size, max_xfer) * max_xfer, drivers/nvdimm/label.c- config_size); Fix this by checking the config size parameter by extending an existing check. Уязвимость функции nd_label_data_init() компонента drivers/nvdimm/label.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vhost-scsi: protect vq->log_used with vq->mutex The vhost-scsi completion path may access vq->log_base when vq->log_used is already set to false. vhost-thread QEMU-thread vhost_scsi_complete_cmd_work() -> vhost_add_used() -> vhost_add_used_n() if (unlikely(vq->log_used)) QEMU disables vq->log_used via VHOST_SET_VRING_ADDR. mutex_lock(&vq->mutex); vq->log_used = false now! mutex_unlock(&vq->mutex); QEMU gfree(vq->log_base) log_used() -> log_write(vq->log_base) Assuming the VMM is QEMU. The vq->log_base is from QEMU userpace and can be reclaimed via gfree(). As a result, this causes invalid memory writes to QEMU userspace. The control queue path has the same issue. Уязвимость компонента scsi.c операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: target: iscsi: Fix timeout on deleted connection NOPIN response timer may expire on a deleted connection and crash with such logs: Did not receive response to NOPIN on CID: 0, failing connection for I_T Nexus (null),i,0x00023d000125,iqn.2017-01.com.iscsi.target,t,0x3d BUG: Kernel NULL pointer dereference on read at 0x00000000 NIP strlcpy+0x8/0xb0 LR iscsit_fill_cxn_timeout_err_stats+0x5c/0xc0 [iscsi_target_mod] Call Trace: iscsit_handle_nopin_response_timeout+0xfc/0x120 [iscsi_target_mod] call_timer_fn+0x58/0x1f0 run_timer_softirq+0x740/0x860 __do_softirq+0x16c/0x420 irq_exit+0x188/0x1c0 timer_interrupt+0x184/0x410 That is because nopin response timer may be re-started on nopin timer expiration. Stop nopin timer before stopping the nopin response timer to be sure that no one of them will be re-started. Уязвимость компонента iscsi ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86: dell-wmi-sysman: Avoid buffer overflow in current_password_store() If the 'buf' array received from the user contains an empty string, the 'length' variable will be zero. Accessing the 'buf' array element with index 'length - 1' will result in a buffer overflow. Add a check for an empty string. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции current_password_store() драйвера dell-wmi-sysman ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: pcm: Fix race of buffer access at PCM OSS layer The PCM OSS layer tries to clear the buffer with the silence data at initialization (or reconfiguration) of a stream with the explicit call of snd_pcm_format_set_silence() with runtime->dma_area. But this may lead to a UAF because the accessed runtime->dma_area might be freed concurrently, as it's performed outside the PCM ops. For avoiding it, move the code into the PCM core and perform it inside the buffer access lock, so that it won't be changed during the operation. Уязвимость ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: algif_hash - fix double free in hash_accept If accept(2) is called on socket type algif_hash with MSG_MORE flag set and crypto_ahash_import fails, sk2 is freed. However, it is also freed in af_alg_release, leading to slab-use-after-free error. Уязвимость функции hash_accept() компонента crypto/algif_hash.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Increase block_sequence array size [Why] It's possible to generate more than 50 steps in hwss_build_fast_sequence, for example with a 6-pipe asic where all pipes are in one MPC chain. This overflows the block_sequence buffer and corrupts block_sequence_steps, causing a crash. [How] Expand block_sequence to 100 items. A naive upper bound on the possible number of steps for a 6-pipe asic, ignoring the potential for steps to be mutually exclusive, is 91 with current code, therefore 100 is sufficient. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi-rockchip: Fix register out of bounds access Do not write native chip select stuff for GPIO chip selects. GPIOs can be numbered much higher than native CS. Also, it makes no sense. [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gpio: virtuser: fix potential out-of-bound write If the caller wrote more characters, count is truncated to the max available space in "simple_write_to_buffer". Check that the input size does not exceed the buffer size. Write a zero termination afterwards. Уязвимость компонента drivers/gpio/gpio-virtuser.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: prio: fix a race in prio_tune() Gerrard Tai reported a race condition in PRIO, whenever SFQ perturb timer fires at the wrong time. The race is as follows: CPU 0 CPU 1 [1]: lock root [2]: qdisc_tree_flush_backlog() [3]: unlock root | | [5]: lock root | [6]: rehash | [7]: qdisc_tree_reduce_backlog() | [4]: qdisc_put() This can be abused to underflow a parent's qlen. Calling qdisc_purge_queue() instead of qdisc_tree_flush_backlog() should fix the race, because all packets will be purged from the qdisc before releasing the lock. Уязвимость компонента net/sched/sch_prio.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации, нарушить её целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: fix use-after-free in taprio_dev_notifier Since taprio’s taprio_dev_notifier() isn’t protected by an RCU read-side critical section, a race with advance_sched() can lead to a use-after-free. Adding rcu_read_lock() inside taprio_dev_notifier() prevents this. Уязвимость функции taprio_dev_notifier() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/powernv/memtrace: Fix out of bounds issue in memtrace mmap memtrace mmap issue has an out of bounds issue. This patch fixes the by checking that the requested mapping region size should stay within the allocated region size. Уязвимость модуля arch/powerpc/platforms/powernv/memtrace.c ядра операционной системы Linux связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sunrpc: handle SVC_GARBAGE during svc auth processing as auth error tianshuo han reported a remotely-triggerable crash if the client sends a kernel RPC server a specially crafted packet. If decoding the RPC reply fails in such a way that SVC_GARBAGE is returned without setting the rq_accept_statp pointer, then that pointer can be dereferenced and a value stored there. If it's the first time the thread has processed an RPC, then that pointer will be set to NULL and the kernel will crash. In other cases, it could create a memory scribble. The server sunrpc code treats a SVC_GARBAGE return from svc_authenticate or pg_authenticate as if it should send a GARBAGE_ARGS reply. RFC 5531 says that if authentication fails that the RPC should be rejected instead with a status of AUTH_ERR. Handle a SVC_GARBAGE return as an AUTH_ERROR, with a reason of AUTH_BADCRED instead of returning GARBAGE_ARGS in that case. This sidesteps the whole problem of touching the rpc_accept_statp pointer in this situation and avoids the crash. Уязвимость компонента sunrpc ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: check stream id dml21 wrapper to get plane_id [Why & How] Fix a false positive warning which occurs due to lack of correct checks when querying plane_id in DML21. This fixes the warning when performing a mode1 reset (cat /sys/kernel/debug/dri/1/amdgpu_gpu_recover): [ 35.751250] WARNING: CPU: 11 PID: 326 at /tmp/amd.PHpyAl7v/amd/amdgpu/../display/dc/dml2/dml2_dc_resource_mgmt.c:91 dml2_map_dc_pipes+0x243d/0x3f40 [amdgpu] [ 35.751434] Modules linked in: amdgpu(OE) amddrm_ttm_helper(OE) amdttm(OE) amddrm_buddy(OE) amdxcp(OE) amddrm_exec(OE) amd_sched(OE) amdkcl(OE) drm_suballoc_helper drm_ttm_helper ttm drm_display_helper cec rc_core i2c_algo_bit rfcomm qrtr cmac algif_hash algif_skcipher af_alg bnep amd_atl intel_rapl_msr intel_rapl_common snd_hda_codec_hdmi snd_hda_intel edac_mce_amd snd_intel_dspcfg snd_intel_sdw_acpi snd_hda_codec kvm_amd snd_hda_core snd_hwdep snd_pcm kvm snd_seq_midi snd_seq_midi_event snd_rawmidi crct10dif_pclmul polyval_clmulni polyval_generic btusb ghash_clmulni_intel sha256_ssse3 btrtl sha1_ssse3 snd_seq btintel aesni_intel btbcm btmtk snd_seq_device crypto_simd sunrpc cryptd bluetooth snd_timer ccp binfmt_misc rapl snd i2c_piix4 wmi_bmof gigabyte_wmi k10temp i2c_smbus soundcore gpio_amdpt mac_hid sch_fq_codel msr parport_pc ppdev lp parport efi_pstore nfnetlink dmi_sysfs ip_tables x_tables autofs4 hid_generic usbhid hid crc32_pclmul igc ahci xhci_pci libahci xhci_pci_renesas video wmi [ 35.751501] CPU: 11 UID: 0 PID: 326 Comm: kworker/u64:9 Tainted: G OE 6.11.0-21-generic #21~24.04.1-Ubuntu [ 35.751504] Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE [ 35.751505] Hardware name: Gigabyte Technology Co., Ltd. X670E AORUS PRO X/X670E AORUS PRO X, BIOS F30 05/22/2024 [ 35.751506] Workqueue: amdgpu-reset-dev amdgpu_debugfs_reset_work [amdgpu] [ 35.751638] RIP: 0010:dml2_map_dc_pipes+0x243d/0x3f40 [amdgpu] [ 35.751794] Code: 6d 0c 00 00 8b 84 24 88 00 00 00 41 3b 44 9c 20 0f 84 fc 07 00 00 48 83 c3 01 48 83 fb 06 75 b3 4c 8b 64 24 68 4c 8b 6c 24 40 <0f> 0b b8 06 00 00 00 49 8b 94 24 a0 49 00 00 89 c3 83 f8 07 0f 87 [ 35.751796] RSP: 0018:ffffbfa3805d7680 EFLAGS: 00010246 [ 35.751798] RAX: 0000000000010000 RBX: 0000000000000006 RCX: 0000000000000000 [ 35.751799] RDX: 0000000000000000 RSI: 0000000000000005 RDI: 0000000000000000 [ 35.751800] RBP: ffffbfa3805d78f0 R08: 0000000000000000 R09: 0000000000000000 [ 35.751801] R10: 0000000000000000 R11: 0000000000000000 R12: ffffbfa383249000 [ 35.751802] R13: ffffa0e68f280000 R14: ffffbfa383249658 R15: 0000000000000000 [ 35.751803] FS: 0000000000000000(0000) GS:ffffa0edbe580000(0000) knlGS:0000000000000000 [ 35.751804] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 35.751805] CR2: 00005d847ef96c58 CR3: 000000041de3e000 CR4: 0000000000f50ef0 [ 35.751806] PKRU: 55555554 [ 35.751807] Call Trace: [ 35.751810] <TASK> [ 35.751816] ? show_regs+0x6c/0x80 [ 35.751820] ? __warn+0x88/0x140 [ 35.751822] ? dml2_map_dc_pipes+0x243d/0x3f40 [amdgpu] [ 35.751964] ? report_bug+0x182/0x1b0 [ 35.751969] ? handle_bug+0x6e/0xb0 [ 35.751972] ? exc_invalid_op+0x18/0x80 [ 35.751974] ? asm_exc_invalid_op+0x1b/0x20 [ 35.751978] ? dml2_map_dc_pipes+0x243d/0x3f40 [amdgpu] [ 35.752117] ? math_pow+0x48/0xa0 [amdgpu] [ 35.752256] ? srso_alias_return_thunk+0x5/0xfbef5 [ 35.752260] ? math_pow+0x48/0xa0 [amdgpu] [ 35.752400] ? srso_alias_return_thunk+0x5/0xfbef5 [ 35.752403] ? math_pow+0x11/0xa0 [amdgpu] [ 35.752524] ? srso_alias_return_thunk+0x5/0xfbef5 [ 35.752526] ? core_dcn4_mode_programming+0xe4d/0x20d0 [amdgpu] [ 35.752663] ? srso_alias_return_thunk+0x5/0xfbef5 [ 35.752669] dml21_validate+0x3d4/0x980 [amdgpu] (cherry picked from commit f8ad62c0a93e5dd94243e10f1b742232e4d6411e) Уязвимость компонента AMD Display ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: use list_first_entry_or_null for opinfo_get_list() The list_first_entry() macro never returns NULL. If the list is empty then it returns an invalid pointer. Use list_first_entry_or_null() to check if the list is empty. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arm64: dts: qcom: x1e80100: Add GPU cooling Unlike the CPU, the GPU does not throttle its speed automatically when it reaches high temperatures. With certain high GPU loads it is possible to reach the critical hardware shutdown temperature of 120°C, endangering the hardware and making it impossible to run certain applications. Set up GPU cooling similar to the ACPI tables, by throttling the GPU speed when reaching 95°C and polling every 200ms. Уязвимость модуля arch/arm64/boot/dts/qcom/x1e80100.dtsi ядра операционной системы Linux связана с недостаточной проверкой исключительных состояний. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: cadence: macb: Fix a possible deadlock in macb_halt_tx. There is a situation where after THALT is set high, TGO stays high as well. Because jiffies are never updated, as we are in a context with interrupts disabled, we never exit that loop and have a deadlock. That deadlock was noticed on a sama5d4 device that stayed locked for days. Use retries instead of jiffies so that the timeout really works and we do not have a deadlock anymore. Уязвимость функции macb_halt_tx() ядра операционной системы Linux связана с взаимной блокировкой потоков выполнения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dma-buf: insert memory barrier before updating num_fences smp_store_mb() inserts memory barrier after storing operation. It is different with what the comment is originally aiming so Null pointer dereference can be happened if memory update is reordered. Уязвимость функции smp_store_mb() компонента dma-buf ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: don't warn when if there is a FW error iwl_trans_reclaim is warning if it is called when the FW is not alive. But if it is called when there is a pending restart, i.e. after a FW error, there is no need to warn, instead - return silently. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: espintcp: remove encap socket caching to avoid reference leak The current scheme for caching the encap socket can lead to reference leaks when we try to delete the netns. The reference chain is: xfrm_state -> enacp_sk -> netns Since the encap socket is a userspace socket, it holds a reference on the netns. If we delete the espintcp state (through flush or individual delete) before removing the netns, the reference on the socket is dropped and the netns is correctly deleted. Otherwise, the netns may not be reachable anymore (if all processes within the ns have terminated), so we cannot delete the xfrm state to drop its reference on the socket. This patch results in a small (~2% in my tests) performance regression. A GC-type mechanism could be added for the socket cache, to clear references if the state hasn't been used "recently", but it's a lot more complex than just not caching the socket. Уязвимость компонента espintcp ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Don't treat wb connector as physical in create_validate_stream_for_sink Don't try to operate on a drm_wb_connector as an amdgpu_dm_connector. While dereferencing aconnector->base will "work" it's wrong and might lead to unknown bad things. Just... don't. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Disable SCO support if READ_VOICE_SETTING is unsupported/broken A SCO connection without the proper voice_setting can cause the controller to lock up. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/iopl: Cure TIF_IO_BITMAP inconsistencies io_bitmap_exit() is invoked from exit_thread() when a task exists or when a fork fails. In the latter case the exit_thread() cleans up resources which were allocated during fork(). io_bitmap_exit() invokes task_update_io_bitmap(), which in turn ends up in tss_update_io_bitmap(). tss_update_io_bitmap() operates on the current task. If current has TIF_IO_BITMAP set, but no bitmap installed, tss_update_io_bitmap() crashes with a NULL pointer dereference. There are two issues, which lead to that problem: 1) io_bitmap_exit() should not invoke task_update_io_bitmap() when the task, which is cleaned up, is not the current task. That's a clear indicator for a cleanup after a failed fork(). 2) A task should not have TIF_IO_BITMAP set and neither a bitmap installed nor IOPL emulation level 3 activated. This happens when a kernel thread is created in the context of a user space thread, which has TIF_IO_BITMAP set as the thread flags are copied and the IO bitmap pointer is cleared. Other than in the failed fork() case this has no impact because kernel threads including IO workers never return to user space and therefore never invoke tss_update_io_bitmap(). Cure this by adding the missing cleanups and checks: 1) Prevent io_bitmap_exit() to invoke task_update_io_bitmap() if the to be cleaned up task is not the current task. 2) Clear TIF_IO_BITMAP in copy_thread() unconditionally. For user space forks it is set later, when the IO bitmap is inherited in io_bitmap_share(). For paranoia sake, add a warning into tss_update_io_bitmap() to catch the case, when that code is invoked with inconsistent state. Уязвимость функции io_bitmap_exit() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ring-buffer: Fix buffer locking in ring_buffer_subbuf_order_set() Enlarge the critical section in ring_buffer_subbuf_order_set() to ensure that error handling takes place with per-buffer mutex held, thus preventing list corruption and other concurrency-related issues. Уязвимость функций ring_buffer_subbuf_order_set(), atomic_dec() ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: VMCI: fix race between vmci_host_setup_notify and vmci_ctx_unset_notify During our test, it is found that a warning can be trigger in try_grab_folio as follow: ------------[ cut here ]------------ WARNING: CPU: 0 PID: 1678 at mm/gup.c:147 try_grab_folio+0x106/0x130 Modules linked in: CPU: 0 UID: 0 PID: 1678 Comm: syz.3.31 Not tainted 6.15.0-rc5 #163 PREEMPT(undef) RIP: 0010:try_grab_folio+0x106/0x130 Call Trace: <TASK> follow_huge_pmd+0x240/0x8e0 follow_pmd_mask.constprop.0.isra.0+0x40b/0x5c0 follow_pud_mask.constprop.0.isra.0+0x14a/0x170 follow_page_mask+0x1c2/0x1f0 __get_user_pages+0x176/0x950 __gup_longterm_locked+0x15b/0x1060 ? gup_fast+0x120/0x1f0 gup_fast_fallback+0x17e/0x230 get_user_pages_fast+0x5f/0x80 vmci_host_unlocked_ioctl+0x21c/0xf80 RIP: 0033:0x54d2cd ---[ end trace 0000000000000000 ]--- Digging into the source, context->notify_page may init by get_user_pages_fast and can be seen in vmci_ctx_unset_notify which will try to put_page. However get_user_pages_fast is not finished here and lead to following try_grab_folio warning. The race condition is shown as follow: cpu0 cpu1 vmci_host_do_set_notify vmci_host_setup_notify get_user_pages_fast(uva, 1, FOLL_WRITE, &context->notify_page); lockless_pages_from_mm gup_pgd_range gup_huge_pmd // update &context->notify_page vmci_host_do_set_notify vmci_ctx_unset_notify notify_page = context->notify_page; if (notify_page) put_page(notify_page); // page is freed __gup_longterm_locked __get_user_pages follow_trans_huge_pmd try_grab_folio // warn here To slove this, use local variable page to make notify_page can be seen after finish get_user_pages_fast. Уязвимость компонента vmci_host.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: usbhid: Eliminate recurrent out-of-bounds bug in usbhid_parse() Update struct hid_descriptor to better reflect the mandatory and optional parts of the HID Descriptor as per USB HID 1.11 specification. Note: the kernel currently does not parse any optional HID class descriptors, only the mandatory report descriptor. Update all references to member element desc[0] to rpt_desc. Add test to verify bLength and bNumDescriptors values are valid. Replace the for loop with direct access to the mandatory HID class descriptor member for the report descriptor. This eliminates the possibility of getting an out-of-bounds fault. Add a warning message if the HID descriptor contains any unsupported optional HID class descriptors. Уязвимость компонентов usbhid ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring: fix use-after-free of sq->thread in __io_uring_show_fdinfo() syzbot reports: BUG: KASAN: slab-use-after-free in getrusage+0x1109/0x1a60 Read of size 8 at addr ffff88810de2d2c8 by task a.out/304 CPU: 0 UID: 0 PID: 304 Comm: a.out Not tainted 6.16.0-rc1 #1 PREEMPT(voluntary) Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x53/0x70 print_report+0xd0/0x670 ? __pfx__raw_spin_lock_irqsave+0x10/0x10 ? getrusage+0x1109/0x1a60 kasan_report+0xce/0x100 ? getrusage+0x1109/0x1a60 getrusage+0x1109/0x1a60 ? __pfx_getrusage+0x10/0x10 __io_uring_show_fdinfo+0x9fe/0x1790 ? ksys_read+0xf7/0x1c0 ? do_syscall_64+0xa4/0x260 ? vsnprintf+0x591/0x1100 ? __pfx___io_uring_show_fdinfo+0x10/0x10 ? __pfx_vsnprintf+0x10/0x10 ? mutex_trylock+0xcf/0x130 ? __pfx_mutex_trylock+0x10/0x10 ? __pfx_show_fd_locks+0x10/0x10 ? io_uring_show_fdinfo+0x57/0x80 io_uring_show_fdinfo+0x57/0x80 seq_show+0x38c/0x690 seq_read_iter+0x3f7/0x1180 ? inode_set_ctime_current+0x160/0x4b0 seq_read+0x271/0x3e0 ? __pfx_seq_read+0x10/0x10 ? __pfx__raw_spin_lock+0x10/0x10 ? __mark_inode_dirty+0x402/0x810 ? selinux_file_permission+0x368/0x500 ? file_update_time+0x10f/0x160 vfs_read+0x177/0xa40 ? __pfx___handle_mm_fault+0x10/0x10 ? __pfx_vfs_read+0x10/0x10 ? mutex_lock+0x81/0xe0 ? __pfx_mutex_lock+0x10/0x10 ? fdget_pos+0x24d/0x4b0 ksys_read+0xf7/0x1c0 ? __pfx_ksys_read+0x10/0x10 ? do_user_addr_fault+0x43b/0x9c0 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f0f74170fc9 Code: 00 c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 44 00 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 8 RSP: 002b:00007fffece049e8 EFLAGS: 00000206 ORIG_RAX: 0000000000000000 RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007f0f74170fc9 RDX: 0000000000001000 RSI: 00007fffece049f0 RDI: 0000000000000004 RBP: 00007fffece05ad0 R08: 0000000000000000 R09: 00007fffece04d90 R10: 0000000000000000 R11: 0000000000000206 R12: 00005651720a1100 R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 </TASK> Allocated by task 298: kasan_save_stack+0x33/0x60 kasan_save_track+0x14/0x30 __kasan_slab_alloc+0x6e/0x70 kmem_cache_alloc_node_noprof+0xe8/0x330 copy_process+0x376/0x5e00 create_io_thread+0xab/0xf0 io_sq_offload_create+0x9ed/0xf20 io_uring_setup+0x12b0/0x1cc0 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 22: kasan_save_stack+0x33/0x60 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3b/0x60 __kasan_slab_free+0x37/0x50 kmem_cache_free+0xc4/0x360 rcu_core+0x5ff/0x19f0 handle_softirqs+0x18c/0x530 run_ksoftirqd+0x20/0x30 smpboot_thread_fn+0x287/0x6c0 kthread+0x30d/0x630 ret_from_fork+0xef/0x1a0 ret_from_fork_asm+0x1a/0x30 Last potentially related work creation: kasan_save_stack+0x33/0x60 kasan_record_aux_stack+0x8c/0xa0 __call_rcu_common.constprop.0+0x68/0x940 __schedule+0xff2/0x2930 __cond_resched+0x4c/0x80 mutex_lock+0x5c/0xe0 io_uring_del_tctx_node+0xe1/0x2b0 io_uring_clean_tctx+0xb7/0x160 io_uring_cancel_generic+0x34e/0x760 do_exit+0x240/0x2350 do_group_exit+0xab/0x220 __x64_sys_exit_group+0x39/0x40 x64_sys_call+0x1243/0x1840 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x77/0x7f The buggy address belongs to the object at ffff88810de2cb00 which belongs to the cache task_struct of size 3712 The buggy address is located 1992 bytes inside of freed 3712-byte region [ffff88810de2cb00, ffff88810de2d980) which is caused by the task_struct pointed to by sq->thread being released while it is being used in the function __io_uring_show_fdinfo(). Holding ctx->uring_lock does not prevent ehre relase or exit of sq->thread. Fix this by assigning and looking up ->thread under RCU, and grabbing a reference to the task_struct. This e ---truncated--- Уязвимость функции __io_uring_show_fdinfo() компонента io_uring ядра операционных систем Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: ets: fix a race in ets_qdisc_change() Gerrard Tai reported a race condition in ETS, whenever SFQ perturb timer fires at the wrong time. The race is as follows: CPU 0 CPU 1 [1]: lock root [2]: qdisc_tree_flush_backlog() [3]: unlock root | | [5]: lock root | [6]: rehash | [7]: qdisc_tree_reduce_backlog() | [4]: qdisc_put() This can be abused to underflow a parent's qlen. Calling qdisc_purge_queue() instead of qdisc_tree_flush_backlog() should fix the race, because all packets will be purged from the qdisc before releasing the lock. Уязвимость компонента sch_ets.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: red: fix a race in __red_change() Gerrard Tai reported a race condition in RED, whenever SFQ perturb timer fires at the wrong time. The race is as follows: CPU 0 CPU 1 [1]: lock root [2]: qdisc_tree_flush_backlog() [3]: unlock root | | [5]: lock root | [6]: rehash | [7]: qdisc_tree_reduce_backlog() | [4]: qdisc_put() This can be abused to underflow a parent's qlen. Calling qdisc_purge_queue() instead of qdisc_tree_flush_backlog() should fix the race, because all packets will be purged from the qdisc before releasing the lock. Уязвимость компонента sch_ets.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Fix ECVF vports unload on shutdown flow Fix shutdown flow UAF when a virtual function is created on the embedded chip (ECVF) of a BlueField device. In such case the vport acl ingress table is not properly destroyed. ECVF functionality is independent of ecpf_vport_exists capability and thus functions mlx5_eswitch_(enable|disable)_pf_vf_vports() should not test it when enabling/disabling ECVF vports. kernel log: [] refcount_t: underflow; use-after-free. [] WARNING: CPU: 3 PID: 1 at lib/refcount.c:28 refcount_warn_saturate+0x124/0x220 ---------------- [] Call trace: [] refcount_warn_saturate+0x124/0x220 [] tree_put_node+0x164/0x1e0 [mlx5_core] [] mlx5_destroy_flow_table+0x98/0x2c0 [mlx5_core] [] esw_acl_ingress_table_destroy+0x28/0x40 [mlx5_core] [] esw_acl_ingress_lgcy_cleanup+0x80/0xf4 [mlx5_core] [] esw_legacy_vport_acl_cleanup+0x44/0x60 [mlx5_core] [] esw_vport_cleanup+0x64/0x90 [mlx5_core] [] mlx5_esw_vport_disable+0xc0/0x1d0 [mlx5_core] [] mlx5_eswitch_unload_ec_vf_vports+0xcc/0x150 [mlx5_core] [] mlx5_eswitch_disable_sriov+0x198/0x2a0 [mlx5_core] [] mlx5_device_disable_sriov+0xb8/0x1e0 [mlx5_core] [] mlx5_sriov_detach+0x40/0x50 [mlx5_core] [] mlx5_unload+0x40/0xc4 [mlx5_core] [] mlx5_unload_one_devl_locked+0x6c/0xe4 [mlx5_core] [] mlx5_unload_one+0x3c/0x60 [mlx5_core] [] shutdown+0x7c/0xa4 [mlx5_core] [] pci_device_shutdown+0x3c/0xa0 [] device_shutdown+0x170/0x340 [] __do_sys_reboot+0x1f4/0x2a0 [] __arm64_sys_reboot+0x2c/0x40 [] invoke_syscall+0x78/0x100 [] el0_svc_common.constprop.0+0x54/0x184 [] do_el0_svc+0x30/0xac [] el0_svc+0x48/0x160 [] el0t_64_sync_handler+0xa4/0x12c [] el0t_64_sync+0x1a4/0x1a8 [] --[ end trace 9c4601d68c70030e ]--- Уязвимость функции _pf_vf_vports() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mdiobus: Fix potential out-of-bounds clause 45 read/write access When using publicly available tools like 'mdio-tools' to read/write data from/to network interface and its PHY via C45 (clause 45) mdiobus, there is no verification of parameters passed to the ioctl and it accepts any mdio address. Currently there is support for 32 addresses in kernel via PHY_MAX_ADDR define, but it is possible to pass higher value than that via ioctl. While read/write operation should generally fail in this case, mdiobus provides stats array, where wrong address may allow out-of-bounds read/write. Fix that by adding address verification before C45 read/write operation. While this excludes this access from any statistics, it improves security of read/write operation. Уязвимость компонента mdiobus ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mdiobus: Fix potential out-of-bounds read/write access When using publicly available tools like 'mdio-tools' to read/write data from/to network interface and its PHY via mdiobus, there is no verification of parameters passed to the ioctl and it accepts any mdio address. Currently there is support for 32 addresses in kernel via PHY_MAX_ADDR define, but it is possible to pass higher value than that via ioctl. While read/write operation should generally fail in this case, mdiobus provides stats array, where wrong address may allow out-of-bounds read/write. Fix that by adding address verification before read/write operation. While this excludes this access from any statistics, it improves security of read/write operation. Уязвимость компонента mdio_bus.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: Fix TOCTOU issue in sk_is_readable() sk->sk_prot->sock_is_readable is a valid function pointer when sk resides in a sockmap. After the last sk_psock_put() (which usually happens when socket is removed from sockmap), sk->sk_prot gets restored and sk->sk_prot->sock_is_readable becomes NULL. This makes sk_is_readable() racy, if the value of sk->sk_prot is reloaded after the initial check. Which in turn may lead to a null pointer dereference. Ensure the function pointer does not turn NULL after the check. Уязвимость компонента sock.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPI: CPPC: Fix NULL pointer dereference when nosmp is used With nosmp in cmdline, other CPUs are not brought up, leaving their cpc_desc_ptr NULL. CPU0's iteration via for_each_possible_cpu() dereferences these NULL pointers, causing panic. Panic backtrace: [ 0.401123] Unable to handle kernel NULL pointer dereference at virtual address 00000000000000b8 ... [ 0.403255] [<ffffffff809a5818>] cppc_allow_fast_switch+0x6a/0xd4 ... Kernel panic - not syncing: Attempted to kill init! [ rjw: New subject ] Уязвимость компонента cppc_acpi.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net_sched: sch_sfq: fix a potential crash on gso_skb handling SFQ has an assumption of always being able to queue at least one packet. However, after the blamed commit, sch->q.len can be inflated by packets in sch->gso_skb, and an enqueue() on an empty SFQ qdisc can be followed by an immediate drop. Fix sfq_drop() to properly clear q->tail in this situation. ip netns add lb ip link add dev to-lb type veth peer name in-lb netns lb ethtool -K to-lb tso off # force qdisc to requeue gso_skb ip netns exec lb ethtool -K in-lb gro on # enable NAPI ip link set dev to-lb up ip -netns lb link set dev in-lb up ip addr add dev to-lb 192.168.20.1/24 ip -netns lb addr add dev in-lb 192.168.20.2/24 tc qdisc replace dev to-lb root sfq limit 100 ip netns exec lb netserver netperf -H 192.168.20.2 -l 100 & netperf -H 192.168.20.2 -l 100 & netperf -H 192.168.20.2 -l 100 & netperf -H 192.168.20.2 -l 100 & Уязвимость компонента sch_sfq.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: Protect mgmt_pending list with its own lock This uses a mutex to protect from concurrent access of mgmt_pending list which can cause crashes like: ================================================================== BUG: KASAN: slab-use-after-free in hci_sock_get_channel+0x60/0x68 net/bluetooth/hci_sock.c:91 Read of size 2 at addr ffff0000c48885b2 by task syz.4.334/7318 CPU: 0 UID: 0 PID: 7318 Comm: syz.4.334 Not tainted 6.15.0-rc7-syzkaller-g187899f4124a #0 PREEMPT Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 Call trace: show_stack+0x2c/0x3c arch/arm64/kernel/stacktrace.c:466 (C) __dump_stack+0x30/0x40 lib/dump_stack.c:94 dump_stack_lvl+0xd8/0x12c lib/dump_stack.c:120 print_address_description+0xa8/0x254 mm/kasan/report.c:408 print_report+0x68/0x84 mm/kasan/report.c:521 kasan_report+0xb0/0x110 mm/kasan/report.c:634 __asan_report_load2_noabort+0x20/0x2c mm/kasan/report_generic.c:379 hci_sock_get_channel+0x60/0x68 net/bluetooth/hci_sock.c:91 mgmt_pending_find+0x7c/0x140 net/bluetooth/mgmt_util.c:223 pending_find net/bluetooth/mgmt.c:947 [inline] remove_adv_monitor+0x44/0x1a4 net/bluetooth/mgmt.c:5445 hci_mgmt_cmd+0x780/0xc00 net/bluetooth/hci_sock.c:1712 hci_sock_sendmsg+0x544/0xbb0 net/bluetooth/hci_sock.c:1832 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg net/socket.c:727 [inline] sock_write_iter+0x25c/0x378 net/socket.c:1131 new_sync_write fs/read_write.c:591 [inline] vfs_write+0x62c/0x97c fs/read_write.c:684 ksys_write+0x120/0x210 fs/read_write.c:736 __do_sys_write fs/read_write.c:747 [inline] __se_sys_write fs/read_write.c:744 [inline] __arm64_sys_write+0x7c/0x90 fs/read_write.c:744 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x98/0x2b8 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x130/0x23c arch/arm64/kernel/syscall.c:132 do_el0_svc+0x48/0x58 arch/arm64/kernel/syscall.c:151 el0_svc+0x58/0x17c arch/arm64/kernel/entry-common.c:767 el0t_64_sync_handler+0x78/0x108 arch/arm64/kernel/entry-common.c:786 el0t_64_sync+0x198/0x19c arch/arm64/kernel/entry.S:600 Allocated by task 7037: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x40/0x78 mm/kasan/common.c:68 kasan_save_alloc_info+0x44/0x54 mm/kasan/generic.c:562 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0x9c/0xb4 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4327 [inline] __kmalloc_noprof+0x2fc/0x4c8 mm/slub.c:4339 kmalloc_noprof include/linux/slab.h:909 [inline] sk_prot_alloc+0xc4/0x1f0 net/core/sock.c:2198 sk_alloc+0x44/0x3ac net/core/sock.c:2254 bt_sock_alloc+0x4c/0x300 net/bluetooth/af_bluetooth.c:148 hci_sock_create+0xa8/0x194 net/bluetooth/hci_sock.c:2202 bt_sock_create+0x14c/0x24c net/bluetooth/af_bluetooth.c:132 __sock_create+0x43c/0x91c net/socket.c:1541 sock_create net/socket.c:1599 [inline] __sys_socket_create net/socket.c:1636 [inline] __sys_socket+0xd4/0x1c0 net/socket.c:1683 __do_sys_socket net/socket.c:1697 [inline] __se_sys_socket net/socket.c:1695 [inline] __arm64_sys_socket+0x7c/0x94 net/socket.c:1695 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x98/0x2b8 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x130/0x23c arch/arm64/kernel/syscall.c:132 do_el0_svc+0x48/0x58 arch/arm64/kernel/syscall.c:151 el0_svc+0x58/0x17c arch/arm64/kernel/entry-common.c:767 el0t_64_sync_handler+0x78/0x108 arch/arm64/kernel/entry-common.c:786 el0t_64_sync+0x198/0x19c arch/arm64/kernel/entry.S:600 Freed by task 6607: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x40/0x78 mm/kasan/common.c:68 kasan_save_free_info+0x58/0x70 mm/kasan/generic.c:576 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x68/0x88 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:233 [inline ---truncated--- [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: Fix UAF on mgmt_remove_adv_monitor_complete This reworks MGMT_OP_REMOVE_ADV_MONITOR to not use mgmt_pending_add to avoid crashes like bellow: ================================================================== BUG: KASAN: slab-use-after-free in mgmt_remove_adv_monitor_complete+0xe5/0x540 net/bluetooth/mgmt.c:5406 Read of size 8 at addr ffff88801c53f318 by task kworker/u5:5/5341 CPU: 0 UID: 0 PID: 5341 Comm: kworker/u5:5 Not tainted 6.15.0-syzkaller-10402-g4cb6c8af8591 #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Workqueue: hci0 hci_cmd_sync_work Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xd2/0x2b0 mm/kasan/report.c:521 kasan_report+0x118/0x150 mm/kasan/report.c:634 mgmt_remove_adv_monitor_complete+0xe5/0x540 net/bluetooth/mgmt.c:5406 hci_cmd_sync_work+0x261/0x3a0 net/bluetooth/hci_sync.c:334 process_one_work kernel/workqueue.c:3238 [inline] process_scheduled_works+0xade/0x17b0 kernel/workqueue.c:3321 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3402 kthread+0x711/0x8a0 kernel/kthread.c:464 ret_from_fork+0x3fc/0x770 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> Allocated by task 5987: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0x93/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __kmalloc_cache_noprof+0x230/0x3d0 mm/slub.c:4358 kmalloc_noprof include/linux/slab.h:905 [inline] kzalloc_noprof include/linux/slab.h:1039 [inline] mgmt_pending_new+0x65/0x240 net/bluetooth/mgmt_util.c:252 mgmt_pending_add+0x34/0x120 net/bluetooth/mgmt_util.c:279 remove_adv_monitor+0x103/0x1b0 net/bluetooth/mgmt.c:5454 hci_mgmt_cmd+0x9c9/0xef0 net/bluetooth/hci_sock.c:1719 hci_sock_sendmsg+0x6ca/0xef0 net/bluetooth/hci_sock.c:1839 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x219/0x270 net/socket.c:727 sock_write_iter+0x258/0x330 net/socket.c:1131 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x548/0xa90 fs/read_write.c:686 ksys_write+0x145/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 5989: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x46/0x50 mm/kasan/generic.c:576 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x62/0x70 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2380 [inline] slab_free mm/slub.c:4642 [inline] kfree+0x18e/0x440 mm/slub.c:4841 mgmt_pending_foreach+0xc9/0x120 net/bluetooth/mgmt_util.c:242 mgmt_index_removed+0x10d/0x2f0 net/bluetooth/mgmt.c:9366 hci_sock_bind+0xbe9/0x1000 net/bluetooth/hci_sock.c:1314 __sys_bind_socket net/socket.c:1810 [inline] __sys_bind+0x2c3/0x3e0 net/socket.c:1841 __do_sys_bind net/socket.c:1846 [inline] __se_sys_bind net/socket.c:1844 [inline] __x64_sys_bind+0x7a/0x90 net/socket.c:1844 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции mgmt_remove_adv_monitor_complete() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: core: ufs: Fix a hang in the error handler ufshcd_err_handling_prepare() calls ufshcd_rpm_get_sync(). The latter function can only succeed if UFSHCD_EH_IN_PROGRESS is not set because resuming involves submitting a SCSI command and ufshcd_queuecommand() returns SCSI_MLQUEUE_HOST_BUSY if UFSHCD_EH_IN_PROGRESS is set. Fix this hang by setting UFSHCD_EH_IN_PROGRESS after ufshcd_rpm_get_sync() has been called instead of before. Backtrace: __switch_to+0x174/0x338 __schedule+0x600/0x9e4 schedule+0x7c/0xe8 schedule_timeout+0xa4/0x1c8 io_schedule_timeout+0x48/0x70 wait_for_common_io+0xa8/0x160 //waiting on START_STOP wait_for_completion_io_timeout+0x10/0x20 blk_execute_rq+0xe4/0x1e4 scsi_execute_cmd+0x108/0x244 ufshcd_set_dev_pwr_mode+0xe8/0x250 __ufshcd_wl_resume+0x94/0x354 ufshcd_wl_runtime_resume+0x3c/0x174 scsi_runtime_resume+0x64/0xa4 rpm_resume+0x15c/0xa1c __pm_runtime_resume+0x4c/0x90 // Runtime resume ongoing ufshcd_err_handler+0x1a0/0xd08 process_one_work+0x174/0x808 worker_thread+0x15c/0x490 kthread+0xf4/0x1ec ret_from_fork+0x10/0x20 [ bvanassche: rewrote patch description ] Уязвимость функции ufshcd_err_handling_prepare ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_set_pipapo_avx2: fix initial map fill If the first field doesn't cover the entire start map, then we must zero out the remainder, else we leak those bits into the next match round map. The early fix was incomplete and did only fix up the generic C implementation. A followup patch adds a test case to nft_concat_range.sh. Уязвимость компонента nft_set_pipapo_avx2.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L', score=9.4) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gve: add missing NULL check for gve_alloc_pending_packet() in TX DQO gve_alloc_pending_packet() can return NULL, but gve_tx_add_skb_dqo() did not check for this case before dereferencing the returned pointer. Add a missing NULL check to prevent a potential NULL pointer dereference when allocation fails. This improves robustness in low-memory scenarios. Уязвимость функции gve_alloc_pending_packet() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: wwan: t7xx: Fix napi rx poll issue When driver handles the napi rx polling requests, the netdev might have been released by the dellink logic triggered by the disconnect operation on user plane. However, in the logic of processing skb in polling, an invalid netdev is still being used, which causes a panic. BUG: kernel NULL pointer dereference, address: 00000000000000f1 Oops: 0000 [#1] PREEMPT SMP NOPTI RIP: 0010:dev_gro_receive+0x3a/0x620 [...] Call Trace: <IRQ> ? __die_body+0x68/0xb0 ? page_fault_oops+0x379/0x3e0 ? exc_page_fault+0x4f/0xa0 ? asm_exc_page_fault+0x22/0x30 ? __pfx_t7xx_ccmni_recv_skb+0x10/0x10 [mtk_t7xx (HASH:1400 7)] ? dev_gro_receive+0x3a/0x620 napi_gro_receive+0xad/0x170 t7xx_ccmni_recv_skb+0x48/0x70 [mtk_t7xx (HASH:1400 7)] t7xx_dpmaif_napi_rx_poll+0x590/0x800 [mtk_t7xx (HASH:1400 7)] net_rx_action+0x103/0x470 irq_exit_rcu+0x13a/0x310 sysvec_apic_timer_interrupt+0x56/0x90 </IRQ> Уязвимость модуля drivers/net/wwan/t7xx/t7xx_netdev.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fix udp gso skb_segment after pull from frag_list Commit a1e40ac5b5e9 ("net: gso: fix udp gso fraglist segmentation after pull from frag_list") detected invalid geometry in frag_list skbs and redirects them from skb_segment_list to more robust skb_segment. But some packets with modified geometry can also hit bugs in that code. We don't know how many such cases exist. Addressing each one by one also requires touching the complex skb_segment code, which risks introducing bugs for other types of skbs. Instead, linearize all these packets that fail the basic invariants on gso fraglist skbs. That is more robust. If only part of the fraglist payload is pulled into head_skb, it will always cause exception when splitting skbs by skb_segment. For detailed call stack information, see below. Valid SKB_GSO_FRAGLIST skbs - consist of two or more segments - the head_skb holds the protocol headers plus first gso_size - one or more frag_list skbs hold exactly one segment - all but the last must be gso_size Optional datapath hooks such as NAT and BPF (bpf_skb_pull_data) can modify fraglist skbs, breaking these invariants. In extreme cases they pull one part of data into skb linear. For UDP, this causes three payloads with lengths of (11,11,10) bytes were pulled tail to become (12,10,10) bytes. The skbs no longer meets the above SKB_GSO_FRAGLIST conditions because payload was pulled into head_skb, it needs to be linearized before pass to regular skb_segment. skb_segment+0xcd0/0xd14 __udp_gso_segment+0x334/0x5f4 udp4_ufo_fragment+0x118/0x15c inet_gso_segment+0x164/0x338 skb_mac_gso_segment+0xc4/0x13c __skb_gso_segment+0xc4/0x124 validate_xmit_skb+0x9c/0x2c0 validate_xmit_skb_list+0x4c/0x80 sch_direct_xmit+0x70/0x404 __dev_queue_xmit+0x64c/0xe5c neigh_resolve_output+0x178/0x1c4 ip_finish_output2+0x37c/0x47c __ip_finish_output+0x194/0x240 ip_finish_output+0x20/0xf4 ip_output+0x100/0x1a0 NF_HOOK+0xc4/0x16c ip_forward+0x314/0x32c ip_rcv+0x90/0x118 __netif_receive_skb+0x74/0x124 process_backlog+0xe8/0x1a4 __napi_poll+0x5c/0x1f8 net_rx_action+0x154/0x314 handle_softirqs+0x154/0x4b8 [118.376811] [C201134] rxq0_pus: [name:bug&]kernel BUG at net/core/skbuff.c:4278! [118.376829] [C201134] rxq0_pus: [name:traps&]Internal error: Oops - BUG: 00000000f2000800 [#1] PREEMPT SMP [118.470774] [C201134] rxq0_pus: [name:mrdump&]Kernel Offset: 0x178cc00000 from 0xffffffc008000000 [118.470810] [C201134] rxq0_pus: [name:mrdump&]PHYS_OFFSET: 0x40000000 [118.470827] [C201134] rxq0_pus: [name:mrdump&]pstate: 60400005 (nZCv daif +PAN -UAO) [118.470848] [C201134] rxq0_pus: [name:mrdump&]pc : [0xffffffd79598aefc] skb_segment+0xcd0/0xd14 [118.470900] [C201134] rxq0_pus: [name:mrdump&]lr : [0xffffffd79598a5e8] skb_segment+0x3bc/0xd14 [118.470928] [C201134] rxq0_pus: [name:mrdump&]sp : ffffffc008013770 Уязвимость модуля net/ipv4/udp_offload.c ядра операционной системы Linux связана с некорректным преобразованием типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: stmmac: make sure that ptp_rate is not 0 before configuring EST If the ptp_rate recorded earlier in the driver happens to be 0, this bogus value will propagate up to EST configuration, where it will trigger a division by 0. Prevent this division by 0 by adding the corresponding check and error code. Уязвимость функции ptp_rate() ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: stmmac: make sure that ptp_rate is not 0 before configuring timestamping The stmmac platform drivers that do not open-code the clk_ptp_rate value after having retrieved the default one from the device-tree can end up with 0 in clk_ptp_rate (as clk_get_rate can return 0). It will eventually propagate up to PTP initialization when bringing up the interface, leading to a divide by 0: Division by zero in kernel. CPU: 1 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.12.30-00001-g48313bd5768a #22 Hardware name: STM32 (Device Tree Support) Call trace: unwind_backtrace from show_stack+0x18/0x1c show_stack from dump_stack_lvl+0x6c/0x8c dump_stack_lvl from Ldiv0_64+0x8/0x18 Ldiv0_64 from stmmac_init_tstamp_counter+0x190/0x1a4 stmmac_init_tstamp_counter from stmmac_hw_setup+0xc1c/0x111c stmmac_hw_setup from __stmmac_open+0x18c/0x434 __stmmac_open from stmmac_open+0x3c/0xbc stmmac_open from __dev_open+0xf4/0x1ac __dev_open from __dev_change_flags+0x1cc/0x224 __dev_change_flags from dev_change_flags+0x24/0x60 dev_change_flags from ip_auto_config+0x2e8/0x11a0 ip_auto_config from do_one_initcall+0x84/0x33c do_one_initcall from kernel_init_freeable+0x1b8/0x214 kernel_init_freeable from kernel_init+0x24/0x140 kernel_init from ret_from_fork+0x14/0x28 Exception stack(0xe0815fb0 to 0xe0815ff8) Prevent this division by 0 by adding an explicit check and error log about the actual issue. While at it, remove the same check from stmmac_ptp_register, which then becomes duplicate Уязвимость модулей drivers/net/ethernet/stmicro/stmmac/stmmac_main.c и drivers/net/ethernet/stmicro/stmmac/stmmac_ptp.c ядра операционной системы Linux связана с ошибками деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ice: fix Tx scheduler error handling in XDP callback When the XDP program is loaded, the XDP callback adds new Tx queues. This means that the callback must update the Tx scheduler with the new queue number. In the event of a Tx scheduler failure, the XDP callback should also fail and roll back any changes previously made for XDP preparation. The previous implementation had a bug that not all changes made by the XDP callback were rolled back. This caused the crash with the following call trace: [ +9.549584] ice 0000:ca:00.0: Failed VSI LAN queue config for XDP, error: -5 [ +0.382335] Oops: general protection fault, probably for non-canonical address 0x50a2250a90495525: 0000 [#1] SMP NOPTI [ +0.010710] CPU: 103 UID: 0 PID: 0 Comm: swapper/103 Not tainted 6.14.0-net-next-mar-31+ #14 PREEMPT(voluntary) [ +0.010175] Hardware name: Intel Corporation M50CYP2SBSTD/M50CYP2SBSTD, BIOS SE5C620.86B.01.01.0005.2202160810 02/16/2022 [ +0.010946] RIP: 0010:__ice_update_sample+0x39/0xe0 [ice] [...] [ +0.002715] Call Trace: [ +0.002452] <IRQ> [ +0.002021] ? __die_body.cold+0x19/0x29 [ +0.003922] ? die_addr+0x3c/0x60 [ +0.003319] ? exc_general_protection+0x17c/0x400 [ +0.004707] ? asm_exc_general_protection+0x26/0x30 [ +0.004879] ? __ice_update_sample+0x39/0xe0 [ice] [ +0.004835] ice_napi_poll+0x665/0x680 [ice] [ +0.004320] __napi_poll+0x28/0x190 [ +0.003500] net_rx_action+0x198/0x360 [ +0.003752] ? update_rq_clock+0x39/0x220 [ +0.004013] handle_softirqs+0xf1/0x340 [ +0.003840] ? sched_clock_cpu+0xf/0x1f0 [ +0.003925] __irq_exit_rcu+0xc2/0xe0 [ +0.003665] common_interrupt+0x85/0xa0 [ +0.003839] </IRQ> [ +0.002098] <TASK> [ +0.002106] asm_common_interrupt+0x26/0x40 [ +0.004184] RIP: 0010:cpuidle_enter_state+0xd3/0x690 Fix this by performing the missing unmapping of XDP queues from q_vectors and setting the XDP rings pointer back to NULL after all those queues are released. Also, add an immediate exit from the XDP callback in case of ring preparation failure. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: page_pool: Fix use-after-free in page_pool_recycle_in_ring syzbot reported a uaf in page_pool_recycle_in_ring: BUG: KASAN: slab-use-after-free in lock_release+0x151/0xa30 kernel/locking/lockdep.c:5862 Read of size 8 at addr ffff8880286045a0 by task syz.0.284/6943 CPU: 0 UID: 0 PID: 6943 Comm: syz.0.284 Not tainted 6.13.0-rc3-syzkaller-gdfa94ce54f41 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 09/13/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x169/0x550 mm/kasan/report.c:489 kasan_report+0x143/0x180 mm/kasan/report.c:602 lock_release+0x151/0xa30 kernel/locking/lockdep.c:5862 __raw_spin_unlock_bh include/linux/spinlock_api_smp.h:165 [inline] _raw_spin_unlock_bh+0x1b/0x40 kernel/locking/spinlock.c:210 spin_unlock_bh include/linux/spinlock.h:396 [inline] ptr_ring_produce_bh include/linux/ptr_ring.h:164 [inline] page_pool_recycle_in_ring net/core/page_pool.c:707 [inline] page_pool_put_unrefed_netmem+0x748/0xb00 net/core/page_pool.c:826 page_pool_put_netmem include/net/page_pool/helpers.h:323 [inline] page_pool_put_full_netmem include/net/page_pool/helpers.h:353 [inline] napi_pp_put_page+0x149/0x2b0 net/core/skbuff.c:1036 skb_pp_recycle net/core/skbuff.c:1047 [inline] skb_free_head net/core/skbuff.c:1094 [inline] skb_release_data+0x6c4/0x8a0 net/core/skbuff.c:1125 skb_release_all net/core/skbuff.c:1190 [inline] __kfree_skb net/core/skbuff.c:1204 [inline] sk_skb_reason_drop+0x1c9/0x380 net/core/skbuff.c:1242 kfree_skb_reason include/linux/skbuff.h:1263 [inline] __skb_queue_purge_reason include/linux/skbuff.h:3343 [inline] root cause is: page_pool_recycle_in_ring ptr_ring_produce spin_lock(&r->producer_lock); WRITE_ONCE(r->queue[r->producer++], ptr) //recycle last page to pool page_pool_release page_pool_scrub page_pool_empty_ring ptr_ring_consume page_pool_return_page //release all page __page_pool_destroy free_percpu(pool->recycle_stats); free(pool) //free spin_unlock(&r->producer_lock); //pool->ring uaf read recycle_stat_inc(pool, ring); page_pool can be free while page pool recycle the last page in ring. Add producer-lock barrier to page_pool_release to prevent the page pool from being free before all pages have been recycled. recycle_stat_inc() is empty when CONFIG_PAGE_POOL_STATS is not enabled, which will trigger Wempty-body build warning. Add definition for pool stat macro to fix warning. Уязвимость функции page_pool_recycle_in_ring() ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: coresight: prevent deactivate active config while enabling the config While enable active config via cscfg_csdev_enable_active_config(), active config could be deactivated via configfs' sysfs interface. This could make UAF issue in below scenario: CPU0 CPU1 (sysfs enable) load module cscfg_load_config_sets() activate config. // sysfs (sys_active_cnt == 1) ... cscfg_csdev_enable_active_config() lock(csdev->cscfg_csdev_lock) // here load config activate by CPU1 unlock(csdev->cscfg_csdev_lock) deactivate config // sysfs (sys_activec_cnt == 0) cscfg_unload_config_sets() unload module // access to config_desc which freed // while unloading module. cscfg_csdev_enable_config To address this, use cscfg_config_desc's active_cnt as a reference count which will be holded when - activate the config. - enable the activated config. and put the module reference when config_active_cnt == 0. Уязвимость функции cscfg_csdev_enable_active_config() ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: acpi: Prevent null pointer dereference in usb_acpi_add_usb4_devlink() As demonstrated by the fix for update_port_device_state, commit 12783c0b9e2c ("usb: core: Prevent null pointer dereference in update_port_device_state"), usb_hub_to_struct_hub() can return NULL in certain scenarios, such as during hub driver unbind or teardown race conditions, even if the underlying usb_device structure exists. Plus, all other places that call usb_hub_to_struct_hub() in the same file do check for NULL return values. If usb_hub_to_struct_hub() returns NULL, the subsequent access to hub->ports[udev->portnum - 1] will cause a null pointer dereference. Уязвимость функции usb_acpi_add_usb4_devlink() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: Fix potential null-ptr-deref in mlb_usio_probe() devm_ioremap() can return NULL on error. Currently, mlb_usio_probe() does not check for this case, which could result in a NULL pointer dereference. Add NULL check after devm_ioremap() to prevent this issue. Уязвимость функции mlb_usio_probe() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: renesas_usbhs: Reorder clock handling and power management in probe Reorder the initialization sequence in `usbhs_probe()` to enable runtime PM before accessing registers, preventing potential crashes due to uninitialized clocks. Currently, in the probe path, registers are accessed before enabling the clocks, leading to a synchronous external abort on the RZ/V2H SoC. The problematic call flow is as follows: usbhs_probe() usbhs_sys_clock_ctrl() usbhs_bset() usbhs_write() iowrite16() <-- Register access before enabling clocks Since `iowrite16()` is performed without ensuring the required clocks are enabled, this can lead to access errors. To fix this, enable PM runtime early in the probe function and ensure clocks are acquired before register access, preventing crashes like the following on RZ/V2H: [13.272640] Internal error: synchronous external abort: 0000000096000010 [#1] PREEMPT SMP [13.280814] Modules linked in: cec renesas_usbhs(+) drm_kms_helper fuse drm backlight ipv6 [13.289088] CPU: 1 UID: 0 PID: 195 Comm: (udev-worker) Not tainted 6.14.0-rc7+ #98 [13.296640] Hardware name: Renesas RZ/V2H EVK Board based on r9a09g057h44 (DT) [13.303834] pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [13.310770] pc : usbhs_bset+0x14/0x4c [renesas_usbhs] [13.315831] lr : usbhs_probe+0x2e4/0x5ac [renesas_usbhs] [13.321138] sp : ffff8000827e3850 [13.324438] x29: ffff8000827e3860 x28: 0000000000000000 x27: ffff8000827e3ca0 [13.331554] x26: ffff8000827e3ba0 x25: ffff800081729668 x24: 0000000000000025 [13.338670] x23: ffff0000c0f08000 x22: 0000000000000000 x21: ffff0000c0f08010 [13.345783] x20: 0000000000000000 x19: ffff0000c3b52080 x18: 00000000ffffffff [13.352895] x17: 0000000000000000 x16: 0000000000000000 x15: ffff8000827e36ce [13.360009] x14: 00000000000003d7 x13: 00000000000003d7 x12: 0000000000000000 [13.367122] x11: 0000000000000000 x10: 0000000000000aa0 x9 : ffff8000827e3750 [13.374235] x8 : ffff0000c1850b00 x7 : 0000000003826060 x6 : 000000000000001c [13.381347] x5 : 000000030d5fcc00 x4 : ffff8000825c0000 x3 : 0000000000000000 [13.388459] x2 : 0000000000000400 x1 : 0000000000000000 x0 : ffff0000c3b52080 [13.395574] Call trace: [13.398013] usbhs_bset+0x14/0x4c [renesas_usbhs] (P) [13.403076] platform_probe+0x68/0xdc [13.406738] really_probe+0xbc/0x2c0 [13.410306] __driver_probe_device+0x78/0x120 [13.414653] driver_probe_device+0x3c/0x154 [13.418825] __driver_attach+0x90/0x1a0 [13.422647] bus_for_each_dev+0x7c/0xe0 [13.426470] driver_attach+0x24/0x30 [13.430032] bus_add_driver+0xe4/0x208 [13.433766] driver_register+0x68/0x130 [13.437587] __platform_driver_register+0x24/0x30 [13.442273] renesas_usbhs_driver_init+0x20/0x1000 [renesas_usbhs] [13.448450] do_one_initcall+0x60/0x1d4 [13.452276] do_init_module+0x54/0x1f8 [13.456014] load_module+0x1754/0x1c98 [13.459750] init_module_from_file+0x88/0xcc [13.464004] __arm64_sys_finit_module+0x1c4/0x328 [13.468689] invoke_syscall+0x48/0x104 [13.472426] el0_svc_common.constprop.0+0xc0/0xe0 [13.477113] do_el0_svc+0x1c/0x28 [13.480415] el0_svc+0x30/0xcc [13.483460] el0t_64_sync_handler+0x10c/0x138 [13.487800] el0t_64_sync+0x198/0x19c [13.491453] Code: 2a0103e1 12003c42 12003c63 8b010084 (79400084) [13.497522] ---[ end trace 0000000000000000 ]--- Уязвимость функции usbhs_probe() компонента usb ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: ti: Add NULL check in udma_probe() devm_kasprintf() returns NULL when memory allocation fails. Currently, udma_probe() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. Уязвимость функций udma_probe() и devm_kasprintf() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm: fix dm_blk_report_zones If dm_get_live_table() returned NULL, dm_put_live_table() was never called. Also, it is possible that md->zone_revalidate_map will change while calling this function. Only read it once, so that we are always using the same value. Otherwise we might miss a call to dm_put_live_table(). Finally, while md->zone_revalidate_map is set and a process is calling blk_revalidate_disk_zones() to set up the zone append emulation resources, it is possible that another process, perhaps triggered by blkdev_report_zones_ioctl(), will call dm_blk_report_zones(). If blk_revalidate_disk_zones() fails, these resources can be freed while the other process is still using them, causing a use-after-free error. blk_revalidate_disk_zones() will only ever be called when initially setting up the zone append emulation resources, such as when setting up a zoned dm-crypt table for the first time. Further table swaps will not set md->zone_revalidate_map or call blk_revalidate_disk_zones(). However it must be called using the new table (referenced by md->zone_revalidate_map) and the new queue limits while the DM device is suspended. dm_blk_report_zones() needs some way to distinguish between a call from blk_revalidate_disk_zones(), which must be allowed to use md->zone_revalidate_map to access this not yet activated table, and all other calls to dm_blk_report_zones(), which should not be allowed while the device is suspended and cannot use md->zone_revalidate_map, since the zone resources might be freed by the process currently calling blk_revalidate_disk_zones(). Solve this by tracking the process that sets md->zone_revalidate_map in dm_revalidate_zones() and only allowing that process to make use of it in dm_blk_report_zones(). Уязвимость функции dm_get_live_table() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hwmon: (asus-ec-sensors) check sensor index in read_string() Prevent a potential invalid memory access when the requested sensor is not found. find_ec_sensor_index() may return a negative value (e.g. -ENOENT), but its result was used without checking, which could lead to undefined behavior when passed to get_sensor_info(). Add a proper check to return -EINVAL if sensor_index is negative. Found by Linux Verification Center (linuxtesting.org) with SVACE. [groeck: Return error code returned from find_ec_sensor_index] Уязвимость функции read_string() компонента hwmon ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: backlight: pm8941: Add NULL check in wled_configure() devm_kasprintf() returns NULL when memory allocation fails. Currently, wled_configure() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. Уязвимость функции wled_configure() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soc: aspeed: Add NULL check in aspeed_lpc_enable_snoop() devm_kasprintf() returns NULL when memory allocation fails. Currently, aspeed_lpc_enable_snoop() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. [arj: Fix Fixes: tag to use subject from 3772e5da4454] Уязвимость функции aspeed_lpc_enable_snoop() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: openvswitch: Fix the dead loop of MPLS parse The unexpected MPLS packet may not end with the bottom label stack. When there are many stacks, The label count value has wrapped around. A dead loop occurs, soft lockup/CPU stuck finally. stack backtrace: UBSAN: array-index-out-of-bounds in /build/linux-0Pa0xK/linux-5.15.0/net/openvswitch/flow.c:662:26 index -1 is out of range for type '__be32 [3]' CPU: 34 PID: 0 Comm: swapper/34 Kdump: loaded Tainted: G OE 5.15.0-121-generic #131-Ubuntu Hardware name: Dell Inc. PowerEdge C6420/0JP9TF, BIOS 2.12.2 07/14/2021 Call Trace: <IRQ> show_stack+0x52/0x5c dump_stack_lvl+0x4a/0x63 dump_stack+0x10/0x16 ubsan_epilogue+0x9/0x36 __ubsan_handle_out_of_bounds.cold+0x44/0x49 key_extract_l3l4+0x82a/0x840 [openvswitch] ? kfree_skbmem+0x52/0xa0 key_extract+0x9c/0x2b0 [openvswitch] ovs_flow_key_extract+0x124/0x350 [openvswitch] ovs_vport_receive+0x61/0xd0 [openvswitch] ? kernel_init_free_pages.part.0+0x4a/0x70 ? get_page_from_freelist+0x353/0x540 netdev_port_receive+0xc4/0x180 [openvswitch] ? netdev_port_receive+0x180/0x180 [openvswitch] netdev_frame_hook+0x1f/0x40 [openvswitch] __netif_receive_skb_core.constprop.0+0x23a/0xf00 __netif_receive_skb_list_core+0xfa/0x240 netif_receive_skb_list_internal+0x18e/0x2a0 napi_complete_done+0x7a/0x1c0 bnxt_poll+0x155/0x1c0 [bnxt_en] __napi_poll+0x30/0x180 net_rx_action+0x126/0x280 ? bnxt_msix+0x67/0x80 [bnxt_en] handle_softirqs+0xda/0x2d0 irq_exit_rcu+0x96/0xc0 common_interrupt+0x8e/0xa0 </IRQ> Уязвимость функции key_extract_l3l4 модуля net/openvswitch/flow.c компонента openvswitch ядра операционных систем Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании путем отправки специально созданных MPLS-пакетов [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=9.4) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: calipso: Don't call calipso functions for AF_INET sk. syzkaller reported a null-ptr-deref in txopt_get(). [0] The offset 0x70 was of struct ipv6_txoptions in struct ipv6_pinfo, so struct ipv6_pinfo was NULL there. However, this never happens for IPv6 sockets as inet_sk(sk)->pinet6 is always set in inet6_create(), meaning the socket was not IPv6 one. The root cause is missing validation in netlbl_conn_setattr(). netlbl_conn_setattr() switches branches based on struct sockaddr.sa_family, which is passed from userspace. However, netlbl_conn_setattr() does not check if the address family matches the socket. The syzkaller must have called connect() for an IPv6 address on an IPv4 socket. We have a proper validation in tcp_v[46]_connect(), but security_socket_connect() is called in the earlier stage. Let's copy the validation to netlbl_conn_setattr(). [0]: Oops: general protection fault, probably for non-canonical address 0xdffffc000000000e: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000070-0x0000000000000077] CPU: 2 UID: 0 PID: 12928 Comm: syz.9.1677 Not tainted 6.12.0 #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:txopt_get include/net/ipv6.h:390 [inline] RIP: 0010: Code: 02 00 00 49 8b ac 24 f8 02 00 00 e8 84 69 2a fd e8 ff 00 16 fd 48 8d 7d 70 48 b8 00 00 00 00 00 fc ff df 48 89 fa 48 c1 ea 03 <80> 3c 02 00 0f 85 53 02 00 00 48 8b 6d 70 48 85 ed 0f 84 ab 01 00 RSP: 0018:ffff88811b8afc48 EFLAGS: 00010212 RAX: dffffc0000000000 RBX: 1ffff11023715f8a RCX: ffffffff841ab00c RDX: 000000000000000e RSI: ffffc90007d9e000 RDI: 0000000000000070 RBP: 0000000000000000 R08: ffffed1023715f9d R09: ffffed1023715f9e R10: ffffed1023715f9d R11: 0000000000000003 R12: ffff888123075f00 R13: ffff88810245bd80 R14: ffff888113646780 R15: ffff888100578a80 FS: 00007f9019bd7640(0000) GS:ffff8882d2d00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f901b927bac CR3: 0000000104788003 CR4: 0000000000770ef0 PKRU: 80000000 Call Trace: <TASK> calipso_sock_setattr+0x56/0x80 net/netlabel/netlabel_calipso.c:557 netlbl_conn_setattr+0x10c/0x280 net/netlabel/netlabel_kapi.c:1177 selinux_netlbl_socket_connect_helper+0xd3/0x1b0 security/selinux/netlabel.c:569 selinux_netlbl_socket_connect_locked security/selinux/netlabel.c:597 [inline] selinux_netlbl_socket_connect+0xb6/0x100 security/selinux/netlabel.c:615 selinux_socket_connect+0x5f/0x80 security/selinux/hooks.c:4931 security_socket_connect+0x50/0xa0 security/security.c:4598 __sys_connect_file+0xa4/0x190 net/socket.c:2067 __sys_connect+0x12c/0x170 net/socket.c:2088 __do_sys_connect net/socket.c:2098 [inline] __se_sys_connect net/socket.c:2095 [inline] __x64_sys_connect+0x73/0xb0 net/socket.c:2095 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xaa/0x1b0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f901b61a12d Code: 02 b8 ff ff ff ff c3 66 0f 1f 44 00 00 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f9019bd6fa8 EFLAGS: 00000246 ORIG_RAX: 000000000000002a RAX: ffffffffffffffda RBX: 00007f901b925fa0 RCX: 00007f901b61a12d RDX: 000000000000001c RSI: 0000200000000140 RDI: 0000000000000003 RBP: 00007f901b701505 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 00007f901b5b62a0 R15: 00007f9019bb7000 </TASK> Modules linked in: Уязвимость функции txopt_get() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: phy: mscc: Fix memory leak when using one step timestamping Fix memory leak when running one-step timestamping. When running one-step sync timestamping, the HW is configured to insert the TX time into the frame, so there is no reason to keep the skb anymore. As in this case the HW will never generate an interrupt to say that the frame was timestamped, then the frame will never released. Fix this by freeing the frame in case of one-step timestamping. Уязвимость модуля drivers/net/phy/mscc/mscc_ptp.c ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: phy: clear phydev->devlink when the link is deleted There is a potential crash issue when disabling and re-enabling the network port. When disabling the network port, phy_detach() calls device_link_del() to remove the device link, but it does not clear phydev->devlink, so phydev->devlink is not a NULL pointer. Then the network port is re-enabled, but if phy_attach_direct() fails before calling device_link_add(), the code jumps to the "error" label and calls phy_detach(). Since phydev->devlink retains the old value from the previous attach/detach cycle, device_link_del() uses the old value, which accesses a NULL pointer and causes a crash. The simplified crash log is as follows. [ 24.702421] Call trace: [ 24.704856] device_link_put_kref+0x20/0x120 [ 24.709124] device_link_del+0x30/0x48 [ 24.712864] phy_detach+0x24/0x168 [ 24.716261] phy_attach_direct+0x168/0x3a4 [ 24.720352] phylink_fwnode_phy_connect+0xc8/0x14c [ 24.725140] phylink_of_phy_connect+0x1c/0x34 Therefore, phydev->devlink needs to be cleared when the device link is deleted. Уязвимость функции phy_detach() модуля drivers/net/phy/phy_device.c ядра операционных систем Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/cma: Fix hang when cma_netevent_callback fails to queue_work The cited commit fixed a crash when cma_netevent_callback was called for a cma_id while work on that id from a previous call had not yet started. The work item was re-initialized in the second call, which corrupted the work item currently in the work queue. However, it left a problem when queue_work fails (because the item is still pending in the work queue from a previous call). In this case, cma_id_put (which is called in the work handler) is therefore not called. This results in a userspace process hang (zombie process). Fix this by calling cma_id_put() if queue_work fails. Уязвимость функции cma_netevent_callback() модуля drivers/infiniband/core/cma.c ядра операционных систем Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: remoteproc: core: Clear table_sz when rproc_shutdown There is case as below could trigger kernel dump: Use U-Boot to start remote processor(rproc) with resource table published to a fixed address by rproc. After Kernel boots up, stop the rproc, load a new firmware which doesn't have resource table ,and start rproc. When starting rproc with a firmware not have resource table, `memcpy(loaded_table, rproc->cached_table, rproc->table_sz)` will trigger dump, because rproc->cache_table is set to NULL during the last stop operation, but rproc->table_sz is still valid. This issue is found on i.MX8MP and i.MX9. Dump as below: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 Mem abort info: ESR = 0x0000000096000004 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x04: level 0 translation fault Data abort info: ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 user pgtable: 4k pages, 48-bit VAs, pgdp=000000010af63000 [0000000000000000] pgd=0000000000000000, p4d=0000000000000000 Internal error: Oops: 0000000096000004 [#1] PREEMPT SMP Modules linked in: CPU: 2 UID: 0 PID: 1060 Comm: sh Not tainted 6.14.0-rc7-next-20250317-dirty #38 Hardware name: NXP i.MX8MPlus EVK board (DT) pstate: a0000005 (NzCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : __pi_memcpy_generic+0x110/0x22c lr : rproc_start+0x88/0x1e0 Call trace: __pi_memcpy_generic+0x110/0x22c (P) rproc_boot+0x198/0x57c state_store+0x40/0x104 dev_attr_store+0x18/0x2c sysfs_kf_write+0x7c/0x94 kernfs_fop_write_iter+0x120/0x1cc vfs_write+0x240/0x378 ksys_write+0x70/0x108 __arm64_sys_write+0x1c/0x28 invoke_syscall+0x48/0x10c el0_svc_common.constprop.0+0xc0/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x30/0xcc el0t_64_sync_handler+0x10c/0x138 el0t_64_sync+0x198/0x19c Clear rproc->table_sz to address the issue. Уязвимость компонента remoteproc ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: aqc111: fix error handling of usbnet read calls Syzkaller, courtesy of syzbot, identified an error (see report [1]) in aqc111 driver, caused by incomplete sanitation of usb read calls' results. This problem is quite similar to the one fixed in commit 920a9fa27e78 ("net: asix: add proper error handling of usb read errors"). For instance, usbnet_read_cmd() may read fewer than 'size' bytes, even if the caller expected the full amount, and aqc111_read_cmd() will not check its result properly. As [1] shows, this may lead to MAC address in aqc111_bind() being only partly initialized, triggering KMSAN warnings. Fix the issue by verifying that the number of bytes read is as expected and not less. [1] Partial syzbot report: BUG: KMSAN: uninit-value in is_valid_ether_addr include/linux/etherdevice.h:208 [inline] BUG: KMSAN: uninit-value in usbnet_probe+0x2e57/0x4390 drivers/net/usb/usbnet.c:1830 is_valid_ether_addr include/linux/etherdevice.h:208 [inline] usbnet_probe+0x2e57/0x4390 drivers/net/usb/usbnet.c:1830 usb_probe_interface+0xd01/0x1310 drivers/usb/core/driver.c:396 call_driver_probe drivers/base/dd.c:-1 [inline] really_probe+0x4d1/0xd90 drivers/base/dd.c:658 __driver_probe_device+0x268/0x380 drivers/base/dd.c:800 ... Uninit was stored to memory at: dev_addr_mod+0xb0/0x550 net/core/dev_addr_lists.c:582 __dev_addr_set include/linux/netdevice.h:4874 [inline] eth_hw_addr_set include/linux/etherdevice.h:325 [inline] aqc111_bind+0x35f/0x1150 drivers/net/usb/aqc111.c:717 usbnet_probe+0xbe6/0x4390 drivers/net/usb/usbnet.c:1772 usb_probe_interface+0xd01/0x1310 drivers/usb/core/driver.c:396 ... Uninit was stored to memory at: ether_addr_copy include/linux/etherdevice.h:305 [inline] aqc111_read_perm_mac drivers/net/usb/aqc111.c:663 [inline] aqc111_bind+0x794/0x1150 drivers/net/usb/aqc111.c:713 usbnet_probe+0xbe6/0x4390 drivers/net/usb/usbnet.c:1772 usb_probe_interface+0xd01/0x1310 drivers/usb/core/driver.c:396 call_driver_probe drivers/base/dd.c:-1 [inline] ... Local variable buf.i created at: aqc111_read_perm_mac drivers/net/usb/aqc111.c:656 [inline] aqc111_bind+0x221/0x1150 drivers/net/usb/aqc111.c:713 usbnet_probe+0xbe6/0x4390 drivers/net/usb/usbnet.c:1772 Уязвимость функции usbnet_read_cmd() библиотеки include/linux/etherdevice.h ядра операционных систем Linux недостатками обработки исключений. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf, sockmap: Avoid using sk_socket after free when sending The sk->sk_socket is not locked or referenced in backlog thread, and during the call to skb_send_sock(), there is a race condition with the release of sk_socket. All types of sockets(tcp/udp/unix/vsock) will be affected. Race conditions: ''' CPU0 CPU1 backlog::skb_send_sock sendmsg_unlocked sock_sendmsg sock_sendmsg_nosec close(fd): ... ops->release() -> sock_map_close() sk_socket->ops = NULL free(socket) sock->ops->sendmsg ^ panic here ''' The ref of psock become 0 after sock_map_close() executed. ''' void sock_map_close() { ... if (likely(psock)) { ... // !! here we remove psock and the ref of psock become 0 sock_map_remove_links(sk, psock) psock = sk_psock_get(sk); if (unlikely(!psock)) goto no_psock; <=== Control jumps here via goto ... cancel_delayed_work_sync(&psock->work); <=== not executed sk_psock_put(sk, psock); ... } ''' Based on the fact that we already wait for the workqueue to finish in sock_map_close() if psock is held, we simply increase the psock reference count to avoid race conditions. With this patch, if the backlog thread is running, sock_map_close() will wait for the backlog thread to complete and cancel all pending work. If no backlog running, any pending work that hasn't started by then will fail when invoked by sk_psock_get(), as the psock reference count have been zeroed, and sk_psock_drop() will cancel all jobs via cancel_delayed_work_sync(). In summary, we require synchronization to coordinate the backlog thread and close() thread. The panic I catched: ''' Workqueue: events sk_psock_backlog RIP: 0010:sock_sendmsg+0x21d/0x440 RAX: 0000000000000000 RBX: ffffc9000521fad8 RCX: 0000000000000001 ... Call Trace: <TASK> ? die_addr+0x40/0xa0 ? exc_general_protection+0x14c/0x230 ? asm_exc_general_protection+0x26/0x30 ? sock_sendmsg+0x21d/0x440 ? sock_sendmsg+0x3e0/0x440 ? __pfx_sock_sendmsg+0x10/0x10 __skb_send_sock+0x543/0xb70 sk_psock_backlog+0x247/0xb80 ... ''' Уязвимость функции skb_send_sock() компонента BPF ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: mt7915: Fix null-ptr-deref in mt7915_mmio_wed_init() devm_ioremap() returns NULL on error. Currently, mt7915_mmio_wed_init() does not check for this case, which results in a NULL pointer dereference. Prevent null pointer dereference in mt7915_mmio_wed_init(). Уязвимость функции mt7915_mmio_wed_init() компонента wifi ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: mt7996: Fix null-ptr-deref in mt7996_mmio_wed_init() devm_ioremap() returns NULL on error. Currently, mt7996_mmio_wed_init() does not check for this case, which results in a NULL pointer dereference. Prevent null pointer dereference in mt7996_mmio_wed_init() Уязвимость функции mt7996_mmio_wed_init() модуля drivers/net/wireless/mediatek/mt76/mt7996/mmio.c ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ath9k_htc: Abort software beacon handling if disabled A malicious USB device can send a WMI_SWBA_EVENTID event from an ath9k_htc-managed device before beaconing has been enabled. This causes a device-by-zero error in the driver, leading to either a crash or an out of bounds read. Prevent this by aborting the handling in ath9k_htc_swba() if beacons are not enabled. Уязвимость функции ath9k_htc_swba() компонента wifi ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: hisi_acc_vfio_pci: fix XQE dma address error The dma addresses of EQE and AEQE are wrong after migration and results in guest kernel-mode encryption services failure. Comparing the definition of hardware registers, we found that there was an error when the data read from the register was combined into an address. Therefore, the address combination sequence needs to be corrected. Even after fixing the above problem, we still have an issue where the Guest from an old kernel can get migrated to new kernel and may result in wrong data. In order to ensure that the address is correct after migration, if an old magic number is detected, the dma address needs to be updated. Уязвимость драйвера hisi_acc_vfio_pci ядра операционных систем Linux связана с недостаточной проверкой входных данных при обработке DMA-адресов (Direct Memory Access). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw88: fix the 'para' buffer size to avoid reading out of bounds Set the size to 6 instead of 2, since 'para' array is passed to 'rtw_fw_bt_wifi_control(rtwdev, para[0], &para[1])', which reads 5 bytes: void rtw_fw_bt_wifi_control(struct rtw_dev *rtwdev, u8 op_code, u8 *data) { ... SET_BT_WIFI_CONTROL_DATA1(h2c_pkt, *data); SET_BT_WIFI_CONTROL_DATA2(h2c_pkt, *(data + 1)); ... SET_BT_WIFI_CONTROL_DATA5(h2c_pkt, *(data + 4)); Detected using the static analysis tool - Svace. Уязвимость функции rtw_fw_bt_wifi_control() модуля drivers/net/wireless/realtek/rtw88/coex.c ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clk: bcm: rpi: Add NULL check in raspberrypi_clk_register() devm_kasprintf() returns NULL when memory allocation fails. Currently, raspberrypi_clk_register() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. Уязвимость функции aspberrypi_clk_register() модуля drivers/clk/bcm/clk-raspberrypi.c ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Fix error flow upon firmware failure for RQ destruction Upon RQ destruction if the firmware command fails which is the last resource to be destroyed some SW resources were already cleaned regardless of the failure. Now properly rollback the object to its original state upon such failure. In order to avoid a use-after free in case someone tries to destroy the object again, which results in the following kernel trace: refcount_t: underflow; use-after-free. WARNING: CPU: 0 PID: 37589 at lib/refcount.c:28 refcount_warn_saturate+0xf4/0x148 Modules linked in: rdma_ucm(OE) rdma_cm(OE) iw_cm(OE) ib_ipoib(OE) ib_cm(OE) ib_umad(OE) mlx5_ib(OE) rfkill mlx5_core(OE) mlxdevm(OE) ib_uverbs(OE) ib_core(OE) psample mlxfw(OE) mlx_compat(OE) macsec tls pci_hyperv_intf sunrpc vfat fat virtio_net net_failover failover fuse loop nfnetlink vsock_loopback vmw_vsock_virtio_transport_common vmw_vsock_vmci_transport vmw_vmci vsock xfs crct10dif_ce ghash_ce sha2_ce sha256_arm64 sha1_ce virtio_console virtio_gpu virtio_blk virtio_dma_buf virtio_mmio dm_mirror dm_region_hash dm_log dm_mod xpmem(OE) CPU: 0 UID: 0 PID: 37589 Comm: python3 Kdump: loaded Tainted: G OE ------- --- 6.12.0-54.el10.aarch64 #1 Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: QEMU KVM Virtual Machine, BIOS 0.0.0 02/06/2015 pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : refcount_warn_saturate+0xf4/0x148 lr : refcount_warn_saturate+0xf4/0x148 sp : ffff80008b81b7e0 x29: ffff80008b81b7e0 x28: ffff000133d51600 x27: 0000000000000001 x26: 0000000000000000 x25: 00000000ffffffea x24: ffff00010ae80f00 x23: ffff00010ae80f80 x22: ffff0000c66e5d08 x21: 0000000000000000 x20: ffff0000c66e0000 x19: ffff00010ae80340 x18: 0000000000000006 x17: 0000000000000000 x16: 0000000000000020 x15: ffff80008b81b37f x14: 0000000000000000 x13: 2e656572662d7265 x12: ffff80008283ef78 x11: ffff80008257efd0 x10: ffff80008283efd0 x9 : ffff80008021ed90 x8 : 0000000000000001 x7 : 00000000000bffe8 x6 : c0000000ffff7fff x5 : ffff0001fb8e3408 x4 : 0000000000000000 x3 : ffff800179993000 x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff000133d51600 Call trace: refcount_warn_saturate+0xf4/0x148 mlx5_core_put_rsc+0x88/0xa0 [mlx5_ib] mlx5_core_destroy_rq_tracked+0x64/0x98 [mlx5_ib] mlx5_ib_destroy_wq+0x34/0x80 [mlx5_ib] ib_destroy_wq_user+0x30/0xc0 [ib_core] uverbs_free_wq+0x28/0x58 [ib_uverbs] destroy_hw_idr_uobject+0x34/0x78 [ib_uverbs] uverbs_destroy_uobject+0x48/0x240 [ib_uverbs] __uverbs_cleanup_ufile+0xd4/0x1a8 [ib_uverbs] uverbs_destroy_ufile_hw+0x48/0x120 [ib_uverbs] ib_uverbs_close+0x2c/0x100 [ib_uverbs] __fput+0xd8/0x2f0 __fput_sync+0x50/0x70 __arm64_sys_close+0x40/0x90 invoke_syscall.constprop.0+0x74/0xd0 do_el0_svc+0x48/0xe8 el0_svc+0x44/0x1d0 el0t_64_sync_handler+0x120/0x130 el0t_64_sync+0x1a4/0x1a8 Уязвимость драйвера mlx5 подсистемы RDMA ядра операционных систем Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_set_pipapo: prevent overflow in lookup table allocation When calculating the lookup table size, ensure the following multiplication does not overflow: - desc->field_len[] maximum value is U8_MAX multiplied by NFT_PIPAPO_GROUPS_PER_BYTE(f) that can be 2, worst case. - NFT_PIPAPO_BUCKETS(f->bb) is 2^8, worst case. - sizeof(unsigned long), from sizeof(*f->lt), lt in struct nft_pipapo_field. Then, use check_mul_overflow() to multiply by bucket size and then use check_add_overflow() to the alignment for avx2 (if needed). Finally, add lt_size_check_overflow() helper and use it to consolidate this. While at it, replace leftover allocation using the GFP_KERNEL to GFP_KERNEL_ACCOUNT for consistency, in pipapo_resize(). [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to do sanity check on sbi->total_valid_block_count syzbot reported a f2fs bug as below: ------------[ cut here ]------------ kernel BUG at fs/f2fs/f2fs.h:2521! RIP: 0010:dec_valid_block_count+0x3b2/0x3c0 fs/f2fs/f2fs.h:2521 Call Trace: f2fs_truncate_data_blocks_range+0xc8c/0x11a0 fs/f2fs/file.c:695 truncate_dnode+0x417/0x740 fs/f2fs/node.c:973 truncate_nodes+0x3ec/0xf50 fs/f2fs/node.c:1014 f2fs_truncate_inode_blocks+0x8e3/0x1370 fs/f2fs/node.c:1197 f2fs_do_truncate_blocks+0x840/0x12b0 fs/f2fs/file.c:810 f2fs_truncate_blocks+0x10d/0x300 fs/f2fs/file.c:838 f2fs_truncate+0x417/0x720 fs/f2fs/file.c:888 f2fs_setattr+0xc4f/0x12f0 fs/f2fs/file.c:1112 notify_change+0xbca/0xe90 fs/attr.c:552 do_truncate+0x222/0x310 fs/open.c:65 handle_truncate fs/namei.c:3466 [inline] do_open fs/namei.c:3849 [inline] path_openat+0x2e4f/0x35d0 fs/namei.c:4004 do_filp_open+0x284/0x4e0 fs/namei.c:4031 do_sys_openat2+0x12b/0x1d0 fs/open.c:1429 do_sys_open fs/open.c:1444 [inline] __do_sys_creat fs/open.c:1522 [inline] __se_sys_creat fs/open.c:1516 [inline] __x64_sys_creat+0x124/0x170 fs/open.c:1516 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/syscall_64.c:94 The reason is: in fuzzed image, sbi->total_valid_block_count is inconsistent w/ mapped blocks indexed by inode, so, we should not trigger panic for such case, instead, let's print log and set fsck flag. Уязвимость функции total_valid_block_count библиотеки fs/f2fs/f2fs.h ядра операционных систем Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: zone: fix to avoid inconsistence in between SIT and SSA w/ below testcase, it will cause inconsistence in between SIT and SSA. create_null_blk 512 2 1024 1024 mkfs.f2fs -m /dev/nullb0 mount /dev/nullb0 /mnt/f2fs/ touch /mnt/f2fs/file f2fs_io pinfile set /mnt/f2fs/file fallocate -l 4GiB /mnt/f2fs/file F2FS-fs (nullb0): Inconsistent segment (0) type [1, 0] in SSA and SIT CPU: 5 UID: 0 PID: 2398 Comm: fallocate Tainted: G O 6.13.0-rc1 #84 Tainted: [O]=OOT_MODULE Hardware name: innotek GmbH VirtualBox/VirtualBox, BIOS VirtualBox 12/01/2006 Call Trace: <TASK> dump_stack_lvl+0xb3/0xd0 dump_stack+0x14/0x20 f2fs_handle_critical_error+0x18c/0x220 [f2fs] f2fs_stop_checkpoint+0x38/0x50 [f2fs] do_garbage_collect+0x674/0x6e0 [f2fs] f2fs_gc_range+0x12b/0x230 [f2fs] f2fs_allocate_pinning_section+0x5c/0x150 [f2fs] f2fs_expand_inode_data+0x1cc/0x3c0 [f2fs] f2fs_fallocate+0x3c3/0x410 [f2fs] vfs_fallocate+0x15f/0x4b0 __x64_sys_fallocate+0x4a/0x80 x64_sys_call+0x15e8/0x1b80 do_syscall_64+0x68/0x130 entry_SYSCALL_64_after_hwframe+0x67/0x6f RIP: 0033:0x7f9dba5197ca F2FS-fs (nullb0): Stopped filesystem due to reason: 4 The reason is f2fs_gc_range() may try to migrate block in curseg, however, its SSA block is not uptodate due to the last summary block data is still in cache of curseg. In this patch, we add a condition in f2fs_gc_range() to check whether section is opened or not, and skip block migration for opened section. Уязвимость функции f2fs_gc_range() компонента f2fs ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf, sockmap: Fix panic when calling skb_linearize The panic can be reproduced by executing the command: ./bench sockmap -c 2 -p 1 -a --rx-verdict-ingress --rx-strp 100000 Then a kernel panic was captured: ''' [ 657.460555] kernel BUG at net/core/skbuff.c:2178! [ 657.462680] Tainted: [W]=WARN [ 657.463287] Workqueue: events sk_psock_backlog ... [ 657.469610] <TASK> [ 657.469738] ? die+0x36/0x90 [ 657.469916] ? do_trap+0x1d0/0x270 [ 657.470118] ? pskb_expand_head+0x612/0xf40 [ 657.470376] ? pskb_expand_head+0x612/0xf40 [ 657.470620] ? do_error_trap+0xa3/0x170 [ 657.470846] ? pskb_expand_head+0x612/0xf40 [ 657.471092] ? handle_invalid_op+0x2c/0x40 [ 657.471335] ? pskb_expand_head+0x612/0xf40 [ 657.471579] ? exc_invalid_op+0x2d/0x40 [ 657.471805] ? asm_exc_invalid_op+0x1a/0x20 [ 657.472052] ? pskb_expand_head+0xd1/0xf40 [ 657.472292] ? pskb_expand_head+0x612/0xf40 [ 657.472540] ? lock_acquire+0x18f/0x4e0 [ 657.472766] ? find_held_lock+0x2d/0x110 [ 657.472999] ? __pfx_pskb_expand_head+0x10/0x10 [ 657.473263] ? __kmalloc_cache_noprof+0x5b/0x470 [ 657.473537] ? __pfx___lock_release.isra.0+0x10/0x10 [ 657.473826] __pskb_pull_tail+0xfd/0x1d20 [ 657.474062] ? __kasan_slab_alloc+0x4e/0x90 [ 657.474707] sk_psock_skb_ingress_enqueue+0x3bf/0x510 [ 657.475392] ? __kasan_kmalloc+0xaa/0xb0 [ 657.476010] sk_psock_backlog+0x5cf/0xd70 [ 657.476637] process_one_work+0x858/0x1a20 ''' The panic originates from the assertion BUG_ON(skb_shared(skb)) in skb_linearize(). A previous commit(see Fixes tag) introduced skb_get() to avoid race conditions between skb operations in the backlog and skb release in the recvmsg path. However, this caused the panic to always occur when skb_linearize is executed. The "--rx-strp 100000" parameter forces the RX path to use the strparser module which aggregates data until it reaches 100KB before calling sockmap logic. The 100KB payload exceeds MAX_MSG_FRAGS, triggering skb_linearize. To fix this issue, just move skb_get into sk_psock_skb_ingress_enqueue. ''' sk_psock_backlog: sk_psock_handle_skb skb_get(skb) <== we move it into 'sk_psock_skb_ingress_enqueue' sk_psock_skb_ingress____________ ↓ | | → sk_psock_skb_ingress_self | sk_psock_skb_ingress_enqueue sk_psock_verdict_apply_________________↑ skb_linearize ''' Note that for verdict_apply path, the skb_get operation is unnecessary so we add 'take_ref' param to control it's behavior. Уязвимость функции skb_linearize() модуля net/core/skmsg.c ядра операционных систем Linux связана с конкурентным доступом к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: fix ktls panic with sockmap [ 2172.936997] ------------[ cut here ]------------ [ 2172.936999] kernel BUG at lib/iov_iter.c:629! ...... [ 2172.944996] PKRU: 55555554 [ 2172.945155] Call Trace: [ 2172.945299] <TASK> [ 2172.945428] ? die+0x36/0x90 [ 2172.945601] ? do_trap+0xdd/0x100 [ 2172.945795] ? iov_iter_revert+0x178/0x180 [ 2172.946031] ? iov_iter_revert+0x178/0x180 [ 2172.946267] ? do_error_trap+0x7d/0x110 [ 2172.946499] ? iov_iter_revert+0x178/0x180 [ 2172.946736] ? exc_invalid_op+0x50/0x70 [ 2172.946961] ? iov_iter_revert+0x178/0x180 [ 2172.947197] ? asm_exc_invalid_op+0x1a/0x20 [ 2172.947446] ? iov_iter_revert+0x178/0x180 [ 2172.947683] ? iov_iter_revert+0x5c/0x180 [ 2172.947913] tls_sw_sendmsg_locked.isra.0+0x794/0x840 [ 2172.948206] tls_sw_sendmsg+0x52/0x80 [ 2172.948420] ? inet_sendmsg+0x1f/0x70 [ 2172.948634] __sys_sendto+0x1cd/0x200 [ 2172.948848] ? find_held_lock+0x2b/0x80 [ 2172.949072] ? syscall_trace_enter+0x140/0x270 [ 2172.949330] ? __lock_release.isra.0+0x5e/0x170 [ 2172.949595] ? find_held_lock+0x2b/0x80 [ 2172.949817] ? syscall_trace_enter+0x140/0x270 [ 2172.950211] ? lockdep_hardirqs_on_prepare+0xda/0x190 [ 2172.950632] ? ktime_get_coarse_real_ts64+0xc2/0xd0 [ 2172.951036] __x64_sys_sendto+0x24/0x30 [ 2172.951382] do_syscall_64+0x90/0x170 ...... After calling bpf_exec_tx_verdict(), the size of msg_pl->sg may increase, e.g., when the BPF program executes bpf_msg_push_data(). If the BPF program sets cork_bytes and sg.size is smaller than cork_bytes, it will return -ENOSPC and attempt to roll back to the non-zero copy logic. However, during rollback, msg->msg_iter is reset, but since msg_pl->sg.size has been increased, subsequent executions will exceed the actual size of msg_iter. ''' iov_iter_revert(&msg->msg_iter, msg_pl->sg.size - orig_size); ''' The changes in this commit are based on the following considerations: 1. When cork_bytes is set, rolling back to non-zero copy logic is pointless and can directly go to zero-copy logic. 2. We can not calculate the correct number of bytes to revert msg_iter. Assume the original data is "abcdefgh" (8 bytes), and after 3 pushes by the BPF program, it becomes 11-byte data: "abc?de?fgh?". Then, we set cork_bytes to 6, which means the first 6 bytes have been processed, and the remaining 5 bytes "?fgh?" will be cached until the length meets the cork_bytes requirement. However, some data in "?fgh?" is not within 'sg->msg_iter' (but in msg_pl instead), especially the data "?" we pushed. So it doesn't seem as simple as just reverting through an offset of msg_iter. 3. For non-TLS sockets in tcp_bpf_sendmsg, when a "cork" situation occurs, the user-space send() doesn't return an error, and the returned length is the same as the input length parameter, even if some data is cached. Additionally, I saw that the current non-zero-copy logic for handling corking is written as: ''' line 1177 else if (ret != -EAGAIN) { if (ret == -ENOSPC) ret = 0; goto send_end; ''' So it's ok to just return 'copied' without error when a "cork" situation occurs. Уязвимость компонента tls_sw.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: handle hdr_first_de() return value The hdr_first_de() function returns a pointer to a struct NTFS_DE. This pointer may be NULL. To handle the NULL error effectively, it is important to implement an error handler. This will help manage potential errors consistently. Additionally, error handling for the return value already exists at other points where this function is called. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента index.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf: arm-ni: Unregister PMUs on probe failure When a resource allocation fails in one clock domain of an NI device, we need to properly roll back all previously registered perf PMUs in other clock domains of the same device. Otherwise, it can lead to kernel panics. Calling arm_ni_init+0x0/0xff8 [arm_ni] @ 2374 arm-ni ARMHCB70:00: Failed to request PMU region 0x1f3c13000 arm-ni ARMHCB70:00: probe with driver arm-ni failed with error -16 list_add corruption: next->prev should be prev (fffffd01e9698a18), but was 0000000000000000. (next=ffff10001a0decc8). pstate: 6340009 (nZCv daif +PAN -UAO +TCO +DIT -SSBS BTYPE=--) pc : list_add_valid_or_report+0x7c/0xb8 lr : list_add_valid_or_report+0x7c/0xb8 Call trace: __list_add_valid_or_report+0x7c/0xb8 perf_pmu_register+0x22c/0x3a0 arm_ni_probe+0x554/0x70c [arm_ni] platform_probe+0x70/0xe8 really_probe+0xc6/0x4d8 driver_probe_device+0x48/0x170 __driver_attach+0x8e/0x1c0 bus_for_each_dev+0x64/0xf0 driver_add+0x138/0x260 bus_add_driver+0x68/0x138 __platform_driver_register+0x2c/0x40 arm_ni_init+0x14/0x2a [arm_ni] do_init_module+0x36/0x298 ---[ end trace 0000000000000000 ]--- Kernel panic - not syncing: Oops - BUG: Fatal exception SMP: stopping secondary CPUs Уязвимость функции arm_ni_init() ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arm64/fpsimd: Avoid clobbering kernel FPSIMD state with SMSTOP On system with SME, a thread's kernel FPSIMD state may be erroneously clobbered during a context switch immediately after that state is restored. Systems without SME are unaffected. If the CPU happens to be in streaming SVE mode before a context switch to a thread with kernel FPSIMD state, fpsimd_thread_switch() will restore the kernel FPSIMD state using fpsimd_load_kernel_state() while the CPU is still in streaming SVE mode. When fpsimd_thread_switch() subsequently calls fpsimd_flush_cpu_state(), this will execute an SMSTOP, causing an exit from streaming SVE mode. The exit from streaming SVE mode will cause the hardware to reset a number of FPSIMD/SVE/SME registers, clobbering the FPSIMD state. Fix this by calling fpsimd_flush_cpu_state() before restoring the kernel FPSIMD state. Уязвимость функции fpsimd_thread_switch() ядра операционной системы Linux связана с недостаточным контролем ресурса в период его существования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64/fpsimd: Discard stale CPU state when handling SME traps The logic for handling SME traps manipulates saved FPSIMD/SVE/SME state incorrectly, and a race with preemption can result in a task having TIF_SME set and TIF_FOREIGN_FPSTATE clear even though the live CPU state is stale (e.g. with SME traps enabled). This can result in warnings from do_sme_acc() where SME traps are not expected while TIF_SME is set: | /* With TIF_SME userspace shouldn't generate any traps */ | if (test_and_set_thread_flag(TIF_SME)) | WARN_ON(1); This is very similar to the SVE issue we fixed in commit: 751ecf6afd6568ad ("arm64/sve: Discard stale CPU state when handling SVE traps") The race can occur when the SME trap handler is preempted before and after manipulating the saved FPSIMD/SVE/SME state, starting and ending on the same CPU, e.g. | void do_sme_acc(unsigned long esr, struct pt_regs *regs) | { | // Trap on CPU 0 with TIF_SME clear, SME traps enabled | // task->fpsimd_cpu is 0. | // per_cpu_ptr(&fpsimd_last_state, 0) is task. | | ... | | // Preempted; migrated from CPU 0 to CPU 1. | // TIF_FOREIGN_FPSTATE is set. | | get_cpu_fpsimd_context(); | | /* With TIF_SME userspace shouldn't generate any traps */ | if (test_and_set_thread_flag(TIF_SME)) | WARN_ON(1); | | if (!test_thread_flag(TIF_FOREIGN_FPSTATE)) { | unsigned long vq_minus_one = | sve_vq_from_vl(task_get_sme_vl(current)) - 1; | sme_set_vq(vq_minus_one); | | fpsimd_bind_task_to_cpu(); | } | | put_cpu_fpsimd_context(); | | // Preempted; migrated from CPU 1 to CPU 0. | // task->fpsimd_cpu is still 0 | // If per_cpu_ptr(&fpsimd_last_state, 0) is still task then: | // - Stale HW state is reused (with SME traps enabled) | // - TIF_FOREIGN_FPSTATE is cleared | // - A return to userspace skips HW state restore | } Fix the case where the state is not live and TIF_FOREIGN_FPSTATE is set by calling fpsimd_flush_task_state() to detach from the saved CPU state. This ensures that a subsequent context switch will not reuse the stale CPU state, and will instead set TIF_FOREIGN_FPSTATE, forcing the new state to be reloaded from memory prior to a return to userspace. Note: this was originallly posted as [1]. [ Rutland: rewrite commit message ] Уязвимость компонента fpsimd.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: erofs: avoid using multiple devices with different type For multiple devices, both primary and extra devices should be the same type. `erofs_init_device` has already guaranteed that if the primary is a file-backed device, extra devices should also be regular files. However, if the primary is a block device while the extra device is a file-backed device, `erofs_init_device` will get an ENOTBLK, which is not treated as an error in `erofs_fc_get_tree`, and that leads to an UAF: erofs_fc_get_tree get_tree_bdev_flags(erofs_fc_fill_super) erofs_read_superblock erofs_init_device // sbi->dif0 is not inited yet, // return -ENOTBLK deactivate_locked_super free(sbi) if (err is -ENOTBLK) sbi->dif0.file = filp_open() // sbi UAF So if -ENOTBLK is hitted in `erofs_init_device`, it means the primary device must be a block device, and the extra device is not a block device. The error can be converted to -EINVAL. Уязвимость функции taprio_dev_notifier() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: marvell/cesa - Handle zero-length skcipher requests Do not access random memory for zero-length skcipher requests. Just return 0. Уязвимость компонента crypto ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: thunderbolt: Do not double dequeue a configuration request Some of our devices crash in tb_cfg_request_dequeue(): general protection fault, probably for non-canonical address 0xdead000000000122 CPU: 6 PID: 91007 Comm: kworker/6:2 Tainted: G U W 6.6.65 RIP: 0010:tb_cfg_request_dequeue+0x2d/0xa0 Call Trace: <TASK> ? tb_cfg_request_dequeue+0x2d/0xa0 tb_cfg_request_work+0x33/0x80 worker_thread+0x386/0x8f0 kthread+0xed/0x110 ret_from_fork+0x38/0x50 ret_from_fork_asm+0x1b/0x30 The circumstances are unclear, however, the theory is that tb_cfg_request_work() can be scheduled twice for a request: first time via frame.callback from ring_work() and second time from tb_cfg_request(). Both times kworkers will execute tb_cfg_request_dequeue(), which results in double list_del() from the ctl->request_queue (the list poison deference hints at it: 0xdead000000000122). Do not dequeue requests that don't have TB_CFG_REQUEST_ACTIVE bit set. Уязвимость функции tb_cfg_request_dequeue() модуля drivers/thunderbolt/ctl.c ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sch_hfsc: make hfsc_qlen_notify() idempotent hfsc_qlen_notify() is not idempotent either and not friendly to its callers, like fq_codel_dequeue(). Let's make it idempotent to ease qdisc_tree_reduce_backlog() callers' life: 1. update_vf() decreases cl->cl_nactive, so we can check whether it is non-zero before calling it. 2. eltree_remove() always removes RB node cl->el_node, but we can use RB_EMPTY_NODE() + RB_CLEAR_NODE() to make it safe. Уязвимость компонента net/sched/sch_hfsc.c ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_hfsc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_hfsc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_hfsc ``` или ``` kmod list | grep sch_hfsc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_hfsc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_hfsc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/mediatek: dp: drm_err => dev_err in HPD path to avoid NULL ptr The function mtk_dp_wait_hpd_asserted() may be called before the `mtk_dp->drm_dev` pointer is assigned in mtk_dp_bridge_attach(). Specifically it can be called via this callpath: - mtk_edp_wait_hpd_asserted - [panel probe] - dp_aux_ep_probe Using "drm" level prints anywhere in this callpath causes a NULL pointer dereference. Change the error message directly in mtk_dp_wait_hpd_asserted() to dev_err() to avoid this. Also change the error messages in mtk_dp_parse_capabilities(), which is called by mtk_dp_wait_hpd_asserted(). While touching these prints, also add the error code to them to make future debugging easier. Уязвимость функции mtk_dp_wait_hpd_asserted() компонента drm/mediatek ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: serial: jsm: fix NPE during jsm_uart_port_init No device was set which caused serial_base_ctrl_add to crash. BUG: kernel NULL pointer dereference, address: 0000000000000050 Oops: Oops: 0000 [#1] PREEMPT SMP NOPTI CPU: 16 UID: 0 PID: 368 Comm: (udev-worker) Not tainted 6.12.25-amd64 #1 Debian 6.12.25-1 RIP: 0010:serial_base_ctrl_add+0x96/0x120 Call Trace: <TASK> serial_core_register_port+0x1a0/0x580 ? __setup_irq+0x39c/0x660 ? __kmalloc_cache_noprof+0x111/0x310 jsm_uart_port_init+0xe8/0x180 [jsm] jsm_probe_one+0x1f4/0x410 [jsm] local_pci_probe+0x42/0x90 pci_device_probe+0x22f/0x270 really_probe+0xdb/0x340 ? pm_runtime_barrier+0x54/0x90 ? __pfx___driver_attach+0x10/0x10 __driver_probe_device+0x78/0x110 driver_probe_device+0x1f/0xa0 __driver_attach+0xba/0x1c0 bus_for_each_dev+0x8c/0xe0 bus_add_driver+0x112/0x1f0 driver_register+0x72/0xd0 jsm_init_module+0x36/0xff0 [jsm] ? __pfx_jsm_init_module+0x10/0x10 [jsm] do_one_initcall+0x58/0x310 do_init_module+0x60/0x230 Tested with Digi Neo PCIe 8 port card. Уязвимость функции jsm_uart_port_init компонента serial ядра операционной системы Linux ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ring-buffer: Do not trigger WARN_ON() due to a commit_overrun When reading a memory mapped buffer the reader page is just swapped out with the last page written in the write buffer. If the reader page is the same as the commit buffer (the buffer that is currently being written to) it was assumed that it should never have missed events. If it does, it triggers a WARN_ON_ONCE(). But there just happens to be one scenario where this can legitimately happen. That is on a commit_overrun. A commit overrun is when an interrupt preempts an event being written to the buffer and then the interrupt adds so many new events that it fills and wraps the buffer back to the commit. Any new events would then be dropped and be reported as "missed_events". In this case, the next page to read is the commit buffer and after the swap of the reader page, the reader page will be the commit buffer, but this time there will be missed events and this triggers the following warning: ------------[ cut here ]------------ WARNING: CPU: 2 PID: 1127 at kernel/trace/ring_buffer.c:7357 ring_buffer_map_get_reader+0x49a/0x780 Modules linked in: kvm_intel kvm irqbypass CPU: 2 UID: 0 PID: 1127 Comm: trace-cmd Not tainted 6.15.0-rc7-test-00004-g478bc2824b45-dirty #564 PREEMPT Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:ring_buffer_map_get_reader+0x49a/0x780 Code: 00 00 00 48 89 fe 48 c1 ee 03 80 3c 2e 00 0f 85 ec 01 00 00 4d 3b a6 a8 00 00 00 0f 85 8a fd ff ff 48 85 c0 0f 84 55 fe ff ff <0f> 0b e9 4e fe ff ff be 08 00 00 00 4c 89 54 24 58 48 89 54 24 50 RSP: 0018:ffff888121787dc0 EFLAGS: 00010002 RAX: 00000000000006a2 RBX: ffff888100062800 RCX: ffffffff8190cb49 RDX: ffff888126934c00 RSI: 1ffff11020200a15 RDI: ffff8881010050a8 RBP: dffffc0000000000 R08: 0000000000000000 R09: ffffed1024d26982 R10: ffff888126934c17 R11: ffff8881010050a8 R12: ffff888126934c00 R13: ffff8881010050b8 R14: ffff888101005000 R15: ffff888126930008 FS: 00007f95c8cd7540(0000) GS:ffff8882b576e000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f95c8de4dc0 CR3: 0000000128452002 CR4: 0000000000172ef0 Call Trace: <TASK> ? __pfx_ring_buffer_map_get_reader+0x10/0x10 tracing_buffers_ioctl+0x283/0x370 __x64_sys_ioctl+0x134/0x190 do_syscall_64+0x79/0x1c0 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f95c8de48db Code: 00 48 89 44 24 18 31 c0 48 8d 44 24 60 c7 04 24 10 00 00 00 48 89 44 24 08 48 8d 44 24 20 48 89 44 24 10 b8 10 00 00 00 0f 05 <89> c2 3d 00 f0 ff ff 77 1c 48 8b 44 24 18 64 48 2b 04 25 28 00 00 RSP: 002b:00007ffe037ba110 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 00007ffe037bb2b0 RCX: 00007f95c8de48db RDX: 0000000000000000 RSI: 0000000000005220 RDI: 0000000000000006 RBP: 00007ffe037ba180 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 00007ffe037bb6f8 R14: 00007f95c9065000 R15: 00005575c7492c90 </TASK> irq event stamp: 5080 hardirqs last enabled at (5079): [<ffffffff83e0adb0>] _raw_spin_unlock_irqrestore+0x50/0x70 hardirqs last disabled at (5080): [<ffffffff83e0aa83>] _raw_spin_lock_irqsave+0x63/0x70 softirqs last enabled at (4182): [<ffffffff81516122>] handle_softirqs+0x552/0x710 softirqs last disabled at (4159): [<ffffffff815163f7>] __irq_exit_rcu+0x107/0x210 ---[ end trace 0000000000000000 ]--- The above was triggered by running on a kernel with both lockdep and KASAN as well as kmemleak enabled and executing the following command: # perf record -o perf-test.dat -a -- trace-cmd record --nosplice -e all -p function hackbench 50 With perf interjecting a lot of interrupts and trace-cmd enabling all events as well as function tracing, with lockdep, KASAN and kmemleak enabled, it could cause an interrupt preempting an event being written to add enough event ---truncated--- Уязвимость компонента ring-buffer файла kernel/trace/ring_buffer.c ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: typec: tcpm: move tcpm_queue_vdm_unlocked to asynchronous work A state check was previously added to tcpm_queue_vdm_unlocked to prevent a deadlock where the DisplayPort Alt Mode driver would be executing work and attempting to grab the tcpm_lock while the TCPM was holding the lock and attempting to unregister the altmode, blocking on the altmode driver's cancel_work_sync call. Because the state check isn't protected, there is a small window where the Alt Mode driver could determine that the TCPM is in a ready state and attempt to grab the lock while the TCPM grabs the lock and changes the TCPM state to one that causes the deadlock. The callstack is provided below: [110121.667392][ C7] Call trace: [110121.667396][ C7] __switch_to+0x174/0x338 [110121.667406][ C7] __schedule+0x608/0x9f0 [110121.667414][ C7] schedule+0x7c/0xe8 [110121.667423][ C7] kernfs_drain+0xb0/0x114 [110121.667431][ C7] __kernfs_remove+0x16c/0x20c [110121.667436][ C7] kernfs_remove_by_name_ns+0x74/0xe8 [110121.667442][ C7] sysfs_remove_group+0x84/0xe8 [110121.667450][ C7] sysfs_remove_groups+0x34/0x58 [110121.667458][ C7] device_remove_groups+0x10/0x20 [110121.667464][ C7] device_release_driver_internal+0x164/0x2e4 [110121.667475][ C7] device_release_driver+0x18/0x28 [110121.667484][ C7] bus_remove_device+0xec/0x118 [110121.667491][ C7] device_del+0x1e8/0x4ac [110121.667498][ C7] device_unregister+0x18/0x38 [110121.667504][ C7] typec_unregister_altmode+0x30/0x44 [110121.667515][ C7] tcpm_reset_port+0xac/0x370 [110121.667523][ C7] tcpm_snk_detach+0x84/0xb8 [110121.667529][ C7] run_state_machine+0x4c0/0x1b68 [110121.667536][ C7] tcpm_state_machine_work+0x94/0xe4 [110121.667544][ C7] kthread_worker_fn+0x10c/0x244 [110121.667552][ C7] kthread+0x104/0x1d4 [110121.667557][ C7] ret_from_fork+0x10/0x20 [110121.667689][ C7] Workqueue: events dp_altmode_work [110121.667697][ C7] Call trace: [110121.667701][ C7] __switch_to+0x174/0x338 [110121.667710][ C7] __schedule+0x608/0x9f0 [110121.667717][ C7] schedule+0x7c/0xe8 [110121.667725][ C7] schedule_preempt_disabled+0x24/0x40 [110121.667733][ C7] __mutex_lock+0x408/0xdac [110121.667741][ C7] __mutex_lock_slowpath+0x14/0x24 [110121.667748][ C7] mutex_lock+0x40/0xec [110121.667757][ C7] tcpm_altmode_enter+0x78/0xb4 [110121.667764][ C7] typec_altmode_enter+0xdc/0x10c [110121.667769][ C7] dp_altmode_work+0x68/0x164 [110121.667775][ C7] process_one_work+0x1e4/0x43c [110121.667783][ C7] worker_thread+0x25c/0x430 [110121.667789][ C7] kthread+0x104/0x1d4 [110121.667794][ C7] ret_from_fork+0x10/0x20 Change tcpm_queue_vdm_unlocked to queue for tcpm_queue_vdm_work, which can perform the state check while holding the TCPM lock while the Alt Mode lock is no longer held. This requires a new struct to hold the vdm data, altmode_vdm_event. Уязвимость функции tcpm_queue_vdm_unlocked() компонента DisplayPort Alt Mode Driver ядра операционной системы Linux связана c взаимной блокировкой потоков выполнения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: exit after state insertion failure at btrfs_convert_extent_bit() If insert_state() state failed it returns an error pointer and we call extent_io_tree_panic() which will trigger a BUG() call. However if CONFIG_BUG is disabled, which is an uncommon and exotic scenario, then we fallthrough and call cache_state() which will dereference the error pointer, resulting in an invalid memory access. So jump to the 'out' label after calling extent_io_tree_panic(), it also makes the code more clear besides dealing with the exotic scenario where CONFIG_BUG is disabled. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: drv: netdevsim: don't napi_complete() from netpoll netdevsim supports netpoll. Make sure we don't call napi_complete() from it, since it may not be scheduled. Breno reports hitting a warning in napi_complete_done(): WARNING: CPU: 14 PID: 104 at net/core/dev.c:6592 napi_complete_done+0x2cc/0x560 __napi_poll+0x2d8/0x3a0 handle_softirqs+0x1fe/0x710 This is presumably after netpoll stole the SCHED bit prematurely. Уязвимость функции napi_complete() компонента net ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: tipc: fix refcount warning in tipc_aead_encrypt syzbot reported a refcount warning [1] caused by calling get_net() on a network namespace that is being destroyed (refcount=0). This happens when a TIPC discovery timer fires during network namespace cleanup. The recently added get_net() call in commit e279024617134 ("net/tipc: fix slab-use-after-free Read in tipc_aead_encrypt_done") attempts to hold a reference to the network namespace. However, if the namespace is already being destroyed, its refcount might be zero, leading to the use-after-free warning. Replace get_net() with maybe_get_net(), which safely checks if the refcount is non-zero before incrementing it. If the namespace is being destroyed, return -ENODEV early, after releasing the bearer reference. [1]: https://lore.kernel.org/all/68342b55.a70a0220.253bc2.0091.GAE@google.com/T/#m12019cf9ae77e1954f666914640efa36d52704a2 Уязвимость функции get_net() компонента net ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fpga: fix potential null pointer deref in fpga_mgr_test_img_load_sgt() fpga_mgr_test_img_load_sgt() allocates memory for sgt using kunit_kzalloc() however it does not check if the allocation failed. It then passes sgt to sg_alloc_table(), which passes it to __sg_alloc_table(). This function calls memset() on sgt in an attempt to zero it out. If the allocation fails then sgt will be NULL and the memset will trigger a NULL pointer dereference. Fix this by checking the allocation with KUNIT_ASSERT_NOT_ERR_OR_NULL(). Уязвимость функции fpga_mgr_test_img_load_sgt() компонента fpga ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: phy: qcom-qmp-usb: Fix an NULL vs IS_ERR() bug The qmp_usb_iomap() helper function currently returns the raw result of devm_ioremap() for non-exclusive mappings. Since devm_ioremap() may return a NULL pointer and the caller only checks error pointers with IS_ERR(), NULL could bypass the check and lead to an invalid dereference. Fix the issue by checking if devm_ioremap() returns NULL. When it does, qmp_usb_iomap() now returns an error pointer via IOMEM_ERR_PTR(-ENOMEM), ensuring safe and consistent error handling. Уязвимость компонента phy ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mtd: nand: ecc-mxic: Fix use of uninitialized variable ret If ctx->steps is zero, the loop processing ECC steps is skipped, and the variable ret remains uninitialized. It is later checked and returned, which leads to undefined behavior and may cause unpredictable results in user space or kernel crashes. This scenario can be triggered in edge cases such as misconfigured geometry, ECC engine misuse, or if ctx->steps is not validated after initialization. Initialize ret to zero before the loop to ensure correct and safe behavior regardless of the ctx->steps value. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента mtd ядра операционной системы Linux связана с неправильной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: QOS: Refactor TC_HTB_LEAF_DEL_LAST callback This patch addresses below issues, 1. Active traffic on the leaf node must be stopped before its send queue is reassigned to the parent. This patch resolves the issue by marking the node as 'Inner'. 2. During a system reboot, the interface receives TC_HTB_LEAF_DEL and TC_HTB_LEAF_DEL_LAST callbacks to delete its HTB queues. In the case of TC_HTB_LEAF_DEL_LAST, although the same send queue is reassigned to the parent, the current logic still attempts to update the real number of queues, leadning to below warnings New queues can't be registered after device unregistration. WARNING: CPU: 0 PID: 6475 at net/core/net-sysfs.c:1714 netdev_queue_update_kobjects+0x1e4/0x200 Уязвимость компонента octeontx2-pf файла net/core/net-sysfs.c ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Avoid __bpf_prog_ret0_warn when jit fails syzkaller reported an issue: WARNING: CPU: 3 PID: 217 at kernel/bpf/core.c:2357 __bpf_prog_ret0_warn+0xa/0x20 kernel/bpf/core.c:2357 Modules linked in: CPU: 3 UID: 0 PID: 217 Comm: kworker/u32:6 Not tainted 6.15.0-rc4-syzkaller-00040-g8bac8898fe39 RIP: 0010:__bpf_prog_ret0_warn+0xa/0x20 kernel/bpf/core.c:2357 Call Trace: <TASK> bpf_dispatcher_nop_func include/linux/bpf.h:1316 [inline] __bpf_prog_run include/linux/filter.h:718 [inline] bpf_prog_run include/linux/filter.h:725 [inline] cls_bpf_classify+0x74a/0x1110 net/sched/cls_bpf.c:105 ... When creating bpf program, 'fp->jit_requested' depends on bpf_jit_enable. This issue is triggered because of CONFIG_BPF_JIT_ALWAYS_ON is not set and bpf_jit_enable is set to 1, causing the arch to attempt JIT the prog, but jit failed due to FAULT_INJECTION. As a result, incorrectly treats the program as valid, when the program runs it calls `__bpf_prog_ret0_warn` and triggers the WARN_ON_ONCE(1). Уязвимость функции bpf_prog_select_runtime() файла kernel/bpf/core.c ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kernfs: Relax constraint in draining guard The active reference lifecycle provides the break/unbreak mechanism but the active reference is not truly active after unbreak -- callers don't use it afterwards but it's important for proper pairing of kn->active counting. Assuming this mechanism is in place, the WARN check in kernfs_should_drain_open_files() is too sensitive -- it may transiently catch those (rightful) callers between kernfs_unbreak_active_protection() and kernfs_put_active() as found out by Chen Ridong: kernfs_remove_by_name_ns kernfs_get_active // active=1 __kernfs_remove // active=0x80000002 kernfs_drain ... wait_event //waiting (active == 0x80000001) kernfs_break_active_protection // active = 0x80000001 // continue kernfs_unbreak_active_protection // active = 0x80000002 ... kernfs_should_drain_open_files // warning occurs kernfs_put_active To avoid the false positives (mind panic_on_warn) remove the check altogether. (This is meant as quick fix, I think active reference break/unbreak may be simplified with larger rework.) Уязвимость функции kernfs_should_drain_open_files() компонента kernfs ядра операционной системы Linux связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hisi_acc_vfio_pci: bugfix live migration function without VF device driver If the VF device driver is not loaded in the Guest OS and we attempt to perform device data migration, the address of the migrated data will be NULL. The live migration recovery operation on the destination side will access a null address value, which will cause access errors. Therefore, live migration of VMs without added VF device drivers does not require device data migration. In addition, when the queue address data obtained by the destination is empty, device queue recovery processing will not be performed. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix WARN() in get_bpf_raw_tp_regs syzkaller reported an issue: WARNING: CPU: 3 PID: 5971 at kernel/trace/bpf_trace.c:1861 get_bpf_raw_tp_regs+0xa4/0x100 kernel/trace/bpf_trace.c:1861 Modules linked in: CPU: 3 UID: 0 PID: 5971 Comm: syz-executor205 Not tainted 6.15.0-rc5-syzkaller-00038-g707df3375124 #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:get_bpf_raw_tp_regs+0xa4/0x100 kernel/trace/bpf_trace.c:1861 RSP: 0018:ffffc90003636fa8 EFLAGS: 00010293 RAX: 0000000000000000 RBX: 0000000000000003 RCX: ffffffff81c6bc4c RDX: ffff888032efc880 RSI: ffffffff81c6bc83 RDI: 0000000000000005 RBP: ffff88806a730860 R08: 0000000000000005 R09: 0000000000000003 R10: 0000000000000004 R11: 0000000000000000 R12: 0000000000000004 R13: 0000000000000001 R14: ffffc90003637008 R15: 0000000000000900 FS: 0000000000000000(0000) GS:ffff8880d6cdf000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f7baee09130 CR3: 0000000029f5a000 CR4: 0000000000352ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ____bpf_get_stack_raw_tp kernel/trace/bpf_trace.c:1934 [inline] bpf_get_stack_raw_tp+0x24/0x160 kernel/trace/bpf_trace.c:1931 bpf_prog_ec3b2eefa702d8d3+0x43/0x47 bpf_dispatcher_nop_func include/linux/bpf.h:1316 [inline] __bpf_prog_run include/linux/filter.h:718 [inline] bpf_prog_run include/linux/filter.h:725 [inline] __bpf_trace_run kernel/trace/bpf_trace.c:2363 [inline] bpf_trace_run3+0x23f/0x5a0 kernel/trace/bpf_trace.c:2405 __bpf_trace_mmap_lock_acquire_returned+0xfc/0x140 include/trace/events/mmap_lock.h:47 __traceiter_mmap_lock_acquire_returned+0x79/0xc0 include/trace/events/mmap_lock.h:47 __do_trace_mmap_lock_acquire_returned include/trace/events/mmap_lock.h:47 [inline] trace_mmap_lock_acquire_returned include/trace/events/mmap_lock.h:47 [inline] __mmap_lock_do_trace_acquire_returned+0x138/0x1f0 mm/mmap_lock.c:35 __mmap_lock_trace_acquire_returned include/linux/mmap_lock.h:36 [inline] mmap_read_trylock include/linux/mmap_lock.h:204 [inline] stack_map_get_build_id_offset+0x535/0x6f0 kernel/bpf/stackmap.c:157 __bpf_get_stack+0x307/0xa10 kernel/bpf/stackmap.c:483 ____bpf_get_stack kernel/bpf/stackmap.c:499 [inline] bpf_get_stack+0x32/0x40 kernel/bpf/stackmap.c:496 ____bpf_get_stack_raw_tp kernel/trace/bpf_trace.c:1941 [inline] bpf_get_stack_raw_tp+0x124/0x160 kernel/trace/bpf_trace.c:1931 bpf_prog_ec3b2eefa702d8d3+0x43/0x47 Tracepoint like trace_mmap_lock_acquire_returned may cause nested call as the corner case show above, which will be resolved with more general method in the future. As a result, WARN_ON_ONCE will be triggered. As Alexei suggested, remove the WARN_ON_ONCE first. Уязвимость модуля kernel/trace/bpf_trace.c подсистемы BPF ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: at91: Fix possible out-of-boundary access at91_gpio_probe() doesn't check that given OF alias is not available or something went wrong when trying to get it. This might have consequences when accessing gpio_chips array with that value as an index. Note, that BUG() can be compiled out and hence won't actually perform the required checks. Уязвимость функции at91_gpio_probe() файла drivers/pinctrl/pinctrl-at91.c ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: smartpqi: Fix smp_processor_id() call trace for preemptible kernels Correct kernel call trace when calling smp_processor_id() when called in preemptible kernels by using raw_smp_processor_id(). smp_processor_id() checks to see if preemption is disabled and if not, issue an error message followed by a call to dump_stack(). Brief example of call trace: kernel: check_preemption_disabled: 436 callbacks suppressed kernel: BUG: using smp_processor_id() in preemptible [00000000] code: kworker/u1025:0/2354 kernel: caller is pqi_scsi_queue_command+0x183/0x310 [smartpqi] kernel: CPU: 129 PID: 2354 Comm: kworker/u1025:0 kernel: ... kernel: Workqueue: writeback wb_workfn (flush-253:0) kernel: Call Trace: kernel: <TASK> kernel: dump_stack_lvl+0x34/0x48 kernel: check_preemption_disabled+0xdd/0xe0 kernel: pqi_scsi_queue_command+0x183/0x310 [smartpqi] kernel: ... Уязвимость функции smp_processor_id() модуля drivers/scsi/smartpqi/smartpqi_init.c ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: fix node corruption in ar->arvifs list In current WLAN recovery code flow, ath12k_core_halt() only reinitializes the "arvifs" list head. This will cause the list node immediately following the list head to become an invalid list node. Because the prev of that node still points to the list head "arvifs", but the next of the list head "arvifs" no longer points to that list node. When a WLAN recovery occurs during the execution of a vif removal, and it happens before the spin_lock_bh(&ar->data_lock) in ath12k_mac_vdev_delete(), list_del() will detect the previously mentioned situation, thereby triggering a kernel panic. The fix is to remove and reinitialize all vif list nodes from the list head "arvifs" during WLAN halt. The reinitialization is to make the list nodes valid, ensuring that the list_del() in ath12k_mac_vdev_delete() can execute normally. Call trace: __list_del_entry_valid_or_report+0xd4/0x100 (P) ath12k_mac_remove_link_interface.isra.0+0xf8/0x2e4 [ath12k] ath12k_scan_vdev_clean_work+0x40/0x164 [ath12k] cfg80211_wiphy_work+0xfc/0x100 process_one_work+0x164/0x2d0 worker_thread+0x254/0x380 kthread+0xfc/0x100 ret_from_fork+0x10/0x20 The change is mostly copied from the ath11k patch: https://lore.kernel.org/all/20250320053145.3445187-1-quic_stonez@quicinc.com/ Tested-on: QCN9274 hw2.0 PCI WLAN.WBE.1.4.1-00199-QCAHKSWPL_SILICONZ-1 Уязвимость функции ath12k_core_halt() модуля drivers/net/wireless/ath/ath12k/core.c ядра операционной системы Linux связана с истечением срока действия ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: fix invalid access to memory In ath12k_dp_rx_msdu_coalesce(), rxcb is fetched from skb and boolean is_continuation is part of rxcb. Currently, after freeing the skb, the rxcb->is_continuation accessed again which is wrong since the memory is already freed. This might lead use-after-free error. Hence, fix by locally defining bool is_continuation from rxcb, so that after freeing skb, is_continuation can be used. Compile tested only. Уязвимость функции ath12k_dp_rx_msdu_coalesce() модуля drivers/net/wireless/ath/ath12k/dp_rx.c ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: fix node corruption in ar->arvifs list In current WLAN recovery code flow, ath11k_core_halt() only reinitializes the "arvifs" list head. This will cause the list node immediately following the list head to become an invalid list node. Because the prev of that node still points to the list head "arvifs", but the next of the list head "arvifs" no longer points to that list node. When a WLAN recovery occurs during the execution of a vif removal, and it happens before the spin_lock_bh(&ar->data_lock) in ath11k_mac_op_remove_interface(), list_del() will detect the previously mentioned situation, thereby triggering a kernel panic. The fix is to remove and reinitialize all vif list nodes from the list head "arvifs" during WLAN halt. The reinitialization is to make the list nodes valid, ensuring that the list_del() in ath11k_mac_op_remove_interface() can execute normally. Call trace: __list_del_entry_valid_or_report+0xb8/0xd0 ath11k_mac_op_remove_interface+0xb0/0x27c [ath11k] drv_remove_interface+0x48/0x194 [mac80211] ieee80211_do_stop+0x6e0/0x844 [mac80211] ieee80211_stop+0x44/0x17c [mac80211] __dev_close_many+0xac/0x150 __dev_change_flags+0x194/0x234 dev_change_flags+0x24/0x6c devinet_ioctl+0x3a0/0x670 inet_ioctl+0x200/0x248 sock_do_ioctl+0x60/0x118 sock_ioctl+0x274/0x35c __arm64_sys_ioctl+0xac/0xf0 invoke_syscall+0x48/0x114 ... Tested-on: QCA6698AQ hw2.1 PCI WLAN.HSP.1.1-04591-QCAHSPSWPL_V1_V2_SILICONZ_IOE-1 Уязвимость функции ath11k_core_halt() модуля drivers/net/wireless/ath/ath11k/core.c ядра операционной системы Linux связана с повреждением узла в списке arvifs в результате некорректной инициализации ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf/amlogic: Replace smp_processor_id() with raw_smp_processor_id() in meson_ddr_pmu_create() The Amlogic DDR PMU driver meson_ddr_pmu_create() function incorrectly uses smp_processor_id(), which assumes disabled preemption. This leads to kernel warnings during module loading because meson_ddr_pmu_create() can be called in a preemptible context. Following kernel warning and stack trace: [ 31.745138] [ T2289] BUG: using smp_processor_id() in preemptible [00000000] code: (udev-worker)/2289 [ 31.745154] [ T2289] caller is debug_smp_processor_id+0x28/0x38 [ 31.745172] [ T2289] CPU: 4 UID: 0 PID: 2289 Comm: (udev-worker) Tainted: GW 6.14.0-0-MANJARO-ARM #1 59519addcbca6ba8de735e151fd7b9e97aac7ff0 [ 31.745181] [ T2289] Tainted: [W]=WARN [ 31.745183] [ T2289] Hardware name: Hardkernel ODROID-N2Plus (DT) [ 31.745188] [ T2289] Call trace: [ 31.745191] [ T2289] show_stack+0x28/0x40 (C) [ 31.745199] [ T2289] dump_stack_lvl+0x4c/0x198 [ 31.745205] [ T2289] dump_stack+0x20/0x50 [ 31.745209] [ T2289] check_preemption_disabled+0xec/0xf0 [ 31.745213] [ T2289] debug_smp_processor_id+0x28/0x38 [ 31.745216] [ T2289] meson_ddr_pmu_create+0x200/0x560 [meson_ddr_pmu_g12 8095101c49676ad138d9961e3eddaee10acca7bd] [ 31.745237] [ T2289] g12_ddr_pmu_probe+0x20/0x38 [meson_ddr_pmu_g12 8095101c49676ad138d9961e3eddaee10acca7bd] [ 31.745246] [ T2289] platform_probe+0x98/0xe0 [ 31.745254] [ T2289] really_probe+0x144/0x3f8 [ 31.745258] [ T2289] __driver_probe_device+0xb8/0x180 [ 31.745261] [ T2289] driver_probe_device+0x54/0x268 [ 31.745264] [ T2289] __driver_attach+0x11c/0x288 [ 31.745267] [ T2289] bus_for_each_dev+0xfc/0x160 [ 31.745274] [ T2289] driver_attach+0x34/0x50 [ 31.745277] [ T2289] bus_add_driver+0x160/0x2b0 [ 31.745281] [ T2289] driver_register+0x78/0x120 [ 31.745285] [ T2289] __platform_driver_register+0x30/0x48 [ 31.745288] [ T2289] init_module+0x30/0xfe0 [meson_ddr_pmu_g12 8095101c49676ad138d9961e3eddaee10acca7bd] [ 31.745298] [ T2289] do_one_initcall+0x11c/0x438 [ 31.745303] [ T2289] do_init_module+0x68/0x228 [ 31.745311] [ T2289] load_module+0x118c/0x13a8 [ 31.745315] [ T2289] __arm64_sys_finit_module+0x274/0x390 [ 31.745320] [ T2289] invoke_syscall+0x74/0x108 [ 31.745326] [ T2289] el0_svc_common+0x90/0xf8 [ 31.745330] [ T2289] do_el0_svc+0x2c/0x48 [ 31.745333] [ T2289] el0_svc+0x60/0x150 [ 31.745337] [ T2289] el0t_64_sync_handler+0x80/0x118 [ 31.745341] [ T2289] el0t_64_sync+0x1b8/0x1c0 Changes replaces smp_processor_id() with raw_smp_processor_id() to ensure safe CPU ID retrieval in preemptible contexts. Уязвимость функции smp_processor_id() модуля drivers/perf/amlogic/meson_ddr_pmu_core.c ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PM: EM: Fix potential division-by-zero error in em_compute_costs() When the device is of a non-CPU type, table[i].performance won't be initialized in the previous em_init_performance(), resulting in division by zero when calculating costs in em_compute_costs(). Since the 'cost' algorithm is only used for EAS energy efficiency calculations and is currently not utilized by other device drivers, we should add the _is_cpu_device(dev) check to prevent this division-by-zero issue. Уязвимость функции em_compute_costs() модуля kernel/power/energy_model.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: EDAC/skx_common: Fix general protection fault After loading i10nm_edac (which automatically loads skx_edac_common), if unload only i10nm_edac, then reload it and perform error injection testing, a general protection fault may occur: mce: [Hardware Error]: Machine check events logged Oops: general protection fault ... ... Workqueue: events mce_gen_pool_process RIP: 0010:string+0x53/0xe0 ... Call Trace: <TASK> ? die_addr+0x37/0x90 ? exc_general_protection+0x1e7/0x3f0 ? asm_exc_general_protection+0x26/0x30 ? string+0x53/0xe0 vsnprintf+0x23e/0x4c0 snprintf+0x4d/0x70 skx_adxl_decode+0x16a/0x330 [skx_edac_common] skx_mce_check_error.part.0+0xf8/0x220 [skx_edac_common] skx_mce_check_error+0x17/0x20 [skx_edac_common] ... The issue arose was because the variable 'adxl_component_count' (inside skx_edac_common), which counts the ADXL components, was not reset. During the reloading of i10nm_edac, the count was incremented by the actual number of ADXL components again, resulting in a count that was double the real number of ADXL components. This led to an out-of-bounds reference to the ADXL component array, causing the general protection fault above. Fix this issue by resetting the 'adxl_component_count' in adxl_put(), which is called during the unloading of {skx,i10nm}_edac. Уязвимость компонента skx_common.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: mediatek: mt8195: Set ETDM1/2 IN/OUT to COMP_DUMMY() ETDM2_IN_BE and ETDM1_OUT_BE are defined as COMP_EMPTY(), in the case the codec dai_name will be null. Avoid a crash if the device tree is not assigning a codec to these links. [ 1.179936] Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 [ 1.181065] Mem abort info: [ 1.181420] ESR = 0x0000000096000004 [ 1.181892] EC = 0x25: DABT (current EL), IL = 32 bits [ 1.182576] SET = 0, FnV = 0 [ 1.182964] EA = 0, S1PTW = 0 [ 1.183367] FSC = 0x04: level 0 translation fault [ 1.183983] Data abort info: [ 1.184406] ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 [ 1.185097] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 1.185766] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 1.186439] [0000000000000000] user address but active_mm is swapper [ 1.187239] Internal error: Oops: 0000000096000004 [#1] PREEMPT SMP [ 1.188029] Modules linked in: [ 1.188420] CPU: 7 UID: 0 PID: 70 Comm: kworker/u32:1 Not tainted 6.14.0-rc4-next-20250226+ #85 [ 1.189515] Hardware name: Radxa NIO 12L (DT) [ 1.190065] Workqueue: events_unbound deferred_probe_work_func [ 1.190808] pstate: 40400009 (nZcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 1.191683] pc : __pi_strcmp+0x24/0x140 [ 1.192170] lr : mt8195_mt6359_soc_card_probe+0x224/0x7b0 [ 1.192854] sp : ffff800083473970 [ 1.193271] x29: ffff800083473a10 x28: 0000000000001008 x27: 0000000000000002 [ 1.194168] x26: ffff800082408960 x25: ffff800082417db0 x24: ffff800082417d88 [ 1.195065] x23: 000000000000001e x22: ffff800082dbf480 x21: ffff800082dc07b8 [ 1.195961] x20: 0000000000000000 x19: 0000000000000013 x18: 00000000ffffffff [ 1.196858] x17: 000000040044ffff x16: 005000f2b5503510 x15: 0000000000000006 [ 1.197755] x14: ffff800082407af0 x13: 6e6f69737265766e x12: 692d6b636f6c6374 [ 1.198651] x11: 0000000000000002 x10: ffff80008240b920 x9 : 0000000000000018 [ 1.199547] x8 : 0101010101010101 x7 : 0000000000000000 x6 : 0000000000000000 [ 1.200443] x5 : 0000000000000000 x4 : 8080808080000000 x3 : 303933383978616d [ 1.201339] x2 : 0000000000000000 x1 : ffff80008240b920 x0 : 0000000000000000 [ 1.202236] Call trace: [ 1.202545] __pi_strcmp+0x24/0x140 (P) [ 1.203029] mtk_soundcard_common_probe+0x3bc/0x5b8 [ 1.203644] platform_probe+0x70/0xe8 [ 1.204106] really_probe+0xc8/0x3a0 [ 1.204556] __driver_probe_device+0x84/0x160 [ 1.205104] driver_probe_device+0x44/0x130 [ 1.205630] __device_attach_driver+0xc4/0x170 [ 1.206189] bus_for_each_drv+0x8c/0xf8 [ 1.206672] __device_attach+0xa8/0x1c8 [ 1.207155] device_initial_probe+0x1c/0x30 [ 1.207681] bus_probe_device+0xb0/0xc0 [ 1.208165] deferred_probe_work_func+0xa4/0x100 [ 1.208747] process_one_work+0x158/0x3e0 [ 1.209254] worker_thread+0x2c4/0x3e8 [ 1.209727] kthread+0x134/0x1f0 [ 1.210136] ret_from_fork+0x10/0x20 [ 1.210589] Code: 54000401 b50002c6 d503201f f86a6803 (f8408402) [ 1.211355] ---[ end trace 0000000000000000 ]--- Уязвимость функции COMP_DUMMY() модуля sound/soc/mediatek/mt8195/mt8195-mt6359.c ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: sun8i-ce-cipher - fix error handling in sun8i_ce_cipher_prepare() Fix two DMA cleanup issues on the error path in sun8i_ce_cipher_prepare(): 1] If dma_map_sg() fails for areq->dst, the device driver would try to free DMA memory it has not allocated in the first place. To fix this, on the "theend_sgs" error path, call dma unmap only if the corresponding dma map was successful. 2] If the dma_map_single() call for the IV fails, the device driver would try to free an invalid DMA memory address on the "theend_iv" path: ------------[ cut here ]------------ DMA-API: sun8i-ce 1904000.crypto: device driver tries to free an invalid DMA memory address WARNING: CPU: 2 PID: 69 at kernel/dma/debug.c:968 check_unmap+0x123c/0x1b90 Modules linked in: skcipher_example(O+) CPU: 2 UID: 0 PID: 69 Comm: 1904000.crypto- Tainted: G O 6.15.0-rc3+ #24 PREEMPT Tainted: [O]=OOT_MODULE Hardware name: OrangePi Zero2 (DT) pc : check_unmap+0x123c/0x1b90 lr : check_unmap+0x123c/0x1b90 ... Call trace: check_unmap+0x123c/0x1b90 (P) debug_dma_unmap_page+0xac/0xc0 dma_unmap_page_attrs+0x1f4/0x5fc sun8i_ce_cipher_do_one+0x1bd4/0x1f40 crypto_pump_work+0x334/0x6e0 kthread_worker_fn+0x21c/0x438 kthread+0x374/0x664 ret_from_fork+0x10/0x20 ---[ end trace 0000000000000000 ]--- To fix this, check for !dma_mapping_error() before calling dma_unmap_single() on the "theend_iv" path. Уязвимость функции sun8i_ce_cipher_prepare() модуля drivers/crypto/allwinner/sun8i-ce/sun8i-ce-cipher.c ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvmem: zynqmp_nvmem: unbreak driver after cleanup Commit 29be47fcd6a0 ("nvmem: zynqmp_nvmem: zynqmp_nvmem_probe cleanup") changed the driver to expect the device pointer to be passed as the "context", but in nvmem the context parameter comes from nvmem_config.priv which is never set - Leading to null pointer exceptions when the device is accessed. Уязвимость функции zynqmp_nvmem ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: block: don't use submit_bio_noacct_nocheck in blk_zone_wplug_bio_work Bios queued up in the zone write plug have already gone through all all preparation in the submit_bio path, including the freeze protection. Submitting them through submit_bio_noacct_nocheck duplicates the work and can can cause deadlocks when freezing a queue with pending bio write plugs. Go straight to ->submit_bio or blk_mq_submit_bio to bypass the superfluous extra freeze protection and checks. Уязвимость функции submit_bio_noacct_nocheck ядра операционной системы Linux связана с зависанием из-за повторной блокировки ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: eir: Fix possible crashes on eir_create_adv_data eir_create_adv_data may attempt to add EIR_FLAGS and EIR_TX_POWER without checking if that would fit. Уязвимость функции eir_create_adv_data() ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Fix NULL pointer deference on eir_get_service_data The len parameter is considered optional so it can be NULL so it cannot be used for skipping to next entry of EIR_SERVICE_DATA. Уязвимость функции eir_get_service_data() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ptp: remove ptp->n_vclocks check logic in ptp_vclock_in_use() There is no disagreement that we should check both ptp->is_virtual_clock and ptp->n_vclocks to check if the ptp virtual clock is in use. However, when we acquire ptp->n_vclocks_mux to read ptp->n_vclocks in ptp_vclock_in_use(), we observe a recursive lock in the call trace starting from n_vclocks_store(). ============================================ WARNING: possible recursive locking detected 6.15.0-rc6 #1 Not tainted -------------------------------------------- syz.0.1540/13807 is trying to acquire lock: ffff888035a24868 (&ptp->n_vclocks_mux){+.+.}-{4:4}, at: ptp_vclock_in_use drivers/ptp/ptp_private.h:103 [inline] ffff888035a24868 (&ptp->n_vclocks_mux){+.+.}-{4:4}, at: ptp_clock_unregister+0x21/0x250 drivers/ptp/ptp_clock.c:415 but task is already holding lock: ffff888030704868 (&ptp->n_vclocks_mux){+.+.}-{4:4}, at: n_vclocks_store+0xf1/0x6d0 drivers/ptp/ptp_sysfs.c:215 other info that might help us debug this: Possible unsafe locking scenario: CPU0 ---- lock(&ptp->n_vclocks_mux); lock(&ptp->n_vclocks_mux); *** DEADLOCK *** .... ============================================ The best way to solve this is to remove the logic that checks ptp->n_vclocks in ptp_vclock_in_use(). The reason why this is appropriate is that any path that uses ptp->n_vclocks must unconditionally check if ptp->n_vclocks is greater than 0 before unregistering vclocks, and all functions are already written this way. And in the function that uses ptp->n_vclocks, we already get ptp->n_vclocks_mux before unregistering vclocks. Therefore, we need to remove the redundant check for ptp->n_vclocks in ptp_vclock_in_use() to prevent recursive locking. Уязвимость компонента ptp_private.h ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: Intel: avs: Verify content returned by parse_int_array() The first element of the returned array stores its length. If it is 0, any manipulation beyond the element at index 0 ends with null-ptr-deref. Уязвимость функции parse_int_array() компонента ASoC ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: seg6: Fix validation of nexthop addresses The kernel currently validates that the length of the provided nexthop address does not exceed the specified length. This can lead to the kernel reading uninitialized memory if user space provided a shorter length than the specified one. Fix by validating that the provided length exactly matches the specified one. Уязвимость компонента seg6 ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: core: fbcvt: avoid division by 0 in fb_cvt_hperiod() In fb_find_mode_cvt(), iff mode->refresh somehow happens to be 0x80000000, cvt.f_refresh will become 0 when multiplying it by 2 due to overflow. It's then passed to fb_cvt_hperiod(), where it's used as a divider -- division by 0 will result in kernel oops. Add a sanity check for cvt.f_refresh to avoid such overflow... Found by Linux Verification Center (linuxtesting.org) with the Svace static analysis tool. Уязвимость функции fb_cvt_hperiod() компонента fbdev ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bus: fsl-mc: fix double-free on mc_dev The blamed commit tried to simplify how the deallocations are done but, in the process, introduced a double-free on the mc_dev variable. In case the MC device is a DPRC, a new mc_bus is allocated and the mc_dev variable is just a reference to one of its fields. In this circumstance, on the error path only the mc_bus should be freed. This commit introduces back the following checkpatch warning which is a false-positive. WARNING: kfree(NULL) is safe and this check is probably not required + if (mc_bus) + kfree(mc_bus); Уязвимость компонента bus ядра операционной системы Linux связана с ошибкой повторного освобождения памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btintel: Check dsbr size from EFI variable Since the size of struct btintel_dsbr is already known, we can just start there instead of querying the EFI variable size. If the final result doesn't match what we expect also fail. This fixes a stack buffer overflow when the EFI variable is larger than struct btintel_dsbr. Уязвимость функции btintel_dsbr() компонента Bluetooth ядра операционной системы Linux связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: Fix buffer overflow in debugfs If the user tries to write more than 32 bytes then it results in memory corruption. Fortunately, this is debugfs so it's limited to root users. Уязвимость компонента wifi ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю повредить память [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf: arm-ni: Fix missing platform_set_drvdata() Add missing platform_set_drvdata in arm_ni_probe(), otherwise calling platform_get_drvdata() in remove returns NULL. Уязвимость функции platform_set_drvdata() компонента perf ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pp: Fix potential NULL pointer dereference in atomctrl_initialize_mc_reg_table The function atomctrl_initialize_mc_reg_table() and atomctrl_initialize_mc_reg_table_v2_2() does not check the return value of smu_atom_get_data_table(). If smu_atom_get_data_table() fails to retrieve vram_info, it returns NULL which is later dereferenced. Уязвимость функции atomctrl_initialize_mc_reg_table() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: posix-cpu-timers: fix race between handle_posix_cpu_timers() and posix_cpu_timer_del() If an exiting non-autoreaping task has already passed exit_notify() and calls handle_posix_cpu_timers() from IRQ, it can be reaped by its parent or debugger right after unlock_task_sighand(). If a concurrent posix_cpu_timer_del() runs at that moment, it won't be able to detect timer->it.cpu.firing != 0: cpu_timer_task_rcu() and/or lock_task_sighand() will fail. Add the tsk->exit_state check into run_posix_cpu_timers() to fix this. This fix is not needed if CONFIG_POSIX_CPU_TIMERS_TASK_WORK=y, because exit_task_work() is called before exit_notify(). But the check still makes sense, task_work_add(&tsk->posix_cputimers_work.work) will fail anyway in this case. Уязвимость компонента kernel/time/posix-cpu-timers.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: fix GCC_GCC_PCIE_HOT_RST definition for WCN7850 GCC_GCC_PCIE_HOT_RST is wrongly defined for WCN7850, causing kernel crash on some specific platforms. Since this register is divergent for WCN7850 and QCN9274, move it to register table to allow different definitions. Then correct the register address for WCN7850 to fix this issue. Note IPQ5332 is not affected as it is not PCIe based device. Tested-on: WCN7850 hw2.0 PCI WLAN.HMT.1.0.c5-00481-QCAHMTSWPL_V1.0_V2.0_SILICONZ-3 Уязвимость компонента wifi ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Squashfs: check return result of sb_min_blocksize Syzkaller reports an "UBSAN: shift-out-of-bounds in squashfs_bio_read" bug. Syzkaller forks multiple processes which after mounting the Squashfs filesystem, issues an ioctl("/dev/loop0", LOOP_SET_BLOCK_SIZE, 0x8000). Now if this ioctl occurs at the same time another process is in the process of mounting a Squashfs filesystem on /dev/loop0, the failure occurs. When this happens the following code in squashfs_fill_super() fails. ---- msblk->devblksize = sb_min_blocksize(sb, SQUASHFS_DEVBLK_SIZE); msblk->devblksize_log2 = ffz(~msblk->devblksize); ---- sb_min_blocksize() returns 0, which means msblk->devblksize is set to 0. As a result, ffz(~msblk->devblksize) returns 64, and msblk->devblksize_log2 is set to 64. This subsequently causes the UBSAN: shift-out-of-bounds in fs/squashfs/block.c:195:36 shift exponent 64 is too large for 64-bit type 'u64' (aka 'unsigned long long') This commit adds a check for a 0 return by sb_min_blocksize(). Уязвимость функции squashfs_fill_super() компонента Squashfs ядра операционной системы Linux связана с чтением за границами буфера памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: fsl-edma: free irq correctly in remove path Add fsl_edma->txirq/errirq check to avoid below warning because no errirq at i.MX9 platform. Otherwise there will be kernel dump: WARNING: CPU: 0 PID: 11 at kernel/irq/devres.c:144 devm_free_irq+0x74/0x80 Modules linked in: CPU: 0 UID: 0 PID: 11 Comm: kworker/u8:0 Not tainted 6.12.0-rc7#18 Hardware name: NXP i.MX93 11X11 EVK board (DT) Workqueue: events_unbound deferred_probe_work_func pstate: 60400009 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : devm_free_irq+0x74/0x80 lr : devm_free_irq+0x48/0x80 Call trace: devm_free_irq+0x74/0x80 (P) devm_free_irq+0x48/0x80 (L) fsl_edma_remove+0xc4/0xc8 platform_remove+0x28/0x44 device_remove+0x4c/0x80 Уязвимость компонента dmaengine ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: do_change_type(): refuse to operate on unmounted/not ours mounts Ensure that propagation settings can only be changed for mounts located in the caller's mount namespace. This change aligns permission checking with the rest of mount(2). Уязвимость функции do_change_type() компонента fs/namespace.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: use aead_request_free to match aead_request_alloc Use aead_request_free() instead of kfree() to properly free memory allocated by aead_request_alloc(). This ensures sensitive crypto data is zeroed before being freed. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: skbprio: Remove overly strict queue assertions In the current implementation, skbprio enqueue/dequeue contains an assertion that fails under certain conditions when SKBPRIO is used as a child qdisc under TBF with specific parameters. The failure occurs because TBF sometimes peeks at packets in the child qdisc without actually dequeuing them when tokens are unavailable. This peek operation creates a discrepancy between the parent and child qdisc queue length counters. When TBF later receives a high-priority packet, SKBPRIO's queue length may show a different value than what's reflected in its internal priority queue tracking, triggering the assertion. The fix removes this overly strict assertions in SKBPRIO, they are not necessary at all. Уязвимость компонента net/sched/sch_skbprio.c ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 thunderbird Thunderbird parses addresses in a way that can allow sender spoofing in case the server allows an invalid From address to be used. For example, if the From header contains an (invalid) value "Spoofed Name ", Thunderbird treats spoofed@example.com as the actual address. This vulnerability was fixed in Thunderbird 128.10.1 and Thunderbird 138.0.1. Уязвимость почтового клиента Thunderbird связана с некорректной обработкой заголовка p2-from. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить спуфинг атаки [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Thunderbird's handling of the X-Mozilla-External-Attachment-URL header can be exploited to execute JavaScript in the file:/// context. By crafting a nested email attachment (message/rfc822) and setting its content type to application/pdf, Thunderbird may incorrectly render it as HTML when opened, allowing the embedded JavaScript to run without requiring a file download. This behavior relies on Thunderbird auto-saving the attachment to /tmp and linking to it via the file:/// protocol, potentially enabling JavaScript execution as part of the HTML. This vulnerability was fixed in Thunderbird 128.10.1 and Thunderbird 138.0.1. Уязвимость почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга при обработке заголовка X-Mozilla-External-Attachment-URL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-356')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird It was possible to craft an email that showed a tracking link as an attachment. If the user attempted to open the attachment, Thunderbird automatically accessed the link. The configuration to block remote content did not prevent that. Thunderbird has been fixed to no longer allow access to web pages listed in the X-Mozilla-External-Attachment-URL header of an email. This vulnerability was fixed in Thunderbird 128.10.1 and Thunderbird 138.0.1. Уязвимость почтового клиента Thunderbird связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfsd: allow SC_STATUS_FREEABLE when searching via nfs4_lookup_stateid() The pynfs DELEG8 test fails when run against nfsd. It acquires a delegation and then lets the lease time out. It then tries to use the deleg stateid and expects to see NFS4ERR_DELEG_REVOKED, but it gets bad NFS4ERR_BAD_STATEID instead. When a delegation is revoked, it's initially marked with SC_STATUS_REVOKED, or SC_STATUS_ADMIN_REVOKED and later, it's marked with the SC_STATUS_FREEABLE flag, which denotes that it is waiting for s FREE_STATEID call. nfs4_lookup_stateid() accepts a statusmask that includes the status flags that a found stateid is allowed to have. Currently, that mask never includes SC_STATUS_FREEABLE, which means that revoked delegations are (almost) never found. Add SC_STATUS_FREEABLE to the always-allowed status flags, and remove it from nfsd4_delegreturn() since it's now always implied. Уязвимость компонента nfsd ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clk: samsung: Fix UBSAN panic in samsung_clk_init() With UBSAN_ARRAY_BOUNDS=y, I'm hitting the below panic due to dereferencing `ctx->clk_data.hws` before setting `ctx->clk_data.num = nr_clks`. Move that up to fix the crash. UBSAN: array index out of bounds: 00000000f2005512 [#1] PREEMPT SMP <snip> Call trace: samsung_clk_init+0x110/0x124 (P) samsung_clk_init+0x48/0x124 (L) samsung_cmu_register_one+0x3c/0xa0 exynos_arm64_register_cmu+0x54/0x64 __gs101_cmu_top_of_clk_init_declare+0x28/0x60 ... Уязвимость компонента clk ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jfs: fix slab-out-of-bounds read in ea_get() During the "size_check" label in ea_get(), the code checks if the extended attribute list (xattr) size matches ea_size. If not, it logs "ea_get: invalid extended attribute" and calls print_hex_dump(). Here, EALIST_SIZE(ea_buf->xattr) returns 4110417968, which exceeds INT_MAX (2,147,483,647). Then ea_size is clamped: int size = clamp_t(int, ea_size, 0, EALIST_SIZE(ea_buf->xattr)); Although clamp_t aims to bound ea_size between 0 and 4110417968, the upper limit is treated as an int, causing an overflow above 2^31 - 1. This leads "size" to wrap around and become negative (-184549328). The "size" is then passed to print_hex_dump() (called "len" in print_hex_dump()), it is passed as type size_t (an unsigned type), this is then stored inside a variable called "int remaining", which is then assigned to "int linelen" which is then passed to hex_dump_to_buffer(). In print_hex_dump() the for loop, iterates through 0 to len-1, where len is 18446744073525002176, calling hex_dump_to_buffer() on each iteration: for (i = 0; i < len; i += rowsize) { linelen = min(remaining, rowsize); remaining -= rowsize; hex_dump_to_buffer(ptr + i, linelen, rowsize, groupsize, linebuf, sizeof(linebuf), ascii); ... } The expected stopping condition (i < len) is effectively broken since len is corrupted and very large. This eventually leads to the "ptr+i" being passed to hex_dump_to_buffer() to get closer to the end of the actual bounds of "ptr", eventually an out of bounds access is done in hex_dump_to_buffer() in the following for loop: for (j = 0; j < len; j++) { if (linebuflen < lx + 2) goto overflow2; ch = ptr[j]; ... } To fix this we should validate "EALIST_SIZE(ea_buf->xattr)" before it is utilised. Уязвимость функции ea_get() компонента fs/jfs/xattr.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: objtool, nvmet: Fix out-of-bounds stack access in nvmet_ctrl_state_show() The csts_state_names[] array only has six sparse entries, but the iteration code in nvmet_ctrl_state_show() iterates seven, resulting in a potential out-of-bounds stack read. Fix that. Fixes the following warning with an UBSAN kernel: vmlinux.o: warning: objtool: .text.nvmet_ctrl_state_show: unexpected end of section Уязвимость функции nvmet_ctrl_state_show() компонента drivers/nvme/target/debugfs.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: l2cap: Check encryption key size on incoming connection This is required for passing GAP/SEC/SEM/BI-04-C PTS test case: Security Mode 4 Level 4, Responder - Invalid Encryption Key Size - 128 bit This tests the security key with size from 1 to 15 bytes while the Security Mode 4 Level 4 requests 16 bytes key size. Currently PTS fails with the following logs: - expected:Connection Response: Code: [3 (0x03)] Code Identifier: (lt)WildCard: Exists(gt) Length: [8 (0x0008)] Destination CID: (lt)WildCard: Exists(gt) Source CID: [64 (0x0040)] Result: [3 (0x0003)] Connection refused - Security block Status: (lt)WildCard: Exists(gt), but received:Connection Response: Code: [3 (0x03)] Code Identifier: [1 (0x01)] Length: [8 (0x0008)] Destination CID: [64 (0x0040)] Source CID: [64 (0x0040)] Result: [0 (0x0000)] Connection Successful Status: [0 (0x0000)] No further information available And HCI logs: < HCI Command: Read Encrypti.. (0x05|0x0008) plen 2 Handle: 14 Address: 00:1B:DC:F2:24:10 (Vencer Co., Ltd.) > HCI Event: Command Complete (0x0e) plen 7 Read Encryption Key Size (0x05|0x0008) ncmd 1 Status: Success (0x00) Handle: 14 Address: 00:1B:DC:F2:24:10 (Vencer Co., Ltd.) Key size: 7 > ACL Data RX: Handle 14 flags 0x02 dlen 12 L2CAP: Connection Request (0x02) ident 1 len 4 PSM: 4097 (0x1001) Source CID: 64 < ACL Data TX: Handle 14 flags 0x00 dlen 16 L2CAP: Connection Response (0x03) ident 1 len 8 Destination CID: 64 Source CID: 64 Result: Connection successful (0x0000) Status: No further information available (0x0000) Уязвимость функции l2cap_connect() модуля net/bluetooth/l2cap_core.c ядра операционной системы Linux связана с недостаточно стойким шифрованием данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию [NistCWE(cwe='CWE-326'), NistCWE(cwe='CWE-326')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=8.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: fix memory leak in ath12k_service_ready_ext_event Currently, in ath12k_service_ready_ext_event(), svc_rdy_ext.mac_phy_caps is not freed in the failure case, causing a memory leak. The following trace is observed in kmemleak: unreferenced object 0xffff8b3eb5789c00 (size 1024): comm "softirq", pid 0, jiffies 4294942577 hex dump (first 32 bytes): 00 00 00 00 01 00 00 00 00 00 00 00 7b 00 00 10 ............{... 01 00 00 00 00 00 00 00 01 00 00 00 1f 38 00 00 .............8.. backtrace (crc 44e1c357): __kmalloc_noprof+0x30b/0x410 ath12k_wmi_mac_phy_caps_parse+0x84/0x100 [ath12k] ath12k_wmi_tlv_iter+0x5e/0x140 [ath12k] ath12k_wmi_svc_rdy_ext_parse+0x308/0x4c0 [ath12k] ath12k_wmi_tlv_iter+0x5e/0x140 [ath12k] ath12k_service_ready_ext_event.isra.0+0x44/0xd0 [ath12k] ath12k_wmi_op_rx+0x2eb/0xd70 [ath12k] ath12k_htc_rx_completion_handler+0x1f4/0x330 [ath12k] ath12k_ce_recv_process_cb+0x218/0x300 [ath12k] ath12k_pci_ce_workqueue+0x1b/0x30 [ath12k] process_one_work+0x219/0x680 bh_worker+0x198/0x1f0 tasklet_action+0x13/0x30 handle_softirqs+0xca/0x460 __irq_exit_rcu+0xbe/0x110 irq_exit_rcu+0x9/0x30 Free svc_rdy_ext.mac_phy_caps in the error case to fix this memory leak. Tested-on: QCN9274 hw2.0 PCI WLAN.WBE.1.4.1-00199-QCAHKSWPL_SILICONZ-1 Уязвимость компонента ath12k/wmi.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/mce: use is_copy_from_user() to determine copy-from-user context Patch series "mm/hwpoison: Fix regressions in memory failure handling", v4. ## 1. What am I trying to do: This patchset resolves two critical regressions related to memory failure handling that have appeared in the upstream kernel since version 5.17, as compared to 5.10 LTS. - copyin case: poison found in user page while kernel copying from user space - instr case: poison found while instruction fetching in user space ## 2. What is the expected outcome and why - For copyin case: Kernel can recover from poison found where kernel is doing get_user() or copy_from_user() if those places get an error return and the kernel return -EFAULT to the process instead of crashing. More specifily, MCE handler checks the fixup handler type to decide whether an in kernel #MC can be recovered. When EX_TYPE_UACCESS is found, the PC jumps to recovery code specified in _ASM_EXTABLE_FAULT() and return a -EFAULT to user space. - For instr case: If a poison found while instruction fetching in user space, full recovery is possible. User process takes #PF, Linux allocates a new page and fills by reading from storage. ## 3. What actually happens and why - For copyin case: kernel panic since v5.17 Commit 4c132d1d844a ("x86/futex: Remove .fixup usage") introduced a new extable fixup type, EX_TYPE_EFAULT_REG, and later patches updated the extable fixup type for copy-from-user operations, changing it from EX_TYPE_UACCESS to EX_TYPE_EFAULT_REG. It breaks previous EX_TYPE_UACCESS handling when posion found in get_user() or copy_from_user(). - For instr case: user process is killed by a SIGBUS signal due to #CMCI and #MCE race When an uncorrected memory error is consumed there is a race between the CMCI from the memory controller reporting an uncorrected error with a UCNA signature, and the core reporting and SRAR signature machine check when the data is about to be consumed. ### Background: why *UN*corrected errors tied to *C*MCI in Intel platform [1] Prior to Icelake memory controllers reported patrol scrub events that detected a previously unseen uncorrected error in memory by signaling a broadcast machine check with an SRAO (Software Recoverable Action Optional) signature in the machine check bank. This was overkill because it's not an urgent problem that no core is on the verge of consuming that bad data. It's also found that multi SRAO UCE may cause nested MCE interrupts and finally become an IERR. Hence, Intel downgrades the machine check bank signature of patrol scrub from SRAO to UCNA (Uncorrected, No Action required), and signal changed to #CMCI. Just to add to the confusion, Linux does take an action (in uc_decode_notifier()) to try to offline the page despite the UC*NA* signature name. ### Background: why #CMCI and #MCE race when poison is consuming in Intel platform [1] Having decided that CMCI/UCNA is the best action for patrol scrub errors, the memory controller uses it for reads too. But the memory controller is executing asynchronously from the core, and can't tell the difference between a "real" read and a speculative read. So it will do CMCI/UCNA if an error is found in any read. Thus: 1) Core is clever and thinks address A is needed soon, issues a speculative read. 2) Core finds it is going to use address A soon after sending the read request 3) The CMCI from the memory controller is in a race with MCE from the core that will soon try to retire the load from address A. Quite often (because speculation has got better) the CMCI from the memory controller is delivered before the core is committed to the instruction reading address A, so the interrupt is taken, and Linux offlines the page (marking it as poison). ## Why user process is killed for instr case Commit 046545a661af ("mm/hwpoison: fix error page recovered but reported "not ---truncated--- [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: light: Add check for array bounds in veml6075_read_int_time_ms The array contains only 5 elements, but the index calculated by veml6075_read_int_time_index can range from 0 to 7, which could lead to out-of-bounds access. The check prevents this issue. Coverity Issue CID 1574309: (#1 of 1): Out-of-bounds read (OVERRUN) overrun-local: Overrunning array veml6075_it_ms of 5 4-byte elements at element index 7 (byte offset 31) using index int_index (which evaluates to 7) This is hardening against potentially broken hardware. Good to have but not necessary to backport. Уязвимость компонента veml6075.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: io_uring: fix io_req_prep_async with provided buffers io_req_prep_async() can import provided buffers, commit the ring state by giving up on that before, it'll be reimported later if needed. Уязвимость компонента io_uring ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 chromium Out of bounds memory access in DevTools in Google Chrome prior to 136.0.7103.59 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools браузера Google Chrome связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in DevTools in Google Chrome prior to 136.0.7103.59 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass discretionary access control via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools браузера Google Chrome связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 136.0.7103.59 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass discretionary access control via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools браузера Google Chrome связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-838')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox A process isolation vulnerability in Thunderbird stemmed from improper handling of javascript: URIs, which could allow content to execute in the top-level document's process instead of the intended frame, potentially enabling a sandbox escape. This vulnerability was fixed in Firefox 138, Firefox ESR 128.10, Firefox ESR 115.23, Thunderbird 138, and Thunderbird 128.10. Уязвимость компонента Javascript URI Handler браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с чтением за пределами границ памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии [NistCWE(cwe='CWE-653')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird An attacker with control over a content process could potentially leverage the privileged UITour actor to leak sensitive information or escalate privileges. This vulnerability was fixed in Firefox 138 and Thunderbird 138. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N', score=7.1) Astra Linux 1.8 firefox A vulnerability was identified in Thunderbird where XPath parsing could trigger undefined behavior due to missing null checks during attribute access. This could lead to out-of-bounds read access and potentially, memory corruption. This vulnerability was fixed in Firefox 138, Firefox ESR 128.10, Thunderbird 138, and Thunderbird 128.10. Уязвимость браузеров Mozilla Firefox и Firefox ESR, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти при обработке выражений XPath. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N', score=4.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox A security vulnerability in Thunderbird allowed malicious sites to use redirects to send credentialed requests to arbitrary endpoints on any site that had invoked the Storage Access API. This enabled potential Cross-Site Request Forgery attacks across origins. This vulnerability was fixed in Firefox 138 and Thunderbird 138. Уязвимость интерфейса Storage Access API браузера Mozilla Firefox и почтового клиента Thunderbird связана с подделкой межсайтовых запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить CSRF-атаку [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Due to insufficient escaping of special characters in the "copy as cURL" feature, an attacker could trick a user into using this command, potentially leading to local code execution on the user's system. This vulnerability was fixed in Firefox 138 and Thunderbird 138. Уязвимость функции Copy as cURL браузера Mozilla Firefox и почтового клиента Thunderbird связана с непринятием мер по очистке данных на управляющем уровне. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-77')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=5.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 libyaml-libyaml-perl YAML-LibYAML prior to 0.903.0 for Perl uses 2-args open, allowing existing files to be modified Уязвимость функции open() пакета YAML-LibYAML интерпретатора языка программирования Perl языка программирования Go связана с использованием файлов и каталогов, доступных внешним сторонам. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ на изменение произвольных файлов [NistCWE(cwe='CWE-552')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) Astra Linux 1.8 perl Perl threads have a working directory race condition where file operations may target unintended paths. If a directory handle is open at thread creation, the process-wide current working directory is temporarily changed in order to clone that handle for the new thread, which is visible from any third (or more) thread already running. This may lead to unintended operations such as loading code or accessing files from unexpected locations, which a local attacker may be able to exploit. The bug was introduced in commit 11a11ecf4bea72b17d250cfb43c897be1341861e and released in Perl version 5.13.6 Уязвимость интерпретатора языка программирования Perl связана с использованием ненадёжного пути поиска. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-426')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=5.9) - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 firefox Memory safety bugs present in Firefox 137, Thunderbird 137, Firefox ESR 128.9, and Thunderbird 128.9. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 138, Firefox ESR 128.10, Thunderbird 138, and Thunderbird 128.10. Уязвимость компонента браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 137 and Thunderbird 137. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 138 and Thunderbird 138. Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 thunderbird Memory safety bug present in Firefox ESR 128.9, and Thunderbird 128.9. This bug showed evidence of memory corruption and we presume that with enough effort this could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox ESR 128.10 and Thunderbird 128.10. Уязвимость браузера Mozilla Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 chromium Heap buffer overflow in HTML in Google Chrome prior to 136.0.7103.59 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента HTML браузера Google Chrome связана с переполнением буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 postgresql-15 Buffer over-read in PostgreSQL GB18030 encoding validation allows a database input provider to achieve temporary denial of service on platforms where a 1-byte over-read can elicit process termination. This affects the database server and also libpq. Versions before PostgreSQL 17.5, 16.9, 15.13, 14.18, and 13.21 are affected. [NistCWE(cwe='CWE-126')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 chromium Use after free in WebAudio in Google Chrome prior to 136.0.7103.92 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebAudio веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 ruby3.1 Net::IMAP implements Internet Message Access Protocol (IMAP) client functionality in Ruby. Prior to versions 0.5.7, 0.4.20, 0.3.9, and 0.2.5, there is a possibility for denial of service by memory exhaustion when net-imap reads server responses. At any time while the client is connected, a malicious server can send can send a "literal" byte count, which is automatically read by the client's receiver thread. The response reader immediately allocates memory for the number of bytes indicated by the server response. This should not be an issue when securely connecting to trusted IMAP servers that are well-behaved. It can affect insecure connections and buggy, untrusted, or compromised servers (for example, connecting to a user supplied hostname). This issue has been patched in versions 0.5.7, 0.4.20, 0.3.9, and 0.2.5. Уязвимость модуля Net::IMAP языка программирования Ruby связана с неконтролируемым распределением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 python-h11 h11 is a Python implementation of HTTP/1.1. Prior to version 0.16.0, a leniency in h11's parsing of line terminators in chunked-coding message bodies can lead to request smuggling vulnerabilities under certain conditions. This issue has been patched in version 0.16.0. Since exploitation requires the combination of buggy h11 with a buggy (reverse) proxy, fixing either component is sufficient to mitigate this issue. Уязвимость компонента _readers.py библиотеки Python H11 связана с недостатками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) Astra Linux 1.8 imagemagick In MIFF image processing in ImageMagick before 7.1.1-44, image depth is mishandled after SetQuantumFormat is used. Уязвимость консольного графического редактора ImageMagick связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 freeipa A privilege escalation from host to domain vulnerability was found in the FreeIPA project. The FreeIPA package fails to validate the uniqueness of the `krbCanonicalName` for the admin account by default, allowing users to create services with the same canonical name as the REALM admin. When a successful attack happens, the user can retrieve a Kerberos ticket in the name of this service, containing the admin@REALM credential. This flaw allows an attacker to perform administrative tasks over the REALM, leading to access to sensitive data and sensitive data exfiltration. Уязвимость централизованной системы по управлению идентификацией пользователей FreeIPA связана с неправильным контролем доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии до уровня администратора домена и оказать воздействие на конфиденциальность целостность и доступость защищаемой информации с помощью специально сформированной службы [NistCWE(cwe='CWE-1220')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H', score=9.1) Включить обязательное использование PAC на всех серверах, управляющих доступом к протоколу аутентификации Kerberos. Затем необходимо присвоить атрибуту krbCanonicalName, относящемуся к учетной записи администратора, имя admin@REALM.LOCAL. Оно будет использоваться системой, чтобы корректно идентифицировать пользователя с повышенными привилегиями. Astra Linux 1.8 freerdp3 A flaw was found in the FreeRDP used by Anaconda's remote install feature, where a crafted RDP packet could trigger a segmentation fault. This issue causes the service to crash and remain defunct, resulting in a denial of service. It occurs pre-boot and is likely due to a NULL pointer dereference. Rebooting is required to recover the system. Уязвимость службы удаленного рабочего стола GNOME Remote Desktop связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданного RDP пакета [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) - Удалить ПО freerdp3, если оно не используется и не является зависимостью других пакетов - Исключить из автозапуска сетевой сервис - Отказаться от использования ПО freerdp3 в пользу ПО xrdp - Отключить и удалить неиспользуемые учётные записи пользователей - Разрешите доступ только с доверенных IP-адресов - Обеспечить возможность использования ПО freerdp3 только доверенными пользователями ОС Astra Linux 1.8 systemd A vulnerability was found in systemd-coredump. This flaw allows an attacker to force a SUID process to crash and replace it with a non-SUID binary to access the original's privileged process coredump, allowing the attacker to read sensitive data, such as /etc/shadow content, loaded by the original process. A SUID binary or process has a special type of permission, which allows the process to run with the file owner's permissions, regardless of the user executing the binary. This allows the process to access more restricted data than unprivileged users or processes would be able to. An attacker can leverage this flaw by forcing a SUID process to crash and force the Linux kernel to recycle the process PID before systemd-coredump can analyze the /proc/pid/auxv file. If the attacker wins the race condition, they gain access to the original's SUID process coredump file. They can read sensitive content loaded into memory by the original binary, affecting data confidentiality. Уязвимость службы systemd-coredump демона Systemd связана с неправильной настройкой ядра fs.suid_dumpable. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность защищаемой информации [NistCWE(cwe='CWE-364')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N', score=4.7) Используя полномочия администратора системы с высоким уровнем целостности отключите возможность системы генерировать coredump для SUID-бинарных файлов. Для этого можно запустить следующую команду: ``` echo 0 > /proc/sys/fs/suid_dumpable ``` Дополнительно также рекомендуется выполнить следующее: - Обеспечить возможность использования только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Установить "взломостойкий" пароль Astra Linux 1.8 chromium Incorrect handle provided in unspecified circumstances in Mojo in Google Chrome on Windows prior to 136.0.7103.113 allowed a remote attacker to potentially perform a sandbox escape via a malicious file. (Chromium security severity: High) Уязвимость IPC-библиотеки Mojo браузеров Google Chrome и Microsoft Edge связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-732')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 fig2dev A flaw was found in xfig. This vulnerability allows possible code execution via local input manipulation via bezier_spline function. Уязвимость функции bezier_spline() компонента genepic.c утилиты для преобразования файлов с расширением .fig Fig2dev связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 fig2dev In xfig diagramming tool, a stack-overflow while running fig2dev allows memory corruption via local input manipulation via read_objects function. Уязвимость функции read_objects() компонента read.c утилиты для преобразования файлов с расширением .fig Fig2dev связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N', score=5.5) Astra Linux 1.8 fig2dev A flaw was found in fig2dev. This vulnerability allows availability via local input manipulation via genge_itp_spline function. Уязвимость функции genge_itp_spline() компонента genge.c утилиты для преобразования файлов с расширением .fig Fig2dev связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N', score=5.5) Astra Linux 1.8 fig2dev In xfig diagramming tool, a segmentation fault while running fig2dev allows an attacker to availability via local input manipulation via read_arcobject function. Уязвимость функции read_arcobject() компонента read1_3.c утилиты для преобразования файлов с расширением .fig Fig2dev связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N', score=5.5) Astra Linux 1.8 chromium Insufficient policy enforcement in Loader in Google Chrome prior to 136.0.7103.113 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Loader веб-браузера Google Chrome связана с зависимостью от ненадежных входных данных при принятии решения по безопасности. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 ruby-rack Rack is a modular Ruby web server interface. Prior to versions 2.2.14, 3.0.16, and 3.1.14, `Rack::QueryParser` parses query strings and `application/x-www-form-urlencoded` bodies into Ruby data structures without imposing any limit on the number of parameters, allowing attackers to send requests with extremely large numbers of parameters. The vulnerability arises because `Rack::QueryParser` iterates over each `&`-separated key-value pair and adds it to a Hash without enforcing an upper bound on the total number of parameters. This allows an attacker to send a single request containing hundreds of thousands (or more) of parameters, which consumes excessive memory and CPU during parsing. An attacker can trigger denial of service by sending specifically crafted HTTP requests, which can cause memory exhaustion or pin CPU resources, stalling or crashing the Rack server. This results in full service disruption until the affected worker is restarted. Versions 2.2.14, 3.0.16, and 3.1.14 fix the issue. Some other mitigations are available. One may use middleware to enforce a maximum query string size or parameter count, or employ a reverse proxy (such as Nginx) to limit request sizes and reject oversized query strings or bodies. Limiting request body sizes and query string lengths at the web server or CDN level is an effective mitigation. Уязвимость модульного интерфейса между веб-серверами и веб-приложениями Rack связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) ruby-rack: - Запускайте приложения, использующие Ruby Rack, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Убедитесь, что ваши веб-приложения, использующие Ruby Rack, корректно проверяют и санитизируют все входные данные, чтобы предотвратить атаки, такие как SQL-инъекции и XSS. - Настройте веб-сервер для использования HTTPS, чтобы защитить данные, передаваемые между клиентом и сервером. Astra Linux 1.8 git Git GUI allows you to use the Git source control management tools via a GUI. When a user clones an untrusted repository and is tricked into editing a file located in a maliciously named directory in the repository, then Git GUI can create and overwrite files for which the user has write permission. This vulnerability is fixed in 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1, and 2.50.1. Уязвимость графический интерфейс пользователя Git GUI связана с внедрением или модификацией аргументов. Эксплуатация уязвимости может позволить нарушителю создавать или перезаписывать произвольные файлы [NistCWE(cwe='CWE-88')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L', score=8.5) - Удалить ПО git, если оно не используется - Не использовать Git GUI для проверки или изменения репозитория - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды Astra Linux 1.8 net-tools net-tools is a collection of programs that form the base set of the NET-3 networking distribution for the Linux operating system. Inn versions up to and including 2.10, the Linux network utilities (like ifconfig) from the net-tools package do not properly validate the structure of /proc files when showing interfaces. `get_name()` in `interface.c` copies interface labels from `/proc/net/dev` into a fixed 16-byte stack buffer without bounds checking, leading to possible arbitrary code execution or crash. The known attack path does not require privilege but also does not provide privilege escalation in this scenario. A patch is available and expected to be part of version 2.20. Уязвимость функции get_name() компонента interface.c набора утилит для работы с сетью Net Tools Suite связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:H', score=6.6) Astra Linux 1.8 libxmp Libxmp through 4.6.2 has a stack-based buffer overflow in depack_pha in loaders/prowizard/pha.c via a malformed Pha format tracker module in a .mod file. Уязвимость функции depack_pha компонента loaders/prowizard/pha.c библиотеки для воспроизведения музыки Libxmp связана с целочисленной потерей значимости. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:L', score=5.6) Для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 python-tornado Tornado is a Python web framework and asynchronous networking library. When Tornado's ``multipart/form-data`` parser encounters certain errors, it logs a warning but continues trying to parse the remainder of the data. This allows remote attackers to generate an extremely high volume of logs, constituting a DoS attack. This DoS is compounded by the fact that the logging subsystem is synchronous. All versions of Tornado prior to 6.5.0 are affected. The vulnerable parser is enabled by default. Upgrade to Tornado version 6.50 to receive a patch. As a workaround, risk can be mitigated by blocking `Content-Type: multipart/form-data` in a proxy. Уязвимость компонента multipart/form-data веб-фреймворка и асинхронной сетевой библиотеки Tornado связана с использованием неверных токенов аутентификации в результате неограниченного распределения ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Для нейтрализации уязвимости можно воспользоваться одним из следующих способов: 1. Удалить python-tornado, если оно не используется и не является зависисмостью для других используемых приложений 2. Заблокировать запросы с Content-Type: multipart/form-data на уровне прокси-сервера 3. Выполнить следующие настройки: - Использовать ПО python-tornado только на низком или отдельно выделенном уровне целостности - При использовании ПО python-tornado выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-tornado только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 glibc Untrusted LD_LIBRARY_PATH environment variable vulnerability in the GNU C Library version 2.27 to 2.38 allows attacker controlled loading of dynamically shared library in statically compiled setuid binaries that call dlopen (including internal dlopen calls after setlocale or calls to NSS functions such as getaddrinfo). Уязвимость системной библиотеки GNU C Library связана с ненадежным путем поиска. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-426')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) glibc: - Выполнять регламентный контроль целостности системы для избежания запуска недоверенных программ - При использовании ПО glibc выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 libavif In libavif before 1.3.0, makeRoom in stream.c has an integer overflow and resultant buffer overflow in stream->offset+size. Уязвимость функции makeRoom() компонента stream.c библиотеки для кодирования и декодирования файлов .avif Libavif связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:N/I:L/A:L', score=4.5) Astra Linux 1.8 libavif In libavif before 1.3.0, avifImageRGBToYUV in reformat.c has integer overflows in multiplications involving rgbRowBytes, yRowBytes, uRowBytes, and vRowBytes. Уязвимость функции avifImageRGBToYUV компонента reformat.c библиотеки для кодирования и декодирования файлов .avif Libavif связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:N/I:L/A:L', score=4.5) Astra Linux 1.8 git Git is a fast, scalable, distributed revision control system with an unusually rich command set that provides both high-level operations and full access to internals. When reading a config value, Git strips any trailing carriage return and line feed (CRLF). When writing a config entry, values with a trailing CR are not quoted, causing the CR to be lost when the config is later read. When initializing a submodule, if the submodule path contains a trailing CR, the altered path is read resulting in the submodule being checked out to an incorrect location. If a symlink exists that points the altered path to the submodule hooks directory, and the submodule contains an executable post-checkout hook, the script may be unintentionally executed after checkout. This vulnerability is fixed in v2.43.7, v2.44.4, v2.45.4, v2.46.4, v2.47.3, v2.48.2, v2.49.1, and v2.50.1. Уязвимость распределенной системы контроля версий Git средства разработки программного обеспечения Microsoft Visual Studio связана с возникновением конфликта интерпретаций. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-59')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H', score=8.0) - Удалить ПО git, если оно не используется - Убедитесь, что в конфигурационных файлах Git нет символов возврата каретки (CR) - Убедитесь, что пути к подмодулям не содержат символов возврата каретки (CR) - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды Astra Linux 1.8 git Git is a fast, scalable, distributed revision control system with an unusually rich command set that provides both high-level operations and full access to internals. When cloning a repository Git knows to optionally fetch a bundle advertised by the remote server, which allows the server-side to offload parts of the clone to a CDN. The Git client does not perform sufficient validation of the advertised bundles, which allows the remote side to perform protocol injection. This protocol injection can cause the client to write the fetched bundle to a location controlled by the adversary. The fetched content is fully controlled by the server, which can in the worst case lead to arbitrary code execution. The use of bundle URIs is not enabled by default and can be controlled by the bundle.heuristic config option. Some cases of the vulnerability require that the adversary is in control of where a repository will be cloned to. This either requires social engineering or a recursive clone with submodules. These cases can thus be avoided by disabling recursive clones. This vulnerability is fixed in v2.43.7, v2.44.4, v2.45.4, v2.46.4, v2.47.3, v2.48.2, v2.49.1, and v2.50.1. Уязвимость распределенной системы контроля версий Git средства разработки программного обеспечения Microsoft Visual Studio связана с использованием ненадёжного пути поиска при проверки орфографии клонированных репозиториев. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код при клонировании ненадежных репозиториев [NistCWE(cwe='CWE-73')] None None - Удалить ПО git, если оно не используется - Отключить опцию bundle.heuristic в файлах конфигурации - При клонировании репозиториев не использовать рекурсивное клонирование - Не использовать Git GUI для проверки или изменения репозитория - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды Astra Linux 1.8 gimp A flaw was found in GIMP when processing certain TGA image files. If a user opens one of these image files that has been specially crafted by an attacker, GIMP can be tricked into making serious memory errors, potentially leading to crashes and causing a heap buffer overflow. Уязвимость графического редактора GIMP связана с выходом операции за границы буфера в памяти при обработке файлов TGA формата. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 gimp A flaw was found in GIMP when processing XCF image files. If a user opens one of these image files that has been specially crafted by an attacker, GIMP can be tricked into making serious memory errors, potentially leading to crashes and causing use-after-free issues. Уязвимость графического редактора GIMP связана с использованием памяти после её освобождения при обработке файлов XCF формата. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 konsole KDE Konsole before 25.04.2 allows remote code execution in a certain scenario. It supports loading URLs from the scheme handlers such as a ssh:// or telnet:// or rlogin:// URL. This can be executed regardless of whether the ssh, telnet, or rlogin binary is available. In this mode, there is a code path where if that binary is not available, Konsole falls back to using /bin/bash for the given arguments (i.e., the URL) provided. This allows an attacker to execute arbitrary code. Уязвимость компонента Session.cpp эмулятора терминала Konsole связана с реализацией некорректного потока управления. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально сформированной ссылки [NistCWE(cwe='CWE-670')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:L', score=8.2) - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - При использовании ПО konsole выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 xwayland, xorg-server A flaw was found in the X Rendering extension's handling of animated cursors. If a client provides no cursors, the server assumes at least one is present, leading to an out-of-bounds read and potential crash. Уязвимость расширения X Rendering реализации сервера X Window System X.Org Server и реализации протокола Wayland для X.Org XWayland связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:H', score=6.1) Astra Linux 1.8 xwayland, xorg-server A flaw was found in the Big Requests extension. The request length is multiplied by 4 before checking against the maximum allowed size, potentially causing an integer overflow and bypassing the size check. Уязвимость расширения Big Requests реализации протокола Wayland для X.Org XWayland и реализации сервера X Window System X.Org Server связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) Astra Linux 1.8 xwayland, xorg-server A flaw was found in the XFIXES extension. The XFixesSetClientDisconnectMode handler does not validate the request length, allowing a client to read unintended memory from previous requests. Уязвимость расширения XFIXES реализации протокола Wayland для X.Org XWaylan и реализации сервера X Window System X.Org Server связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L', score=6.1) Astra Linux 1.8 xwayland, xorg-server A flaw was found in the X server's request handling. Non-zero 'bytes to ignore' in a client's request can cause the server to skip processing another client's request, potentially leading to a denial of service. Уязвимость функции ReadRequestFromClient компонента os/io.c реализации протокола Wayland для X.Org XWayland и реализации сервера X Window System X.Org Server связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 xwayland, xorg-server A flaw was found in the X Record extension. The RecordSanityCheckRegisterClients function does not check for an integer overflow when computing request length, which allows a client to bypass length checks. Уязвимость функции RecordSanityCheckRegisterClients() сервера X Window System Xorg-server связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) Astra Linux 1.8 firefox, thunderbird An attacker was able to perform an out-of-bounds read or write on a JavaScript `Promise` object. This vulnerability was fixed in Firefox 138.0.4, Firefox ESR 128.10.1, Firefox ESR 115.23.1, Thunderbird 128.10.2, and Thunderbird 138.0.2. Уязвимость обработчика JavaScript-сценариев браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с записью за границами буфера в памяти при обработке объекта Promise. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании при условии перехода пользователя на специально сформированный веб-сайт [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Отключите JavaScript в Firefox: - Откройте Firefox - Введите about:config в адресной строке и нажмите Enter - В строке поиска введите javascript.enabled - Найдите параметр javascript.enabled и измените его значение на false - Перезапустите Firefox, чтобы изменения вступили в силу - Обеспечить запуск ПО Firefox, Firefox-ESR, Thunderbird на промежуточном (отличном от максимального) уровне целостности - Обеспечить запуск ПО Firefox, Firefox-ESR, Thunderbird в изолированной программной среде с применением инструмента Firejail - Обеспечить запуск ПО Firefox, Firefox-ESR с использованием ПО astra-docker-browser - Отказаться от использования ПО Firefox, Firefox-ESR в пользу ПО Chromium Astra Linux 1.8 xwayland, xorg-server A flaw was found in the RandR extension, where the RRChangeProviderProperty function does not properly validate input. This issue leads to an integer overflow when computing the total size to allocate. Уязвимость функции RRChangeProviderProperty() сервера X Window System Xorg-server связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 firefox, thunderbird An attacker was able to perform an out-of-bounds read or write on a JavaScript object by confusing array index sizes. This vulnerability was fixed in Firefox 138.0.4, Firefox ESR 128.10.1, Firefox ESR 115.23.1, Thunderbird 128.10.2, and Thunderbird 138.0.2. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - Отключите JavaScript в Firefox: - Откройте Firefox - Введите about:config в адресной строке и нажмите Enter - В строке поиска введите javascript.enabled - Найдите параметр javascript.enabled и измените его значение на false - Перезапустите Firefox, чтобы изменения вступили в силу - Обеспечить запуск ПО Firefox, Firefox-ESR, Thunderbird на промежуточном (отличном от максимального) уровне целостности - Обеспечить запуск ПО Firefox, Firefox-ESR, Thunderbird в изолированной программной среде с применением инструмента Firejail - Обеспечить запуск ПО Firefox, Firefox-ESR с использованием ПО astra-docker-browser - Отказаться от использования ПО Firefox, Firefox-ESR в пользу ПО Chromium Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in the soup_multipart_new_from_message() function of the libsoup HTTP library, which is commonly used by GNOME and other applications to handle web communications. The issue occurs when the library processes specially crafted multipart messages. Due to improper validation, an internal calculation can go wrong, leading to an integer underflow. This can cause the program to access invalid memory and crash. As a result, any application or server using libsoup could be forced to exit unexpectedly, creating a denial-of-service (DoS) risk. Уязвимость функции soup_multipart_new_from_message() библиотеки libsoup графического интерфейса GNOME связана с возможностью целочисленного переполнения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 libpod A flaw was found in Podman. In a Containerfile or Podman, data written to RUN --mount=type=bind mounts during the podman build is not discarded. This issue can lead to files created within the container appearing in the temporary build context directory on the host, leaving the created files accessible. Уязвимость менеджера контейнеров Podman, инструмента управления контейнерами Libpod связана с созданием временных файлов с небезопасными разрешениями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-378')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N', score=7.4) libpod: - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` podman run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` podman run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - По возможности используйте rootless контейнеры, которые работают без привилегий суперпользователя - Запускайте контейнеры от имени пользователей с минимально необходимыми правами - Поддерживайте образы контейнеров и сам Podman в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) libpodofo: - Отказаться от использования библиотеки libpodofo - При использовании ПО, использующего библиотеку libpodofo, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libpodofo, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libpodofo, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 firefox Certain canvas operations could have lead to memory corruption. This vulnerability was fixed in Firefox 139.0.4. Уязвимость веб-браузера Firefox связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox An integer overflow was present in `OrderedHashTable` used by the JavaScript engine. This vulnerability was fixed in Firefox 139.0.4. Уязвимость компонента OrderedHashTable веб-браузера Firefox связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Compositing in Google Chrome prior to 137.0.7151.55 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Compositing браузера Google Chrome связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Background Fetch API in Google Chrome prior to 137.0.7151.55 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость программного интерфейса Background Fetch API браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FileSystemAccess API in Google Chrome prior to 137.0.7151.55 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость программного интерфейса FileSystemAccess API браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить спуфинг-атаки с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Tab Strip in Google Chrome prior to 137.0.7151.55 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Blink in Google Chrome prior to 137.0.7151.68 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость модуля отображения Blink браузеров Google Chrome и Microsoft Edge связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 icu A stack buffer overflow was found in Internationl components for unicode (ICU ). While running the genrb binary, the 'subtag' struct overflowed at the SRBRoot::addTag function. This issue may lead to memory corruption and local arbitrary code execution. Уязвимость функции SRBRoot::addTag() библиотеки для работы с Unicode (ICU) связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю выполнить нарушителю выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) icu: - Включить защиту файловой системы ("установить МКЦ на ФС"). - Активировать и настроить профили пользователей для работы в режиме Киоск-2. - Обеспечить возможность запуска ПО только доверенными пользователями ОС. - Включить режим замкнутой программной сред. - Запретить установку бита исполнения для всех пользователей, включая администраторов. - Обеспечить запуск ПО в изолированной программной среде с применением инструмента Firejail. Astra Linux 1.8 binutils A vulnerability was found in GNU Binutils up to 2.44. It has been rated as critical. Affected by this issue is the function elf_gc_sweep of the file bfd/elflink.c of the component ld. The manipulation leads to memory corruption. An attack has to be approached locally. The exploit has been disclosed to the public and may be used. Upgrading to version 2.45 is able to address this issue. It is recommended to upgrade the affected component. Уязвимость компонента elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 binutils A vulnerability classified as critical has been found in GNU Binutils up to 2.44. This affects the function debug_type_samep of the file /binutils/debug.c of the component objdump. The manipulation leads to memory corruption. Local access is required to approach this attack. The exploit has been disclosed to the public and may be used. It is recommended to apply a patch to fix this issue. Уязвимость компонента debug.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) - Ограничить доступ к использованию команды objdump - При использовании команды objdump выполнять обработку файлов, полученных только из доверенных источников - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 thunderbird A double-free could have occurred in `vpx_codec_enc_init_multi` after a failed allocation when initializing the encoder for WebRTC. This could have caused memory corruption and a potentially exploitable crash. This vulnerability affects Thunderbird < 139 and Thunderbird < 128.11. [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 firefox, thunderbird Error handling for script execution was incorrectly isolated from web content, which could have allowed cross-origin leak attacks. This vulnerability was fixed in Firefox 139, Firefox ESR 115.24, Firefox ESR 128.11, Thunderbird 139, and Thunderbird 128.11. Уязвимость механизма CORS браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с отсутствием проверки достоверности источника данных или сообщения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) Astra Linux 1.8 firefox, thunderbird Due to insufficient escaping of the newline character in the “Copy as cURL” feature, an attacker could trick a user into using this command, potentially leading to local code execution on the user's system. This vulnerability was fixed in Firefox 139, Firefox ESR 115.24, Firefox ESR 128.11, Thunderbird 139, and Thunderbird 128.11. Уязвимость функции Copy as cURL веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с непринятием мер по очистке входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-77')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L', score=4.8) Astra Linux 1.8 firefox, thunderbird Script elements loading cross-origin resources generated load and error events which leaked information enabling XS-Leaks attacks. This vulnerability was fixed in Firefox 139, Firefox ESR 128.11, Thunderbird 139, and Thunderbird 128.11. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) Astra Linux 1.8 firefox, thunderbird A clickjacking vulnerability could have been used to trick a user into leaking saved payment card details to a malicious page. This vulnerability was fixed in Firefox 139, Firefox ESR 128.11, Thunderbird 139, and Thunderbird 128.11. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 138, Thunderbird 138, Firefox ESR 128.10, and Thunderbird 128.10. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 139, Firefox ESR 128.11, Thunderbird 139, and Thunderbird 128.11. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с непринятием мер по очистке входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 thunderbird Memory safety bug present in Firefox ESR 128.10, and Thunderbird 128.10. This bug showed evidence of memory corruption and we presume that with enough effort this could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox ESR 128.11 and Thunderbird 128.11. Уязвимость браузера Mozilla Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 firefox In certain cases, SNI could have been sent unencrypted even when encrypted DNS was enabled. This vulnerability was fixed in Firefox 139 and Thunderbird 139. Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird связана с передачей конфиденциальной информации открытым текстом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-319')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Previewing a response in Devtools ignored CSP headers, which could have allowed content injection attacks. This vulnerability was fixed in Firefox 139 and Thunderbird 139. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 138 and Thunderbird 138. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 139 and Thunderbird 139. Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 137.0.7151.55 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in BFCache in Google Chrome prior to 137.0.7151.55 allowed a remote attacker to potentially obtain user information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium, firefox, thunderbird, libvpx Use after free in libvpx in Google Chrome prior to 137.0.7151.55 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость библиотеки мультимедиа Libvpx, веб-браузеров Firefox, Firefox ESR и Google Chrome, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) Astra Linux 1.8 djvulibre DjVuLibre is a GPL implementation of DjVu, a web-centric format for distributing documents and images. Prior to version 3.5.29, the MMRDecoder::scanruns method is affected by an OOB-write vulnerability, because it does not check that the xr pointer stays within the bounds of the allocated buffer. This can lead to writes beyond the allocated memory, resulting in a heap corruption condition. An out-of-bounds read with pr is also possible for the same reason. This issue has been patched in version 3.5.29. Уязвимость метода MMRDecoder::scanruns библиотеки для просмотра, создания, редактирования DjVu-файлов DjVuLibre связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None None - Удалить ПО djvulibre, если оно не используется - Отказаться от использования ПО djvulibre в пользу ПО okular - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска djvulibre только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Запускать ПО djvulibre в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 chromium Out of bounds read and write in V8 in Google Chrome prior to 137.0.7151.68 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для версий ПО Chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Также для нейтрализации угрозы эксплуатации уязвимостей рекомендуется соблюдать следующие требования: - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности - Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail или с использованием ПО astra-docker-browser - Отказаться от использования ПО Chromium в пользу ПО Firefox Astra Linux 1.8 gimp GIMP ICO File Parsing Integer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of ICO files. The issue results from the lack of proper validation of user-supplied data, which can result in an integer overflow before writing to memory. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-26752. Уязвимость компонента plug-ins/file-ico/ico-load.c графического редактора GIMP связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного ICO файла [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 libarchive A vulnerability has been identified in the libarchive library, specifically within the archive_read_format_rar_seek_data() function. This flaw involves an integer overflow that can ultimately lead to a double-free condition. Exploiting a double-free vulnerability can result in memory corruption, enabling an attacker to execute arbitrary code or cause a denial-of-service condition. Уязвимость функции archive_read_format_rar_seek_data() библиотеки Libarchive связана с ошибкой повторного освобождения памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 1.8 libarchive A vulnerability has been identified in the libarchive library. This flaw can lead to a heap buffer over-read due to the size of a filter block potentially exceeding the Lempel-Ziv-Storer-Schieber (LZSS) window. This means the library may attempt to read beyond the allocated memory buffer, which can result in unpredictable program behavior, crashes (denial of service), or the disclosure of sensitive information from adjacent memory regions. Уязвимость библиотеки архивирования Libarchive связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:H', score=6.6) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 1.8 libarchive A vulnerability has been identified in the libarchive library. This flaw involves an integer overflow that can be triggered when processing a Web Archive (WARC) file that claims to have more than INT64_MAX - 4 content bytes. An attacker could craft a malicious WARC archive to induce this overflow, potentially leading to unpredictable program behavior, memory corruption, or a denial-of-service condition within applications that process such archives using libarchive. This bug affects libarchive versions prior to 3.8.0. Уязвимость библиотеки Libarchive операционной системы Windows связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:L', score=3.9) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 1.8 libarchive A vulnerability has been identified in the libarchive library. This flaw involves an 'off-by-one' miscalculation when handling prefixes and suffixes for file names. This can lead to a 1-byte write overflow. While seemingly small, such an overflow can corrupt adjacent memory, leading to unpredictable program behavior, crashes, or in specific circumstances, could be leveraged as a building block for more sophisticated exploitation. This bug affects libarchive versions prior to 3.8.0. Уязвимость библиотеки Libarchive операционной системы Windows связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:L', score=2.8) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 1.8 libarchive A vulnerability has been identified in the libarchive library. This flaw can be triggered when file streams are piped into bsdtar, potentially allowing for reading past the end of the file. This out-of-bounds read can lead to unintended consequences, including unpredictable program behavior, memory corruption, or a denial-of-service condition. Уязвимость библиотеки Libarchive операционной системы Windows связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:L', score=3.9) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 1.8 chromium Use after free in Media in Google Chrome prior to 137.0.7151.103 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 137.0.7151.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 браузера Google Chrome связана с ошибками смешения типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 spdlog A vulnerability, which was classified as problematic, was found in spdlog up to 1.15.1. This affects the function scoped_padder in the library include/spdlog/pattern_formatter-inl.h. The manipulation leads to resource consumption. It is possible to launch the attack on the local host. The exploit has been disclosed to the public and may be used. Upgrading to version 1.15.2 is able to address this issue. The identifier of the patch is 10320184df1eb4638e253a34b1eb44ce78954094. It is recommended to upgrade the affected component. Уязвимость функции scoped_padder компонента spdlog/pattern_formatter-inl.h библиотеки логирования для C++ Spdlog связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - Отказаться от использования уязвимой библиотеки pattern_formatter-inl.h - Удалить ПО spdlog, если оно не используется и не является зависимостью другого пакета - Отказаться от использования библиотеки spdlog в пользу библиотеки libboost-log-dev - Обеспечить возможность запуска ПО spdlog только доверенными пользователями ОС - При использовании ПО, использующего библиотеку spdlog, выполнять обработку файлов, полученных только из доверенных источников. Astra Linux 1.8 chromium Integer overflow in V8 in Google Chrome prior to 137.0.7151.119 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Metrics in Google Chrome prior to 137.0.7151.119 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Profiler веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird A use-after-free in FontFaceSet resulted in a potentially exploitable crash. This vulnerability was fixed in Firefox 140, Firefox ESR 115.25, Firefox ESR 128.12, Thunderbird 140, and Thunderbird 128.12. Уязвимость интерфейса FontFaceSet браузеров Mozilla Firefox, Firefox ESR связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird An attacker who enumerated resources from the WebCompat extension could have obtained a persistent UUID that identified the browser, and persisted between containers and normal/private browsing mode, but not profiles. This vulnerability was fixed in Firefox 140, Firefox ESR 115.25, Firefox ESR 128.12, Thunderbird 140, and Thunderbird 128.12. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) Astra Linux 1.8 firefox An attacker was able to bypass the `connect-src` directive of a Content Security Policy by manipulating subdocuments. This would have also hidden the connections from the Network tab in Devtools. This vulnerability was fixed in Firefox 140 and Thunderbird 140. Уязвимость механизма Content Security Policy (CSP) браузера Mozilla Firefox связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Firefox could have incorrectly parsed a URL and rewritten it to the youtube.com domain when parsing the URL specified in an `embed` tag. This could have bypassed website security checks that restricted which domains users were allowed to embed. This vulnerability was fixed in Firefox 140, Firefox ESR 128.12, Thunderbird 140, and Thunderbird 128.12. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird When a file download is specified via the `Content-Disposition` header, that directive would be ignored if the file was included via a `&lt;embed&gt;` or `&lt;object&gt;` tag, potentially making a website vulnerable to a cross-site scripting attack. This vulnerability was fixed in Firefox 140, Firefox ESR 128.12, Thunderbird 140, and Thunderbird 128.12. Уязвимость компонента HTTP Header Handler браузеров Mozilla Firefox, Firefox ESR связана с непринятием мер по защите структуры веб-страницы при обработке параметра Content-Disposition. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить межсайтовые сценарные атаки (XSS) [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) - Обеспечить возможность запуска ПО firefox и firefox-esr только доверенными пользователями ОС - При использовании ПО firefox и firefox-esr выполнять обработку файлов и ссылок, полученных только из доверенных источников - Обеспечить запуск ПО Firefox и Firefox ESR на промежуточном (отличном от максимального) уровне целостности - Обеспечить запуск ПО Firefox и Firefox ESR в изолированной программной среде с применением инструмента Firejail или с использованием ПО astra-docker-browser - Отказаться от использования ПО Firefox и Firefox-ESR в пользу ПО Chromium Astra Linux 1.8 firefox When Multi-Account Containers was enabled, DNS requests could have bypassed a SOCKS proxy when the domain name was invalid or the SOCKS proxy was not responding. This vulnerability was fixed in Firefox 140 and Thunderbird 140. Уязвимость функции Multi-Account Container браузера Mozilla Firefox связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности прокси-сервера SOCKS и раскрыть защищаемую информацию путем отправки специально созданных DNS-запросов [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L', score=8.6) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox If a user visited a webpage with an invalid TLS certificate, and granted an exception, the webpage was able to provide a WebAuthn challenge that the user would be prompted to complete. This is in violation of the WebAuthN spec which requires "a secure transport established without errors". This vulnerability was fixed in Firefox 140 and Thunderbird 140. Уязвимость реализации протокола TLS браузера Mozilla Firefox связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности и получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox The exception page for the HTTPS-Only feature, displayed when a website is opened via HTTP, lacked an anti-clickjacking delay, potentially allowing an attacker to trick a user into granting an exception and loading a webpage over HTTP. This vulnerability was fixed in Firefox 140 and Thunderbird 140. Уязвимость режима HTTPS-Only Mode браузера Mozilla Firefox связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, провести атаку типа clickjacking («захват клика») [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox If a user saved a response from the Network tab in Devtools using the Save As context menu option, that file may not have been saved with the `.download` file extension. This could have led to the user inadvertently running a malicious executable. This vulnerability was fixed in Firefox 140 and Thunderbird 140. Уязвимость компонента File Extension Handler браузера Mozilla Firefox связана с неограниченной загрузкой файлов опасного типа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, загрузить произвольный файл [NistCWE(cwe='CWE-434')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 139 and Thunderbird 139. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 140 and Thunderbird 140. Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 138.0.7204.96 allowed a remote attacker to perform arbitrary read/write via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с ошибками смешения типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ на чтение и запись произвольных файлов при помощи специально сформированной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) Для версий ПО Chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: - Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. - В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. - Перезапустите Chromium. Также для нейтрализации угрозы эксплуатации уязвимостей рекомендуется соблюдать следующие требования: - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности - Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail или с использованием ПО astra-docker-browser - Отказаться от использования ПО Chromium в пользу ПО Firefox Astra Linux 1.8 chromium Use after free in Animation in Google Chrome prior to 138.0.7204.49 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Animation веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Loader in Google Chrome prior to 138.0.7204.49 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Loader веб-браузера Google Chrome связана с обходом аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in V8 in Google Chrome prior to 133.0.6943.141 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 thunderbird Sandbox escape due to incorrect boundary conditions in the Widget: Win32 component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H', score=9.0) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Use-after-free in the Widget: Win32 component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Sandbox escape due to incorrect boundary conditions in the Widget: Win32 component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Sandbox escape due to incorrect boundary conditions in the Widget: Win32 component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Sandbox escape due to incorrect boundary conditions in the Widget: Win32 component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Mitigation bypass in the Widget: Win32 component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 astra-safepolicy Уязвимость программного обеспечения для настройки безопасности astra-safepolicy связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-693 AV:L/AC:L/Au:N/C:C/I:C/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H Astra Linux 1.8 astra-safepolicy Уязвимость программного обеспечения для настройки безопасности astra-safepolicy связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-94 AV:L/AC:L/Au:N/C:C/I:C/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H Astra Linux 1.8 keepalived Уязвимость компонента parser.c системы балансировки сетевого трафика Keepalived связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 keepalived Уязвимость компонента parser.c системы балансировки сетевого трафика Keepalived связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-122 AV:L/AC:L/Au:N/C:C/I:C/A:C AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H Astra Linux 1.8 keepalived Уязвимость компонента parser.c системы балансировки сетевого трафика Keepalived связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-416 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 cpio Уязвимость функции parse_opt() утилиты архивирования Cpio связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-190 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H cpio: - Запускайте cpio с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам cpio так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 cpio Уязвимость функции from_ascii() компонента copyin.c утилиты архивирования Cpio связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-121 AV:L/AC:M/Au:N/C:P/I:P/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L cpio: - Запускайте cpio с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам cpio так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 cpio Уязвимость функции read_name_from_file утилиты архивирования Cpio связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-20 AV:N/AC:L/Au:N/C:P/I:N/A:P AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H cpio: - Запускайте cpio с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам cpio так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 cpio Уязвимость функции parser_parse_opt() утилиты архивирования Cpio связана с неправильным побитовым смещением целого числа. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-1335 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H cpio: - Запускайте cpio с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам cpio так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 cups Уязвимость компонента ppdc.cxx сервера печати CUPS связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 krb5 Уязвимость функции decode_krb5_flags() компонента asn1_k_encode.c сетевого протокола аутентификации Kerberos связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-190 AV:N/AC:L/Au:N/C:N/I:N/A:P AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 keepalived Уязвимость функции read_line() компонента parser.c системы балансировки сетевого трафика Keepalived связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-125 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 tar Уязвимость функции short_read() компонента buffer.c архиватора GNU Tar связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-125 AV:N/AC:M/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H rust-tar: - Удалить ПО rust-tar, если оно не используется и не является зависимостью других пакетов - При использовании ПО rust-tar выполнять обработку архивов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды tar: - Запускайте tar с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам tar так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. libtar: - Запускайте libtar с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libtar так, чтобы их могли изменять только администраторы системы. - При использовании ПО libtar выполнять обработку файлов, полученных только из доверенных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. node-tar-fs: - Удалить ПО node-tar-fs, если оно не используется и не является зависимостью других пакетов - Отказаться от использования ПО node-tar-fs - При использовании ПО node-tar-fs выполнять обработку файлов, полученных только из доверенных источников. - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 cups Уязвимость функции cupsArrayAddStrings сервера печати CUPS связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-122 AV:L/AC:L/Au:N/C:P/I:P/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 tar Уязвимость функции _obstack_begin_worker() компонента obstack.cархиватора GNU Tar связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-476 AV:N/AC:M/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H rust-tar: - Удалить ПО rust-tar, если оно не используется и не является зависимостью других пакетов - При использовании ПО rust-tar выполнять обработку архивов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды tar: - Запускайте tar с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам tar так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. libtar: - Запускайте libtar с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libtar так, чтобы их могли изменять только администраторы системы. - При использовании ПО libtar выполнять обработку файлов, полученных только из доверенных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. node-tar-fs: - Удалить ПО node-tar-fs, если оно не используется и не является зависимостью других пакетов - Отказаться от использования ПО node-tar-fs - При использовании ПО node-tar-fs выполнять обработку файлов, полученных только из доверенных источников. - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 cups Уязвимость компонента raster-interpret.c сервера печати CUPS связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-20 AV:N/AC:L/Au:N/C:N/I:N/A:P AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 libvirt Уязвимость компонента virsocketaddr.c библиотеки управления виртуализацией Libvirt связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-190 AV:N/AC:L/Au:N/C:N/I:N/A:P AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H libvirt: - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать регламентный контроль целостности ОС - Активировать режим замкнутой программной среды Astra Linux 1.8 parsec-cups Уязвимость средства защиты и маркировки печати Parsec Cups связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L Astra Linux 1.8 lua5.3 Уязвимость компонента lmathlib.c интерпретатора скриптов Lua связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-681 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H lua5.3: - При использовании ПО Lua выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Lua-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 audit Уязвимость функции extract_timestamp инструмента хранения и поиска записей аудита Linux Audit связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 1.8 coreutils Уязвимость утилиты factor‎ пакета базовых утилит для операционных систем GNU Core Utilities связана с зависимостью от неопределенного для каждого типа реализации поведения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-758 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 1.8 usbutils Уязвимость функции readlink_recursive утилиты для работы с usb Usbutils связана с переполнением буфера на стеке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-121 AV:L/AC:L/Au:N/C:P/I:P/A:C AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:H Astra Linux 1.8 libbpf Уязвимость библиотеки загрузчика BPF Libbpf связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 1.8 libbpf Уязвимость библиотеки загрузчика BPF Libbpf связана с ошибками разыменования указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 1.8 libcgroup Уязвимость функции cgroup_add_controller()компонента wrapper.c инструментов управления ресурсами процессов Libcgroup связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-416 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 usbutils Уязвимость компонента list.h утилиты для работы с usb Usbutils связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 1.8 usbutils Уязвимость утилиты для работы с usb Usbutils связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L Astra Linux 1.8 libbpf Уязвимость компонента src/libbpf.c библиотеки загрузчика BPF Libbpf связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 1.8 corosync Уязвимость функции remove_whitespace кластерного движка Corosync связана с переполнением буфера на стеке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-121 AV:L/AC:L/Au:N/C:P/I:P/A:P AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L corosync: - Запускайте Corosync с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам Corosync так, чтобы их могли изменять только администраторы системы. - Настройте аутентификацию между узлами кластера для предотвращения несанкционированного доступа. - Убедитесь, что весь трафик между узлами кластера зашифрован. Используйте надежные протоколы шифрования. - Настройте брандмауэр для ограничения входящего и исходящего трафика, связанного с Corosync, только на необходимые порты и адреса. Astra Linux 1.8 corosync Уязвимость компонента coroparse.c кластерного движка Corosync связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-416 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H corosync: - Запускайте Corosync с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам Corosync так, чтобы их могли изменять только администраторы системы. - Настройте аутентификацию между узлами кластера для предотвращения несанкционированного доступа. - Убедитесь, что весь трафик между узлами кластера зашифрован. Используйте надежные протоколы шифрования. - Настройте брандмауэр для ограничения входящего и исходящего трафика, связанного с Corosync, только на необходимые порты и адреса. Astra Linux 1.8 corosync Уязвимость компонента coroparse.c кластерного движка Corosync связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-416 AV:L/AC:L/Au:N/C:P/I:P/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H corosync: - Запускайте Corosync с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам Corosync так, чтобы их могли изменять только администраторы системы. - Настройте аутентификацию между узлами кластера для предотвращения несанкционированного доступа. - Убедитесь, что весь трафик между узлами кластера зашифрован. Используйте надежные протоколы шифрования. - Настройте брандмауэр для ограничения входящего и исходящего трафика, связанного с Corosync, только на необходимые порты и адреса. Astra Linux 1.8 corosync Уязвимость компонента coroparse.c кластерного движка Corosync связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:P/I:P/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H corosync: - Запускайте Corosync с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам Corosync так, чтобы их могли изменять только администраторы системы. - Настройте аутентификацию между узлами кластера для предотвращения несанкционированного доступа. - Убедитесь, что весь трафик между узлами кластера зашифрован. Используйте надежные протоколы шифрования. - Настройте брандмауэр для ограничения входящего и исходящего трафика, связанного с Corosync, только на необходимые порты и адреса. Astra Linux 1.8 parsec Уязвимость подсистемы безопасности PARSEC связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 haproxy Уязвимость компонента src/cfgparse.c серверного программного обеспечения HAProxy связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H haproxy: - Обеспечить возможность запуска haproxy только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 cups Уязвимость сервера печати CUPS связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 linux-astra-modules-6.1, linux-astra-modules-6.12 Уязвимость модулей ядра Linux Astra Modules связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-667 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 haproxy Уязвимость компонента src/cfgparse.c серверного программного обеспечения HAProxy связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H haproxy: - Обеспечить возможность запуска haproxy только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 cpio Уязвимость утилиты архивирования Cpio связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-190 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H cpio: - Запускайте cpio с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам cpio так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfsd: don't ignore the return code of svc_proc_register() Currently, nfsd_proc_stat_init() ignores the return value of svc_proc_register(). If the procfile creation fails, then the kernel will WARN when it tries to remove the entry later. Fix nfsd_proc_stat_init() to return the same type of pointer as svc_proc_register(), and fix up nfsd_net_init() to check that and fail the nfsd_net construction if it occurs. svc_proc_register() can fail if the dentry can't be allocated, or if an identical dentry already exists. The second case is pretty unlikely in the nfsd_net construction codepath, so if this happens, return -ENOMEM. Уязвимость компонентов nfsd ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-252')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 glibc Calling the ungetwc function on a FILE stream with wide characters encoded in a character set that has overlaps between its single byte and multi-byte character encodings, in the GNU C Library version 2.43 or earlier, may result in an attempt to read bytes before an allocated buffer, potentially resulting in unintentional disclosure of neighboring data in the heap, or a program crash. A bug in the wide character pushback implementation (_IO_wdefault_pbackfail in libio/wgenops.c) causes ungetwc() to operate on the regular character buffer (fp->_IO_read_ptr) instead of the actual wide-stream read pointer (fp->_wide_data->_IO_read_ptr). The program crash may happen in cases where fp->_IO_read_ptr is not initialized and hence points to NULL. The buffer under-read requires a special situation where the input character encoding is such that there are overlaps between single byte representations and multibyte representations in that encoding, resulting in spurious matches. The spurious match case is not possible in the standard Unicode character sets. Уязвимость системной библиотеки GNU C Library связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-127')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) glibc: - Выполнять регламентный контроль целостности системы для избежания запуска недоверенных программ - При использовании ПО glibc выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 qt4-x11 Integer Overflow vulnerability in qsvghandler.cpp in Qt qtsvg versions 5.15.1, 6.0.0, 6.0.2, and 6.2, allows local attackers to cause a denial of service (DoS). Уязвимость компонента qsvghandler.cpp кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) qt4-x11: - При использовании ПО qt4-x11 производить обработку веб-контента только из доверенных источников - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды Astra Linux 1.8 qt4-x11 A flaw was found in Qt. An out-of-bounds read vulnerability was found in QRadialFetchSimd in qt/qtbase/src/gui/painting/qdrawhelper_p.h in Qt/Qtbase. While rendering and displaying a crafted Scalable Vector Graphics (SVG) file this flaw may lead to an unauthorized memory access. The highest threat from this vulnerability is to data confidentiality and the application availability. Уязвимость компонента qdrawhelper_p.h кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=7.1) qt4-x11: - При использовании ПО qt4-x11 производить обработку веб-контента только из доверенных источников - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды Astra Linux 1.8 qt4-x11 Qt SVG in Qt 5.0.0 through 5.15.2 and 6.0.0 through 6.2.1 has an out-of-bounds write in QtPrivate::QCommonArrayOps<QPainterPath::Element>::growAppend (called from QPainterPath::addPath and QPathClipper::intersect). Уязвимость кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) qt4-x11: - При использовании ПО qt4-x11 производить обработку веб-контента только из доверенных источников - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg A flaw was found in FFmpeg's DASH playlist support. This vulnerability allows arbitrary HTTP GET requests to be made on behalf of the machine running FFmpeg via a crafted DASH playlist containing malicious URLs. Уязвимость мультимедийной библиотеки FFmpeg связана с неправильным контролем идентификаторов ресурсов («внедрение ресурсов»). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации и нарушить её целостность [NistCWE(cwe='CWE-99')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N', score=7.2) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 openvpn OpenVPN from 2.6.0 through 2.6.10 in a server role accepts multiple exit notifications from authenticated clients which will extend the validity of a closing session Уязвимость программного обеспечения OpenVPN связана с отсутствием высвобождения ресурса после окончания срока его действия. Эксплуатация уязвимости может позволить нарушителю «сохранить сеанс», даже если серверу было приказано отключить этого клиента [NistCWE(cwe='CWE-772')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=4.3) openvpn: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска openvpn только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 vim Vim is an improved version of the unix vi text editor. When flushing the typeahead buffer, Vim moves the current position in the typeahead buffer but does not check whether there is enough space left in the buffer to handle the next characters. So this may lead to the tb_off position within the typebuf variable to point outside of the valid buffer size, which can then later lead to a heap-buffer overflow in e.g. ins_typebuf(). Therefore, when flushing the typeahead buffer, check if there is enough space left before advancing the off position. If not, fall back to flush current typebuf contents. It's not quite clear yet, what can lead to this situation. It seems to happen when error messages occur (which will cause Vim to flush the typeahead buffer) in comnination with several long mappgins and so it may eventually move the off position out of a valid buffer size. Impact is low since it is not easily reproducible and requires to have several mappings active and run into some error condition. But when this happens, this will cause a crash. The issue has been fixed as of Vim patch v9.1.0697. Users are advised to upgrade. There are no known workarounds for this issue. Уязвимость функции ins_typebuf() текстового редактора Vim связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=4.5) - при использовании ПО vim выполнять обработку файлов, полученных только из доверенных источников; - не рекомендуется запускать ненадежные файлы в режиме скрипта, т.е. используя опцию -s [scriptin]; - использовать ПО vim только на низком или отдельно выделенном уровне целостности; - отказаться от использования ПО vim в пользу ПО nano. Astra Linux 1.8 vim Vim is an open source, command line text editor. A use-after-free was found in Vim < 9.1.0764. When closing a buffer (visible in a window) a BufWinLeave auto command can cause an use-after-free if this auto command happens to re-open the same buffer in a new split window. Impact is low since the user must have intentionally set up such a strange auto command and run some buffer unload commands. However this may lead to a crash. This issue has been addressed in version 9.1.0764 and all users are advised to upgrade. There are no known workarounds for this vulnerability. Уязвимость функции BufWinLeave текстового редактора vim связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольные автокоманды [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:L', score=3.9) - при использовании ПО vim выполнять обработку файлов, полученных только из доверенных источников; - не рекомендуется запускать ненадежные файлы в режиме скрипта, т.е. используя опцию -s [scriptin]; - использовать ПО vim только на низком или отдельно выделенном уровне целостности; - отказаться от использования ПО vim в пользу ПО nano. Astra Linux 1.8 ffmpeg Unchecked Return Value, Out-of-bounds Read vulnerability in FFmpeg allows Read Sensitive Constants Within an Executable. This vulnerability is associated with program files https://github.Com/FFmpeg/FFmpeg/blob/master/libavfilter/af_pan.C . This issue affects FFmpeg: 7.1. Issue was fixed:  https://github.com/FFmpeg/FFmpeg/commit/b5b6391d64807578ab872dc58fb8aa621dcfc38a https://github.com/FFmpeg/FFmpeg/commit/b5b6391d64807578ab872dc58fb8aa621dcfc38a This issue was discovered by: Simcha Kosman Уязвимость мультимедийной библиотеки FFmpeg связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 p7zip, 7zip 7-Zip ZIP File Parsing Directory Traversal Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of 7-Zip. Interaction with this product is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the handling of symbolic links in ZIP files. Crafted data in a ZIP file can cause the process to traverse to unintended directories. An attacker can leverage this vulnerability to execute code in the context of a service account. Was ZDI-CAN-26753. Уязвимость файлового архиватора 7-Zip связана с неверным определением символических ссылок перед доступом к файлу. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код при условии открытия пользователем специально сформированного ZIP-архива [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 p7zip, 7zip 7-Zip ZIP File Parsing Directory Traversal Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of 7-Zip. Interaction with this product is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the handling of symbolic links in ZIP files. Crafted data in a ZIP file can cause the process to traverse to unintended directories. An attacker can leverage this vulnerability to execute code in the context of a service account. Was ZDI-CAN-26743. Уязвимость обработки символических ссылок в ZIP-файлах файлового архиватора 7-Zip связана с неверным определением символических ссылок перед доступом к файлу. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 ffmpeg A vulnerability, which was classified as critical, was found in FFmpeg up to 7.1. This affects the function ff_aac_search_for_tns of the file libavcodec/aacenc_tns.c of the component AAC Encoder. The manipulation leads to stack-based buffer overflow. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. Уязвимость функции ff_aac_search_for_tns компонента libavcodec/aacenc_tns.c мультимедийной библиотеки FFmpeg связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:P/I:P/A:P', score=7.5) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) - Удалить ПО FFmpeg, если оно не используется и не является зависимостью других пакетов - Отказаться от использования ПО FFmpeg в пользу ПО gstreamer - Использовать ПО FFmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО FFmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 openvpn OpenVPN version 2.6.1 through 2.6.13 in server mode using TLS-crypt-v2 allows remote attackers to trigger a denial of service by corrupting and replaying network packets in the early handshake phase Уязвимость функции TLS-crypt-v2 сервера программного обеспечения OpenVPN связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openvpn: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска openvpn только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.6, iOS 18.6 and iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6, watchOS 11.6. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модуля отображения веб-страниц WebKit браузера Safari операционных систем watchOS, visionOS, iOS,iPadOS, macOS, tvOS вызвана выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.6, iOS 18.6 and iPadOS 18.6, iPadOS 17.7.9, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6, watchOS 11.6. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модуля отображения веб-страниц WebKit операционных систем iOS, iPadOS, macOS, tvOS, visionOS, watchOS и браузера Safari вызвана выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: af_unix: Don't leave consecutive consumed OOB skbs. Jann Horn reported a use-after-free in unix_stream_read_generic(). The following sequences reproduce the issue: $ python3 from socket import * s1, s2 = socketpair(AF_UNIX, SOCK_STREAM) s1.send(b'x', MSG_OOB) s2.recv(1, MSG_OOB) # leave a consumed OOB skb s1.send(b'y', MSG_OOB) s2.recv(1, MSG_OOB) # leave a consumed OOB skb s1.send(b'z', MSG_OOB) s2.recv(1) # recv 'z' illegally s2.recv(1, MSG_OOB) # access 'z' skb (use-after-free) Even though a user reads OOB data, the skb holding the data stays on the recv queue to mark the OOB boundary and break the next recv(). After the last send() in the scenario above, the sk2's recv queue has 2 leading consumed OOB skbs and 1 real OOB skb. Then, the following happens during the next recv() without MSG_OOB 1. unix_stream_read_generic() peeks the first consumed OOB skb 2. manage_oob() returns the next consumed OOB skb 3. unix_stream_read_generic() fetches the next not-yet-consumed OOB skb 4. unix_stream_read_generic() reads and frees the OOB skb , and the last recv(MSG_OOB) triggers KASAN splat. The 3. above occurs because of the SO_PEEK_OFF code, which does not expect unix_skb_len(skb) to be 0, but this is true for such consumed OOB skbs. while (skip >= unix_skb_len(skb)) { skip -= unix_skb_len(skb); skb = skb_peek_next(skb, &sk->sk_receive_queue); ... } In addition to this use-after-free, there is another issue that ioctl(SIOCATMARK) does not function properly with consecutive consumed OOB skbs. So, nothing good comes out of such a situation. Instead of complicating manage_oob(), ioctl() handling, and the next ECONNRESET fix by introducing a loop for consecutive consumed OOB skbs, let's not leave such consecutive OOB unnecessarily. Now, while receiving an OOB skb in unix_stream_recv_urg(), if its previous skb is a consumed OOB skb, it is freed. [0]: BUG: KASAN: slab-use-after-free in unix_stream_read_actor (net/unix/af_unix.c:3027) Read of size 4 at addr ffff888106ef2904 by task python3/315 CPU: 2 UID: 0 PID: 315 Comm: python3 Not tainted 6.16.0-rc1-00407-gec315832f6f9 #8 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-4.fc42 04/01/2014 Call Trace: <TASK> dump_stack_lvl (lib/dump_stack.c:122) print_report (mm/kasan/report.c:409 mm/kasan/report.c:521) kasan_report (mm/kasan/report.c:636) unix_stream_read_actor (net/unix/af_unix.c:3027) unix_stream_read_generic (net/unix/af_unix.c:2708 net/unix/af_unix.c:2847) unix_stream_recvmsg (net/unix/af_unix.c:3048) sock_recvmsg (net/socket.c:1063 (discriminator 20) net/socket.c:1085 (discriminator 20)) __sys_recvfrom (net/socket.c:2278) __x64_sys_recvfrom (net/socket.c:2291 (discriminator 1) net/socket.c:2287 (discriminator 1) net/socket.c:2287 (discriminator 1)) do_syscall_64 (arch/x86/entry/syscall_64.c:63 (discriminator 1) arch/x86/entry/syscall_64.c:94 (discriminator 1)) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) RIP: 0033:0x7f8911fcea06 Code: 5d e8 41 8b 93 08 03 00 00 59 5e 48 83 f8 fc 75 19 83 e2 39 83 fa 08 75 11 e8 26 ff ff ff 66 0f 1f 44 00 00 48 8b 45 10 0f 05 <48> 8b 5d f8 c9 c3 0f 1f 40 00 f3 0f 1e fa 55 48 89 e5 48 83 ec 08 RSP: 002b:00007fffdb0dccb0 EFLAGS: 00000202 ORIG_RAX: 000000000000002d RAX: ffffffffffffffda RBX: 00007fffdb0dcdc8 RCX: 00007f8911fcea06 RDX: 0000000000000001 RSI: 00007f8911a5e060 RDI: 0000000000000006 RBP: 00007fffdb0dccd0 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000202 R12: 00007f89119a7d20 R13: ffffffffc4653600 R14: 0000000000000000 R15: 0000000000000000 </TASK> Allocated by task 315: kasan_save_stack (mm/kasan/common.c:48) kasan_save_track (mm/kasan/common.c:60 (discriminator 1) mm/kasan/common.c:69 (discriminator 1)) __kasan_slab_alloc (mm/kasan/common.c:348) kmem_cache_alloc_ ---truncated--- Уязвимость функции unix_stream_read_generic() модуля net/unix/af_unix.c ядра операционных систем Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии, обойти существующие механизмы безопасности и выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 gst-plugins-bad1.0 GStreamer H265 Codec Parsing Stack-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GStreamer. Interaction with this library is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the parsing of H265 slice headers. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a fixed-length stack-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-26596. Уязвимость мультимедийного фреймворка Gstreamer связана с переполнением буфера на стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.6, iOS 18.6 and iPadOS 18.6, iPadOS 17.7.9, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6, watchOS 11.6. Processing web content may lead to a denial-of-service. Уязвимость модуля отображения веб-страниц WebKit операционных систем macOS, iPadOS, visionOS, iOS, watchOS, tvOS связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.6, iOS 18.6 and iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6, watchOS 11.6. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модуля отображения веб-страниц WebKit операционных систем macOS, iPadOS, visionOS, iOS, watchOS, tvOS связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 18.6, iOS 18.6 and iPadOS 18.6, iPadOS 17.7.9, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6, watchOS 11.6. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модуля отображения веб-страниц WebKit операционных систем macOS, iPadOS, visionOS, iOS, watchOS, tvOS связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk This issue was addressed through improved state management. This issue is fixed in Safari 18.6, iOS 18.6 and iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6, watchOS 11.6. Processing maliciously crafted web content may disclose sensitive user information. Уязвимость компонента WebKit операционных систем macOS, iOS, iPadOS, watchOS, tvOS, visionOS связана с недостатками разграничения доступа к личной информации. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [NistCWE(cwe='CWE-359')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved UI. This issue is fixed in Safari 18.6, iOS 18.6 and iPadOS 18.6. Visiting a malicious website may lead to address bar spoofing. Уязвимость модуля отображения веб-страниц WebKit операционных систем iOS, iPadOS и браузера Safari связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить спуфинг-атаки [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A logic issue was addressed with improved checks. This issue is fixed in Safari 18.6, macOS Sequoia 15.6. A download's origin may be incorrectly associated. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с недостатками в обработке исключительных состояний. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-703')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=6.2) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk An out-of-bounds read was addressed with improved input validation. This issue is fixed in Safari 18.6, iOS 18.6 and iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6, watchOS 11.6. Processing maliciously crafted web content may disclose internal states of the app. Уязвимость модулей отображения веб-страниц WebKitGTK и WebKit связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=4.0) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 poppler NSSCryptoSignBackend.cc in Poppler before 25.04.0 does not verify the adbe.pkcs7.sha1 signatures on documents, resulting in potential signature forgeries. Уязвимость компонента adbe.pkcs7.sha1 библиотеки для отображения PDF-файлов Poppler связана с ошибками проверки криптографической подписи. Эксплуатация уязвимости может позволить нарушителю выполнить атаку методом подмены [NistCWE(cwe='CWE-347')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N', score=4.3) poppler: - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular poppler-22: - При использовании ПО poppler-22 выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 1.8 poppler Poppler is a PDF rendering library. Versions prior to 25.06.0 use `std::atomic_int` for reference counting. Because `std::atomic_int` is only 32 bits, it is possible to overflow the reference count and trigger a use-after-free. Version 25.06.0 patches the issue. Уязвимость библиотеки для отображения PDF-файлов Poppler связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 1.8 squid Squid is a caching proxy for the Web. In versions 6.3 and below, Squid is vulnerable to a heap buffer overflow and possible remote code execution attack when processing URN due to incorrect buffer management. This has been fixed in version 6.4. To work around this issue, disable URN access permissions. Уязвимость прокси-сервера Squid связана с переполнением буфера в динамической памяти при обработке URN-заголовков. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных HTTP-запросов [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:H', score=9.3) Отключите разрешения на доступ URN. Для этого, используя полномочия администратора системы с высоким уровнем целостности, откройте конфигурационный файл /etc/squid/squid.conf и добавьте в него следующие строки: ``` acl URN proto URN http_access deny URN ``` Сохраните изменения в конфигурационном файле. Перезапустите службу Squid, чтобы применить изменения: ``` sudo systemctl restart squid ``` Astra Linux 1.8 p7zip, 7zip 7-Zip before 25.01 does not always properly handle symbolic links during extraction. Уязвимость файлового архиватора 7-Zip связана с неверным определением символических ссылок перед доступом к файлу. Эксплуатация уязвимости позволяет нарушителю обойти ограничения безопасности [NistCWE(cwe='CWE-59')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N', score=3.6) Для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 libblockdev A Local Privilege Escalation (LPE) vulnerability was found in libblockdev. Generally, the "allow_active" setting in Polkit permits a physically present user to take certain actions based on the session type. Due to the way libblockdev interacts with the udisks daemon, an "allow_active" user on a system may be able escalate to full root privileges on the target host. Normally, udisks mounts user-provided filesystem images with security flags like nosuid and nodev to prevent privilege escalation. However, a local attacker can create a specially crafted XFS image containing a SUID-root shell, then trick udisks into resizing it. This mounts their malicious filesystem with root privileges, allowing them to execute their SUID-root shell and gain complete control of the system. Уязвимость библиотеки libblockdev связана с возможностью монтирования файловой системы и управлением накопителями в результате некорректного разграничения доступа при обращении к демону udisks. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии до уровня root [NistCWE(cwe='CWE-250')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) Для нейтрализации уязвимости CVE-2025-6019 необходимо изменить правило доступа к операции "org.freedesktop.udisks2.modify-device" в polkit: 1. Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора откройте файл /usr/share/polkit-1/actions/org.freedesktop.UDisks2.policy 2. Найдите раздел с описанием операции org.freedesktop.udisks2.modify-device: ```xml <action id="org.freedesktop.udisks2.modify-device"> <description>...</description> ... <description>...</description> <message>...</message> ... <message>...</message> <defaults> <allow_any>auth_admin</allow_any> <allow_inactive>auth_admin</allow_inactive> <allow_active>yes</allow_active> </defaults> </action> ``` Если значение параметра "allow_active" - "yes", то измените его на "auth_admin": ```xml <action id="org.freedesktop.udisks2.modify-device"> <description>...</description> ... <description>...</description> <message>...</message> ... <message>...</message> <defaults> <allow_any>auth_admin</allow_any> <allow_inactive>auth_admin</allow_inactive> <allow_active>auth_admin</allow_active> </defaults> </action> ``` 3. Сохраните файл. 4. Перезапустите службу polkit: ``` sudo systemctl restart polkit ``` Astra Linux 1.8 chromium, webkit2gtk Insufficient validation of untrusted input in ANGLE and GPU in Google Chrome prior to 138.0.7204.157 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость библиотеки ANGLE браузера Google Chrome с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимости необходимо отключить аппаратное ускорение: - Введите chrome://settings/ в адресную строку и нажмите Enter - Перейдите в раздел «Система» - В появившемся списке отключите настройку Использовать аппаратное ускорение графики, если оно доступно. - Перезапустите Chromium. Astra Linux 1.8 sqlite3 There exists a vulnerability in SQLite versions before 3.50.2 where the number of aggregate terms could exceed the number of columns available. This could lead to a memory corruption issue. We recommend upgrading to version 3.50.2 or above. Уязвимость компонента Aggregate Term Handler системы управления базами данных SQLite связана с ошибками числового усечения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на конфиденциальность, целостность и доступность [NistCWE(cwe='CWE-197')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:H/A:L', score=7.7) Для нейтрализации угрозы эксплуатации уязвимости необходимо выполнить одно из следующих требований: - запускать ПО sqlite3 в изолированной программной среде с применением инструмента Firejail; - отказаться от использования ПО sqlite3 в пользу ПО postgresql. Astra Linux 1.8 binutils A vulnerability classified as problematic was found in GNU Binutils 2.45. Affected by this vulnerability is the function copy_section of the file binutils/objcopy.c. The manipulation leads to heap-based buffer overflow. Attacking locally is a requirement. The exploit has been disclosed to the public and may be used. The patch is named 08c3cbe5926e4d355b5cb70bbec2b1eeb40c2944. It is recommended to apply a patch to fix this issue. Уязвимость компонента binutils/objcopy.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации, нарушить её целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) - Ограничить доступ к использованию команды objcopy - При использовании команды objcopy выполнять обработку файлов, полученных только из доверенных источников - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 binutils A vulnerability, which was classified as problematic, has been found in GNU Binutils 2.45. Affected by this issue is the function bfd_elf_set_group_contents of the file bfd/elf.c. The manipulation leads to out-of-bounds write. It is possible to launch the attack on the local host. The exploit has been disclosed to the public and may be used. The name of the patch is 41461010eb7c79fee7a9d5f6209accdaac66cc6b. It is recommended to apply a patch to fix this issue. Уязвимость компонента bfd/elf.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации, нарушить её целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) - Ограничить доступ к использованию команды objcopy - При использовании команды objcopy выполнять обработку файлов, полученных только из доверенных источников - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Integer overflow in V8 in Google Chrome prior to 138.0.7204.157 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для версий ПО Chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: - Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. - В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. - Перезапустите Chromium. Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 138.0.7204.157 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - Удалить ПО Chromium, если оно не используется - Отказаться от использования ПО Chromium в пользу ПО Firefox - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Настройте брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности - Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail или с использованием ПО astra-docker-browser Astra Linux 1.8 cairo An issue was discovered in cairo 1.16.0. There is an infinite loop in the function _arc_error_normalized in the file cairo-arc.c, related to _arc_max_angle_for_tolerance_normalized. Уязвимость функции _arc_error_normalized компонента cairo-arc.c библиотеки векторной графики Cairo связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) cairo: - При использовании ПО, использующего библиотеку cairo, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку cairo, в изолированной программной среде с применением инструмента Firejail - Использовать ПО, использующее библиотеку cairo, только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды cairosvg: - Использовать ПО cairosvg только на низком или отдельно выделенном уровне целостности - При использовании ПО cairosvg выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска cairosvg только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды pycairo: - Использовать ПО pycairo только на низком или отдельно выделенном уровне целостности - При использовании ПО pycairo выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска pycairo только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 djvulibre An issue was discovered IW44Image.cpp in djvulibre 3.5.28 in allows attackers to cause a denial of service via divide by zero. Уязвимость компонента IW44Image.cpp библиотеки для просмотра, создания, редактирования DjVu-файлов DjVuLibre связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) - удалить ПО djvulibre, если оно не используется; - отказаться от использования ПО djvulibre в пользу ПО okular; - отключить и удалить неиспользуемые учётные записи пользователей; - обеспечить возможность запуска djvulibre только доверенными пользователями ОС; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запускать ПО djvulibre в изолированной программной среде с применением инструмента Firejail; - включить режим замкнутой программной среды; - включить мандатный контроль целостности (МКЦ). Astra Linux 1.8 configobj All versions of the package configobj are vulnerable to Regular Expression Denial of Service (ReDoS) via the validate function, using (.+?)\((.*)\). **Note:** This is only exploitable in the case of a developer, putting the offending value in a server side configuration file. Уязвимость программы для чтения и записи ini-файлов configobj связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333'), NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=3.7) - Обеспечить возможность использования библиотеки configobj только доверенными пользователями ОС; - Использовать ПО, использующее библиотеку configobj, только на низком или отдельно выделенном уровне целостности; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 iniparser iniparser v4.1 is vulnerable to NULL Pointer Dereference in function iniparser_getlongint which misses check NULL for function iniparser_getstring's return. Уязвимость функции iniparser_getlongint() библиотеки для анализа ini-файлов iniParser связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) - Удалить ПО iniparser, если оно не используется и не является зависимостью используемых приложений - При использовании ПО iniparser выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Использовать ПО iniparser только на низком или отдельно выделенном уровне целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 openjpeg2 A flaw was found in OpenJPEG. Maliciously constructed pictures can cause the program to enter a large loop and continuously print warning messages on the terminal. Уязвимость компонента t2.c библиотеки для кодирования и декодирования изображений OpenJPEG связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) openjpeg2: - Используйте openjpeg2 с минимально необходимыми привилегиями - Активировать режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - При использовании ПО openjpeg2 выполнять обработку файлов, полученных только из доверенных источников Astra Linux 1.8 erlang-jose erlang-jose (aka JOSE for Erlang and Elixir) through 1.11.6 allow attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value in a JOSE header. Уязвимость библиотеки языка Erlang для работы с JSON JOSE for Erlang связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) - включить межсетевой экран ufw; - обеспечить возможность использования библиотеки erlang-jose только доверенными пользователями ОС; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - для непривилегированных пользователей активировать блокировку интерпретаторов; - запретить установку бита исполнения для всех пользователей, включая администраторов; - включить режим замкнутой программной среды. Astra Linux 1.8 libnbd A flaw was found in libnbd. A server can reply with a block size larger than 2^63 (the NBD spec states the size is a 64-bit unsigned value). This issue could lead to an application crash or other unintended behavior for NBD clients that doesn't treat the return value of the nbd_get_size() function correctly. Уязвимость функции nbd_get_size() библиотеки libnbd связана с получаемыми ответами сервером, блоком размером больше 2^63. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-241'), NistCWE(cwe='CWE-252')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.3) - Обеспечить возможность использования библиотеки libnbd только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 mariadb MariaDB Server 10.4 through 10.5.*, 10.6 through 10.6.*, 10.7 through 10.11.*, and 11.0 through 11.0.* can sometimes crash with an empty backtrace log. This may be related to make_aggr_tables_info and optimize_stage2. Уязвимость функций make_aggr_tables_info() и optimize_stage2() СУБД MariaDB связана с использованием методов оптимизации, снижающих безопасность кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1038')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.9) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 mariadb MariaDB Server 10.4 through 10.5.*, 10.6 through 10.6.*, 10.7 through 10.11.*, 11.0 through 11.0.*, and 11.1 through 11.4.* crashes in Item_direct_view_ref::derived_field_transformer_for_where. Уязвимость функции Item_direct_view_ref::derived_field_transformer_for_where() СУБД MariaDB связана с использованием методов оптимизации, снижающих безопасность кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1038')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.9) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 mariadb MariaDB Server 10.10 through 10.11.* and 11.0 through 11.4.* crashes in JOIN::fix_all_splittings_in_plan. Уязвимость функции JOIN::fix_all_splittings_in_plan() СУБД MariaDB связана с использованием методов оптимизации, снижающих безопасность кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1038')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.9) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 pam A vulnerability was found in PAM. The secret information is stored in memory, where the attacker can trigger the victim program to execute by sending characters to its standard input (stdin). As this occurs, the attacker can train the branch predictor to execute an ROP chain speculatively. This flaw could result in leaked passwords, such as those found in /etc/shadow while performing authentications. Уязвимость модуля аутентификации Linux-PAM связана с незащищённым хранением конфиденциальной информации. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-922'), NistCWE(cwe='CWE-922')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N', score=4.7) pam-p11: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Активировать режим замкнутой программной среды. pam: - Проверить, включен ли модуль pam_namespace. Если включен, отключить его; - Включить защиту файловой системы ("установить МКЦ на ФС"); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 jpeg-xl There exists an out of bounds read/write in LibJXL versions prior to commit 9cc451b91b74ba470fd72bd48c121e9f33d24c99. The JPEG decoder used by the JPEG XL encoder when doing JPEG recompression (i.e. if using JxlEncoderAddJPEGFrame on untrusted input) does not properly check bounds in the presence of incomplete codes. This could lead to an out-of-bounds write. In jpegli which is released as part of the same project, the same vulnerability is present. However, the relevant buffer is part of a bigger structure, and the code makes no assumptions on the values that could be overwritten. The issue could however cause jpegli to read uninitialised memory, or addresses of functions. Уязвимость функции JxlEncoderAddJPEGFrame() декодера JPEG XL библиотеки Libjxl связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 jpeg-xl There exists a stack buffer overflow in libjxl. A specifically-crafted file can cause the JPEG XL decoder to use large amounts of stack space (up to 256mb is possible, maybe 512mb), potentially exhausting the stack. An attacker can craft a file that will cause excessive memory usage. We recommend upgrading past commit 65fbec56bc578b6b6ee02a527be70787bbd053b0. Уязвимость декодера JPEG XL библиотеки Libjxl связана с неконтролируемым расходом ресурсов в результате переполнения буфера на стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 nodejs A security flaw in Node.js allows a bypass of network import restrictions. By embedding non-network imports in data URLs, an attacker can execute arbitrary code, compromising system security. Verified on various platforms, the vulnerability is mitigated by forbidding data URLs in network imports. Exploiting this flaw can violate network import security, posing a risk to developers and servers. Уязвимость программной платформы Node.js связана с неправильным контролем доступа. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:H/A:H', score=6.5) nodejs: - При использовании ПО NodeJS выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте NodeJS-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 grub2 GRUB2 does not call the module fini functions on exit, leading to Debian/Ubuntu's peimage GRUB2 module leaving UEFI system table hooks after exit. This lead to a use-after-free condition, and could possibly lead to secure boot bypass. Уязвимость конфигурационного файла Grub связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 ceph No description Astra Linux 1.8 linux-6.1, linux-6.12 Improper initialization of CPU cache memory could allow a privileged attacker with hypervisor access to overwrite SEV-SNP guest memory resulting in loss of data integrity. Уязвимость ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-665')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:C/C:N/I:L/A:N', score=3.2) Astra Linux 1.8 linux-6.1, linux-6.12 A transient execution vulnerability in some AMD processors may allow an attacker to infer data from previous stores, potentially resulting in the leakage of privileged information. Уязвимость микропрограммного обеспечения процессоров AMD связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.6) Astra Linux 1.8 linux-6.1, linux-6.12 A transient execution vulnerability in some AMD processors may allow an attacker to infer data in the L1D cache, potentially resulting in the leakage of sensitive information across privileged boundaries. Уязвимость микропрограммного обеспечения процессоров AMD связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.6) Astra Linux 1.8 zabbix When exporting media types, the password is exported in the YAML in plain text. This appears to be a best practices type issue and may have no actual impact. The user would need to have permissions to access the media types and therefore would be expected to have access to these passwords. Уязвимость системы мониторинга ИТ-инфраструктуры Zabbix связана с хранением пароля в незашифрованном виде. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к защищаемой информации [NistCWE(cwe='CWE-256')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N', score=2.7) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix A low privilege (regular) Zabbix user with API access can use SQL injection vulnerability in include/classes/api/CApiService.php to execute arbitrary SQL commands via the groupBy parameter. Уязвимость компонента API универсальной системы мониторинга Zabbix связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды путем обработки параметра groupBy [NistCWE(cwe='CWE-89')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) - Отключить API доступ для обычных пользователей в конфигурации Zabbix - Ограничить доступ к Zabbix API только доверенным IP-адресам Astra Linux 1.8 zabbix Execution time for an unsuccessful login differs when using a non-existing username compared to using an existing one. Уязвимость сервера универсальной системы мониторинга Zabbix связана с манипулированием неизвестным входом приводящее к уязвимости несоответствия времени. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-208')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N', score=3.1) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Drivers: hv: vmbus: Leak pages if set_memory_encrypted() fails In CoCo VMs it is possible for the untrusted host to cause set_memory_encrypted() or set_memory_decrypted() to fail such that an error is returned and the resulting memory is shared. Callers need to take care to handle these errors to avoid returning decrypted (shared) memory to the page allocator, which could lead to functional or security issues. VMBus code could free decrypted pages if set_memory_encrypted()/decrypted() fails. Leak the pages if this happens. Уязвимость функций set_memory_encrypted() и set_memory_decrypted() компонента drivers/hv/connection.c ядра операционной системы Linux связана с разглашением конфиденциальной системной информации из-за неочищенной отладочной информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1258')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfs: don't walk off the end of a directory data block This adds sanity checks for xfs_dir2_data_unused and xfs_dir2_data_entry to make sure don't stray beyond valid memory region. Before patching, the loop simply checks that the start offset of the dup and dep is within the range. So in a crafted image, if last entry is xfs_dir2_data_unused, we can change dup->length to dup->length-1 and leave 1 byte of space. In the next traversal, this space will be considered as dup or dep. We may encounter an out of bound read when accessing the fixed members. In the patch, we make sure that the remaining bytes large enough to hold an unused entry before accessing xfs_dir2_data_unused and xfs_dir2_data_unused is XFS_DIR2_DATA_ALIGN byte aligned. We also make sure that the remaining bytes large enough to hold a dirent with a single-byte name before accessing xfs_dir2_data_entry. Уязвимость компонентов libxfs ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным с помощью специально созданного файла изображения [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 libemail-mime-perl An excessive memory use issue (CWE-770) exists in Email-MIME, before version 1.954, which can cause denial of service when parsing multipart MIME messages. The patch set (from 2020 and 2024) limits excessive depth and the total number of parts. Уязвимость библиотеки для анализа и обработки MIME-сообщений Email-MIMEE связана с неограниченным распределением ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданных MIME-сообщений [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 zabbix Zabbix API user.get returns all users that share common group with the calling user. This includes media and other information, such as login attempts, etc. Уязвимость компонента API универсальной системы мониторинга Zabbix связана с неправильной авторизацией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию [NistCWE(cwe='CWE-359')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.5) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 apache2 HTTP response splitting in the core of Apache HTTP Server allows an attacker who can manipulate the Content-Type response headers of applications hosted or proxied by the server can split the HTTP response. This vulnerability was described as CVE-2023-38709 but the patch included in Apache HTTP Server 2.4.59 did not address the issue. Users are recommended to upgrade to version 2.4.64, which fixes this issue. Уязвимость ядра веб-сервера Apache HTTP Server связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) - Отключить или ограничить использование пользовательских заголовков Content-Type в конфигурации Apache - Использовать ModSecurity для фильтрации вредоносных символов (\r\n) в заголовках - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Использовать VPN для подключение доверенных пользователей к ПО apache2 Astra Linux 1.8 apache2 SSRF in Apache HTTP Server with mod_proxy loaded allows an attacker to send outbound proxy requests to a URL controlled by the attacker.  Requires an unlikely configuration where mod_headers is configured to modify the Content-Type request or response header with a value provided in the HTTP request. Users are recommended to upgrade to version 2.4.64 which fixes this issue. Уязвимость модуля mod_proxy веб-сервера Apache HTTP Server связана с недостаточной проверкой запросов на стороне сервера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить SSRF-атаку [NistCWE(cwe='CWE-918')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) - Уязвимость возможно реализовать, если использует `mod_proxy` и `mod_headers`, где `mod_headers` настроен на модификацию заголовка Content-Type в запросе или ответе с использованием пользовательских данных. Проверьте файлы конфигурации (например, /etc/apache2/apache2.conf) на наличие строк, содержащих `set Content-Type "%{USER_INPUT}e`, и удалите их или замените на статическое значение - Отключить mod_proxy или mod_headers, если они не используются: `sudo a2dismod proxy headers` - Обеспечить подключение к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности `mod_security` и `mod_evasive` - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache Astra Linux 1.8 zabbix The endpoint /zabbix.php?action=export.valuemaps suffers from a Cross-Site Scripting vulnerability via the backurl parameter. This is caused by the reflection of user-supplied data without appropriate HTML escaping or output encoding. As a result, a JavaScript payload may be injected into the above endpoint causing it to be executed within the context of the victim's browser. Уязвимость веб-интейрфеса универсальной системы мониторинга Zabbix связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку межсайтового скриптинга путем обработки параметра backurl [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N', score=5.4) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix Zabbix server is vulnerable to a DoS vulnerability due to uncontrolled resource exhaustion. An attacker can send specially crafted requests to the server, which will cause the server to allocate an excessive amount of memory and perform CPU-intensive decompression operations, ultimately leading to a service crash. Уязвимость сервера универсальной системы мониторинга Zabbix связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.5) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 apache2 Insufficient escaping of user-supplied data in mod_ssl in Apache HTTP Server 2.4.63 and earlier allows an untrusted SSL/TLS client to insert escape characters into log files in some configurations. In a logging configuration where CustomLog is used with "%{varname}x" or "%{varname}c" to log variables provided by mod_ssl such as SSL_TLS_SNI, no escaping is performed by either mod_log_config or mod_ssl and unsanitized data provided by the client may appear in log files. Уязвимость функции mod_ssl веб-сервера Apache HTTP Server связана с неприятием мер по нейтрализации специальных управляющих элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-150')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) - Уязвимость возможно реализовать, если используется конфигурация CustomLog с переменными %{varname}x или %{varname}c. Чтобы изменить конфигурацию Apache: - замените `%{varname}x` на `%{varname}e` (переменные окружения экранируются по умолчанию) - используйте `mod_security` для фильтрации управляющих символов - Если `SSL_TLS_SNI` не используется, удалить соответствующие директивы `CustomLog` - Обеспечить подключение к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности `mod_security` и `mod_evasive` - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check link_res->hpo_dp_link_enc before using it [WHAT & HOW] Functions dp_enable_link_phy and dp_disable_link_phy can pass link_res without initializing hpo_dp_link_enc and it is necessary to check for null before dereferencing. This fixes 2 FORWARD_NULL issues reported by Coverity. Уязвимость функции disable_hpo_dp_link_output() ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 firefox, thunderbird, expat An issue was discovered in libexpat before 2.6.4. There is a crash within the XML_ResumeParser function because XML_StopParser can stop/suspend an unstarted parser. Уязвимость функции XML_ResumeParser библиотеки для анализа XML-файлов libexpat связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) Для нейтрализации угрозы эксплуатации уязвимости для ПО Thunderbird необходимо выполнить одно из следующих требований: - удалить ПО Thunderbird, если оно не используется; - отказаться от использования ПО Thunderbird в пользу ПО Evolution; - обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail. Для нейтрализации угрозы эксплуатации уязвимости для ПО expat необходимо выполнить одно из следующих требований: - При использовании ПО expat выполнять обработку файлов, полученных только из доверенных источников - По возможности запускайте приложения, использующие ПО expat, в изолированной программной среде с применением инструмента Firejail - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 libsndfile libsndfile through 1.2.2 has an ogg_vorbis.c vorbis_analysis_wrote out-of-bounds read. Уязвимость функции vorbis_analysis_wrote() библиотеки для чтения и записи аудиофайлов libsndfile связана связанная с чтением за пределами допустимого диапазона. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код в целевой системе [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 openjpeg2 A flaw was found in the OpenJPEG project. A heap buffer overflow condition may be triggered when certain options are specified while using the opj_decompress utility. This can lead to an application crash or other undefined behavior. Уязвимость библиотеки для кодирования и декодирования изображений OpenJPEG связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:H', score=5.6) openjpeg2: - Используйте openjpeg2 с минимально необходимыми привилегиями - Активировать режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - При использовании ПО openjpeg2 выполнять обработку файлов, полученных только из доверенных источников Astra Linux 1.8 openjpeg2 A flaw was found in the OpenJPEG project. A heap buffer overflow condition may be triggered when certain options are specified while using the opj_decompress utility. This can lead to an application crash or other undefined behavior. Уязвимость библиотеки для кодирования и декодирования изображений OpenJPEG связана с переполнением буфера в динамической памяти в функции opj_j2k_add_tlmarker() в src/lib/openjp2/j2k.c. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:H', score=5.6) openjpeg2: - Используйте openjpeg2 с минимально необходимыми привилегиями - Активировать режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - При использовании ПО openjpeg2 выполнять обработку файлов, полученных только из доверенных источников Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: hugetlb: independent PMD page table shared count The folio refcount may be increased unexpectly through try_get_folio() by caller such as split_huge_pages. In huge_pmd_unshare(), we use refcount to check whether a pmd page table is shared. The check is incorrect if the refcount is increased by the above caller, and this can cause the page table leaked: BUG: Bad page state in process sh pfn:109324 page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x66 pfn:0x109324 flags: 0x17ffff800000000(node=0|zone=2|lastcpupid=0xfffff) page_type: f2(table) raw: 017ffff800000000 0000000000000000 0000000000000000 0000000000000000 raw: 0000000000000066 0000000000000000 00000000f2000000 0000000000000000 page dumped because: nonzero mapcount ... CPU: 31 UID: 0 PID: 7515 Comm: sh Kdump: loaded Tainted: G B 6.13.0-rc2master+ #7 Tainted: [B]=BAD_PAGE Hardware name: QEMU KVM Virtual Machine, BIOS 0.0.0 02/06/2015 Call trace: show_stack+0x20/0x38 (C) dump_stack_lvl+0x80/0xf8 dump_stack+0x18/0x28 bad_page+0x8c/0x130 free_page_is_bad_report+0xa4/0xb0 free_unref_page+0x3cc/0x620 __folio_put+0xf4/0x158 split_huge_pages_all+0x1e0/0x3e8 split_huge_pages_write+0x25c/0x2d8 full_proxy_write+0x64/0xd8 vfs_write+0xcc/0x280 ksys_write+0x70/0x110 __arm64_sys_write+0x24/0x38 invoke_syscall+0x50/0x120 el0_svc_common.constprop.0+0xc8/0xf0 do_el0_svc+0x24/0x38 el0_svc+0x34/0x128 el0t_64_sync_handler+0xc8/0xd0 el0t_64_sync+0x190/0x198 The issue may be triggered by damon, offline_page, page_idle, etc, which will increase the refcount of page table. 1. The page table itself will be discarded after reporting the "nonzero mapcount". 2. The HugeTLB page mapped by the page table miss freeing since we treat the page table as shared and a shared page table will not be unmapped. Fix it by introducing independent PMD page table shared count. As described by comment, pt_index/pt_mm/pt_frag_refcount are used for s390 gmap, x86 pgds and powerpc, pt_share_count is used for x86/arm64/riscv pmds, so we can reuse the field as pt_share_count. Уязвимость компонента hugetlb.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs: relax assertions on failure to encode file handles Encoding file handles is usually performed by a filesystem >encode_fh() method that may fail for various reasons. The legacy users of exportfs_encode_fh(), namely, nfsd and name_to_handle_at(2) syscall are ready to cope with the possibility of failure to encode a file handle. There are a few other users of exportfs_encode_{fh,fid}() that currently have a WARN_ON() assertion when ->encode_fh() fails. Relax those assertions because they are wrong. The second linked bug report states commit 16aac5ad1fa9 ("ovl: support encoding non-decodable file handles") in v6.6 as the regressing commit, but this is not accurate. The aforementioned commit only increases the chances of the assertion and allows triggering the assertion with the reproducer using overlayfs, inotify and drop_caches. Triggering this assertion was always possible with other filesystems and other reasons of ->encode_fh() failures and more particularly, it was also possible with the exact same reproducer using overlayfs that is mounted with options index=on,nfs_export=on also on kernels < v6.6. Therefore, I am not listing the aforementioned commit as a Fixes commit. Backport hint: this patch will have a trivial conflict applying to v6.6.y, and other trivial conflicts applying to stable kernels < v6.6. Уязвимость компонентов fs ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: do proper folio cleanup when cow_file_range() failed [BUG] When testing with COW fixup marked as BUG_ON() (this is involved with the new pin_user_pages*() change, which should not result new out-of-band dirty pages), I hit a crash triggered by the BUG_ON() from hitting COW fixup path. This BUG_ON() happens just after a failed btrfs_run_delalloc_range(): BTRFS error (device dm-2): failed to run delalloc range, root 348 ino 405 folio 65536 submit_bitmap 6-15 start 90112 len 106496: -28 ------------[ cut here ]------------ kernel BUG at fs/btrfs/extent_io.c:1444! Internal error: Oops - BUG: 00000000f2000800 [#1] SMP CPU: 0 UID: 0 PID: 434621 Comm: kworker/u24:8 Tainted: G OE 6.12.0-rc7-custom+ #86 Hardware name: QEMU KVM Virtual Machine, BIOS unknown 2/2/2022 Workqueue: events_unbound btrfs_async_reclaim_data_space [btrfs] pc : extent_writepage_io+0x2d4/0x308 [btrfs] lr : extent_writepage_io+0x2d4/0x308 [btrfs] Call trace: extent_writepage_io+0x2d4/0x308 [btrfs] extent_writepage+0x218/0x330 [btrfs] extent_write_cache_pages+0x1d4/0x4b0 [btrfs] btrfs_writepages+0x94/0x150 [btrfs] do_writepages+0x74/0x190 filemap_fdatawrite_wbc+0x88/0xc8 start_delalloc_inodes+0x180/0x3b0 [btrfs] btrfs_start_delalloc_roots+0x174/0x280 [btrfs] shrink_delalloc+0x114/0x280 [btrfs] flush_space+0x250/0x2f8 [btrfs] btrfs_async_reclaim_data_space+0x180/0x228 [btrfs] process_one_work+0x164/0x408 worker_thread+0x25c/0x388 kthread+0x100/0x118 ret_from_fork+0x10/0x20 Code: aa1403e1 9402f3ef aa1403e0 9402f36f (d4210000) ---[ end trace 0000000000000000 ]--- [CAUSE] That failure is mostly from cow_file_range(), where we can hit -ENOSPC. Although the -ENOSPC is already a bug related to our space reservation code, let's just focus on the error handling. For example, we have the following dirty range [0, 64K) of an inode, with 4K sector size and 4K page size: 0 16K 32K 48K 64K |///////////////////////////////////////| |#######################################| Where |///| means page are still dirty, and |###| means the extent io tree has EXTENT_DELALLOC flag. - Enter extent_writepage() for page 0 - Enter btrfs_run_delalloc_range() for range [0, 64K) - Enter cow_file_range() for range [0, 64K) - Function btrfs_reserve_extent() only reserved one 16K extent So we created extent map and ordered extent for range [0, 16K) 0 16K 32K 48K 64K |////////|//////////////////////////////| |<- OE ->|##############################| And range [0, 16K) has its delalloc flag cleared. But since we haven't yet submit any bio, involved 4 pages are still dirty. - Function btrfs_reserve_extent() returns with -ENOSPC Now we have to run error cleanup, which will clear all EXTENT_DELALLOC* flags and clear the dirty flags for the remaining ranges: 0 16K 32K 48K 64K |////////| | | | | Note that range [0, 16K) still has its pages dirty. - Some time later, writeback is triggered again for the range [0, 16K) since the page range still has dirty flags. - btrfs_run_delalloc_range() will do nothing because there is no EXTENT_DELALLOC flag. - extent_writepage_io() finds page 0 has no ordered flag Which falls into the COW fixup path, triggering the BUG_ON(). Unfortunately this error handling bug dates back to the introduction of btrfs. Thankfully with the abuse of COW fixup, at least it won't crash the kernel. [FIX] Instead of immediately unlocking the extent and folios, we keep the extent and folios locked until either erroring out or the whole delalloc range finished. When the whole delalloc range finished without error, we just unlock the whole range with PAGE_SET_ORDERED (and PAGE_UNLOCK for !keep_locked cases) ---truncated--- [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/fbdev-dma: Add shadow buffering for deferred I/O DMA areas are not necessarily backed by struct page, so we cannot rely on it for deferred I/O. Allocate a shadow buffer for drivers that require deferred I/O and use it as framebuffer memory. Fixes driver errors about being "Unable to handle kernel NULL pointer dereference at virtual address" or "Unable to handle kernel paging request at virtual address". The patch splits drm_fbdev_dma_driver_fbdev_probe() in an initial allocation, which creates the DMA-backed buffer object, and a tail that sets up the fbdev data structures. There is a tail function for direct memory mappings and a tail function for deferred I/O with the shadow buffer. It is no longer possible to use deferred I/O without shadow buffer. It can be re-added if there exists a reliably test for usable struct page in the allocated DMA-backed buffer object. Уязвимость функций drm_fbdev_dma_helper_fb_dirty(), drm_fbdev_dma_driver_fbdev_probe_tail() и drm_fbdev_dma_driver_fbdev_probe() (drivers/gpu/drm/drm_fbdev_dma.c) ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tls: separate no-async decryption request handling from async If we're not doing async, the handling is much simpler. There's no reference counting, we just need to wait for the completion to wake us up and return its result. We should preferably also use a separate crypto_wait. I'm not seeing a UAF as I did in the past, I think aec7961916f3 ("tls: fix race between async notify and socket close") took care of it. This will make the next fix easier. Уязвимость компонента tls_sw.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля tls.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль tls в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep tls ``` или ``` kmod list | grep tls ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo tls vsock ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install tls /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 pgagent When batch jobs are executed by pgAgent, a script is created in a temporary directory and then executed. In versions of pgAgent prior to 4.2.3, an insufficiently seeded random number generator is used when generating the directory name, leading to the possibility for a local attacker to pre-create the directory and thus prevent pgAgent from executing jobs, disrupting scheduled tasks. Уязвимость планировщика задач для PostgreSQL pgAgent связана с недостатками прогнозирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-340'), NistCWE(cwe='CWE-330')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 samba A flaw was found in Samba. The smbd service daemon does not pick up group membership changes when re-authenticating an expired SMB session. This issue can expose file shares until clients disconnect and then connect again. Уязвимость пакета программ сетевого взаимодействия Samba связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-552')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N', score=4.9) samba: - Убедитесь, что процессы Samba не работают от имени root - Обеспечьте доступ к Samba только авторизованным пользователям - Отключите все неиспользуемые службы - Настройте брандмауэр для ограничения доступа к портам Samba: ``` sudo ufw allow from YOUR_TRUSTED_IP to any port 445 sudo ufw allow from YOUR_TRUSTED_IP to any port 139 ``` - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Samba (/etc/samba/smb.conf): ``` [global] # Запретите доступ всем, кроме доверенных сетей hosts allow = YOUR_TRUSTED_IP # Отключите поддержку WINS wins support = no # Отключите гостевой доступ security = user map to guest = never smb encrypt = required # Включите детальное логирование в отдельный файл для каждого клиента log level = 1 log file = /var/log/samba/log.%m max log size = 1000 ``` Astra Linux 1.8 python3.11 The Python standard library functions `urllib.parse.urlsplit` and `urlparse` accepted domain names that included square brackets which isn't valid according to RFC 3986. Square brackets are only meant to be used as delimiters for specifying IPv6 and IPvFuture hosts in URLs. This could result in differential parsing across the Python URL parser and other specification-compliant URL parsers. Уязвимость функций urllib.parse.urlsplit() и urlparse() интерпретатора языка программирования Python связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [NistCWE(cwe='CWE-20')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Use after free in Serviceworker in Google Chrome on Desktop prior to 140.0.7339.127 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Serviceworker веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо выполнить одно из следующих требований: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Mojo in Google Chrome on Android, Linux, ChromeOS prior to 140.0.7339.127 allowed a remote attacker to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость IPC-библиотеки Mojo браузеров Google Chrome и Microsoft Edge связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 samba A flaw was found in Samba, in the front-end WINS hook handling: NetBIOS names from registration packets are passed to a shell without proper validation or escaping. Unsanitized NetBIOS name data from WINS registration packets are inserted into a shell command and executed by the Samba Active Directory Domain Controller’s wins hook, allowing an unauthenticated network attacker to achieve remote command execution as the Samba process. Уязвимость реализации сервера разрешения имён WINS пакета программ сетевого взаимодействия Samba существует из-за непринятия мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путём отправки специально сформированного запроса к серверу WINS [NistCWE(cwe='CWE-78')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) Для нейтрализации угрозы эксплуатации уязвимости воспользуйтесь одним из следующих способов: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте конфигурационный файл /etc/samba/smb.conf и удалите параметр «wins hook» 2. Отключите поддержку WINS. Для этого, Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте конфигурационный файл /etc/samba/smb.conf и установите «wins support = no» 3. Не используйте ПО Samba в качестве контроллера домена Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 140.0.7339.185 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 140.0.7339.185 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in ANGLE in Google Chrome prior to 140.0.7339.185 allowed a remote attacker to potentially exploit heap corruption via malicious network traffic. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Sandbox escape due to use-after-free in the Graphics: Canvas2D component. This vulnerability was fixed in Firefox 143, Firefox ESR 140.3, Thunderbird 143, and Thunderbird 140.3. Уязвимость компонента Graphics: Canvas2D браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L', score=7.1) Astra Linux 1.8 firefox, thunderbird Sandbox escape due to undefined behavior, invalid pointer in the Graphics: Canvas2D component. This vulnerability was fixed in Firefox 143, Firefox ESR 140.3, Thunderbird 143, and Thunderbird 140.3. Уязвимость компонента Graphics: Canvas2D браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) Astra Linux 1.8 firefox, thunderbird Same-origin policy bypass in the Layout component. This vulnerability was fixed in Firefox 143, Firefox ESR 140.3, Thunderbird 143, and Thunderbird 140.3. Уязвимость компонента Layout браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием недоверенного файла междоменной политики. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-942')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) Astra Linux 1.8 firefox Mitigation bypass in the Web Compatibility: Tooling component. This vulnerability was fixed in Firefox 143 and Thunderbird 143. Уязвимость компонента Web Compatibility: Tooling браузера Mozilla Firefox и почтового клиента Thunderbird связана с обходом аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the JavaScript: GC component. This vulnerability was fixed in Firefox 143, Firefox ESR 140.3, Thunderbird 143, and Thunderbird 140.3. Уязвимость компонента JavaScript: GC браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и целостность защищаемой информации [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird Integer overflow in the SVG component. This vulnerability was fixed in Firefox 143, Firefox ESR 115.28, Firefox ESR 140.3, Thunderbird 143, and Thunderbird 140.3. Уязвимость компонента SVG браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Spoofing issue in the Site Permissions component. This vulnerability was fixed in Firefox 143 and Thunderbird 143. Уязвимость компонента Site Permissions браузера Mozilla Firefox и почтового клиента Thunderbird связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки (XSS) [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Information disclosure in the Networking: Cache component. This vulnerability was fixed in Firefox 143, Firefox ESR 140.3, Thunderbird 143, and Thunderbird 140.3. Уязвимость компонента Networking: Cache браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=6.2) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 140.2, Thunderbird ESR 140.2, Firefox 142 and Thunderbird 142. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 143, Firefox ESR 140.3, Thunderbird 143, and Thunderbird 140.3. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 140.0.7339.185 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in V8 in Google Chrome prior to 140.0.7339.207 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300'), NistCWE(cwe='CWE-203'), NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) Для нейтрализации угрозы эксплуатации уязвимости необходимо выполнить одно из следующих требований: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Отключить оптимизатор V8. Для этого выполните следующее: - Введите chrome://settings/content/v8 в адресную строку и нажмите Enter - В появившемся списке выберите Запретить сайтам использовать оптимизатор V8 - Перезапустите Chromium Astra Linux 1.8 chromium Integer overflow in V8 in Google Chrome prior to 140.0.7339.207 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимости необходимо выполнить одно из следующих требований: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Отключить оптимизатор V8. Для этого выполните следующее: - Введите chrome://settings/content/v8 в адресную строку и нажмите Enter - В появившемся списке выберите Запретить сайтам использовать оптимизатор V8 - Перезапустите Chromium Astra Linux 1.8 chromium Integer overflow in V8 in Google Chrome prior to 140.0.7339.207 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимости необходимо выполнить одно из следующих требований: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Отключить оптимизатор V8. Для этого выполните следующее: - Введите chrome://settings/content/v8 в адресную строку и нажмите Enter - В появившемся списке выберите Запретить сайтам использовать оптимизатор V8 - Перезапустите Chromium Astra Linux 1.8 binutils A flaw has been found in GNU Binutils 2.45. Impacted is the function _bfd_elf_parse_eh_frame of the file bfd/elf-eh-frame.c of the component Linker. Executing manipulation can lead to heap-based buffer overflow. The attack is restricted to local execution. The exploit has been published and may be used. This patch is called ea1a0737c7692737a644af0486b71e4a392cbca8. A patch should be applied to remediate this issue. The code maintainer replied with "[f]ixed for 2.46". Уязвимость функции _bfd_elf_parse_eh_frame() программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 binutils A vulnerability has been found in GNU Binutils 2.45. The affected element is the function elf_swap_shdr in the library bfd/elfcode.h of the component Linker. The manipulation leads to heap-based buffer overflow. The attack must be carried out locally. The exploit has been disclosed to the public and may be used. The identifier of the patch is 9ca499644a21ceb3f946d1c179c38a83be084490. To fix this issue, it is recommended to deploy a patch. The code maintainer replied with "[f]ixed for 2.46". Уязвимость функции elf_swap_shdr() программного средства разработки GNU Binutils связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю повысить привилегии в системе [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 firefox Sandbox escape due to integer overflow in the Graphics: Canvas2D component. This vulnerability was fixed in Firefox 143.0.3. Уязвимость компонента Canvas2D браузера Mozilla Firefox связана с недостатками разграничения доступа изолированной среды. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:L', score=8.6) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox JIT miscompilation in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 143.0.3. Уязвимость компонента JIT браузера Mozilla Firefox связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 haproxy Inefficient algorithm complexity in mjson in HAProxy allows remote attackers to cause a denial of service via specially crafted JSON requests. Уязвимость компонента mjson.c серверного программного обеспечения HAProxy связана с алгоритмической сложностью. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-407')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) haproxy: - Обеспечить возможность запуска haproxy только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 php8.2 In PHP versions:8.1.* before 8.1.33, 8.2.* before 8.2.29, 8.3.* before 8.3.23, 8.4.* before 8.4.10 some functions like fsockopen() lack validation that the hostname supplied does not contain null characters. This may lead to other functions like parse_url() treat the hostname in different way, thus opening way to security problems if the user code implements access checks before access using such functions. Уязвимость интерпретатора языка программирования PHP связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-918')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N', score=3.7) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 140.0.7339.80 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Permissions веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Devtools in Google Chrome prior to 140.0.7339.80 allowed a remote attacker to execute arbitrary code via user action in Devtools. (Chromium security severity: Low) Уязвимость компонента Devtools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Devtools in Google Chrome prior to 140.0.7339.80 allowed a remote attacker to leak cross-origin data via Devtools. (Chromium security severity: Low) Уязвимость компонента Devtools веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passkeys in Google Chrome prior to 140.0.7339.80 allowed a local attacker to obtain potentially sensitive information via debug logs. (Chromium security severity: Low) Уязвимость компонента Passkeys веб-браузера Google Chrome связана с раскрытием информации в отладочных сообщениях. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-1295')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=6.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 140.0.7339.80 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Permissions веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Compositing in Google Chrome prior to 140.0.7339.80 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Compositing браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, подменить пользовательский интерфейс с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Navigation and Loading in Google Chrome prior to 139.0.7258.66 allowed a remote attacker to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N', score=4.7) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 curl When an OAuth2 bearer token is used for an HTTP(S) transfer, and that transfer performs a cross-protocol redirect to a second URL that uses an IMAP, LDAP, POP3 or SMTP scheme, curl might wrongly pass on the bearer token to the new target host. Уязвимость программного средства для взаимодействия с серверами cURL связана с переадресацией URL на ненадежный сайт. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность защищаемой информации [NistCWE(cwe='CWE-522'), NistCWE(cwe='CWE-601')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 curl When doing TLS related transfers with reused easy or multi handles and altering the `CURLSSLOPT_NO_PARTIALCHAIN` option, libcurl could accidentally reuse a CA store cached in memory for which the partial chain option was reversed. Contrary to the user's wishes and expectations. This could make libcurl find and accept a trust chain that it otherwise would not. Уязвимость программного средства для взаимодействия с серверами CURL связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-295'), NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 php8.2 In PHP versions:8.1.* before 8.1.33, 8.2.* before 8.2.29, 8.3.* before 8.3.23, 8.4.* pgsql and pdo_pgsql escaping functions do not check if the underlying quoting functions returned errors. This could cause crashes if Postgres server rejects the string as invalid. Уязвимость функции PQescapeIdentifier() интерпретатора языка программирования PHP связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-89')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 python3.11 During an address list folding when a separating comma ends up on a folded line and that line is to be unicode-encoded then the separator itself is also unicode-encoded. Expected behavior is that the separating comma remains a plan comma. This can result in the address header being misinterpreted by some mail servers. Уязвимость интерпретатора языка программирования Python (CPython) связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить атаку методом подмены [NistCWE(cwe='CWE-116')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 intel-microcode Improper buffer restrictions for some Intel(R) Xeon(R) Processor firmware with SGX enabled may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микропрограммного обеспечения процессоров Intel Xeon связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю повысить свои привилегии [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:N', score=7.2) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Improper Isolation or Compartmentalization in the stream cache mechanism for some Intel(R) Processors may allow an authenticated user to potentially enable escalation of privilege via local access. Уязвимость микропрограммного обеспечения процессоров Intel связана с недостаточным пространственным разделением. Эксплуатация уязвимости позволяет нарушителю повысить свои привилегии [NistCWE(cwe='CWE-653')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H', score=7.8) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Missing reference to active allocated resource for some Intel(R) Xeon(R) processors may allow an authenticated user to potentially enable denial of service via local access. Уязвимость микрокода процессоров Intel Microcode связана с отсутствием ссылки на активный выделенный ресурс. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-771')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H', score=6.5) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: better track kernel sockets lifetime While kernel sockets are dismantled during pernet_operations->exit(), their freeing can be delayed by any tx packets still held in qdisc or device queues, due to skb_set_owner_w() prior calls. This then trigger the following warning from ref_tracker_dir_exit() [1] To fix this, make sure that kernel sockets own a reference on net->passive. Add sk_net_refcnt_upgrade() helper, used whenever a kernel socket is converted to a refcounted one. [1] [ 136.263918][ T35] ref_tracker: net notrefcnt@ffff8880638f01e0 has 1/2 users at [ 136.263918][ T35] sk_alloc+0x2b3/0x370 [ 136.263918][ T35] inet6_create+0x6ce/0x10f0 [ 136.263918][ T35] __sock_create+0x4c0/0xa30 [ 136.263918][ T35] inet_ctl_sock_create+0xc2/0x250 [ 136.263918][ T35] igmp6_net_init+0x39/0x390 [ 136.263918][ T35] ops_init+0x31e/0x590 [ 136.263918][ T35] setup_net+0x287/0x9e0 [ 136.263918][ T35] copy_net_ns+0x33f/0x570 [ 136.263918][ T35] create_new_namespaces+0x425/0x7b0 [ 136.263918][ T35] unshare_nsproxy_namespaces+0x124/0x180 [ 136.263918][ T35] ksys_unshare+0x57d/0xa70 [ 136.263918][ T35] __x64_sys_unshare+0x38/0x40 [ 136.263918][ T35] do_syscall_64+0xf3/0x230 [ 136.263918][ T35] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 136.263918][ T35] [ 136.343488][ T35] ref_tracker: net notrefcnt@ffff8880638f01e0 has 1/2 users at [ 136.343488][ T35] sk_alloc+0x2b3/0x370 [ 136.343488][ T35] inet6_create+0x6ce/0x10f0 [ 136.343488][ T35] __sock_create+0x4c0/0xa30 [ 136.343488][ T35] inet_ctl_sock_create+0xc2/0x250 [ 136.343488][ T35] ndisc_net_init+0xa7/0x2b0 [ 136.343488][ T35] ops_init+0x31e/0x590 [ 136.343488][ T35] setup_net+0x287/0x9e0 [ 136.343488][ T35] copy_net_ns+0x33f/0x570 [ 136.343488][ T35] create_new_namespaces+0x425/0x7b0 [ 136.343488][ T35] unshare_nsproxy_namespaces+0x124/0x180 [ 136.343488][ T35] ksys_unshare+0x57d/0xa70 [ 136.343488][ T35] __x64_sys_unshare+0x38/0x40 [ 136.343488][ T35] do_syscall_64+0xf3/0x230 [ 136.343488][ T35] entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции skb_set_owner_w() ядра операционных систем Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: libwx: fix Tx L4 checksum The hardware only supports L4 checksum offload for TCP/UDP/SCTP protocol. There was a bug to set Tx checksum flag for the other protocol that results in Tx ring hang. Fix to compute software checksum for these packets. Уязвимость компонентов libwx ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: fix NULL pointer dereference in l3mdev_l3_rcv When delete l3s ipvlan: ip link del link eth0 ipvlan1 type ipvlan mode l3s This may cause a null pointer dereference: Call trace: ip_rcv_finish+0x48/0xd0 ip_rcv+0x5c/0x100 __netif_receive_skb_one_core+0x64/0xb0 __netif_receive_skb+0x20/0x80 process_backlog+0xb4/0x204 napi_poll+0xe8/0x294 net_rx_action+0xd8/0x22c __do_softirq+0x12c/0x354 This is because l3mdev_l3_rcv() visit dev->l3mdev_ops after ipvlan_l3s_unregister() assign the dev->l3mdev_ops to NULL. The process like this: (CPU1) | (CPU2) l3mdev_l3_rcv() | check dev->priv_flags: | master = skb->dev; | | | ipvlan_l3s_unregister() | set dev->priv_flags | dev->l3mdev_ops = NULL; | visit master->l3mdev_ops | To avoid this by do not set dev->l3mdev_ops when unregister l3s ipvlan. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: eth: bnxt: fix out-of-range access of vnic_info array The bnxt_queue_{start | stop}() access vnic_info as much as allocated, which indicates bp->nr_vnics. So, it should not reach bp->vnic_info[bp->nr_vnics]. Уязвимость компонента bnxt.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: avoid journaling sb update on error if journal is destroying Presently we always BUG_ON if trying to start a transaction on a journal marked with JBD2_UNMOUNT, since this should never happen. However, while ltp running stress tests, it was observed that in case of some error handling paths, it is possible for update_super_work to start a transaction after the journal is destroyed eg: (umount) ext4_kill_sb kill_block_super generic_shutdown_super sync_filesystem /* commits all txns */ evict_inodes /* might start a new txn */ ext4_put_super flush_work(&sbi->s_sb_upd_work) /* flush the workqueue */ jbd2_journal_destroy journal_kill_thread journal->j_flags |= JBD2_UNMOUNT; jbd2_journal_commit_transaction jbd2_journal_get_descriptor_buffer jbd2_journal_bmap ext4_journal_bmap ext4_map_blocks ... ext4_inode_error ext4_handle_error schedule_work(&sbi->s_sb_upd_work) /* work queue kicks in */ update_super_work jbd2_journal_start start_this_handle BUG_ON(journal->j_flags & JBD2_UNMOUNT) Hence, introduce a new mount flag to indicate journal is destroying and only do a journaled (and deferred) update of sb if this flag is not set. Otherwise, just fallback to an un-journaled commit. Further, in the journal destroy path, we have the following sequence: 1. Set mount flag indicating journal is destroying 2. force a commit and wait for it 3. flush pending sb updates This sequence is important as it ensures that, after this point, there is no sb update that might be journaled so it is safe to update the sb outside the journal. (To avoid race discussed in 2d01ddc86606) Also, we don't need a similar check in ext4_grp_locked_error since it is only called from mballoc and AFAICT it would be always valid to schedule work here. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix block group refcount race in btrfs_create_pending_block_groups() Block group creation is done in two phases, which results in a slightly unintuitive property: a block group can be allocated/deallocated from after btrfs_make_block_group() adds it to the space_info with btrfs_add_bg_to_space_info(), but before creation is completely completed in btrfs_create_pending_block_groups(). As a result, it is possible for a block group to go unused and have 'btrfs_mark_bg_unused' called on it concurrently with 'btrfs_create_pending_block_groups'. This causes a number of issues, which were fixed with the block group flag 'BLOCK_GROUP_FLAG_NEW'. However, this fix is not quite complete. Since it does not use the unused_bg_lock, it is possible for the following race to occur: btrfs_create_pending_block_groups btrfs_mark_bg_unused if list_empty // false list_del_init clear_bit else if (test_bit) // true list_move_tail And we get into the exact same broken ref count and invalid new_bgs state for transaction cleanup that BLOCK_GROUP_FLAG_NEW was designed to prevent. The broken refcount aspect will result in a warning like: [1272.943527] refcount_t: underflow; use-after-free. [1272.943967] WARNING: CPU: 1 PID: 61 at lib/refcount.c:28 refcount_warn_saturate+0xba/0x110 [1272.944731] Modules linked in: btrfs virtio_net xor zstd_compress raid6_pq null_blk [last unloaded: btrfs] [1272.945550] CPU: 1 UID: 0 PID: 61 Comm: kworker/u32:1 Kdump: loaded Tainted: G W 6.14.0-rc5+ #108 [1272.946368] Tainted: [W]=WARN [1272.946585] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS Arch Linux 1.16.3-1-1 04/01/2014 [1272.947273] Workqueue: btrfs_discard btrfs_discard_workfn [btrfs] [1272.947788] RIP: 0010:refcount_warn_saturate+0xba/0x110 [1272.949532] RSP: 0018:ffffbf1200247df0 EFLAGS: 00010282 [1272.949901] RAX: 0000000000000000 RBX: ffffa14b00e3f800 RCX: 0000000000000000 [1272.950437] RDX: 0000000000000000 RSI: ffffbf1200247c78 RDI: 00000000ffffdfff [1272.950986] RBP: ffffa14b00dc2860 R08: 00000000ffffdfff R09: ffffffff90526268 [1272.951512] R10: ffffffff904762c0 R11: 0000000063666572 R12: ffffa14b00dc28c0 [1272.952024] R13: 0000000000000000 R14: ffffa14b00dc2868 R15: 000001285dcd12c0 [1272.952850] FS: 0000000000000000(0000) GS:ffffa14d33c40000(0000) knlGS:0000000000000000 [1272.953458] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [1272.953931] CR2: 00007f838cbda000 CR3: 000000010104e000 CR4: 00000000000006f0 [1272.954474] Call Trace: [1272.954655] <TASK> [1272.954812] ? refcount_warn_saturate+0xba/0x110 [1272.955173] ? __warn.cold+0x93/0xd7 [1272.955487] ? refcount_warn_saturate+0xba/0x110 [1272.955816] ? report_bug+0xe7/0x120 [1272.956103] ? handle_bug+0x53/0x90 [1272.956424] ? exc_invalid_op+0x13/0x60 [1272.956700] ? asm_exc_invalid_op+0x16/0x20 [1272.957011] ? refcount_warn_saturate+0xba/0x110 [1272.957399] btrfs_discard_cancel_work.cold+0x26/0x2b [btrfs] [1272.957853] btrfs_put_block_group.cold+0x5d/0x8e [btrfs] [1272.958289] btrfs_discard_workfn+0x194/0x380 [btrfs] [1272.958729] process_one_work+0x130/0x290 [1272.959026] worker_thread+0x2ea/0x420 [1272.959335] ? __pfx_worker_thread+0x10/0x10 [1272.959644] kthread+0xd7/0x1c0 [1272.959872] ? __pfx_kthread+0x10/0x10 [1272.960172] ret_from_fork+0x30/0x50 [1272.960474] ? __pfx_kthread+0x10/0x10 [1272.960745] ret_from_fork_asm+0x1a/0x30 [1272.961035] </TASK> [1272.961238] ---[ end trace 0000000000000000 ]--- Though we have seen them in the async discard workfn as well. It is most likely to happen after a relocation finishes which cancels discard, tears down the block group, etc. Fix this fully by taking the lock arou ---truncated--- [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: init wiphy_work before allocating rfkill fails syzbort reported a uninitialize wiphy_work_lock in cfg80211_dev_free. [1] After rfkill allocation fails, the wiphy release process will be performed, which will cause cfg80211_dev_free to access the uninitialized wiphy_work related data. Move the initialization of wiphy_work to before rfkill initialization to avoid this issue. [1] INFO: trying to register non-static key. The code is fine but needs lockdep annotation, or maybe you didn't initialize this object before use? turning off the locking correctness validator. CPU: 0 UID: 0 PID: 5935 Comm: syz-executor550 Not tainted 6.14.0-rc6-syzkaller-00103-g4003c9e78778 #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 assign_lock_key kernel/locking/lockdep.c:983 [inline] register_lock_class+0xc39/0x1240 kernel/locking/lockdep.c:1297 __lock_acquire+0x135/0x3c40 kernel/locking/lockdep.c:5103 lock_acquire.part.0+0x11b/0x380 kernel/locking/lockdep.c:5851 __raw_spin_lock_irqsave include/linux/spinlock_api_smp.h:110 [inline] _raw_spin_lock_irqsave+0x3a/0x60 kernel/locking/spinlock.c:162 cfg80211_dev_free+0x30/0x3d0 net/wireless/core.c:1196 device_release+0xa1/0x240 drivers/base/core.c:2568 kobject_cleanup lib/kobject.c:689 [inline] kobject_release lib/kobject.c:720 [inline] kref_put include/linux/kref.h:65 [inline] kobject_put+0x1e4/0x5a0 lib/kobject.c:737 put_device+0x1f/0x30 drivers/base/core.c:3774 wiphy_free net/wireless/core.c:1224 [inline] wiphy_new_nm+0x1c1f/0x2160 net/wireless/core.c:562 ieee80211_alloc_hw_nm+0x1b7a/0x2260 net/mac80211/main.c:835 mac80211_hwsim_new_radio+0x1d6/0x54e0 drivers/net/wireless/virtual/mac80211_hwsim.c:5185 hwsim_new_radio_nl+0xb42/0x12b0 drivers/net/wireless/virtual/mac80211_hwsim.c:6242 genl_family_rcv_msg_doit+0x202/0x2f0 net/netlink/genetlink.c:1115 genl_family_rcv_msg net/netlink/genetlink.c:1195 [inline] genl_rcv_msg+0x565/0x800 net/netlink/genetlink.c:1210 netlink_rcv_skb+0x16b/0x440 net/netlink/af_netlink.c:2533 genl_rcv+0x28/0x40 net/netlink/genetlink.c:1219 netlink_unicast_kernel net/netlink/af_netlink.c:1312 [inline] netlink_unicast+0x53c/0x7f0 net/netlink/af_netlink.c:1338 netlink_sendmsg+0x8b8/0xd70 net/netlink/af_netlink.c:1882 sock_sendmsg_nosec net/socket.c:718 [inline] __sock_sendmsg net/socket.c:733 [inline] ____sys_sendmsg+0xaaf/0xc90 net/socket.c:2573 ___sys_sendmsg+0x135/0x1e0 net/socket.c:2627 __sys_sendmsg+0x16e/0x220 net/socket.c:2659 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 Close: https://syzkaller.appspot.com/bug?extid=aaf0488c83d1d5f4f029 Уязвимость компонента core.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md/md-bitmap: fix wrong bitmap_limit for clustermd when write sb In clustermd, separate write-intent-bitmaps are used for each cluster node: 0 4k 8k 12k ------------------------------------------------------------------- | idle | md super | bm super [0] + bits | | bm bits[0, contd] | bm super[1] + bits | bm bits[1, contd] | | bm super[2] + bits | bm bits [2, contd] | bm super[3] + bits | | bm bits [3, contd] | | | So in node 1, pg_index in __write_sb_page() could equal to bitmap->storage.file_pages. Then bitmap_limit will be calculated to 0. md_super_write() will be called with 0 size. That means the first 4k sb area of node 1 will never be updated through filemap_write_page(). This bug causes hang of mdadm/clustermd_tests/01r1_Grow_resize. Here use (pg_index % bitmap->storage.file_pages) to make calculation of bitmap_limit correct. Уязвимость компонента md-bitmap.c ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md/raid1,raid10: don't ignore IO flags If blk-wbt is enabled by default, it's found that raid write performance is quite bad because all IO are throttled by wbt of underlying disks, due to flag REQ_IDLE is ignored. And turns out this behaviour exist since blk-wbt is introduced. Other than REQ_IDLE, other flags should not be ignored as well, for example REQ_META can be set for filesystems, clearing it can cause priority reverse problems; And REQ_NOWAIT should not be cleared as well, because io will wait instead of failing directly in underlying disks. Fix those problems by keep IO flags from master bio. Fises: f51d46d0e7cb ("md: add support for REQ_NOWAIT") [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: Clear affinity hint before calling ath12k_pci_free_irq() in error path If a shared IRQ is used by the driver due to platform limitation, then the IRQ affinity hint is set right after the allocation of IRQ vectors in ath12k_pci_msi_alloc(). This does no harm unless one of the functions requesting the IRQ fails and attempt to free the IRQ. This may end up with a warning from the IRQ core that is expecting the affinity hint to be cleared before freeing the IRQ: kernel/irq/manage.c: /* make sure affinity_hint is cleaned up */ if (WARN_ON_ONCE(desc->affinity_hint)) desc->affinity_hint = NULL; So to fix this issue, clear the IRQ affinity hint before calling ath12k_pci_free_irq() in the error path. The affinity will be cleared once again further down the error path due to code organization, but that does no harm. Уязвимость функции ath12k_pci_free_irq() компонента pci.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 open-vm-tools VMware Tools contains an insecure file handling vulnerability. A malicious actor with non-administrative privileges on a guest VM may tamper the local files to trigger insecure file operations within that VM. Уязвимость набора утилит VMware Tools связана с неверным определением ссылки перед доступом к файлу. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-59')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N', score=6.1) open-vm-tools: - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 intel-microcode Insufficient granularity of access control in the OOB-MSM for some Intel(R) Xeon(R) 6 Scalable processors may allow a privileged user to potentially enable escalation of privilege via adjacent access. Уязвимость микропрограммного обеспечения процессоров Intel Xeon связана с недостаточной детализацией контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии [NistCWE(cwe='CWE-1220')] None NistCVSS3(cvss='AV:A/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:L', score=7.5) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Sequence of processor instructions leads to unexpected behavior for some Intel(R) Xeon(R) 6 Scalable processors may allow an authenticated user to potentially enable escalation of privilege via local access Уязвимость микропрограммного обеспечения процессоров Intel Xeon связана с некорректной последовательностью инструкций процессора. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-1281')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:L', score=7.4) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Improper handling of overlap between protected memory ranges for some Intel(R) Xeon(R) 6 processor with Intel(R) TDX may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микропрограммного обеспечения процессоров Intel Xeon связана с неправильной обработкой перекрытия защищенных диапазонов памяти. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-1260')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N', score=7.9) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 pgbouncer Password can be used past expiry in PgBouncer due to auth_query not taking into account Postgres its VALID UNTIL value, which allows an attacker to log in with an already expired password Уязвимость программы для пула соединения в PostgreSQL PgBouncer связана с использованием ключа с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-324')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) pgbouncer : - Обеспечить возможность запуска pgbouncer только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 apache2 In some mod_ssl configurations on Apache HTTP Server 2.4.35 through to 2.4.63, an access control bypass by trusted clients is possible using TLS 1.3 session resumption. Configurations are affected when mod_ssl is configured for multiple virtual hosts, with each restricted to a different set of trusted client certificates (for example with a different SSLCACertificateFile/Path setting). In such a case, a client trusted to access one virtual host may be able to access another virtual host, if SSLStrictSNIVHostCheck is not enabled in either virtual host. Уязвимость функции mod_ssl веб-сервера Apache HTTP Server связана с ошибками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) - Уязвимость возможно реализовать, если сервер использует TLS 1.3 и поддерживает возобновление сессий в конфигурациях с несколькими виртуальными хостами, каждый из которых ограничен разными наборами доверенных клиентских сертификатов. Чтобы изменить конфигурацию Apache: - откройте файл `/etc/apache2/apache2.conf` или `/etc/httpd/conf/httpd.conf` - добавьте в конфигурацию каждого виртуального хоста параметр `SSLStrictSNIVHostCheck on` - перезапустите сервер `sudo systemctl restart apache2` - Замените протокол TLS 1.3 на TLS 1.2. В файле `ssl.conf` добавить: `SSLProtocol TLSv1.2` - Обеспечить подключение к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache Astra Linux 1.8 nodejs A memory leak could occur when a remote peer abruptly closes the socket without sending a GOAWAY notification. Additionally, if an invalid header was detected by nghttp2, causing the connection to be terminated by the peer, the same leak was triggered. This flaw could lead to increased memory consumption and potential denial of service under certain conditions. This vulnerability affects HTTP/2 Server users on Node.js v18.x, v20.x, v22.x and v23.x. Уязвимость программной платформы Node.js связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) nodejs: - При использовании ПО NodeJS выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте NodeJS-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: update channel list in reg notifier instead reg worker Currently when ath11k gets a new channel list, it will be processed according to the following steps: 1. update new channel list to cfg80211 and queue reg_work. 2. cfg80211 handles new channel list during reg_work. 3. update cfg80211's handled channel list to firmware by ath11k_reg_update_chan_list(). But ath11k will immediately execute step 3 after reg_work is just queued. Since step 2 is asynchronous, cfg80211 may not have completed handling the new channel list, which may leading to an out-of-bounds write error: BUG: KASAN: slab-out-of-bounds in ath11k_reg_update_chan_list Call Trace: ath11k_reg_update_chan_list+0xbfe/0xfe0 [ath11k] kfree+0x109/0x3a0 ath11k_regd_update+0x1cf/0x350 [ath11k] ath11k_regd_update_work+0x14/0x20 [ath11k] process_one_work+0xe35/0x14c0 Should ensure step 2 is completely done before executing step 3. Thus Wen raised patch[1]. When flag NL80211_REGDOM_SET_BY_DRIVER is set, cfg80211 will notify ath11k after step 2 is done. So enable the flag NL80211_REGDOM_SET_BY_DRIVER then cfg80211 will notify ath11k after step 2 is done. At this time, there will be no KASAN bug during the execution of the step 3. [1] https://patchwork.kernel.org/project/linux-wireless/patch/20230201065313.27203-1-quic_wgong@quicinc.com/ Tested-on: WCN6855 hw2.0 PCI WLAN.HSP.1.1-03125-QCAHSPSWPL_V1_V2_SILICONZ_LITE-3 Уязвимость функции ath11k_reg_notifier() в модуле drivers/net/wireless/ath/ath11k/reg.c драйвера адаптеров беспроводной связи Atheros/Qualcomm ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ath11k.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль ath11k в ядро системы, для этого выполнить одну из команд: lsmod | grep ath11k или kmod list | grep ath11k Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: команда для выгрузки модуля ath11k.ko: sudo rmmod ath11k 2. Запретить загрузку модулей: от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-ath11k.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; добавить в файл строку: install ath11k /bin/false сохранить файл. 3. Обновить текущий образ initramfs: sudo update-initramfs -uk all Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cpufreq/amd-pstate: Add missing NULL ptr check in amd_pstate_update Check if policy is NULL before dereferencing it in amd_pstate_update. Уязвимость компонента amd-pstate.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: stmmac: Fix accessing freed irq affinity_hint In stmmac_request_irq_multi_msi(), a pointer to the stack variable cpu_mask is passed to irq_set_affinity_hint(). This value is stored in irq_desc->affinity_hint, but once stmmac_request_irq_multi_msi() returns, the pointer becomes dangling. The affinity_hint is exposed via procfs with S_IRUGO permissions, allowing any unprivileged process to read it. Accessing this stale pointer can lead to: - a kernel oops or panic if the referenced memory has been released and unmapped, or - leakage of kernel data into userspace if the memory is re-used for other purposes. All platforms that use stmmac with PCI MSI (Intel, Loongson, etc) are affected. Уязвимость функции stmmac_request_irq_multi_msi() в модуле drivers/net/ethernet/stmicro/stmmac/stmmac_main.c драйвера сетевых адаптеров Ethernet STMicroelectronics ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 ruby3.1 The attack vector is a potential Denial of Service (DoS). The vulnerability is caused by an insufficient check on the length of a decompressed domain name within a DNS packet. An attacker can craft a malicious DNS packet containing a highly compressed domain name. When the resolv library parses such a packet, the name decompression process consumes a large amount of CPU resources, as the library does not limit the resulting length of the name. This resource consumption can cause the application thread to become unresponsive, resulting in a Denial of Service condition. Уязвимость библиотеки resolv языка программирования Ruby связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданных DNS-пакетов [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 intel-microcode Insufficient control flow management in the Alias Checking Trusted Module (ACTM) firmware for some Intel(R) Xeon(R) processors may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микропрограммного обеспечения процессоров Intel серии Xeon связана с реализацией некорректного потока управления. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации [NistCWE(cwe='CWE-691')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:N', score=7.2) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 intel-microcode Out-of-bounds write in the memory subsystem for some Intel(R) Xeon(R) 6 processors when using Intel(R) SGX or Intel(R) TDX may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микропрограммного обеспечения процессоров Intel Xeon 6 processor with P-cores связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:N', score=7.2) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 jinja2 Jinja is an extensible templating engine. Prior to 3.1.6, an oversight in how the Jinja sandboxed environment interacts with the |attr filter allows an attacker that controls the content of a template to execute arbitrary Python code. To exploit the vulnerability, an attacker needs to control the content of a template. Whether that is the case depends on the type of application using Jinja. This vulnerability impacts users of applications which execute untrusted templates. Jinja's sandbox does catch calls to str.format and ensures they don't escape the sandbox. However, it's possible to use the |attr filter to get a reference to a string's plain format method, bypassing the sandbox. After the fix, the |attr filter no longer bypasses the environment's attribute lookup. This vulnerability is fixed in 3.1.6. Уязвимость компилятора инструмента для html-шаблонизации jinja связана с непринятием мер по нейтрализации специальных элементов в механизме создания шаблонов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1336')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) jinja2: - Удалить ПО jinja2, если оно не используется и не является зависимостью других пакетов - Использовать ПО jinja2 только на низком или отдельно выделенном уровне целостности - При использовании ПО jinja2 выполнять обработку файлов и данных, полученных только из доверенных источников - Обеспечить возможность запуска jinja2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1, linux-6.12 IEEE P802.11-REVme D1.1 through D7.0 allows FragAttacks against mesh networks. In mesh networks using Wi-Fi Protected Access (WPA, WPA2, or WPA3) or Wired Equivalent Privacy (WEP), an adversary can exploit this vulnerability to inject arbitrary frames towards devices that support receiving non-SSP A-MSDU frames. NOTE: this issue exists because of an incorrect fix for CVE-2020-24588. P802.11-REVme, as of early 2025, is a planned release of the 802.11 standard. Уязвимость реализации протокола IEEE 802.11 ядра операционной системы Linux связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и целостность защищаемой информации [NistCWE(cwe='CWE-345')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) Astra Linux 1.8 mariadb Vulnerability in the MySQL Server product of Oracle MySQL (component: InnoDB). Supported versions that are affected are 8.0.0-8.0.41, 8.4.0-8.4.4 and 9.0.0-9.2.0. Easily exploitable vulnerability allows high privileged attacker with network access via multiple protocols to compromise MySQL Server. Successful attacks of this vulnerability can result in unauthorized ability to cause a hang or frequently repeatable crash (complete DOS) of MySQL Server as well as unauthorized update, insert or delete access to some of MySQL Server accessible data. CVSS 3.1 Base Score 5.5 (Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H). Уязвимость компонента Cluster: General системы управления базами данных MySQL Cluster связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ на чтение, изменение, добавление или удаление данных или вызвать отказ в обслуживании [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H', score=5.5) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 mariadb Vulnerability in the MySQL Client product of Oracle MySQL (component: Client: mysqldump). Supported versions that are affected are 8.0.0-8.0.41, 8.4.0-8.4.4 and 9.0.0-9.2.0. Difficult to exploit vulnerability allows low privileged attacker with network access via multiple protocols to compromise MySQL Client. Successful attacks of this vulnerability can result in unauthorized access to critical data or complete access to all MySQL Client accessible data as well as unauthorized update, insert or delete access to some of MySQL Client accessible data. CVSS 3.1 Base Score 5.9 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N). Уязвимость СУБД MySQL и MariaDB связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.3) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 intel-microcode Improperly implemented security check for standard in the DDRIO configuration for some Intel(R) Xeon(R) 6 Processors when using Intel(R) SGX or Intel(R) TDX may allow a privileged user to potentially enable escalation of privilege via local access. Уязвимость микрокода процессоров Intel Microcode связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-358')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:N', score=7.2) intel-microcode: - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 gnutls28 A flaw was found in GnuTLS. A double-free vulnerability exists in GnuTLS due to incorrect ownership handling in the export logic of Subject Alternative Name (SAN) entries containing an otherName. If the type-id OID is invalid or malformed, GnuTLS will call asn1_delete_structure() on an ASN.1 node it does not own, leading to a double-free condition when the parent function or caller later attempts to free the same structure. This vulnerability can be triggered using only public GnuTLS APIs and may result in denial of service or memory corruption, depending on allocator behavior. Уязвимость функции asn1_delete_structure() библиотеки безопасности транспортного уровня GnuTLS связана с ошибкой повторного освобождения памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=6.5) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 1.8 gnutls28 A heap-buffer-overread vulnerability was found in GnuTLS in how it handles the Certificate Transparency (CT) Signed Certificate Timestamp (SCT) extension during X.509 certificate parsing. This flaw allows a malicious user to create a certificate containing a malformed SCT extension (OID 1.3.6.1.4.1.11129.2.4.2) that contains sensitive data. This issue leads to the exposure of confidential information when GnuTLS verifies certificates from certain websites when the certificate (SCT) is not checked correctly. Уязвимость библиотеки безопасности транспортного уровня GnuTLS связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к конфиденциальной информации [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 1.8 gnutls28 A heap-buffer-overflow (off-by-one) flaw was found in the GnuTLS software in the template parsing logic within the certtool utility. When it reads certain settings from a template file, it allows an attacker to cause an out-of-bounds (OOB) NULL pointer write, resulting in memory corruption and a denial-of-service (DoS) that could potentially crash the system. Уязвимость утилиты certtool библиотеки безопасности транспортного уровня GnuTLS связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 1.8 edk2 EDK2 contains a vulnerability in BIOS where an attacker may cause “Protection Mechanism Failure” by local access. Successful exploitation of this vulnerability will lead to arbitrary code execution and impact Confidentiality, Integrity, and Availability. Уязвимость среды с открытым исходным кодом для разработки UEFI EDK2 связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) edk2: - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: fsl-qspi: use devm function instead of driver remove Driver use devm APIs to manage clk/irq/resources and register the spi controller, but the legacy remove function will be called first during device detach and trigger kernel panic. Drop the remove function and use devm_add_action_or_reset() for driver cleanup to ensure the release sequence. Trigger kernel panic on i.MX8MQ by echo 30bb0000.spi >/sys/bus/platform/drivers/fsl-quadspi/unbind [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jfs: reject on-disk inodes of an unsupported type Syzbot has reported the following BUG: kernel BUG at fs/inode.c:668! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN PTI CPU: 3 UID: 0 PID: 139 Comm: jfsCommit Not tainted 6.12.0-rc4-syzkaller-00085-g4e46774408d9 #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-3.fc41 04/01/2014 RIP: 0010:clear_inode+0x168/0x190 Code: 4c 89 f7 e8 ba fe e5 ff e9 61 ff ff ff 44 89 f1 80 e1 07 80 c1 03 38 c1 7c c1 4c 89 f7 e8 90 ff e5 ff eb b7 0b e8 01 5d 7f ff 90 0f 0b e8 f9 5c 7f ff 90 0f 0b e8 f1 5c 7f RSP: 0018:ffffc900027dfae8 EFLAGS: 00010093 RAX: ffffffff82157a87 RBX: 0000000000000001 RCX: ffff888104d4b980 RDX: 0000000000000000 RSI: 0000000000000001 RDI: 0000000000000000 RBP: ffffc900027dfc90 R08: ffffffff82157977 R09: fffff520004fbf38 R10: dffffc0000000000 R11: fffff520004fbf38 R12: dffffc0000000000 R13: ffff88811315bc00 R14: ffff88811315bda8 R15: ffff88811315bb80 FS: 0000000000000000(0000) GS:ffff888135f00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00005565222e0578 CR3: 0000000026ef0000 CR4: 00000000000006f0 Call Trace: <TASK> ? __die_body+0x5f/0xb0 ? die+0x9e/0xc0 ? do_trap+0x15a/0x3a0 ? clear_inode+0x168/0x190 ? do_error_trap+0x1dc/0x2c0 ? clear_inode+0x168/0x190 ? __pfx_do_error_trap+0x10/0x10 ? report_bug+0x3cd/0x500 ? handle_invalid_op+0x34/0x40 ? clear_inode+0x168/0x190 ? exc_invalid_op+0x38/0x50 ? asm_exc_invalid_op+0x1a/0x20 ? clear_inode+0x57/0x190 ? clear_inode+0x167/0x190 ? clear_inode+0x168/0x190 ? clear_inode+0x167/0x190 jfs_evict_inode+0xb5/0x440 ? __pfx_jfs_evict_inode+0x10/0x10 evict+0x4ea/0x9b0 ? __pfx_evict+0x10/0x10 ? iput+0x713/0xa50 txUpdateMap+0x931/0xb10 ? __pfx_txUpdateMap+0x10/0x10 jfs_lazycommit+0x49a/0xb80 ? _raw_spin_unlock_irqrestore+0x8f/0x140 ? lockdep_hardirqs_on+0x99/0x150 ? __pfx_jfs_lazycommit+0x10/0x10 ? __pfx_default_wake_function+0x10/0x10 ? __kthread_parkme+0x169/0x1d0 ? __pfx_jfs_lazycommit+0x10/0x10 kthread+0x2f2/0x390 ? __pfx_jfs_lazycommit+0x10/0x10 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x4d/0x80 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> This happens when 'clear_inode()' makes an attempt to finalize an underlying JFS inode of unknown type. According to JFS layout description from https://jfs.sourceforge.net/project/pub/jfslayout.pdf, inode types from 5 to 15 are reserved for future extensions and should not be encountered on a valid filesystem. So add an extra check for valid inode type in 'copy_from_dinode()'. Уязвимость компонента jfs_imap.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: ecdsa - Harden against integer overflows in DIV_ROUND_UP() Herbert notes that DIV_ROUND_UP() may overflow unnecessarily if an ecdsa implementation's ->key_size() callback returns an unusually large value. Herbert instead suggests (for a division by 8): X / 8 + !!(X & 7) Based on this formula, introduce a generic DIV_ROUND_UP_POW2() macro and use it in lieu of DIV_ROUND_UP() for ->key_size() return values. Additionally, use the macro in ecc_digits_from_bytes(), whose "nbytes" parameter is a ->key_size() return value in some instances, or a user-specified ASN.1 length in the case of ecdsa_get_signature_rs(). Уязвимость компонентов crypto ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rseq: Fix segfault on registration when rseq_cs is non-zero The rseq_cs field is documented as being set to 0 by user-space prior to registration, however this is not currently enforced by the kernel. This can result in a segfault on return to user-space if the value stored in the rseq_cs field doesn't point to a valid struct rseq_cs. The correct solution to this would be to fail the rseq registration when the rseq_cs field is non-zero. However, some older versions of glibc will reuse the rseq area of previous threads without clearing the rseq_cs field and will also terminate the process if the rseq registration fails in a secondary thread. This wasn't caught in testing because in this case the leftover rseq_cs does point to a valid struct rseq_cs. What we can do is clear the rseq_cs field on registration when it's non-zero which will prevent segfaults on registration and won't break the glibc versions that reuse rseq areas on thread creation. Уязвимость компонента rseq.c ядра операционной системы Linux связана с зависимостью от ненадежных входных данных при принятии решения по безопасности. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/hugetlb: unshare page tables during VMA split, not before Currently, __split_vma() triggers hugetlb page table unsharing through vm_ops->may_split(). This happens before the VMA lock and rmap locks are taken - which is too early, it allows racing VMA-locked page faults in our process and racing rmap walks from other processes to cause page tables to be shared again before we actually perform the split. Fix it by explicitly calling into the hugetlb unshare logic from __split_vma() in the same place where THP splitting also happens. At that point, both the VMA and the rmap(s) are write-locked. An annoying detail is that we can now call into the helper hugetlb_unshare_pmds() from two different locking contexts: 1. from hugetlb_split(), holding: - mmap lock (exclusively) - VMA lock - file rmap lock (exclusively) 2. hugetlb_unshare_all_pmds(), which I think is designed to be able to call us with only the mmap lock held (in shared mode), but currently only runs while holding mmap lock (exclusively) and VMA lock Backporting note: This commit fixes a racy protection that was introduced in commit b30c14cd6102 ("hugetlb: unshare some PMDs when splitting VMAs"); that commit claimed to fix an issue introduced in 5.13, but it should actually also go all the way back. [jannh@google.com: v2] Уязвимость компонентов mm ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/hugetlb: fix huge_pmd_unshare() vs GUP-fast race huge_pmd_unshare() drops a reference on a page table that may have previously been shared across processes, potentially turning it into a normal page table used in another process in which unrelated VMAs can afterwards be installed. If this happens in the middle of a concurrent gup_fast(), gup_fast() could end up walking the page tables of another process. While I don't see any way in which that immediately leads to kernel memory corruption, it is really weird and unexpected. Fix it with an explicit broadcast IPI through tlb_remove_table_sync_one(), just like we do in khugepaged when removing page tables for a THP collapse. Уязвимость компонента hugetlb.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ch9200: fix uninitialised access during mii_nway_restart In mii_nway_restart() the code attempts to call mii->mdio_read which is ch9200_mdio_read(). ch9200_mdio_read() utilises a local buffer called "buff", which is initialised with control_read(). However "buff" is conditionally initialised inside control_read(): if (err == size) { memcpy(data, buf, size); } If the condition of "err == size" is not met, then "buff" remains uninitialised. Once this happens the uninitialised "buff" is accessed and returned during ch9200_mdio_read(): return (buff[0] | buff[1] << 8); The problem stems from the fact that ch9200_mdio_read() ignores the return value of control_read(), leading to uinit-access of "buff". To fix this we should check the return value of control_read() and return early on error. Уязвимость функции mii_nway_restart() ядра операционной системы Linux связана с неправильной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ch9200.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль ch9200 в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ch9200 ``` или ``` kmod list | grep ch9200 ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ch9200 ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install ch9200 /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drivers/rapidio/rio_cm.c: prevent possible heap overwrite In riocm_cdev_ioctl(RIO_CM_CHAN_SEND) -> cm_chan_msg_send() -> riocm_ch_send() cm_chan_msg_send() checks that userspace didn't send too much data but riocm_ch_send() failed to check that userspace sent sufficient data. The result is that riocm_ch_send() can write to fields in the rio_ch_chan_hdr which were outside the bounds of the space which cm_chan_msg_send() allocated. Address this by teaching riocm_ch_send() to check that the entire rio_ch_chan_hdr was copied in from userspace. Уязвимость компонента rio_cm.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Replace Mutex with Spinlock for RLCG register access to avoid Priority Inversion in SRIOV RLCG Register Access is a way for virtual functions to safely access GPU registers in a virtualized environment., including TLB flushes and register reads. When multiple threads or VFs try to access the same registers simultaneously, it can lead to race conditions. By using the RLCG interface, the driver can serialize access to the registers. This means that only one thread can access the registers at a time, preventing conflicts and ensuring that operations are performed correctly. Additionally, when a low-priority task holds a mutex that a high-priority task needs, ie., If a thread holding a spinlock tries to acquire a mutex, it can lead to priority inversion. register access in amdgpu_virt_rlcg_reg_rw especially in a fast code path is critical. The call stack shows that the function amdgpu_virt_rlcg_reg_rw is being called, which attempts to acquire the mutex. This function is invoked from amdgpu_sriov_wreg, which in turn is called from gmc_v11_0_flush_gpu_tlb. The [ BUG: Invalid wait context ] indicates that a thread is trying to acquire a mutex while it is in a context that does not allow it to sleep (like holding a spinlock). Fixes the below: [ 253.013423] ============================= [ 253.013434] [ BUG: Invalid wait context ] [ 253.013446] 6.12.0-amdstaging-drm-next-lol-050225 #14 Tainted: G U OE [ 253.013464] ----------------------------- [ 253.013475] kworker/0:1/10 is trying to lock: [ 253.013487] ffff9f30542e3cf8 (&adev->virt.rlcg_reg_lock){+.+.}-{3:3}, at: amdgpu_virt_rlcg_reg_rw+0xf6/0x330 [amdgpu] [ 253.013815] other info that might help us debug this: [ 253.013827] context-{4:4} [ 253.013835] 3 locks held by kworker/0:1/10: [ 253.013847] #0: ffff9f3040050f58 ((wq_completion)events){+.+.}-{0:0}, at: process_one_work+0x3f5/0x680 [ 253.013877] #1: ffffb789c008be40 ((work_completion)(&wfc.work)){+.+.}-{0:0}, at: process_one_work+0x1d6/0x680 [ 253.013905] #2: ffff9f3054281838 (&adev->gmc.invalidate_lock){+.+.}-{2:2}, at: gmc_v11_0_flush_gpu_tlb+0x198/0x4f0 [amdgpu] [ 253.014154] stack backtrace: [ 253.014164] CPU: 0 UID: 0 PID: 10 Comm: kworker/0:1 Tainted: G U OE 6.12.0-amdstaging-drm-next-lol-050225 #14 [ 253.014189] Tainted: [U]=USER, [O]=OOT_MODULE, [E]=UNSIGNED_MODULE [ 253.014203] Hardware name: Microsoft Corporation Virtual Machine/Virtual Machine, BIOS Hyper-V UEFI Release v4.1 11/18/2024 [ 253.014224] Workqueue: events work_for_cpu_fn [ 253.014241] Call Trace: [ 253.014250] <TASK> [ 253.014260] dump_stack_lvl+0x9b/0xf0 [ 253.014275] dump_stack+0x10/0x20 [ 253.014287] __lock_acquire+0xa47/0x2810 [ 253.014303] ? srso_alias_return_thunk+0x5/0xfbef5 [ 253.014321] lock_acquire+0xd1/0x300 [ 253.014333] ? amdgpu_virt_rlcg_reg_rw+0xf6/0x330 [amdgpu] [ 253.014562] ? __lock_acquire+0xa6b/0x2810 [ 253.014578] __mutex_lock+0x85/0xe20 [ 253.014591] ? amdgpu_virt_rlcg_reg_rw+0xf6/0x330 [amdgpu] [ 253.014782] ? sched_clock_noinstr+0x9/0x10 [ 253.014795] ? srso_alias_return_thunk+0x5/0xfbef5 [ 253.014808] ? local_clock_noinstr+0xe/0xc0 [ 253.014822] ? amdgpu_virt_rlcg_reg_rw+0xf6/0x330 [amdgpu] [ 253.015012] ? srso_alias_return_thunk+0x5/0xfbef5 [ 253.015029] mutex_lock_nested+0x1b/0x30 [ 253.015044] ? mutex_lock_nested+0x1b/0x30 [ 253.015057] amdgpu_virt_rlcg_reg_rw+0xf6/0x330 [amdgpu] [ 253.015249] amdgpu_sriov_wreg+0xc5/0xd0 [amdgpu] [ 253.015435] gmc_v11_0_flush_gpu_tlb+0x44b/0x4f0 [amdgpu] [ 253.015667] gfx_v11_0_hw_init+0x499/0x29c0 [amdgpu] [ 253.015901] ? __pfx_smu_v13_0_update_pcie_parameters+0x10/0x10 [amdgpu] [ 253.016159] ? srso_alias_return_thunk+0x5/0xfbef5 [ 253.016173] ? smu_hw_init+0x18d/0x300 [amdgpu] [ 253.016403] amdgpu_device_init+0x29ad/0x36a0 [amdgpu] [ 253.016614] amdgpu_driver_load_kms+0x1a/0xc0 [amdgpu] [ 253.0170 ---truncated--- Уязвимость функции amdgpu_virt_rlcg_reg_rw() в модуле drivers/gpu/drm/amd/amdgpu/amdgpu_virt.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfs: Fix oops in write-retry from mis-resetting the subreq iterator Fix the resetting of the subrequest iterator in netfs_retry_write_stream() to use the iterator-reset function as the iterator may have been shortened by a previous retry. In such a case, the amount of data to be written by the subrequest is not "subreq->len" but "subreq->len - subreq->transferred". Without this, KASAN may see an error in iov_iter_revert(): BUG: KASAN: slab-out-of-bounds in iov_iter_revert lib/iov_iter.c:633 [inline] BUG: KASAN: slab-out-of-bounds in iov_iter_revert+0x443/0x5a0 lib/iov_iter.c:611 Read of size 4 at addr ffff88802912a0b8 by task kworker/u32:7/1147 CPU: 1 UID: 0 PID: 1147 Comm: kworker/u32:7 Not tainted 6.15.0-rc6-syzkaller-00052-g9f35e33144ae #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Workqueue: events_unbound netfs_write_collection_worker Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xc3/0x670 mm/kasan/report.c:521 kasan_report+0xe0/0x110 mm/kasan/report.c:634 iov_iter_revert lib/iov_iter.c:633 [inline] iov_iter_revert+0x443/0x5a0 lib/iov_iter.c:611 netfs_retry_write_stream fs/netfs/write_retry.c:44 [inline] netfs_retry_writes+0x166d/0x1a50 fs/netfs/write_retry.c:231 netfs_collect_write_results fs/netfs/write_collect.c:352 [inline] netfs_write_collection_worker+0x23fd/0x3830 fs/netfs/write_collect.c:374 process_one_work+0x9cf/0x1b70 kernel/workqueue.c:3238 process_scheduled_works kernel/workqueue.c:3319 [inline] worker_thread+0x6c8/0xf10 kernel/workqueue.c:3400 kthread+0x3c2/0x780 kernel/kthread.c:464 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:153 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> Уязвимость функции netfs_retry_write_stream() модуля fs/netfs/write_retry.c ядра операционной системы Linux связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix max_sge overflow in smb_extract_folioq_to_rdma() This fixes the following problem: [ 749.901015] [ T8673] run fstests cifs/001 at 2025-06-17 09:40:30 [ 750.346409] [ T9870] ================================================================== [ 750.346814] [ T9870] BUG: KASAN: slab-out-of-bounds in smb_set_sge+0x2cc/0x3b0 [cifs] [ 750.347330] [ T9870] Write of size 8 at addr ffff888011082890 by task xfs_io/9870 [ 750.347705] [ T9870] [ 750.348077] [ T9870] CPU: 0 UID: 0 PID: 9870 Comm: xfs_io Kdump: loaded Not tainted 6.16.0-rc2-metze.02+ #1 PREEMPT(voluntary) [ 750.348082] [ T9870] Hardware name: innotek GmbH VirtualBox/VirtualBox, BIOS VirtualBox 12/01/2006 [ 750.348085] [ T9870] Call Trace: [ 750.348086] [ T9870] <TASK> [ 750.348088] [ T9870] dump_stack_lvl+0x76/0xa0 [ 750.348106] [ T9870] print_report+0xd1/0x640 [ 750.348116] [ T9870] ? __pfx__raw_spin_lock_irqsave+0x10/0x10 [ 750.348120] [ T9870] ? kasan_complete_mode_report_info+0x26/0x210 [ 750.348124] [ T9870] kasan_report+0xe7/0x130 [ 750.348128] [ T9870] ? smb_set_sge+0x2cc/0x3b0 [cifs] [ 750.348262] [ T9870] ? smb_set_sge+0x2cc/0x3b0 [cifs] [ 750.348377] [ T9870] __asan_report_store8_noabort+0x17/0x30 [ 750.348381] [ T9870] smb_set_sge+0x2cc/0x3b0 [cifs] [ 750.348496] [ T9870] smbd_post_send_iter+0x1990/0x3070 [cifs] [ 750.348625] [ T9870] ? __pfx_smbd_post_send_iter+0x10/0x10 [cifs] [ 750.348741] [ T9870] ? update_stack_state+0x2a0/0x670 [ 750.348749] [ T9870] ? cifs_flush+0x153/0x320 [cifs] [ 750.348870] [ T9870] ? cifs_flush+0x153/0x320 [cifs] [ 750.348990] [ T9870] ? update_stack_state+0x2a0/0x670 [ 750.348995] [ T9870] smbd_send+0x58c/0x9c0 [cifs] [ 750.349117] [ T9870] ? __pfx_smbd_send+0x10/0x10 [cifs] [ 750.349231] [ T9870] ? unwind_get_return_address+0x65/0xb0 [ 750.349235] [ T9870] ? __pfx_stack_trace_consume_entry+0x10/0x10 [ 750.349242] [ T9870] ? arch_stack_walk+0xa7/0x100 [ 750.349250] [ T9870] ? stack_trace_save+0x92/0xd0 [ 750.349254] [ T9870] __smb_send_rqst+0x931/0xec0 [cifs] [ 750.349374] [ T9870] ? kernel_text_address+0x173/0x190 [ 750.349379] [ T9870] ? kasan_save_stack+0x39/0x70 [ 750.349382] [ T9870] ? kasan_save_track+0x18/0x70 [ 750.349385] [ T9870] ? __kasan_slab_alloc+0x9d/0xa0 [ 750.349389] [ T9870] ? __pfx___smb_send_rqst+0x10/0x10 [cifs] [ 750.349508] [ T9870] ? smb2_mid_entry_alloc+0xb4/0x7e0 [cifs] [ 750.349626] [ T9870] ? cifs_call_async+0x277/0xb00 [cifs] [ 750.349746] [ T9870] ? cifs_issue_write+0x256/0x610 [cifs] [ 750.349867] [ T9870] ? netfs_do_issue_write+0xc2/0x340 [netfs] [ 750.349900] [ T9870] ? netfs_advance_write+0x45b/0x1270 [netfs] [ 750.349929] [ T9870] ? netfs_write_folio+0xd6c/0x1be0 [netfs] [ 750.349958] [ T9870] ? netfs_writepages+0x2e9/0xa80 [netfs] [ 750.349987] [ T9870] ? do_writepages+0x21f/0x590 [ 750.349993] [ T9870] ? filemap_fdatawrite_wbc+0xe1/0x140 [ 750.349997] [ T9870] ? entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 750.350002] [ T9870] smb_send_rqst+0x22e/0x2f0 [cifs] [ 750.350131] [ T9870] ? __pfx_smb_send_rqst+0x10/0x10 [cifs] [ 750.350255] [ T9870] ? local_clock_noinstr+0xe/0xd0 [ 750.350261] [ T9870] ? kasan_save_alloc_info+0x37/0x60 [ 750.350268] [ T9870] ? __kasan_check_write+0x14/0x30 [ 750.350271] [ T9870] ? _raw_spin_lock+0x81/0xf0 [ 750.350275] [ T9870] ? __pfx__raw_spin_lock+0x10/0x10 [ 750.350278] [ T9870] ? smb2_setup_async_request+0x293/0x580 [cifs] [ 750.350398] [ T9870] cifs_call_async+0x477/0xb00 [cifs] [ 750.350518] [ T9870] ? __pfx_smb2_writev_callback+0x10/0x10 [cifs] [ 750.350636] [ T9870] ? __pfx_cifs_call_async+0x10/0x10 [cifs] [ 750.350756] [ T9870] ? __pfx__raw_spin_lock+0x10/0x10 [ 750.350760] [ T9870] ? __kasan_check_write+0x14/0x30 [ 750.350763] [ T98 ---truncated--- Уязвимость функции smb_extract_folioq_to_rdma() ядра операционной системы Linux связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: atm: fix /proc/net/atm/lec handling /proc/net/atm/lec must ensure safety against dev_lec[] changes. It appears it had dev_put() calls without prior dev_hold(), leading to imbalance and UAF. Уязвимость функции dev_put() модуля net/atm/lec.c ядра операционных систем Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: calipso: Fix null-ptr-deref in calipso_req_{set,del}attr(). syzkaller reported a null-ptr-deref in sock_omalloc() while allocating a CALIPSO option. [0] The NULL is of struct sock, which was fetched by sk_to_full_sk() in calipso_req_setattr(). Since commit a1a5344ddbe8 ("tcp: avoid two atomic ops for syncookies"), reqsk->rsk_listener could be NULL when SYN Cookie is returned to its client, as hinted by the leading SYN Cookie log. Here are 3 options to fix the bug: 1) Return 0 in calipso_req_setattr() 2) Return an error in calipso_req_setattr() 3) Alaways set rsk_listener 1) is no go as it bypasses LSM, but 2) effectively disables SYN Cookie for CALIPSO. 3) is also no go as there have been many efforts to reduce atomic ops and make TCP robust against DDoS. See also commit 3b24d854cb35 ("tcp/dccp: do not touch listener sk_refcnt under synflood"). As of the blamed commit, SYN Cookie already did not need refcounting, and no one has stumbled on the bug for 9 years, so no CALIPSO user will care about SYN Cookie. Let's return an error in calipso_req_setattr() and calipso_req_delattr() in the SYN Cookie case. This can be reproduced by [1] on Fedora and now connect() of nc times out. [0]: TCP: request_sock_TCPv6: Possible SYN flooding on port [::]:20002. Sending cookies. Oops: general protection fault, probably for non-canonical address 0xdffffc0000000006: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000030-0x0000000000000037] CPU: 3 UID: 0 PID: 12262 Comm: syz.1.2611 Not tainted 6.14.0 #2 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 RIP: 0010:read_pnet include/net/net_namespace.h:406 [inline] RIP: 0010:sock_net include/net/sock.h:655 [inline] RIP: 0010:sock_kmalloc+0x35/0x170 net/core/sock.c:2806 Code: 89 d5 41 54 55 89 f5 53 48 89 fb e8 25 e3 c6 fd e8 f0 91 e3 00 48 8d 7b 30 48 b8 00 00 00 00 00 fc ff df 48 89 fa 48 c1 ea 03 <80> 3c 02 00 0f 85 26 01 00 00 48 b8 00 00 00 00 00 fc ff df 4c 8b RSP: 0018:ffff88811af89038 EFLAGS: 00010216 RAX: dffffc0000000000 RBX: 0000000000000000 RCX: ffff888105266400 RDX: 0000000000000006 RSI: ffff88800c890000 RDI: 0000000000000030 RBP: 0000000000000050 R08: 0000000000000000 R09: ffff88810526640e R10: ffffed1020a4cc81 R11: ffff88810526640f R12: 0000000000000000 R13: 0000000000000820 R14: ffff888105266400 R15: 0000000000000050 FS: 00007f0653a07640(0000) GS:ffff88811af80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f863ba096f4 CR3: 00000000163c0005 CR4: 0000000000770ef0 PKRU: 80000000 Call Trace: <IRQ> ipv6_renew_options+0x279/0x950 net/ipv6/exthdrs.c:1288 calipso_req_setattr+0x181/0x340 net/ipv6/calipso.c:1204 calipso_req_setattr+0x56/0x80 net/netlabel/netlabel_calipso.c:597 netlbl_req_setattr+0x18a/0x440 net/netlabel/netlabel_kapi.c:1249 selinux_netlbl_inet_conn_request+0x1fb/0x320 security/selinux/netlabel.c:342 selinux_inet_conn_request+0x1eb/0x2c0 security/selinux/hooks.c:5551 security_inet_conn_request+0x50/0xa0 security/security.c:4945 tcp_v6_route_req+0x22c/0x550 net/ipv6/tcp_ipv6.c:825 tcp_conn_request+0xec8/0x2b70 net/ipv4/tcp_input.c:7275 tcp_v6_conn_request+0x1e3/0x440 net/ipv6/tcp_ipv6.c:1328 tcp_rcv_state_process+0xafa/0x52b0 net/ipv4/tcp_input.c:6781 tcp_v6_do_rcv+0x8a6/0x1a40 net/ipv6/tcp_ipv6.c:1667 tcp_v6_rcv+0x505e/0x5b50 net/ipv6/tcp_ipv6.c:1904 ip6_protocol_deliver_rcu+0x17c/0x1da0 net/ipv6/ip6_input.c:436 ip6_input_finish+0x103/0x180 net/ipv6/ip6_input.c:480 NF_HOOK include/linux/netfilter.h:314 [inline] NF_HOOK include/linux/netfilter.h:308 [inline] ip6_input+0x13c/0x6b0 net/ipv6/ip6_input.c:491 dst_input include/net/dst.h:469 [inline] ip6_rcv_finish net/ipv6/ip6_input.c:79 [inline] ip6_rcv_finish+0xb6/0x490 net/ipv6/ip6_input.c:69 NF_HOOK include/linux/netfilter.h:314 [inline] NF_HOOK include/linux/netf ---truncated--- Уязвимость функций calipso_req_setattr() и calipso_req_delattr() компонента calipso ядра операционных систем Linux связана с нарушением подсчёта количества ссылок на страницы, отображённые в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ublk: santizize the arguments from userspace when adding a device Sanity check the values for queue depth and number of queues we get from userspace when adding a device. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: lan743x: fix potential out-of-bounds write in lan743x_ptp_io_event_clock_get() Before calling lan743x_ptp_io_event_clock_get(), the 'channel' value is checked against the maximum value of PCI11X1X_PTP_IO_MAX_CHANNELS(8). This seems correct and aligns with the PTP interrupt status register (PTP_INT_STS) specifications. However, lan743x_ptp_io_event_clock_get() writes to ptp->extts[] with only LAN743X_PTP_N_EXTTS(4) elements, using channel as an index: lan743x_ptp_io_event_clock_get(..., u8 channel,...) { ... /* Update Local timestamp */ extts = &ptp->extts[channel]; extts->ts.tv_sec = sec; ... } To avoid an out-of-bounds write and utilize all the supported GPIO inputs, set LAN743X_PTP_N_EXTTS to 8. Detected using the static analysis tool - Svace. Уязвимость функции lan743x_ptp_io_event_clock_get() компонента net ядра операционной системы Linux связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать влияние на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tipc: fix null-ptr-deref when acquiring remote ip of ethernet bearer The reproduction steps: 1. create a tun interface 2. enable l2 bearer 3. TIPC_NL_UDP_GET_REMOTEIP with media name set to tun tipc: Started in network mode tipc: Node identity 8af312d38a21, cluster identity 4711 tipc: Enabled bearer <eth:syz_tun>, priority 1 Oops: general protection fault KASAN: null-ptr-deref in range CPU: 1 UID: 1000 PID: 559 Comm: poc Not tainted 6.16.0-rc1+ #117 PREEMPT Hardware name: QEMU Ubuntu 24.04 PC RIP: 0010:tipc_udp_nl_dump_remoteip+0x4a4/0x8f0 the ub was in fact a struct dev. when bid != 0 && skip_cnt != 0, bearer_list[bid] may be NULL or other media when other thread changes it. fix this by checking media_id. Уязвимость виртуального сетевого интерфейса TUN ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: atm: atmtcp: Free invalid length skb in atmtcp_c_send(). syzbot reported the splat below. [0] vcc_sendmsg() copies data passed from userspace to skb and passes it to vcc->dev->ops->send(). atmtcp_c_send() accesses skb->data as struct atmtcp_hdr after checking if skb->len is 0, but it's not enough. Also, when skb->len == 0, skb and sk (vcc) were leaked because dev_kfree_skb() is not called and sk_wmem_alloc adjustment is missing to revert atm_account_tx() in vcc_sendmsg(), which is expected to be done in atm_pop_raw(). Let's properly free skb with an invalid length in atmtcp_c_send(). [0]: BUG: KMSAN: uninit-value in atmtcp_c_send+0x255/0xed0 drivers/atm/atmtcp.c:294 atmtcp_c_send+0x255/0xed0 drivers/atm/atmtcp.c:294 vcc_sendmsg+0xd7c/0xff0 net/atm/common.c:644 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x330/0x3d0 net/socket.c:727 ____sys_sendmsg+0x7e0/0xd80 net/socket.c:2566 ___sys_sendmsg+0x271/0x3b0 net/socket.c:2620 __sys_sendmsg net/socket.c:2652 [inline] __do_sys_sendmsg net/socket.c:2657 [inline] __se_sys_sendmsg net/socket.c:2655 [inline] __x64_sys_sendmsg+0x211/0x3e0 net/socket.c:2655 x64_sys_call+0x32fb/0x3db0 arch/x86/include/generated/asm/syscalls_64.h:47 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd9/0x210 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:4154 [inline] slab_alloc_node mm/slub.c:4197 [inline] kmem_cache_alloc_node_noprof+0x818/0xf00 mm/slub.c:4249 kmalloc_reserve+0x13c/0x4b0 net/core/skbuff.c:579 __alloc_skb+0x347/0x7d0 net/core/skbuff.c:670 alloc_skb include/linux/skbuff.h:1336 [inline] vcc_sendmsg+0xb40/0xff0 net/atm/common.c:628 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x330/0x3d0 net/socket.c:727 ____sys_sendmsg+0x7e0/0xd80 net/socket.c:2566 ___sys_sendmsg+0x271/0x3b0 net/socket.c:2620 __sys_sendmsg net/socket.c:2652 [inline] __do_sys_sendmsg net/socket.c:2657 [inline] __se_sys_sendmsg net/socket.c:2655 [inline] __x64_sys_sendmsg+0x211/0x3e0 net/socket.c:2655 x64_sys_call+0x32fb/0x3db0 arch/x86/include/generated/asm/syscalls_64.h:47 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd9/0x210 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f CPU: 1 UID: 0 PID: 5798 Comm: syz-executor192 Not tainted 6.16.0-rc1-syzkaller-00010-g2c4a1f3fe03e #0 PREEMPT(undef) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Уязвимость функции atmtcp_c_send() компонента atm ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Fix double invocation of bnxt_ulp_stop()/bnxt_ulp_start() Before the commit under the Fixes tag below, bnxt_ulp_stop() and bnxt_ulp_start() were always invoked in pairs. After that commit, the new bnxt_ulp_restart() can be invoked after bnxt_ulp_stop() has been called. This may result in the RoCE driver's aux driver .suspend() method being invoked twice. The 2nd bnxt_re_suspend() call will crash when it dereferences a NULL pointer: (NULL ib_device): Handle device suspend call BUG: kernel NULL pointer dereference, address: 0000000000000b78 PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP PTI CPU: 20 UID: 0 PID: 181 Comm: kworker/u96:5 Tainted: G S 6.15.0-rc1 #4 PREEMPT(voluntary) Tainted: [S]=CPU_OUT_OF_SPEC Hardware name: Dell Inc. PowerEdge R730/072T6D, BIOS 2.4.3 01/17/2017 Workqueue: bnxt_pf_wq bnxt_sp_task [bnxt_en] RIP: 0010:bnxt_re_suspend+0x45/0x1f0 [bnxt_re] Code: 8b 05 a7 3c 5b f5 48 89 44 24 18 31 c0 49 8b 5c 24 08 4d 8b 2c 24 e8 ea 06 0a f4 48 c7 c6 04 60 52 c0 48 89 df e8 1b ce f9 ff <48> 8b 83 78 0b 00 00 48 8b 80 38 03 00 00 a8 40 0f 85 b5 00 00 00 RSP: 0018:ffffa2e84084fd88 EFLAGS: 00010246 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 0000000000000001 RDX: 0000000000000000 RSI: ffffffffb4b6b934 RDI: 00000000ffffffff RBP: ffffa1760954c9c0 R08: 0000000000000000 R09: c0000000ffffdfff R10: 0000000000000001 R11: ffffa2e84084fb50 R12: ffffa176031ef070 R13: ffffa17609775000 R14: ffffa17603adc180 R15: 0000000000000000 FS: 0000000000000000(0000) GS:ffffa17daa397000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000b78 CR3: 00000004aaa30003 CR4: 00000000003706f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> bnxt_ulp_stop+0x69/0x90 [bnxt_en] bnxt_sp_task+0x678/0x920 [bnxt_en] ? __schedule+0x514/0xf50 process_scheduled_works+0x9d/0x400 worker_thread+0x11c/0x260 ? __pfx_worker_thread+0x10/0x10 kthread+0xfe/0x1e0 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x2b/0x40 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 Check the BNXT_EN_FLAG_ULP_STOPPED flag and do not proceed if the flag is already set. This will preserve the original symmetrical bnxt_ulp_stop() and bnxt_ulp_start(). Also, inside bnxt_ulp_start(), clear the BNXT_EN_FLAG_ULP_STOPPED flag after taking the mutex to avoid any race condition. And for symmetry, only proceed in bnxt_ulp_start() if the BNXT_EN_FLAG_ULP_STOPPED is set. Уязвимость функций bnxt_ulp_stop() и bnxt_ulp_start() драйвера RoCE ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/msm/a7xx: Call CP_RESET_CONTEXT_STATE Calling this packet is necessary when we switch contexts because there are various pieces of state used by userspace to synchronize between BR and BV that are persistent across submits and we need to make sure that they are in a "safe" state when switching contexts. Otherwise a userspace submission in one context could cause another context to function incorrectly and hang, effectively a denial of service (although without leaking data). This was missed during initial a7xx bringup. Patchwork: https://patchwork.freedesktop.org/patch/654924/ Уязвимость функции CP_RESET_CONTEXT_STATE() ядра операционных систем Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/v3d: Avoid NULL pointer dereference in `v3d_job_update_stats()` The following kernel Oops was recently reported by Mesa CI: [ 800.139824] Unable to handle kernel NULL pointer dereference at virtual address 0000000000000588 [ 800.148619] Mem abort info: [ 800.151402] ESR = 0x0000000096000005 [ 800.155141] EC = 0x25: DABT (current EL), IL = 32 bits [ 800.160444] SET = 0, FnV = 0 [ 800.163488] EA = 0, S1PTW = 0 [ 800.166619] FSC = 0x05: level 1 translation fault [ 800.171487] Data abort info: [ 800.174357] ISV = 0, ISS = 0x00000005, ISS2 = 0x00000000 [ 800.179832] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 800.184873] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 800.190176] user pgtable: 4k pages, 39-bit VAs, pgdp=00000001014c2000 [ 800.196607] [0000000000000588] pgd=0000000000000000, p4d=0000000000000000, pud=0000000000000000 [ 800.205305] Internal error: Oops: 0000000096000005 [#1] PREEMPT SMP [ 800.211564] Modules linked in: vc4 snd_soc_hdmi_codec drm_display_helper v3d cec gpu_sched drm_dma_helper drm_shmem_helper drm_kms_helper drm drm_panel_orientation_quirks snd_soc_core snd_compress snd_pcm_dmaengine snd_pcm i2c_brcmstb snd_timer snd backlight [ 800.234448] CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Not tainted 6.12.25+rpt-rpi-v8 #1 Debian 1:6.12.25-1+rpt1 [ 800.244182] Hardware name: Raspberry Pi 4 Model B Rev 1.4 (DT) [ 800.250005] pstate: 600000c5 (nZCv daIF -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 800.256959] pc : v3d_job_update_stats+0x60/0x130 [v3d] [ 800.262112] lr : v3d_job_update_stats+0x48/0x130 [v3d] [ 800.267251] sp : ffffffc080003e60 [ 800.270555] x29: ffffffc080003e60 x28: ffffffd842784980 x27: 0224012000000000 [ 800.277687] x26: ffffffd84277f630 x25: ffffff81012fd800 x24: 0000000000000020 [ 800.284818] x23: ffffff8040238b08 x22: 0000000000000570 x21: 0000000000000158 [ 800.291948] x20: 0000000000000000 x19: ffffff8040238000 x18: 0000000000000000 [ 800.299078] x17: ffffffa8c1bd2000 x16: ffffffc080000000 x15: 0000000000000000 [ 800.306208] x14: 0000000000000000 x13: 0000000000000000 x12: 0000000000000000 [ 800.313338] x11: 0000000000000040 x10: 0000000000001a40 x9 : ffffffd83b39757c [ 800.320468] x8 : ffffffd842786420 x7 : 7fffffffffffffff x6 : 0000000000ef32b0 [ 800.327598] x5 : 00ffffffffffffff x4 : 0000000000000015 x3 : ffffffd842784980 [ 800.334728] x2 : 0000000000000004 x1 : 0000000000010002 x0 : 000000ba4c0ca382 [ 800.341859] Call trace: [ 800.344294] v3d_job_update_stats+0x60/0x130 [v3d] [ 800.349086] v3d_irq+0x124/0x2e0 [v3d] [ 800.352835] __handle_irq_event_percpu+0x58/0x218 [ 800.357539] handle_irq_event+0x54/0xb8 [ 800.361369] handle_fasteoi_irq+0xac/0x240 [ 800.365458] handle_irq_desc+0x48/0x68 [ 800.369200] generic_handle_domain_irq+0x24/0x38 [ 800.373810] gic_handle_irq+0x48/0xd8 [ 800.377464] call_on_irq_stack+0x24/0x58 [ 800.381379] do_interrupt_handler+0x88/0x98 [ 800.385554] el1_interrupt+0x34/0x68 [ 800.389123] el1h_64_irq_handler+0x18/0x28 [ 800.393211] el1h_64_irq+0x64/0x68 [ 800.396603] default_idle_call+0x3c/0x168 [ 800.400606] do_idle+0x1fc/0x230 [ 800.403827] cpu_startup_entry+0x40/0x50 [ 800.407742] rest_init+0xe4/0xf0 [ 800.410962] start_kernel+0x5e8/0x790 [ 800.414616] __primary_switched+0x80/0x90 [ 800.418622] Code: 8b170277 8b160296 11000421 b9000861 (b9401ac1) [ 800.424707] ---[ end trace 0000000000000000 ]--- [ 800.457313] ---[ end Kernel panic - not syncing: Oops: Fatal exception in interrupt ]--- This issue happens when the file descriptor is closed before the jobs submitted by it are completed. When the job completes, we update the global GPU stats and the per-fd GPU stats, which are exposed through fdinfo. If the file descriptor was closed, then the struct `v3d_file_priv` and its stats were already freed and we can't update the per-fd stats. Therefore, if the file descriptor was already closed, don't u ---truncated--- [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: atm: Revert atm_account_tx() if copy_from_iter_full() fails. In vcc_sendmsg(), we account skb->truesize to sk->sk_wmem_alloc by atm_account_tx(). It is expected to be reverted by atm_pop_raw() later called by vcc->dev->ops->send(vcc, skb). However, vcc_sendmsg() misses the same revert when copy_from_iter_full() fails, and then we will leak a socket. Let's factorise the revert part as atm_return_tx() and call it in the failure path. Note that the corresponding sk_wmem_alloc operation can be found in alloc_tx() as of the blamed commit. $ git blame -L:alloc_tx net/atm/common.c c55fa3cccbc2c~ Уязвимость функции atm_account_tx() компонента atm ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix null pointer dereference in destroy_previous_session If client set ->PreviousSessionId on kerberos session setup stage, NULL pointer dereference error will happen. Since sess->user is not set yet, It can pass the user argument as NULL to destroy_previous_session. sess->user will be set in ksmbd_krb5_authenticate(). So this patch move calling destroy_previous_session() after ksmbd_krb5_authenticate(). Уязвимость функции ksmbd_krb5_authenticate() компонента ksmbd ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: clear the dst when changing skb protocol A not-so-careful NAT46 BPF program can crash the kernel if it indiscriminately flips ingress packets from v4 to v6: BUG: kernel NULL pointer dereference, address: 0000000000000000 ip6_rcv_core (net/ipv6/ip6_input.c:190:20) ipv6_rcv (net/ipv6/ip6_input.c:306:8) process_backlog (net/core/dev.c:6186:4) napi_poll (net/core/dev.c:6906:9) net_rx_action (net/core/dev.c:7028:13) do_softirq (kernel/softirq.c:462:3) netif_rx (net/core/dev.c:5326:3) dev_loopback_xmit (net/core/dev.c:4015:2) ip_mc_finish_output (net/ipv4/ip_output.c:363:8) NF_HOOK (./include/linux/netfilter.h:314:9) ip_mc_output (net/ipv4/ip_output.c:400:5) dst_output (./include/net/dst.h:459:9) ip_local_out (net/ipv4/ip_output.c:130:9) ip_send_skb (net/ipv4/ip_output.c:1496:8) udp_send_skb (net/ipv4/udp.c:1040:8) udp_sendmsg (net/ipv4/udp.c:1328:10) The output interface has a 4->6 program attached at ingress. We try to loop the multicast skb back to the sending socket. Ingress BPF runs as part of netif_rx(), pushes a valid v6 hdr and changes skb->protocol to v6. We enter ip6_rcv_core which tries to use skb_dst(). But the dst is still an IPv4 one left after IPv4 mcast output. Clear the dst in all BPF helpers which change the protocol. Try to preserve metadata dsts, those may carry non-routing metadata. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: sch_sfq: reject invalid perturb period Gerrard Tai reported that SFQ perturb_period has no range check yet, and this can be used to trigger a race condition fixed in a separate patch. We want to make sure ctl->perturb_period * HZ will not overflow and is positive. tc qd add dev lo root sfq perturb -10 # negative value : error Error: sch_sfq: invalid perturb period. tc qd add dev lo root sfq perturb 1000000000 # too big : error Error: sch_sfq: invalid perturb period. tc qd add dev lo root sfq perturb 2000000 # acceptable value tc -s -d qd sh dev lo qdisc sfq 8005: root refcnt 2 limit 127p quantum 64Kb depth 127 flows 128 divisor 1024 perturb 2000000sec Sent 0 bytes 0 pkt (dropped 0, overlimits 0 requeues 0) backlog 0b 0p requeues 0 Уязвимость компонента net_sched ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jffs2: check that raw node were preallocated before writing summary Syzkaller detected a kernel bug in jffs2_link_node_ref, caused by fault injection in jffs2_prealloc_raw_node_refs. jffs2_sum_write_sumnode doesn't check return value of jffs2_prealloc_raw_node_refs and simply lets any error propagate into jffs2_sum_write_data, which eventually calls jffs2_link_node_ref in order to link the summary to an expectedly allocated node. kernel BUG at fs/jffs2/nodelist.c:592! invalid opcode: 0000 [#1] PREEMPT SMP KASAN NOPTI CPU: 1 PID: 31277 Comm: syz-executor.7 Not tainted 6.1.128-syzkaller-00139-ge10f83ca10a1 #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:jffs2_link_node_ref+0x570/0x690 fs/jffs2/nodelist.c:592 Call Trace: <TASK> jffs2_sum_write_data fs/jffs2/summary.c:841 [inline] jffs2_sum_write_sumnode+0xd1a/0x1da0 fs/jffs2/summary.c:874 jffs2_do_reserve_space+0xa18/0xd60 fs/jffs2/nodemgmt.c:388 jffs2_reserve_space+0x55f/0xaa0 fs/jffs2/nodemgmt.c:197 jffs2_write_inode_range+0x246/0xb50 fs/jffs2/write.c:362 jffs2_write_end+0x726/0x15d0 fs/jffs2/file.c:301 generic_perform_write+0x314/0x5d0 mm/filemap.c:3856 __generic_file_write_iter+0x2ae/0x4d0 mm/filemap.c:3973 generic_file_write_iter+0xe3/0x350 mm/filemap.c:4005 call_write_iter include/linux/fs.h:2265 [inline] do_iter_readv_writev+0x20f/0x3c0 fs/read_write.c:735 do_iter_write+0x186/0x710 fs/read_write.c:861 vfs_iter_write+0x70/0xa0 fs/read_write.c:902 iter_file_splice_write+0x73b/0xc90 fs/splice.c:685 do_splice_from fs/splice.c:763 [inline] direct_splice_actor+0x10c/0x170 fs/splice.c:950 splice_direct_to_actor+0x337/0xa10 fs/splice.c:896 do_splice_direct+0x1a9/0x280 fs/splice.c:1002 do_sendfile+0xb13/0x12c0 fs/read_write.c:1255 __do_sys_sendfile64 fs/read_write.c:1323 [inline] __se_sys_sendfile64 fs/read_write.c:1309 [inline] __x64_sys_sendfile64+0x1cf/0x210 fs/read_write.c:1309 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x35/0x80 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x6e/0xd8 Fix this issue by checking return value of jffs2_prealloc_raw_node_refs before calling jffs2_sum_write_data. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента summary.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Fix panic caused by NULL-PMD in huge_pte_offset() ERROR INFO: CPU 25 Unable to handle kernel paging request at virtual address 0x0 ... Call Trace: [<900000000023c30c>] huge_pte_offset+0x3c/0x58 [<900000000057fd4c>] hugetlb_follow_page_mask+0x74/0x438 [<900000000051fee8>] __get_user_pages+0xe0/0x4c8 [<9000000000522414>] faultin_page_range+0x84/0x380 [<9000000000564e8c>] madvise_vma_behavior+0x534/0xa48 [<900000000056689c>] do_madvise+0x1bc/0x3e8 [<9000000000566df4>] sys_madvise+0x24/0x38 [<90000000015b9e88>] do_syscall+0x78/0x98 [<9000000000221f18>] handle_syscall+0xb8/0x158 In some cases, pmd may be NULL and rely on NULL as the return value for processing, so it is necessary to determine this situation here. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86: dell_rbu: Fix list usage Pass the correct list head to list_for_each_entry*() when looping through the packet list. Without this patch, reading the packet data via sysfs will show the data incorrectly (because it starts at the wrong packet), and clearing the packet list will result in a NULL pointer dereference. Уязвимость компонента dell_rbu.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbcon: Make sure modelist not set on unregistered console It looks like attempting to write to the "store_modes" sysfs node will run afoul of unregistered consoles: UBSAN: array-index-out-of-bounds in drivers/video/fbdev/core/fbcon.c:122:28 index -1 is out of range for type 'fb_info *[32]' ... fbcon_info_from_console+0x192/0x1a0 drivers/video/fbdev/core/fbcon.c:122 fbcon_new_modelist+0xbf/0x2d0 drivers/video/fbdev/core/fbcon.c:3048 fb_new_modelist+0x328/0x440 drivers/video/fbdev/core/fbmem.c:673 store_modes+0x1c9/0x3e0 drivers/video/fbdev/core/fbsysfs.c:113 dev_attr_store+0x55/0x80 drivers/base/core.c:2439 static struct fb_info *fbcon_registered_fb[FB_MAX]; ... static signed char con2fb_map[MAX_NR_CONSOLES]; ... static struct fb_info *fbcon_info_from_console(int console) ... return fbcon_registered_fb[con2fb_map[console]]; If con2fb_map contains a -1 things go wrong here. Instead, return NULL, as callers of fbcon_info_from_console() are trying to compare against existing "info" pointers, so error handling should kick in correctly. Уязвимость компонента fbcon.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i40e: fix MMIO write access to an invalid page in i40e_clear_hw When the device sends a specific input, an integer underflow can occur, leading to MMIO write access to an invalid page. Prevent the integer underflow by changing the type of related variables. Уязвимость функции i40e_clear_hw() ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_set_pipapo: clamp maximum map bucket size to INT_MAX Otherwise, it is possible to hit WARN_ON_ONCE in __kvmalloc_node_noprof() when resizing hashtable because __GFP_NOWARN is unset. Similar to: b541ba7d1f5a ("netfilter: conntrack: clamp maximum hashtable size to INT_MAX") Уязвимость функции __kvmalloc_node_noprof ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Check rcu_read_lock_trace_held() in bpf_map_lookup_percpu_elem() bpf_map_lookup_percpu_elem() helper is also available for sleepable bpf program. When BPF JIT is disabled or under 32-bit host, bpf_map_lookup_percpu_elem() will not be inlined. Using it in a sleepable bpf program will trigger the warning in bpf_map_lookup_percpu_elem(), because the bpf program only holds rcu_read_lock_trace lock. Therefore, add the missed check. Уязвимость компонента helpers.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: add NULL check in automount_fullpath page is checked for null in __build_path_from_dentry_optional_prefix when tcon->origin_fullpath is not set. However, the check is missing when it is set. Add a check to prevent a potential NULL pointer dereference. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: configfs-tsm-report: Fix NULL dereference of tsm_ops Unlike sysfs, the lifetime of configfs objects is controlled by userspace. There is no mechanism for the kernel to find and delete all created config-items. Instead, the configfs-tsm-report mechanism has an expectation that tsm_unregister() can happen at any time and cause established config-item access to start failing. That expectation is not fully satisfied. While tsm_report_read(), tsm_report_{is,is_bin}_visible(), and tsm_report_make_item() safely fail if tsm_ops have been unregistered, tsm_report_privlevel_store() tsm_report_provider_show() fail to check for ops registration. Add the missing checks for tsm_ops having been removed. Now, in supporting the ability for tsm_unregister() to always succeed, it leaves the problem of what to do with lingering config-items. The expectation is that the admin that arranges for the ->remove() (unbind) of the ${tsm_arch}-guest driver is also responsible for deletion of all open config-items. Until that deletion happens, ->probe() (reload / bind) of the ${tsm_arch}-guest driver fails. This allows for emergency shutdown / revocation of attestation interfaces, and requires coordinated restart. Уязвимость компонента tsm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/iwcm: Fix use-after-free of work objects after cm_id destruction The commit 59c68ac31e15 ("iw_cm: free cm_id resources on the last deref") simplified cm_id resource management by freeing cm_id once all references to the cm_id were removed. The references are removed either upon completion of iw_cm event handlers or when the application destroys the cm_id. This commit introduced the use-after-free condition where cm_id_private object could still be in use by event handler works during the destruction of cm_id. The commit aee2424246f9 ("RDMA/iwcm: Fix a use-after-free related to destroying CM IDs") addressed this use-after- free by flushing all pending works at the cm_id destruction. However, still another use-after-free possibility remained. It happens with the work objects allocated for each cm_id_priv within alloc_work_entries() during cm_id creation, and subsequently freed in dealloc_work_entries() once all references to the cm_id are removed. If the cm_id's last reference is decremented in the event handler work, the work object for the work itself gets removed, and causes the use- after-free BUG below: BUG: KASAN: slab-use-after-free in __pwq_activate_work+0x1ff/0x250 Read of size 8 at addr ffff88811f9cf800 by task kworker/u16:1/147091 CPU: 2 UID: 0 PID: 147091 Comm: kworker/u16:1 Not tainted 6.15.0-rc2+ #27 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-3.fc41 04/01/2014 Workqueue: 0x0 (iw_cm_wq) Call Trace: <TASK> dump_stack_lvl+0x6a/0x90 print_report+0x174/0x554 ? __virt_addr_valid+0x208/0x430 ? __pwq_activate_work+0x1ff/0x250 kasan_report+0xae/0x170 ? __pwq_activate_work+0x1ff/0x250 __pwq_activate_work+0x1ff/0x250 pwq_dec_nr_in_flight+0x8c5/0xfb0 process_one_work+0xc11/0x1460 ? __pfx_process_one_work+0x10/0x10 ? assign_work+0x16c/0x240 worker_thread+0x5ef/0xfd0 ? __pfx_worker_thread+0x10/0x10 kthread+0x3b0/0x770 ? __pfx_kthread+0x10/0x10 ? rcu_is_watching+0x11/0xb0 ? _raw_spin_unlock_irq+0x24/0x50 ? rcu_is_watching+0x11/0xb0 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x30/0x70 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Allocated by task 147416: kasan_save_stack+0x2c/0x50 kasan_save_track+0x10/0x30 __kasan_kmalloc+0xa6/0xb0 alloc_work_entries+0xa9/0x260 [iw_cm] iw_cm_connect+0x23/0x4a0 [iw_cm] rdma_connect_locked+0xbfd/0x1920 [rdma_cm] nvme_rdma_cm_handler+0x8e5/0x1b60 [nvme_rdma] cma_cm_event_handler+0xae/0x320 [rdma_cm] cma_work_handler+0x106/0x1b0 [rdma_cm] process_one_work+0x84f/0x1460 worker_thread+0x5ef/0xfd0 kthread+0x3b0/0x770 ret_from_fork+0x30/0x70 ret_from_fork_asm+0x1a/0x30 Freed by task 147091: kasan_save_stack+0x2c/0x50 kasan_save_track+0x10/0x30 kasan_save_free_info+0x37/0x60 __kasan_slab_free+0x4b/0x70 kfree+0x13a/0x4b0 dealloc_work_entries+0x125/0x1f0 [iw_cm] iwcm_deref_id+0x6f/0xa0 [iw_cm] cm_work_handler+0x136/0x1ba0 [iw_cm] process_one_work+0x84f/0x1460 worker_thread+0x5ef/0xfd0 kthread+0x3b0/0x770 ret_from_fork+0x30/0x70 ret_from_fork_asm+0x1a/0x30 Last potentially related work creation: kasan_save_stack+0x2c/0x50 kasan_record_aux_stack+0xa3/0xb0 __queue_work+0x2ff/0x1390 queue_work_on+0x67/0xc0 cm_event_handler+0x46a/0x820 [iw_cm] siw_cm_upcall+0x330/0x650 [siw] siw_cm_work_handler+0x6b9/0x2b20 [siw] process_one_work+0x84f/0x1460 worker_thread+0x5ef/0xfd0 kthread+0x3b0/0x770 ret_from_fork+0x30/0x70 ret_from_fork_asm+0x1a/0x30 This BUG is reproducible by repeating the blktests test case nvme/061 for the rdma transport and the siw driver. To avoid the use-after-free of cm_id_private work objects, ensure that the last reference to the cm_id is decremented not in the event handler works, but in the cm_id destruction context. For that purpose, mo ---truncated--- Уязвимость компонента iwcm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipc: fix to protect IPCS lookups using RCU syzbot reported that it discovered a use-after-free vulnerability, [0] [0]: https://lore.kernel.org/all/67af13f8.050a0220.21dd3.0038.GAE@google.com/ idr_for_each() is protected by rwsem, but this is not enough. If it is not protected by RCU read-critical region, when idr_for_each() calls radix_tree_node_free() through call_rcu() to free the radix_tree_node structure, the node will be freed immediately, and when reading the next node in radix_tree_for_each_slot(), the already freed memory may be read. Therefore, we need to add code to make sure that idr_for_each() is protected within the RCU read-critical region when we call it in shm_destroy_orphaned(). Уязвимость функции idr_for_each() ядра операционной системы Linux вызвана выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: Fix fb_set_var to prevent null-ptr-deref in fb_videomode_to_var If fb_add_videomode() in fb_set_var() fails to allocate memory for fb_videomode, later it may lead to a null-ptr dereference in fb_videomode_to_var(), as the fb_info is registered while not having the mode in modelist that is expected to be there, i.e. the one that is described in fb_info->var. ================================================================ general protection fault, probably for non-canonical address 0xdffffc0000000001: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000008-0x000000000000000f] CPU: 1 PID: 30371 Comm: syz-executor.1 Not tainted 5.10.226-syzkaller #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:fb_videomode_to_var+0x24/0x610 drivers/video/fbdev/core/modedb.c:901 Call Trace: display_to_var+0x3a/0x7c0 drivers/video/fbdev/core/fbcon.c:929 fbcon_resize+0x3e2/0x8f0 drivers/video/fbdev/core/fbcon.c:2071 resize_screen drivers/tty/vt/vt.c:1176 [inline] vc_do_resize+0x53a/0x1170 drivers/tty/vt/vt.c:1263 fbcon_modechanged+0x3ac/0x6e0 drivers/video/fbdev/core/fbcon.c:2720 fbcon_update_vcs+0x43/0x60 drivers/video/fbdev/core/fbcon.c:2776 do_fb_ioctl+0x6d2/0x740 drivers/video/fbdev/core/fbmem.c:1128 fb_ioctl+0xe7/0x150 drivers/video/fbdev/core/fbmem.c:1203 vfs_ioctl fs/ioctl.c:48 [inline] __do_sys_ioctl fs/ioctl.c:753 [inline] __se_sys_ioctl fs/ioctl.c:739 [inline] __x64_sys_ioctl+0x19a/0x210 fs/ioctl.c:739 do_syscall_64+0x33/0x40 arch/x86/entry/common.c:46 entry_SYSCALL_64_after_hwframe+0x67/0xd1 ================================================================ The reason is that fb_info->var is being modified in fb_set_var(), and then fb_videomode_to_var() is called. If it fails to add the mode to fb_info->modelist, fb_set_var() returns error, but does not restore the old value of fb_info->var. Restore fb_info->var on failure the same way it is done earlier in the function. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента fbmem.c ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: Fix do_register_framebuffer to prevent null-ptr-deref in fb_videomode_to_var If fb_add_videomode() in do_register_framebuffer() fails to allocate memory for fb_videomode, it will later lead to a null-ptr dereference in fb_videomode_to_var(), as the fb_info is registered while not having the mode in modelist that is expected to be there, i.e. the one that is described in fb_info->var. ================================================================ general protection fault, probably for non-canonical address 0xdffffc0000000001: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000008-0x000000000000000f] CPU: 1 PID: 30371 Comm: syz-executor.1 Not tainted 5.10.226-syzkaller #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:fb_videomode_to_var+0x24/0x610 drivers/video/fbdev/core/modedb.c:901 Call Trace: display_to_var+0x3a/0x7c0 drivers/video/fbdev/core/fbcon.c:929 fbcon_resize+0x3e2/0x8f0 drivers/video/fbdev/core/fbcon.c:2071 resize_screen drivers/tty/vt/vt.c:1176 [inline] vc_do_resize+0x53a/0x1170 drivers/tty/vt/vt.c:1263 fbcon_modechanged+0x3ac/0x6e0 drivers/video/fbdev/core/fbcon.c:2720 fbcon_update_vcs+0x43/0x60 drivers/video/fbdev/core/fbcon.c:2776 do_fb_ioctl+0x6d2/0x740 drivers/video/fbdev/core/fbmem.c:1128 fb_ioctl+0xe7/0x150 drivers/video/fbdev/core/fbmem.c:1203 vfs_ioctl fs/ioctl.c:48 [inline] __do_sys_ioctl fs/ioctl.c:753 [inline] __se_sys_ioctl fs/ioctl.c:739 [inline] __x64_sys_ioctl+0x19a/0x210 fs/ioctl.c:739 do_syscall_64+0x33/0x40 arch/x86/entry/common.c:46 entry_SYSCALL_64_after_hwframe+0x67/0xd1 ================================================================ Even though fbcon_init() checks beforehand if fb_match_mode() in var_to_display() fails, it can not prevent the panic because fbcon_init() does not return error code. Considering this and the comment in the code about fb_match_mode() returning NULL - "This should not happen" - it is better to prevent registering the fb_info if its mode was not set successfully. Also move fb_add_videomode() closer to the beginning of do_register_framebuffer() to avoid having to do the cleanup on fail. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента fbmem.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/vt-d: Restore context entry setup order for aliased devices Commit 2031c469f816 ("iommu/vt-d: Add support for static identity domain") changed the context entry setup during domain attachment from a set-and-check policy to a clear-and-reset approach. This inadvertently introduced a regression affecting PCI aliased devices behind PCIe-to-PCI bridges. Specifically, keyboard and touchpad stopped working on several Apple Macbooks with below messages: kernel: platform pxa2xx-spi.3: Adding to iommu group 20 kernel: input: Apple SPI Keyboard as /devices/pci0000:00/0000:00:1e.3/pxa2xx-spi.3/spi_master/spi2/spi-APP000D:00/input/input0 kernel: DMAR: DRHD: handling fault status reg 3 kernel: DMAR: [DMA Read NO_PASID] Request device [00:1e.3] fault addr 0xffffa000 [fault reason 0x06] PTE Read access is not set kernel: DMAR: DRHD: handling fault status reg 3 kernel: DMAR: [DMA Read NO_PASID] Request device [00:1e.3] fault addr 0xffffa000 [fault reason 0x06] PTE Read access is not set kernel: applespi spi-APP000D:00: Error writing to device: 01 0e 00 00 kernel: DMAR: DRHD: handling fault status reg 3 kernel: DMAR: [DMA Read NO_PASID] Request device [00:1e.3] fault addr 0xffffa000 [fault reason 0x06] PTE Read access is not set kernel: DMAR: DRHD: handling fault status reg 3 kernel: applespi spi-APP000D:00: Error writing to device: 01 0e 00 00 Fix this by restoring the previous context setup order. Уязвимость компонентов intel ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hwmon: (ftsteutates) Fix TOCTOU race in fts_read() In the fts_read() function, when handling hwmon_pwm_auto_channels_temp, the code accesses the shared variable data->fan_source[channel] twice without holding any locks. It is first checked against FTS_FAN_SOURCE_INVALID, and if the check passes, it is read again when used as an argument to the BIT() macro. This creates a Time-of-Check to Time-of-Use (TOCTOU) race condition. Another thread executing fts_update_device() can modify the value of data->fan_source[channel] between the check and its use. If the value is changed to FTS_FAN_SOURCE_INVALID (0xff) during this window, the BIT() macro will be called with a large shift value (BIT(255)). A bit shift by a value greater than or equal to the type width is undefined behavior and can lead to a crash or incorrect values being returned to userspace. Fix this by reading data->fan_source[channel] into a local variable once, eliminating the race condition. Additionally, add a bounds check to ensure the value is less than BITS_PER_LONG before passing it to the BIT() macro, making the code more robust against undefined behavior. This possible bug was found by an experimental static analysis tool developed by our team. Уязвимость компонента ftsteutates.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to do sanity check on sit_bitmap_size w/ below testcase, resize will generate a corrupted image which contains inconsistent metadata, so when mounting such image, it will trigger kernel panic: touch img truncate -s $((512*1024*1024*1024)) img mkfs.f2fs -f img $((256*1024*1024)) resize.f2fs -s -i img -t $((1024*1024*1024)) mount img /mnt/f2fs ------------[ cut here ]------------ kernel BUG at fs/f2fs/segment.h:863! Oops: invalid opcode: 0000 [#1] SMP PTI CPU: 11 UID: 0 PID: 3922 Comm: mount Not tainted 6.15.0-rc1+ #191 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:f2fs_ra_meta_pages+0x47c/0x490 Call Trace: f2fs_build_segment_manager+0x11c3/0x2600 f2fs_fill_super+0xe97/0x2840 mount_bdev+0xf4/0x140 legacy_get_tree+0x2b/0x50 vfs_get_tree+0x29/0xd0 path_mount+0x487/0xaf0 __x64_sys_mount+0x116/0x150 do_syscall_64+0x82/0x190 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7fdbfde1bcfe The reaseon is: sit_i->bitmap_size is 192, so size of sit bitmap is 192*8=1536, at maximum there are 1536 sit blocks, however MAIN_SEGS is 261893, so that sit_blk_cnt is 4762, build_sit_entries() -> current_sit_addr() tries to access out-of-boundary in sit_bitmap at offset from [1536, 4762), once sit_bitmap and sit_bitmap_mirror is not the same, it will trigger f2fs_bug_on(). Let's add sanity check in f2fs_sanity_check_ckpt() to avoid panic. Уязвимость компонента super.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью искажённого файла изображения [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: prevent kernel warning due to negative i_nlink from corrupted image WARNING: CPU: 1 PID: 9426 at fs/inode.c:417 drop_nlink+0xac/0xd0 home/cc/linux/fs/inode.c:417 Modules linked in: CPU: 1 UID: 0 PID: 9426 Comm: syz-executor568 Not tainted 6.14.0-12627-g94d471a4f428 #2 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.13.0-1ubuntu1.1 04/01/2014 RIP: 0010:drop_nlink+0xac/0xd0 home/cc/linux/fs/inode.c:417 Code: 48 8b 5d 28 be 08 00 00 00 48 8d bb 70 07 00 00 e8 f9 67 e6 ff f0 48 ff 83 70 07 00 00 5b 5d e9 9a 12 82 ff e8 95 12 82 ff 90 &lt;0f&gt; 0b 90 c7 45 48 ff ff ff ff 5b 5d e9 83 12 82 ff e8 fe 5f e6 ff RSP: 0018:ffffc900026b7c28 EFLAGS: 00010293 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffffffff8239710f RDX: ffff888041345a00 RSI: ffffffff8239717b RDI: 0000000000000005 RBP: ffff888054509ad0 R08: 0000000000000005 R09: 0000000000000000 R10: 0000000000000000 R11: ffffffff9ab36f08 R12: ffff88804bb40000 R13: ffff8880545091e0 R14: 0000000000008000 R15: ffff8880545091e0 FS: 000055555d0c5880(0000) GS:ffff8880eb3e3000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f915c55b178 CR3: 0000000050d20000 CR4: 0000000000352ef0 Call Trace: <task> f2fs_i_links_write home/cc/linux/fs/f2fs/f2fs.h:3194 [inline] f2fs_drop_nlink+0xd1/0x3c0 home/cc/linux/fs/f2fs/dir.c:845 f2fs_delete_entry+0x542/0x1450 home/cc/linux/fs/f2fs/dir.c:909 f2fs_unlink+0x45c/0x890 home/cc/linux/fs/f2fs/namei.c:581 vfs_unlink+0x2fb/0x9b0 home/cc/linux/fs/namei.c:4544 do_unlinkat+0x4c5/0x6a0 home/cc/linux/fs/namei.c:4608 __do_sys_unlink home/cc/linux/fs/namei.c:4654 [inline] __se_sys_unlink home/cc/linux/fs/namei.c:4652 [inline] __x64_sys_unlink+0xc5/0x110 home/cc/linux/fs/namei.c:4652 do_syscall_x64 home/cc/linux/arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xc7/0x250 home/cc/linux/arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fb3d092324b Code: 73 01 c3 48 c7 c1 c0 ff ff ff f7 d8 64 89 01 48 83 c8 ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa b8 57 00 00 00 0f 05 &lt;48&gt; 3d 01 f0 ff ff 73 01 c3 48 c7 c1 c0 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007ffdc232d938 EFLAGS: 00000206 ORIG_RAX: 0000000000000057 RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007fb3d092324b RDX: 00007ffdc232d960 RSI: 00007ffdc232d960 RDI: 00007ffdc232d9f0 RBP: 00007ffdc232d9f0 R08: 0000000000000001 R09: 00007ffdc232d7c0 R10: 00000000fffffffd R11: 0000000000000206 R12: 00007ffdc232eaf0 R13: 000055555d0cebb0 R14: 00007ffdc232d958 R15: 0000000000000001 </task> Уязвимость компонента namei.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью искажённого файла изображения [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: only dirty folios when data journaling regular files fstest generic/388 occasionally reproduces a crash that looks as follows: BUG: kernel NULL pointer dereference, address: 0000000000000000 ... Call Trace: <TASK> ext4_block_zero_page_range+0x30c/0x380 [ext4] ext4_truncate+0x436/0x440 [ext4] ext4_process_orphan+0x5d/0x110 [ext4] ext4_orphan_cleanup+0x124/0x4f0 [ext4] ext4_fill_super+0x262d/0x3110 [ext4] get_tree_bdev_flags+0x132/0x1d0 vfs_get_tree+0x26/0xd0 vfs_cmd_create+0x59/0xe0 __do_sys_fsconfig+0x4ed/0x6b0 do_syscall_64+0x82/0x170 ... This occurs when processing a symlink inode from the orphan list. The partial block zeroing code in the truncate path calls ext4_dirty_journalled_data() -> folio_mark_dirty(). The latter calls mapping->a_ops->dirty_folio(), but symlink inodes are not assigned an a_ops vector in ext4, hence the crash. To avoid this problem, update the ext4_dirty_journalled_data() helper to only mark the folio dirty on regular files (for which a_ops is assigned). This also matches the journaling logic in the ext4_symlink() creation path, where ext4_handle_dirty_metadata() is called directly. Уязвимость компонента inode.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: inline: fix len overflow in ext4_prepare_inline_data When running the following code on an ext4 filesystem with inline_data feature enabled, it will lead to the bug below. fd = open("file1", O_RDWR | O_CREAT | O_TRUNC, 0666); ftruncate(fd, 30); pwrite(fd, "a", 1, (1UL << 40) + 5UL); That happens because write_begin will succeed as when ext4_generic_write_inline_data calls ext4_prepare_inline_data, pos + len will be truncated, leading to ext4_prepare_inline_data parameter to be 6 instead of 0x10000000006. Then, later when write_end is called, we hit: BUG_ON(pos + len > EXT4_I(inode)->i_inline_size); at ext4_write_inline_data. Fix it by using a loff_t type for the len parameter in ext4_prepare_inline_data instead of an unsigned int. [ 44.545164] ------------[ cut here ]------------ [ 44.545530] kernel BUG at fs/ext4/inline.c:240! [ 44.545834] Oops: invalid opcode: 0000 [#1] SMP NOPTI [ 44.546172] CPU: 3 UID: 0 PID: 343 Comm: test Not tainted 6.15.0-rc2-00003-g9080916f4863 #45 PREEMPT(full) 112853fcebfdb93254270a7959841d2c6aa2c8bb [ 44.546523] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 44.546523] RIP: 0010:ext4_write_inline_data+0xfe/0x100 [ 44.546523] Code: 3c 0e 48 83 c7 48 48 89 de 5b 41 5c 41 5d 41 5e 41 5f 5d e9 e4 fa 43 01 5b 41 5c 41 5d 41 5e 41 5f 5d c3 cc cc cc cc cc 0f 0b <0f> 0b 0f 1f 44 00 00 55 41 57 41 56 41 55 41 54 53 48 83 ec 20 49 [ 44.546523] RSP: 0018:ffffb342008b79a8 EFLAGS: 00010216 [ 44.546523] RAX: 0000000000000001 RBX: ffff9329c579c000 RCX: 0000010000000006 [ 44.546523] RDX: 000000000000003c RSI: ffffb342008b79f0 RDI: ffff9329c158e738 [ 44.546523] RBP: 0000000000000001 R08: 0000000000000001 R09: 0000000000000000 [ 44.546523] R10: 00007ffffffff000 R11: ffffffff9bd0d910 R12: 0000006210000000 [ 44.546523] R13: fffffc7e4015e700 R14: 0000010000000005 R15: ffff9329c158e738 [ 44.546523] FS: 00007f4299934740(0000) GS:ffff932a60179000(0000) knlGS:0000000000000000 [ 44.546523] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 44.546523] CR2: 00007f4299a1ec90 CR3: 0000000002886002 CR4: 0000000000770eb0 [ 44.546523] PKRU: 55555554 [ 44.546523] Call Trace: [ 44.546523] <TASK> [ 44.546523] ext4_write_inline_data_end+0x126/0x2d0 [ 44.546523] generic_perform_write+0x17e/0x270 [ 44.546523] ext4_buffered_write_iter+0xc8/0x170 [ 44.546523] vfs_write+0x2be/0x3e0 [ 44.546523] __x64_sys_pwrite64+0x6d/0xc0 [ 44.546523] do_syscall_64+0x6a/0xf0 [ 44.546523] ? __wake_up+0x89/0xb0 [ 44.546523] ? xas_find+0x72/0x1c0 [ 44.546523] ? next_uptodate_folio+0x317/0x330 [ 44.546523] ? set_pte_range+0x1a6/0x270 [ 44.546523] ? filemap_map_pages+0x6ee/0x840 [ 44.546523] ? ext4_setattr+0x2fa/0x750 [ 44.546523] ? do_pte_missing+0x128/0xf70 [ 44.546523] ? security_inode_post_setattr+0x3e/0xd0 [ 44.546523] ? ___pte_offset_map+0x19/0x100 [ 44.546523] ? handle_mm_fault+0x721/0xa10 [ 44.546523] ? do_user_addr_fault+0x197/0x730 [ 44.546523] ? do_syscall_64+0x76/0xf0 [ 44.546523] ? arch_exit_to_user_mode_prepare+0x1e/0x60 [ 44.546523] ? irqentry_exit_to_user_mode+0x79/0x90 [ 44.546523] entry_SYSCALL_64_after_hwframe+0x55/0x5d [ 44.546523] RIP: 0033:0x7f42999c6687 [ 44.546523] Code: 48 89 fa 4c 89 df e8 58 b3 00 00 8b 93 08 03 00 00 59 5e 48 83 f8 fc 74 1a 5b c3 0f 1f 84 00 00 00 00 00 48 8b 44 24 10 0f 05 <5b> c3 0f 1f 80 00 00 00 00 83 e2 39 83 fa 08 75 de e8 23 ff ff ff [ 44.546523] RSP: 002b:00007ffeae4a7930 EFLAGS: 00000202 ORIG_RAX: 0000000000000012 [ 44.546523] RAX: ffffffffffffffda RBX: 00007f4299934740 RCX: 00007f42999c6687 [ 44.546523] RDX: 0000000000000001 RSI: 000055ea6149200f RDI: 0000000000000003 [ 44.546523] RBP: 00007ffeae4a79a0 R08: 0000000000000000 R09: 0000000000000000 [ 44.546523] R10: 0000010000000005 R11: 0000000000000202 R12: 0000 ---truncated--- Уязвимость компонента inline.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ceph: avoid kernel BUG for encrypted inode with unaligned file size The generic/397 test hits a BUG_ON for the case of encrypted inode with unaligned file size (for example, 33K or 1K): [ 877.737811] run fstests generic/397 at 2025-01-03 12:34:40 [ 877.875761] libceph: mon0 (2)127.0.0.1:40674 session established [ 877.876130] libceph: client4614 fsid 19b90bca-f1ae-47a6-93dd-0b03ee637949 [ 877.991965] libceph: mon0 (2)127.0.0.1:40674 session established [ 877.992334] libceph: client4617 fsid 19b90bca-f1ae-47a6-93dd-0b03ee637949 [ 878.017234] libceph: mon0 (2)127.0.0.1:40674 session established [ 878.017594] libceph: client4620 fsid 19b90bca-f1ae-47a6-93dd-0b03ee637949 [ 878.031394] xfs_io (pid 18988) is setting deprecated v1 encryption policy; recommend upgrading to v2. [ 878.054528] libceph: mon0 (2)127.0.0.1:40674 session established [ 878.054892] libceph: client4623 fsid 19b90bca-f1ae-47a6-93dd-0b03ee637949 [ 878.070287] libceph: mon0 (2)127.0.0.1:40674 session established [ 878.070704] libceph: client4626 fsid 19b90bca-f1ae-47a6-93dd-0b03ee637949 [ 878.264586] libceph: mon0 (2)127.0.0.1:40674 session established [ 878.265258] libceph: client4629 fsid 19b90bca-f1ae-47a6-93dd-0b03ee637949 [ 878.374578] -----------[ cut here ]------------ [ 878.374586] kernel BUG at net/ceph/messenger.c:1070! [ 878.375150] Oops: invalid opcode: 0000 [#1] PREEMPT SMP NOPTI [ 878.378145] CPU: 2 UID: 0 PID: 4759 Comm: kworker/2:9 Not tainted 6.13.0-rc5+ #1 [ 878.378969] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 [ 878.380167] Workqueue: ceph-msgr ceph_con_workfn [ 878.381639] RIP: 0010:ceph_msg_data_cursor_init+0x42/0x50 [ 878.382152] Code: 89 17 48 8b 46 70 55 48 89 47 08 c7 47 18 00 00 00 00 48 89 e5 e8 de cc ff ff 5d 31 c0 31 d2 31 f6 31 ff c3 cc cc cc cc 0f 0b <0f> 0b 0f 0b 66 2e 0f 1f 84 00 00 00 00 00 90 90 90 90 90 90 90 90 [ 878.383928] RSP: 0018:ffffb4ffc7cbbd28 EFLAGS: 00010287 [ 878.384447] RAX: ffffffff82bb9ac0 RBX: ffff981390c2f1f8 RCX: 0000000000000000 [ 878.385129] RDX: 0000000000009000 RSI: ffff981288232b58 RDI: ffff981390c2f378 [ 878.385839] RBP: ffffb4ffc7cbbe18 R08: 0000000000000000 R09: 0000000000000000 [ 878.386539] R10: 0000000000000000 R11: 0000000000000000 R12: ffff981390c2f030 [ 878.387203] R13: ffff981288232b58 R14: 0000000000000029 R15: 0000000000000001 [ 878.387877] FS: 0000000000000000(0000) GS:ffff9814b7900000(0000) knlGS:0000000000000000 [ 878.388663] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 878.389212] CR2: 00005e106a0554e0 CR3: 0000000112bf0001 CR4: 0000000000772ef0 [ 878.389921] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 878.390620] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [ 878.391307] PKRU: 55555554 [ 878.391567] Call Trace: [ 878.391807] <TASK> [ 878.392021] ? show_regs+0x71/0x90 [ 878.392391] ? die+0x38/0xa0 [ 878.392667] ? do_trap+0xdb/0x100 [ 878.392981] ? do_error_trap+0x75/0xb0 [ 878.393372] ? ceph_msg_data_cursor_init+0x42/0x50 [ 878.393842] ? exc_invalid_op+0x53/0x80 [ 878.394232] ? ceph_msg_data_cursor_init+0x42/0x50 [ 878.394694] ? asm_exc_invalid_op+0x1b/0x20 [ 878.395099] ? ceph_msg_data_cursor_init+0x42/0x50 [ 878.395583] ? ceph_con_v2_try_read+0xd16/0x2220 [ 878.396027] ? _raw_spin_unlock+0xe/0x40 [ 878.396428] ? raw_spin_rq_unlock+0x10/0x40 [ 878.396842] ? finish_task_switch.isra.0+0x97/0x310 [ 878.397338] ? __schedule+0x44b/0x16b0 [ 878.397738] ceph_con_workfn+0x326/0x750 [ 878.398121] process_one_work+0x188/0x3d0 [ 878.398522] ? __pfx_worker_thread+0x10/0x10 [ 878.398929] worker_thread+0x2b5/0x3c0 [ 878.399310] ? __pfx_worker_thread+0x10/0x10 [ 878.399727] kthread+0xe1/0x120 [ 878.400031] ? __pfx_kthread+0x10/0x10 [ 878.400431] ret_from_fork+0x43/0x70 [ 878.400771] ? __pfx_kthread+0x10/0x10 [ 878.401127] ret_from_fork_asm+0x1a/0x30 [ 878.401543] </TASK> [ 878.401760] Modules l ---truncated--- Уязвимость компонента addr.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: kvaser_pciefd: refine error prone echo_skb_max handling logic echo_skb_max should define the supported upper limit of echo_skb[] allocated inside the netdevice's priv. The corresponding size value provided by this driver to alloc_candev() is KVASER_PCIEFD_CAN_TX_MAX_COUNT which is 17. But later echo_skb_max is rounded up to the nearest power of two (for the max case, that would be 32) and the tx/ack indices calculated further during tx/rx may exceed the upper array boundary. Kasan reported this for the ack case inside kvaser_pciefd_handle_ack_packet(), though the xmit function has actually caught the same thing earlier. BUG: KASAN: slab-out-of-bounds in kvaser_pciefd_handle_ack_packet+0x2d7/0x92a drivers/net/can/kvaser_pciefd.c:1528 Read of size 8 at addr ffff888105e4f078 by task swapper/4/0 CPU: 4 UID: 0 PID: 0 Comm: swapper/4 Not tainted 6.15.0 #12 PREEMPT(voluntary) Call Trace: <IRQ> dump_stack_lvl lib/dump_stack.c:122 print_report mm/kasan/report.c:521 kasan_report mm/kasan/report.c:634 kvaser_pciefd_handle_ack_packet drivers/net/can/kvaser_pciefd.c:1528 kvaser_pciefd_read_packet drivers/net/can/kvaser_pciefd.c:1605 kvaser_pciefd_read_buffer drivers/net/can/kvaser_pciefd.c:1656 kvaser_pciefd_receive_irq drivers/net/can/kvaser_pciefd.c:1684 kvaser_pciefd_irq_handler drivers/net/can/kvaser_pciefd.c:1733 __handle_irq_event_percpu kernel/irq/handle.c:158 handle_irq_event kernel/irq/handle.c:210 handle_edge_irq kernel/irq/chip.c:833 __common_interrupt arch/x86/kernel/irq.c:296 common_interrupt arch/x86/kernel/irq.c:286 </IRQ> Tx max count definitely matters for kvaser_pciefd_tx_avail(), but for seq numbers' generation that's not the case - we're free to calculate them as would be more convenient, not taking tx max count into account. The only downside is that the size of echo_skb[] should correspond to the max seq number (not tx max count), so in some situations a bit more memory would be consumed than could be. Thus make the size of the underlying echo_skb[] sufficient for the rounded max tx value. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента kvaser_pciefd.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: imx-jpeg: Cleanup after an allocation error When allocation failures are not cleaned up by the driver, further allocation errors will be false-positives, which will cause buffers to remain uninitialized and cause NULL pointer dereferences. Ensure proper cleanup of failed allocations to prevent these issues. Уязвимость компонента mxc-jpeg.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: vivid: Change the siize of the composing syzkaller found a bug: BUG: KASAN: vmalloc-out-of-bounds in tpg_fill_plane_pattern drivers/media/common/v4l2-tpg/v4l2-tpg-core.c:2608 [inline] BUG: KASAN: vmalloc-out-of-bounds in tpg_fill_plane_buffer+0x1a9c/0x5af0 drivers/media/common/v4l2-tpg/v4l2-tpg-core.c:2705 Write of size 1440 at addr ffffc9000d0ffda0 by task vivid-000-vid-c/5304 CPU: 0 UID: 0 PID: 5304 Comm: vivid-000-vid-c Not tainted 6.14.0-rc2-syzkaller-00039-g09fbf3d50205 #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x169/0x550 mm/kasan/report.c:489 kasan_report+0x143/0x180 mm/kasan/report.c:602 kasan_check_range+0x282/0x290 mm/kasan/generic.c:189 __asan_memcpy+0x40/0x70 mm/kasan/shadow.c:106 tpg_fill_plane_pattern drivers/media/common/v4l2-tpg/v4l2-tpg-core.c:2608 [inline] tpg_fill_plane_buffer+0x1a9c/0x5af0 drivers/media/common/v4l2-tpg/v4l2-tpg-core.c:2705 vivid_fillbuff drivers/media/test-drivers/vivid/vivid-kthread-cap.c:470 [inline] vivid_thread_vid_cap_tick+0xf8e/0x60d0 drivers/media/test-drivers/vivid/vivid-kthread-cap.c:629 vivid_thread_vid_cap+0x8aa/0xf30 drivers/media/test-drivers/vivid/vivid-kthread-cap.c:767 kthread+0x7a9/0x920 kernel/kthread.c:464 ret_from_fork+0x4b/0x80 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 </TASK> The composition size cannot be larger than the size of fmt_cap_rect. So execute v4l2_rect_map_inside() even if has_compose_cap == 0. Уязвимость компонента vivid-vid-cap.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: vidtv: Terminating the subsequent process of initialization failure syzbot reported a slab-use-after-free Read in vidtv_mux_init. [1] After PSI initialization fails, the si member is accessed again, resulting in this uaf. After si initialization fails, the subsequent process needs to be exited. [1] BUG: KASAN: slab-use-after-free in vidtv_mux_pid_ctx_init drivers/media/test-drivers/vidtv/vidtv_mux.c:78 [inline] BUG: KASAN: slab-use-after-free in vidtv_mux_init+0xac2/0xbe0 drivers/media/test-drivers/vidtv/vidtv_mux.c:524 Read of size 8 at addr ffff88802fa42acc by task syz.2.37/6059 CPU: 0 UID: 0 PID: 6059 Comm: syz.2.37 Not tainted 6.14.0-rc5-syzkaller #0 Hardware name: Google Compute Engine, BIOS Google 02/12/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xc3/0x670 mm/kasan/report.c:521 kasan_report+0xd9/0x110 mm/kasan/report.c:634 vidtv_mux_pid_ctx_init drivers/media/test-drivers/vidtv/vidtv_mux.c:78 vidtv_mux_init+0xac2/0xbe0 drivers/media/test-drivers/vidtv/vidtv_mux.c:524 vidtv_start_streaming drivers/media/test-drivers/vidtv/vidtv_bridge.c:194 vidtv_start_feed drivers/media/test-drivers/vidtv/vidtv_bridge.c:239 dmx_section_feed_start_filtering drivers/media/dvb-core/dvb_demux.c:973 dvb_dmxdev_feed_start drivers/media/dvb-core/dmxdev.c:508 [inline] dvb_dmxdev_feed_restart.isra.0 drivers/media/dvb-core/dmxdev.c:537 dvb_dmxdev_filter_stop+0x2b4/0x3a0 drivers/media/dvb-core/dmxdev.c:564 dvb_dmxdev_filter_free drivers/media/dvb-core/dmxdev.c:840 [inline] dvb_demux_release+0x92/0x550 drivers/media/dvb-core/dmxdev.c:1246 __fput+0x3ff/0xb70 fs/file_table.c:464 task_work_run+0x14e/0x250 kernel/task_work.c:227 exit_task_work include/linux/task_work.h:40 [inline] do_exit+0xad8/0x2d70 kernel/exit.c:938 do_group_exit+0xd3/0x2a0 kernel/exit.c:1087 __do_sys_exit_group kernel/exit.c:1098 [inline] __se_sys_exit_group kernel/exit.c:1096 [inline] __x64_sys_exit_group+0x3e/0x50 kernel/exit.c:1096 x64_sys_call+0x151f/0x1720 arch/x86/include/generated/asm/syscalls_64.h:232 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f871d58d169 Code: Unable to access opcode bytes at 0x7f871d58d13f. RSP: 002b:00007fff4b19a788 EFLAGS: 00000246 ORIG_RAX: 00000000000000e7 RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007f871d58d169 RDX: 0000000000000064 RSI: 0000000000000000 RDI: 0000000000000000 RBP: 00007fff4b19a7ec R08: 0000000b4b19a87f R09: 00000000000927c0 R10: 0000000000000001 R11: 0000000000000246 R12: 0000000000000003 R13: 00000000000927c0 R14: 000000000001d553 R15: 00007fff4b19a840 </TASK> Allocated by task 6059: kasan_save_stack+0x33/0x60 mm/kasan/common.c:47 kasan_save_track+0x14/0x30 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0xaa/0xb0 mm/kasan/common.c:394 kmalloc_noprof include/linux/slab.h:901 [inline] kzalloc_noprof include/linux/slab.h:1037 [inline] vidtv_psi_pat_table_init drivers/media/test-drivers/vidtv/vidtv_psi.c:970 vidtv_channel_si_init drivers/media/test-drivers/vidtv/vidtv_channel.c:423 vidtv_mux_init drivers/media/test-drivers/vidtv/vidtv_mux.c:519 vidtv_start_streaming drivers/media/test-drivers/vidtv/vidtv_bridge.c:194 vidtv_start_feed drivers/media/test-drivers/vidtv/vidtv_bridge.c:239 dmx_section_feed_start_filtering drivers/media/dvb-core/dvb_demux.c:973 dvb_dmxdev_feed_start drivers/media/dvb-core/dmxdev.c:508 [inline] dvb_dmxdev_feed_restart.isra.0 drivers/media/dvb-core/dmxdev.c:537 dvb_dmxdev_filter_stop+0x2b4/0x3a0 drivers/media/dvb-core/dmxdev.c:564 dvb_dmxdev_filter_free drivers/media/dvb-core/dmxdev.c:840 [inline] dvb_demux_release+0x92/0x550 drivers/media/dvb-core/dmxdev.c:1246 __fput+0x3ff/0xb70 fs/file_tabl ---truncated--- Уязвимость компонента vidtv_channel.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: imagination: fix a potential memory leak in e5010_probe() Add video_device_release() to release the memory allocated by video_device_alloc() if something goes wrong. Уязвимость компонента e5010-jpeg-enc.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: cxusb: no longer judge rbuf when the write fails syzbot reported a uninit-value in cxusb_i2c_xfer. [1] Only when the write operation of usb_bulk_msg() in dvb_usb_generic_rw() succeeds and rlen is greater than 0, the read operation of usb_bulk_msg() will be executed to read rlen bytes of data from the dvb device into the rbuf. In this case, although rlen is 1, the write operation failed which resulted in the dvb read operation not being executed, and ultimately variable i was not initialized. [1] BUG: KMSAN: uninit-value in cxusb_gpio_tuner drivers/media/usb/dvb-usb/cxusb.c:124 [inline] BUG: KMSAN: uninit-value in cxusb_i2c_xfer+0x153a/0x1a60 drivers/media/usb/dvb-usb/cxusb.c:196 cxusb_gpio_tuner drivers/media/usb/dvb-usb/cxusb.c:124 [inline] cxusb_i2c_xfer+0x153a/0x1a60 drivers/media/usb/dvb-usb/cxusb.c:196 __i2c_transfer+0xe25/0x3150 drivers/i2c/i2c-core-base.c:-1 i2c_transfer+0x317/0x4a0 drivers/i2c/i2c-core-base.c:2315 i2c_transfer_buffer_flags+0x125/0x1e0 drivers/i2c/i2c-core-base.c:2343 i2c_master_send include/linux/i2c.h:109 [inline] i2cdev_write+0x210/0x280 drivers/i2c/i2c-dev.c:183 do_loop_readv_writev fs/read_write.c:848 [inline] vfs_writev+0x963/0x14e0 fs/read_write.c:1057 do_writev+0x247/0x5c0 fs/read_write.c:1101 __do_sys_writev fs/read_write.c:1169 [inline] __se_sys_writev fs/read_write.c:1166 [inline] __x64_sys_writev+0x98/0xe0 fs/read_write.c:1166 x64_sys_call+0x2229/0x3c80 arch/x86/include/generated/asm/syscalls_64.h:21 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x1e0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента cxusb.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jfs: validate AG parameters in dbMount() to prevent crashes Validate db_agheight, db_agwidth, and db_agstart in dbMount to catch corrupted metadata early and avoid undefined behavior in dbAllocAG. Limits are derived from L2LPERCTL, LPERCTL/MAXAG, and CTLTREESIZE: - agheight: 0 to L2LPERCTL/2 (0 to 5) ensures shift (L2LPERCTL - 2*agheight) >= 0. - agwidth: 1 to min(LPERCTL/MAXAG, 2^(L2LPERCTL - 2*agheight)) ensures agperlev >= 1. - Ranges: 1-8 (agheight 0-3), 1-4 (agheight 4), 1 (agheight 5). - LPERCTL/MAXAG = 1024/128 = 8 limits leaves per AG; 2^(10 - 2*agheight) prevents division to 0. - agstart: 0 to CTLTREESIZE-1 - agwidth*(MAXAG-1) keeps ti within stree (size 1365). - Ranges: 0-1237 (agwidth 1), 0-348 (agwidth 8). UBSAN: shift-out-of-bounds in fs/jfs/jfs_dmap.c:1400:9 shift exponent -335544310 is negative CPU: 0 UID: 0 PID: 5822 Comm: syz-executor130 Not tainted 6.14.0-rc5-syzkaller #0 Hardware name: Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 ubsan_epilogue lib/ubsan.c:231 [inline] __ubsan_handle_shift_out_of_bounds+0x3c8/0x420 lib/ubsan.c:468 dbAllocAG+0x1087/0x10b0 fs/jfs/jfs_dmap.c:1400 dbDiscardAG+0x352/0xa20 fs/jfs/jfs_dmap.c:1613 jfs_ioc_trim+0x45a/0x6b0 fs/jfs/jfs_discard.c:105 jfs_ioctl+0x2cd/0x3e0 fs/jfs/ioctl.c:131 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl+0xf5/0x170 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента jfs_dmap.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfsd: Initialize ssc before laundromat_work to prevent NULL dereference In nfs4_state_start_net(), laundromat_work may access nfsd_ssc through nfs4_laundromat -> nfsd4_ssc_expire_umount. If nfsd_ssc isn't initialized, this can cause NULL pointer dereference. Normally the delayed start of laundromat_work allows sufficient time for nfsd_ssc initialization to complete. However, when the kernel waits too long for userspace responses (e.g. in nfs4_state_start_net -> nfsd4_end_grace -> nfsd4_record_grace_done -> nfsd4_cld_grace_done -> cld_pipe_upcall -> __cld_pipe_upcall -> wait_for_completion path), the delayed work may start before nfsd_ssc initialization finishes. Fix this by moving nfsd_ssc initialization before starting laundromat_work. Уязвимость компонента nfssvc.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSD: fix race between nfsd registration and exports_proc As of now nfsd calls create_proc_exports_entry() at start of init_nfsd and cleanup by remove_proc_entry() at last of exit_nfsd. Which causes kernel OOPs if there is race between below 2 operations: (i) exportfs -r (ii) mount -t nfsd none /proc/fs/nfsd for 5.4 kernel ARM64: CPU 1: el1_irq+0xbc/0x180 arch_counter_get_cntvct+0x14/0x18 running_clock+0xc/0x18 preempt_count_add+0x88/0x110 prep_new_page+0xb0/0x220 get_page_from_freelist+0x2d8/0x1778 __alloc_pages_nodemask+0x15c/0xef0 __vmalloc_node_range+0x28c/0x478 __vmalloc_node_flags_caller+0x8c/0xb0 kvmalloc_node+0x88/0xe0 nfsd_init_net+0x6c/0x108 [nfsd] ops_init+0x44/0x170 register_pernet_operations+0x114/0x270 register_pernet_subsys+0x34/0x50 init_nfsd+0xa8/0x718 [nfsd] do_one_initcall+0x54/0x2e0 CPU 2 : Unable to handle kernel NULL pointer dereference at virtual address 0000000000000010 PC is at : exports_net_open+0x50/0x68 [nfsd] Call trace: exports_net_open+0x50/0x68 [nfsd] exports_proc_open+0x2c/0x38 [nfsd] proc_reg_open+0xb8/0x198 do_dentry_open+0x1c4/0x418 vfs_open+0x38/0x48 path_openat+0x28c/0xf18 do_filp_open+0x70/0xe8 do_sys_open+0x154/0x248 Sometimes it crashes at exports_net_open() and sometimes cache_seq_next_rcu(). and same is happening on latest 6.14 kernel as well: [ 0.000000] Linux version 6.14.0-rc5-next-20250304-dirty ... [ 285.455918] Unable to handle kernel paging request at virtual address 00001f4800001f48 ... [ 285.464902] pc : cache_seq_next_rcu+0x78/0xa4 ... [ 285.469695] Call trace: [ 285.470083] cache_seq_next_rcu+0x78/0xa4 (P) [ 285.470488] seq_read+0xe0/0x11c [ 285.470675] proc_reg_read+0x9c/0xf0 [ 285.470874] vfs_read+0xc4/0x2fc [ 285.471057] ksys_read+0x6c/0xf4 [ 285.471231] __arm64_sys_read+0x1c/0x28 [ 285.471428] invoke_syscall+0x44/0x100 [ 285.471633] el0_svc_common.constprop.0+0x40/0xe0 [ 285.471870] do_el0_svc_compat+0x1c/0x34 [ 285.472073] el0_svc_compat+0x2c/0x80 [ 285.472265] el0t_32_sync_handler+0x90/0x140 [ 285.472473] el0t_32_sync+0x19c/0x1a0 [ 285.472887] Code: f9400885 93407c23 937d7c27 11000421 (f86378a3) [ 285.473422] ---[ end trace 0000000000000000 ]--- It reproduced simply with below script: while [ 1 ] do /exportfs -r done & while [ 1 ] do insmod /nfsd.ko mount -t nfsd none /proc/fs/nfsd umount /proc/fs/nfsd rmmod nfsd done & So exporting interfaces to user space shall be done at last and cleanup at first place. With change there is no Kernel OOPs. Уязвимость функции init_nfsd() в модуле fs/nfsd/nfsctl.c поддержки сетевой файловой системы NFS ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: megaraid_sas: Fix invalid node index On a system with DRAM interleave enabled, out-of-bound access is detected: megaraid_sas 0000:3f:00.0: requested/available msix 128/128 poll_queue 0 ------------[ cut here ]------------ UBSAN: array-index-out-of-bounds in ./arch/x86/include/asm/topology.h:72:28 index -1 is out of range for type 'cpumask *[1024]' dump_stack_lvl+0x5d/0x80 ubsan_epilogue+0x5/0x2b __ubsan_handle_out_of_bounds.cold+0x46/0x4b megasas_alloc_irq_vectors+0x149/0x190 [megaraid_sas] megasas_probe_one.cold+0xa4d/0x189c [megaraid_sas] local_pci_probe+0x42/0x90 pci_device_probe+0xdc/0x290 really_probe+0xdb/0x340 __driver_probe_device+0x78/0x110 driver_probe_device+0x1f/0xa0 __driver_attach+0xba/0x1c0 bus_for_each_dev+0x8b/0xe0 bus_add_driver+0x142/0x220 driver_register+0x72/0xd0 megasas_init+0xdf/0xff0 [megaraid_sas] do_one_initcall+0x57/0x310 do_init_module+0x90/0x250 init_module_from_file+0x85/0xc0 idempotent_init_module+0x114/0x310 __x64_sys_finit_module+0x65/0xc0 do_syscall_64+0x82/0x170 entry_SYSCALL_64_after_hwframe+0x76/0x7e Fix it accordingly. Уязвимость компонента megaraid_sas_base.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm: userfaultfd: fix race of userfaultfd_move and swap cache This commit fixes two kinds of races, they may have different results: Barry reported a BUG_ON in commit c50f8e6053b0, we may see the same BUG_ON if the filemap lookup returned NULL and folio is added to swap cache after that. If another kind of race is triggered (folio changed after lookup) we may see RSS counter is corrupted: [ 406.893936] BUG: Bad rss-counter state mm:ffff0000c5a9ddc0 type:MM_ANONPAGES val:-1 [ 406.894071] BUG: Bad rss-counter state mm:ffff0000c5a9ddc0 type:MM_SHMEMPAGES val:1 Because the folio is being accounted to the wrong VMA. I'm not sure if there will be any data corruption though, seems no. The issues above are critical already. On seeing a swap entry PTE, userfaultfd_move does a lockless swap cache lookup, and tries to move the found folio to the faulting vma. Currently, it relies on checking the PTE value to ensure that the moved folio still belongs to the src swap entry and that no new folio has been added to the swap cache, which turns out to be unreliable. While working and reviewing the swap table series with Barry, following existing races are observed and reproduced [1]: In the example below, move_pages_pte is moving src_pte to dst_pte, where src_pte is a swap entry PTE holding swap entry S1, and S1 is not in the swap cache: CPU1 CPU2 userfaultfd_move move_pages_pte() entry = pte_to_swp_entry(orig_src_pte); // Here it got entry = S1 ... < interrupted> ... <swapin src_pte, alloc and use folio A> // folio A is a new allocated folio // and get installed into src_pte <frees swap entry S1> // src_pte now points to folio A, S1 // has swap count == 0, it can be freed // by folio_swap_swap or swap // allocator's reclaim. <try to swap out another folio B> // folio B is a folio in another VMA. <put folio B to swap cache using S1 > // S1 is freed, folio B can use it // for swap out with no problem. ... folio = filemap_get_folio(S1) // Got folio B here !!! ... < interrupted again> ... <swapin folio B and free S1> // Now S1 is free to be used again. <swapout src_pte & folio A using S1> // Now src_pte is a swap entry PTE // holding S1 again. folio_trylock(folio) move_swap_pte double_pt_lock is_pte_pages_stable // Check passed because src_pte == S1 folio_move_anon_rmap(...) // Moved invalid folio B here !!! The race window is very short and requires multiple collisions of multiple rare events, so it's very unlikely to happen, but with a deliberately constructed reproducer and increased time window, it can be reproduced easily. This can be fixed by checking if the folio returned by filemap is the valid swap cache folio after acquiring the folio lock. Another similar race is possible: filemap_get_folio may return NULL, but folio (A) could be swapped in and then swapped out again using the same swap entry after the lookup. In such a case, folio (A) may remain in the swap cache, so it must be moved too: CPU1 CPU2 userfaultfd_move move_pages_pte() entry = pte_to_swp_entry(orig_src_pte); // Here it got entry = S1, and S1 is not in swap cache folio = filemap_get ---truncated--- Уязвимость функции userfaultfd_move() модуля mm/userfaultfd.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса («Ситуация гонки»). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix potential deadlock when reconnecting channels Fix cifs_signal_cifsd_for_reconnect() to take the correct lock order and prevent the following deadlock from happening ====================================================== WARNING: possible circular locking dependency detected 6.16.0-rc3-build2+ #1301 Tainted: G S W ------------------------------------------------------ cifsd/6055 is trying to acquire lock: ffff88810ad56038 (&tcp_ses->srv_lock){+.+.}-{3:3}, at: cifs_signal_cifsd_for_reconnect+0x134/0x200 but task is already holding lock: ffff888119c64330 (&ret_buf->chan_lock){+.+.}-{3:3}, at: cifs_signal_cifsd_for_reconnect+0xcf/0x200 which lock already depends on the new lock. the existing dependency chain (in reverse order) is: -> #2 (&ret_buf->chan_lock){+.+.}-{3:3}: validate_chain+0x1cf/0x270 __lock_acquire+0x60e/0x780 lock_acquire.part.0+0xb4/0x1f0 _raw_spin_lock+0x2f/0x40 cifs_setup_session+0x81/0x4b0 cifs_get_smb_ses+0x771/0x900 cifs_mount_get_session+0x7e/0x170 cifs_mount+0x92/0x2d0 cifs_smb3_do_mount+0x161/0x460 smb3_get_tree+0x55/0x90 vfs_get_tree+0x46/0x180 do_new_mount+0x1b0/0x2e0 path_mount+0x6ee/0x740 do_mount+0x98/0xe0 __do_sys_mount+0x148/0x180 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x76/0x7e -> #1 (&ret_buf->ses_lock){+.+.}-{3:3}: validate_chain+0x1cf/0x270 __lock_acquire+0x60e/0x780 lock_acquire.part.0+0xb4/0x1f0 _raw_spin_lock+0x2f/0x40 cifs_match_super+0x101/0x320 sget+0xab/0x270 cifs_smb3_do_mount+0x1e0/0x460 smb3_get_tree+0x55/0x90 vfs_get_tree+0x46/0x180 do_new_mount+0x1b0/0x2e0 path_mount+0x6ee/0x740 do_mount+0x98/0xe0 __do_sys_mount+0x148/0x180 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x76/0x7e -> #0 (&tcp_ses->srv_lock){+.+.}-{3:3}: check_noncircular+0x95/0xc0 check_prev_add+0x115/0x2f0 validate_chain+0x1cf/0x270 __lock_acquire+0x60e/0x780 lock_acquire.part.0+0xb4/0x1f0 _raw_spin_lock+0x2f/0x40 cifs_signal_cifsd_for_reconnect+0x134/0x200 __cifs_reconnect+0x8f/0x500 cifs_handle_standard+0x112/0x280 cifs_demultiplex_thread+0x64d/0xbc0 kthread+0x2f7/0x310 ret_from_fork+0x2a/0x230 ret_from_fork_asm+0x1a/0x30 other info that might help us debug this: Chain exists of: &tcp_ses->srv_lock --> &ret_buf->ses_lock --> &ret_buf->chan_lock Possible unsafe locking scenario: CPU0 CPU1 ---- ---- lock(&ret_buf->chan_lock); lock(&ret_buf->ses_lock); lock(&ret_buf->chan_lock); lock(&tcp_ses->srv_lock); *** DEADLOCK *** 3 locks held by cifsd/6055: #0: ffffffff857de398 (&cifs_tcp_ses_lock){+.+.}-{3:3}, at: cifs_signal_cifsd_for_reconnect+0x7b/0x200 #1: ffff888119c64060 (&ret_buf->ses_lock){+.+.}-{3:3}, at: cifs_signal_cifsd_for_reconnect+0x9c/0x200 #2: ffff888119c64330 (&ret_buf->chan_lock){+.+.}-{3:3}, at: cifs_signal_cifsd_for_reconnect+0xcf/0x200 [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: atm: Release atm_dev_mutex after removing procfs in atm_dev_deregister(). syzbot reported a warning below during atm_dev_register(). [0] Before creating a new device and procfs/sysfs for it, atm_dev_register() looks up a duplicated device by __atm_dev_lookup(). These operations are done under atm_dev_mutex. However, when removing a device in atm_dev_deregister(), it releases the mutex just after removing the device from the list that __atm_dev_lookup() iterates over. So, there will be a small race window where the device does not exist on the device list but procfs/sysfs are still not removed, triggering the splat. Let's hold the mutex until procfs/sysfs are removed in atm_dev_deregister(). [0]: proc_dir_entry 'atm/atmtcp:0' already registered WARNING: CPU: 0 PID: 5919 at fs/proc/generic.c:377 proc_register+0x455/0x5f0 fs/proc/generic.c:377 Modules linked in: CPU: 0 UID: 0 PID: 5919 Comm: syz-executor284 Not tainted 6.16.0-rc2-syzkaller-00047-g52da431bf03b #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 RIP: 0010:proc_register+0x455/0x5f0 fs/proc/generic.c:377 Code: 48 89 f9 48 c1 e9 03 80 3c 01 00 0f 85 a2 01 00 00 48 8b 44 24 10 48 c7 c7 20 c0 c2 8b 48 8b b0 d8 00 00 00 e8 0c 02 1c ff 90 <0f> 0b 90 90 48 c7 c7 80 f2 82 8e e8 0b de 23 09 48 8b 4c 24 28 48 RSP: 0018:ffffc9000466fa30 EFLAGS: 00010282 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffffffff817ae248 RDX: ffff888026280000 RSI: ffffffff817ae255 RDI: 0000000000000001 RBP: ffff8880232bed48 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000001 R12: ffff888076ed2140 R13: dffffc0000000000 R14: ffff888078a61340 R15: ffffed100edda444 FS: 00007f38b3b0c6c0(0000) GS:ffff888124753000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f38b3bdf953 CR3: 0000000076d58000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> proc_create_data+0xbe/0x110 fs/proc/generic.c:585 atm_proc_dev_register+0x112/0x1e0 net/atm/proc.c:361 atm_dev_register+0x46d/0x890 net/atm/resources.c:113 atmtcp_create+0x77/0x210 drivers/atm/atmtcp.c:369 atmtcp_attach drivers/atm/atmtcp.c:403 [inline] atmtcp_ioctl+0x2f9/0xd60 drivers/atm/atmtcp.c:464 do_vcc_ioctl+0x12c/0x930 net/atm/ioctl.c:159 sock_do_ioctl+0x115/0x280 net/socket.c:1190 sock_ioctl+0x227/0x6b0 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __x64_sys_ioctl+0x18b/0x210 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x4c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f38b3b74459 Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 51 18 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b0 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f38b3b0c198 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 00007f38b3bfe318 RCX: 00007f38b3b74459 RDX: 0000000000000000 RSI: 0000000000006180 RDI: 0000000000000005 RBP: 00007f38b3bfe310 R08: 65732f636f72702f R09: 65732f636f72702f R10: 65732f636f72702f R11: 0000000000000246 R12: 00007f38b3bcb0ac R13: 00007f38b3b0c1a0 R14: 0000200000000200 R15: 00007f38b3bcb03b </TASK> Уязвимость функции atm_dev_deregister() (net/atm/resources.c) операционных систем Linux связана с некорректным вычислением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bnxt: properly flush XDP redirect lists We encountered following crash when testing a XDP_REDIRECT feature in production: [56251.579676] list_add corruption. next->prev should be prev (ffff93120dd40f30), but was ffffb301ef3a6740. (next=ffff93120dd 40f30). [56251.601413] ------------[ cut here ]------------ [56251.611357] kernel BUG at lib/list_debug.c:29! [56251.621082] Oops: invalid opcode: 0000 [#1] PREEMPT SMP NOPTI [56251.632073] CPU: 111 UID: 0 PID: 0 Comm: swapper/111 Kdump: loaded Tainted: P O 6.12.33-cloudflare-2025.6. 3 #1 [56251.653155] Tainted: [P]=PROPRIETARY_MODULE, [O]=OOT_MODULE [56251.663877] Hardware name: MiTAC GC68B-B8032-G11P6-GPU/S8032GM-HE-CFR, BIOS V7.020.B10-sig 01/22/2025 [56251.682626] RIP: 0010:__list_add_valid_or_report+0x4b/0xa0 [56251.693203] Code: 0e 48 c7 c7 68 e7 d9 97 e8 42 16 fe ff 0f 0b 48 8b 52 08 48 39 c2 74 14 48 89 f1 48 c7 c7 90 e7 d9 97 48 89 c6 e8 25 16 fe ff <0f> 0b 4c 8b 02 49 39 f0 74 14 48 89 d1 48 c7 c7 e8 e7 d9 97 4c 89 [56251.725811] RSP: 0018:ffff93120dd40b80 EFLAGS: 00010246 [56251.736094] RAX: 0000000000000075 RBX: ffffb301e6bba9d8 RCX: 0000000000000000 [56251.748260] RDX: 0000000000000000 RSI: ffff9149afda0b80 RDI: ffff9149afda0b80 [56251.760349] RBP: ffff9131e49c8000 R08: 0000000000000000 R09: ffff93120dd40a18 [56251.772382] R10: ffff9159cf2ce1a8 R11: 0000000000000003 R12: ffff911a80850000 [56251.784364] R13: ffff93120fbc7000 R14: 0000000000000010 R15: ffff9139e7510e40 [56251.796278] FS: 0000000000000000(0000) GS:ffff9149afd80000(0000) knlGS:0000000000000000 [56251.809133] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [56251.819561] CR2: 00007f5e85e6f300 CR3: 00000038b85e2006 CR4: 0000000000770ef0 [56251.831365] PKRU: 55555554 [56251.838653] Call Trace: [56251.845560] <IRQ> [56251.851943] cpu_map_enqueue.cold+0x5/0xa [56251.860243] xdp_do_redirect+0x2d9/0x480 [56251.868388] bnxt_rx_xdp+0x1d8/0x4c0 [bnxt_en] [56251.877028] bnxt_rx_pkt+0x5f7/0x19b0 [bnxt_en] [56251.885665] ? cpu_max_write+0x1e/0x100 [56251.893510] ? srso_alias_return_thunk+0x5/0xfbef5 [56251.902276] __bnxt_poll_work+0x190/0x340 [bnxt_en] [56251.911058] bnxt_poll+0xab/0x1b0 [bnxt_en] [56251.919041] ? srso_alias_return_thunk+0x5/0xfbef5 [56251.927568] ? srso_alias_return_thunk+0x5/0xfbef5 [56251.935958] ? srso_alias_return_thunk+0x5/0xfbef5 [56251.944250] __napi_poll+0x2b/0x160 [56251.951155] bpf_trampoline_6442548651+0x79/0x123 [56251.959262] __napi_poll+0x5/0x160 [56251.966037] net_rx_action+0x3d2/0x880 [56251.973133] ? srso_alias_return_thunk+0x5/0xfbef5 [56251.981265] ? srso_alias_return_thunk+0x5/0xfbef5 [56251.989262] ? __hrtimer_run_queues+0x162/0x2a0 [56251.996967] ? srso_alias_return_thunk+0x5/0xfbef5 [56252.004875] ? srso_alias_return_thunk+0x5/0xfbef5 [56252.012673] ? bnxt_msix+0x62/0x70 [bnxt_en] [56252.019903] handle_softirqs+0xcf/0x270 [56252.026650] irq_exit_rcu+0x67/0x90 [56252.032933] common_interrupt+0x85/0xa0 [56252.039498] </IRQ> [56252.044246] <TASK> [56252.048935] asm_common_interrupt+0x26/0x40 [56252.055727] RIP: 0010:cpuidle_enter_state+0xb8/0x420 [56252.063305] Code: dc 01 00 00 e8 f9 79 3b ff e8 64 f7 ff ff 49 89 c5 0f 1f 44 00 00 31 ff e8 a5 32 3a ff 45 84 ff 0f 85 ae 01 00 00 fb 45 85 f6 <0f> 88 88 01 00 00 48 8b 04 24 49 63 ce 4c 89 ea 48 6b f1 68 48 29 [56252.088911] RSP: 0018:ffff93120c97fe98 EFLAGS: 00000202 [56252.096912] RAX: ffff9149afd80000 RBX: ffff9141d3a72800 RCX: 0000000000000000 [56252.106844] RDX: 00003329176c6b98 RSI: ffffffe36db3fdc7 RDI: 0000000000000000 [56252.116733] RBP: 0000000000000002 R08: 0000000000000002 R09: 000000000000004e [56252.126652] R10: ffff9149afdb30c4 R11: 071c71c71c71c71c R12: ffffffff985ff860 [56252.136637] R13: 00003329176c6b98 R14: 0000000000000002 R15: 0000000000000000 [56252.146667] ? cpuidle_enter_state+0xab/0x420 [56252.153909] cpuidle_enter+0x2d/0x40 [56252.160360] do_idle+0x176/0x1c0 [56252.166456 ---truncated--- [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix out-of-bounds read in snd_usb_get_audioformat_uac3() In snd_usb_get_audioformat_uac3(), the length value returned from snd_usb_ctl_msg() is used directly for memory allocation without validation. This length is controlled by the USB device. The allocated buffer is cast to a uac3_cluster_header_descriptor and its fields are accessed without verifying that the buffer is large enough. If the device returns a smaller than expected length, this leads to an out-of-bounds read. Add a length check to ensure the buffer is large enough for uac3_cluster_header_descriptor. Уязвимость функции snd_usb_get_audioformat_uac3() (sound/usb/stream.c) ядра операционных систем Linux связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_core: Fix use-after-free in vhci_flush() syzbot reported use-after-free in vhci_flush() without repro. [0] From the splat, a thread close()d a vhci file descriptor while its device was being used by iotcl() on another thread. Once the last fd refcnt is released, vhci_release() calls hci_unregister_dev(), hci_free_dev(), and kfree() for struct vhci_data, which is set to hci_dev->dev->driver_data. The problem is that there is no synchronisation after unlinking hdev from hci_dev_list in hci_unregister_dev(). There might be another thread still accessing the hdev which was fetched before the unlink operation. We can use SRCU for such synchronisation. Let's run hci_dev_reset() under SRCU and wait for its completion in hci_unregister_dev(). Another option would be to restore hci_dev->destruct(), which was removed in commit 587ae086f6e4 ("Bluetooth: Remove unused hci-destruct cb"). However, this would not be a good solution, as we should not run hci_unregister_dev() while there are in-flight ioctl() requests, which could lead to another data-race KCSAN splat. Note that other drivers seem to have the same problem, for exmaple, virtbt_remove(). [0]: BUG: KASAN: slab-use-after-free in skb_queue_empty_lockless include/linux/skbuff.h:1891 [inline] BUG: KASAN: slab-use-after-free in skb_queue_purge_reason+0x99/0x360 net/core/skbuff.c:3937 Read of size 8 at addr ffff88807cb8d858 by task syz.1.219/6718 CPU: 1 UID: 0 PID: 6718 Comm: syz.1.219 Not tainted 6.16.0-rc1-syzkaller-00196-g08207f42d3ff #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xd2/0x2b0 mm/kasan/report.c:521 kasan_report+0x118/0x150 mm/kasan/report.c:634 skb_queue_empty_lockless include/linux/skbuff.h:1891 [inline] skb_queue_purge_reason+0x99/0x360 net/core/skbuff.c:3937 skb_queue_purge include/linux/skbuff.h:3368 [inline] vhci_flush+0x44/0x50 drivers/bluetooth/hci_vhci.c:69 hci_dev_do_reset net/bluetooth/hci_core.c:552 [inline] hci_dev_reset+0x420/0x5c0 net/bluetooth/hci_core.c:592 sock_do_ioctl+0xd9/0x300 net/socket.c:1190 sock_ioctl+0x576/0x790 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl+0xf9/0x170 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fcf5b98e929 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007fcf5c7b9038 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 00007fcf5bbb6160 RCX: 00007fcf5b98e929 RDX: 0000000000000000 RSI: 00000000400448cb RDI: 0000000000000009 RBP: 00007fcf5ba10b39 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 00007fcf5bbb6160 R15: 00007ffd6353d528 </TASK> Allocated by task 6535: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0x93/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __kmalloc_cache_noprof+0x230/0x3d0 mm/slub.c:4359 kmalloc_noprof include/linux/slab.h:905 [inline] kzalloc_noprof include/linux/slab.h:1039 [inline] vhci_open+0x57/0x360 drivers/bluetooth/hci_vhci.c:635 misc_open+0x2bc/0x330 drivers/char/misc.c:161 chrdev_open+0x4c9/0x5e0 fs/char_dev.c:414 do_dentry_open+0xdf0/0x1970 fs/open.c:964 vfs_open+0x3b/0x340 fs/open.c:1094 do_open fs/namei.c:3887 [inline] path_openat+0x2ee5/0x3830 fs/name ---truncated--- [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: atm: clip: prevent NULL deref in clip_push() Blamed commit missed that vcc_destroy_socket() calls clip_push() with a NULL skb. If clip_devs is NULL, clip_push() then crashes when reading skb->truesize. Уязвимость компонента tls_sw.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: wacom: fix crash in wacom_aes_battery_handler() Commit fd2a9b29dc9c ("HID: wacom: Remove AES power_supply after extended inactivity") introduced wacom_aes_battery_handler() which is scheduled as a delayed work (aes_battery_work). In wacom_remove(), aes_battery_work is not canceled. Consequently, if the device is removed while aes_battery_work is still pending, then hard crashes or "Oops: general protection fault..." are experienced when wacom_aes_battery_handler() is finally called. E.g., this happens with built-in USB devices after resume from hibernate when aes_battery_work was still pending at the time of hibernation. So, take care to cancel aes_battery_work in wacom_remove(). Уязвимость компонента wacom_sys.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: lib/group_cpus: fix NULL pointer dereference from group_cpus_evenly() While testing null_blk with configfs, echo 0 > poll_queues will trigger following panic: BUG: kernel NULL pointer dereference, address: 0000000000000010 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 27 UID: 0 PID: 920 Comm: bash Not tainted 6.15.0-02023-gadbdb95c8696-dirty #1238 PREEMPT(undef) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.1-2.fc37 04/01/2014 RIP: 0010:__bitmap_or+0x48/0x70 Call Trace: <TASK> __group_cpus_evenly+0x822/0x8c0 group_cpus_evenly+0x2d9/0x490 blk_mq_map_queues+0x1e/0x110 null_map_queues+0xc9/0x170 [null_blk] blk_mq_update_queue_map+0xdb/0x160 blk_mq_update_nr_hw_queues+0x22b/0x560 nullb_update_nr_hw_queues+0x71/0xf0 [null_blk] nullb_device_poll_queues_store+0xa4/0x130 [null_blk] configfs_write_iter+0x109/0x1d0 vfs_write+0x26e/0x6f0 ksys_write+0x79/0x180 __x64_sys_write+0x1d/0x30 x64_sys_call+0x45c4/0x45f0 do_syscall_64+0xa5/0x240 entry_SYSCALL_64_after_hwframe+0x76/0x7e Root cause is that numgrps is set to 0, and ZERO_SIZE_PTR is returned from kcalloc(), and later ZERO_SIZE_PTR will be deferenced. Fix the problem by checking numgrps first in group_cpus_evenly(), and return NULL directly if numgrps is zero. [yukuai3@huawei.com: also fix the non-SMP version] Уязвимость компонента group_cpus.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/rsrc: fix folio unpinning syzbot complains about an unmapping failure: [ 108.070381][ T14] kernel BUG at mm/gup.c:71! [ 108.070502][ T14] Internal error: Oops - BUG: 00000000f2000800 [#1] SMP [ 108.123672][ T14] Hardware name: QEMU KVM Virtual Machine, BIOS edk2-20250221-8.fc42 02/21/2025 [ 108.127458][ T14] Workqueue: iou_exit io_ring_exit_work [ 108.174205][ T14] Call trace: [ 108.175649][ T14] sanity_check_pinned_pages+0x7cc/0x7d0 (P) [ 108.178138][ T14] unpin_user_page+0x80/0x10c [ 108.180189][ T14] io_release_ubuf+0x84/0xf8 [ 108.182196][ T14] io_free_rsrc_node+0x250/0x57c [ 108.184345][ T14] io_rsrc_data_free+0x148/0x298 [ 108.186493][ T14] io_sqe_buffers_unregister+0x84/0xa0 [ 108.188991][ T14] io_ring_ctx_free+0x48/0x480 [ 108.191057][ T14] io_ring_exit_work+0x764/0x7d8 [ 108.193207][ T14] process_one_work+0x7e8/0x155c [ 108.195431][ T14] worker_thread+0x958/0xed8 [ 108.197561][ T14] kthread+0x5fc/0x75c [ 108.199362][ T14] ret_from_fork+0x10/0x20 We can pin a tail page of a folio, but then io_uring will try to unpin the head page of the folio. While it should be fine in terms of keeping the page actually alive, mm folks say it's wrong and triggers a debug warning. Use unpin_user_folio() instead of unpin_user_page*. [axboe: adapt to current tree, massage commit message] Уязвимость компонента rsrc.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: s390/pkey: Prevent overflow in size calculation for memdup_user() Number of apqn target list entries contained in 'nr_apqns' variable is determined by userspace via an ioctl call so the result of the product in calculation of size passed to memdup_user() may overflow. In this case the actual size of the allocated area and the value describing it won't be in sync leading to various types of unpredictable behaviour later. Use a proper memdup_array_user() helper which returns an error if an overflow is detected. Note that it is different from when nr_apqns is initially zero - that case is considered valid and should be handled in subsequent pkey_handler implementations. Found by Linux Verification Center (linuxtesting.org). Уязвимость компонента pkey_api.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/damon/sysfs-schemes: free old damon_sysfs_scheme_filter->memcg_path on write memcg_path_store() assigns a newly allocated memory buffer to filter->memcg_path, without deallocating the previously allocated and assigned memory buffer. As a result, users can leak kernel memory by continuously writing a data to memcg_path DAMOS sysfs file. Fix the leak by deallocating the previously set memory buffer. Уязвимость компонента sysfs-schemes.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: codecs: wcd9335: Fix missing free of regulator supplies Driver gets and enables all regulator supplies in probe path (wcd9335_parse_dt() and wcd9335_power_on_reset()), but does not cleanup in final error paths and in unbind (missing remove() callback). This leads to leaked memory and unbalanced regulator enable count during probe errors or unbind. Fix this by converting entire code into devm_regulator_bulk_get_enable() which also greatly simplifies the code. Уязвимость компонента wcd9335.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: handle csum tree error with rescue=ibadroots correctly [BUG] There is syzbot based reproducer that can crash the kernel, with the following call trace: (With some debug output added) DEBUG: rescue=ibadroots parsed BTRFS: device fsid 14d642db-7b15-43e4-81e6-4b8fac6a25f8 devid 1 transid 8 /dev/loop0 (7:0) scanned by repro (1010) BTRFS info (device loop0): first mount of filesystem 14d642db-7b15-43e4-81e6-4b8fac6a25f8 BTRFS info (device loop0): using blake2b (blake2b-256-generic) checksum algorithm BTRFS info (device loop0): using free-space-tree BTRFS warning (device loop0): checksum verify failed on logical 5312512 mirror 1 wanted 0xb043382657aede36608fd3386d6b001692ff406164733d94e2d9a180412c6003 found 0x810ceb2bacb7f0f9eb2bf3b2b15c02af867cb35ad450898169f3b1f0bd818651 level 0 DEBUG: read tree root path failed for tree csum, ret=-5 BTRFS warning (device loop0): checksum verify failed on logical 5328896 mirror 1 wanted 0x51be4e8b303da58e6340226815b70e3a93592dac3f30dd510c7517454de8567a found 0x51be4e8b303da58e634022a315b70e3a93592dac3f30dd510c7517454de8567a level 0 BTRFS warning (device loop0): checksum verify failed on logical 5292032 mirror 1 wanted 0x1924ccd683be9efc2fa98582ef58760e3848e9043db8649ee382681e220cdee4 found 0x0cb6184f6e8799d9f8cb335dccd1d1832da1071d12290dab3b85b587ecacca6e level 0 process 'repro' launched './file2' with NULL argv: empty string added DEBUG: no csum root, idatacsums=0 ibadroots=134217728 Oops: general protection fault, probably for non-canonical address 0xdffffc0000000041: 0000 [#1] SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000208-0x000000000000020f] CPU: 5 UID: 0 PID: 1010 Comm: repro Tainted: G OE 6.15.0-custom+ #249 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS unknown 02/02/2022 RIP: 0010:btrfs_lookup_csum+0x93/0x3d0 [btrfs] Call Trace: <TASK> btrfs_lookup_bio_sums+0x47a/0xdf0 [btrfs] btrfs_submit_bbio+0x43e/0x1a80 [btrfs] submit_one_bio+0xde/0x160 [btrfs] btrfs_readahead+0x498/0x6a0 [btrfs] read_pages+0x1c3/0xb20 page_cache_ra_order+0x4b5/0xc20 filemap_get_pages+0x2d3/0x19e0 filemap_read+0x314/0xde0 __kernel_read+0x35b/0x900 bprm_execve+0x62e/0x1140 do_execveat_common.isra.0+0x3fc/0x520 __x64_sys_execveat+0xdc/0x130 do_syscall_64+0x54/0x1d0 entry_SYSCALL_64_after_hwframe+0x76/0x7e ---[ end trace 0000000000000000 ]--- [CAUSE] Firstly the fs has a corrupted csum tree root, thus to mount the fs we have to go "ro,rescue=ibadroots" mount option. Normally with that mount option, a bad csum tree root should set BTRFS_FS_STATE_NO_DATA_CSUMS flag, so that any future data read will ignore csum search. But in this particular case, we have the following call trace that caused NULL csum root, but not setting BTRFS_FS_STATE_NO_DATA_CSUMS: load_global_roots_objectid(): ret = btrfs_search_slot(); /* Succeeded */ btrfs_item_key_to_cpu() found = true; /* We found the root item for csum tree. */ root = read_tree_root_path(); if (IS_ERR(root)) { if (!btrfs_test_opt(fs_info, IGNOREBADROOTS)) /* * Since we have rescue=ibadroots mount option, * @ret is still 0. */ break; if (!found || ret) { /* @found is true, @ret is 0, error handling for csum * tree is skipped. */ } This means we completely skipped to set BTRFS_FS_STATE_NO_DATA_CSUMS if the csum tree is corrupted, which results unexpected later csum lookup. [FIX] If read_tree_root_path() failed, always populate @ret to the error number. As at the end of the function, we need @ret to determine if we need to do the extra error handling for csum tree. Уязвимость компонента disk-io.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tty: serial: uartlite: register uart driver in init When two instances of uart devices are probing, a concurrency race can occur. If one thread calls uart_register_driver function, which first allocates and assigns memory to 'uart_state' member of uart_driver structure, the other instance can bypass uart driver registration and call ulite_assign. This calls uart_add_one_port, which expects the uart driver to be fully initialized. This leads to a kernel panic due to a null pointer dereference: [ 8.143581] BUG: kernel NULL pointer dereference, address: 00000000000002b8 [ 8.156982] #PF: supervisor write access in kernel mode [ 8.156984] #PF: error_code(0x0002) - not-present page [ 8.156986] PGD 0 P4D 0 ... [ 8.180668] RIP: 0010:mutex_lock+0x19/0x30 [ 8.188624] Call Trace: [ 8.188629] ? __die_body.cold+0x1a/0x1f [ 8.195260] ? page_fault_oops+0x15c/0x290 [ 8.209183] ? __irq_resolve_mapping+0x47/0x80 [ 8.209187] ? exc_page_fault+0x64/0x140 [ 8.209190] ? asm_exc_page_fault+0x22/0x30 [ 8.209196] ? mutex_lock+0x19/0x30 [ 8.223116] uart_add_one_port+0x60/0x440 [ 8.223122] ? proc_tty_register_driver+0x43/0x50 [ 8.223126] ? tty_register_driver+0x1ca/0x1e0 [ 8.246250] ulite_probe+0x357/0x4b0 [uartlite] To prevent it, move uart driver registration in to init function. This will ensure that uart_driver is always registered when probe function is called. Уязвимость компонента uartlite.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bcache: fix NULL pointer in cache_set_flush() 1. LINE#1794 - LINE#1887 is some codes about function of bch_cache_set_alloc(). 2. LINE#2078 - LINE#2142 is some codes about function of register_cache_set(). 3. register_cache_set() will call bch_cache_set_alloc() in LINE#2098. 1794 struct cache_set *bch_cache_set_alloc(struct cache_sb *sb) 1795 { ... 1860 if (!(c->devices = kcalloc(c->nr_uuids, sizeof(void *), GFP_KERNEL)) || 1861 mempool_init_slab_pool(&c->search, 32, bch_search_cache) || 1862 mempool_init_kmalloc_pool(&c->bio_meta, 2, 1863 sizeof(struct bbio) + sizeof(struct bio_vec) * 1864 bucket_pages(c)) || 1865 mempool_init_kmalloc_pool(&c->fill_iter, 1, iter_size) || 1866 bioset_init(&c->bio_split, 4, offsetof(struct bbio, bio), 1867 BIOSET_NEED_BVECS|BIOSET_NEED_RESCUER) || 1868 !(c->uuids = alloc_bucket_pages(GFP_KERNEL, c)) || 1869 !(c->moving_gc_wq = alloc_workqueue("bcache_gc", 1870 WQ_MEM_RECLAIM, 0)) || 1871 bch_journal_alloc(c) || 1872 bch_btree_cache_alloc(c) || 1873 bch_open_buckets_alloc(c) || 1874 bch_bset_sort_state_init(&c->sort, ilog2(c->btree_pages))) 1875 goto err; ^^^^^^^^ 1876 ... 1883 return c; 1884 err: 1885 bch_cache_set_unregister(c); ^^^^^^^^^^^^^^^^^^^^^^^^^^^ 1886 return NULL; 1887 } ... 2078 static const char *register_cache_set(struct cache *ca) 2079 { ... 2098 c = bch_cache_set_alloc(&ca->sb); 2099 if (!c) 2100 return err; ^^^^^^^^^^ ... 2128 ca->set = c; 2129 ca->set->cache[ca->sb.nr_this_dev] = ca; ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ ... 2138 return NULL; 2139 err: 2140 bch_cache_set_unregister(c); 2141 return err; 2142 } (1) If LINE#1860 - LINE#1874 is true, then do 'goto err'(LINE#1875) and call bch_cache_set_unregister()(LINE#1885). (2) As (1) return NULL(LINE#1886), LINE#2098 - LINE#2100 would return. (3) As (2) has returned, LINE#2128 - LINE#2129 would do *not* give the value to c->cache[], it means that c->cache[] is NULL. LINE#1624 - LINE#1665 is some codes about function of cache_set_flush(). As (1), in LINE#1885 call bch_cache_set_unregister() ---> bch_cache_set_stop() ---> closure_queue() -.-> cache_set_flush() (as below LINE#1624) 1624 static void cache_set_flush(struct closure *cl) 1625 { ... 1654 for_each_cache(ca, c, i) 1655 if (ca->alloc_thread) ^^ 1656 kthread_stop(ca->alloc_thread); ... 1665 } (4) In LINE#1655 ca is NULL(see (3)) in cache_set_flush() then the kernel crash occurred as below: [ 846.712887] bcache: register_cache() error drbd6: cannot allocate memory [ 846.713242] bcache: register_bcache() error : failed to register device [ 846.713336] bcache: cache_set_free() Cache set 2f84bdc1-498a-4f2f-98a7-01946bf54287 unregistered [ 846.713768] BUG: unable to handle kernel NULL pointer dereference at 00000000000009f8 [ 846.714790] PGD 0 P4D 0 [ 846.715129] Oops: 0000 [#1] SMP PTI [ 846.715472] CPU: 19 PID: 5057 Comm: kworker/19:16 Kdump: loaded Tainted: G OE --------- - - 4.18.0-147.5.1.el8_1.5es.3.x86_64 #1 [ 846.716082] Hardware name: ESPAN GI-25212/X11DPL-i, BIOS 2.1 06/15/2018 [ 846.716451] Workqueue: events cache_set_flush [bcache] [ 846.716808] RIP: 0010:cache_set_flush+0xc9/0x1b0 [bcache] [ 846.717155] Code: 00 4c 89 a5 b0 03 00 00 48 8b 85 68 f6 ff ff a8 08 0f 84 88 00 00 00 31 db 66 83 bd 3c f7 ff ff 00 48 8b 85 48 ff ff ff 74 28 <48> 8b b8 f8 09 00 0 ---truncated--- Уязвимость компонента super.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvme-tcp: sanitize request list handling Validate the request in nvme_tcp_handle_r2t() to ensure it's not part of any list, otherwise a malicious R2T PDU might inject a loop in request list processing. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: dsa: b53: do not enable EEE on bcm63xx BCM63xx internal switches do not support EEE, but provide multiple RGMII ports where external PHYs may be connected. If one of these PHYs are EEE capable, we may try to enable EEE for the MACs, which then hangs the system on access of the (non-existent) EEE registers. Fix this by checking if the switch actually supports EEE before attempting to configure it. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Do not include stack ptr register in precision backtracking bookkeeping Yi Lai reported an issue ([1]) where the following warning appears in kernel dmesg: [ 60.643604] verifier backtracking bug [ 60.643635] WARNING: CPU: 10 PID: 2315 at kernel/bpf/verifier.c:4302 __mark_chain_precision+0x3a6c/0x3e10 [ 60.648428] Modules linked in: bpf_testmod(OE) [ 60.650471] CPU: 10 UID: 0 PID: 2315 Comm: test_progs Tainted: G OE 6.15.0-rc4-gef11287f8289-dirty #327 PREEMPT(full) [ 60.654385] Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE [ 60.656682] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.14.0-0-g155821a1990b-prebuilt.qemu.org 04/01/2014 [ 60.660475] RIP: 0010:__mark_chain_precision+0x3a6c/0x3e10 [ 60.662814] Code: 5a 30 84 89 ea e8 c4 d9 01 00 80 3d 3e 7d d8 04 00 0f 85 60 fa ff ff c6 05 31 7d d8 04 01 48 c7 c7 00 58 30 84 e8 c4 06 a5 ff <0f> 0b e9 46 fa ff ff 48 ... [ 60.668720] RSP: 0018:ffff888116cc7298 EFLAGS: 00010246 [ 60.671075] RAX: 54d70e82dfd31900 RBX: ffff888115b65e20 RCX: 0000000000000000 [ 60.673659] RDX: 0000000000000001 RSI: 0000000000000004 RDI: 00000000ffffffff [ 60.676241] RBP: 0000000000000400 R08: ffff8881f6f23bd3 R09: 1ffff1103ede477a [ 60.678787] R10: dffffc0000000000 R11: ffffed103ede477b R12: ffff888115b60ae8 [ 60.681420] R13: 1ffff11022b6cbc4 R14: 00000000fffffff2 R15: 0000000000000001 [ 60.684030] FS: 00007fc2aedd80c0(0000) GS:ffff88826fa8a000(0000) knlGS:0000000000000000 [ 60.686837] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 60.689027] CR2: 000056325369e000 CR3: 000000011088b002 CR4: 0000000000370ef0 [ 60.691623] Call Trace: [ 60.692821] <TASK> [ 60.693960] ? __pfx_verbose+0x10/0x10 [ 60.695656] ? __pfx_disasm_kfunc_name+0x10/0x10 [ 60.697495] check_cond_jmp_op+0x16f7/0x39b0 [ 60.699237] do_check+0x58fa/0xab10 ... Further analysis shows the warning is at line 4302 as below: 4294 /* static subprog call instruction, which 4295 * means that we are exiting current subprog, 4296 * so only r1-r5 could be still requested as 4297 * precise, r0 and r6-r10 or any stack slot in 4298 * the current frame should be zero by now 4299 */ 4300 if (bt_reg_mask(bt) & ~BPF_REGMASK_ARGS) { 4301 verbose(env, "BUG regs %x\n", bt_reg_mask(bt)); 4302 WARN_ONCE(1, "verifier backtracking bug"); 4303 return -EFAULT; 4304 } With the below test (also in the next patch): __used __naked static void __bpf_jmp_r10(void) { asm volatile ( "r2 = 2314885393468386424 ll;" "goto +0;" "if r2 <= r10 goto +3;" "if r1 >= -1835016 goto +0;" "if r2 <= 8 goto +0;" "if r3 <= 0 goto +0;" "exit;" ::: __clobber_all); } SEC("?raw_tp") __naked void bpf_jmp_r10(void) { asm volatile ( "r3 = 0 ll;" "call __bpf_jmp_r10;" "r0 = 0;" "exit;" ::: __clobber_all); } The following is the verifier failure log: 0: (18) r3 = 0x0 ; R3_w=0 2: (85) call pc+2 caller: R10=fp0 callee: frame1: R1=ctx() R3_w=0 R10=fp0 5: frame1: R1=ctx() R3_w=0 R10=fp0 ; asm volatile (" \ @ verifier_precision.c:184 5: (18) r2 = 0x20202000256c6c78 ; frame1: R2_w=0x20202000256c6c78 7: (05) goto pc+0 8: (bd) if r2 <= r10 goto pc+3 ; frame1: R2_w=0x20202000256c6c78 R10=fp0 9: (35) if r1 >= 0xffe3fff8 goto pc+0 ; frame1: R1=ctx() 10: (b5) if r2 <= 0x8 goto pc+0 mark_precise: frame1: last_idx 10 first_idx 0 subseq_idx -1 mark_precise: frame1: regs=r2 stack= before 9: (35) if r1 >= 0xffe3fff8 goto pc+0 mark_precise: frame1: regs=r2 stack= before 8: (bd) if r2 <= r10 goto pc+3 mark_preci ---truncated--- Уязвимость функций backtrack_insn() и check_cond_jmp_op() файла kernel/bpf/verifier.c ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Avoid potential ndlp use-after-free in dev_loss_tmo_callbk Smatch detected a potential use-after-free of an ndlp oject in dev_loss_tmo_callbk during driver unload or fatal error handling. Fix by reordering code to avoid potential use-after-free if initial nodelist reference has been previously removed. Уязвимость функции dev_loss_tmo_callbk() модуля drivers/scsi/lpfc/lpfc_hbadisc.c ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/fhandle.c: fix a race in call of has_locked_children() may_decode_fh() is calling has_locked_children() while holding no locks. That's an oopsable race... The rest of the callers are safe since they are holding namespace_sem and are guaranteed a positive refcount on the mount in question. Rename the current has_locked_children() to __has_locked_children(), make it static and switch the fs/namespace.c users to it. Make has_locked_children() a wrapper for __has_locked_children(), calling the latter under read_seqlock_excl(&mount_lock). Уязвимость функции has_locked_children ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arm64/ptrace: Fix stack-out-of-bounds read in regs_get_kernel_stack_nth() KASAN reports a stack-out-of-bounds read in regs_get_kernel_stack_nth(). Call Trace: [ 97.283505] BUG: KASAN: stack-out-of-bounds in regs_get_kernel_stack_nth+0xa8/0xc8 [ 97.284677] Read of size 8 at addr ffff800089277c10 by task 1.sh/2550 [ 97.285732] [ 97.286067] CPU: 7 PID: 2550 Comm: 1.sh Not tainted 6.6.0+ #11 [ 97.287032] Hardware name: linux,dummy-virt (DT) [ 97.287815] Call trace: [ 97.288279] dump_backtrace+0xa0/0x128 [ 97.288946] show_stack+0x20/0x38 [ 97.289551] dump_stack_lvl+0x78/0xc8 [ 97.290203] print_address_description.constprop.0+0x84/0x3c8 [ 97.291159] print_report+0xb0/0x280 [ 97.291792] kasan_report+0x84/0xd0 [ 97.292421] __asan_load8+0x9c/0xc0 [ 97.293042] regs_get_kernel_stack_nth+0xa8/0xc8 [ 97.293835] process_fetch_insn+0x770/0xa30 [ 97.294562] kprobe_trace_func+0x254/0x3b0 [ 97.295271] kprobe_dispatcher+0x98/0xe0 [ 97.295955] kprobe_breakpoint_handler+0x1b0/0x210 [ 97.296774] call_break_hook+0xc4/0x100 [ 97.297451] brk_handler+0x24/0x78 [ 97.298073] do_debug_exception+0xac/0x178 [ 97.298785] el1_dbg+0x70/0x90 [ 97.299344] el1h_64_sync_handler+0xcc/0xe8 [ 97.300066] el1h_64_sync+0x78/0x80 [ 97.300699] kernel_clone+0x0/0x500 [ 97.301331] __arm64_sys_clone+0x70/0x90 [ 97.302084] invoke_syscall+0x68/0x198 [ 97.302746] el0_svc_common.constprop.0+0x11c/0x150 [ 97.303569] do_el0_svc+0x38/0x50 [ 97.304164] el0_svc+0x44/0x1d8 [ 97.304749] el0t_64_sync_handler+0x100/0x130 [ 97.305500] el0t_64_sync+0x188/0x190 [ 97.306151] [ 97.306475] The buggy address belongs to stack of task 1.sh/2550 [ 97.307461] and is located at offset 0 in frame: [ 97.308257] __se_sys_clone+0x0/0x138 [ 97.308910] [ 97.309241] This frame has 1 object: [ 97.309873] [48, 184) 'args' [ 97.309876] [ 97.310749] The buggy address belongs to the virtual mapping at [ 97.310749] [ffff800089270000, ffff800089279000) created by: [ 97.310749] dup_task_struct+0xc0/0x2e8 [ 97.313347] [ 97.313674] The buggy address belongs to the physical page: [ 97.314604] page: refcount:1 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x14f69a [ 97.315885] flags: 0x15ffffe00000000(node=1|zone=2|lastcpupid=0xfffff) [ 97.316957] raw: 015ffffe00000000 0000000000000000 dead000000000122 0000000000000000 [ 97.318207] raw: 0000000000000000 0000000000000000 00000001ffffffff 0000000000000000 [ 97.319445] page dumped because: kasan: bad access detected [ 97.320371] [ 97.320694] Memory state around the buggy address: [ 97.321511] ffff800089277b00: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 [ 97.322681] ffff800089277b80: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 [ 97.323846] >ffff800089277c00: 00 00 f1 f1 f1 f1 f1 f1 00 00 00 00 00 00 00 00 [ 97.325023] ^ [ 97.325683] ffff800089277c80: 00 00 00 00 00 00 00 00 00 f3 f3 f3 f3 f3 f3 f3 [ 97.326856] ffff800089277d00: f3 f3 00 00 00 00 00 00 00 00 00 00 00 00 00 00 This issue seems to be related to the behavior of some gcc compilers and was also fixed on the s390 architecture before: commit d93a855c31b7 ("s390/ptrace: Avoid KASAN false positives in regs_get_kernel_stack_nth()") As described in that commit, regs_get_kernel_stack_nth() has confirmed that `addr` is on the stack, so reading the value at `*addr` should be allowed. Use READ_ONCE_NOCHECK() helper to silence the KASAN check for this case. [will: Use '*addr' as the argument to READ_ONCE_NOCHECK()] Уязвимость функции regs_get_kernel_stack_nth() ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: Log an error when close_all_cached_dirs fails Under low-memory conditions, close_all_cached_dirs() can't move the dentries to a separate list to dput() them once the locks are dropped. This will result in a "Dentry still in use" error, so add an error message that makes it clear this is what happened: [ 495.281119] CIFS: VFS: \\otters.example.com\share Out of memory while dropping dentries [ 495.281595] ------------[ cut here ]------------ [ 495.281887] BUG: Dentry ffff888115531138{i=78,n=/} still in use (2) [unmount of cifs cifs] [ 495.282391] WARNING: CPU: 1 PID: 2329 at fs/dcache.c:1536 umount_check+0xc8/0xf0 Also, bail out of looping through all tcons as soon as a single allocation fails, since we're already in trouble, and kmalloc() attempts for subseqeuent tcons are likely to fail just like the first one did. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf/x86/intel: Fix crash in icl_update_topdown_event() The perf_fuzzer found a hard-lockup crash on a RaptorLake machine: Oops: general protection fault, maybe for address 0xffff89aeceab400: 0000 CPU: 23 UID: 0 PID: 0 Comm: swapper/23 Tainted: [W]=WARN Hardware name: Dell Inc. Precision 9660/0VJ762 RIP: 0010:native_read_pmc+0x7/0x40 Code: cc e8 8d a9 01 00 48 89 03 5b cd cc cc cc cc 0f 1f ... RSP: 000:fffb03100273de8 EFLAGS: 00010046 .... Call Trace: <TASK> icl_update_topdown_event+0x165/0x190 ? ktime_get+0x38/0xd0 intel_pmu_read_event+0xf9/0x210 __perf_event_read+0xf9/0x210 CPUs 16-23 are E-core CPUs that don't support the perf metrics feature. The icl_update_topdown_event() should not be invoked on these CPUs. It's a regression of commit: f9bdf1f95339 ("perf/x86/intel: Avoid disable PMU if !cpuc->enabled in sample read") The bug introduced by that commit is that the is_topdown_event() function is mistakenly used to replace the is_topdown_count() call to check if the topdown functions for the perf metrics feature should be invoked. Fix it. Уязвимость функции icl_update_topdown_event() ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: atm: add lec_mutex syzbot found its way in net/atm/lec.c, and found an error path in lecd_attach() could leave a dangling pointer in dev_lec[]. Add a mutex to protect dev_lecp[] uses from lecd_attach(), lec_vcc_attach() and lec_mcast_attach(). Following patch will use this mutex for /proc/net/atm/lec. BUG: KASAN: slab-use-after-free in lecd_attach net/atm/lec.c:751 [inline] BUG: KASAN: slab-use-after-free in lane_ioctl+0x2224/0x23e0 net/atm/lec.c:1008 Read of size 8 at addr ffff88807c7b8e68 by task syz.1.17/6142 CPU: 1 UID: 0 PID: 6142 Comm: syz.1.17 Not tainted 6.16.0-rc1-syzkaller-00239-g08215f5486ec #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xcd/0x680 mm/kasan/report.c:521 kasan_report+0xe0/0x110 mm/kasan/report.c:634 lecd_attach net/atm/lec.c:751 [inline] lane_ioctl+0x2224/0x23e0 net/atm/lec.c:1008 do_vcc_ioctl+0x12c/0x930 net/atm/ioctl.c:159 sock_do_ioctl+0x118/0x280 net/socket.c:1190 sock_ioctl+0x227/0x6b0 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x4c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> Allocated by task 6132: kasan_save_stack+0x33/0x60 mm/kasan/common.c:47 kasan_save_track+0x14/0x30 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0xaa/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4328 [inline] __kvmalloc_node_noprof+0x27b/0x620 mm/slub.c:5015 alloc_netdev_mqs+0xd2/0x1570 net/core/dev.c:11711 lecd_attach net/atm/lec.c:737 [inline] lane_ioctl+0x17db/0x23e0 net/atm/lec.c:1008 do_vcc_ioctl+0x12c/0x930 net/atm/ioctl.c:159 sock_do_ioctl+0x118/0x280 net/socket.c:1190 sock_ioctl+0x227/0x6b0 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x4c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 6132: kasan_save_stack+0x33/0x60 mm/kasan/common.c:47 kasan_save_track+0x14/0x30 mm/kasan/common.c:68 kasan_save_free_info+0x3b/0x60 mm/kasan/generic.c:576 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x51/0x70 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2381 [inline] slab_free mm/slub.c:4643 [inline] kfree+0x2b4/0x4d0 mm/slub.c:4842 free_netdev+0x6c5/0x910 net/core/dev.c:11892 lecd_attach net/atm/lec.c:744 [inline] lane_ioctl+0x1ce8/0x23e0 net/atm/lec.c:1008 do_vcc_ioctl+0x12c/0x930 net/atm/ioctl.c:159 sock_do_ioctl+0x118/0x280 net/socket.c:1190 sock_ioctl+0x227/0x6b0 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:893 Уязвимость компонента lec.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mpls: Use rcu_dereference_rtnl() in mpls_route_input_rcu(). As syzbot reported [0], mpls_route_input_rcu() can be called from mpls_getroute(), where is under RTNL. net->mpls.platform_label is only updated under RTNL. Let's use rcu_dereference_rtnl() in mpls_route_input_rcu() to silence the splat. [0]: WARNING: suspicious RCU usage 6.15.0-rc7-syzkaller-00082-g5cdb2c77c4c3 #0 Not tainted ---------------------------- net/mpls/af_mpls.c:84 suspicious rcu_dereference_check() usage! other info that might help us debug this: rcu_scheduler_active = 2, debug_locks = 1 1 lock held by syz.2.4451/17730: #0: ffffffff9012a3e8 (rtnl_mutex){+.+.}-{4:4}, at: rtnl_lock net/core/rtnetlink.c:80 [inline] #0: ffffffff9012a3e8 (rtnl_mutex){+.+.}-{4:4}, at: rtnetlink_rcv_msg+0x371/0xe90 net/core/rtnetlink.c:6961 stack backtrace: CPU: 1 UID: 0 PID: 17730 Comm: syz.2.4451 Not tainted 6.15.0-rc7-syzkaller-00082-g5cdb2c77c4c3 #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x16c/0x1f0 lib/dump_stack.c:120 lockdep_rcu_suspicious+0x166/0x260 kernel/locking/lockdep.c:6865 mpls_route_input_rcu+0x1d4/0x200 net/mpls/af_mpls.c:84 mpls_getroute+0x621/0x1ea0 net/mpls/af_mpls.c:2381 rtnetlink_rcv_msg+0x3c9/0xe90 net/core/rtnetlink.c:6964 netlink_rcv_skb+0x16d/0x440 net/netlink/af_netlink.c:2534 netlink_unicast_kernel net/netlink/af_netlink.c:1313 [inline] netlink_unicast+0x53a/0x7f0 net/netlink/af_netlink.c:1339 netlink_sendmsg+0x8d1/0xdd0 net/netlink/af_netlink.c:1883 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg net/socket.c:727 [inline] ____sys_sendmsg+0xa98/0xc70 net/socket.c:2566 ___sys_sendmsg+0x134/0x1d0 net/socket.c:2620 __sys_sendmmsg+0x200/0x420 net/socket.c:2709 __do_sys_sendmmsg net/socket.c:2736 [inline] __se_sys_sendmmsg net/socket.c:2733 [inline] __x64_sys_sendmmsg+0x9c/0x100 net/socket.c:2733 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x230 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f0a2818e969 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f0a28f52038 EFLAGS: 00000246 ORIG_RAX: 0000000000000133 RAX: ffffffffffffffda RBX: 00007f0a283b5fa0 RCX: 00007f0a2818e969 RDX: 0000000000000003 RSI: 0000200000000080 RDI: 0000000000000003 RBP: 00007f0a28210ab1 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 00007f0a283b5fa0 R15: 00007ffce5e9f268 </TASK> Уязвимость компонента af_mpls.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: add free_transport ops in ksmbd connection free_transport function for tcp connection can be called from smbdirect. It will cause kernel oops. This patch add free_transport ops in ksmbd connection, and add each free_transports for tcp and smbdirect. Уязвимость функции free_transport ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: aoe: clean device rq_list in aoedev_downdev() An aoe device's rq_list contains accepted block requests that are waiting to be transmitted to the aoe target. This queue was added as part of the conversion to blk_mq. However, the queue was not cleaned out when an aoe device is downed which caused blk_mq_freeze_queue() to sleep indefinitely waiting for those requests to complete, causing a hang. This fix cleans out the queue before calling blk_mq_freeze_queue(). Уязвимость функции aoedev_downdev ядра операционной системы Linux связана с неправильным освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jffs2: check jffs2_prealloc_raw_node_refs() result in few other places Fuzzing hit another invalid pointer dereference due to the lack of checking whether jffs2_prealloc_raw_node_refs() completed successfully. Subsequent logic implies that the node refs have been allocated. Handle that. The code is ready for propagating the error upwards. KASAN: null-ptr-deref in range [0x0000000000000008-0x000000000000000f] CPU: 1 PID: 5835 Comm: syz-executor145 Not tainted 5.10.234-syzkaller #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:jffs2_link_node_ref+0xac/0x690 fs/jffs2/nodelist.c:600 Call Trace: jffs2_mark_erased_block fs/jffs2/erase.c:460 [inline] jffs2_erase_pending_blocks+0x688/0x1860 fs/jffs2/erase.c:118 jffs2_garbage_collect_pass+0x638/0x1a00 fs/jffs2/gc.c:253 jffs2_reserve_space+0x3f4/0xad0 fs/jffs2/nodemgmt.c:167 jffs2_write_inode_range+0x246/0xb50 fs/jffs2/write.c:362 jffs2_write_end+0x712/0x1110 fs/jffs2/file.c:302 generic_perform_write+0x2c2/0x500 mm/filemap.c:3347 __generic_file_write_iter+0x252/0x610 mm/filemap.c:3465 generic_file_write_iter+0xdb/0x230 mm/filemap.c:3497 call_write_iter include/linux/fs.h:2039 [inline] do_iter_readv_writev+0x46d/0x750 fs/read_write.c:740 do_iter_write+0x18c/0x710 fs/read_write.c:866 vfs_writev+0x1db/0x6a0 fs/read_write.c:939 do_pwritev fs/read_write.c:1036 [inline] __do_sys_pwritev fs/read_write.c:1083 [inline] __se_sys_pwritev fs/read_write.c:1078 [inline] __x64_sys_pwritev+0x235/0x310 fs/read_write.c:1078 do_syscall_64+0x30/0x40 arch/x86/entry/common.c:46 entry_SYSCALL_64_after_hwframe+0x67/0xd1 Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость функции jffs2_prealloc_raw_node_refs ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: cortina: Use TOE/TSO on all TCP It is desireable to push the hardware accelerator to also process non-segmented TCP frames: we pass the skb->len to the "TOE/TSO" offloader and it will handle them. Without this quirk the driver becomes unstable and lock up and and crash. I do not know exactly why, but it is probably due to the TOE (TCP offload engine) feature that is coupled with the segmentation feature - it is not possible to turn one part off and not the other, either both TOE and TSO are active, or neither of them. Not having the TOE part active seems detrimental, as if that hardware feature is not really supposed to be turned off. The datasheet says: "Based on packet parsing and TCP connection/NAT table lookup results, the NetEngine puts the packets belonging to the same TCP connection to the same queue for the software to process. The NetEngine puts incoming packets to the buffer or series of buffers for a jumbo packet. With this hardware acceleration, IP/TCP header parsing, checksum validation and connection lookup are offloaded from the software processing." After numerous tests with the hardware locking up after something between minutes and hours depending on load using iperf3 I have concluded this is necessary to stabilize the hardware. Уязвимость компонента net ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Use memcpy() for BIOS version The strlcat() with FORTIFY support is triggering a panic because it thinks the target buffer will overflow although the correct target buffer size is passed in. Anyway, instead of memset() with 0 followed by a strlcat(), just use memcpy() and ensure that the resulting buffer is NULL terminated. BIOSVersion is only used for the lpfc_printf_log() which expects a properly terminated string. Уязвимость функции memcpy ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to bail out in get_new_segment() ------------[ cut here ]------------ WARNING: CPU: 3 PID: 579 at fs/f2fs/segment.c:2832 new_curseg+0x5e8/0x6dc pc : new_curseg+0x5e8/0x6dc Call trace: new_curseg+0x5e8/0x6dc f2fs_allocate_data_block+0xa54/0xe28 do_write_page+0x6c/0x194 f2fs_do_write_node_page+0x38/0x78 __write_node_page+0x248/0x6d4 f2fs_sync_node_pages+0x524/0x72c f2fs_write_checkpoint+0x4bc/0x9b0 __checkpoint_and_complete_reqs+0x80/0x244 issue_checkpoint_thread+0x8c/0xec kthread+0x114/0x1bc ret_from_fork+0x10/0x20 get_new_segment() detects inconsistent status in between free_segmap and free_secmap, let's record such error into super block, and bail out get_new_segment() instead of continue using the segment. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/sgx: Prevent attempts to reclaim poisoned pages TL;DR: SGX page reclaim touches the page to copy its contents to secondary storage. SGX instructions do not gracefully handle machine checks. Despite this, the existing SGX code will try to reclaim pages that it _knows_ are poisoned. Avoid even trying to reclaim poisoned pages. The longer story: Pages used by an enclave only get epc_page->poison set in arch_memory_failure() but they currently stay on sgx_active_page_list until sgx_encl_release(), with the SGX_EPC_PAGE_RECLAIMER_TRACKED flag untouched. epc_page->poison is not checked in the reclaimer logic meaning that, if other conditions are met, an attempt will be made to reclaim an EPC page that was poisoned. This is bad because 1. we don't want that page to end up added to another enclave and 2. it is likely to cause one core to shut down and the kernel to panic. Specifically, reclaiming uses microcode operations including "EWB" which accesses the EPC page contents to encrypt and write them out to non-SGX memory. Those operations cannot handle MCEs in their accesses other than by putting the executing core into a special shutdown state (affecting both threads with HT.) The kernel will subsequently panic on the remaining cores seeing the core didn't enter MCE handler(s) in time. Call sgx_unmark_page_reclaimable() to remove the affected EPC page from sgx_active_page_list on memory error to stop it being considered for reclaiming. Testing epc_page->poison in sgx_reclaim_pages() would also work but I assume it's better to add code in the less likely paths. The affected EPC page is not added to &node->sgx_poison_page_list until later in sgx_encl_release()->sgx_free_epc_page() when it is EREMOVEd. Membership on other lists doesn't change to avoid changing any of the lists' semantics except for sgx_active_page_list. There's a "TBD" comment in arch_memory_failure() about pre-emptive actions, the goal here is not to address everything that it may imply. This also doesn't completely close the time window when a memory error notification will be fatal (for a not previously poisoned EPC page) -- the MCE can happen after sgx_reclaim_pages() has selected its candidates or even *inside* a microcode operation (actually easy to trigger due to the amount of time spent in them.) The spinlock in sgx_unmark_page_reclaimable() is safe because memory_failure() runs in process context and no spinlocks are held, explicitly noted in a mm/memory-failure.c comment. Уязвимость функции arch_memory_failure ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Input: gpio-keys - fix a sleep while atomic with PREEMPT_RT When enabling PREEMPT_RT, the gpio_keys_irq_timer() callback runs in hard irq context, but the input_event() takes a spin_lock, which isn't allowed there as it is converted to a rt_spin_lock(). [ 4054.289999] BUG: sleeping function called from invalid context at kernel/locking/spinlock_rt.c:48 [ 4054.290028] in_atomic(): 1, irqs_disabled(): 1, non_block: 0, pid: 0, name: swapper/0 ... [ 4054.290195] __might_resched+0x13c/0x1f4 [ 4054.290209] rt_spin_lock+0x54/0x11c [ 4054.290219] input_event+0x48/0x80 [ 4054.290230] gpio_keys_irq_timer+0x4c/0x78 [ 4054.290243] __hrtimer_run_queues+0x1a4/0x438 [ 4054.290257] hrtimer_interrupt+0xe4/0x240 [ 4054.290269] arch_timer_handler_phys+0x2c/0x44 [ 4054.290283] handle_percpu_devid_irq+0x8c/0x14c [ 4054.290297] handle_irq_desc+0x40/0x58 [ 4054.290307] generic_handle_domain_irq+0x1c/0x28 [ 4054.290316] gic_handle_irq+0x44/0xcc Considering the gpio_keys_irq_isr() can run in any context, e.g. it can be threaded, it seems there's no point in requesting the timer isr to run in hard irq context. Relax the hrtimer not to use the hard context. Уязвимость функции gpio_keys_irq_timer ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ata: pata_via: Force PIO for ATAPI devices on VT6415/VT6330 The controller has a hardware bug that can hard hang the system when doing ATAPI DMAs without any trace of what happened. Depending on the device attached, it can also prevent the system from booting. In this case, the system hangs when reading the ATIP from optical media with cdrecord -vvv -atip on an _NEC DVD_RW ND-4571A 1-01 and an Optiarc DVD RW AD-7200A 1.06 attached to an ASRock 990FX Extreme 4, running at UDMA/33. The issue can be reproduced by running the same command with a cygwin build of cdrecord on WinXP, although it requires more attempts to cause it. The hang in that case is also resolved by forcing PIO. It doesn't appear that VIA has produced any drivers for that OS, thus no known workaround exists. HDDs attached to the controller do not suffer from any DMA issues. Уязвимость функции pata_via ядра операционной системы Linux связана с неправильным освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jbd2: fix data-race and null-ptr-deref in jbd2_journal_dirty_metadata() Since handle->h_transaction may be a NULL pointer, so we should change it to call is_handle_aborted(handle) first before dereferencing it. And the following data-race was reported in my fuzzer: ================================================================== BUG: KCSAN: data-race in jbd2_journal_dirty_metadata / jbd2_journal_dirty_metadata write to 0xffff888011024104 of 4 bytes by task 10881 on cpu 1: jbd2_journal_dirty_metadata+0x2a5/0x770 fs/jbd2/transaction.c:1556 __ext4_handle_dirty_metadata+0xe7/0x4b0 fs/ext4/ext4_jbd2.c:358 ext4_do_update_inode fs/ext4/inode.c:5220 [inline] ext4_mark_iloc_dirty+0x32c/0xd50 fs/ext4/inode.c:5869 __ext4_mark_inode_dirty+0xe1/0x450 fs/ext4/inode.c:6074 ext4_dirty_inode+0x98/0xc0 fs/ext4/inode.c:6103 .... read to 0xffff888011024104 of 4 bytes by task 10880 on cpu 0: jbd2_journal_dirty_metadata+0xf2/0x770 fs/jbd2/transaction.c:1512 __ext4_handle_dirty_metadata+0xe7/0x4b0 fs/ext4/ext4_jbd2.c:358 ext4_do_update_inode fs/ext4/inode.c:5220 [inline] ext4_mark_iloc_dirty+0x32c/0xd50 fs/ext4/inode.c:5869 __ext4_mark_inode_dirty+0xe1/0x450 fs/ext4/inode.c:6074 ext4_dirty_inode+0x98/0xc0 fs/ext4/inode.c:6103 .... value changed: 0x00000000 -> 0x00000001 ================================================================== This issue is caused by missing data-race annotation for jh->b_modified. Therefore, the missing annotation needs to be added. Уязвимость функции jbd2_journal_dirty_metadata ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/nfs/read: fix double-unlock bug in nfs_return_empty_folio() Sometimes, when a file was read while it was being truncated by another NFS client, the kernel could deadlock because folio_unlock() was called twice, and the second call would XOR back the `PG_locked` flag. Most of the time (depending on the timing of the truncation), nobody notices the problem because folio_unlock() gets called three times, which flips `PG_locked` back off: 1. vfs_read, nfs_read_folio, ... nfs_read_add_folio, nfs_return_empty_folio 2. vfs_read, nfs_read_folio, ... netfs_read_collection, netfs_unlock_abandoned_read_pages 3. vfs_read, ... nfs_do_read_folio, nfs_read_add_folio, nfs_return_empty_folio The problem is that nfs_read_add_folio() is not supposed to unlock the folio if fscache is enabled, and a nfs_netfs_folio_unlock() check is missing in nfs_return_empty_folio(). Rarely this leads to a warning in netfs_read_collection(): ------------[ cut here ]------------ R=0000031c: folio 10 is not locked WARNING: CPU: 0 PID: 29 at fs/netfs/read_collect.c:133 netfs_read_collection+0x7c0/0xf00 [...] Workqueue: events_unbound netfs_read_collection_worker RIP: 0010:netfs_read_collection+0x7c0/0xf00 [...] Call Trace: <TASK> netfs_read_collection_worker+0x67/0x80 process_one_work+0x12e/0x2c0 worker_thread+0x295/0x3a0 Most of the time, however, processes just get stuck forever in folio_wait_bit_common(), waiting for `PG_locked` to disappear, which never happens because nobody is really holding the folio lock. Уязвимость функции nfs_return_empty_folio() ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: eth: fbnic: avoid double free when failing to DMA-map FW msg The semantics are that caller of fbnic_mbx_map_msg() retains the ownership of the message on error. All existing callers dutifully free the page. Уязвимость функции fbnic_mbx_map_msg() модуля drivers/net/ethernet/meta/fbnic/fbnic_fw.c ядра операционных систем Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: software node: Correct a OOB check in software_node_get_reference_args() software_node_get_reference_args() wants to get @index-th element, so the property value requires at least '(index + 1) * sizeof(*ref)' bytes but that can not be guaranteed by current OOB check, and may cause OOB for malformed property. Fix by using as OOB check '((index + 1) * sizeof(*ref) > prop->length)'. Уязвимость функции software_node_get_reference_args() ядра операционной системы Linux связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: mt7996: drop fragments with multicast or broadcast RA IEEE 802.11 fragmentation can only be applied to unicast frames. Therefore, drop fragments with multicast or broadcast RA. This patch addresses vulnerabilities such as CVE-2020-26145. Уязвимость компонента wifi ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L', score=8.3) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ACPICA: fix acpi parse and parseext cache leaks ACPICA commit 8829e70e1360c81e7a5a901b5d4f48330e021ea5 I'm Seunghun Han, and I work for National Security Research Institute of South Korea. I have been doing a research on ACPI and found an ACPI cache leak in ACPI early abort cases. Boot log of ACPI cache leak is as follows: [ 0.352414] ACPI: Added _OSI(Module Device) [ 0.353182] ACPI: Added _OSI(Processor Device) [ 0.353182] ACPI: Added _OSI(3.0 _SCP Extensions) [ 0.353182] ACPI: Added _OSI(Processor Aggregator Device) [ 0.356028] ACPI: Unable to start the ACPI Interpreter [ 0.356799] ACPI Error: Could not remove SCI handler (20170303/evmisc-281) [ 0.360215] kmem_cache_destroy Acpi-State: Slab cache still has objects [ 0.360648] CPU: 0 PID: 1 Comm: swapper/0 Tainted: G W 4.12.0-rc4-next-20170608+ #10 [ 0.361273] Hardware name: innotek gmb_h virtual_box/virtual_box, BIOS virtual_box 12/01/2006 [ 0.361873] Call Trace: [ 0.362243] ? dump_stack+0x5c/0x81 [ 0.362591] ? kmem_cache_destroy+0x1aa/0x1c0 [ 0.362944] ? acpi_sleep_proc_init+0x27/0x27 [ 0.363296] ? acpi_os_delete_cache+0xa/0x10 [ 0.363646] ? acpi_ut_delete_caches+0x6d/0x7b [ 0.364000] ? acpi_terminate+0xa/0x14 [ 0.364000] ? acpi_init+0x2af/0x34f [ 0.364000] ? __class_create+0x4c/0x80 [ 0.364000] ? video_setup+0x7f/0x7f [ 0.364000] ? acpi_sleep_proc_init+0x27/0x27 [ 0.364000] ? do_one_initcall+0x4e/0x1a0 [ 0.364000] ? kernel_init_freeable+0x189/0x20a [ 0.364000] ? rest_init+0xc0/0xc0 [ 0.364000] ? kernel_init+0xa/0x100 [ 0.364000] ? ret_from_fork+0x25/0x30 I analyzed this memory leak in detail. I found that “Acpi-State” cache and “Acpi-Parse” cache were merged because the size of cache objects was same slab cache size. I finally found “Acpi-Parse” cache and “Acpi-parse_ext” cache were leaked using SLAB_NEVER_MERGE flag in kmem_cache_create() function. Real ACPI cache leak point is as follows: [ 0.360101] ACPI: Added _OSI(Module Device) [ 0.360101] ACPI: Added _OSI(Processor Device) [ 0.360101] ACPI: Added _OSI(3.0 _SCP Extensions) [ 0.361043] ACPI: Added _OSI(Processor Aggregator Device) [ 0.364016] ACPI: Unable to start the ACPI Interpreter [ 0.365061] ACPI Error: Could not remove SCI handler (20170303/evmisc-281) [ 0.368174] kmem_cache_destroy Acpi-Parse: Slab cache still has objects [ 0.369332] CPU: 1 PID: 1 Comm: swapper/0 Tainted: G W 4.12.0-rc4-next-20170608+ #8 [ 0.371256] Hardware name: innotek gmb_h virtual_box/virtual_box, BIOS virtual_box 12/01/2006 [ 0.372000] Call Trace: [ 0.372000] ? dump_stack+0x5c/0x81 [ 0.372000] ? kmem_cache_destroy+0x1aa/0x1c0 [ 0.372000] ? acpi_sleep_proc_init+0x27/0x27 [ 0.372000] ? acpi_os_delete_cache+0xa/0x10 [ 0.372000] ? acpi_ut_delete_caches+0x56/0x7b [ 0.372000] ? acpi_terminate+0xa/0x14 [ 0.372000] ? acpi_init+0x2af/0x34f [ 0.372000] ? __class_create+0x4c/0x80 [ 0.372000] ? video_setup+0x7f/0x7f [ 0.372000] ? acpi_sleep_proc_init+0x27/0x27 [ 0.372000] ? do_one_initcall+0x4e/0x1a0 [ 0.372000] ? kernel_init_freeable+0x189/0x20a [ 0.372000] ? rest_init+0xc0/0xc0 [ 0.372000] ? kernel_init+0xa/0x100 [ 0.372000] ? ret_from_fork+0x25/0x30 [ 0.388039] kmem_cache_destroy Acpi-parse_ext: Slab cache still has objects [ 0.389063] CPU: 1 PID: 1 Comm: swapper/0 Tainted: G W 4.12.0-rc4-next-20170608+ #8 [ 0.390557] Hardware name: innotek gmb_h virtual_box/virtual_box, BIOS virtual_box 12/01/2006 [ 0.392000] Call Trace: [ 0.392000] ? dump_stack+0x5c/0x81 [ 0.392000] ? kmem_cache_destroy+0x1aa/0x1c0 [ 0.392000] ? acpi_sleep_proc_init+0x27/0x27 [ 0.392000] ? acpi_os_delete_cache+0xa/0x10 [ 0.392000] ? acpi_ut_delete_caches+0x6d/0x7b [ 0.392000] ? acpi_terminate+0xa/0x14 [ 0.392000] ? acpi_init+0x2af/0x3 ---truncated--- Уязвимость функции acpi_ps_complete_final_op() модуля drivers/acpi/acpica/psobject.c ядра операционных систем Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ACPICA: fix acpi operand cache leak in dswstate.c ACPICA commit 987a3b5cf7175916e2a4b6ea5b8e70f830dfe732 I found an ACPI cache leak in ACPI early termination and boot continuing case. When early termination occurs due to malicious ACPI table, Linux kernel terminates ACPI function and continues to boot process. While kernel terminates ACPI function, kmem_cache_destroy() reports Acpi-Operand cache leak. Boot log of ACPI operand cache leak is as follows: >[ 0.585957] ACPI: Added _OSI(Module Device) >[ 0.587218] ACPI: Added _OSI(Processor Device) >[ 0.588530] ACPI: Added _OSI(3.0 _SCP Extensions) >[ 0.589790] ACPI: Added _OSI(Processor Aggregator Device) >[ 0.591534] ACPI Error: Illegal I/O port address/length above 64K: C806E00000004002/0x2 (20170303/hwvalid-155) >[ 0.594351] ACPI Exception: AE_LIMIT, Unable to initialize fixed events (20170303/evevent-88) >[ 0.597858] ACPI: Unable to start the ACPI Interpreter >[ 0.599162] ACPI Error: Could not remove SCI handler (20170303/evmisc-281) >[ 0.601836] kmem_cache_destroy Acpi-Operand: Slab cache still has objects >[ 0.603556] CPU: 0 PID: 1 Comm: swapper/0 Not tainted 4.12.0-rc5 #26 >[ 0.605159] Hardware name: innotek gmb_h virtual_box/virtual_box, BIOS virtual_box 12/01/2006 >[ 0.609177] Call Trace: >[ 0.610063] ? dump_stack+0x5c/0x81 >[ 0.611118] ? kmem_cache_destroy+0x1aa/0x1c0 >[ 0.612632] ? acpi_sleep_proc_init+0x27/0x27 >[ 0.613906] ? acpi_os_delete_cache+0xa/0x10 >[ 0.617986] ? acpi_ut_delete_caches+0x3f/0x7b >[ 0.619293] ? acpi_terminate+0xa/0x14 >[ 0.620394] ? acpi_init+0x2af/0x34f >[ 0.621616] ? __class_create+0x4c/0x80 >[ 0.623412] ? video_setup+0x7f/0x7f >[ 0.624585] ? acpi_sleep_proc_init+0x27/0x27 >[ 0.625861] ? do_one_initcall+0x4e/0x1a0 >[ 0.627513] ? kernel_init_freeable+0x19e/0x21f >[ 0.628972] ? rest_init+0x80/0x80 >[ 0.630043] ? kernel_init+0xa/0x100 >[ 0.631084] ? ret_from_fork+0x25/0x30 >[ 0.633343] vgaarb: loaded >[ 0.635036] EDAC MC: Ver: 3.0.0 >[ 0.638601] PCI: Probing PCI hardware >[ 0.639833] PCI host bridge to bus 0000:00 >[ 0.641031] pci_bus 0000:00: root bus resource [io 0x0000-0xffff] > ... Continue to boot and log is omitted ... I analyzed this memory leak in detail and found acpi_ds_obj_stack_pop_and_ delete() function miscalculated the top of the stack. acpi_ds_obj_stack_push() function uses walk_state->operand_index for start position of the top, but acpi_ds_obj_stack_pop_and_delete() function considers index 0 for it. Therefore, this causes acpi operand memory leak. This cache leak causes a security threat because an old kernel (<= 4.9) shows memory locations of kernel functions in stack dump. Some malicious users could use this information to neutralize kernel ASLR. I made a patch to fix ACPI operand cache leak. Уязвимость функции kmem_cache_destroy() модуля dswstate.c ядра операционных систем Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ftrace: Fix UAF when lookup kallsym after ftrace disabled The following issue happens with a buggy module: BUG: unable to handle page fault for address: ffffffffc05d0218 PGD 1bd66f067 P4D 1bd66f067 PUD 1bd671067 PMD 101808067 PTE 0 Oops: Oops: 0000 [#1] SMP KASAN PTI Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS RIP: 0010:sized_strscpy+0x81/0x2f0 RSP: 0018:ffff88812d76fa08 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffffffffc0601010 RCX: dffffc0000000000 RDX: 0000000000000038 RSI: dffffc0000000000 RDI: ffff88812608da2d RBP: 8080808080808080 R08: ffff88812608da2d R09: ffff88812608da68 R10: ffff88812608d82d R11: ffff88812608d810 R12: 0000000000000038 R13: ffff88812608da2d R14: ffffffffc05d0218 R15: fefefefefefefeff FS: 00007fef552de740(0000) GS:ffff8884251c7000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffffffc05d0218 CR3: 00000001146f0000 CR4: 00000000000006f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ftrace_mod_get_kallsym+0x1ac/0x590 update_iter_mod+0x239/0x5b0 s_next+0x5b/0xa0 seq_read_iter+0x8c9/0x1070 seq_read+0x249/0x3b0 proc_reg_read+0x1b0/0x280 vfs_read+0x17f/0x920 ksys_read+0xf3/0x1c0 do_syscall_64+0x5f/0x2e0 entry_SYSCALL_64_after_hwframe+0x76/0x7e The above issue may happen as follows: (1) Add kprobe tracepoint; (2) insmod test.ko; (3) Module triggers ftrace disabled; (4) rmmod test.ko; (5) cat /proc/kallsyms; --> Will trigger UAF as test.ko already removed; ftrace_mod_get_kallsym() ... strscpy(module_name, mod_map->mod->name, MODULE_NAME_LEN); ... The problem is when a module triggers an issue with ftrace and sets ftrace_disable. The ftrace_disable is set when an anomaly is discovered and to prevent any more damage, ftrace stops all text modification. The issue that happened was that the ftrace_disable stops more than just the text modification. When a module is loaded, its init functions can also be traced. Because kallsyms deletes the init functions after a module has loaded, ftrace saves them when the module is loaded and function tracing is enabled. This allows the output of the function trace to show the init function names instead of just their raw memory addresses. When a module is removed, ftrace_release_mod() is called, and if ftrace_disable is set, it just returns without doing anything more. The problem here is that it leaves the mod_list still around and if kallsyms is called, it will call into this code and access the module memory that has already been freed as it will return: strscpy(module_name, mod_map->mod->name, MODULE_NAME_LEN); Where the "mod" no longer exists and triggers a UAF bug. Уязвимость функции ftrace_mod_get_kallsym() компонента ftrace ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to do sanity check on ino and xnid syzbot reported a f2fs bug as below: INFO: task syz-executor140:5308 blocked for more than 143 seconds. Not tainted 6.14.0-rc7-syzkaller-00069-g81e4f8d68c66 #0 "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. task:syz-executor140 state:D stack:24016 pid:5308 tgid:5308 ppid:5306 task_flags:0x400140 flags:0x00000006 Call Trace: <TASK> context_switch kernel/sched/core.c:5378 [inline] __schedule+0x190e/0x4c90 kernel/sched/core.c:6765 __schedule_loop kernel/sched/core.c:6842 [inline] schedule+0x14b/0x320 kernel/sched/core.c:6857 io_schedule+0x8d/0x110 kernel/sched/core.c:7690 folio_wait_bit_common+0x839/0xee0 mm/filemap.c:1317 __folio_lock mm/filemap.c:1664 [inline] folio_lock include/linux/pagemap.h:1163 [inline] __filemap_get_folio+0x147/0xb40 mm/filemap.c:1917 pagecache_get_page+0x2c/0x130 mm/folio-compat.c:87 find_get_page_flags include/linux/pagemap.h:842 [inline] f2fs_grab_cache_page+0x2b/0x320 fs/f2fs/f2fs.h:2776 __get_node_page+0x131/0x11b0 fs/f2fs/node.c:1463 read_xattr_block+0xfb/0x190 fs/f2fs/xattr.c:306 lookup_all_xattrs fs/f2fs/xattr.c:355 [inline] f2fs_getxattr+0x676/0xf70 fs/f2fs/xattr.c:533 __f2fs_get_acl+0x52/0x870 fs/f2fs/acl.c:179 f2fs_acl_create fs/f2fs/acl.c:375 [inline] f2fs_init_acl+0xd7/0x9b0 fs/f2fs/acl.c:418 f2fs_init_inode_metadata+0xa0f/0x1050 fs/f2fs/dir.c:539 f2fs_add_inline_entry+0x448/0x860 fs/f2fs/inline.c:666 f2fs_add_dentry+0xba/0x1e0 fs/f2fs/dir.c:765 f2fs_do_add_link+0x28c/0x3a0 fs/f2fs/dir.c:808 f2fs_add_link fs/f2fs/f2fs.h:3616 [inline] f2fs_mknod+0x2e8/0x5b0 fs/f2fs/namei.c:766 vfs_mknod+0x36d/0x3b0 fs/namei.c:4191 unix_bind_bsd net/unix/af_unix.c:1286 [inline] unix_bind+0x563/0xe30 net/unix/af_unix.c:1379 __sys_bind_socket net/socket.c:1817 [inline] __sys_bind+0x1e4/0x290 net/socket.c:1848 __do_sys_bind net/socket.c:1853 [inline] __se_sys_bind net/socket.c:1851 [inline] __x64_sys_bind+0x7a/0x90 net/socket.c:1851 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Let's dump and check metadata of corrupted inode, it shows its xattr_nid is the same to its i_ino. dump.f2fs -i 3 chaseyu.img.raw i_xattr_nid [0x 3 : 3] So that, during mknod in the corrupted directory, it tries to get and lock inode page twice, result in deadlock. - f2fs_mknod - f2fs_add_inline_entry - f2fs_get_inode_page --- lock dir's inode page - f2fs_init_acl - f2fs_acl_create(dir,..) - __f2fs_get_acl - f2fs_getxattr - lookup_all_xattrs - __get_node_page --- try to lock dir's inode page In order to fix this, let's add sanity check on ino and xnid. Уязвимость модуля fs/f2fs/inode.c ядра операционной системы Linux связана с взаимной блокировкой потоков выполнения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: p54: prevent buffer-overflow in p54_rx_eeprom_readback() Robert Morris reported: |If a malicious USB device pretends to be an Intersil p54 wifi |interface and generates an eeprom_readback message with a large |eeprom->v1.len, p54_rx_eeprom_readback() will copy data from the |message beyond the end of priv->eeprom. | |static void p54_rx_eeprom_readback(struct p54_common *priv, | struct sk_buff *skb) |{ | struct p54_hdr *hdr = (struct p54_hdr *) skb->data; | struct p54_eeprom_lm86 *eeprom = (struct p54_eeprom_lm86 *) hdr->data; | | if (priv->fw_var >= 0x509) { | memcpy(priv->eeprom, eeprom->v2.data, | le16_to_cpu(eeprom->v2.len)); | } else { | memcpy(priv->eeprom, eeprom->v1.data, | le16_to_cpu(eeprom->v1.len)); | } | [...] The eeprom->v{1,2}.len is set by the driver in p54_download_eeprom(). The device is supposed to provide the same length back to the driver. But yes, it's possible (like shown in the report) to alter the value to something that causes a crash/panic due to overrun. This patch addresses the issue by adding the size to the common device context, so p54_rx_eeprom_readback no longer relies on possibly tampered values... That said, it also checks if the "firmware" altered the value and no longer copies them. The one, small saving grace is: Before the driver tries to read the eeprom, it needs to upload >a< firmware. the vendor firmware has a proprietary license and as a reason, it is not present on most distributions by default. Уязвимость функции p54_rx_eeprom_readback() компонента wifi ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: eventpoll: don't decrement ep refcount while still holding the ep mutex Jann Horn points out that epoll is decrementing the ep refcount and then doing a mutex_unlock(&ep->mtx); afterwards. That's very wrong, because it can lead to a use-after-free. That pattern is actually fine for the very last reference, because the code in question will delay the actual call to "ep_free(ep)" until after it has unlocked the mutex. But it's wrong for the much subtler "next to last" case when somebody *else* may also be dropping their reference and free the ep while we're still using the mutex. Note that this is true even if that other user is also using the same ep mutex: mutexes, unlike spinlocks, can not be used for object ownership, even if they guarantee mutual exclusion. A mutex "unlock" operation is not atomic, and as one user is still accessing the mutex as part of unlocking it, another user can come in and get the now released mutex and free the data structure while the first user is still cleaning up. See our mutex documentation in Documentation/locking/mutex-design.rst, in particular the section [1] about semantics: "mutex_unlock() may access the mutex structure even after it has internally released the lock already - so it's not safe for another context to acquire the mutex and assume that the mutex_unlock() context is not using the structure anymore" So if we drop our ep ref before the mutex unlock, but we weren't the last one, we may then unlock the mutex, another user comes in, drops _their_ reference and releases the 'ep' as it now has no users - all while the mutex_unlock() is still accessing it. Fix this by simply moving the ep refcount dropping to outside the mutex: the refcount itself is atomic, and doesn't need mutex protection (that's the whole _point_ of refcounts: unlike mutexes, they are inherently about object lifetimes). Уязвимость функции mutex_unlock() компонента eventpoll ядра операционных систем Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: Always pass notifications when child class becomes empty Certain classful qdiscs may invoke their classes' dequeue handler on an enqueue operation. This may unexpectedly empty the child qdisc and thus make an in-flight class passive via qlen_notify(). Most qdiscs do not expect such behaviour at this point in time and may re-activate the class eventually anyways which will lead to a use-after-free. The referenced fix commit attempted to fix this behavior for the HFSC case by moving the backlog accounting around, though this turned out to be incomplete since the parent's parent may run into the issue too. The following reproducer demonstrates this use-after-free: tc qdisc add dev lo root handle 1: drr tc filter add dev lo parent 1: basic classid 1:1 tc class add dev lo parent 1: classid 1:1 drr tc qdisc add dev lo parent 1:1 handle 2: hfsc def 1 tc class add dev lo parent 2: classid 2:1 hfsc rt m1 8 d 1 m2 0 tc qdisc add dev lo parent 2:1 handle 3: netem tc qdisc add dev lo parent 3:1 handle 4: blackhole echo 1 | socat -u STDIN UDP4-DATAGRAM:127.0.0.1:8888 tc class delete dev lo classid 1:1 echo 1 | socat -u STDIN UDP4-DATAGRAM:127.0.0.1:8888 Since backlog accounting issues leading to a use-after-frees on stale class pointers is a recurring pattern at this point, this patch takes a different approach. Instead of trying to fix the accounting, the patch ensures that qdisc_tree_reduce_backlog always calls qlen_notify when the child qdisc is empty. This solves the problem because deletion of qdiscs always involves a call to qdisc_reset() and / or qdisc_purge_queue() which ultimately resets its qlen to 0 thus causing the following qdisc_tree_reduce_backlog() to report to the parent. Note that this may call qlen_notify on passive classes multiple times. This is not a problem after the recent patch series that made all the classful qdiscs qlen_notify() handlers idempotent. Уязвимость функции qlen_notify() компонента sched ядра операционных систем Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_cbs.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_cbs в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_cbs ``` или ``` kmod list | grep sch_cbs ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_cbs ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install sch_cbs /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86/hyper-v: Skip non-canonical addresses during PV TLB flush In KVM guests with Hyper-V hypercalls enabled, the hypercalls HVCALL_FLUSH_VIRTUAL_ADDRESS_LIST and HVCALL_FLUSH_VIRTUAL_ADDRESS_LIST_EX allow a guest to request invalidation of portions of a virtual TLB. For this, the hypercall parameter includes a list of GVAs that are supposed to be invalidated. However, when non-canonical GVAs are passed, there is currently no filtering in place and they are eventually passed to checked invocations of INVVPID on Intel / INVLPGA on AMD. While AMD's INVLPGA silently ignores non-canonical addresses (effectively a no-op), Intel's INVVPID explicitly signals VM-Fail and ultimately triggers the WARN_ONCE in invvpid_error(): invvpid failed: ext=0x0 vpid=1 gva=0xaaaaaaaaaaaaa000 WARNING: CPU: 6 PID: 326 at arch/x86/kvm/vmx/vmx.c:482 invvpid_error+0x91/0xa0 [kvm_intel] Modules linked in: kvm_intel kvm 9pnet_virtio irqbypass fuse CPU: 6 UID: 0 PID: 326 Comm: kvm-vm Not tainted 6.15.0 #14 PREEMPT(voluntary) RIP: 0010:invvpid_error+0x91/0xa0 [kvm_intel] Call Trace: vmx_flush_tlb_gva+0x320/0x490 [kvm_intel] kvm_hv_vcpu_flush_tlb+0x24f/0x4f0 [kvm] kvm_arch_vcpu_ioctl_run+0x3013/0x5810 [kvm] Hyper-V documents that invalid GVAs (those that are beyond a partition's GVA space) are to be ignored. While not completely clear whether this ruling also applies to non-canonical GVAs, it is likely fine to make that assumption, and manual testing on Azure confirms "real" Hyper-V interprets the specification in the same way. Skip non-canonical GVAs when processing the list of address to avoid tripping the INVVPID failure. Alternatively, KVM could filter out "bad" GVAs before inserting into the FIFO, but practically speaking the only downside of pushing validation to the final processing is that doing so is suboptimal for the guest, and no well-behaved guest will request TLB flushes for non-canonical addresses. Уязвимость подсистемы виртуализации Kernel-based Virtual Machine (KVM) ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe: Fix taking invalid lock on wedge If device wedges on e.g. GuC upload, the submission is not yet enabled and the state is not even initialized. Protect the wedge call so it does nothing in this case. It fixes the following splat: [] xe 0000:bf:00.0: [drm] device wedged, needs recovery [] ------------[ cut here ]------------ [] DEBUG_LOCKS_WARN_ON(lock->magic != lock) [] WARNING: CPU: 48 PID: 312 at kernel/locking/mutex.c:564 __mutex_lock+0x8a1/0xe60 ... [] RIP: 0010:__mutex_lock+0x8a1/0xe60 [] mutex_lock_nested+0x1b/0x30 [] xe_guc_submit_wedge+0x80/0x2b0 [xe] Уязвимость функций xe_guc_submit_init() и xe_guc_submit_wedge() файла drivers/gpu/drm/xe/xe_guc_submit.c ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/msm/gpu: Fix crash when throttling GPU immediately during boot There is a small chance that the GPU is already hot during boot. In that case, the call to of_devfreq_cooling_register() will immediately try to apply devfreq cooling, as seen in the following crash: Unable to handle kernel paging request at virtual address 0000000000014110 pc : a6xx_gpu_busy+0x1c/0x58 [msm] lr : msm_devfreq_get_dev_status+0xbc/0x140 [msm] Call trace: a6xx_gpu_busy+0x1c/0x58 [msm] (P) devfreq_simple_ondemand_func+0x3c/0x150 devfreq_update_target+0x44/0xd8 qos_max_notifier_call+0x30/0x84 blocking_notifier_call_chain+0x6c/0xa0 pm_qos_update_target+0xd0/0x110 freq_qos_apply+0x3c/0x74 apply_constraint+0x88/0x148 __dev_pm_qos_update_request+0x7c/0xcc dev_pm_qos_update_request+0x38/0x5c devfreq_cooling_set_cur_state+0x98/0xf0 __thermal_cdev_update+0x64/0xb4 thermal_cdev_update+0x4c/0x58 step_wise_manage+0x1f0/0x318 __thermal_zone_device_update+0x278/0x424 __thermal_cooling_device_register+0x2bc/0x308 thermal_of_cooling_device_register+0x10/0x1c of_devfreq_cooling_register_power+0x240/0x2bc of_devfreq_cooling_register+0x14/0x20 msm_devfreq_init+0xc4/0x1a0 [msm] msm_gpu_init+0x304/0x574 [msm] adreno_gpu_init+0x1c4/0x2e0 [msm] a6xx_gpu_init+0x5c8/0x9c8 [msm] adreno_bind+0x2a8/0x33c [msm] ... At this point we haven't initialized the GMU at all yet, so we cannot read the GMU registers inside a6xx_gpu_busy(). A similar issue was fixed before in commit 6694482a70e9 ("drm/msm: Avoid unclocked GMU register access in 6xx gpu_busy"): msm_devfreq_init() does call devfreq_suspend_device(), but unlike msm_devfreq_suspend(), it doesn't set the df->suspended flag accordingly. This means the df->suspended flag does not match the actual devfreq state after initialization and msm_devfreq_get_dev_status() will end up accessing GMU registers, causing the crash. Fix this by setting df->suspended correctly during initialization. Patchwork: https://patchwork.freedesktop.org/patch/650772/ Уязвимость функции msm_devfreq_init() файла drivers/gpu/drm/msm/msm_gpu_devfreq.c ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe: Process deferred GGTT node removals on device unwind While we are indirectly draining our dedicated workqueue ggtt->wq that we use to complete asynchronous removal of some GGTT nodes, this happends as part of the managed-drm unwinding (ggtt_fini_early), which could be later then manage-device unwinding, where we could already unmap our MMIO/GMS mapping (mmio_fini). This was recently observed during unsuccessful VF initialization: [ ] xe 0000:00:02.1: probe with driver xe failed with error -62 [ ] xe 0000:00:02.1: DEVRES REL ffff88811e747340 __xe_bo_unpin_map_no_vm (16 bytes) [ ] xe 0000:00:02.1: DEVRES REL ffff88811e747540 __xe_bo_unpin_map_no_vm (16 bytes) [ ] xe 0000:00:02.1: DEVRES REL ffff88811e747240 __xe_bo_unpin_map_no_vm (16 bytes) [ ] xe 0000:00:02.1: DEVRES REL ffff88811e747040 tiles_fini (16 bytes) [ ] xe 0000:00:02.1: DEVRES REL ffff88811e746840 mmio_fini (16 bytes) [ ] xe 0000:00:02.1: DEVRES REL ffff88811e747f40 xe_bo_pinned_fini (16 bytes) [ ] xe 0000:00:02.1: DEVRES REL ffff88811e746b40 devm_drm_dev_init_release (16 bytes) [ ] xe 0000:00:02.1: [drm:drm_managed_release] drmres release begin [ ] xe 0000:00:02.1: [drm:drm_managed_release] REL ffff88810ef81640 __fini_relay (8 bytes) [ ] xe 0000:00:02.1: [drm:drm_managed_release] REL ffff88810ef80d40 guc_ct_fini (8 bytes) [ ] xe 0000:00:02.1: [drm:drm_managed_release] REL ffff88810ef80040 __drmm_mutex_release (8 bytes) [ ] xe 0000:00:02.1: [drm:drm_managed_release] REL ffff88810ef80140 ggtt_fini_early (8 bytes) and this was leading to: [ ] BUG: unable to handle page fault for address: ffffc900058162a0 [ ] #PF: supervisor write access in kernel mode [ ] #PF: error_code(0x0002) - not-present page [ ] Oops: Oops: 0002 [#1] SMP NOPTI [ ] Tainted: [W]=WARN [ ] Workqueue: xe-ggtt-wq ggtt_node_remove_work_func [xe] [ ] RIP: 0010:xe_ggtt_set_pte+0x6d/0x350 [xe] [ ] Call Trace: [ ] <TASK> [ ] xe_ggtt_clear+0xb0/0x270 [xe] [ ] ggtt_node_remove+0xbb/0x120 [xe] [ ] ggtt_node_remove_work_func+0x30/0x50 [xe] [ ] process_one_work+0x22b/0x6f0 [ ] worker_thread+0x1e8/0x3d Add managed-device action that will explicitly drain the workqueue with all pending node removals prior to releasing MMIO/GSM mapping. (cherry picked from commit 89d2835c3680ab1938e22ad81b1c9f8c686bd391) Уязвимость функций dev_fini_ggtt() и xe_ggtt_init_early() (drivers/gpu/drm/xe/xe_ggtt.c) ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe/guc: Explicitly exit CT safe mode on unwind During driver probe we might be briefly using CT safe mode, which is based on a delayed work, but usually we are able to stop this once we have IRQ fully operational. However, if we abort the probe quite early then during unwind we might try to destroy the workqueue while there is still a pending delayed work that attempts to restart itself which triggers a WARN. This was recently observed during unsuccessful VF initialization: [ ] xe 0000:00:02.1: probe with driver xe failed with error -62 [ ] ------------[ cut here ]------------ [ ] workqueue: cannot queue safe_mode_worker_func [xe] on wq xe-g2h-wq [ ] WARNING: CPU: 9 PID: 0 at kernel/workqueue.c:2257 __queue_work+0x287/0x710 [ ] RIP: 0010:__queue_work+0x287/0x710 [ ] Call Trace: [ ] delayed_work_timer_fn+0x19/0x30 [ ] call_timer_fn+0xa1/0x2a0 Exit the CT safe mode on unwind to avoid that warning. (cherry picked from commit 2ddbb73ec20b98e70a5200cb85deade22ccea2ec) Уязвимость компонента drm/xe/guc ядра операционной системы Linux связана с неправильной проверкой или обработкой исключительных состояний. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add more checks for DSC / HUBP ONO guarantees [WHY] For non-zero DSC instances it's possible that the HUBP domain required to drive it for sequential ONO ASICs isn't met, potentially causing the logic to the tile to enter an undefined state leading to a system hang. [HOW] Add more checks to ensure that the HUBP domain matching the DSC instance is appropriately powered. (cherry picked from commit da63df07112e5a9857a8d2aaa04255c4206754ec) Уязвимость модуля drivers/gpu/drm/amd/display/dc/hwss/dcn35/dcn35_hwseq.c ядра операционной системы Linux связан с неправильной проверкой условий питания и состояния оборудования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check dce_hwseq before dereferencing it [WHAT] hws was checked for null earlier in dce110_blank_stream, indicating hws can be null, and should be checked whenever it is used. (cherry picked from commit 79db43611ff61280b6de58ce1305e0b2ecf675ad) Уязвимость модуля drivers/gpu/drm/amd/display/dc/hwss/dce110/dce110_hwseq.c ядра операционной системы Linux связана с возможностью обращения к нулевому указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Если графический стек amdgpu не используется для вычислений или вывода интерфейса, для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля amdgpu.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль amdgpu в ядро системы, для этого выполнить одну из команд: lsmod | grep amdgpu или kmod list | grep amdgpu Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: команда для выгрузки модуля amdgpu.ko: sudo rmmod amdgpu 2. Запретить загрузку модулей: от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-amdgpu.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; добавить в файл строку: install amdgpu /bin/false сохранить файл. 3. Обновить текущий образ initramfs: sudo update-initramfs -uk all Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add null pointer check for get_first_active_display() The function mod_hdcp_hdcp1_enable_encryption() calls the function get_first_active_display(), but does not check its return value. The return value is a null pointer if the display list is empty. This will lead to a null pointer dereference in mod_hdcp_hdcp2_enable_encryption(). Add a null pointer check for get_first_active_display() and return MOD_HDCP_STATUS_DISPLAY_NOT_FOUND if the function return null. Уязвимость функции mod_hdcp_hdcp1_enable_encryption() (drivers/gpu/drm/amd/display/modules/hdcp/hdcp_psp.c) ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/tegra: Fix a possible null pointer dereference In tegra_crtc_reset(), new memory is allocated with kzalloc(), but no check is performed. Before calling __drm_atomic_helper_crtc_reset, state should be checked to prevent possible null pointer dereference. Уязвимость функции tegra_crtc_reset() ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: maple_tree: fix MA_STATE_PREALLOC flag in mas_preallocate() Temporarily clear the preallocation flag when explicitly requesting allocations. Pre-existing allocations are already counted against the request through mas_node_count_gfp(), but the allocations will not happen if the MA_STATE_PREALLOC flag is set. This flag is meant to avoid re-allocating in bulk allocation mode, and to detect issues with preallocation calculations. The MA_STATE_PREALLOC flag should also always be set on zero allocations so that detection of underflow allocations will print a WARN_ON() during consumption. User visible effect of this flaw is a WARN_ON() followed by a null pointer dereference when subsequent requests for larger number of nodes is ignored, such as the vma merge retry in mmap_region() caused by drivers altering the vma flags (which happens in v6.6, at least) Уязвимость функции mas_preallocate() модуля lib/maple_tree.c ядра операционных систем Linux связана с разыменованием указателей в результате некорректного выделения памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix a race between renames and directory logging We have a race between a rename and directory inode logging that if it happens and we crash/power fail before the rename completes, the next time the filesystem is mounted, the log replay code will end up deleting the file that was being renamed. This is best explained following a step by step analysis of an interleaving of steps that lead into this situation. Consider the initial conditions: 1) We are at transaction N; 2) We have directories A and B created in a past transaction (< N); 3) We have inode X corresponding to a file that has 2 hardlinks, one in directory A and the other in directory B, so we'll name them as "A/foo_link1" and "B/foo_link2". Both hard links were persisted in a past transaction (< N); 4) We have inode Y corresponding to a file that as a single hard link and is located in directory A, we'll name it as "A/bar". This file was also persisted in a past transaction (< N). The steps leading to a file loss are the following and for all of them we are under transaction N: 1) Link "A/foo_link1" is removed, so inode's X last_unlink_trans field is updated to N, through btrfs_unlink() -> btrfs_record_unlink_dir(); 2) Task A starts a rename for inode Y, with the goal of renaming from "A/bar" to "A/baz", so we enter btrfs_rename(); 3) Task A inserts the new BTRFS_INODE_REF_KEY for inode Y by calling btrfs_insert_inode_ref(); 4) Because the rename happens in the same directory, we don't set the last_unlink_trans field of directoty A's inode to the current transaction id, that is, we don't cal btrfs_record_unlink_dir(); 5) Task A then removes the entries from directory A (BTRFS_DIR_ITEM_KEY and BTRFS_DIR_INDEX_KEY items) when calling __btrfs_unlink_inode() (actually the dir index item is added as a delayed item, but the effect is the same); 6) Now before task A adds the new entry "A/baz" to directory A by calling btrfs_add_link(), another task, task B is logging inode X; 7) Task B starts a fsync of inode X and after logging inode X, at btrfs_log_inode_parent() it calls btrfs_log_all_parents(), since inode X has a last_unlink_trans value of N, set at in step 1; 8) At btrfs_log_all_parents() we search for all parent directories of inode X using the commit root, so we find directories A and B and log them. Bu when logging direct A, we don't have a dir index item for inode Y anymore, neither the old name "A/bar" nor for the new name "A/baz" since the rename has deleted the old name but has not yet inserted the new name - task A hasn't called yet btrfs_add_link() to do that. Note that logging directory A doesn't fallback to a transaction commit because its last_unlink_trans has a lower value than the current transaction's id (see step 4); 9) Task B finishes logging directories A and B and gets back to btrfs_sync_file() where it calls btrfs_sync_log() to persist the log tree; 10) Task B successfully persisted the log tree, btrfs_sync_log() completed with success, and a power failure happened. We have a log tree without any directory entry for inode Y, so the log replay code deletes the entry for inode Y, name "A/bar", from the subvolume tree since it doesn't exist in the log tree and the log tree is authorative for its index (we logged a BTRFS_DIR_LOG_INDEX_KEY item that covers the index range for the dentry that corresponds to "A/bar"). Since there's no other hard link for inode Y and the log replay code deletes the name "A/bar", the file is lost. The issue wouldn't happen if task B synced the log only after task A called btrfs_log_new_name(), which would update the log with the new name for inode Y ("A/bar"). Fix this by pinning the log root during renames before removing the old directory entry, and unpinning af ---truncated--- Уязвимость файловой системы Btrfs (fs/btrfs/inode.c) ядра операционной системы Linux вызвана ситуацией гонки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: misc: tps6594-pfsm: Add NULL pointer check in tps6594_pfsm_probe() The returned value, pfsm->miscdev.name, from devm_kasprintf() could be NULL. A pointer check is added to prevent potential NULL pointer dereference. This is similar to the fix in commit 3027e7b15b02 ("ice: Fix some null pointer dereference issues in ice_ptp.c"). This issue is found by our static analysis tool. Уязвимость функции tps6594_pfsm_probe() ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: idxd: Check availability of workqueue allocated by idxd wq driver before using Running IDXD workloads in a container with the /dev directory mounted can trigger a call trace or even a kernel panic when the parent process of the container is terminated. This issue occurs because, under certain configurations, Docker does not properly propagate the mount replica back to the original mount point. In this case, when the user driver detaches, the WQ is destroyed but it still calls destroy_workqueue() attempting to completes all pending work. It's necessary to check wq->wq and skip the drain if it no longer exists. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/v3d: Disable interrupts before resetting the GPU Currently, an interrupt can be triggered during a GPU reset, which can lead to GPU hangs and NULL pointer dereference in an interrupt context as shown in the following trace: [ 314.035040] Unable to handle kernel NULL pointer dereference at virtual address 00000000000000c0 [ 314.043822] Mem abort info: [ 314.046606] ESR = 0x0000000096000005 [ 314.050347] EC = 0x25: DABT (current EL), IL = 32 bits [ 314.055651] SET = 0, FnV = 0 [ 314.058695] EA = 0, S1PTW = 0 [ 314.061826] FSC = 0x05: level 1 translation fault [ 314.066694] Data abort info: [ 314.069564] ISV = 0, ISS = 0x00000005, ISS2 = 0x00000000 [ 314.075039] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 314.080080] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 314.085382] user pgtable: 4k pages, 39-bit VAs, pgdp=0000000102728000 [ 314.091814] [00000000000000c0] pgd=0000000000000000, p4d=0000000000000000, pud=0000000000000000 [ 314.100511] Internal error: Oops: 0000000096000005 [#1] PREEMPT SMP [ 314.106770] Modules linked in: v3d i2c_brcmstb vc4 snd_soc_hdmi_codec gpu_sched drm_shmem_helper drm_display_helper cec drm_dma_helper drm_kms_helper drm drm_panel_orientation_quirks snd_soc_core snd_compress snd_pcm_dmaengine snd_pcm snd_timer snd backlight [ 314.129654] CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Not tainted 6.12.25+rpt-rpi-v8 #1 Debian 1:6.12.25-1+rpt1 [ 314.139388] Hardware name: Raspberry Pi 4 Model B Rev 1.4 (DT) [ 314.145211] pstate: 600000c5 (nZCv daIF -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 314.152165] pc : v3d_irq+0xec/0x2e0 [v3d] [ 314.156187] lr : v3d_irq+0xe0/0x2e0 [v3d] [ 314.160198] sp : ffffffc080003ea0 [ 314.163502] x29: ffffffc080003ea0 x28: ffffffec1f184980 x27: 021202b000000000 [ 314.170633] x26: ffffffec1f17f630 x25: ffffff8101372000 x24: ffffffec1f17d9f0 [ 314.177764] x23: 000000000000002a x22: 000000000000002a x21: ffffff8103252000 [ 314.184895] x20: 0000000000000001 x19: 00000000deadbeef x18: 0000000000000000 [ 314.192026] x17: ffffff94e51d2000 x16: ffffffec1dac3cb0 x15: c306000000000000 [ 314.199156] x14: 0000000000000000 x13: b2fc982e03cc5168 x12: 0000000000000001 [ 314.206286] x11: ffffff8103f8bcc0 x10: ffffffec1f196868 x9 : ffffffec1dac3874 [ 314.213416] x8 : 0000000000000000 x7 : 0000000000042a3a x6 : ffffff810017a180 [ 314.220547] x5 : ffffffec1ebad400 x4 : ffffffec1ebad320 x3 : 00000000000bebeb [ 314.227677] x2 : 0000000000000000 x1 : 0000000000000000 x0 : 0000000000000000 [ 314.234807] Call trace: [ 314.237243] v3d_irq+0xec/0x2e0 [v3d] [ 314.240906] __handle_irq_event_percpu+0x58/0x218 [ 314.245609] handle_irq_event+0x54/0xb8 [ 314.249439] handle_fasteoi_irq+0xac/0x240 [ 314.253527] handle_irq_desc+0x48/0x68 [ 314.257269] generic_handle_domain_irq+0x24/0x38 [ 314.261879] gic_handle_irq+0x48/0xd8 [ 314.265533] call_on_irq_stack+0x24/0x58 [ 314.269448] do_interrupt_handler+0x88/0x98 [ 314.273624] el1_interrupt+0x34/0x68 [ 314.277193] el1h_64_irq_handler+0x18/0x28 [ 314.281281] el1h_64_irq+0x64/0x68 [ 314.284673] default_idle_call+0x3c/0x168 [ 314.288675] do_idle+0x1fc/0x230 [ 314.291895] cpu_startup_entry+0x3c/0x50 [ 314.295810] rest_init+0xe4/0xf0 [ 314.299030] start_kernel+0x5e8/0x790 [ 314.302684] __primary_switched+0x80/0x90 [ 314.306691] Code: 940029eb 360ffc13 f9442ea0 52800001 (f9406017) [ 314.312775] ---[ end trace 0000000000000000 ]--- [ 314.317384] Kernel panic - not syncing: Oops: Fatal exception in interrupt [ 314.324249] SMP: stopping secondary CPUs [ 314.328167] Kernel Offset: 0x2b9da00000 from 0xffffffc080000000 [ 314.334076] PHYS_OFFSET: 0x0 [ 314.336946] CPU features: 0x08,00002013,c0200000,0200421b [ 314.342337] Memory Limit: none [ 314.345382] ---[ end Kernel panic - not syncing: Oops: Fatal exception in interrupt ]--- Before resetting the G ---truncated--- Уязвимость модулей drivers/gpu/drm/v3d/v3d_drv.h, drivers/gpu/drm/v3d/v3d_gem.c и drivers/gpu/drm/v3d/v3d_irq.c ядра операционных систем Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Fix unsafe xarray access in implicit ODP handling __xa_store() and __xa_erase() were used without holding the proper lock, which led to a lockdep warning due to unsafe RCU usage. This patch replaces them with xa_store() and xa_erase(), which perform the necessary locking internally. ============================= WARNING: suspicious RCPU usage 6.14.0-rc7_for_upstream_debug_2025_03_18_15_01 #1 Not tainted ----------------------------- ./include/linux/xarray.h:1211 suspicious rcu_dereference_protected() usage! other info that might help us debug this: rcu_scheduler_active = 2, debug_locks = 1 3 locks held by kworker/u136:0/219: at: process_one_work+0xbe4/0x15f0 process_one_work+0x75c/0x15f0 pagefault_mr+0x9a5/0x1390 [mlx5_ib] stack backtrace: CPU: 14 UID: 0 PID: 219 Comm: kworker/u136:0 Not tainted 6.14.0-rc7_for_upstream_debug_2025_03_18_15_01 #1 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 Workqueue: mlx5_ib_page_fault mlx5_ib_eqe_pf_action [mlx5_ib] Call Trace: dump_stack_lvl+0xa8/0xc0 lockdep_rcu_suspicious+0x1e6/0x260 xas_create+0xb8a/0xee0 xas_store+0x73/0x14c0 __xa_store+0x13c/0x220 ? xa_store_range+0x390/0x390 ? spin_bug+0x1d0/0x1d0 pagefault_mr+0xcb5/0x1390 [mlx5_ib] ? _raw_spin_unlock+0x1f/0x30 mlx5_ib_eqe_pf_action+0x3be/0x2620 [mlx5_ib] ? lockdep_hardirqs_on_prepare+0x400/0x400 ? mlx5_ib_invalidate_range+0xcb0/0xcb0 [mlx5_ib] process_one_work+0x7db/0x15f0 ? pwq_dec_nr_in_flight+0xda0/0xda0 ? assign_work+0x168/0x240 worker_thread+0x57d/0xcd0 ? rescuer_thread+0xc40/0xc40 kthread+0x3b3/0x800 ? kthread_is_per_cpu+0xb0/0xb0 ? lock_downgrade+0x680/0x680 ? do_raw_spin_lock+0x12d/0x270 ? spin_bug+0x1d0/0x1d0 ? finish_task_switch.isra.0+0x284/0x9e0 ? lockdep_hardirqs_on_prepare+0x284/0x400 ? kthread_is_per_cpu+0xb0/0xb0 ret_from_fork+0x2d/0x70 ? kthread_is_per_cpu+0xb0/0xb0 ret_from_fork_asm+0x11/0x20 Уязвимость функции __xa_store() и __xa_erase() модуля drivers/infiniband/hw/mlx5/odp.c ядра операционных систем Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: IB/mlx5: Fix potential deadlock in MR deregistration The issue arises when kzalloc() is invoked while holding umem_mutex or any other lock acquired under umem_mutex. This is problematic because kzalloc() can trigger fs_reclaim_aqcuire(), which may, in turn, invoke mmu_notifier_invalidate_range_start(). This function can lead to mlx5_ib_invalidate_range(), which attempts to acquire umem_mutex again, resulting in a deadlock. The problematic flow: CPU0 | CPU1 ---------------------------------------|------------------------------------------------ mlx5_ib_dereg_mr() | → revoke_mr() | → mutex_lock(&umem_odp->umem_mutex) | | mlx5_mkey_cache_init() | → mutex_lock(&dev->cache.rb_lock) | → mlx5r_cache_create_ent_locked() | → kzalloc(GFP_KERNEL) | → fs_reclaim() | → mmu_notifier_invalidate_range_start() | → mlx5_ib_invalidate_range() | → mutex_lock(&umem_odp->umem_mutex) → cache_ent_find_and_store() | → mutex_lock(&dev->cache.rb_lock) | Additionally, when kzalloc() is called from within cache_ent_find_and_store(), we encounter the same deadlock due to re-acquisition of umem_mutex. Solve by releasing umem_mutex in dereg_mr() after umr_revoke_mr() and before acquiring rb_lock. This ensures that we don't hold umem_mutex while performing memory allocations that could trigger the reclaim path. This change prevents the deadlock by ensuring proper lock ordering and avoiding holding locks during memory allocation operations that could trigger the reclaim path. The following lockdep warning demonstrates the deadlock: python3/20557 is trying to acquire lock: ffff888387542128 (&umem_odp->umem_mutex){+.+.}-{4:4}, at: mlx5_ib_invalidate_range+0x5b/0x550 [mlx5_ib] but task is already holding lock: ffffffff82f6b840 (mmu_notifier_invalidate_range_start){+.+.}-{0:0}, at: unmap_vmas+0x7b/0x1a0 which lock already depends on the new lock. the existing dependency chain (in reverse order) is: -> #3 (mmu_notifier_invalidate_range_start){+.+.}-{0:0}: fs_reclaim_acquire+0x60/0xd0 mem_cgroup_css_alloc+0x6f/0x9b0 cgroup_init_subsys+0xa4/0x240 cgroup_init+0x1c8/0x510 start_kernel+0x747/0x760 x86_64_start_reservations+0x25/0x30 x86_64_start_kernel+0x73/0x80 common_startup_64+0x129/0x138 -> #2 (fs_reclaim){+.+.}-{0:0}: fs_reclaim_acquire+0x91/0xd0 __kmalloc_cache_noprof+0x4d/0x4c0 mlx5r_cache_create_ent_locked+0x75/0x620 [mlx5_ib] mlx5_mkey_cache_init+0x186/0x360 [mlx5_ib] mlx5_ib_stage_post_ib_reg_umr_init+0x3c/0x60 [mlx5_ib] __mlx5_ib_add+0x4b/0x190 [mlx5_ib] mlx5r_probe+0xd9/0x320 [mlx5_ib] auxiliary_bus_probe+0x42/0x70 really_probe+0xdb/0x360 __driver_probe_device+0x8f/0x130 driver_probe_device+0x1f/0xb0 __driver_attach+0xd4/0x1f0 bus_for_each_dev+0x79/0xd0 bus_add_driver+0xf0/0x200 driver_register+0x6e/0xc0 __auxiliary_driver_register+0x6a/0xc0 do_one_initcall+0x5e/0x390 do_init_module+0x88/0x240 init_module_from_file+0x85/0xc0 idempotent_init_module+0x104/0x300 __x64_sys_finit_module+0x68/0xc0 do_syscall_64+0x6d/0x140 entry_SYSCALL_64_after_hwframe+0x4b/0x53 -> #1 (&dev->cache.rb_lock){+.+.}-{4:4}: __mutex_lock+0x98/0xf10 __mlx5_ib_dereg_mr+0x6f2/0x890 [mlx5_ib] mlx5_ib_dereg_mr+0x21/0x110 [mlx5_ib] ib_dereg_mr_user+0x85/0x1f0 [ib_core] ---truncated--- Уязвимость модуля drivers/infiniband/hw/mlx5/mr.c ядра операционных систем Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: optee: ffa: fix sleep in atomic context The OP-TEE driver registers the function notif_callback() for FF-A notifications. However, this function is called in an atomic context leading to errors like this when processing asynchronous notifications: | BUG: sleeping function called from invalid context at kernel/locking/mutex.c:258 | in_atomic(): 1, irqs_disabled(): 1, non_block: 0, pid: 9, name: kworker/0:0 | preempt_count: 1, expected: 0 | RCU nest depth: 0, expected: 0 | CPU: 0 UID: 0 PID: 9 Comm: kworker/0:0 Not tainted 6.14.0-00019-g657536ebe0aa #13 | Hardware name: linux,dummy-virt (DT) | Workqueue: ffa_pcpu_irq_notification notif_pcpu_irq_work_fn | Call trace: | show_stack+0x18/0x24 (C) | dump_stack_lvl+0x78/0x90 | dump_stack+0x18/0x24 | __might_resched+0x114/0x170 | __might_sleep+0x48/0x98 | mutex_lock+0x24/0x80 | optee_get_msg_arg+0x7c/0x21c | simple_call_with_arg+0x50/0xc0 | optee_do_bottom_half+0x14/0x20 | notif_callback+0x3c/0x48 | handle_notif_callbacks+0x9c/0xe0 | notif_get_and_handle+0x40/0x88 | generic_exec_single+0x80/0xc0 | smp_call_function_single+0xfc/0x1a0 | notif_pcpu_irq_work_fn+0x2c/0x38 | process_one_work+0x14c/0x2b4 | worker_thread+0x2e4/0x3e0 | kthread+0x13c/0x210 | ret_from_fork+0x10/0x20 Fix this by adding work queue to process the notification in a non-atomic context. Уязвимость функции notif_callback() ядра операционных систем Linux связана с ожидаемым нарушением поведения в результате вызова функции в атомарном контексте. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: virtio-net: ensure the received length does not exceed allocated size In xdp_linearize_page, when reading the following buffers from the ring, we forget to check the received length with the true allocate size. This can lead to an out-of-bound read. This commit adds that missing check. Уязвимость функции xdp_linearize_page() модуля drivers/net/virtio_net.c ядра операционных систем Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: chipidea: udc: disconnect/reconnect from host when do suspend/resume Shawn and John reported a hang issue during system suspend as below: - USB gadget is enabled as Ethernet - There is data transfer over USB Ethernet (scp a big file between host and device) - Device is going in/out suspend (echo mem > /sys/power/state) The root cause is the USB device controller is suspended but the USB bus is still active which caused the USB host continues to transfer data with device and the device continues to queue USB requests (in this case, a delayed TCP ACK packet trigger the issue) after controller is suspended, however the USB controller clock is already gated off. Then if udc driver access registers after that point, the system will hang. The correct way to avoid such issue is to disconnect device from host when the USB bus is not at suspend state. Then the host will receive disconnect event and stop data transfer in time. To continue make USB gadget device work after system resume, this will reconnect device automatically. To make usb wakeup work if USB bus is already at suspend state, this will keep connection for it only when USB device controller has enabled wakeup capability. Уязвимость модуля drivers/usb/chipidea/udc.c ядра операционных систем Linux связана с некорректной работой шины USB независимо от отключения контроллера USB-устройства в результате неправильной блокировки ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rose: fix dangling neighbour pointers in rose_rt_device_down() There are two bugs in rose_rt_device_down() that can cause use-after-free: 1. The loop bound `t->count` is modified within the loop, which can cause the loop to terminate early and miss some entries. 2. When removing an entry from the neighbour array, the subsequent entries are moved up to fill the gap, but the loop index `i` is still incremented, causing the next entry to be skipped. For example, if a node has three neighbours (A, A, B) with count=3 and A is being removed, the second A is not checked. i=0: (A, A, B) -> (A, B) with count=2 ^ checked i=1: (A, B) -> (A, B) with count=2 ^ checked (B, not A!) i=2: (doesn't occur because i < count is false) This leaves the second A in the array with count=2, but the rose_neigh structure has been freed. Code that accesses these entries assumes that the first `count` entries are valid pointers, causing a use-after-free when it accesses the dangling pointer. Fix both issues by iterating over the array in reverse order with a fixed loop bound. This ensures that all entries are examined and that the removal of an entry doesn't affect subsequent iterations. Уязвимость функции rose_rt_device_down() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Input: cs40l50-vibra - fix potential NULL dereference in cs40l50_upload_owt() The cs40l50_upload_owt() function allocates memory via kmalloc() without checking for allocation failure, which could lead to a NULL pointer dereference. Return -ENOMEM in case allocation fails. Уязвимость функции cs40l50_upload_owt() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix iteration of extrefs during log replay At __inode_add_ref() when processing extrefs, if we jump into the next label we have an undefined value of victim_name.len, since we haven't initialized it before we did the goto. This results in an invalid memory access in the next iteration of the loop since victim_name.len was not initialized to the length of the name of the current extref. Fix this by initializing victim_name.len with the current extref's name length. Уязвимость функции __inode_add_ref() ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/vmalloc: fix data race in show_numa_info() The following data-race was found in show_numa_info(): ================================================================== BUG: KCSAN: data-race in vmalloc_info_show / vmalloc_info_show read to 0xffff88800971fe30 of 4 bytes by task 8289 on cpu 0: show_numa_info mm/vmalloc.c:4936 [inline] vmalloc_info_show+0x5a8/0x7e0 mm/vmalloc.c:5016 seq_read_iter+0x373/0xb40 fs/seq_file.c:230 proc_reg_read_iter+0x11e/0x170 fs/proc/inode.c:299 .... write to 0xffff88800971fe30 of 4 bytes by task 8287 on cpu 1: show_numa_info mm/vmalloc.c:4934 [inline] vmalloc_info_show+0x38f/0x7e0 mm/vmalloc.c:5016 seq_read_iter+0x373/0xb40 fs/seq_file.c:230 proc_reg_read_iter+0x11e/0x170 fs/proc/inode.c:299 .... value changed: 0x0000008f -> 0x00000000 ================================================================== According to this report,there is a read/write data-race because m->private is accessible to multiple CPUs. To fix this, instead of allocating the heap in proc_vmalloc_init() and passing the heap address to m->private, vmalloc_info_show() should allocate the heap. Уязвимость функции show_numa_info() ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mtd: spinand: fix memory leak of ECC engine conf Memory allocated for the ECC engine conf is not released during spinand cleanup. Below kmemleak trace is seen for this memory leak: unreferenced object 0xffffff80064f00e0 (size 8): comm "swapper/0", pid 1, jiffies 4294937458 hex dump (first 8 bytes): 00 00 00 00 00 00 00 00 ........ backtrace (crc 0): kmemleak_alloc+0x30/0x40 __kmalloc_cache_noprof+0x208/0x3c0 spinand_ondie_ecc_init_ctx+0x114/0x200 nand_ecc_init_ctx+0x70/0xa8 nanddev_ecc_engine_init+0xec/0x27c spinand_probe+0xa2c/0x1620 spi_mem_probe+0x130/0x21c spi_probe+0xf0/0x170 really_probe+0x17c/0x6e8 __driver_probe_device+0x17c/0x21c driver_probe_device+0x58/0x180 __device_attach_driver+0x15c/0x1f8 bus_for_each_drv+0xec/0x150 __device_attach+0x188/0x24c device_initial_probe+0x10/0x20 bus_probe_device+0x11c/0x160 Fix the leak by calling nanddev_ecc_engine_cleanup() inside spinand_cleanup(). Уязвимость функции nanddev_ecc_engine_cleanup() ядра операционной системы Linux связана с возможной утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: lan78xx: fix WARN in __netif_napi_del_locked on disconnect Remove redundant netif_napi_del() call from disconnect path. A WARN may be triggered in __netif_napi_del_locked() during USB device disconnect: WARNING: CPU: 0 PID: 11 at net/core/dev.c:7417 __netif_napi_del_locked+0x2b4/0x350 This happens because netif_napi_del() is called in the disconnect path while NAPI is still enabled. However, it is not necessary to call netif_napi_del() explicitly, since unregister_netdev() will handle NAPI teardown automatically and safely. Removing the redundant call avoids triggering the warning. Full trace: lan78xx 1-1:1.0 enu1: Failed to read register index 0x000000c4. ret = -ENODEV lan78xx 1-1:1.0 enu1: Failed to set MAC down with error -ENODEV lan78xx 1-1:1.0 enu1: Link is Down lan78xx 1-1:1.0 enu1: Failed to read register index 0x00000120. ret = -ENODEV ------------[ cut here ]------------ WARNING: CPU: 0 PID: 11 at net/core/dev.c:7417 __netif_napi_del_locked+0x2b4/0x350 Modules linked in: flexcan can_dev fuse CPU: 0 UID: 0 PID: 11 Comm: kworker/0:1 Not tainted 6.16.0-rc2-00624-ge926949dab03 #9 PREEMPT Hardware name: SKOV IMX8MP CPU revC - bd500 (DT) Workqueue: usb_hub_wq hub_event pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : __netif_napi_del_locked+0x2b4/0x350 lr : __netif_napi_del_locked+0x7c/0x350 sp : ffffffc085b673c0 x29: ffffffc085b673c0 x28: ffffff800b7f2000 x27: ffffff800b7f20d8 x26: ffffff80110bcf58 x25: ffffff80110bd978 x24: 1ffffff0022179eb x23: ffffff80110bc000 x22: ffffff800b7f5000 x21: ffffff80110bc000 x20: ffffff80110bcf38 x19: ffffff80110bcf28 x18: dfffffc000000000 x17: ffffffc081578940 x16: ffffffc08284cee0 x15: 0000000000000028 x14: 0000000000000006 x13: 0000000000040000 x12: ffffffb0022179e8 x11: 1ffffff0022179e7 x10: ffffffb0022179e7 x9 : dfffffc000000000 x8 : 0000004ffdde8619 x7 : ffffff80110bcf3f x6 : 0000000000000001 x5 : ffffff80110bcf38 x4 : ffffff80110bcf38 x3 : 0000000000000000 x2 : 0000000000000000 x1 : 1ffffff0022179e7 x0 : 0000000000000000 Call trace: __netif_napi_del_locked+0x2b4/0x350 (P) lan78xx_disconnect+0xf4/0x360 usb_unbind_interface+0x158/0x718 device_remove+0x100/0x150 device_release_driver_internal+0x308/0x478 device_release_driver+0x1c/0x30 bus_remove_device+0x1a8/0x368 device_del+0x2e0/0x7b0 usb_disable_device+0x244/0x540 usb_disconnect+0x220/0x758 hub_event+0x105c/0x35e0 process_one_work+0x760/0x17b0 worker_thread+0x768/0xce8 kthread+0x3bc/0x690 ret_from_fork+0x10/0x20 irq event stamp: 211604 hardirqs last enabled at (211603): [<ffffffc0828cc9ec>] _raw_spin_unlock_irqrestore+0x84/0x98 hardirqs last disabled at (211604): [<ffffffc0828a9a84>] el1_dbg+0x24/0x80 softirqs last enabled at (211296): [<ffffffc080095f10>] handle_softirqs+0x820/0xbc8 softirqs last disabled at (210993): [<ffffffc080010288>] __do_softirq+0x18/0x20 ---[ end trace 0000000000000000 ]--- lan78xx 1-1:1.0 enu1: failed to kill vid 0081/0 Уязвимость функции netif_napi_del() ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-404')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ACPICA: Refuse to evaluate a method if arguments are missing As reported in [1], a platform firmware update that increased the number of method parameters and forgot to update a least one of its callers, caused ACPICA to crash due to use-after-free. Since this a result of a clear AML issue that arguably cannot be fixed up by the interpreter (it cannot produce missing data out of thin air), address it by making ACPICA refuse to evaluate a method if the caller attempts to pass fewer arguments than expected to it. Уязвимость компонента ACPICA ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Initialize obj_event->obj_sub_list before xa_insert The obj_event may be loaded immediately after inserted, then if the list_head is not initialized then we may get a poisonous pointer. This fixes the crash below: mlx5_core 0000:03:00.0: MLX5E: StrdRq(1) RqSz(8) StrdSz(2048) RxCqeCmprss(0 enhanced) mlx5_core.sf mlx5_core.sf.4: firmware version: 32.38.3056 mlx5_core 0000:03:00.0 en3f0pf0sf2002: renamed from eth0 mlx5_core.sf mlx5_core.sf.4: Rate limit: 127 rates are supported, range: 0Mbps to 195312Mbps IPv6: ADDRCONF(NETDEV_CHANGE): en3f0pf0sf2002: link becomes ready Unable to handle kernel NULL pointer dereference at virtual address 0000000000000060 Mem abort info: ESR = 0x96000006 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 Data abort info: ISV = 0, ISS = 0x00000006 CM = 0, WnR = 0 user pgtable: 4k pages, 48-bit VAs, pgdp=00000007760fb000 [0000000000000060] pgd=000000076f6d7003, p4d=000000076f6d7003, pud=0000000777841003, pmd=0000000000000000 Internal error: Oops: 96000006 [#1] SMP Modules linked in: ipmb_host(OE) act_mirred(E) cls_flower(E) sch_ingress(E) mptcp_diag(E) udp_diag(E) raw_diag(E) unix_diag(E) tcp_diag(E) inet_diag(E) binfmt_misc(E) bonding(OE) rdma_ucm(OE) rdma_cm(OE) iw_cm(OE) ib_ipoib(OE) ib_cm(OE) isofs(E) cdrom(E) mst_pciconf(OE) ib_umad(OE) mlx5_ib(OE) ipmb_dev_int(OE) mlx5_core(OE) kpatch_15237886(OEK) mlxdevm(OE) auxiliary(OE) ib_uverbs(OE) ib_core(OE) psample(E) mlxfw(OE) tls(E) sunrpc(E) vfat(E) fat(E) crct10dif_ce(E) ghash_ce(E) sha1_ce(E) sbsa_gwdt(E) virtio_console(E) ext4(E) mbcache(E) jbd2(E) xfs(E) libcrc32c(E) mmc_block(E) virtio_net(E) net_failover(E) failover(E) sha2_ce(E) sha256_arm64(E) nvme(OE) nvme_core(OE) gpio_mlxbf3(OE) mlx_compat(OE) mlxbf_pmc(OE) i2c_mlxbf(OE) sdhci_of_dwcmshc(OE) pinctrl_mlxbf3(OE) mlxbf_pka(OE) gpio_generic(E) i2c_core(E) mmc_core(E) mlxbf_gige(OE) vitesse(E) pwr_mlxbf(OE) mlxbf_tmfifo(OE) micrel(E) mlxbf_bootctl(OE) virtio_ring(E) virtio(E) ipmi_devintf(E) ipmi_msghandler(E) [last unloaded: mst_pci] CPU: 11 PID: 20913 Comm: rte-worker-11 Kdump: loaded Tainted: G OE K 5.10.134-13.1.an8.aarch64 #1 Hardware name: https://www.mellanox.com BlueField-3 SmartNIC Main Card/BlueField-3 SmartNIC Main Card, BIOS 4.2.2.12968 Oct 26 2023 pstate: a0400089 (NzCv daIf +PAN -UAO -TCO BTYPE=--) pc : dispatch_event_fd+0x68/0x300 [mlx5_ib] lr : devx_event_notifier+0xcc/0x228 [mlx5_ib] sp : ffff80001005bcf0 x29: ffff80001005bcf0 x28: 0000000000000001 x27: ffff244e0740a1d8 x26: ffff244e0740a1d0 x25: ffffda56beff5ae0 x24: ffffda56bf911618 x23: ffff244e0596a480 x22: ffff244e0596a480 x21: ffff244d8312ad90 x20: ffff244e0596a480 x19: fffffffffffffff0 x18: 0000000000000000 x17: 0000000000000000 x16: ffffda56be66d620 x15: 0000000000000000 x14: 0000000000000000 x13: 0000000000000000 x12: 0000000000000000 x11: 0000000000000040 x10: ffffda56bfcafb50 x9 : ffffda5655c25f2c x8 : 0000000000000010 x7 : 0000000000000000 x6 : ffff24545a2e24b8 x5 : 0000000000000003 x4 : ffff80001005bd28 x3 : 0000000000000000 x2 : 0000000000000000 x1 : ffff244e0596a480 x0 : ffff244d8312ad90 Call trace: dispatch_event_fd+0x68/0x300 [mlx5_ib] devx_event_notifier+0xcc/0x228 [mlx5_ib] atomic_notifier_call_chain+0x58/0x80 mlx5_eq_async_int+0x148/0x2b0 [mlx5_core] atomic_notifier_call_chain+0x58/0x80 irq_int_handler+0x20/0x30 [mlx5_core] __handle_irq_event_percpu+0x60/0x220 handle_irq_event_percpu+0x3c/0x90 handle_irq_event+0x58/0x158 handle_fasteoi_irq+0xfc/0x188 generic_handle_irq+0x34/0x48 ... Уязвимость функции obj_event() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: firmware: arm_ffa: Replace mutex with rwlock to avoid sleep in atomic context The current use of a mutex to protect the notifier hashtable accesses can lead to issues in the atomic context. It results in the below kernel warnings: | BUG: sleeping function called from invalid context at kernel/locking/mutex.c:258 | in_atomic(): 1, irqs_disabled(): 1, non_block: 0, pid: 9, name: kworker/0:0 | preempt_count: 1, expected: 0 | RCU nest depth: 0, expected: 0 | CPU: 0 UID: 0 PID: 9 Comm: kworker/0:0 Not tainted 6.14.0 #4 | Workqueue: ffa_pcpu_irq_notification notif_pcpu_irq_work_fn | Call trace: | show_stack+0x18/0x24 (C) | dump_stack_lvl+0x78/0x90 | dump_stack+0x18/0x24 | __might_resched+0x114/0x170 | __might_sleep+0x48/0x98 | mutex_lock+0x24/0x80 | handle_notif_callbacks+0x54/0xe0 | notif_get_and_handle+0x40/0x88 | generic_exec_single+0x80/0xc0 | smp_call_function_single+0xfc/0x1a0 | notif_pcpu_irq_work_fn+0x2c/0x38 | process_one_work+0x14c/0x2b4 | worker_thread+0x2e4/0x3e0 | kthread+0x13c/0x210 | ret_from_fork+0x10/0x20 To address this, replace the mutex with an rwlock to protect the notifier hashtable accesses. This ensures that read-side locking does not sleep and multiple readers can acquire the lock concurrently, avoiding unnecessary contention and potential deadlocks. Writer access remains exclusive, preserving correctness. This change resolves warnings from lockdep about potential sleep in atomic context. Уязвимость функции in_atomic() ядра операционной системы Linux связана с зависанием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/i915/gt: Fix timeline left held on VMA alloc error The following error has been reported sporadically by CI when a test unbinds the i915 driver on a ring submission platform: <4> [239.330153] ------------[ cut here ]------------ <4> [239.330166] i915 0000:00:02.0: [drm] drm_WARN_ON(dev_priv->mm.shrink_count) <4> [239.330196] WARNING: CPU: 1 PID: 18570 at drivers/gpu/drm/i915/i915_gem.c:1309 i915_gem_cleanup_early+0x13e/0x150 [i915] ... <4> [239.330640] RIP: 0010:i915_gem_cleanup_early+0x13e/0x150 [i915] ... <4> [239.330942] Call Trace: <4> [239.330944] <TASK> <4> [239.330949] i915_driver_late_release+0x2b/0xa0 [i915] <4> [239.331202] i915_driver_release+0x86/0xa0 [i915] <4> [239.331482] devm_drm_dev_init_release+0x61/0x90 <4> [239.331494] devm_action_release+0x15/0x30 <4> [239.331504] release_nodes+0x3d/0x120 <4> [239.331517] devres_release_all+0x96/0xd0 <4> [239.331533] device_unbind_cleanup+0x12/0x80 <4> [239.331543] device_release_driver_internal+0x23a/0x280 <4> [239.331550] ? bus_find_device+0xa5/0xe0 <4> [239.331563] device_driver_detach+0x14/0x20 ... <4> [357.719679] ---[ end trace 0000000000000000 ]--- If the test also unloads the i915 module then that's followed with: <3> [357.787478] ============================================================================= <3> [357.788006] BUG i915_vma (Tainted: G U W N ): Objects remaining on __kmem_cache_shutdown() <3> [357.788031] ----------------------------------------------------------------------------- <3> [357.788204] Object 0xffff888109e7f480 @offset=29824 <3> [357.788670] Allocated in i915_vma_instance+0xee/0xc10 [i915] age=292729 cpu=4 pid=2244 <4> [357.788994] i915_vma_instance+0xee/0xc10 [i915] <4> [357.789290] init_status_page+0x7b/0x420 [i915] <4> [357.789532] intel_engines_init+0x1d8/0x980 [i915] <4> [357.789772] intel_gt_init+0x175/0x450 [i915] <4> [357.790014] i915_gem_init+0x113/0x340 [i915] <4> [357.790281] i915_driver_probe+0x847/0xed0 [i915] <4> [357.790504] i915_pci_probe+0xe6/0x220 [i915] ... Closer analysis of CI results history has revealed a dependency of the error on a few IGT tests, namely: - igt@api_intel_allocator@fork-simple-stress-signal, - igt@api_intel_allocator@two-level-inception-interruptible, - igt@gem_linear_blits@interruptible, - igt@prime_mmap_coherency@ioctl-errors, which invisibly trigger the issue, then exhibited with first driver unbind attempt. All of the above tests perform actions which are actively interrupted with signals. Further debugging has allowed to narrow that scope down to DRM_IOCTL_I915_GEM_EXECBUFFER2, and ring_context_alloc(), specific to ring submission, in particular. If successful then that function, or its execlists or GuC submission equivalent, is supposed to be called only once per GEM context engine, followed by raise of a flag that prevents the function from being called again. The function is expected to unwind its internal errors itself, so it may be safely called once more after it returns an error. In case of ring submission, the function first gets a reference to the engine's legacy timeline and then allocates a VMA. If the VMA allocation fails, e.g. when i915_vma_instance() called from inside is interrupted with a signal, then ring_context_alloc() fails, leaving the timeline held referenced. On next I915_GEM_EXECBUFFER2 IOCTL, another reference to the timeline is got, and only that last one is put on successful completion. As a consequence, the legacy timeline, with its underlying engine status page's VMA object, is still held and not released on driver unbind. Get the legacy timeline only after successful allocation of the context engine's VMA. v2: Add a note on other submission methods (Krzysztof Karas): Both execlists and GuC submission use lrc_alloc() which seems free from a similar issue. (cherry picked from commit cc43422b3cc79eacff4c5a8ba0d224688ca9dd4f) Уязвимость функции __kmem_cache_shutdown ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: firmware: arm_ffa: Fix memory leak by freeing notifier callback node Commit e0573444edbf ("firmware: arm_ffa: Add interfaces to request notification callbacks") adds support for notifier callbacks by allocating and inserting a callback node into a hashtable during registration of notifiers. However, during unregistration, the code only removes the node from the hashtable without freeing the associated memory, resulting in a memory leak. Resolve the memory leak issue by ensuring the allocated notifier callback node is properly freed after it is removed from the hashtable entry. Уязвимость компонента arm_ffa ядра операционной системы Linux связана с возможной утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: typec: altmodes/displayport: do not index invalid pin_assignments A poorly implemented DisplayPort Alt Mode port partner can indicate that its pin assignment capabilities are greater than the maximum value, DP_PIN_ASSIGN_F. In this case, calls to pin_assignment_show will cause a BRK exception due to an out of bounds array access. Prevent for loop in pin_assignment_show from accessing invalid values in pin_assignments by adding DP_PIN_ASSIGN_MAX value in typec_dp.h and using i < DP_PIN_ASSIGN_MAX as a loop condition. Уязвимость компонента displayport ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: idpf: convert control queue mutex to a spinlock With VIRTCHNL2_CAP_MACFILTER enabled, the following warning is generated on module load: [ 324.701677] BUG: sleeping function called from invalid context at kernel/locking/mutex.c:578 [ 324.701684] in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 1582, name: NetworkManager [ 324.701689] preempt_count: 201, expected: 0 [ 324.701693] RCU nest depth: 0, expected: 0 [ 324.701697] 2 locks held by NetworkManager/1582: [ 324.701702] #0: ffffffff9f7be770 (rtnl_mutex){....}-{3:3}, at: rtnl_newlink+0x791/0x21e0 [ 324.701730] #1: ff1100216c380368 (_xmit_ETHER){....}-{2:2}, at: __dev_open+0x3f0/0x870 [ 324.701749] Preemption disabled at: [ 324.701752] [<ffffffff9cd23b9d>] __dev_open+0x3dd/0x870 [ 324.701765] CPU: 30 UID: 0 PID: 1582 Comm: NetworkManager Not tainted 6.15.0-rc5+ #2 PREEMPT(voluntary) [ 324.701771] Hardware name: Intel Corporation M50FCP2SBSTD/M50FCP2SBSTD, BIOS SE5C741.86B.01.01.0001.2211140926 11/14/2022 [ 324.701774] Call Trace: [ 324.701777] <TASK> [ 324.701779] dump_stack_lvl+0x5d/0x80 [ 324.701788] ? __dev_open+0x3dd/0x870 [ 324.701793] __might_resched.cold+0x1ef/0x23d <..> [ 324.701818] __mutex_lock+0x113/0x1b80 <..> [ 324.701917] idpf_ctlq_clean_sq+0xad/0x4b0 [idpf] [ 324.701935] ? kasan_save_track+0x14/0x30 [ 324.701941] idpf_mb_clean+0x143/0x380 [idpf] <..> [ 324.701991] idpf_send_mb_msg+0x111/0x720 [idpf] [ 324.702009] idpf_vc_xn_exec+0x4cc/0x990 [idpf] [ 324.702021] ? rcu_is_watching+0x12/0xc0 [ 324.702035] idpf_add_del_mac_filters+0x3ed/0xb50 [idpf] <..> [ 324.702122] __hw_addr_sync_dev+0x1cf/0x300 [ 324.702126] ? find_held_lock+0x32/0x90 [ 324.702134] idpf_set_rx_mode+0x317/0x390 [idpf] [ 324.702152] __dev_open+0x3f8/0x870 [ 324.702159] ? __pfx___dev_open+0x10/0x10 [ 324.702174] __dev_change_flags+0x443/0x650 <..> [ 324.702208] netif_change_flags+0x80/0x160 [ 324.702218] do_setlink.isra.0+0x16a0/0x3960 <..> [ 324.702349] rtnl_newlink+0x12fd/0x21e0 The sequence is as follows: rtnl_newlink()-> __dev_change_flags()-> __dev_open()-> dev_set_rx_mode() - > # disables BH and grabs "dev->addr_list_lock" idpf_set_rx_mode() -> # proceed only if VIRTCHNL2_CAP_MACFILTER is ON __dev_uc_sync() -> idpf_add_mac_filter -> idpf_add_del_mac_filters -> idpf_send_mb_msg() -> idpf_mb_clean() -> idpf_ctlq_clean_sq() # mutex_lock(cq_lock) Fix by converting cq_lock to a spinlock. All operations under the new lock are safe except freeing the DMA memory, which may use vunmap(). Fix by requesting a contiguous physical memory for the DMA mapping. Уязвимость компонента idpf ядра операционной системы Linux связана с ошибками использования памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFSv4/pNFS: Fix a race to wake on NFS_LAYOUT_DRAIN We found a few different systems hung up in writeback waiting on the same page lock, and one task waiting on the NFS_LAYOUT_DRAIN bit in pnfs_update_layout(), however the pnfs_layout_hdr's plh_outstanding count was zero. It seems most likely that this is another race between the waiter and waker similar to commit ed0172af5d6f ("SUNRPC: Fix a race to wake a sync task"). Fix it up by applying the advised barrier. Уязвимость функции pnfs_update_layout ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: regulator: gpio: Fix the out-of-bounds access to drvdata::gpiods drvdata::gpiods is supposed to hold an array of 'gpio_desc' pointers. But the memory is allocated for only one pointer. This will lead to out-of-bounds access later in the code if 'config::ngpios' is > 1. So fix the code to allocate enough memory to hold 'config::ngpios' of GPIO descriptors. While at it, also move the check for memory allocation failure to be below the allocation to make it more readable. Уязвимость модуля drivers/regulator/gpio-regulator.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs: export anon_inode_make_secure_inode() and fix secretmem LSM bypass Export anon_inode_make_secure_inode() to allow KVM guest_memfd to create anonymous inodes with proper security context. This replaces the current pattern of calling alloc_anon_inode() followed by inode_init_security_anon() for creating security context manually. This change also fixes a security regression in secretmem where the S_PRIVATE flag was not cleared after alloc_anon_inode(), causing LSM/SELinux checks to be bypassed for secretmem file descriptors. As guest_memfd currently resides in the KVM module, we need to export this symbol for use outside the core kernel. In the future, guest_memfd might be moved to core-mm, at which point the symbols no longer would have to be exported. When/if that happens is still unclear. Уязвимость функции anon_inode_make_secure_inode() ядра операционной системы Linux связана с истощением дескриптора файлов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: target: Fix NULL pointer dereference in core_scsi3_decode_spec_i_port() The function core_scsi3_decode_spec_i_port(), in its error code path, unconditionally calls core_scsi3_lunacl_undepend_item() passing the dest_se_deve pointer, which may be NULL. This can lead to a NULL pointer dereference if dest_se_deve remains unset. SPC-3 PR SPEC_I_PT: Unable to locate dest_tpg Unable to handle kernel paging request at virtual address dfff800000000012 Call trace: core_scsi3_lunacl_undepend_item+0x2c/0xf0 [target_core_mod] (P) core_scsi3_decode_spec_i_port+0x120c/0x1c30 [target_core_mod] core_scsi3_emulate_pro_register+0x6b8/0xcd8 [target_core_mod] target_scsi3_emulate_pr_out+0x56c/0x840 [target_core_mod] Fix this by adding a NULL check before calling core_scsi3_lunacl_undepend_item() Уязвимость функции core_scsi3_decode_spec_i_port() компонента scsi ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfs: Clean up /proc/net/rpc/nfs when nfs_fs_proc_net_init() fails. syzbot reported a warning below [1] following a fault injection in nfs_fs_proc_net_init(). [0] When nfs_fs_proc_net_init() fails, /proc/net/rpc/nfs is not removed. Later, rpc_proc_exit() tries to remove /proc/net/rpc, and the warning is logged as the directory is not empty. Let's handle the error of nfs_fs_proc_net_init() properly. [0]: FAULT_INJECTION: forcing a failure. name failslab, interval 1, probability 0, space 0, times 0 CPU: 1 UID: 0 PID: 6120 Comm: syz.2.27 Not tainted 6.16.0-rc1-syzkaller-00010-g2c4a1f3fe03e #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Call Trace: <TASK> dump_stack_lvl (lib/dump_stack.c:123) should_fail_ex (lib/fault-inject.c:73 lib/fault-inject.c:174) should_failslab (mm/failslab.c:46) kmem_cache_alloc_noprof (mm/slub.c:4178 mm/slub.c:4204) __proc_create (fs/proc/generic.c:427) proc_create_reg (fs/proc/generic.c:554) proc_create_net_data (fs/proc/proc_net.c:120) nfs_fs_proc_net_init (fs/nfs/client.c:1409) nfs_net_init (fs/nfs/inode.c:2600) ops_init (net/core/net_namespace.c:138) setup_net (net/core/net_namespace.c:443) copy_net_ns (net/core/net_namespace.c:576) create_new_namespaces (kernel/nsproxy.c:110) unshare_nsproxy_namespaces (kernel/nsproxy.c:218 (discriminator 4)) ksys_unshare (kernel/fork.c:3123) __x64_sys_unshare (kernel/fork.c:3190) do_syscall_64 (arch/x86/entry/syscall_64.c:63 arch/x86/entry/syscall_64.c:94) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) </TASK> [1]: remove_proc_entry: removing non-empty directory 'net/rpc', leaking at least 'nfs' WARNING: CPU: 1 PID: 6120 at fs/proc/generic.c:727 remove_proc_entry+0x45e/0x530 fs/proc/generic.c:727 Modules linked in: CPU: 1 UID: 0 PID: 6120 Comm: syz.2.27 Not tainted 6.16.0-rc1-syzkaller-00010-g2c4a1f3fe03e #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 RIP: 0010:remove_proc_entry+0x45e/0x530 fs/proc/generic.c:727 Code: 3c 02 00 0f 85 85 00 00 00 48 8b 93 d8 00 00 00 4d 89 f0 4c 89 e9 48 c7 c6 40 ba a2 8b 48 c7 c7 60 b9 a2 8b e8 33 81 1d ff 90 <0f> 0b 90 90 e9 5f fe ff ff e8 04 69 5e ff 90 48 b8 00 00 00 00 00 RSP: 0018:ffffc90003637b08 EFLAGS: 00010282 RAX: 0000000000000000 RBX: ffff88805f534140 RCX: ffffffff817a92c8 RDX: ffff88807da99e00 RSI: ffffffff817a92d5 RDI: 0000000000000001 RBP: ffff888033431ac0 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000001 R12: ffff888033431a00 R13: ffff888033431ae4 R14: ffff888033184724 R15: dffffc0000000000 FS: 0000555580328500(0000) GS:ffff888124a62000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f71733743e0 CR3: 000000007f618000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> sunrpc_exit_net+0x46/0x90 net/sunrpc/sunrpc_syms.c:76 ops_exit_list net/core/net_namespace.c:200 [inline] ops_undo_list+0x2eb/0xab0 net/core/net_namespace.c:253 setup_net+0x2e1/0x510 net/core/net_namespace.c:457 copy_net_ns+0x2a6/0x5f0 net/core/net_namespace.c:574 create_new_namespaces+0x3ea/0xa90 kernel/nsproxy.c:110 unshare_nsproxy_namespaces+0xc0/0x1f0 kernel/nsproxy.c:218 ksys_unshare+0x45b/0xa40 kernel/fork.c:3121 __do_sys_unshare kernel/fork.c:3192 [inline] __se_sys_unshare kernel/fork.c:3190 [inline] __x64_sys_unshare+0x31/0x40 kernel/fork.c:3190 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x490 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fa1a6b8e929 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c ---truncated--- Уязвимость функции nfs_fs_proc_net_init() файловой системы NFS ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mtk-sd: Prevent memory corruption from DMA map failure If msdc_prepare_data() fails to map the DMA region, the request is not prepared for data receiving, but msdc_start_data() proceeds the DMA with previous setting. Since this will lead a memory corruption, we have to stop the request operation soon after the msdc_prepare_data() fails to prepare it. Уязвимость функции msdc_prepare_data() компонента mtk-sd ядра операционной системы Linux связана с ошибками использования памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: idpf: return 0 size for RSS key if not supported Returning -EOPNOTSUPP from function returning u32 is leading to cast and invalid size value as a result. -EOPNOTSUPP as a size probably will lead to allocation fail. Command: ethtool -x eth0 It is visible on all devices that don't have RSS caps set. [ 136.615917] Call Trace: [ 136.615921] <TASK> [ 136.615927] ? __warn+0x89/0x130 [ 136.615942] ? __alloc_frozen_pages_noprof+0x322/0x330 [ 136.615953] ? report_bug+0x164/0x190 [ 136.615968] ? handle_bug+0x58/0x90 [ 136.615979] ? exc_invalid_op+0x17/0x70 [ 136.615987] ? asm_exc_invalid_op+0x1a/0x20 [ 136.616001] ? rss_prepare_get.constprop.0+0xb9/0x170 [ 136.616016] ? __alloc_frozen_pages_noprof+0x322/0x330 [ 136.616028] __alloc_pages_noprof+0xe/0x20 [ 136.616038] ___kmalloc_large_node+0x80/0x110 [ 136.616072] __kmalloc_large_node_noprof+0x1d/0xa0 [ 136.616081] __kmalloc_noprof+0x32c/0x4c0 [ 136.616098] ? rss_prepare_get.constprop.0+0xb9/0x170 [ 136.616105] rss_prepare_get.constprop.0+0xb9/0x170 [ 136.616114] ethnl_default_doit+0x107/0x3d0 [ 136.616131] genl_family_rcv_msg_doit+0x100/0x160 [ 136.616147] genl_rcv_msg+0x1b8/0x2c0 [ 136.616156] ? __pfx_ethnl_default_doit+0x10/0x10 [ 136.616168] ? __pfx_genl_rcv_msg+0x10/0x10 [ 136.616176] netlink_rcv_skb+0x58/0x110 [ 136.616186] genl_rcv+0x28/0x40 [ 136.616195] netlink_unicast+0x19b/0x290 [ 136.616206] netlink_sendmsg+0x222/0x490 [ 136.616215] __sys_sendto+0x1fd/0x210 [ 136.616233] __x64_sys_sendto+0x24/0x30 [ 136.616242] do_syscall_64+0x82/0x160 [ 136.616252] ? __sys_recvmsg+0x83/0xe0 [ 136.616265] ? syscall_exit_to_user_mode+0x10/0x210 [ 136.616275] ? do_syscall_64+0x8e/0x160 [ 136.616282] ? __count_memcg_events+0xa1/0x130 [ 136.616295] ? count_memcg_events.constprop.0+0x1a/0x30 [ 136.616306] ? handle_mm_fault+0xae/0x2d0 [ 136.616319] ? do_user_addr_fault+0x379/0x670 [ 136.616328] ? clear_bhb_loop+0x45/0xa0 [ 136.616340] ? clear_bhb_loop+0x45/0xa0 [ 136.616349] ? clear_bhb_loop+0x45/0xa0 [ 136.616359] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 136.616369] RIP: 0033:0x7fd30ba7b047 [ 136.616376] Code: 0c 00 f7 d8 64 89 02 48 c7 c0 ff ff ff ff eb b8 0f 1f 00 f3 0f 1e fa 80 3d bd d5 0c 00 00 41 89 ca 74 10 b8 2c 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 71 c3 55 48 83 ec 30 44 89 4c 24 2c 4c 89 44 [ 136.616381] RSP: 002b:00007ffde1796d68 EFLAGS: 00000202 ORIG_RAX: 000000000000002c [ 136.616388] RAX: ffffffffffffffda RBX: 000055d7bd89f2a0 RCX: 00007fd30ba7b047 [ 136.616392] RDX: 0000000000000028 RSI: 000055d7bd89f3b0 RDI: 0000000000000003 [ 136.616396] RBP: 00007ffde1796e10 R08: 00007fd30bb4e200 R09: 000000000000000c [ 136.616399] R10: 0000000000000000 R11: 0000000000000202 R12: 000055d7bd89f340 [ 136.616403] R13: 000055d7bd89f3b0 R14: 000055d78943f200 R15: 0000000000000000 Уязвимость компонента idpf ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vsock/vmci: Clear the vmci transport packet properly when initializing it In vmci_transport_packet_init memset the vmci_transport_packet before populating the fields to avoid any uninitialised data being left in the structure. Уязвимость функции vmci_transport_packet() ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvmet: fix memory leak of bio integrity If nvmet receives commands with metadata there is a continuous memory leak of kmalloc-128 slab or more precisely bio->bi_integrity. Since commit bf4c89fc8797 ("block: don't call bio_uninit from bio_endio") each user of bio_init has to use bio_uninit as well. Otherwise the bio integrity is not getting free. Nvmet uses bio_init for inline bios. Uninit the inline bio to complete deallocation of integrity in bio. Уязвимость компонента nvmet ядра операционной системы Linux связана с утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath6kl: remove WARN on bad firmware input If the firmware gives bad input, that's nothing to do with the driver's stack at this point etc., so the WARN_ON() doesn't add any value. Additionally, this is one of the top syzbot reports now. Just print a message, and as an added bonus, print the sizes too. Уязвимость компонента ath6kl ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: genirq/irq_sim: Initialize work context pointers properly Initialize `ops` member's pointers properly by using kzalloc() instead of kmalloc() when allocating the simulation work context. Otherwise the pointers contain random content leading to invalid dereferencing. Уязвимость функции kzalloc() компонента irq_sim ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/msm: Fix another leak in the submit error path put_unused_fd() doesn't free the installed file, if we've already done fd_install(). So we need to also free the sync_file. Patchwork: https://patchwork.freedesktop.org/patch/653583/ Уязвимость функции put_unused_fd() ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/msm: Fix a fence leak in submit error path In error paths, we could unref the submit without calling drm_sched_entity_push_job(), so msm_job_free() will never get called. Since drm_sched_job_cleanup() will NULL out the s_fence, we can use that to detect this case. Patchwork: https://patchwork.freedesktop.org/patch/653584/ Уязвимость функции drm_sched_entity_push_job() компонента msm ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86: dell-wmi-sysman: Fix WMI data block retrieval in sysfs callbacks After retrieving WMI data blocks in sysfs callbacks, check for the validity of them before dereferencing their content. Уязвимость компонента dell-wmi-sysman ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: virtio-net: xsk: rx: fix the frame's length check When calling buf_to_xdp, the len argument is the frame data's length without virtio header's length (vi->hdr_len). We check that len with xsk_pool_get_rx_frame_size() + vi->hdr_len to ensure the provided len does not larger than the allocated chunk size. The additional vi->hdr_len is because in virtnet_add_recvbuf_xsk, we use part of XDP_PACKET_HEADROOM for virtio header and ask the vhost to start placing data from hard_start + XDP_PACKET_HEADROOM - vi->hdr_len not hard_start + XDP_PACKET_HEADROOM But the first buffer has virtio_header, so the maximum frame's length in the first buffer can only be xsk_pool_get_rx_frame_size() not xsk_pool_get_rx_frame_size() + vi->hdr_len like in the current check. This commit adds an additional argument to buf_to_xdp differentiate between the first buffer and other ones to correctly calculate the maximum frame's length. Уязвимость функции xsk_pool_get_rx_frame_size() компонента virtio-net ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=7.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFC: nci: uart: Set tty->disc_data only in success path Setting tty->disc_data before opening the NCI device means we need to clean it up on error paths. This also opens some short window if device starts sending data, even before NCIUARTSETDRIVER IOCTL succeeded (broken hardware?). Close the window by exposing tty->disc_data only on the success path, when opening of the NCI device and try_module_get() succeeds. The code differs in error path in one aspect: tty->disc_data won't be ever assigned thus NULL-ified. This however should not be relevant difference, because of "tty->disc_data=NULL" in nci_uart_tty_open(). Уязвимость функции try_module_get() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ice: fix eswitch code memory leak in reset scenario Add simple eswitch mode checker in attaching VF procedure and allocate required port representor memory structures only in switchdev mode. The reset flows triggers VF (if present) detach/attach procedure. It might involve VF port representor(s) re-creation if the device is configured is switchdev mode (not legacy one). The memory was blindly allocated in current implementation, regardless of the mode and not freed if in legacy mode. Kmemeleak trace: unreferenced object (percpu) 0x7e3bce5b888458 (size 40): comm "bash", pid 1784, jiffies 4295743894 hex dump (first 32 bytes on cpu 45): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc 0): pcpu_alloc_noprof+0x4c4/0x7c0 ice_repr_create+0x66/0x130 [ice] ice_repr_create_vf+0x22/0x70 [ice] ice_eswitch_attach_vf+0x1b/0xa0 [ice] ice_reset_all_vfs+0x1dd/0x2f0 [ice] ice_pci_err_resume+0x3b/0xb0 [ice] pci_reset_function+0x8f/0x120 reset_store+0x56/0xa0 kernfs_fop_write_iter+0x120/0x1b0 vfs_write+0x31c/0x430 ksys_write+0x61/0xd0 do_syscall_64+0x5b/0x180 entry_SYSCALL_64_after_hwframe+0x76/0x7e Testing hints (ethX is PF netdev): - create at least one VF echo 1 > /sys/class/net/ethX/device/sriov_numvfs - trigger the reset echo 1 > /sys/class/net/ethX/device/reset Уязвимость функции pcpu_alloc_noprof() компонента ice ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: remoteproc: core: Release rproc->clean_table after rproc_attach() fails When rproc->state = RPROC_DETACHED is attached to remote processor through rproc_attach(), if rproc_handle_resources() returns failure, then the clean table should be released, otherwise the following memory leak will occur. unreferenced object 0xffff000086a99800 (size 1024): comm "kworker/u12:3", pid 59, jiffies 4294893670 (age 121.140s) hex dump (first 32 bytes): 00 00 00 00 00 80 00 00 00 00 00 00 00 00 10 00 ............ 00 00 00 00 00 00 08 00 00 00 00 00 00 00 00 00 ............ backtrace: [<000000008bbe4ca8>] slab_post_alloc_hook+0x98/0x3fc [<000000003b8a272b>] __kmem_cache_alloc_node+0x13c/0x230 [<000000007a507c51>] __kmalloc_node_track_caller+0x5c/0x260 [<0000000037818dae>] kmemdup+0x34/0x60 [<00000000610f7f57>] rproc_boot+0x35c/0x56c [<0000000065f8871a>] rproc_add+0x124/0x17c [<00000000497416ee>] imx_rproc_probe+0x4ec/0x5d4 [<000000003bcaa37d>] platform_probe+0x68/0xd8 [<00000000771577f9>] really_probe+0x110/0x27c [<00000000531fea59>] __driver_probe_device+0x78/0x12c [<0000000080036a04>] driver_probe_device+0x3c/0x118 [<000000007e0bddcb>] __device_attach_driver+0xb8/0xf8 [<000000000cf1fa33>] bus_for_each_drv+0x84/0xe4 [<000000001a53b53e>] __device_attach+0xfc/0x18c [<00000000d1a2a32c>] device_initial_probe+0x14/0x20 [<00000000d8f8b7ae>] bus_probe_device+0xb0/0xb4 unreferenced object 0xffff0000864c9690 (size 16): Уязвимость функции rproc_attach() компонента remoteproc ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: remoteproc: core: Cleanup acquired resources when rproc_handle_resources() fails in rproc_attach() When rproc->state = RPROC_DETACHED and rproc_attach() is used to attach to the remote processor, if rproc_handle_resources() returns a failure, the resources allocated by imx_rproc_prepare() should be released, otherwise the following memory leak will occur. Since almost the same thing is done in imx_rproc_prepare() and rproc_resource_cleanup(), Function rproc_resource_cleanup() is able to deal with empty lists so it is better to fix the "goto" statements in rproc_attach(). replace the "unprepare_device" goto statement with "clean_up_resources" and get rid of the "unprepare_device" label. unreferenced object 0xffff0000861c5d00 (size 128): comm "kworker/u12:3", pid 59, jiffies 4294893509 (age 149.220s) hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 00 00 02 88 00 00 00 00 00 00 10 00 00 00 00 00 ............ backtrace: [<00000000f949fe18>] slab_post_alloc_hook+0x98/0x37c [<00000000adbfb3e7>] __kmem_cache_alloc_node+0x138/0x2e0 [<00000000521c0345>] kmalloc_trace+0x40/0x158 [<000000004e330a49>] rproc_mem_entry_init+0x60/0xf8 [<000000002815755e>] imx_rproc_prepare+0xe0/0x180 [<0000000003f61b4e>] rproc_boot+0x2ec/0x528 [<00000000e7e994ac>] rproc_add+0x124/0x17c [<0000000048594076>] imx_rproc_probe+0x4ec/0x5d4 [<00000000efc298a1>] platform_probe+0x68/0xd8 [<00000000110be6fe>] really_probe+0x110/0x27c [<00000000e245c0ae>] __driver_probe_device+0x78/0x12c [<00000000f61f6f5e>] driver_probe_device+0x3c/0x118 [<00000000a7874938>] __device_attach_driver+0xb8/0xf8 [<0000000065319e69>] bus_for_each_drv+0x84/0xe4 [<00000000db3eb243>] __device_attach+0xfc/0x18c [<0000000072e4e1a4>] device_initial_probe+0x14/0x20 Уязвимость функции rproc_handle_resources() компонента remoteproc ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: carl9170: do not ping device which has failed to load firmware Syzkaller reports [1, 2] crashes caused by an attempts to ping the device which has failed to load firmware. Since such a device doesn't pass 'ieee80211_register_hw()', an internal workqueue managed by 'ieee80211_queue_work()' is not yet created and an attempt to queue work on it causes null-ptr-deref. [1] https://syzkaller.appspot.com/bug?extid=9a4aec827829942045ff [2] https://syzkaller.appspot.com/bug?extid=0d8afba53e8fb2633217 Уязвимость функции carl9170_usb_rx_complete() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: lan743x: Modify the EEPROM and OTP size for PCI1xxxx devices Maximum OTP and EEPROM size for hearthstone PCI1xxxx devices are 8 Kb and 64 Kb respectively. Adjust max size definitions and return correct EEPROM length based on device. Also prevent out-of-bound read/write. Уязвимость компонента net ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: codecs: wcd9375: Fix double free of regulator supplies Driver gets regulator supplies in probe path with devm_regulator_bulk_get(), so should not call regulator_bulk_free() in error and remove paths to avoid double free. Уязвимость функции devm_regulator_bulk_get() ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf: Fix sample vs do_exit() Baisheng Gao reported an ARM64 crash, which Mark decoded as being a synchronous external abort -- most likely due to trying to access MMIO in bad ways. The crash further shows perf trying to do a user stack sample while in exit_mmap()'s tlb_finish_mmu() -- i.e. while tearing down the address space it is trying to access. It turns out that we stop perf after we tear down the userspace mm; a receipie for disaster, since perf likes to access userspace for various reasons. Flip this order by moving up where we stop perf in do_exit(). Additionally, harden PERF_SAMPLE_CALLCHAIN and PERF_SAMPLE_STACK_USER to abort when the current task does not have an mm (exit_mm() makes sure to set current->mm = NULL; before commencing with the actual teardown). Such that CPU wide events don't trip on this same problem. Уязвимость функции do_exit() компонента perf ядра операционной системы Linux связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i2c: tegra: check msg length in SMBUS block read For SMBUS block read, do not continue to read if the message length passed from the device is '0' or greater than the maximum allowed bytes. Уязвимость компонента i2c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: video: screen_info: Relocate framebuffers behind PCI bridges Apply PCI host-bridge window offsets to screen_info framebuffers. Fixes invalid access to I/O memory. Resources behind a PCI host bridge can be relocated by a certain offset in the kernel's CPU address range used for I/O. The framebuffer memory range stored in screen_info refers to the CPU addresses as seen during boot (where the offset is 0). During boot up, firmware may assign a different memory offset to the PCI host bridge and thereby relocating the framebuffer address of the PCI graphics device as seen by the kernel. The information in screen_info must be updated as well. The helper pcibios_bus_to_resource() performs the relocation of the screen_info's framebuffer resource (given in PCI bus addresses). The result matches the I/O-memory resource of the PCI graphics device (given in CPU addresses). As before, we store away the information necessary to later update the information in screen_info itself. Commit 78aa89d1dfba ("firmware/sysfb: Update screen_info for relocated EFI framebuffers") added the code for updating screen_info. It is based on similar functionality that pre-existed in efifb. Efifb uses a pointer to the PCI resource, while the newer code does a memcpy of the region. Hence efifb sees any updates to the PCI resource and avoids the issue. v3: - Only use struct pci_bus_region for PCI bus addresses (Bjorn) - Clarify address semantics in commit messages and comments (Bjorn) v2: - Fixed tags (Takashi, Ivan) - Updated information on efifb Уязвимость функции pcibios_bus_to_resource ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Input: ims-pcu - check record size in ims_pcu_flash_firmware() The "len" variable comes from the firmware and we generally do trust firmware, but it's always better to double check. If the "len" is too large it could result in memory corruption when we do "memcpy(fragment->data, rec->data, len);" Уязвимость функции ims_pcu_flash_firmware ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bus: mhi: ep: Update read pointer only after buffer is written Inside mhi_ep_ring_add_element, the read pointer (rd_offset) is updated before the buffer is written, potentially causing race conditions where the host sees an updated read pointer before the buffer is actually written. Updating rd_offset prematurely can lead to the host accessing an uninitialized or incomplete element, resulting in data corruption. Invoke the buffer write before updating rd_offset to ensure the element is fully written before signaling its availability. [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfsd: nfsd4_spo_must_allow() must check this is a v4 compound request If the request being processed is not a v4 compound request, then examining the cstate can have undefined results. This patch adds a check that the rpc procedure being executed (rq_procinfo) is the NFSPROC4_COMPOUND procedure. Уязвимость функции nfsd4_spo_must_allow() ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/scheduler: signal scheduled fence when kill job When an entity from application B is killed, drm_sched_entity_kill() removes all jobs belonging to that entity through drm_sched_entity_kill_jobs_work(). If application A's job depends on a scheduled fence from application B's job, and that fence is not properly signaled during the killing process, application A's dependency cannot be cleared. This leads to application A hanging indefinitely while waiting for a dependency that will never be resolved. Fix this issue by ensuring that scheduled fences are properly signaled when an entity is killed, allowing dependent applications to continue execution. [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix potential use-after-free in oplock/lease break ack If ksmbd_iov_pin_rsp return error, use-after-free can happen by accessing opinfo->state and opinfo_put and ksmbd_fd_put could called twice. Уязвимость функции ksmbd_iov_pin_rsp() компонента ksmbd ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: SOF: Intel: hda: Use devm_kstrdup() to avoid memleak. sof_pdata->tplg_filename can have address allocated by kstrdup() and can be overwritten. Memory leak was detected with kmemleak: unreferenced object 0xffff88812391ff60 (size 16): comm "kworker/4:1", pid 161, jiffies 4294802931 hex dump (first 16 bytes): 73 6f 66 2d 68 64 61 2d 67 65 6e 65 72 69 63 00 sof-hda-generic. backtrace (crc 4bf1675c): __kmalloc_node_track_caller_noprof+0x49c/0x6b0 kstrdup+0x46/0xc0 hda_machine_select.cold+0x1de/0x12cf [snd_sof_intel_hda_generic] sof_init_environment+0x16f/0xb50 [snd_sof] sof_probe_continue+0x45/0x7c0 [snd_sof] sof_probe_work+0x1e/0x40 [snd_sof] process_one_work+0x894/0x14b0 worker_thread+0x5e5/0xfb0 kthread+0x39d/0x760 ret_from_fork+0x31/0x70 ret_from_fork_asm+0x1a/0x30 [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Set DMA unmap len correctly for XDP_REDIRECT When transmitting an XDP_REDIRECT packet, call dma_unmap_len_set() with the proper length instead of 0. This bug triggers this warning on a system with IOMMU enabled: WARNING: CPU: 36 PID: 0 at drivers/iommu/dma-iommu.c:842 __iommu_dma_unmap+0x159/0x170 RIP: 0010:__iommu_dma_unmap+0x159/0x170 Code: a8 00 00 00 00 48 c7 45 b0 00 00 00 00 48 c7 45 c8 00 00 00 00 48 c7 45 a0 ff ff ff ff 4c 89 45 b8 4c 89 45 c0 e9 77 ff ff ff <0f> 0b e9 60 ff ff ff e8 8b bf 6a 00 66 66 2e 0f 1f 84 00 00 00 00 RSP: 0018:ff22d31181150c88 EFLAGS: 00010206 RAX: 0000000000002000 RBX: 00000000e13a0000 RCX: 0000000000000000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 RBP: ff22d31181150cf0 R08: ff22d31181150ca8 R09: 0000000000000000 R10: 0000000000000000 R11: ff22d311d36c9d80 R12: 0000000000001000 R13: ff13544d10645010 R14: ff22d31181150c90 R15: ff13544d0b2bac00 FS: 0000000000000000(0000) GS:ff13550908a00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00005be909dacff8 CR3: 0008000173408003 CR4: 0000000000f71ef0 PKRU: 55555554 Call Trace: <IRQ> ? show_regs+0x6d/0x80 ? __warn+0x89/0x160 ? __iommu_dma_unmap+0x159/0x170 ? report_bug+0x17e/0x1b0 ? handle_bug+0x46/0x90 ? exc_invalid_op+0x18/0x80 ? asm_exc_invalid_op+0x1b/0x20 ? __iommu_dma_unmap+0x159/0x170 ? __iommu_dma_unmap+0xb3/0x170 iommu_dma_unmap_page+0x4f/0x100 dma_unmap_page_attrs+0x52/0x220 ? srso_alias_return_thunk+0x5/0xfbef5 ? xdp_return_frame+0x2e/0xd0 bnxt_tx_int_xdp+0xdf/0x440 [bnxt_en] __bnxt_poll_work_done+0x81/0x1e0 [bnxt_en] bnxt_poll+0xd3/0x1e0 [bnxt_en] Уязвимость функции dma_unmap_len_set() компонента bnxt_en ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Fix race between DIM disable and net_dim() There's a race between disabling DIM and NAPI callbacks using the dim pointer on the RQ or SQ. If NAPI checks the DIM state bit and sees it still set, it assumes `rq->dim` or `sq->dim` is valid. But if DIM gets disabled right after that check, the pointer might already be set to NULL, leading to a NULL pointer dereference in net_dim(). Fix this by calling `synchronize_net()` before freeing the DIM context. This ensures all in-progress NAPI callbacks are finished before the pointer is cleared. Kernel log: BUG: kernel NULL pointer dereference, address: 0000000000000000 ... RIP: 0010:net_dim+0x23/0x190 ... Call Trace: <TASK> ? __die+0x20/0x60 ? page_fault_oops+0x150/0x3e0 ? common_interrupt+0xf/0xa0 ? sysvec_call_function_single+0xb/0x90 ? exc_page_fault+0x74/0x130 ? asm_exc_page_fault+0x22/0x30 ? net_dim+0x23/0x190 ? mlx5e_poll_ico_cq+0x41/0x6f0 [mlx5_core] ? sysvec_apic_timer_interrupt+0xb/0x90 mlx5e_handle_rx_dim+0x92/0xd0 [mlx5_core] mlx5e_napi_poll+0x2cd/0xac0 [mlx5_core] ? mlx5e_poll_ico_cq+0xe5/0x6f0 [mlx5_core] busy_poll_stop+0xa2/0x200 ? mlx5e_napi_poll+0x1d9/0xac0 [mlx5_core] ? mlx5e_trigger_irq+0x130/0x130 [mlx5_core] __napi_busy_loop+0x345/0x3b0 ? sysvec_call_function_single+0xb/0x90 ? asm_sysvec_call_function_single+0x16/0x20 ? sysvec_apic_timer_interrupt+0xb/0x90 ? pcpu_free_area+0x1e4/0x2e0 napi_busy_loop+0x11/0x20 xsk_recvmsg+0x10c/0x130 sock_recvmsg+0x44/0x70 __sys_recvfrom+0xbc/0x130 ? __schedule+0x398/0x890 __x64_sys_recvfrom+0x20/0x30 do_syscall_64+0x4c/0x100 entry_SYSCALL_64_after_hwframe+0x4b/0x53 ... ---[ end trace 0000000000000000 ]--- ... ---[ end Kernel panic - not syncing: Fatal exception in interrupt ]--- Уязвимость функций mlx5e_dim_rx_change(), mlx5e_dim_tx_change() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: flowtable: account for Ethernet header in nf_flow_pppoe_proto() syzbot found a potential access to uninit-value in nf_flow_pppoe_proto() Blamed commit forgot the Ethernet header. BUG: KMSAN: uninit-value in nf_flow_offload_inet_hook+0x7e4/0x940 net/netfilter/nf_flow_table_inet.c:27 nf_flow_offload_inet_hook+0x7e4/0x940 net/netfilter/nf_flow_table_inet.c:27 nf_hook_entry_hookfn include/linux/netfilter.h:157 [inline] nf_hook_slow+0xe1/0x3d0 net/netfilter/core.c:623 nf_hook_ingress include/linux/netfilter_netdev.h:34 [inline] nf_ingress net/core/dev.c:5742 [inline] __netif_receive_skb_core+0x4aff/0x70c0 net/core/dev.c:5837 __netif_receive_skb_one_core net/core/dev.c:5975 [inline] __netif_receive_skb+0xcc/0xac0 net/core/dev.c:6090 netif_receive_skb_internal net/core/dev.c:6176 [inline] netif_receive_skb+0x57/0x630 net/core/dev.c:6235 tun_rx_batched+0x1df/0x980 drivers/net/tun.c:1485 tun_get_user+0x4ee0/0x6b40 drivers/net/tun.c:1938 tun_chr_write_iter+0x3e9/0x5c0 drivers/net/tun.c:1984 new_sync_write fs/read_write.c:593 [inline] vfs_write+0xb4b/0x1580 fs/read_write.c:686 ksys_write fs/read_write.c:738 [inline] __do_sys_write fs/read_write.c:749 [inline] Уязвимость функции nf_flow_pppoe_proto() компонента netfilter ядра операционной системы Linux связана c использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nbd: fix uaf in nbd_genl_connect() error path There is a use-after-free issue in nbd: block nbd6: Receive control failed (result -104) block nbd6: shutting down sockets ================================================================== BUG: KASAN: slab-use-after-free in recv_work+0x694/0xa80 drivers/block/nbd.c:1022 Write of size 4 at addr ffff8880295de478 by task kworker/u33:0/67 CPU: 2 UID: 0 PID: 67 Comm: kworker/u33:0 Not tainted 6.15.0-rc5-syzkaller-00123-g2c89c1b655c0 #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Workqueue: nbd6-recv recv_work Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xc3/0x670 mm/kasan/report.c:521 kasan_report+0xe0/0x110 mm/kasan/report.c:634 check_region_inline mm/kasan/generic.c:183 [inline] kasan_check_range+0xef/0x1a0 mm/kasan/generic.c:189 instrument_atomic_read_write include/linux/instrumented.h:96 [inline] atomic_dec include/linux/atomic/atomic-instrumented.h:592 [inline] recv_work+0x694/0xa80 drivers/block/nbd.c:1022 process_one_work+0x9cc/0x1b70 kernel/workqueue.c:3238 process_scheduled_works kernel/workqueue.c:3319 [inline] worker_thread+0x6c8/0xf10 kernel/workqueue.c:3400 kthread+0x3c2/0x780 kernel/kthread.c:464 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:153 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> nbd_genl_connect() does not properly stop the device on certain error paths after nbd_start_device() has been called. This causes the error path to put nbd->config while recv_work continue to use the config after putting it, leading to use-after-free in recv_work. This patch moves nbd_start_device() after the backend file creation. Уязвимость функции nbd_genl_connect() компонента nbd ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: raid10: cleanup memleak at raid10_make_request If raid10_read_request or raid10_write_request registers a new request and the REQ_NOWAIT flag is set, the code does not free the malloc from the mempool. unreferenced object 0xffff8884802c3200 (size 192): comm "fio", pid 9197, jiffies 4298078271 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 88 41 02 00 00 00 00 00 .........A...... 08 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc c1a049a2): __kmalloc+0x2bb/0x450 mempool_alloc+0x11b/0x320 raid10_make_request+0x19e/0x650 [raid10] md_handle_request+0x3b3/0x9e0 __submit_bio+0x394/0x560 __submit_bio_noacct+0x145/0x530 submit_bio_noacct_nocheck+0x682/0x830 __blkdev_direct_IO_async+0x4dc/0x6b0 blkdev_read_iter+0x1e5/0x3b0 __io_read+0x230/0x1110 io_read+0x13/0x30 io_issue_sqe+0x134/0x1180 io_submit_sqes+0x48c/0xe90 __do_sys_io_uring_enter+0x574/0x8b0 do_syscall_64+0x5c/0xe0 entry_SYSCALL_64_after_hwframe+0x76/0x7e V4: changing backing tree to see if CKI tests will pass. The patch code has not changed between any versions. Уязвимость функции raid10_make_request() компонента raid10 ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md/raid1: Fix stack memory use after return in raid1_reshape In the raid1_reshape function, newpool is allocated on the stack and assigned to conf->r1bio_pool. This results in conf->r1bio_pool.wait.head pointing to a stack address. Accessing this address later can lead to a kernel panic. Example access path: raid1_reshape() { // newpool is on the stack mempool_t newpool, oldpool; // initialize newpool.wait.head to stack address mempool_init(&newpool, ...); conf->r1bio_pool = newpool; } raid1_read_request() or raid1_write_request() { alloc_r1bio() { mempool_alloc() { // if pool->alloc fails remove_element() { --pool->curr_nr; } } } } mempool_free() { if (pool->curr_nr < pool->min_nr) { // pool->wait.head is a stack address // wake_up() will try to access this invalid address // which leads to a kernel panic return; wake_up(&pool->wait); } } Fix: reinit conf->r1bio_pool.wait after assigning newpool. Уязвимость функции raid1_reshape() ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clk: imx: Fix an out-of-bounds access in dispmix_csr_clk_dev_data When num_parents is 4, __clk_register() occurs an out-of-bounds when accessing parent_names member. Use ARRAY_SIZE() instead of hardcode number here. BUG: KASAN: global-out-of-bounds in __clk_register+0x1844/0x20d8 Read of size 8 at addr ffff800086988e78 by task kworker/u24:3/59 Hardware name: NXP i.MX95 19X19 board (DT) Workqueue: events_unbound deferred_probe_work_func Call trace: dump_backtrace+0x94/0xec show_stack+0x18/0x24 dump_stack_lvl+0x8c/0xcc print_report+0x398/0x5fc kasan_report+0xd4/0x114 __asan_report_load8_noabort+0x20/0x2c __clk_register+0x1844/0x20d8 clk_hw_register+0x44/0x110 __clk_hw_register_mux+0x284/0x3a8 imx95_bc_probe+0x4f4/0xa70 Уязвимость функции __clk_register() компонента clk ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: u_serial: Fix race condition in TTY wakeup A race condition occurs when gs_start_io() calls either gs_start_rx() or gs_start_tx(), as those functions briefly drop the port_lock for usb_ep_queue(). This allows gs_close() and gserial_disconnect() to clear port.tty and port_usb, respectively. Use the null-safe TTY Port helper function to wake up TTY. Example CPU1: CPU2: gserial_connect() // lock gs_close() // await lock gs_start_rx() // unlock usb_ep_queue() gs_close() // lock, reset port.tty and unlock gs_start_rx() // lock tty_wakeup() // NPE Уязвимость функции gs_start_io() компонента usb ядра операционной системы Linux связана с конкурентным доступом к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/gem: Acquire references on GEM handles for framebuffers A GEM handle can be released while the GEM buffer object is attached to a DRM framebuffer. This leads to the release of the dma-buf backing the buffer object, if any. [1] Trying to use the framebuffer in further mode-setting operations leads to a segmentation fault. Most easily happens with driver that use shadow planes for vmap-ing the dma-buf during a page flip. An example is shown below. [ 156.791968] ------------[ cut here ]------------ [ 156.796830] WARNING: CPU: 2 PID: 2255 at drivers/dma-buf/dma-buf.c:1527 dma_buf_vmap+0x224/0x430 [...] [ 156.942028] RIP: 0010:dma_buf_vmap+0x224/0x430 [ 157.043420] Call Trace: [ 157.045898] <TASK> [ 157.048030] ? show_trace_log_lvl+0x1af/0x2c0 [ 157.052436] ? show_trace_log_lvl+0x1af/0x2c0 [ 157.056836] ? show_trace_log_lvl+0x1af/0x2c0 [ 157.061253] ? drm_gem_shmem_vmap+0x74/0x710 [ 157.065567] ? dma_buf_vmap+0x224/0x430 [ 157.069446] ? __warn.cold+0x58/0xe4 [ 157.073061] ? dma_buf_vmap+0x224/0x430 [ 157.077111] ? report_bug+0x1dd/0x390 [ 157.080842] ? handle_bug+0x5e/0xa0 [ 157.084389] ? exc_invalid_op+0x14/0x50 [ 157.088291] ? asm_exc_invalid_op+0x16/0x20 [ 157.092548] ? dma_buf_vmap+0x224/0x430 [ 157.096663] ? dma_resv_get_singleton+0x6d/0x230 [ 157.101341] ? __pfx_dma_buf_vmap+0x10/0x10 [ 157.105588] ? __pfx_dma_resv_get_singleton+0x10/0x10 [ 157.110697] drm_gem_shmem_vmap+0x74/0x710 [ 157.114866] drm_gem_vmap+0xa9/0x1b0 [ 157.118763] drm_gem_vmap_unlocked+0x46/0xa0 [ 157.123086] drm_gem_fb_vmap+0xab/0x300 [ 157.126979] drm_atomic_helper_prepare_planes.part.0+0x487/0xb10 [ 157.133032] ? lockdep_init_map_type+0x19d/0x880 [ 157.137701] drm_atomic_helper_commit+0x13d/0x2e0 [ 157.142671] ? drm_atomic_nonblocking_commit+0xa0/0x180 [ 157.147988] drm_mode_atomic_ioctl+0x766/0xe40 [...] [ 157.346424] ---[ end trace 0000000000000000 ]--- Acquiring GEM handles for the framebuffer's GEM buffer objects prevents this from happening. The framebuffer's cleanup later puts the handle references. Commit 1a148af06000 ("drm/gem-shmem: Use dma_buf from GEM object instance") triggers the segmentation fault easily by using the dma-buf field more widely. The underlying issue with reference counting has been present before. v2: - acquire the handle instead of the BO (Christian) - fix comment style (Christian) - drop the Fixes tag (Christian) - rename err_ gotos - add missing Link tag [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: mt7925: prevent NULL pointer dereference in mt7925_sta_set_decap_offload() Add a NULL check for msta->vif before accessing its members to prevent a kernel panic in AP mode deployment. This also fix the issue reported in [1]. The crash occurs when this function is triggered before the station is fully initialized. The call trace shows a page fault at mt7925_sta_set_decap_offload() due to accessing resources when msta->vif is NULL. Fix this by adding an early return if msta->vif is NULL and also check wcid.sta is ready. This ensures we only proceed with decap offload configuration when the station's state is properly initialized. [14739.655703] Unable to handle kernel paging request at virtual address ffffffffffffffa0 [14739.811820] CPU: 0 UID: 0 PID: 895854 Comm: hostapd Tainted: G [14739.821394] Tainted: [C]=CRAP, [O]=OOT_MODULE [14739.825746] Hardware name: Raspberry Pi 4 Model B Rev 1.1 (DT) [14739.831577] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [14739.838538] pc : mt7925_sta_set_decap_offload+0xc0/0x1b8 [mt7925_common] [14739.845271] lr : mt7925_sta_set_decap_offload+0x58/0x1b8 [mt7925_common] [14739.851985] sp : ffffffc085efb500 [14739.855295] x29: ffffffc085efb500 x28: 0000000000000000 x27: ffffff807803a158 [14739.862436] x26: ffffff8041ececb8 x25: 0000000000000001 x24: 0000000000000001 [14739.869577] x23: 0000000000000001 x22: 0000000000000008 x21: ffffff8041ecea88 [14739.876715] x20: ffffff8041c19ca0 x19: ffffff8078031fe0 x18: 0000000000000000 [14739.883853] x17: 0000000000000000 x16: ffffffe2aeac1110 x15: 000000559da48080 [14739.890991] x14: 0000000000000001 x13: 0000000000000000 x12: 0000000000000000 [14739.898130] x11: 0a10020001008e88 x10: 0000000000001a50 x9 : ffffffe26457bfa0 [14739.905269] x8 : ffffff8042013bb0 x7 : ffffff807fb6cbf8 x6 : dead000000000100 [14739.912407] x5 : dead000000000122 x4 : ffffff80780326c8 x3 : 0000000000000000 [14739.919546] x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffffff8041ececb8 [14739.926686] Call trace: [14739.929130] mt7925_sta_set_decap_offload+0xc0/0x1b8 [mt7925_common] [14739.935505] ieee80211_check_fast_rx+0x19c/0x510 [mac80211] [14739.941344] _sta_info_move_state+0xe4/0x510 [mac80211] [14739.946860] sta_info_move_state+0x1c/0x30 [mac80211] [14739.952116] sta_apply_auth_flags.constprop.0+0x90/0x1b0 [mac80211] [14739.958708] sta_apply_parameters+0x234/0x5e0 [mac80211] [14739.964332] ieee80211_add_station+0xdc/0x190 [mac80211] [14739.969950] nl80211_new_station+0x46c/0x670 [cfg80211] [14739.975516] genl_family_rcv_msg_doit+0xdc/0x150 [14739.980158] genl_rcv_msg+0x218/0x298 [14739.983830] netlink_rcv_skb+0x64/0x138 [14739.987670] genl_rcv+0x40/0x60 [14739.990816] netlink_unicast+0x314/0x380 [14739.994742] netlink_sendmsg+0x198/0x3f0 [14739.998664] __sock_sendmsg+0x64/0xc0 [14740.002324] ____sys_sendmsg+0x260/0x298 [14740.006242] ___sys_sendmsg+0xb4/0x110 Уязвимость функции mt7925_sta_set_decap_offload() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md/md-bitmap: fix GPF in bitmap_get_stats() The commit message of commit 6ec1f0239485 ("md/md-bitmap: fix stats collection for external bitmaps") states: Remove the external bitmap check as the statistics should be available regardless of bitmap storage location. Return -EINVAL only for invalid bitmap with no storage (neither in superblock nor in external file). But, the code does not adhere to the above, as it does only check for a valid super-block for "internal" bitmaps. Hence, we observe: Oops: GPF, probably for non-canonical address 0x1cd66f1f40000028 RIP: 0010:bitmap_get_stats+0x45/0xd0 Call Trace: seq_read_iter+0x2b9/0x46a seq_read+0x12f/0x180 proc_reg_read+0x57/0xb0 vfs_read+0xf6/0x380 ksys_read+0x6d/0xf0 do_syscall_64+0x8c/0x1b0 entry_SYSCALL_64_after_hwframe+0x76/0x7e We fix this by checking the existence of a super-block for both the internal and external case. Уязвимость функции bitmap_get_stats() компонента drivers/md/md-bitmap.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: rtsn: Fix a null pointer dereference in rtsn_probe() Add check for the return value of rcar_gen4_ptp_alloc() to prevent potential null pointer dereference. Уязвимость функции rtsn_probe() компонента drivers/net/ethernet/renesas/rtsn.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/msg_ring: ensure io_kiocb freeing is deferred for RCU syzbot reports that defer/local task_work adding via msg_ring can hit a request that has been freed: CPU: 1 UID: 0 PID: 19356 Comm: iou-wrk-19354 Not tainted 6.16.0-rc4-syzkaller-00108-g17bbde2e1716 #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xd2/0x2b0 mm/kasan/report.c:521 kasan_report+0x118/0x150 mm/kasan/report.c:634 io_req_local_work_add io_uring/io_uring.c:1184 [inline] __io_req_task_work_add+0x589/0x950 io_uring/io_uring.c:1252 io_msg_remote_post io_uring/msg_ring.c:103 [inline] io_msg_data_remote io_uring/msg_ring.c:133 [inline] __io_msg_ring_data+0x820/0xaa0 io_uring/msg_ring.c:151 io_msg_ring_data io_uring/msg_ring.c:173 [inline] io_msg_ring+0x134/0xa00 io_uring/msg_ring.c:314 __io_issue_sqe+0x17e/0x4b0 io_uring/io_uring.c:1739 io_issue_sqe+0x165/0xfd0 io_uring/io_uring.c:1762 io_wq_submit_work+0x6e9/0xb90 io_uring/io_uring.c:1874 io_worker_handle_work+0x7cd/0x1180 io_uring/io-wq.c:642 io_wq_worker+0x42f/0xeb0 io_uring/io-wq.c:696 ret_from_fork+0x3fc/0x770 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> which is supposed to be safe with how requests are allocated. But msg ring requests alloc and free on their own, and hence must defer freeing to a sane time. Add an rcu_head and use kfree_rcu() in both spots where requests are freed. Only the one in io_msg_tw_complete() is strictly required as it has been visible on the other ring, but use it consistently in the other spot as well. This should not cause any other issues outside of KASAN rightfully complaining about it. Уязвимость функции kfree_rcu() ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: ad1816a: Fix potential NULL pointer deref in snd_card_ad1816a_pnp() Use pr_warn() instead of dev_warn() when 'pdev' is NULL to avoid a potential NULL pointer dereference. Уязвимость функции snd_card_ad1816a_pnp() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: SVM: Reject SEV{-ES} intra host migration if vCPU creation is in-flight Reject migration of SEV{-ES} state if either the source or destination VM is actively creating a vCPU, i.e. if kvm_vm_ioctl_create_vcpu() is in the section between incrementing created_vcpus and online_vcpus. The bulk of vCPU creation runs _outside_ of kvm->lock to allow creating multiple vCPUs in parallel, and so sev_info.es_active can get toggled from false=>true in the destination VM after (or during) svm_vcpu_create(), resulting in an SEV{-ES} VM effectively having a non-SEV{-ES} vCPU. The issue manifests most visibly as a crash when trying to free a vCPU's NULL VMSA page in an SEV-ES VM, but any number of things can go wrong. BUG: unable to handle page fault for address: ffffebde00000000 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP KASAN NOPTI CPU: 227 UID: 0 PID: 64063 Comm: syz.5.60023 Tainted: G U O 6.15.0-smp-DEV #2 NONE Tainted: [U]=USER, [O]=OOT_MODULE Hardware name: Google, Inc. Arcadia_IT_80/Arcadia_IT_80, BIOS 12.52.0-0 10/28/2024 RIP: 0010:constant_test_bit arch/x86/include/asm/bitops.h:206 [inline] RIP: 0010:arch_test_bit arch/x86/include/asm/bitops.h:238 [inline] RIP: 0010:_test_bit include/asm-generic/bitops/instrumented-non-atomic.h:142 [inline] RIP: 0010:PageHead include/linux/page-flags.h:866 [inline] RIP: 0010:___free_pages+0x3e/0x120 mm/page_alloc.c:5067 Code: <49> f7 06 40 00 00 00 75 05 45 31 ff eb 0c 66 90 4c 89 f0 4c 39 f0 RSP: 0018:ffff8984551978d0 EFLAGS: 00010246 RAX: 0000777f80000001 RBX: 0000000000000000 RCX: ffffffff918aeb98 RDX: 0000000000000000 RSI: 0000000000000008 RDI: ffffebde00000000 RBP: 0000000000000000 R08: ffffebde00000007 R09: 1ffffd7bc0000000 R10: dffffc0000000000 R11: fffff97bc0000001 R12: dffffc0000000000 R13: ffff8983e19751a8 R14: ffffebde00000000 R15: 1ffffd7bc0000000 FS: 0000000000000000(0000) GS:ffff89ee661d3000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffebde00000000 CR3: 000000793ceaa000 CR4: 0000000000350ef0 DR0: 0000000000000000 DR1: 0000000000000b5f DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000ffff0ff0 DR7: 0000000000000400 Call Trace: <TASK> sev_free_vcpu+0x413/0x630 arch/x86/kvm/svm/sev.c:3169 svm_vcpu_free+0x13a/0x2a0 arch/x86/kvm/svm/svm.c:1515 kvm_arch_vcpu_destroy+0x6a/0x1d0 arch/x86/kvm/x86.c:12396 kvm_vcpu_destroy virt/kvm/kvm_main.c:470 [inline] kvm_destroy_vcpus+0xd1/0x300 virt/kvm/kvm_main.c:490 kvm_arch_destroy_vm+0x636/0x820 arch/x86/kvm/x86.c:12895 kvm_put_kvm+0xb8e/0xfb0 virt/kvm/kvm_main.c:1310 kvm_vm_release+0x48/0x60 virt/kvm/kvm_main.c:1369 __fput+0x3e4/0x9e0 fs/file_table.c:465 task_work_run+0x1a9/0x220 kernel/task_work.c:227 exit_task_work include/linux/task_work.h:40 [inline] do_exit+0x7f0/0x25b0 kernel/exit.c:953 do_group_exit+0x203/0x2d0 kernel/exit.c:1102 get_signal+0x1357/0x1480 kernel/signal.c:3034 arch_do_signal_or_restart+0x40/0x690 arch/x86/kernel/signal.c:337 exit_to_user_mode_loop kernel/entry/common.c:111 [inline] exit_to_user_mode_prepare include/linux/entry-common.h:329 [inline] __syscall_exit_to_user_mode_work kernel/entry/common.c:207 [inline] syscall_exit_to_user_mode+0x67/0xb0 kernel/entry/common.c:218 do_syscall_64+0x7c/0x150 arch/x86/entry/syscall_64.c:100 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f87a898e969 </TASK> Modules linked in: gq(O) gsmi: Log Shutdown Reason 0x03 CR2: ffffebde00000000 ---[ end trace 0000000000000000 ]--- Deliberately don't check for a NULL VMSA when freeing the vCPU, as crashing the host is likely desirable due to the VMSA being consumed by hardware. E.g. if KVM manages to allow VMRUN on the vCPU, hardware may read/write a bogus VMSA page. Accessing P ---truncated--- Уязвимость компонента arch/x86/kvm/svm ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipmi:msghandler: Fix potential memory corruption in ipmi_create_user() The "intf" list iterator is an invalid pointer if the correct "intf->intf_num" is not found. Calling atomic_dec(&intf->nr_users) on and invalid pointer will lead to memory corruption. We don't really need to call atomic_dec() if we haven't called atomic_add_return() so update the if (intf->in_shutdown) path as well. Уязвимость функции ipmi_create_user() компонента drivers/char/ipmi/ipmi_msghandler.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: Abort __tc_modify_qdisc if parent class does not exist Lion's patch [1] revealed an ancient bug in the qdisc API. Whenever a user creates/modifies a qdisc specifying as a parent another qdisc, the qdisc API will, during grafting, detect that the user is not trying to attach to a class and reject. However grafting is performed after qdisc_create (and thus the qdiscs' init callback) is executed. In qdiscs that eventually call qdisc_tree_reduce_backlog during init or change (such as fq, hhf, choke, etc), an issue arises. For example, executing the following commands: sudo tc qdisc add dev lo root handle a: htb default 2 sudo tc qdisc add dev lo parent a: handle beef fq Qdiscs such as fq, hhf, choke, etc unconditionally invoke qdisc_tree_reduce_backlog() in their control path init() or change() which then causes a failure to find the child class; however, that does not stop the unconditional invocation of the assumed child qdisc's qlen_notify with a null class. All these qdiscs make the assumption that class is non-null. The solution is ensure that qdisc_leaf() which looks up the parent class, and is invoked prior to qdisc_create(), should return failure on not finding the class. In this patch, we leverage qdisc_leaf to return ERR_PTRs whenever the parentid doesn't correspond to a class, so that we can detect it earlier on and abort before qdisc_create is called. [1] https://lore.kernel.org/netdev/d912cbd7-193b-4269-9857-525bee8bbb6a@gmail.com/ Уязвимость функции qdisc_tree_reduce_backlog() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: atm: clip: Fix NULL pointer dereference in vcc_sendmsg() atmarpd_dev_ops does not implement the send method, which may cause crash as bellow. BUG: kernel NULL pointer dereference, address: 0000000000000000 PGD 0 P4D 0 Oops: Oops: 0010 [#1] SMP KASAN NOPTI CPU: 0 UID: 0 PID: 5324 Comm: syz.0.0 Not tainted 6.15.0-rc6-syzkaller-00346-g5723cc3450bc #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:0x0 Code: Unable to access opcode bytes at 0xffffffffffffffd6. RSP: 0018:ffffc9000d3cf778 EFLAGS: 00010246 RAX: 1ffffffff1910dd1 RBX: 00000000000000c0 RCX: dffffc0000000000 RDX: ffffc9000dc82000 RSI: ffff88803e4c4640 RDI: ffff888052cd0000 RBP: ffffc9000d3cf8d0 R08: ffff888052c9143f R09: 1ffff1100a592287 R10: dffffc0000000000 R11: 0000000000000000 R12: 1ffff92001a79f00 R13: ffff888052cd0000 R14: ffff88803e4c4640 R15: ffffffff8c886e88 FS: 00007fbc762566c0(0000) GS:ffff88808d6c2000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffffffffffffd6 CR3: 0000000041f1b000 CR4: 0000000000352ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> vcc_sendmsg+0xa10/0xc50 net/atm/common.c:644 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x219/0x270 net/socket.c:727 ____sys_sendmsg+0x52d/0x830 net/socket.c:2566 ___sys_sendmsg+0x21f/0x2a0 net/socket.c:2620 __sys_sendmmsg+0x227/0x430 net/socket.c:2709 __do_sys_sendmmsg net/socket.c:2736 [inline] __se_sys_sendmmsg net/socket.c:2733 [inline] __x64_sys_sendmmsg+0xa0/0xc0 net/socket.c:2733 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xf6/0x210 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции vcc_sendmsg() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: atm: clip: Fix infinite recursive call of clip_push(). syzbot reported the splat below. [0] This happens if we call ioctl(ATMARP_MKIP) more than once. During the first call, clip_mkip() sets clip_push() to vcc->push(), and the second call copies it to clip_vcc->old_push(). Later, when the socket is close()d, vcc_destroy_socket() passes NULL skb to clip_push(), which calls clip_vcc->old_push(), triggering the infinite recursion. Let's prevent the second ioctl(ATMARP_MKIP) by checking vcc->user_back, which is allocated by the first call as clip_vcc. Note also that we use lock_sock() to prevent racy calls. [0]: BUG: TASK stack guard page was hit at ffffc9000d66fff8 (stack is ffffc9000d670000..ffffc9000d678000) Oops: stack guard page: 0000 [#1] SMP KASAN NOPTI CPU: 0 UID: 0 PID: 5322 Comm: syz.0.0 Not tainted 6.16.0-rc4-syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:clip_push+0x5/0x720 net/atm/clip.c:191 Code: e0 8f aa 8c e8 1c ad 5b fa eb ae 66 2e 0f 1f 84 00 00 00 00 00 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 f3 0f 1e fa 55 <41> 57 41 56 41 55 41 54 53 48 83 ec 20 48 89 f3 49 89 fd 48 bd 00 RSP: 0018:ffffc9000d670000 EFLAGS: 00010246 RAX: 1ffff1100235a4a5 RBX: ffff888011ad2508 RCX: ffff8880003c0000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: ffff888037f01000 RBP: dffffc0000000000 R08: ffffffff8fa104f7 R09: 1ffffffff1f4209e R10: dffffc0000000000 R11: ffffffff8a99b300 R12: ffffffff8a99b300 R13: ffff888037f01000 R14: ffff888011ad2500 R15: ffff888037f01578 FS: 000055557ab6d500(0000) GS:ffff88808d250000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffc9000d66fff8 CR3: 0000000043172000 CR4: 0000000000352ef0 Call Trace: <TASK> clip_push+0x6dc/0x720 net/atm/clip.c:200 clip_push+0x6dc/0x720 net/atm/clip.c:200 clip_push+0x6dc/0x720 net/atm/clip.c:200 ... clip_push+0x6dc/0x720 net/atm/clip.c:200 clip_push+0x6dc/0x720 net/atm/clip.c:200 clip_push+0x6dc/0x720 net/atm/clip.c:200 vcc_destroy_socket net/atm/common.c:183 [inline] vcc_release+0x157/0x460 net/atm/common.c:205 __sock_release net/socket.c:647 [inline] sock_close+0xc0/0x240 net/socket.c:1391 __fput+0x449/0xa70 fs/file_table.c:465 task_work_run+0x1d1/0x260 kernel/task_work.c:227 resume_user_mode_work include/linux/resume_user_mode.h:50 [inline] exit_to_user_mode_loop+0xec/0x110 kernel/entry/common.c:114 exit_to_user_mode_prepare include/linux/entry-common.h:330 [inline] syscall_exit_to_user_mode_work include/linux/entry-common.h:414 [inline] syscall_exit_to_user_mode include/linux/entry-common.h:449 [inline] do_syscall_64+0x2bd/0x3b0 arch/x86/entry/syscall_64.c:100 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7ff31c98e929 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007fffb5aa1f78 EFLAGS: 00000246 ORIG_RAX: 00000000000001b4 RAX: 0000000000000000 RBX: 0000000000012747 RCX: 00007ff31c98e929 RDX: 0000000000000000 RSI: 000000000000001e RDI: 0000000000000003 RBP: 00007ff31cbb7ba0 R08: 0000000000000001 R09: 0000000db5aa226f R10: 00007ff31c7ff030 R11: 0000000000000246 R12: 00007ff31cbb608c R13: 00007ff31cbb6080 R14: ffffffffffffffff R15: 00007fffb5aa2090 </TASK> Modules linked in: Уязвимость функции clip_push() компонента net/atm/clip.c ядра операционной системы Linux связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: atm: clip: Fix potential null-ptr-deref in to_atmarpd(). atmarpd is protected by RTNL since commit f3a0592b37b8 ("[ATM]: clip causes unregister hang"). However, it is not enough because to_atmarpd() is called without RTNL, especially clip_neigh_solicit() / neigh_ops->solicit() is unsleepable. Also, there is no RTNL dependency around atmarpd. Let's use a private mutex and RCU to protect access to atmarpd in to_atmarpd(). Уязвимость функции to_atmarpd() компонента net/atm/clip.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vsock: Fix transport_* TOCTOU Transport assignment may race with module unload. Protect new_transport from becoming a stale pointer. This also takes care of an insecure call in vsock_use_local_transport(); add a lockdep assert. BUG: unable to handle page fault for address: fffffbfff8056000 Oops: Oops: 0000 [#1] SMP KASAN RIP: 0010:vsock_assign_transport+0x366/0x600 Call Trace: vsock_connect+0x59c/0xc40 __sys_connect+0xe8/0x100 __x64_sys_connect+0x6e/0xc0 do_syscall_64+0x92/0x1c0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость компонента vsock ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vsock: Fix transport_{g2h,h2g} TOCTOU vsock_find_cid() and vsock_dev_do_ioctl() may race with module unload. transport_{g2h,h2g} may become NULL after the NULL check. Introduce vsock_transport_local_cid() to protect from a potential null-ptr-deref. KASAN: null-ptr-deref in range [0x0000000000000118-0x000000000000011f] RIP: 0010:vsock_find_cid+0x47/0x90 Call Trace: __vsock_bind+0x4b2/0x720 vsock_bind+0x90/0xe0 __sys_bind+0x14d/0x1e0 __x64_sys_bind+0x6e/0xc0 do_syscall_64+0x92/0x1c0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 KASAN: null-ptr-deref in range [0x0000000000000118-0x000000000000011f] RIP: 0010:vsock_dev_do_ioctl.isra.0+0x58/0xf0 Call Trace: __x64_sys_ioctl+0x12d/0x190 do_syscall_64+0x92/0x1c0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость функции vsock_find_cid() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tcp: Correct signedness in skb remaining space calculation Syzkaller reported a bug [1] where sk->sk_forward_alloc can overflow. When we send data, if an skb exists at the tail of the write queue, the kernel will attempt to append the new data to that skb. However, the code that checks for available space in the skb is flawed: ''' copy = size_goal - skb->len ''' The types of the variables involved are: ''' copy: ssize_t (s64 on 64-bit systems) size_goal: int skb->len: unsigned int ''' Due to C's type promotion rules, the signed size_goal is converted to an unsigned int to match skb->len before the subtraction. The result is an unsigned int. When this unsigned int result is then assigned to the s64 copy variable, it is zero-extended, preserving its non-negative value. Consequently, copy is always >= 0. Assume we are sending 2GB of data and size_goal has been adjusted to a value smaller than skb->len. The subtraction will result in copy holding a very large positive integer. In the subsequent logic, this large value is used to update sk->sk_forward_alloc, which can easily cause it to overflow. The syzkaller reproducer uses TCP_REPAIR to reliably create this condition. However, this can also occur in real-world scenarios. The tcp_bound_to_half_wnd() function can also reduce size_goal to a small value. This would cause the subsequent tcp_wmem_schedule() to set sk->sk_forward_alloc to a value close to INT_MAX. Further memory allocation requests would then cause sk_forward_alloc to wrap around and become negative. [1]: https://syzkaller.appspot.com/bug?extid=de6565462ab540f50e47 Уязвимость компонента net/ipv4/tcp.c ядра операционной системы Linux связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tipc: Fix use-after-free in tipc_conn_close(). syzbot reported a null-ptr-deref in tipc_conn_close() during netns dismantle. [0] tipc_topsrv_stop() iterates tipc_net(net)->topsrv->conn_idr and calls tipc_conn_close() for each tipc_conn. The problem is that tipc_conn_close() is called after releasing the IDR lock. At the same time, there might be tipc_conn_recv_work() running and it could call tipc_conn_close() for the same tipc_conn and release its last ->kref. Once we release the IDR lock in tipc_topsrv_stop(), there is no guarantee that the tipc_conn is alive. Let's hold the ref before releasing the lock and put the ref after tipc_conn_close() in tipc_topsrv_stop(). [0]: BUG: KASAN: use-after-free in tipc_conn_close+0x122/0x140 net/tipc/topsrv.c:165 Read of size 8 at addr ffff888099305a08 by task kworker/u4:3/435 CPU: 0 PID: 435 Comm: kworker/u4:3 Not tainted 4.19.204-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 01/01/2011 Workqueue: netns cleanup_net Call Trace: __dump_stack lib/dump_stack.c:77 [inline] dump_stack+0x1fc/0x2ef lib/dump_stack.c:118 print_address_description.cold+0x54/0x219 mm/kasan/report.c:256 kasan_report_error.cold+0x8a/0x1b9 mm/kasan/report.c:354 kasan_report mm/kasan/report.c:412 [inline] __asan_report_load8_noabort+0x88/0x90 mm/kasan/report.c:433 tipc_conn_close+0x122/0x140 net/tipc/topsrv.c:165 tipc_topsrv_stop net/tipc/topsrv.c:701 [inline] tipc_topsrv_exit_net+0x27b/0x5c0 net/tipc/topsrv.c:722 ops_exit_list+0xa5/0x150 net/core/net_namespace.c:153 cleanup_net+0x3b4/0x8b0 net/core/net_namespace.c:553 process_one_work+0x864/0x1570 kernel/workqueue.c:2153 worker_thread+0x64c/0x1130 kernel/workqueue.c:2296 kthread+0x33f/0x460 kernel/kthread.c:259 ret_from_fork+0x24/0x30 arch/x86/entry/entry_64.S:415 Allocated by task 23: kmem_cache_alloc_trace+0x12f/0x380 mm/slab.c:3625 kmalloc include/linux/slab.h:515 [inline] kzalloc include/linux/slab.h:709 [inline] tipc_conn_alloc+0x43/0x4f0 net/tipc/topsrv.c:192 tipc_topsrv_accept+0x1b5/0x280 net/tipc/topsrv.c:470 process_one_work+0x864/0x1570 kernel/workqueue.c:2153 worker_thread+0x64c/0x1130 kernel/workqueue.c:2296 kthread+0x33f/0x460 kernel/kthread.c:259 ret_from_fork+0x24/0x30 arch/x86/entry/entry_64.S:415 Freed by task 23: __cache_free mm/slab.c:3503 [inline] kfree+0xcc/0x210 mm/slab.c:3822 tipc_conn_kref_release net/tipc/topsrv.c:150 [inline] kref_put include/linux/kref.h:70 [inline] conn_put+0x2cd/0x3a0 net/tipc/topsrv.c:155 process_one_work+0x864/0x1570 kernel/workqueue.c:2153 worker_thread+0x64c/0x1130 kernel/workqueue.c:2296 kthread+0x33f/0x460 kernel/kthread.c:259 ret_from_fork+0x24/0x30 arch/x86/entry/entry_64.S:415 The buggy address belongs to the object at ffff888099305a00 which belongs to the cache kmalloc-512 of size 512 The buggy address is located 8 bytes inside of 512-byte region [ffff888099305a00, ffff888099305c00) The buggy address belongs to the page: page:ffffea000264c140 count:1 mapcount:0 mapping:ffff88813bff0940 index:0x0 flags: 0xfff00000000100(slab) raw: 00fff00000000100 ffffea00028b6b88 ffffea0002cd2b08 ffff88813bff0940 raw: 0000000000000000 ffff888099305000 0000000100000006 0000000000000000 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff888099305900: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff888099305980: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc >ffff888099305a00: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ^ ffff888099305a80: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff888099305b00: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb Уязвимость функции tipc_conn_close() компонента net/tipc/topsrv.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netlink: Fix wraparounds of sk->sk_rmem_alloc. Netlink has this pattern in some places if (atomic_read(&sk->sk_rmem_alloc) > sk->sk_rcvbuf) atomic_add(skb->truesize, &sk->sk_rmem_alloc); , which has the same problem fixed by commit 5a465a0da13e ("udp: Fix multiple wraparounds of sk->sk_rmem_alloc."). For example, if we set INT_MAX to SO_RCVBUFFORCE, the condition is always false as the two operands are of int. Then, a single socket can eat as many skb as possible until OOM happens, and we can see multiple wraparounds of sk->sk_rmem_alloc. Let's fix it by using atomic_add_return() and comparing the two variables as unsigned int. Before: [root@fedora ~]# ss -f netlink Recv-Q Send-Q Local Address:Port Peer Address:Port -1668710080 0 rtnl:nl_wraparound/293 * After: [root@fedora ~]# ss -f netlink Recv-Q Send-Q Local Address:Port Peer Address:Port 2147483072 0 rtnl:nl_wraparound/290 * ^ `--- INT_MAX - 576 Уязвимость функции atomic_add_return() ядра операционной системы Linux связана с циклическим переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf: Revert to requiring CAP_SYS_ADMIN for uprobes Jann reports that uprobes can be used destructively when used in the middle of an instruction. The kernel only verifies there is a valid instruction at the requested offset, but due to variable instruction length cannot determine if this is an instruction as seen by the intended execution stream. Additionally, Mark Rutland notes that on architectures that mix data in the text segment (like arm64), a similar things can be done if the data word is 'mistaken' for an instruction. As such, require CAP_SYS_ADMIN for uprobes. Уязвимость компонента kernel/events/core.c ядра операционной системы Linux связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/exynos: exynos7_drm_decon: add vblank check in IRQ handling If there's support for another console device (such as a TTY serial), the kernel occasionally panics during boot. The panic message and a relevant snippet of the call stack is as follows: Unable to handle kernel NULL pointer dereference at virtual address 000000000000000 Call trace: drm_crtc_handle_vblank+0x10/0x30 (P) decon_irq_handler+0x88/0xb4 [...] Otherwise, the panics don't happen. This indicates that it's some sort of race condition. Add a check to validate if the drm device can handle vblanks before calling drm_crtc_handle_vblank() to avoid this. Уязвимость функции drm_crtc_handle_vblank() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: Return NULL when htb_lookup_leaf encounters an empty rbtree htb_lookup_leaf has a BUG_ON that can trigger with the following: tc qdisc del dev lo root tc qdisc add dev lo root handle 1: htb default 1 tc class add dev lo parent 1: classid 1:1 htb rate 64bit tc qdisc add dev lo parent 1:1 handle 2: netem tc qdisc add dev lo parent 2:1 handle 3: blackhole ping -I lo -c1 -W0.001 127.0.0.1 The root cause is the following: 1. htb_dequeue calls htb_dequeue_tree which calls the dequeue handler on the selected leaf qdisc 2. netem_dequeue calls enqueue on the child qdisc 3. blackhole_enqueue drops the packet and returns a value that is not just NET_XMIT_SUCCESS 4. Because of this, netem_dequeue calls qdisc_tree_reduce_backlog, and since qlen is now 0, it calls htb_qlen_notify -> htb_deactivate -> htb_deactiviate_prios -> htb_remove_class_from_row -> htb_safe_rb_erase 5. As this is the only class in the selected hprio rbtree, __rb_change_child in __rb_erase_augmented sets the rb_root pointer to NULL 6. Because blackhole_dequeue returns NULL, netem_dequeue returns NULL, which causes htb_dequeue_tree to call htb_lookup_leaf with the same hprio rbtree, and fail the BUG_ON The function graph for this scenario is shown here: 0) | htb_enqueue() { 0) + 13.635 us | netem_enqueue(); 0) 4.719 us | htb_activate_prios(); 0) # 2249.199 us | } 0) | htb_dequeue() { 0) 2.355 us | htb_lookup_leaf(); 0) | netem_dequeue() { 0) + 11.061 us | blackhole_enqueue(); 0) | qdisc_tree_reduce_backlog() { 0) | qdisc_lookup_rcu() { 0) 1.873 us | qdisc_match_from_root(); 0) 6.292 us | } 0) 1.894 us | htb_search(); 0) | htb_qlen_notify() { 0) 2.655 us | htb_deactivate_prios(); 0) 6.933 us | } 0) + 25.227 us | } 0) 1.983 us | blackhole_dequeue(); 0) + 86.553 us | } 0) # 2932.761 us | qdisc_warn_nonwc(); 0) | htb_lookup_leaf() { 0) | BUG_ON(); ------------------------------------------ The full original bug report can be seen here [1]. We can fix this just by returning NULL instead of the BUG_ON, as htb_dequeue_tree returns NULL when htb_lookup_leaf returns NULL. [1] https://lore.kernel.org/netdev/pF5XOOIim0IuEfhI-SOxTgRvNoDwuux7UHKnE_Y5-zVd4wmGvNk2ceHjKb8ORnzw0cGwfmVu42g9dL7XyJLf1NEzaztboTWcm0Ogxuojoeo=@willsroot.io/ Уязвимость функции htb_lookup_leaf() компонента net/sched/sch_htb.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_htb.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_htb в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_htb ``` или ``` kmod list | grep sch_htb ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_htb ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_htb /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86/xen: Fix cleanup logic in emulation of Xen schedop poll hypercalls kvm_xen_schedop_poll does a kmalloc_array() when a VM polls the host for more than one event channel potr (nr_ports > 1). After the kmalloc_array(), the error paths need to go through the "out" label, but the call to kvm_read_guest_virt() does not. [Adjusted commit message. - Paolo] Уязвимость функции kmalloc_array() компонента KVM ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: vlan: fix VLAN 0 refcount imbalance of toggling filtering during runtime Assuming the "rx-vlan-filter" feature is enabled on a net device, the 8021q module will automatically add or remove VLAN 0 when the net device is put administratively up or down, respectively. There are a couple of problems with the above scheme. The first problem is a memory leak that can happen if the "rx-vlan-filter" feature is disabled while the device is running: # ip link add bond1 up type bond mode 0 # ethtool -K bond1 rx-vlan-filter off # ip link del dev bond1 When the device is put administratively down the "rx-vlan-filter" feature is disabled, so the 8021q module will not remove VLAN 0 and the memory will be leaked [1]. Another problem that can happen is that the kernel can automatically delete VLAN 0 when the device is put administratively down despite not adding it when the device was put administratively up since during that time the "rx-vlan-filter" feature was disabled. null-ptr-unref or bug_on[2] will be triggered by unregister_vlan_dev() for refcount imbalance if toggling filtering during runtime: $ ip link add bond0 type bond mode 0 $ ip link add link bond0 name vlan0 type vlan id 0 protocol 802.1q $ ethtool -K bond0 rx-vlan-filter off $ ifconfig bond0 up $ ethtool -K bond0 rx-vlan-filter on $ ifconfig bond0 down $ ip link del vlan0 Root cause is as below: step1: add vlan0 for real_dev, such as bond, team. register_vlan_dev vlan_vid_add(real_dev,htons(ETH_P_8021Q),0) //refcnt=1 step2: disable vlan filter feature and enable real_dev step3: change filter from 0 to 1 vlan_device_event vlan_filter_push_vids ndo_vlan_rx_add_vid //No refcnt added to real_dev vlan0 step4: real_dev down vlan_device_event vlan_vid_del(dev, htons(ETH_P_8021Q), 0); //refcnt=0 vlan_info_rcu_free //free vlan0 step5: delete vlan0 unregister_vlan_dev BUG_ON(!vlan_info); //vlan_info is null Fix both problems by noting in the VLAN info whether VLAN 0 was automatically added upon NETDEV_UP and based on that decide whether it should be deleted upon NETDEV_DOWN, regardless of the state of the "rx-vlan-filter" feature. [1] unreferenced object 0xffff8880068e3100 (size 256): comm "ip", pid 384, jiffies 4296130254 hex dump (first 32 bytes): 00 20 30 0d 80 88 ff ff 00 00 00 00 00 00 00 00 . 0............. 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc 81ce31fa): __kmalloc_cache_noprof+0x2b5/0x340 vlan_vid_add+0x434/0x940 vlan_device_event.cold+0x75/0xa8 notifier_call_chain+0xca/0x150 __dev_notify_flags+0xe3/0x250 rtnl_configure_link+0x193/0x260 rtnl_newlink_create+0x383/0x8e0 __rtnl_newlink+0x22c/0xa40 rtnl_newlink+0x627/0xb00 rtnetlink_rcv_msg+0x6fb/0xb70 netlink_rcv_skb+0x11f/0x350 netlink_unicast+0x426/0x710 netlink_sendmsg+0x75a/0xc20 __sock_sendmsg+0xc1/0x150 ____sys_sendmsg+0x5aa/0x7b0 ___sys_sendmsg+0xfc/0x180 [2] kernel BUG at net/8021q/vlan.c:99! Oops: invalid opcode: 0000 [#1] SMP KASAN PTI CPU: 0 UID: 0 PID: 382 Comm: ip Not tainted 6.16.0-rc3 #61 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:unregister_vlan_dev (net/8021q/vlan.c:99 (discriminator 1)) RSP: 0018:ffff88810badf310 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffff88810da84000 RCX: ffffffffb47ceb9a RDX: dffffc0000000000 RSI: 0000000000000008 RDI: ffff88810e8b43c8 RBP: 0000000000000000 R08: 0000000000000000 R09: fffffbfff6cefe80 R10: ffffffffb677f407 R11: ffff88810badf3c0 R12: ffff88810e8b4000 R13: 0000000000000000 R14: ffff88810642a5c0 R15: 000000000000017e FS: 00007f1ff68c20c0(0000) GS:ffff888163a24000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f1ff5dad240 CR3: 0000000107e56000 CR4: 00000000000006f0 Call Trace: <TASK ---truncated--- Уязвимость функции unregister_vlan_dev() компонента 8021q Module ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tls: always refresh the queue when reading sock After recent changes in net-next TCP compacts skbs much more aggressively. This unearthed a bug in TLS where we may try to operate on an old skb when checking if all skbs in the queue have matching decrypt state and geometry. BUG: KASAN: slab-use-after-free in tls_strp_check_rcv+0x898/0x9a0 [tls] (net/tls/tls_strp.c:436 net/tls/tls_strp.c:530 net/tls/tls_strp.c:544) Read of size 4 at addr ffff888013085750 by task tls/13529 CPU: 2 UID: 0 PID: 13529 Comm: tls Not tainted 6.16.0-rc5-virtme Call Trace: kasan_report+0xca/0x100 tls_strp_check_rcv+0x898/0x9a0 [tls] tls_rx_rec_wait+0x2c9/0x8d0 [tls] tls_sw_recvmsg+0x40f/0x1aa0 [tls] inet_recvmsg+0x1c3/0x1f0 Always reload the queue, fast path is to have the record in the queue when we wake, anyway (IOW the path going down "if !strp->stm.full_len"). Уязвимость функции tls_strp_check_rcv() реализации протокола TLS ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_conntrack: fix crash due to removal of uninitialised entry A crash in conntrack was reported while trying to unlink the conntrack entry from the hash bucket list: [exception RIP: __nf_ct_delete_from_lists+172] [..] #7 [ff539b5a2b043aa0] nf_ct_delete at ffffffffc124d421 [nf_conntrack] #8 [ff539b5a2b043ad0] nf_ct_gc_expired at ffffffffc124d999 [nf_conntrack] #9 [ff539b5a2b043ae0] __nf_conntrack_find_get at ffffffffc124efbc [nf_conntrack] [..] The nf_conn struct is marked as allocated from slab but appears to be in a partially initialised state: ct hlist pointer is garbage; looks like the ct hash value (hence crash). ct->status is equal to IPS_CONFIRMED|IPS_DYING, which is expected ct->timeout is 30000 (=30s), which is unexpected. Everything else looks like normal udp conntrack entry. If we ignore ct->status and pretend its 0, the entry matches those that are newly allocated but not yet inserted into the hash: - ct hlist pointers are overloaded and store/cache the raw tuple hash - ct->timeout matches the relative time expected for a new udp flow rather than the absolute 'jiffies' value. If it were not for the presence of IPS_CONFIRMED, __nf_conntrack_find_get() would have skipped the entry. Theory is that we did hit following race: cpu x cpu y cpu z found entry E found entry E E is expired <preemption> nf_ct_delete() return E to rcu slab init_conntrack E is re-inited, ct->status set to 0 reply tuplehash hnnode.pprev stores hash value. cpu y found E right before it was deleted on cpu x. E is now re-inited on cpu z. cpu y was preempted before checking for expiry and/or confirm bit. ->refcnt set to 1 E now owned by skb ->timeout set to 30000 If cpu y were to resume now, it would observe E as expired but would skip E due to missing CONFIRMED bit. nf_conntrack_confirm gets called sets: ct->status |= CONFIRMED This is wrong: E is not yet added to hashtable. cpu y resumes, it observes E as expired but CONFIRMED: <resumes> nf_ct_expired() -> yes (ct->timeout is 30s) confirmed bit set. cpu y will try to delete E from the hashtable: nf_ct_delete() -> set DYING bit __nf_ct_delete_from_lists Even this scenario doesn't guarantee a crash: cpu z still holds the table bucket lock(s) so y blocks: wait for spinlock held by z CONFIRMED is set but there is no guarantee ct will be added to hash: "chaintoolong" or "clash resolution" logic both skip the insert step. reply hnnode.pprev still stores the hash value. unlocks spinlock return NF_DROP <unblocks, then crashes on hlist_nulls_del_rcu pprev> In case CPU z does insert the entry into the hashtable, cpu y will unlink E again right away but no crash occurs. Without 'cpu y' race, 'garbage' hlist is of no consequence: ct refcnt remains at 1, eventually skb will be free'd and E gets destroyed via: nf_conntrack_put -> nf_conntrack_destroy -> nf_ct_destroy. To resolve this, move the IPS_CONFIRMED assignment after the table insertion but before the unlock. Pablo points out that the confirm-bit-store could be reordered to happen before hlist add resp. the timeout fixup, so switch to set_bit and before_atomic memory barrier to prevent this. It doesn't matter if other CPUs can observe a newly inserted entry right before the CONFIRMED bit was set: Such event cannot be distinguished from above "E is the old incarnation" case: the entry will be skipped. Also change nf_ct_should_gc() to first check the confirmed bit. The gc sequence is: 1. Check if entry has expired, if not skip to next entry 2. Obtain a reference to the expired entry. 3. Call nf_ct_should_gc() to double-check step 1. nf_ct_should_gc() is thus called only for entries that already failed an expiry check. After this patch, once the confirmed bit check pas ---truncated--- Уязвимость функции __nf_conntrack_find_get() компонента Netfilter ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Fix null-ptr-deref in l2cap_sock_resume_cb() syzbot reported null-ptr-deref in l2cap_sock_resume_cb(). [0] l2cap_sock_resume_cb() has a similar problem that was fixed by commit 1bff51ea59a9 ("Bluetooth: fix use-after-free error in lock_sock_nested()"). Since both l2cap_sock_kill() and l2cap_sock_resume_cb() are executed under l2cap_sock_resume_cb(), we can avoid the issue simply by checking if chan->data is NULL. Let's not access to the killed socket in l2cap_sock_resume_cb(). [0]: BUG: KASAN: null-ptr-deref in instrument_atomic_write include/linux/instrumented.h:82 [inline] BUG: KASAN: null-ptr-deref in clear_bit include/asm-generic/bitops/instrumented-atomic.h:41 [inline] BUG: KASAN: null-ptr-deref in l2cap_sock_resume_cb+0xb4/0x17c net/bluetooth/l2cap_sock.c:1711 Write of size 8 at addr 0000000000000570 by task kworker/u9:0/52 CPU: 1 UID: 0 PID: 52 Comm: kworker/u9:0 Not tainted 6.16.0-rc4-syzkaller-g7482bb149b9f #0 PREEMPT Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Workqueue: hci0 hci_rx_work Call trace: show_stack+0x2c/0x3c arch/arm64/kernel/stacktrace.c:501 (C) __dump_stack+0x30/0x40 lib/dump_stack.c:94 dump_stack_lvl+0xd8/0x12c lib/dump_stack.c:120 print_report+0x58/0x84 mm/kasan/report.c:524 kasan_report+0xb0/0x110 mm/kasan/report.c:634 check_region_inline mm/kasan/generic.c:-1 [inline] kasan_check_range+0x264/0x2a4 mm/kasan/generic.c:189 __kasan_check_write+0x20/0x30 mm/kasan/shadow.c:37 instrument_atomic_write include/linux/instrumented.h:82 [inline] clear_bit include/asm-generic/bitops/instrumented-atomic.h:41 [inline] l2cap_sock_resume_cb+0xb4/0x17c net/bluetooth/l2cap_sock.c:1711 l2cap_security_cfm+0x524/0xea0 net/bluetooth/l2cap_core.c:7357 hci_auth_cfm include/net/bluetooth/hci_core.h:2092 [inline] hci_auth_complete_evt+0x2e8/0xa4c net/bluetooth/hci_event.c:3514 hci_event_func net/bluetooth/hci_event.c:7511 [inline] hci_event_packet+0x650/0xe9c net/bluetooth/hci_event.c:7565 hci_rx_work+0x320/0xb18 net/bluetooth/hci_core.c:4070 process_one_work+0x7e8/0x155c kernel/workqueue.c:3238 process_scheduled_works kernel/workqueue.c:3321 [inline] worker_thread+0x958/0xed8 kernel/workqueue.c:3402 kthread+0x5fc/0x75c kernel/kthread.c:464 ret_from_fork+0x10/0x20 arch/arm64/kernel/entry.S:847 Уязвимость функции l2cap_sock_resume_cb() компонента Bluetooth ядра операционной системы Linux связана с ошибками использования после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: net: sierra: check for no status endpoint The driver checks for having three endpoints and having bulk in and out endpoints, but not that the third endpoint is interrupt input. Rectify the omission. Уязвимость модуля drivers/net/usb/sierra_net.c ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smc: Fix various oops due to inet_sock type confusion. syzbot reported weird splats [0][1] in cipso_v4_sock_setattr() while freeing inet_sk(sk)->inet_opt. The address was freed multiple times even though it was read-only memory. cipso_v4_sock_setattr() did nothing wrong, and the root cause was type confusion. The cited commit made it possible to create smc_sock as an INET socket. The issue is that struct smc_sock does not have struct inet_sock as the first member but hijacks AF_INET and AF_INET6 sk_family, which confuses various places. In this case, inet_sock.inet_opt was actually smc_sock.clcsk_data_ready(), which is an address of a function in the text segment. $ pahole -C inet_sock vmlinux struct inet_sock { ... struct ip_options_rcu * inet_opt; /* 784 8 */ $ pahole -C smc_sock vmlinux struct smc_sock { ... void (*clcsk_data_ready)(struct sock *); /* 784 8 */ The same issue for another field was reported before. [2][3] At that time, an ugly hack was suggested [4], but it makes both INET and SMC code error-prone and hard to change. Also, yet another variant was fixed by a hacky commit 98d4435efcbf3 ("net/smc: prevent NULL pointer dereference in txopt_get"). Instead of papering over the root cause by such hacks, we should not allow non-INET socket to reuse the INET infra. Let's add inet_sock as the first member of smc_sock. [0]: kvfree_call_rcu(): Double-freed call. rcu_head 000000006921da73 WARNING: CPU: 0 PID: 6718 at mm/slab_common.c:1956 kvfree_call_rcu+0x94/0x3f0 mm/slab_common.c:1955 Modules linked in: CPU: 0 UID: 0 PID: 6718 Comm: syz.0.17 Tainted: G W 6.16.0-rc4-syzkaller-g7482bb149b9f #0 PREEMPT Tainted: [W]=WARN Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : kvfree_call_rcu+0x94/0x3f0 mm/slab_common.c:1955 lr : kvfree_call_rcu+0x94/0x3f0 mm/slab_common.c:1955 sp : ffff8000a03a7730 x29: ffff8000a03a7730 x28: 00000000fffffff5 x27: 1fffe000184823d3 x26: dfff800000000000 x25: ffff0000c2411e9e x24: ffff0000dd88da00 x23: ffff8000891ac9a0 x22: 00000000ffffffea x21: ffff8000891ac9a0 x20: ffff8000891ac9a0 x19: ffff80008afc2480 x18: 00000000ffffffff x17: 0000000000000000 x16: ffff80008ae642c8 x15: ffff700011ede14c x14: 1ffff00011ede14c x13: 0000000000000004 x12: ffffffffffffffff x11: ffff700011ede14c x10: 0000000000ff0100 x9 : 5fa3c1ffaf0ff000 x8 : 5fa3c1ffaf0ff000 x7 : 0000000000000001 x6 : 0000000000000001 x5 : ffff8000a03a7078 x4 : ffff80008f766c20 x3 : ffff80008054d360 x2 : 0000000000000000 x1 : 0000000000000201 x0 : 0000000000000000 Call trace: kvfree_call_rcu+0x94/0x3f0 mm/slab_common.c:1955 (P) cipso_v4_sock_setattr+0x2f0/0x3f4 net/ipv4/cipso_ipv4.c:1914 netlbl_sock_setattr+0x240/0x334 net/netlabel/netlabel_kapi.c:1000 smack_netlbl_add+0xa8/0x158 security/smack/smack_lsm.c:2581 smack_inode_setsecurity+0x378/0x430 security/smack/smack_lsm.c:2912 security_inode_setsecurity+0x118/0x3c0 security/security.c:2706 __vfs_setxattr_noperm+0x174/0x5c4 fs/xattr.c:251 __vfs_setxattr_locked+0x1ec/0x218 fs/xattr.c:295 vfs_setxattr+0x158/0x2ac fs/xattr.c:321 do_setxattr fs/xattr.c:636 [inline] file_setxattr+0x1b8/0x294 fs/xattr.c:646 path_setxattrat+0x2ac/0x320 fs/xattr.c:711 __do_sys_fsetxattr fs/xattr.c:761 [inline] __se_sys_fsetxattr fs/xattr.c:758 [inline] __arm64_sys_fsetxattr+0xc0/0xdc fs/xattr.c:758 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x98/0x2b8 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x130/0x23c arch/arm64/kernel/syscall.c:132 do_el0_svc+0x48/0x58 arch/arm64/kernel/syscall.c:151 el0_svc+0x58/0x180 arch/arm64/kernel/entry-common.c:879 el0t_64_sync_handler+0x84/0x12c arch/arm64/kernel/entry-common.c:898 el0t_64_sync+0x198/0x19c arch/arm64/kernel/entry.S:600 [ ---truncated--- Уязвимость функции cipso_v4_sock_setattr() компонента smc ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rpl: Fix use-after-free in rpl_do_srh_inline(). Running lwt_dst_cache_ref_loop.sh in selftest with KASAN triggers the splat below [0]. rpl_do_srh_inline() fetches ipv6_hdr(skb) and accesses it after skb_cow_head(), which is illegal as the header could be freed then. Let's fix it by making oldhdr to a local struct instead of a pointer. [0]: [root@fedora net]# ./lwt_dst_cache_ref_loop.sh ... TEST: rpl (input) [ 57.631529] ================================================================== BUG: KASAN: slab-use-after-free in rpl_do_srh_inline.isra.0 (net/ipv6/rpl_iptunnel.c:174) Read of size 40 at addr ffff888122bf96d8 by task ping6/1543 CPU: 50 UID: 0 PID: 1543 Comm: ping6 Not tainted 6.16.0-rc5-01302-gfadd1e6231b1 #23 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 Call Trace: <IRQ> dump_stack_lvl (lib/dump_stack.c:122) print_report (mm/kasan/report.c:409 mm/kasan/report.c:521) kasan_report (mm/kasan/report.c:221 mm/kasan/report.c:636) kasan_check_range (mm/kasan/generic.c:175 (discriminator 1) mm/kasan/generic.c:189 (discriminator 1)) __asan_memmove (mm/kasan/shadow.c:94 (discriminator 2)) rpl_do_srh_inline.isra.0 (net/ipv6/rpl_iptunnel.c:174) rpl_input (net/ipv6/rpl_iptunnel.c:201 net/ipv6/rpl_iptunnel.c:282) lwtunnel_input (net/core/lwtunnel.c:459) ipv6_rcv (./include/net/dst.h:471 (discriminator 1) ./include/net/dst.h:469 (discriminator 1) net/ipv6/ip6_input.c:79 (discriminator 1) ./include/linux/netfilter.h:317 (discriminator 1) ./include/linux/netfilter.h:311 (discriminator 1) net/ipv6/ip6_input.c:311 (discriminator 1)) __netif_receive_skb_one_core (net/core/dev.c:5967) process_backlog (./include/linux/rcupdate.h:869 net/core/dev.c:6440) __napi_poll.constprop.0 (net/core/dev.c:7452) net_rx_action (net/core/dev.c:7518 net/core/dev.c:7643) handle_softirqs (kernel/softirq.c:579) do_softirq (kernel/softirq.c:480 (discriminator 20)) </IRQ> <TASK> __local_bh_enable_ip (kernel/softirq.c:407) __dev_queue_xmit (net/core/dev.c:4740) ip6_finish_output2 (./include/linux/netdevice.h:3358 ./include/net/neighbour.h:526 ./include/net/neighbour.h:540 net/ipv6/ip6_output.c:141) ip6_finish_output (net/ipv6/ip6_output.c:215 net/ipv6/ip6_output.c:226) ip6_output (./include/linux/netfilter.h:306 net/ipv6/ip6_output.c:248) ip6_send_skb (net/ipv6/ip6_output.c:1983) rawv6_sendmsg (net/ipv6/raw.c:588 net/ipv6/raw.c:918) __sys_sendto (net/socket.c:714 (discriminator 1) net/socket.c:729 (discriminator 1) net/socket.c:2228 (discriminator 1)) __x64_sys_sendto (net/socket.c:2231) do_syscall_64 (arch/x86/entry/syscall_64.c:63 (discriminator 1) arch/x86/entry/syscall_64.c:94 (discriminator 1)) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) RIP: 0033:0x7f68cffb2a06 Code: 5d e8 41 8b 93 08 03 00 00 59 5e 48 83 f8 fc 75 19 83 e2 39 83 fa 08 75 11 e8 26 ff ff ff 66 0f 1f 44 00 00 48 8b 45 10 0f 05 <48> 8b 5d f8 c9 c3 0f 1f 40 00 f3 0f 1e fa 55 48 89 e5 48 83 ec 08 RSP: 002b:00007ffefb7c53d0 EFLAGS: 00000202 ORIG_RAX: 000000000000002c RAX: ffffffffffffffda RBX: 0000564cd69f10a0 RCX: 00007f68cffb2a06 RDX: 0000000000000040 RSI: 0000564cd69f10a4 RDI: 0000000000000003 RBP: 00007ffefb7c53f0 R08: 0000564cd6a032ac R09: 000000000000001c R10: 0000000000000000 R11: 0000000000000202 R12: 0000564cd69f10a4 R13: 0000000000000040 R14: 00007ffefb7c66e0 R15: 0000564cd69f10a0 </TASK> Allocated by task 1543: kasan_save_stack (mm/kasan/common.c:48) kasan_save_track (mm/kasan/common.c:60 (discriminator 1) mm/kasan/common.c:69 (discriminator 1)) __kasan_slab_alloc (mm/kasan/common.c:319 mm/kasan/common.c:345) kmem_cache_alloc_node_noprof (./include/linux/kasan.h:250 mm/slub.c:4148 mm/slub.c:4197 mm/slub.c:4249) kmalloc_reserve (net/core/skbuff.c:581 (discriminator 88)) __alloc_skb (net/core/skbuff.c:669) __ip6_append_data (net/ipv6/ip6_output.c:1672 (discriminator 1)) ip6_ ---truncated--- Уязвимость функции rpl_do_srh_inline() компонента rpl ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: sch_qfq: Fix race condition on qfq_aggregate A race condition can occur when 'agg' is modified in qfq_change_agg (called during qfq_enqueue) while other threads access it concurrently. For example, qfq_dump_class may trigger a NULL dereference, and qfq_delete_class may cause a use-after-free. This patch addresses the issue by: 1. Moved qfq_destroy_class into the critical section. 2. Added sch_tree_lock protection to qfq_dump_class and qfq_dump_class_stats. Уязвимость компонента net/sched/sch_qfq.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_qfq.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_qfq в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_qfq ``` или ``` kmod list | grep sch_qfq ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_qfq ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_qfq /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: Fix initialization of data for instructions that write to subdevice Some Comedi subdevice instruction handlers are known to access instruction data elements beyond the first `insn->n` elements in some cases. The `do_insn_ioctl()` and `do_insnlist_ioctl()` functions allocate at least `MIN_SAMPLES` (16) data elements to deal with this, but they do not initialize all of that. For Comedi instruction codes that write to the subdevice, the first `insn->n` data elements are copied from user-space, but the remaining elements are left uninitialized. That could be a problem if the subdevice instruction handler reads the uninitialized data. Ensure that the first `MIN_SAMPLES` elements are initialized before calling these instruction handlers, filling the uncopied elements with 0. For `do_insnlist_ioctl()`, the same data buffer elements are used for handling a list of instructions, so ensure the first `MIN_SAMPLES` elements are initialized for each instruction that writes to the subdevice. Уязвимость функции do_insn_ioctl() компонента comedi ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: Fix use of uninitialized data in insn_rw_emulate_bits() For Comedi `INSN_READ` and `INSN_WRITE` instructions on "digital" subdevices (subdevice types `COMEDI_SUBD_DI`, `COMEDI_SUBD_DO`, and `COMEDI_SUBD_DIO`), it is common for the subdevice driver not to have `insn_read` and `insn_write` handler functions, but to have an `insn_bits` handler function for handling Comedi `INSN_BITS` instructions. In that case, the subdevice's `insn_read` and/or `insn_write` function handler pointers are set to point to the `insn_rw_emulate_bits()` function by `__comedi_device_postconfig()`. For `INSN_WRITE`, `insn_rw_emulate_bits()` currently assumes that the supplied `data[0]` value is a valid copy from user memory. It will at least exist because `do_insnlist_ioctl()` and `do_insn_ioctl()` in "comedi_fops.c" ensure at lease `MIN_SAMPLES` (16) elements are allocated. However, if `insn->n` is 0 (which is allowable for `INSN_READ` and `INSN_WRITE` instructions, then `data[0]` may contain uninitialized data, and certainly contains invalid data, possibly from a different instruction in the array of instructions handled by `do_insnlist_ioctl()`. This will result in an incorrect value being written to the digital output channel (or to the digital input/output channel if configured as an output), and may be reflected in the internal saved state of the channel. Fix it by returning 0 early if `insn->n` is 0, before reaching the code that accesses `data[0]`. Previously, the function always returned 1 on success, but it is supposed to be the number of data samples actually read or written up to `insn->n`, which is 0 in this case. Уязвимость функции insn_rw_emulate_bits() компонента drivers/comedi/drivers.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: Fail COMEDI_INSNLIST ioctl if n_insns is too large The handling of the `COMEDI_INSNLIST` ioctl allocates a kernel buffer to hold the array of `struct comedi_insn`, getting the length from the `n_insns` member of the `struct comedi_insnlist` supplied by the user. The allocation will fail with a WARNING and a stack dump if it is too large. Avoid that by failing with an `-EINVAL` error if the supplied `n_insns` value is unreasonable. Define the limit on the `n_insns` value in the `MAX_INSNS` macro. Set this to the same value as `MAX_SAMPLES` (65536), which is the maximum allowed sum of the values of the member `n` in the array of `struct comedi_insn`, and sensible comedi instructions will have an `n` of at least 1. Уязвимость компонента drivers/comedi/comedi_fops.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: das6402: Fix bit shift out of bounds When checking for a supported IRQ number, the following test is used: /* IRQs 2,3,5,6,7, 10,11,15 are valid for "enhanced" mode */ if ((1 << it->options[1]) & 0x8cec) { However, `it->options[i]` is an unchecked `int` value from userspace, so the shift amount could be negative or out of bounds. Fix the test by requiring `it->options[1]` to be within bounds before proceeding with the original test. Valid `it->options[1]` values that select the IRQ will be in the range [1,15]. The value 0 explicitly disables the use of interrupts. Уязвимость модуля drivers/comedi/drivers/das6402.c ядра операционной системы Linux связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: das16m1: Fix bit shift out of bounds When checking for a supported IRQ number, the following test is used: /* only irqs 2, 3, 4, 5, 6, 7, 10, 11, 12, 14, and 15 are valid */ if ((1 << it->options[1]) & 0xdcfc) { However, `it->options[i]` is an unchecked `int` value from userspace, so the shift amount could be negative or out of bounds. Fix the test by requiring `it->options[1]` to be within bounds before proceeding with the original test. Уязвимость модуля drivers/comedi/drivers/das16m1.c ядра операционной системы Linux связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: backend: fix out-of-bound write The buffer is set to 80 character. If a caller write more characters, count is truncated to the max available space in "simple_write_to_buffer". But afterwards a string terminator is written to the buffer at offset count without boundary check. The zero termination is written OUT-OF-BOUND. Add a check that the given buffer is smaller then the buffer to prevent. Уязвимость модуля drivers/iio/industrialio-backend.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: accel: fxls8962af: Fix use after free in fxls8962af_fifo_flush fxls8962af_fifo_flush() uses indio_dev->active_scan_mask (with iio_for_each_active_channel()) without making sure the indio_dev stays in buffer mode. There is a race if indio_dev exits buffer mode in the middle of the interrupt that flushes the fifo. Fix this by calling synchronize_irq() to ensure that no interrupt is currently running when disabling buffer mode. Unable to handle kernel NULL pointer dereference at virtual address 00000000 when read [...] _find_first_bit_le from fxls8962af_fifo_flush+0x17c/0x290 fxls8962af_fifo_flush from fxls8962af_interrupt+0x80/0x178 fxls8962af_interrupt from irq_thread_fn+0x1c/0x7c irq_thread_fn from irq_thread+0x110/0x1f4 irq_thread from kthread+0xe0/0xfc kthread from ret_from_fork+0x14/0x2c Уязвимость функции fxls8962af_fifo_flush() компонента iio ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: soc: aspeed: lpc-snoop: Don't disable channels that aren't enabled Mitigate e.g. the following: # echo 1e789080.lpc-snoop > /sys/bus/platform/drivers/aspeed-lpc-snoop/unbind ... [ 120.363594] Unable to handle kernel NULL pointer dereference at virtual address 00000004 when write [ 120.373866] [00000004] *pgd=00000000 [ 120.377910] Internal error: Oops: 805 [#1] SMP ARM [ 120.383306] CPU: 1 UID: 0 PID: 315 Comm: sh Not tainted 6.15.0-rc1-00009-g926217bc7d7d-dirty #20 NONE ... [ 120.679543] Call trace: [ 120.679559] misc_deregister from aspeed_lpc_snoop_remove+0x84/0xac [ 120.692462] aspeed_lpc_snoop_remove from platform_remove+0x28/0x38 [ 120.700996] platform_remove from device_release_driver_internal+0x188/0x200 ... Уязвимость функции misc_deregister() компонента soc ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix use-after-free in crypt_message when using async crypto The CVE-2024-50047 fix removed asynchronous crypto handling from crypt_message(), assuming all crypto operations are synchronous. However, when hardware crypto accelerators are used, this can cause use-after-free crashes: crypt_message() // Allocate the creq buffer containing the req creq = smb2_get_aead_req(..., &req); // Async encryption returns -EINPROGRESS immediately rc = enc ? crypto_aead_encrypt(req) : crypto_aead_decrypt(req); // Free creq while async operation is still in progress kvfree_sensitive(creq, ...); Hardware crypto modules often implement async AEAD operations for performance. When crypto_aead_encrypt/decrypt() returns -EINPROGRESS, the operation completes asynchronously. Without crypto_wait_req(), the function immediately frees the request buffer, leading to crashes when the driver later accesses the freed memory. This results in a use-after-free condition when the hardware crypto driver later accesses the freed request structure, leading to kernel crashes with NULL pointer dereferences. The issue occurs because crypto_alloc_aead() with mask=0 doesn't guarantee synchronous operation. Even without CRYPTO_ALG_ASYNC in the mask, async implementations can be selected. Fix by restoring the async crypto handling: - DECLARE_CRYPTO_WAIT(wait) for completion tracking - aead_request_set_callback() for async completion notification - crypto_wait_req() to wait for operation completion This ensures the request buffer isn't freed until the crypto operation completes, whether synchronous or asynchronous, while preserving the CVE-2024-50047 fix. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: s390/bpf: Fix bpf_arch_text_poke() with new_addr == NULL again Commit 7ded842b356d ("s390/bpf: Fix bpf_plt pointer arithmetic") has accidentally removed the critical piece of commit c730fce7c70c ("s390/bpf: Fix bpf_arch_text_poke() with new_addr == NULL"), causing intermittent kernel panics in e.g. perf's on_switch() prog to reappear. Restore the fix and add a comment. Уязвимость функции bpf_arch_text_poke() ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: libwx: remove duplicate page_pool_put_full_page() page_pool_put_full_page() should only be invoked when freeing Rx buffers or building a skb if the size is too short. At other times, the pages need to be reused. So remove the redundant page put. In the original code, double free pages cause kernel panic: [ 876.949834] __irq_exit_rcu+0xc7/0x130 [ 876.949836] common_interrupt+0xb8/0xd0 [ 876.949838] </IRQ> [ 876.949838] <TASK> [ 876.949840] asm_common_interrupt+0x22/0x40 [ 876.949841] RIP: 0010:cpuidle_enter_state+0xc2/0x420 [ 876.949843] Code: 00 00 e8 d1 1d 5e ff e8 ac f0 ff ff 49 89 c5 0f 1f 44 00 00 31 ff e8 cd fc 5c ff 45 84 ff 0f 85 40 02 00 00 fb 0f 1f 44 00 00 <45> 85 f6 0f 88 84 01 00 00 49 63 d6 48 8d 04 52 48 8d 04 82 49 8d [ 876.949844] RSP: 0018:ffffaa7340267e78 EFLAGS: 00000246 [ 876.949845] RAX: ffff9e3f135be000 RBX: 0000000000000002 RCX: 0000000000000000 [ 876.949846] RDX: 000000cc2dc4cb7c RSI: ffffffff89ee49ae RDI: ffffffff89ef9f9e [ 876.949847] RBP: ffff9e378f940800 R08: 0000000000000002 R09: 00000000000000ed [ 876.949848] R10: 000000000000afc8 R11: ffff9e3e9e5a9b6c R12: ffffffff8a6d8580 [ 876.949849] R13: 000000cc2dc4cb7c R14: 0000000000000002 R15: 0000000000000000 [ 876.949852] ? cpuidle_enter_state+0xb3/0x420 [ 876.949855] cpuidle_enter+0x29/0x40 [ 876.949857] cpuidle_idle_call+0xfd/0x170 [ 876.949859] do_idle+0x7a/0xc0 [ 876.949861] cpu_startup_entry+0x25/0x30 [ 876.949862] start_secondary+0x117/0x140 [ 876.949864] common_startup_64+0x13e/0x148 [ 876.949867] </TASK> [ 876.949868] ---[ end trace 0000000000000000 ]--- [ 876.949869] ------------[ cut here ]------------ [ 876.949870] list_del corruption, ffffead40445a348->next is NULL [ 876.949873] WARNING: CPU: 14 PID: 0 at lib/list_debug.c:52 __list_del_entry_valid_or_report+0x67/0x120 [ 876.949875] Modules linked in: snd_hrtimer(E) bnep(E) binfmt_misc(E) amdgpu(E) squashfs(E) vfat(E) loop(E) fat(E) amd_atl(E) snd_hda_codec_realtek(E) intel_rapl_msr(E) snd_hda_codec_generic(E) intel_rapl_common(E) snd_hda_scodec_component(E) snd_hda_codec_hdmi(E) snd_hda_intel(E) edac_mce_amd(E) snd_intel_dspcfg(E) snd_hda_codec(E) snd_hda_core(E) amdxcp(E) kvm_amd(E) snd_hwdep(E) gpu_sched(E) drm_panel_backlight_quirks(E) cec(E) snd_pcm(E) drm_buddy(E) snd_seq_dummy(E) drm_ttm_helper(E) btusb(E) kvm(E) snd_seq_oss(E) btrtl(E) ttm(E) btintel(E) snd_seq_midi(E) btbcm(E) drm_exec(E) snd_seq_midi_event(E) i2c_algo_bit(E) snd_rawmidi(E) bluetooth(E) drm_suballoc_helper(E) irqbypass(E) snd_seq(E) ghash_clmulni_intel(E) sha512_ssse3(E) drm_display_helper(E) aesni_intel(E) snd_seq_device(E) rfkill(E) snd_timer(E) gf128mul(E) drm_client_lib(E) drm_kms_helper(E) snd(E) i2c_piix4(E) joydev(E) soundcore(E) wmi_bmof(E) ccp(E) k10temp(E) i2c_smbus(E) gpio_amdpt(E) i2c_designware_platform(E) gpio_generic(E) sg(E) [ 876.949914] i2c_designware_core(E) sch_fq_codel(E) parport_pc(E) drm(E) ppdev(E) lp(E) parport(E) fuse(E) nfnetlink(E) ip_tables(E) ext4 crc16 mbcache jbd2 sd_mod sfp mdio_i2c i2c_core txgbe ahci ngbe pcs_xpcs libahci libwx r8169 phylink libata realtek ptp pps_core video wmi [ 876.949933] CPU: 14 UID: 0 PID: 0 Comm: swapper/14 Kdump: loaded Tainted: G W E 6.16.0-rc2+ #20 PREEMPT(voluntary) [ 876.949935] Tainted: [W]=WARN, [E]=UNSIGNED_MODULE [ 876.949936] Hardware name: Micro-Star International Co., Ltd. MS-7E16/X670E GAMING PLUS WIFI (MS-7E16), BIOS 1.90 12/31/2024 [ 876.949936] RIP: 0010:__list_del_entry_valid_or_report+0x67/0x120 [ 876.949938] Code: 00 00 00 48 39 7d 08 0f 85 a6 00 00 00 5b b8 01 00 00 00 5d 41 5c e9 73 0d 93 ff 48 89 fe 48 c7 c7 a0 31 e8 89 e8 59 7c b3 ff <0f> 0b 31 c0 5b 5d 41 5c e9 57 0d 93 ff 48 89 fe 48 c7 c7 c8 31 e8 [ 876.949940] RSP: 0018:ffffaa73405d0c60 EFLAGS: 00010282 [ 876.949941] RAX: 0000000000000000 RBX: ffffead40445a348 RCX: 0000000000000000 [ 876.949942] RDX: 0000000000000105 RSI: 00000 ---truncated--- Уязвимость функции page_pool_put_full_page() ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: make fallback action and fallback decision atomic Syzkaller reported the following splat: WARNING: CPU: 1 PID: 7704 at net/mptcp/protocol.h:1223 __mptcp_do_fallback net/mptcp/protocol.h:1223 [inline] WARNING: CPU: 1 PID: 7704 at net/mptcp/protocol.h:1223 mptcp_do_fallback net/mptcp/protocol.h:1244 [inline] WARNING: CPU: 1 PID: 7704 at net/mptcp/protocol.h:1223 check_fully_established net/mptcp/options.c:982 [inline] WARNING: CPU: 1 PID: 7704 at net/mptcp/protocol.h:1223 mptcp_incoming_options+0x21a8/0x2510 net/mptcp/options.c:1153 Modules linked in: CPU: 1 UID: 0 PID: 7704 Comm: syz.3.1419 Not tainted 6.16.0-rc3-gbd5ce2324dba #20 PREEMPT(voluntary) Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:__mptcp_do_fallback net/mptcp/protocol.h:1223 [inline] RIP: 0010:mptcp_do_fallback net/mptcp/protocol.h:1244 [inline] RIP: 0010:check_fully_established net/mptcp/options.c:982 [inline] RIP: 0010:mptcp_incoming_options+0x21a8/0x2510 net/mptcp/options.c:1153 Code: 24 18 e8 bb 2a 00 fd e9 1b df ff ff e8 b1 21 0f 00 e8 ec 5f c4 fc 44 0f b7 ac 24 b0 00 00 00 e9 54 f1 ff ff e8 d9 5f c4 fc 90 <0f> 0b 90 e9 b8 f4 ff ff e8 8b 2a 00 fd e9 8d e6 ff ff e8 81 2a 00 RSP: 0018:ffff8880a3f08448 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffff8880180a8000 RCX: ffffffff84afcf45 RDX: ffff888090223700 RSI: ffffffff84afdaa7 RDI: 0000000000000001 RBP: ffff888017955780 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000000 R12: 0000000000000000 R13: ffff8880180a8910 R14: ffff8880a3e9d058 R15: 0000000000000000 FS: 00005555791b8500(0000) GS:ffff88811c495000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000110c2800b7 CR3: 0000000058e44000 CR4: 0000000000350ef0 Call Trace: <IRQ> tcp_reset+0x26f/0x2b0 net/ipv4/tcp_input.c:4432 tcp_validate_incoming+0x1057/0x1b60 net/ipv4/tcp_input.c:5975 tcp_rcv_established+0x5b5/0x21f0 net/ipv4/tcp_input.c:6166 tcp_v4_do_rcv+0x5dc/0xa70 net/ipv4/tcp_ipv4.c:1925 tcp_v4_rcv+0x3473/0x44a0 net/ipv4/tcp_ipv4.c:2363 ip_protocol_deliver_rcu+0xba/0x480 net/ipv4/ip_input.c:205 ip_local_deliver_finish+0x2f1/0x500 net/ipv4/ip_input.c:233 NF_HOOK include/linux/netfilter.h:317 [inline] NF_HOOK include/linux/netfilter.h:311 [inline] ip_local_deliver+0x1be/0x560 net/ipv4/ip_input.c:254 dst_input include/net/dst.h:469 [inline] ip_rcv_finish net/ipv4/ip_input.c:447 [inline] NF_HOOK include/linux/netfilter.h:317 [inline] NF_HOOK include/linux/netfilter.h:311 [inline] ip_rcv+0x514/0x810 net/ipv4/ip_input.c:567 __netif_receive_skb_one_core+0x197/0x1e0 net/core/dev.c:5975 __netif_receive_skb+0x1f/0x120 net/core/dev.c:6088 process_backlog+0x301/0x1360 net/core/dev.c:6440 __napi_poll.constprop.0+0xba/0x550 net/core/dev.c:7453 napi_poll net/core/dev.c:7517 [inline] net_rx_action+0xb44/0x1010 net/core/dev.c:7644 handle_softirqs+0x1d0/0x770 kernel/softirq.c:579 do_softirq+0x3f/0x90 kernel/softirq.c:480 </IRQ> <TASK> __local_bh_enable_ip+0xed/0x110 kernel/softirq.c:407 local_bh_enable include/linux/bottom_half.h:33 [inline] inet_csk_listen_stop+0x2c5/0x1070 net/ipv4/inet_connection_sock.c:1524 mptcp_check_listen_stop.part.0+0x1cc/0x220 net/mptcp/protocol.c:2985 mptcp_check_listen_stop net/mptcp/mib.h:118 [inline] __mptcp_close+0x9b9/0xbd0 net/mptcp/protocol.c:3000 mptcp_close+0x2f/0x140 net/mptcp/protocol.c:3066 inet_release+0xed/0x200 net/ipv4/af_inet.c:435 inet6_release+0x4f/0x70 net/ipv6/af_inet6.c:487 __sock_release+0xb3/0x270 net/socket.c:649 sock_close+0x1c/0x30 net/socket.c:1439 __fput+0x402/0xb70 fs/file_table.c:465 task_work_run+0x150/0x240 kernel/task_work.c:227 resume_user_mode_work include/linux/resume_user_mode.h:50 [inline] exit_to_user_mode_loop+0xd4 ---truncated--- Уязвимость функции __mptcp_do_fallback() компонента mptcp ядра операционной системы Linux связана с бесконечным циклом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=8.2) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing/osnoise: Fix crash in timerlat_dump_stack() We have observed kernel panics when using timerlat with stack saving, with the following dmesg output: memcpy: detected buffer overflow: 88 byte write of buffer size 0 WARNING: CPU: 2 PID: 8153 at lib/string_helpers.c:1032 __fortify_report+0x55/0xa0 CPU: 2 UID: 0 PID: 8153 Comm: timerlatu/2 Kdump: loaded Not tainted 6.15.3-200.fc42.x86_64 #1 PREEMPT(lazy) Call Trace: <TASK> ? trace_buffer_lock_reserve+0x2a/0x60 __fortify_panic+0xd/0xf __timerlat_dump_stack.cold+0xd/0xd timerlat_dump_stack.part.0+0x47/0x80 timerlat_fd_read+0x36d/0x390 vfs_read+0xe2/0x390 ? syscall_exit_to_user_mode+0x1d5/0x210 ksys_read+0x73/0xe0 do_syscall_64+0x7b/0x160 ? exc_page_fault+0x7e/0x1a0 entry_SYSCALL_64_after_hwframe+0x76/0x7e __timerlat_dump_stack() constructs the ftrace stack entry like this: struct stack_entry *entry; ... memcpy(&entry->caller, fstack->calls, size); entry->size = fstack->nr_entries; Since commit e7186af7fb26 ("tracing: Add back FORTIFY_SOURCE logic to kernel_stack event structure"), struct stack_entry marks its caller field with __counted_by(size). At the time of the memcpy, entry->size contains garbage from the ringbuffer, which under some circumstances is zero, triggering a kernel panic by buffer overflow. Populate the size field before the memcpy so that the out-of-bounds check knows the correct size. This is analogous to __ftrace_trace_stack(). Уязвимость функции timerlat_dump_stack() модуля lib/string_helpers.c ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: core: do not bypass hid_hw_raw_request hid_hw_raw_request() is actually useful to ensure the provided buffer and length are valid. Directly calling in the low level transport driver function bypassed those checks and allowed invalid paramto be used. Уязвимость функции hid_hw_raw_request() драйвера Low Level Transport ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: core: ensure the allocated report buffer can contain the reserved report ID When the report ID is not used, the low level transport drivers expect the first byte to be 0. However, currently the allocated buffer not account for that extra byte, meaning that instead of having 8 guaranteed bytes for implement to be working, we only have 7. Уязвимость драйвера Low Level Transport ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm-bufio: fix sched in atomic context If "try_verify_in_tasklet" is set for dm-verity, DM_BUFIO_CLIENT_NO_SLEEP is enabled for dm-bufio. However, when bufio tries to evict buffers, there is a chance to trigger scheduling in spin_lock_bh, the following warning is hit: BUG: sleeping function called from invalid context at drivers/md/dm-bufio.c:2745 in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 123, name: kworker/2:2 preempt_count: 201, expected: 0 RCU nest depth: 0, expected: 0 4 locks held by kworker/2:2/123: #0: ffff88800a2d1548 ((wq_completion)dm_bufio_cache){....}-{0:0}, at: process_one_work+0xe46/0x1970 #1: ffffc90000d97d20 ((work_completion)(&dm_bufio_replacement_work)){....}-{0:0}, at: process_one_work+0x763/0x1970 #2: ffffffff8555b528 (dm_bufio_clients_lock){....}-{3:3}, at: do_global_cleanup+0x1ce/0x710 #3: ffff88801d5820b8 (&c->spinlock){....}-{2:2}, at: do_global_cleanup+0x2a5/0x710 Preemption disabled at: [<0000000000000000>] 0x0 CPU: 2 UID: 0 PID: 123 Comm: kworker/2:2 Not tainted 6.16.0-rc3-g90548c634bd0 #305 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 Workqueue: dm_bufio_cache do_global_cleanup Call Trace: <TASK> dump_stack_lvl+0x53/0x70 __might_resched+0x360/0x4e0 do_global_cleanup+0x2f5/0x710 process_one_work+0x7db/0x1970 worker_thread+0x518/0xea0 kthread+0x359/0x690 ret_from_fork+0xf3/0x1b0 ret_from_fork_asm+0x1a/0x30 </TASK> That can be reproduced by: veritysetup format --data-block-size=4096 --hash-block-size=4096 /dev/vda /dev/vdb SIZE=$(blockdev --getsz /dev/vda) dmsetup create myverity -r --table "0 $SIZE verity 1 /dev/vda /dev/vdb 4096 4096 <data_blocks> 1 sha256 <root_hash> <salt> 1 try_verify_in_tasklet" mount /dev/dm-0 /mnt -o ro echo 102400 > /sys/module/dm_bufio/parameters/max_cache_size_bytes [read files in /mnt] Уязвимость функции in_atomic() модуля drivers/md/dm-bufio.c ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: configfs: Fix OOB read on empty string write When writing an empty string to either 'qw_sign' or 'landingPage' sysfs attributes, the store functions attempt to access page[l - 1] before validating that the length 'l' is greater than zero. This patch fixes the vulnerability by adding a check at the beginning of os_desc_qw_sign_store() and webusb_landingPage_store() to handle the zero-length input case gracefully by returning immediately. Уязвимость модуля drivers/usb/gadget/configfs.c ядра операционной системы Linux связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clone_private_mnt(): make sure that caller has CAP_SYS_ADMIN in the right userns What we want is to verify there is that clone won't expose something hidden by a mount we wouldn't be able to undo. "Wouldn't be able to undo" may be a result of MNT_LOCKED on a child, but it may also come from lacking admin rights in the userns of the namespace mount belongs to. clone_private_mnt() checks the former, but not the latter. There's a number of rather confusing CAP_SYS_ADMIN checks in various userns during the mount, especially with the new mount API; they serve different purposes and in case of clone_private_mnt() they usually, but not always end up covering the missing check mentioned above. Уязвимость функции clone_private_mnt() ядра операционной системы Linux связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность и доступность защищамой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: interface: fix use-after-free after changing collect_md xfrm interface collect_md property on xfrm interfaces can only be set on device creation, thus xfrmi_changelink() should fail when called on such interfaces. The check to enforce this was done only in the case where the xi was returned from xfrmi_locate() which doesn't look for the collect_md interface, and thus the validation was never reached. Calling changelink would thus errornously place the special interface xi in the xfrmi_net->xfrmi hash, but since it also exists in the xfrmi_net->collect_md_xfrmi pointer it would lead to a double free when the net namespace was taken down [1]. Change the check to use the xi from netdev_priv which is available earlier in the function to prevent changes in xfrm collect_md interfaces. [1] resulting oops: [ 8.516540] kernel BUG at net/core/dev.c:12029! [ 8.516552] Oops: invalid opcode: 0000 [#1] SMP NOPTI [ 8.516559] CPU: 0 UID: 0 PID: 12 Comm: kworker/u80:0 Not tainted 6.15.0-virtme #5 PREEMPT(voluntary) [ 8.516565] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 8.516569] Workqueue: netns cleanup_net [ 8.516579] RIP: 0010:unregister_netdevice_many_notify+0x101/0xab0 [ 8.516590] Code: 90 0f 0b 90 48 8b b0 78 01 00 00 48 8b 90 80 01 00 00 48 89 56 08 48 89 32 4c 89 80 78 01 00 00 48 89 b8 80 01 00 00 eb ac 90 <0f> 0b 48 8b 45 00 4c 8d a0 88 fe ff ff 48 39 c5 74 5c 41 80 bc 24 [ 8.516593] RSP: 0018:ffffa93b8006bd30 EFLAGS: 00010206 [ 8.516598] RAX: ffff98fe4226e000 RBX: ffffa93b8006bd58 RCX: ffffa93b8006bc60 [ 8.516601] RDX: 0000000000000004 RSI: 0000000000000000 RDI: dead000000000122 [ 8.516603] RBP: ffffa93b8006bdd8 R08: dead000000000100 R09: ffff98fe4133c100 [ 8.516605] R10: 0000000000000000 R11: 00000000000003d2 R12: ffffa93b8006be00 [ 8.516608] R13: ffffffff96c1a510 R14: ffffffff96c1a510 R15: ffffa93b8006be00 [ 8.516615] FS: 0000000000000000(0000) GS:ffff98fee73b7000(0000) knlGS:0000000000000000 [ 8.516619] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 8.516622] CR2: 00007fcd2abd0700 CR3: 000000003aa40000 CR4: 0000000000752ef0 [ 8.516625] PKRU: 55555554 [ 8.516627] Call Trace: [ 8.516632] <TASK> [ 8.516635] ? rtnl_is_locked+0x15/0x20 [ 8.516641] ? unregister_netdevice_queue+0x29/0xf0 [ 8.516650] ops_undo_list+0x1f2/0x220 [ 8.516659] cleanup_net+0x1ad/0x2e0 [ 8.516664] process_one_work+0x160/0x380 [ 8.516673] worker_thread+0x2aa/0x3c0 [ 8.516679] ? __pfx_worker_thread+0x10/0x10 [ 8.516686] kthread+0xfb/0x200 [ 8.516690] ? __pfx_kthread+0x10/0x10 [ 8.516693] ? __pfx_kthread+0x10/0x10 [ 8.516697] ret_from_fork+0x82/0xf0 [ 8.516705] ? __pfx_kthread+0x10/0x10 [ 8.516709] ret_from_fork_asm+0x1a/0x30 [ 8.516718] </TASK> Уязвимость компонента net/xfrm ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля xfrm_interface.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль xfrm_interface в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep xfrm_interface ``` или ``` kmod list | grep xfrm_interface ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod xfrm_interface ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install xfrm_interface /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: limit repeated connections from clients with the same IP Repeated connections from clients with the same IP address may exhaust the max connections and prevent other normal client connections. This patch limit repeated connections from clients with the same IP. Уязвимость компонента ksmbd ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Ограничить количество одновременных соединений с одного IP-адреса на порт SMB (обычно 445/tcp) до разумного значения. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix oob access in cgroup local storage Lonial reported that an out-of-bounds access in cgroup local storage can be crafted via tail calls. Given two programs each utilizing a cgroup local storage with a different value size, and one program doing a tail call into the other. The verifier will validate each of the indivial programs just fine. However, in the runtime context the bpf_cg_run_ctx holds an bpf_prog_array_item which contains the BPF program as well as any cgroup local storage flavor the program uses. Helpers such as bpf_get_local_storage() pick this up from the runtime context: ctx = container_of(current->bpf_ctx, struct bpf_cg_run_ctx, run_ctx); storage = ctx->prog_item->cgroup_storage[stype]; if (stype == BPF_CGROUP_STORAGE_SHARED) ptr = &READ_ONCE(storage->buf)->data[0]; else ptr = this_cpu_ptr(storage->percpu_buf); For the second program which was called from the originally attached one, this means bpf_get_local_storage() will pick up the former program's map, not its own. With mismatching sizes, this can result in an unintended out-of-bounds access. To fix this issue, we need to extend bpf_map_owner with an array of storage_cookie[] to match on i) the exact maps from the original program if the second program was using bpf_get_local_storage(), or ii) allow the tail call combination if the second program was not using any of the cgroup local storage maps. Уязвимость механизма cgroup подсистемы BPF ядра операционных систем Linux связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для сокращения поверхности атаки с использованием уязвимости CVE-2025-38502 настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: ``` kernel.unprivileged_bpf_disabled=1 ``` Сохраните файл. 2. Примените изменения: ``` sudo sysctl -p ``` 3. Проверьте текущее состояние sysctl: ``` cat /proc/sys/kernel/unprivileged_bpf_disabled ``` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix assertion when building free space tree When building the free space tree with the block group tree feature enabled, we can hit an assertion failure like this: BTRFS info (device loop0 state M): rebuilding free space tree assertion failed: ret == 0, in fs/btrfs/free-space-tree.c:1102 ------------[ cut here ]------------ kernel BUG at fs/btrfs/free-space-tree.c:1102! Internal error: Oops - BUG: 00000000f2000800 [#1] SMP Modules linked in: CPU: 1 UID: 0 PID: 6592 Comm: syz-executor322 Not tainted 6.15.0-rc7-syzkaller-gd7fa1af5b33e #0 PREEMPT Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : populate_free_space_tree+0x514/0x518 fs/btrfs/free-space-tree.c:1102 lr : populate_free_space_tree+0x514/0x518 fs/btrfs/free-space-tree.c:1102 sp : ffff8000a4ce7600 x29: ffff8000a4ce76e0 x28: ffff0000c9bc6000 x27: ffff0000ddfff3d8 x26: ffff0000ddfff378 x25: dfff800000000000 x24: 0000000000000001 x23: ffff8000a4ce7660 x22: ffff70001499cecc x21: ffff0000e1d8c160 x20: ffff0000e1cb7800 x19: ffff0000e1d8c0b0 x18: 00000000ffffffff x17: ffff800092f39000 x16: ffff80008ad27e48 x15: ffff700011e740c0 x14: 1ffff00011e740c0 x13: 0000000000000004 x12: ffffffffffffffff x11: ffff700011e740c0 x10: 0000000000ff0100 x9 : 94ef24f55d2dbc00 x8 : 94ef24f55d2dbc00 x7 : 0000000000000001 x6 : 0000000000000001 x5 : ffff8000a4ce6f98 x4 : ffff80008f415ba0 x3 : ffff800080548ef0 x2 : 0000000000000000 x1 : 0000000100000000 x0 : 000000000000003e Call trace: populate_free_space_tree+0x514/0x518 fs/btrfs/free-space-tree.c:1102 (P) btrfs_rebuild_free_space_tree+0x14c/0x54c fs/btrfs/free-space-tree.c:1337 btrfs_start_pre_rw_mount+0xa78/0xe10 fs/btrfs/disk-io.c:3074 btrfs_remount_rw fs/btrfs/super.c:1319 [inline] btrfs_reconfigure+0x828/0x2418 fs/btrfs/super.c:1543 reconfigure_super+0x1d4/0x6f0 fs/super.c:1083 do_remount fs/namespace.c:3365 [inline] path_mount+0xb34/0xde0 fs/namespace.c:4200 do_mount fs/namespace.c:4221 [inline] __do_sys_mount fs/namespace.c:4432 [inline] __se_sys_mount fs/namespace.c:4409 [inline] __arm64_sys_mount+0x3e8/0x468 fs/namespace.c:4409 __invoke_syscall arch/arm64/kernel/syscall.c:35 [inline] invoke_syscall+0x98/0x2b8 arch/arm64/kernel/syscall.c:49 el0_svc_common+0x130/0x23c arch/arm64/kernel/syscall.c:132 do_el0_svc+0x48/0x58 arch/arm64/kernel/syscall.c:151 el0_svc+0x58/0x17c arch/arm64/kernel/entry-common.c:767 el0t_64_sync_handler+0x78/0x108 arch/arm64/kernel/entry-common.c:786 el0t_64_sync+0x198/0x19c arch/arm64/kernel/entry.S:600 Code: f0047182 91178042 528089c3 9771d47b (d4210000) ---[ end trace 0000000000000000 ]--- This happens because we are processing an empty block group, which has no extents allocated from it, there are no items for this block group, including the block group item since block group items are stored in a dedicated tree when using the block group tree feature. It also means this is the block group with the highest start offset, so there are no higher keys in the extent root, hence btrfs_search_slot_for_read() returns 1 (no higher key found). Fix this by asserting 'ret' is 0 only if the block group tree feature is not enabled, in which case we should find a block group item for the block group since it's stored in the extent root and block group item keys are greater than extent item keys (the value for BTRFS_BLOCK_GROUP_ITEM_KEY is 192 and for BTRFS_EXTENT_ITEM_KEY and BTRFS_METADATA_ITEM_KEY the values are 168 and 169 respectively). In case 'ret' is 1, we just need to add a record to the free space tree which spans the whole block group, and we can achieve this by making 'ret == 0' as the while loop's condition. Уязвимость функции populate_free_space_tree() в модуле fs/btrfs/free-space-tree.c файловой системы btrfs ядра операционной системы Linux связана с достижимым утверждением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mwifiex: discard erroneous disassoc frames on STA interface When operating in concurrent STA/AP mode with host MLME enabled, the firmware incorrectly sends disassociation frames to the STA interface when clients disconnect from the AP interface. This causes kernel warnings as the STA interface processes disconnect events that don't apply to it: [ 1303.240540] WARNING: CPU: 0 PID: 513 at net/wireless/mlme.c:141 cfg80211_process_disassoc+0x78/0xec [cfg80211] [ 1303.250861] Modules linked in: 8021q garp stp mrp llc rfcomm bnep btnxpuart nls_iso8859_1 nls_cp437 onboard_us [ 1303.327651] CPU: 0 UID: 0 PID: 513 Comm: kworker/u9:2 Not tainted 6.16.0-rc1+ #3 PREEMPT [ 1303.335937] Hardware name: Toradex Verdin AM62 WB on Verdin Development Board (DT) [ 1303.343588] Workqueue: MWIFIEX_RX_WORK_QUEUE mwifiex_rx_work_queue [mwifiex] [ 1303.350856] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 1303.357904] pc : cfg80211_process_disassoc+0x78/0xec [cfg80211] [ 1303.364065] lr : cfg80211_process_disassoc+0x70/0xec [cfg80211] [ 1303.370221] sp : ffff800083053be0 [ 1303.373590] x29: ffff800083053be0 x28: 0000000000000000 x27: 0000000000000000 [ 1303.380855] x26: 0000000000000000 x25: 00000000ffffffff x24: ffff000002c5b8ae [ 1303.388120] x23: ffff000002c5b884 x22: 0000000000000001 x21: 0000000000000008 [ 1303.395382] x20: ffff000002c5b8ae x19: ffff0000064dd408 x18: 0000000000000006 [ 1303.402646] x17: 3a36333a61623a30 x16: 32206d6f72662063 x15: ffff800080bfe048 [ 1303.409910] x14: ffff000003625300 x13: 0000000000000001 x12: 0000000000000000 [ 1303.417173] x11: 0000000000000002 x10: ffff000003958600 x9 : ffff000003625300 [ 1303.424434] x8 : ffff00003fd9ef40 x7 : ffff0000039fc280 x6 : 0000000000000002 [ 1303.431695] x5 : ffff0000038976d4 x4 : 0000000000000000 x3 : 0000000000003186 [ 1303.438956] x2 : 000000004836ba20 x1 : 0000000000006986 x0 : 00000000d00479de [ 1303.446221] Call trace: [ 1303.448722] cfg80211_process_disassoc+0x78/0xec [cfg80211] (P) [ 1303.454894] cfg80211_rx_mlme_mgmt+0x64/0xf8 [cfg80211] [ 1303.460362] mwifiex_process_mgmt_packet+0x1ec/0x460 [mwifiex] [ 1303.466380] mwifiex_process_sta_rx_packet+0x1bc/0x2a0 [mwifiex] [ 1303.472573] mwifiex_handle_rx_packet+0xb4/0x13c [mwifiex] [ 1303.478243] mwifiex_rx_work_queue+0x158/0x198 [mwifiex] [ 1303.483734] process_one_work+0x14c/0x28c [ 1303.487845] worker_thread+0x2cc/0x3d4 [ 1303.491680] kthread+0x12c/0x208 [ 1303.495014] ret_from_fork+0x10/0x20 Add validation in the STA receive path to verify that disassoc/deauth frames originate from the connected AP. Frames that fail this check are discarded early, preventing them from reaching the MLME layer and triggering WARN_ON(). This filtering logic is similar with that used in the ieee80211_rx_mgmt_disassoc() function in mac80211, which drops disassoc frames that don't match the current BSSID (!ether_addr_equal(mgmt->bssid, sdata->vif.cfg.ap_addr)), ensuring only relevant frames are processed. Tested on: - 8997 with FW 16.68.1.p197 Уязвимость компонента drivers/net/wireless/marvell/mwifiex ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: Allow CPU to reschedule while setting per-page memory attributes When running an SEV-SNP guest with a sufficiently large amount of memory (1TB+), the host can experience CPU soft lockups when running an operation in kvm_vm_set_mem_attributes() to set memory attributes on the whole range of guest memory. watchdog: BUG: soft lockup - CPU#8 stuck for 26s! [qemu-kvm:6372] CPU: 8 UID: 0 PID: 6372 Comm: qemu-kvm Kdump: loaded Not tainted 6.15.0-rc7.20250520.el9uek.rc1.x86_64 #1 PREEMPT(voluntary) Hardware name: Oracle Corporation ORACLE SERVER E4-2c/Asm,MB Tray,2U,E4-2c, BIOS 78016600 11/13/2024 RIP: 0010:xas_create+0x78/0x1f0 Code: 00 00 00 41 80 fc 01 0f 84 82 00 00 00 ba 06 00 00 00 bd 06 00 00 00 49 8b 45 08 4d 8d 65 08 41 39 d6 73 20 83 ed 06 48 85 c0 <74> 67 48 89 c2 83 e2 03 48 83 fa 02 75 0c 48 3d 00 10 00 00 0f 87 RSP: 0018:ffffad890a34b940 EFLAGS: 00000286 RAX: ffff96f30b261daa RBX: ffffad890a34b9c8 RCX: 0000000000000000 RDX: 000000000000001e RSI: 0000000000000000 RDI: 0000000000000000 RBP: 0000000000000018 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000000 R12: ffffad890a356868 R13: ffffad890a356860 R14: 0000000000000000 R15: ffffad890a356868 FS: 00007f5578a2a400(0000) GS:ffff97ed317e1000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f015c70fb18 CR3: 00000001109fd006 CR4: 0000000000f70ef0 PKRU: 55555554 Call Trace: <TASK> xas_store+0x58/0x630 __xa_store+0xa5/0x130 xa_store+0x2c/0x50 kvm_vm_set_mem_attributes+0x343/0x710 [kvm] kvm_vm_ioctl+0x796/0xab0 [kvm] __x64_sys_ioctl+0xa3/0xd0 do_syscall_64+0x8c/0x7a0 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f5578d031bb Code: ff ff ff 85 c0 79 9b 49 c7 c4 ff ff ff ff 5b 5d 4c 89 e0 41 5c c3 66 0f 1f 84 00 00 00 00 00 f3 0f 1e fa b8 10 00 00 00 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d 2d 4c 0f 00 f7 d8 64 89 01 48 RSP: 002b:00007ffe0a742b88 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 000000004020aed2 RCX: 00007f5578d031bb RDX: 00007ffe0a742c80 RSI: 000000004020aed2 RDI: 000000000000000b RBP: 0000010000000000 R08: 0000010000000000 R09: 0000017680000000 R10: 0000000000000080 R11: 0000000000000246 R12: 00005575e5f95120 R13: 00007ffe0a742c80 R14: 0000000000000008 R15: 00005575e5f961e0 While looping through the range of memory setting the attributes, call cond_resched() to give the scheduler a chance to run a higher priority task on the runqueue if necessary and avoid staying in kernel mode long enough to trigger the lockup. Уязвимость функции kvm_vm_set_mem_attributes модуля virt/kvm/kvm_main.c ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: nintendo: avoid bluetooth suspend/resume stalls Ensure we don't stall or panic the kernel when using bluetooth-connected controllers. This was reported as an issue on android devices using kernel 6.6 due to the resume hook which had been added for usb joycons. First, set a new state value to JOYCON_CTLR_STATE_SUSPENDED in a newly-added nintendo_hid_suspend. This makes sure we will not stall out the kernel waiting for input reports during led classdev suspend. The stalls could happen if connectivity is unreliable or lost to the controller prior to suspend. Second, since we lose connectivity during suspend, do not try joycon_init() for bluetooth controllers in the nintendo_hid_resume path. Tested via multiple suspend/resume flows when using the controller both in USB and bluetooth modes. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: kasan: remove kasan_find_vm_area() to prevent possible deadlock find_vm_area() couldn't be called in atomic_context. If find_vm_area() is called to reports vm area information, kasan can trigger deadlock like: CPU0 CPU1 vmalloc(); alloc_vmap_area(); spin_lock(&vn->busy.lock) spin_lock_bh(&some_lock); <interrupt occurs> <in softirq> spin_lock(&some_lock); <access invalid address> kasan_report(); print_report(); print_address_description(); kasan_find_vm_area(); find_vm_area(); spin_lock(&vn->busy.lock) // deadlock! To prevent possible deadlock while kasan reports, remove kasan_find_vm_area(). Уязвимость функции kasan_find_vm_area() (mm/kasan/report.c) компонента kasan ядра операционной системы Linux связана с взаимной блокировкой потоков выполнения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe/pf: Clear all LMTT pages on alloc Our LMEM buffer objects are not cleared by default on alloc and during VF provisioning we only setup LMTT PTEs for the actually provisioned LMEM range. But beyond that valid range we might leave some stale data that could either point to some other VFs allocations or even to the PF pages. Explicitly clear all new LMTT page to avoid the risk that a malicious VF would try to exploit that gap. While around add asserts to catch any undesired PTE overwrites and low-level debug traces to track LMTT PT life-cycle. (cherry picked from commit 3fae6918a3e27cce20ded2551f863fb05d4bef8d) Уязвимость функции $software_function() (drivers/gpu/ drm / xe / xe_lmtt.c) компонента LMTT Page Handler ядра операционной системы Linux связана с некорректным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: prevent A-MSDU attacks in mesh networks This patch is a mitigation to prevent the A-MSDU spoofing vulnerability for mesh networks. The initial update to the IEEE 802.11 standard, in response to the FragAttacks, missed this case (CVE-2025-27558). It can be considered a variant of CVE-2020-24588 but for mesh networks. This patch tries to detect if a standard MSDU was turned into an A-MSDU by an adversary. This is done by parsing a received A-MSDU as a standard MSDU, calculating the length of the Mesh Control header, and seeing if the 6 bytes after this header equal the start of an rfc1042 header. If equal, this is a strong indication of an ongoing attack attempt. This defense was tested with mac80211_hwsim against a mesh network that uses an empty Mesh Address Extension field, i.e., when four addresses are used, and when using a 12-byte Mesh Address Extension field, i.e., when six addresses are used. Functionality of normal MSDUs and A-MSDUs was also tested, and confirmed working, when using both an empty and 12-byte Mesh Address Extension field. It was also tested with mac80211_hwsim that A-MSDU attacks in non-mesh networks keep being detected and prevented. Note that the vulnerability being patched, and the defense being implemented, was also discussed in the following paper and in the following IEEE 802.11 presentation: https://papers.mathyvanhoef.com/wisec2025.pdf https://mentor.ieee.org/802.11/dcn/25/11-25-0949-00-000m-a-msdu-mesh-spoof-protection.docx Уязвимость функций ieee80211_is_valid_amsdu() и ieee80211_amsdu_to_8023s() (net/wireless/util.c.) ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: zd1211rw: Fix potential NULL pointer dereference in zd_mac_tx_to_dev() There is a potential NULL pointer dereference in zd_mac_tx_to_dev(). For example, the following is possible: T0 T1 zd_mac_tx_to_dev() /* len == skb_queue_len(q) */ while (len > ZD_MAC_MAX_ACK_WAITERS) { filter_ack() spin_lock_irqsave(&q->lock, flags); /* position == skb_queue_len(q) */ for (i=1; i<position; i++) skb = __skb_dequeue(q) if (mac->type == NL80211_IFTYPE_AP) skb = __skb_dequeue(q); spin_unlock_irqrestore(&q->lock, flags); skb_dequeue() -> NULL Since there is a small gap between checking skb queue length and skb being unconditionally dequeued in zd_mac_tx_to_dev(), skb_dequeue() can return NULL. Then the pointer is passed to zd_mac_tx_status() where it is dereferenced. In order to avoid potential NULL pointer dereference due to situations like above, check if skb is not NULL before passing it to zd_mac_tx_status(). Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции zd_mac_tx_to_dev() (drivers/net/wireless/zydas/zd1211rw/zd_mac.c) ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rxrpc: Fix oops due to non-existence of prealloc backlog struct If an AF_RXRPC service socket is opened and bound, but calls are preallocated, then rxrpc_alloc_incoming_call() will oops because the rxrpc_backlog struct doesn't get allocated until the first preallocation is made. Fix this by returning NULL from rxrpc_alloc_incoming_call() if there is no backlog struct. This will cause the incoming call to be aborted. Уязвимость ядра операционной системы Linux связана с неправильной проверкой возвращаемого значения функции. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/sched: Increment job count before swapping tail spsc queue A small race exists between spsc_queue_push and the run-job worker, in which spsc_queue_push may return not-first while the run-job worker has already idled due to the job count being zero. If this race occurs, job scheduling stops, leading to hangs while waiting on the job’s DMA fences. Seal this race by incrementing the job count before appending to the SPSC queue. This race was observed on a drm-tip 6.16-rc1 build with the Xe driver in an SVM test case. Уязвимость компонента drm/sched ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pinctrl: qcom: msm: mark certain pins as invalid for interrupts On some platforms, the UFS-reset pin has no interrupt logic in TLMM but is nevertheless registered as a GPIO in the kernel. This enables the user-space to trigger a BUG() in the pinctrl-msm driver by running, for example: `gpiomon -c 0 113` on RB2. The exact culprit is requesting pins whose intr_detection_width setting is not 1 or 2 for interrupts. This hits a BUG() in msm_gpio_irq_set_type(). Potentially crashing the kernel due to an invalid request from user-space is not optimal, so let's go through the pins and mark those that would fail the check as invalid for the irq chip as we should not even register them as available irqs. This function can be extended if we determine that there are more corner-cases like this. Уязвимость компонента pinctrl-msm ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: lib/alloc_tag: do not acquire non-existent lock in alloc_tag_top_users() alloc_tag_top_users() attempts to lock alloc_tag_cttype->mod_lock even when the alloc_tag_cttype is not allocated because: 1) alloc tagging is disabled because mem profiling is disabled (!alloc_tag_cttype) 2) alloc tagging is enabled, but not yet initialized (!alloc_tag_cttype) 3) alloc tagging is enabled, but failed initialization (!alloc_tag_cttype or IS_ERR(alloc_tag_cttype)) In all cases, alloc_tag_cttype is not allocated, and therefore alloc_tag_top_users() should not attempt to acquire the semaphore. This leads to a crash on memory allocation failure by attempting to acquire a non-existent semaphore: Oops: general protection fault, probably for non-canonical address 0xdffffc000000001b: 0000 [#3] SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x00000000000000d8-0x00000000000000df] CPU: 2 UID: 0 PID: 1 Comm: systemd Tainted: G D 6.16.0-rc2 #1 VOLUNTARY Tainted: [D]=DIE Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.2-debian-1.16.2-1 04/01/2014 RIP: 0010:down_read_trylock+0xaa/0x3b0 Code: d0 7c 08 84 d2 0f 85 a0 02 00 00 8b 0d df 31 dd 04 85 c9 75 29 48 b8 00 00 00 00 00 fc ff df 48 8d 6b 68 48 89 ea 48 c1 ea 03 <80> 3c 02 00 0f 85 88 02 00 00 48 3b 5b 68 0f 85 53 01 00 00 65 ff RSP: 0000:ffff8881002ce9b8 EFLAGS: 00010016 RAX: dffffc0000000000 RBX: 0000000000000070 RCX: 0000000000000000 RDX: 000000000000001b RSI: 000000000000000a RDI: 0000000000000070 RBP: 00000000000000d8 R08: 0000000000000001 R09: ffffed107dde49d1 R10: ffff8883eef24e8b R11: ffff8881002cec20 R12: 1ffff11020059d37 R13: 00000000003fff7b R14: ffff8881002cec20 R15: dffffc0000000000 FS: 00007f963f21d940(0000) GS:ffff888458ca6000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f963f5edf71 CR3: 000000010672c000 CR4: 0000000000350ef0 Call Trace: <TASK> codetag_trylock_module_list+0xd/0x20 alloc_tag_top_users+0x369/0x4b0 __show_mem+0x1cd/0x6e0 warn_alloc+0x2b1/0x390 __alloc_frozen_pages_noprof+0x12b9/0x21a0 alloc_pages_mpol+0x135/0x3e0 alloc_slab_page+0x82/0xe0 new_slab+0x212/0x240 ___slab_alloc+0x82a/0xe00 </TASK> As David Wang points out, this issue became easier to trigger after commit 780138b12381 ("alloc_tag: check mem_profiling_support in alloc_tag_init"). Before the commit, the issue occurred only when it failed to allocate and initialize alloc_tag_cttype or if a memory allocation fails before alloc_tag_init() is called. After the commit, it can be easily triggered when memory profiling is compiled but disabled at boot. To properly determine whether alloc_tag_init() has been called and its data structures initialized, verify that alloc_tag_cttype is a valid pointer before acquiring the semaphore. If the variable is NULL or an error value, it has not been properly initialized. In such a case, just skip and do not attempt to acquire the semaphore. [harry.yoo@oracle.com: v3] [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: Don't call mmput from MMU notifier callback If the process is exiting, the mmput inside mmu notifier callback from compactd or fork or numa balancing could release the last reference of mm struct to call exit_mmap and free_pgtable, this triggers deadlock with below backtrace. The deadlock will leak kfd process as mmu notifier release is not called and cause VRAM leaking. The fix is to take mm reference mmget_non_zero when adding prange to the deferred list to pair with mmput in deferred list work. If prange split and add into pchild list, the pchild work_item.mm is not used, so remove the mm parameter from svm_range_unmap_split and svm_range_add_child. The backtrace of hung task: INFO: task python:348105 blocked for more than 64512 seconds. Call Trace: __schedule+0x1c3/0x550 schedule+0x46/0xb0 rwsem_down_write_slowpath+0x24b/0x4c0 unlink_anon_vmas+0xb1/0x1c0 free_pgtables+0xa9/0x130 exit_mmap+0xbc/0x1a0 mmput+0x5a/0x140 svm_range_cpu_invalidate_pagetables+0x2b/0x40 [amdgpu] mn_itree_invalidate+0x72/0xc0 __mmu_notifier_invalidate_range_start+0x48/0x60 try_to_unmap_one+0x10fa/0x1400 rmap_walk_anon+0x196/0x460 try_to_unmap+0xbb/0x210 migrate_page_unmap+0x54d/0x7e0 migrate_pages_batch+0x1c3/0xae0 migrate_pages_sync+0x98/0x240 migrate_pages+0x25c/0x520 compact_zone+0x29d/0x590 compact_zone_order+0xb6/0xf0 try_to_compact_pages+0xbe/0x220 __alloc_pages_direct_compact+0x96/0x1a0 __alloc_pages_slowpath+0x410/0x930 __alloc_pages_nodemask+0x3a9/0x3e0 do_huge_pmd_anonymous_page+0xd7/0x3e0 __handle_mm_fault+0x5e3/0x5f0 handle_mm_fault+0xf7/0x2e0 hmm_vma_fault.isra.0+0x4d/0xa0 walk_pmd_range.isra.0+0xa8/0x310 walk_pud_range+0x167/0x240 walk_pgd_range+0x55/0x100 __walk_page_range+0x87/0x90 walk_page_range+0xf6/0x160 hmm_range_fault+0x4f/0x90 amdgpu_hmm_range_get_pages+0x123/0x230 [amdgpu] amdgpu_ttm_tt_get_user_pages+0xb1/0x150 [amdgpu] init_user_pages+0xb1/0x2a0 [amdgpu] amdgpu_amdkfd_gpuvm_alloc_memory_of_gpu+0x543/0x7d0 [amdgpu] kfd_ioctl_alloc_memory_of_gpu+0x24c/0x4e0 [amdgpu] kfd_ioctl+0x29d/0x500 [amdgpu] (cherry picked from commit a29e067bd38946f752b0ef855f3dfff87e77bec7) Уязвимость компонента drm/amdkfd ядра операционной системы Linux связана с взаимной блокировкой потоков выполнения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/imagination: Fix kernel crash when hard resetting the GPU The GPU hard reset sequence calls pm_runtime_force_suspend() and pm_runtime_force_resume(), which according to their documentation should only be used during system-wide PM transitions to sleep states. The main issue though is that depending on some internal runtime PM state as seen by pm_runtime_force_suspend() (whether the usage count is <= 1), pm_runtime_force_resume() might not resume the device unless needed. If that happens, the runtime PM resume callback pvr_power_device_resume() is not called, the GPU clocks are not re-enabled, and the kernel crashes on the next attempt to access GPU registers as part of the power-on sequence. Replace calls to pm_runtime_force_suspend() and pm_runtime_force_resume() with direct calls to the driver's runtime PM callbacks, pvr_power_device_suspend() and pvr_power_device_resume(), to ensure clocks are re-enabled and avoid the kernel crash. [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: Fix the smbd_response slab to allow usercopy The handling of received data in the smbdirect client code involves using copy_to_iter() to copy data from the smbd_reponse struct's packet trailer to a folioq buffer provided by netfslib that encapsulates a chunk of pagecache. If, however, CONFIG_HARDENED_USERCOPY=y, this will result in the checks then performed in copy_to_iter() oopsing with something like the following: CIFS: Attempting to mount //172.31.9.1/test CIFS: VFS: RDMA transport established usercopy: Kernel memory exposure attempt detected from SLUB object 'smbd_response_0000000091e24ea1' (offset 81, size 63)! ------------[ cut here ]------------ kernel BUG at mm/usercopy.c:102! ... RIP: 0010:usercopy_abort+0x6c/0x80 ... Call Trace: <TASK> __check_heap_object+0xe3/0x120 __check_object_size+0x4dc/0x6d0 smbd_recv+0x77f/0xfe0 [cifs] cifs_readv_from_socket+0x276/0x8f0 [cifs] cifs_read_from_socket+0xcd/0x120 [cifs] cifs_demultiplex_thread+0x7e9/0x2d50 [cifs] kthread+0x396/0x830 ret_from_fork+0x2b8/0x3b0 ret_from_fork_asm+0x1a/0x30 The problem is that the smbd_response slab's packet field isn't marked as being permitted for usercopy. Fix this by passing parameters to kmem_slab_create() to indicate that copy_to_iter() is permitted from the packet region of the smbd_response slab objects, less the header space. [NistCWE(cwe='CWE-1188')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rxrpc: Fix recv-recv race of completed call If a call receives an event (such as incoming data), the call gets placed on the socket's queue and a thread in recvmsg can be awakened to go and process it. Once the thread has picked up the call off of the queue, further events will cause it to be requeued, and once the socket lock is dropped (recvmsg uses call->user_mutex to allow the socket to be used in parallel), a second thread can come in and its recvmsg can pop the call off the socket queue again. In such a case, the first thread will be receiving stuff from the call and the second thread will be blocked on call->user_mutex. The first thread can, at this point, process both the event that it picked call for and the event that the second thread picked the call for and may see the call terminate - in which case the call will be "released", decoupling the call from the user call ID assigned to it (RXRPC_USER_CALL_ID in the control message). The first thread will return okay, but then the second thread will wake up holding the user_mutex and, if it sees that the call has been released by the first thread, it will BUG thusly: kernel BUG at net/rxrpc/recvmsg.c:474! Fix this by just dequeuing the call and ignoring it if it is seen to be already released. We can't tell userspace about it anyway as the user call ID has become stale. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ice: add NULL check in eswitch lag check The function ice_lag_is_switchdev_running() is being called from outside of the LAG event handler code. This results in the lag->upper_netdev being NULL sometimes. To avoid a NULL-pointer dereference, there needs to be a check before it is dereferenced. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix use-after-free in cifs_oplock_break A race condition can occur in cifs_oplock_break() leading to a use-after-free of the cinode structure when unmounting: cifs_oplock_break() _cifsFileInfo_put(cfile) cifsFileInfo_put_final() cifs_sb_deactive() [last ref, start releasing sb] kill_sb() kill_anon_super() generic_shutdown_super() evict_inodes() dispose_list() evict() destroy_inode() call_rcu(&inode->i_rcu, i_callback) spin_lock(&cinode->open_file_lock) <- OK [later] i_callback() cifs_free_inode() kmem_cache_free(cinode) spin_unlock(&cinode->open_file_lock) <- UAF cifs_done_oplock_break(cinode) <- UAF The issue occurs when umount has already released its reference to the superblock. When _cifsFileInfo_put() calls cifs_sb_deactive(), this releases the last reference, triggering the immediate cleanup of all inodes under RCU. However, cifs_oplock_break() continues to access the cinode after this point, resulting in use-after-free. Fix this by holding an extra reference to the superblock during the entire oplock break operation. This ensures that the superblock and its inodes remain valid until the oplock break completes. Уязвимость компонента smb ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Reject %p% format string in bprintf-like helpers static const char fmt[] = "%p%"; bpf_trace_printk(fmt, sizeof(fmt)); The above BPF program isn't rejected and causes a kernel warning at runtime: Please remove unsupported %\x00 in format string WARNING: CPU: 1 PID: 7244 at lib/vsprintf.c:2680 format_decode+0x49c/0x5d0 This happens because bpf_bprintf_prepare skips over the second %, detected as punctuation, while processing %p. This patch fixes it by not skipping over punctuation. %\x00 is then processed in the next iteration and rejected. Уязвимость ядра операционной системы Linux связана с недостаточной обработкой форматной строки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: aio_iiro_16: Fix bit shift out of bounds When checking for a supported IRQ number, the following test is used: if ((1 << it->options[1]) & 0xdcfc) { However, `it->options[i]` is an unchecked `int` value from userspace, so the shift amount could be negative or out of bounds. Fix the test by requiring `it->options[1]` to be within bounds before proceeding with the original test. Valid `it->options[1]` values that select the IRQ will be in the range [1,15]. The value 0 explicitly disables the use of interrupts. Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: pcl812: Fix bit shift out of bounds When checking for a supported IRQ number, the following test is used: if ((1 << it->options[1]) & board->irq_bits) { However, `it->options[i]` is an unchecked `int` value from userspace, so the shift amount could be negative or out of bounds. Fix the test by requiring `it->options[1]` to be within bounds before proceeding with the original test. Valid `it->options[1]` values that select the IRQ will be in the range [1,15]. The value 0 explicitly disables the use of interrupts. Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: common: st_sensors: Fix use of uninitialize device structs Throughout the various probe functions &indio_dev->dev is used before it is initialized. This caused a kernel panic in st_sensors_power_enable() when the call to devm_regulator_bulk_get_enable() fails and then calls dev_err_probe() with the uninitialized device. This seems to only cause a panic with dev_err_probe(), dev_err(), dev_warn() and dev_info() don't seem to cause a panic, but are fixed as well. The issue is reported and traced here: [1] [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: libwx: properly reset Rx ring descriptor When device reset is triggered by feature changes such as toggling Rx VLAN offload, wx->do_reset() is called to reinitialize Rx rings. The hardware descriptor ring may retain stale values from previous sessions. And only set the length to 0 in rx_desc[0] would result in building malformed SKBs. Fix it to ensure a clean slate after device reset. [ 549.186435] [ C16] ------------[ cut here ]------------ [ 549.186457] [ C16] kernel BUG at net/core/skbuff.c:2814! [ 549.186468] [ C16] Oops: invalid opcode: 0000 [#1] SMP NOPTI [ 549.186472] [ C16] CPU: 16 UID: 0 PID: 0 Comm: swapper/16 Kdump: loaded Not tainted 6.16.0-rc4+ #23 PREEMPT(voluntary) [ 549.186476] [ C16] Hardware name: Micro-Star International Co., Ltd. MS-7E16/X670E GAMING PLUS WIFI (MS-7E16), BIOS 1.90 12/31/2024 [ 549.186478] [ C16] RIP: 0010:__pskb_pull_tail+0x3ff/0x510 [ 549.186484] [ C16] Code: 06 f0 ff 4f 34 74 7b 4d 8b 8c 24 c8 00 00 00 45 8b 84 24 c0 00 00 00 e9 c8 fd ff ff 48 c7 44 24 08 00 00 00 00 e9 5e fe ff ff <0f> 0b 31 c0 e9 23 90 5b ff 41 f7 c6 ff 0f 00 00 75 bf 49 8b 06 a8 [ 549.186487] [ C16] RSP: 0018:ffffb391c0640d70 EFLAGS: 00010282 [ 549.186490] [ C16] RAX: 00000000fffffff2 RBX: ffff8fe7e4d40200 RCX: 00000000fffffff2 [ 549.186492] [ C16] RDX: ffff8fe7c3a4bf8e RSI: 0000000000000180 RDI: ffff8fe7c3a4bf40 [ 549.186494] [ C16] RBP: ffffb391c0640da8 R08: ffff8fe7c3a4c0c0 R09: 000000000000000e [ 549.186496] [ C16] R10: ffffb391c0640d88 R11: 000000000000000e R12: ffff8fe7e4d40200 [ 549.186497] [ C16] R13: 00000000fffffff2 R14: ffff8fe7fa01a000 R15: 00000000fffffff2 [ 549.186499] [ C16] FS: 0000000000000000(0000) GS:ffff8fef5ae40000(0000) knlGS:0000000000000000 [ 549.186502] [ C16] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 549.186503] [ C16] CR2: 00007f77d81d6000 CR3: 000000051a032000 CR4: 0000000000750ef0 [ 549.186505] [ C16] PKRU: 55555554 [ 549.186507] [ C16] Call Trace: [ 549.186510] [ C16] <IRQ> [ 549.186513] [ C16] ? srso_alias_return_thunk+0x5/0xfbef5 [ 549.186517] [ C16] __skb_pad+0xc7/0xf0 [ 549.186523] [ C16] wx_clean_rx_irq+0x355/0x3b0 [libwx] [ 549.186533] [ C16] wx_poll+0x92/0x120 [libwx] [ 549.186540] [ C16] __napi_poll+0x28/0x190 [ 549.186544] [ C16] net_rx_action+0x301/0x3f0 [ 549.186548] [ C16] ? srso_alias_return_thunk+0x5/0xfbef5 [ 549.186551] [ C16] ? __raw_spin_lock_irqsave+0x1e/0x50 [ 549.186554] [ C16] ? srso_alias_return_thunk+0x5/0xfbef5 [ 549.186557] [ C16] ? wake_up_nohz_cpu+0x35/0x160 [ 549.186559] [ C16] ? srso_alias_return_thunk+0x5/0xfbef5 [ 549.186563] [ C16] handle_softirqs+0xf9/0x2c0 [ 549.186568] [ C16] __irq_exit_rcu+0xc7/0x130 [ 549.186572] [ C16] common_interrupt+0xb8/0xd0 [ 549.186576] [ C16] </IRQ> [ 549.186577] [ C16] <TASK> [ 549.186579] [ C16] asm_common_interrupt+0x22/0x40 [ 549.186582] [ C16] RIP: 0010:cpuidle_enter_state+0xc2/0x420 [ 549.186585] [ C16] Code: 00 00 e8 11 0e 5e ff e8 ac f0 ff ff 49 89 c5 0f 1f 44 00 00 31 ff e8 0d ed 5c ff 45 84 ff 0f 85 40 02 00 00 fb 0f 1f 44 00 00 <45> 85 f6 0f 88 84 01 00 00 49 63 d6 48 8d 04 52 48 8d 04 82 49 8d [ 549.186587] [ C16] RSP: 0018:ffffb391c0277e78 EFLAGS: 00000246 [ 549.186590] [ C16] RAX: ffff8fef5ae40000 RBX: 0000000000000003 RCX: 0000000000000000 [ 549.186591] [ C16] RDX: 0000007fde0faac5 RSI: ffffffff826e53f6 RDI: ffffffff826fa9b3 [ 549.186593] [ C16] RBP: ffff8fe7c3a20800 R08: 0000000000000002 R09: 0000000000000000 [ 549.186595] [ C16] R10: 0000000000000000 R11: 000000000000ffff R12: ffffffff82ed7a40 [ 549.186596] [ C16] R13: 0000007fde0faac5 R14: 0000000000000003 R15: 0000000000000000 [ 549.186601] [ C16] ? cpuidle_enter_state+0xb3/0x420 [ 549.186605] [ C16] cpuidle_en ---truncated--- [NistCWE(cwe='CWE-909')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: libwx: fix the using of Rx buffer DMA The wx_rx_buffer structure contained two DMA address fields: 'dma' and 'page_dma'. However, only 'page_dma' was actually initialized and used to program the Rx descriptor. But 'dma' was uninitialized and used in some paths. This could lead to undefined behavior, including DMA errors or use-after-free, if the uninitialized 'dma' was used. Althrough such error has not yet occurred, it is worth fixing in the code. Уязвимость компонента libwx ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: phy: tegra: xusb: Fix unbalanced regulator disable in UTMI PHY mode When transitioning from USB_ROLE_DEVICE to USB_ROLE_NONE, the code assumed that the regulator should be disabled. However, if the regulator is marked as always-on, regulator_is_enabled() continues to return true, leading to an incorrect attempt to disable a regulator which is not enabled. This can result in warnings such as: [ 250.155624] WARNING: CPU: 1 PID: 7326 at drivers/regulator/core.c:3004 _regulator_disable+0xe4/0x1a0 [ 250.155652] unbalanced disables for VIN_SYS_5V0 To fix this, we move the regulator control logic into tegra186_xusb_padctl_id_override() function since it's directly related to the ID override state. The regulator is now only disabled when the role transitions from USB_ROLE_HOST to USB_ROLE_NONE, by checking the VBUS_ID register. This ensures that regulator enable/disable operations are properly balanced and only occur when actually transitioning to/from host mode. Уязвимость компонента xusb ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: phy: Don't register LEDs for genphy If a PHY has no driver, the genphy driver is probed/removed directly in phy_attach/detach. If the PHY's ofnode has an "leds" subnode, then the LEDs will be (un)registered when probing/removing the genphy driver. This could occur if the leds are for a non-generic driver that isn't loaded for whatever reason. Synchronously removing the PHY device in phy_detach leads to the following deadlock: rtnl_lock() ndo_close() ... phy_detach() phy_remove() phy_leds_unregister() led_classdev_unregister() led_trigger_set() netdev_trigger_deactivate() unregister_netdevice_notifier() rtnl_lock() There is a corresponding deadlock on the open/register side of things (and that one is reported by lockdep), but it requires a race while this one is deterministic. Generic PHYs do not support LEDs anyway, so don't bother registering them. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: nbpfaxi: Fix memory corruption in probe() The nbpf->chan[] array is allocated earlier in the nbpf_probe() function and it has "num_channels" elements. These three loops iterate one element farther than they should and corrupt memory. The changes to the second loop are more involved. In this case, we're copying data from the irqbuf[] array into the nbpf->chan[] array. If the data in irqbuf[i] is the error IRQ then we skip it, so the iterators are not in sync. I added a check to ensure that we don't go beyond the end of the irqbuf[] array. I'm pretty sure this can't happen, but it seemed harmless to add a check. On the other hand, after the loop has ended there is a check to ensure that the "chan" iterator is where we expect it to be. In the original code we went one element beyond the end of the array so the iterator wasn't in the correct place and it would always return -EINVAL. However, now it will always be in the correct place. I deleted the check since we know the result. Уязвимость компонента dmaengine ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: Add down_write(trace_event_sem) when adding trace event When a module is loaded, it adds trace events defined by the module. It may also need to modify the modules trace printk formats to replace enum names with their values. If two modules are loaded at the same time, the adding of the event to the ftrace_events list can corrupt the walking of the list in the code that is modifying the printk format strings and crash the kernel. The addition of the event should take the trace_event_sem for write while it adds the new event. Also add a lockdep_assert_held() on that semaphore in __trace_add_event_dirs() as it iterates the list. Уязвимость ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: quirks: Add quirk for 2 Chicony Electronics HP 5MP Cameras The Chicony Electronics HP 5MP Cameras (USB ID 04F2:B824 & 04F2:B82C) report a HID sensor interface that is not actually implemented. Attempting to access this non-functional sensor via iio_info causes system hangs as runtime PM tries to wake up an unresponsive sensor. Add these 2 devices to the HID ignore list since the sensor interface is non-functional by design and should not be exposed to userspace. Уязвимость компонента quirks ядра операционной системы Linux связана с нарушением ожидаемого поведения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: mt7925: Fix null-ptr-deref in mt7925_thermal_init() devm_kasprintf() returns NULL on error. Currently, mt7925_thermal_init() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: appletalk: Fix device refcount leak in atrtr_create() When updating an existing route entry in atrtr_create(), the old device reference was not being released before assigning the new device, leading to a device refcount leak. Fix this by calling dev_put() to release the old device reference before holding the new one. Уязвимость компонента appletalk ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/tegra: nvdec: Fix dma_alloc_coherent error check Check for NULL return value with dma_alloc_coherent, in line with Robin's fix for vic.c in 'drm/tegra: vic: Fix DMA API misuse'. Уязвимость компонента drm/tegra ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rxrpc: Fix bug due to prealloc collision When userspace is using AF_RXRPC to provide a server, it has to preallocate incoming calls and assign to them call IDs that will be used to thread related recvmsg() and sendmsg() together. The preallocated call IDs will automatically be attached to calls as they come in until the pool is empty. To the kernel, the call IDs are just arbitrary numbers, but userspace can use the call ID to hold a pointer to prepared structs. In any case, the user isn't permitted to create two calls with the same call ID (call IDs become available again when the call ends) and EBADSLT should result from sendmsg() if an attempt is made to preallocate a call with an in-use call ID. However, the cleanup in the error handling will trigger both assertions in rxrpc_cleanup_call() because the call isn't marked complete and isn't marked as having been released. Fix this by setting the call state in rxrpc_service_prealloc_one() and then marking it as being released before calling the cleanup function. [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: ti: am65-cpsw-nuss: Fix skb size by accounting for skb_shared_info While transitioning from netdev_alloc_ip_align() to build_skb(), memory for the "skb_shared_info" member of an "skb" was not allocated. Fix this by allocating "PAGE_SIZE" as the skb length, accounting for the packet length, headroom and tailroom, thereby including the required memory space for skb_shared_info. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: atm: clip: Fix memory leak of struct clip_vcc. ioctl(ATMARP_MKIP) allocates struct clip_vcc and set it to vcc->user_back. The code assumes that vcc_destroy_socket() passes NULL skb to vcc->push() when the socket is close()d, and then clip_push() frees clip_vcc. However, ioctl(ATMARPD_CTRL) sets NULL to vcc->push() in atm_init_atmarp(), resulting in memory leak. Let's serialise two ioctl() by lock_sock() and check vcc->push() in atm_init_atmarp() to prevent memleak. Уязвимость компонента atm ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: adc: axp20x_adc: Add missing sentinel to AXP717 ADC channel maps The AXP717 ADC channel maps is missing a sentinel entry at the end. This causes a KASAN warning. Add the missing sentinel entry. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hwmon: (corsair-cpro) Validate the size of the received input buffer Add buffer_recv_size to store the size of the received bytes. Validate buffer_recv_size in send_usb_cmd(). Уязвимость компонента hwmon ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: efivarfs: Fix memory leak of efivarfs_fs_info in fs_context error paths When processing mount options, efivarfs allocates efivarfs_fs_info (sfi) early in fs_context initialization. However, sfi is associated with the superblock and typically freed when the superblock is destroyed. If the fs_context is released (final put) before fill_super is called—such as on error paths or during reconfiguration—the sfi structure would leak, as ownership never transfers to the superblock. Implement the .free callback in efivarfs_context_ops to ensure any allocated sfi is properly freed if the fs_context is torn down before fill_super, preventing this memory leak. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: mcast: Delay put pmc->idev in mld_del_delrec() pmc->idev is still used in ip6_mc_clear_src(), so as mld_clear_delrec() does, the reference should be put after ip6_mc_clear_src() return. Уязвимость компонента mcast ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: virtio-net: fix recursived rtnl_lock() during probe() The deadlock appears in a stack trace like: virtnet_probe() rtnl_lock() virtio_config_changed_work() netdev_notify_peers() rtnl_lock() It happens if the VMM sends a VIRTIO_NET_S_ANNOUNCE request while the virtio-net driver is still probing. The config_work in probe() will get scheduled until virtnet_open() enables the config change notification via virtio_config_driver_enable(). [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: plug races between subflow fail and subflow creation We have races similar to the one addressed by the previous patch between subflow failing and additional subflow creation. They are just harder to trigger. The solution is similar. Use a separate flag to track the condition 'socket state prevent any additional subflow creation' protected by the fallback lock. The socket fallback makes such flag true, and also receiving or sending an MP_FAIL option. The field 'allow_infinite_fallback' is now always touched under the relevant lock, we can drop the ONCE annotation on write. Уязвимость компонентов tmptcp ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H', score=9.4) Astra Linux 1.8 linux-6.1 Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority. Уязвимость компонента net/sched ядра операционной системы Linux связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget : fix use-after-free in composite_dev_cleanup() 1. In func configfs_composite_bind() -> composite_os_desc_req_prepare(): if kmalloc fails, the pointer cdev->os_desc_req will be freed but not set to NULL. Then it will return a failure to the upper-level function. 2. in func configfs_composite_bind() -> composite_dev_cleanup(): it will checks whether cdev->os_desc_req is NULL. If it is not NULL, it will attempt to use it.This will lead to a use-after-free issue. BUG: KASAN: use-after-free in composite_dev_cleanup+0xf4/0x2c0 Read of size 8 at addr 0000004827837a00 by task init/1 CPU: 10 PID: 1 Comm: init Tainted: G O 5.10.97-oh #1 kasan_report+0x188/0x1cc __asan_load8+0xb4/0xbc composite_dev_cleanup+0xf4/0x2c0 configfs_composite_bind+0x210/0x7ac udc_bind_to_driver+0xb4/0x1ec usb_gadget_probe_driver+0xec/0x21c gadget_dev_desc_UDC_store+0x264/0x27c Уязвимость функции composite_dev_cleanup() компонента usb ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: core: Harden s32ton() against conversion to 0 bits Testing by the syzbot fuzzer showed that the HID core gets a shift-out-of-bounds exception when it tries to convert a 32-bit quantity to a 0-bit quantity. Ideally this should never occur, but there are buggy devices and some might have a report field with size set to zero; we shouldn't reject the report or the device just because of that. Instead, harden the s32ton() routine so that it returns a reasonable result instead of crashing when it is called with the number of bits set to 0 -- the same as what snto32() does. Уязвимость функции s32ton() ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: apple: validate feature-report field count to prevent NULL pointer dereference A malicious HID device with quirk APPLE_MAGIC_BACKLIGHT can trigger a NULL pointer dereference whilst the power feature-report is toggled and sent to the device in apple_magic_backlight_report_set(). The power feature-report is expected to have two data fields, but if the descriptor declares one field then accessing field[1] and dereferencing it in apple_magic_backlight_report_set() becomes invalid since field[1] will be NULL. An example of a minimal descriptor which can cause the crash is something like the following where the report with ID 3 (power report) only references a single 1-byte field. When hid core parses the descriptor it will encounter the final feature tag, allocate a hid_report (all members of field[] will be zeroed out), create field structure and populate it, increasing the maxfield to 1. The subsequent field[1] access and dereference causes the crash. Usage Page (Vendor Defined 0xFF00) Usage (0x0F) Collection (Application) Report ID (1) Usage (0x01) Logical Minimum (0) Logical Maximum (255) Report Size (8) Report Count (1) Feature (Data,Var,Abs) Usage (0x02) Logical Maximum (32767) Report Size (16) Report Count (1) Feature (Data,Var,Abs) Report ID (3) Usage (0x03) Logical Minimum (0) Logical Maximum (1) Report Size (8) Report Count (1) Feature (Data,Var,Abs) End Collection Here we see the KASAN splat when the kernel dereferences the NULL pointer and crashes: [ 15.164723] Oops: general protection fault, probably for non-canonical address 0xdffffc0000000006: 0000 [#1] SMP KASAN NOPTI [ 15.165691] KASAN: null-ptr-deref in range [0x0000000000000030-0x0000000000000037] [ 15.165691] CPU: 0 UID: 0 PID: 10 Comm: kworker/0:1 Not tainted 6.15.0 #31 PREEMPT(voluntary) [ 15.165691] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.2-debian-1.16.2-1 04/01/2014 [ 15.165691] RIP: 0010:apple_magic_backlight_report_set+0xbf/0x210 [ 15.165691] Call Trace: [ 15.165691] <TASK> [ 15.165691] apple_probe+0x571/0xa20 [ 15.165691] hid_device_probe+0x2e2/0x6f0 [ 15.165691] really_probe+0x1ca/0x5c0 [ 15.165691] __driver_probe_device+0x24f/0x310 [ 15.165691] driver_probe_device+0x4a/0xd0 [ 15.165691] __device_attach_driver+0x169/0x220 [ 15.165691] bus_for_each_drv+0x118/0x1b0 [ 15.165691] __device_attach+0x1d5/0x380 [ 15.165691] device_initial_probe+0x12/0x20 [ 15.165691] bus_probe_device+0x13d/0x180 [ 15.165691] device_add+0xd87/0x1510 [...] To fix this issue we should validate the number of fields that the backlight and power reports have and if they do not have the required number of fields then bail. Уязвимость функции apple_magic_backlight_report_set() компонента HID ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86/intel/pmt: fix a crashlog NULL pointer access Usage of the intel_pmt_read() for binary sysfs, requires a pcidev. The current use of the endpoint value is only valid for telemetry endpoint usage. Without the ep, the crashlog usage causes the following NULL pointer exception: BUG: kernel NULL pointer dereference, address: 0000000000000000 Oops: Oops: 0000 [#1] SMP NOPTI RIP: 0010:intel_pmt_read+0x3b/0x70 [pmt_class] Code: Call Trace: <TASK> ? sysfs_kf_bin_read+0xc0/0xe0 kernfs_fop_read_iter+0xac/0x1a0 vfs_read+0x26d/0x350 ksys_read+0x6b/0xe0 __x64_sys_read+0x1d/0x30 x64_sys_call+0x1bc8/0x1d70 do_syscall_64+0x6d/0x110 Augment struct intel_pmt_entry with a pointer to the pcidev to avoid the NULL pointer exception. Уязвимость функции intel_pmt_read() ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/sev: Evict cache lines during SNP memory validation An SNP cache coherency vulnerability requires a cache line eviction mitigation when validating memory after a page state change to private. The specific mitigation is to touch the first and last byte of each 4K page that is being validated. There is no need to perform the mitigation when performing a page state change to shared and rescinding validation. CPUID bit Fn8000001F_EBX[31] defines the COHERENCY_SFW_NO CPUID bit that, when set, indicates that the software mitigation for this vulnerability is not needed. Implement the mitigation and invoke it when validating memory (making it private) and the COHERENCY_SFW_NO bit is not set, indicating the SNP guest is vulnerable. Уязвимость ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.3) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix Preauh_HashValue race condition If client send multiple session setup requests to ksmbd, Preauh_HashValue race condition could happen. There is no need to free sess->Preauh_HashValue at session setup phase. It can be freed together with session at connection termination phase. Уязвимость компонента ksmbd ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости CVE-2025-38561 необходимо запретить загрузку модуля ksmbd.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль ksmbd в ядро Linux, необходимо выполнить одну из команд: `lsmod | grep ksmbd` или `kmod list | grep ksmbd` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: `sudo rmmod ksmbd` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: `install ksmbd /bin/true` 5. Обновить параметры загрузки командой: `sudo update-initramfs -uk all` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix null pointer dereference error in generate_encryptionkey If client send two session setups with krb5 authenticate to ksmbd, null pointer dereference error in generate_encryptionkey could happen. sess->Preauth_HashValue is set to NULL if session is valid. So this patch skip generate encryption key if session is valid. Уязвимость функции generate_encryptionkey() компонента ksmbd ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf/core: Prevent VMA split of buffer mappings The perf mmap code is careful about mmap()'ing the user page with the ringbuffer and additionally the auxiliary buffer, when the event supports it. Once the first mapping is established, subsequent mapping have to use the same offset and the same size in both cases. The reference counting for the ringbuffer and the auxiliary buffer depends on this being correct. Though perf does not prevent that a related mapping is split via mmap(2), munmap(2) or mremap(2). A split of a VMA results in perf_mmap_open() calls, which take reference counts, but then the subsequent perf_mmap_close() calls are not longer fulfilling the offset and size checks. This leads to reference count leaks. As perf already has the requirement for subsequent mappings to match the initial mapping, the obvious consequence is that VMA splits, caused by resizing of a mapping or partial unmapping, have to be prevented. Implement the vm_operations_struct::may_split() callback and return unconditionally -EINVAL. That ensures that the mapping offsets and sizes cannot be changed after the fact. Remapping to a different fixed address with the same size is still possible as it takes the references for the new mapping and drops those of the old mapping. Уязвимость функции mmap() ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf/core: Exit early on perf_mmap() fail When perf_mmap() fails to allocate a buffer, it still invokes the event_mapped() callback of the related event. On X86 this might increase the perf_rdpmc_allowed reference counter. But nothing undoes this as perf_mmap_close() is never called in this case, which causes another reference count leak. Return early on failure to prevent that. Уязвимость компонента perf/core ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sunrpc: fix handling of server side tls alerts Scott Mayhew discovered a security exploit in NFS over TLS in tls_alert_recv() due to its assumption it can read data from the msg iterator's kvec.. kTLS implementation splits TLS non-data record payload between the control message buffer (which includes the type such as TLS aler or TLS cipher change) and the rest of the payload (say TLS alert's level/description) which goes into the msg payload buffer. This patch proposes to rework how control messages are setup and used by sock_recvmsg(). If no control message structure is setup, kTLS layer will read and process TLS data record types. As soon as it encounters a TLS control message, it would return an error. At that point, NFS can setup a kvec backed msg buffer and read in the control message such as a TLS alert. Msg iterator can advance the kvec pointer as a part of the copy process thus we need to revert the iterator before calling into the tls_alert_recv. Уязвимость функции tls_alert_recv() ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: mqprio: fix stack out-of-bounds write in tc entry parsing TCA_MQPRIO_TC_ENTRY_INDEX is validated using NLA_POLICY_MAX(NLA_U32, TC_QOPT_MAX_QUEUE), which allows the value TC_QOPT_MAX_QUEUE (16). This leads to a 4-byte out-of-bounds stack write in the fp[] array, which only has room for 16 elements (0–15). Fix this by changing the policy to allow only up to TC_QOPT_MAX_QUEUE - 1. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: benet: fix BUG when creating VFs benet crashes as soon as SRIOV VFs are created: kernel BUG at mm/vmalloc.c:3457! Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI CPU: 4 UID: 0 PID: 7408 Comm: test.sh Kdump: loaded Not tainted 6.16.0+ #1 PREEMPT(voluntary) [...] RIP: 0010:vunmap+0x5f/0x70 [...] Call Trace: <TASK> __iommu_dma_free+0xe8/0x1c0 be_cmd_set_mac_list+0x3fe/0x640 [be2net] be_cmd_set_mac+0xaf/0x110 [be2net] be_vf_eth_addr_config+0x19f/0x330 [be2net] be_vf_setup+0x4f7/0x990 [be2net] be_pci_sriov_configure+0x3a1/0x470 [be2net] sriov_numvfs_store+0x20b/0x380 kernfs_fop_write_iter+0x354/0x530 vfs_write+0x9b9/0xf60 ksys_write+0xf3/0x1d0 do_syscall_64+0x8c/0x3d0 be_cmd_set_mac_list() calls dma_free_coherent() under a spin_lock_bh. Fix it by freeing only after the lock has been released. Уязвимость компонента mm/vmalloc.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sunrpc: fix client side handling of tls alerts A security exploit was discovered in NFS over TLS in tls_alert_recv due to its assumption that there is valid data in the msghdr's iterator's kvec. Instead, this patch proposes the rework how control messages are setup and used by sock_recvmsg(). If no control message structure is setup, kTLS layer will read and process TLS data record types. As soon as it encounters a TLS control message, it would return an error. At that point, NFS can setup a kvec backed control buffer and read in the control message such as a TLS alert. Scott found that a msg iterator can advance the kvec pointer as a part of the copy process thus we need to revert the iterator before calling into the tls_alert_recv. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=8.2) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: reject malicious packets in ipv6_gso_segment() syzbot was able to craft a packet with very long IPv6 extension headers leading to an overflow of skb->transport_header. This 16bit field has a limited range. Add skb_reset_transport_header_careful() helper and use it from ipv6_gso_segment() WARNING: CPU: 0 PID: 5871 at ./include/linux/skbuff.h:3032 skb_reset_transport_header include/linux/skbuff.h:3032 [inline] WARNING: CPU: 0 PID: 5871 at ./include/linux/skbuff.h:3032 ipv6_gso_segment+0x15e2/0x21e0 net/ipv6/ip6_offload.c:151 Modules linked in: CPU: 0 UID: 0 PID: 5871 Comm: syz-executor211 Not tainted 6.16.0-rc6-syzkaller-g7abc678e3084 #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 07/12/2025 RIP: 0010:skb_reset_transport_header include/linux/skbuff.h:3032 [inline] RIP: 0010:ipv6_gso_segment+0x15e2/0x21e0 net/ipv6/ip6_offload.c:151 Call Trace: <TASK> skb_mac_gso_segment+0x31c/0x640 net/core/gso.c:53 nsh_gso_segment+0x54a/0xe10 net/nsh/nsh.c:110 skb_mac_gso_segment+0x31c/0x640 net/core/gso.c:53 __skb_gso_segment+0x342/0x510 net/core/gso.c:124 skb_gso_segment include/net/gso.h:83 [inline] validate_xmit_skb+0x857/0x11b0 net/core/dev.c:3950 validate_xmit_skb_list+0x84/0x120 net/core/dev.c:4000 sch_direct_xmit+0xd3/0x4b0 net/sched/sch_generic.c:329 __dev_xmit_skb net/core/dev.c:4102 [inline] __dev_queue_xmit+0x17b6/0x3a70 net/core/dev.c:4679 Уязвимость компонента ipv6 ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: cs42l43: Property entry should be a null-terminated array The software node does not specify a count of property entries, so the array must be null-terminated. When unterminated, this can lead to a fault in the downstream cs35l56 amplifier driver, because the node parse walks off the end of the array into unknown memory. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pptp: ensure minimal skb length in pptp_xmit() Commit aabc6596ffb3 ("net: ppp: Add bound checking for skb data on ppp_sync_txmung") fixed ppp_sync_txmunge() We need a similar fix in pptp_xmit(), otherwise we might read uninit data as reported by syzbot. BUG: KMSAN: uninit-value in pptp_xmit+0xc34/0x2720 drivers/net/ppp/pptp.c:193 pptp_xmit+0xc34/0x2720 drivers/net/ppp/pptp.c:193 ppp_channel_bridge_input drivers/net/ppp/ppp_generic.c:2290 [inline] ppp_input+0x1d6/0xe60 drivers/net/ppp/ppp_generic.c:2314 pppoe_rcv_core+0x1e8/0x760 drivers/net/ppp/pppoe.c:379 sk_backlog_rcv+0x142/0x420 include/net/sock.h:1148 __release_sock+0x1d3/0x330 net/core/sock.c:3213 release_sock+0x6b/0x270 net/core/sock.c:3767 pppoe_sendmsg+0x15d/0xcb0 drivers/net/ppp/pppoe.c:904 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x330/0x3d0 net/socket.c:727 ____sys_sendmsg+0x893/0xd80 net/socket.c:2566 ___sys_sendmsg+0x271/0x3b0 net/socket.c:2620 __sys_sendmmsg+0x2d9/0x7c0 net/socket.c:2709 Уязвимость компонента pptp ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=8.6) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: powerpc/eeh: Make EEH driver device hotplug safe Multiple race conditions existed between the PCIe hotplug driver and the EEH driver, leading to a variety of kernel oopses of the same general nature: <pcie device unplug> <eeh driver trigger> <hotplug removal trigger> <pcie tree reconfiguration> <eeh recovery next step> <oops in EEH driver bus iteration loop> A second class of oops is also seen when the underlying bus disappears during device recovery. Refactor the EEH module to be PCI rescan and remove safe. Also clean up a few minor formatting / readability issues. Уязвимость модуля powerpc/eeh ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid panic in f2fs_evict_inode As syzbot [1] reported as below: R10: 0000000000000100 R11: 0000000000000206 R12: 00007ffe17473450 R13: 00007f28b1c10854 R14: 000000000000dae5 R15: 00007ffe17474520 </TASK> ---[ end trace 0000000000000000 ]--- ================================================================== BUG: KASAN: use-after-free in __list_del_entry_valid+0xa6/0x130 lib/list_debug.c:62 Read of size 8 at addr ffff88812d962278 by task syz-executor/564 CPU: 1 PID: 564 Comm: syz-executor Tainted: G W 6.1.129-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 Call Trace: <TASK> __dump_stack+0x21/0x24 lib/dump_stack.c:88 dump_stack_lvl+0xee/0x158 lib/dump_stack.c:106 print_address_description+0x71/0x210 mm/kasan/report.c:316 print_report+0x4a/0x60 mm/kasan/report.c:427 kasan_report+0x122/0x150 mm/kasan/report.c:531 __asan_report_load8_noabort+0x14/0x20 mm/kasan/report_generic.c:351 __list_del_entry_valid+0xa6/0x130 lib/list_debug.c:62 __list_del_entry include/linux/list.h:134 [inline] list_del_init include/linux/list.h:206 [inline] f2fs_inode_synced+0xf7/0x2e0 fs/f2fs/super.c:1531 f2fs_update_inode+0x74/0x1c40 fs/f2fs/inode.c:585 f2fs_update_inode_page+0x137/0x170 fs/f2fs/inode.c:703 f2fs_write_inode+0x4ec/0x770 fs/f2fs/inode.c:731 write_inode fs/fs-writeback.c:1460 [inline] __writeback_single_inode+0x4a0/0xab0 fs/fs-writeback.c:1677 writeback_single_inode+0x221/0x8b0 fs/fs-writeback.c:1733 sync_inode_metadata+0xb6/0x110 fs/fs-writeback.c:2789 f2fs_sync_inode_meta+0x16d/0x2a0 fs/f2fs/checkpoint.c:1159 block_operations fs/f2fs/checkpoint.c:1269 [inline] f2fs_write_checkpoint+0xca3/0x2100 fs/f2fs/checkpoint.c:1658 kill_f2fs_super+0x231/0x390 fs/f2fs/super.c:4668 deactivate_locked_super+0x98/0x100 fs/super.c:332 deactivate_super+0xaf/0xe0 fs/super.c:363 cleanup_mnt+0x45f/0x4e0 fs/namespace.c:1186 __cleanup_mnt+0x19/0x20 fs/namespace.c:1193 task_work_run+0x1c6/0x230 kernel/task_work.c:203 exit_task_work include/linux/task_work.h:39 [inline] do_exit+0x9fb/0x2410 kernel/exit.c:871 do_group_exit+0x210/0x2d0 kernel/exit.c:1021 __do_sys_exit_group kernel/exit.c:1032 [inline] __se_sys_exit_group kernel/exit.c:1030 [inline] __x64_sys_exit_group+0x3f/0x40 kernel/exit.c:1030 x64_sys_call+0x7b4/0x9a0 arch/x86/include/generated/asm/syscalls_64.h:232 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x4c/0xa0 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x68/0xd2 RIP: 0033:0x7f28b1b8e169 Code: Unable to access opcode bytes at 0x7f28b1b8e13f. RSP: 002b:00007ffe174710a8 EFLAGS: 00000246 ORIG_RAX: 00000000000000e7 RAX: ffffffffffffffda RBX: 00007f28b1c10879 RCX: 00007f28b1b8e169 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000001 RBP: 0000000000000002 R08: 00007ffe1746ee47 R09: 00007ffe17472360 R10: 0000000000000009 R11: 0000000000000246 R12: 00007ffe17472360 R13: 00007f28b1c10854 R14: 000000000000dae5 R15: 00007ffe17474520 </TASK> Allocated by task 569: kasan_save_stack mm/kasan/common.c:45 [inline] kasan_set_track+0x4b/0x70 mm/kasan/common.c:52 kasan_save_alloc_info+0x25/0x30 mm/kasan/generic.c:505 __kasan_slab_alloc+0x72/0x80 mm/kasan/common.c:328 kasan_slab_alloc include/linux/kasan.h:201 [inline] slab_post_alloc_hook+0x4f/0x2c0 mm/slab.h:737 slab_alloc_node mm/slub.c:3398 [inline] slab_alloc mm/slub.c:3406 [inline] __kmem_cache_alloc_lru mm/slub.c:3413 [inline] kmem_cache_alloc_lru+0x104/0x220 mm/slub.c:3429 alloc_inode_sb include/linux/fs.h:3245 [inline] f2fs_alloc_inode+0x2d/0x340 fs/f2fs/super.c:1419 alloc_inode fs/inode.c:261 [inline] iget_locked+0x186/0x880 fs/inode.c:1373 f2fs_iget+0x55/0x4c60 fs/f2fs/inode.c:483 f2fs_lookup+0x366/0xab0 fs/f2fs/namei.c:487 __lookup_slow+0x2a3/0x3d0 fs/namei.c:1690 lookup_slow+0x57/0x70 fs/namei.c:1707 walk_component+0x2e6/0x410 fs/namei ---truncated--- Уязвимость компонента f2fs ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid UAF in f2fs_sync_inode_meta() syzbot reported an UAF issue as below: [1] [2] [1] https://syzkaller.appspot.com/text?tag=CrashReport&x=16594c60580000 ================================================================== BUG: KASAN: use-after-free in __list_del_entry_valid+0xa6/0x130 lib/list_debug.c:62 Read of size 8 at addr ffff888100567dc8 by task kworker/u4:0/8 CPU: 1 PID: 8 Comm: kworker/u4:0 Tainted: G W 6.1.129-syzkaller-00017-g642656a36791 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/12/2025 Workqueue: writeback wb_workfn (flush-7:0) Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x151/0x1b7 lib/dump_stack.c:106 print_address_description mm/kasan/report.c:316 [inline] print_report+0x158/0x4e0 mm/kasan/report.c:427 kasan_report+0x13c/0x170 mm/kasan/report.c:531 __asan_report_load8_noabort+0x14/0x20 mm/kasan/report_generic.c:351 __list_del_entry_valid+0xa6/0x130 lib/list_debug.c:62 __list_del_entry include/linux/list.h:134 [inline] list_del_init include/linux/list.h:206 [inline] f2fs_inode_synced+0x100/0x2e0 fs/f2fs/super.c:1553 f2fs_update_inode+0x72/0x1c40 fs/f2fs/inode.c:588 f2fs_update_inode_page+0x135/0x170 fs/f2fs/inode.c:706 f2fs_write_inode+0x416/0x790 fs/f2fs/inode.c:734 write_inode fs/fs-writeback.c:1460 [inline] __writeback_single_inode+0x4cf/0xb80 fs/fs-writeback.c:1677 writeback_sb_inodes+0xb32/0x1910 fs/fs-writeback.c:1903 __writeback_inodes_wb+0x118/0x3f0 fs/fs-writeback.c:1974 wb_writeback+0x3da/0xa00 fs/fs-writeback.c:2081 wb_check_background_flush fs/fs-writeback.c:2151 [inline] wb_do_writeback fs/fs-writeback.c:2239 [inline] wb_workfn+0xbba/0x1030 fs/fs-writeback.c:2266 process_one_work+0x73d/0xcb0 kernel/workqueue.c:2299 worker_thread+0xa60/0x1260 kernel/workqueue.c:2446 kthread+0x26d/0x300 kernel/kthread.c:386 ret_from_fork+0x1f/0x30 arch/x86/entry/entry_64.S:295 </TASK> Allocated by task 298: kasan_save_stack mm/kasan/common.c:45 [inline] kasan_set_track+0x4b/0x70 mm/kasan/common.c:52 kasan_save_alloc_info+0x1f/0x30 mm/kasan/generic.c:505 __kasan_slab_alloc+0x6c/0x80 mm/kasan/common.c:333 kasan_slab_alloc include/linux/kasan.h:202 [inline] slab_post_alloc_hook+0x53/0x2c0 mm/slab.h:768 slab_alloc_node mm/slub.c:3421 [inline] slab_alloc mm/slub.c:3431 [inline] __kmem_cache_alloc_lru mm/slub.c:3438 [inline] kmem_cache_alloc_lru+0x102/0x270 mm/slub.c:3454 alloc_inode_sb include/linux/fs.h:3255 [inline] f2fs_alloc_inode+0x2d/0x350 fs/f2fs/super.c:1437 alloc_inode fs/inode.c:261 [inline] iget_locked+0x18c/0x7e0 fs/inode.c:1373 f2fs_iget+0x55/0x4ca0 fs/f2fs/inode.c:486 f2fs_lookup+0x3c1/0xb50 fs/f2fs/namei.c:484 __lookup_slow+0x2b9/0x3e0 fs/namei.c:1689 lookup_slow+0x5a/0x80 fs/namei.c:1706 walk_component+0x2e7/0x410 fs/namei.c:1997 lookup_last fs/namei.c:2454 [inline] path_lookupat+0x16d/0x450 fs/namei.c:2478 filename_lookup+0x251/0x600 fs/namei.c:2507 vfs_statx+0x107/0x4b0 fs/stat.c:229 vfs_fstatat fs/stat.c:267 [inline] vfs_lstat include/linux/fs.h:3434 [inline] __do_sys_newlstat fs/stat.c:423 [inline] __se_sys_newlstat+0xda/0x7c0 fs/stat.c:417 __x64_sys_newlstat+0x5b/0x70 fs/stat.c:417 x64_sys_call+0x52/0x9a0 arch/x86/include/generated/asm/syscalls_64.h:7 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x3b/0x80 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x68/0xd2 Freed by task 0: kasan_save_stack mm/kasan/common.c:45 [inline] kasan_set_track+0x4b/0x70 mm/kasan/common.c:52 kasan_save_free_info+0x2b/0x40 mm/kasan/generic.c:516 ____kasan_slab_free+0x131/0x180 mm/kasan/common.c:241 __kasan_slab_free+0x11/0x20 mm/kasan/common.c:249 kasan_slab_free include/linux/kasan.h:178 [inline] slab_free_hook mm/slub.c:1745 [inline] slab_free_freelist_hook mm/slub.c:1771 [inline] slab_free mm/slub.c:3686 [inline] kmem_cache_free+0x ---truncated--- Уязвимость компонента f2fs ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix KMSAN uninit-value in extent_info usage KMSAN reported a use of uninitialized value in `__is_extent_mergeable()` and `__is_back_mergeable()` via the read extent tree path. The root cause is that `get_read_extent_info()` only initializes three fields (`fofs`, `blk`, `len`) of `struct extent_info`, leaving the remaining fields uninitialized. This leads to undefined behavior when those fields are accessed later, especially during extent merging. Fix it by zero-initializing the `extent_info` struct before population. Уязвимость компонента f2fs ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: ccp - Fix crash when rebind ccp device for ccp.ko When CONFIG_CRYPTO_DEV_CCP_DEBUGFS is enabled, rebinding the ccp device causes the following crash: $ echo '0000:0a:00.2' > /sys/bus/pci/drivers/ccp/unbind $ echo '0000:0a:00.2' > /sys/bus/pci/drivers/ccp/bind [ 204.976930] BUG: kernel NULL pointer dereference, address: 0000000000000098 [ 204.978026] #PF: supervisor write access in kernel mode [ 204.979126] #PF: error_code(0x0002) - not-present page [ 204.980226] PGD 0 P4D 0 [ 204.981317] Oops: Oops: 0002 [#1] SMP NOPTI ... [ 204.997852] Call Trace: [ 204.999074] <TASK> [ 205.000297] start_creating+0x9f/0x1c0 [ 205.001533] debugfs_create_dir+0x1f/0x170 [ 205.002769] ? srso_return_thunk+0x5/0x5f [ 205.004000] ccp5_debugfs_setup+0x87/0x170 [ccp] [ 205.005241] ccp5_init+0x8b2/0x960 [ccp] [ 205.006469] ccp_dev_init+0xd4/0x150 [ccp] [ 205.007709] sp_init+0x5f/0x80 [ccp] [ 205.008942] sp_pci_probe+0x283/0x2e0 [ccp] [ 205.010165] ? srso_return_thunk+0x5/0x5f [ 205.011376] local_pci_probe+0x4f/0xb0 [ 205.012584] pci_device_probe+0xdb/0x230 [ 205.013810] really_probe+0xed/0x380 [ 205.015024] __driver_probe_device+0x7e/0x160 [ 205.016240] device_driver_attach+0x2f/0x60 [ 205.017457] bind_store+0x7c/0xb0 [ 205.018663] drv_attr_store+0x28/0x40 [ 205.019868] sysfs_kf_write+0x5f/0x70 [ 205.021065] kernfs_fop_write_iter+0x145/0x1d0 [ 205.022267] vfs_write+0x308/0x440 [ 205.023453] ksys_write+0x6d/0xe0 [ 205.024616] __x64_sys_write+0x1e/0x30 [ 205.025778] x64_sys_call+0x16ba/0x2150 [ 205.026942] do_syscall_64+0x56/0x1e0 [ 205.028108] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 205.029276] RIP: 0033:0x7fbc36f10104 [ 205.030420] Code: 89 02 48 c7 c0 ff ff ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 66 90 48 8d 05 e1 08 2e 00 8b 00 85 c0 75 13 b8 01 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 54 f3 c3 66 90 41 54 55 49 89 d4 53 48 89 f5 This patch sets ccp_debugfs_dir to NULL after destroying it in ccp5_debugfs_destroy, allowing the directory dentry to be recreated when rebinding the ccp device. Tested on AMD Ryzen 7 1700X. Уязвимость компонента crypto ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Fix double destruction of rsv_qp rsv_qp may be double destroyed in error flow, first in free_mr_init(), and then in hns_roce_exit(). Fix it by moving the free_mr_init() call into hns_roce_v2_init(). list_del corruption, ffff589732eb9b50->next is LIST_POISON1 (dead000000000100) WARNING: CPU: 8 PID: 1047115 at lib/list_debug.c:53 __list_del_entry_valid+0x148/0x240 ... Call trace: __list_del_entry_valid+0x148/0x240 hns_roce_qp_remove+0x4c/0x3f0 [hns_roce_hw_v2] hns_roce_v2_destroy_qp_common+0x1dc/0x5f4 [hns_roce_hw_v2] hns_roce_v2_destroy_qp+0x22c/0x46c [hns_roce_hw_v2] free_mr_exit+0x6c/0x120 [hns_roce_hw_v2] hns_roce_v2_exit+0x170/0x200 [hns_roce_hw_v2] hns_roce_exit+0x118/0x350 [hns_roce_hw_v2] __hns_roce_hw_v2_init_instance+0x1c8/0x304 [hns_roce_hw_v2] hns_roce_hw_v2_reset_notify_init+0x170/0x21c [hns_roce_hw_v2] hns_roce_hw_v2_reset_notify+0x6c/0x190 [hns_roce_hw_v2] hclge_notify_roce_client+0x6c/0x160 [hclge] hclge_reset_rebuild+0x150/0x5c0 [hclge] hclge_reset+0x10c/0x140 [hclge] hclge_reset_subtask+0x80/0x104 [hclge] hclge_reset_service_task+0x168/0x3ac [hclge] hclge_service_task+0x50/0x100 [hclge] process_one_work+0x250/0x9a0 worker_thread+0x324/0x990 kthread+0x190/0x210 ret_from_fork+0x10/0x18 [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clk: xilinx: vcu: unregister pll_post only if registered correctly If registration of pll_post is failed, it will be set to NULL or ERR, unregistering same will fail with following call trace: Unable to handle kernel NULL pointer dereference at virtual address 008 pc : clk_hw_unregister+0xc/0x20 lr : clk_hw_unregister_fixed_factor+0x18/0x30 sp : ffff800011923850 ... Call trace: clk_hw_unregister+0xc/0x20 clk_hw_unregister_fixed_factor+0x18/0x30 xvcu_unregister_clock_provider+0xcc/0xf4 [xlnx_vcu] xvcu_probe+0x2bc/0x53c [xlnx_vcu] Уязвимость компонента xilinx ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: staging: media: atomisp: Fix stack buffer overflow in gmin_get_var_int() When gmin_get_config_var() calls efi.get_variable() and the EFI variable is larger than the expected buffer size, two behaviors combine to create a stack buffer overflow: 1. gmin_get_config_var() does not return the proper error code when efi.get_variable() fails. It returns the stale 'ret' value from earlier operations instead of indicating the EFI failure. 2. When efi.get_variable() returns EFI_BUFFER_TOO_SMALL, it updates *out_len to the required buffer size but writes no data to the output buffer. However, due to bug #1, gmin_get_var_int() believes the call succeeded. The caller gmin_get_var_int() then performs: - Allocates val[CFG_VAR_NAME_MAX + 1] (65 bytes) on stack - Calls gmin_get_config_var(dev, is_gmin, var, val, &len) with len=64 - If EFI variable is >64 bytes, efi.get_variable() sets len=required_size - Due to bug #1, thinks call succeeded with len=required_size - Executes val[len] = 0, writing past end of 65-byte stack buffer This creates a stack buffer overflow when EFI variables are larger than 64 bytes. Since EFI variables can be controlled by firmware or system configuration, this could potentially be exploited for code execution. Fix the bug by returning proper error codes from gmin_get_config_var() based on EFI status instead of stale 'ret' value. The gmin_get_var_int() function is called during device initialization for camera sensor configuration on Intel Bay Trail and Cherry Trail platforms using the atomisp camera stack. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости CVE-2025-38585 необходимо запретить загрузку модуля atomisp.ko в ядро системы. Если ваши серверы или рабочие станции не используют функционал ISP камер (что справедливо для абсолютного большинства серверных и облачных инфраструктур), заблокируйте модули ядра ISP камер: Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль atomisp в ядро системы, для этого выполнить одну из команд: lsmod | grep atomisp или kmod list | grep atomisp Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: команда для выгрузки модуля atomisp.ko: sudo rmmod atomisp 2. Запретить загрузку модулей: от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-atomisp.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; добавить в файл строку: install atomisp /bin/false сохранить файл. 3. Обновить текущий образ initramfs: sudo update-initramfs -uk all Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf, arm64: Fix fp initialization for exception boundary In the ARM64 BPF JIT when prog->aux->exception_boundary is set for a BPF program, find_used_callee_regs() is not called because for a program acting as exception boundary, all callee saved registers are saved. find_used_callee_regs() sets `ctx->fp_used = true;` when it sees FP being used in any of the instructions. For programs acting as exception boundary, ctx->fp_used remains false even if frame pointer is used by the program and therefore, FP is not set-up for such programs in the prologue. This can cause the kernel to crash due to a pagefault. Fix it by setting ctx->fp_used = true for exception boundary programs as fp is always saved in such programs. Уязвимость компонентов bpf и arm64 ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: fix possible infinite loop in fib6_info_uses_dev() fib6_info_uses_dev() seems to rely on RCU without an explicit protection. Like the prior fix in rt6_nlmsg_size(), we need to make sure fib6_del_route() or fib6_add_rt2node() have not removed the anchor from the list, or we risk an infinite loop. Уязвимость компонента ipv6 ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: prevent infinite loop in rt6_nlmsg_size() While testing prior patch, I was able to trigger an infinite loop in rt6_nlmsg_size() in the following place: list_for_each_entry_rcu(sibling, &f6i->fib6_siblings, fib6_siblings) { rt6_nh_nlmsg_size(sibling->fib6_nh, &nexthop_len); } This is because fib6_del_route() and fib6_add_rt2node() uses list_del_rcu(), which can confuse rcu readers, because they might no longer see the head of the list. Restart the loop if f6i->fib6_nsiblings is zero. Уязвимость компонента ipv6 ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Remove skb secpath if xfrm state is not found Hardware returns a unique identifier for a decrypted packet's xfrm state, this state is looked up in an xarray. However, the state might have been freed by the time of this lookup. Currently, if the state is not found, only a counter is incremented. The secpath (sp) extension on the skb is not removed, resulting in sp->len becoming 0. Subsequently, functions like __xfrm_policy_check() attempt to access fields such as xfrm_input_state(skb)->xso.type (which dereferences sp->xvec[sp->len - 1]) without first validating sp->len. This leads to a crash when dereferencing an invalid state pointer. This patch prevents the crash by explicitly removing the secpath extension from the skb if the xfrm state is not found after hardware decryption. This ensures downstream functions do not operate on a zero-length secpath. BUG: unable to handle page fault for address: ffffffff000002c8 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 282e067 P4D 282e067 PUD 0 Oops: Oops: 0000 [#1] SMP CPU: 12 UID: 0 PID: 0 Comm: swapper/12 Not tainted 6.15.0-rc7_for_upstream_min_debug_2025_05_27_22_44 #1 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:__xfrm_policy_check+0x61a/0xa30 Code: b6 77 7f 83 e6 02 74 14 4d 8b af d8 00 00 00 41 0f b6 45 05 c1 e0 03 48 98 49 01 c5 41 8b 45 00 83 e8 01 48 98 49 8b 44 c5 10 <0f> b6 80 c8 02 00 00 83 e0 0c 3c 04 0f 84 0c 02 00 00 31 ff 80 fa RSP: 0018:ffff88885fb04918 EFLAGS: 00010297 RAX: ffffffff00000000 RBX: 0000000000000002 RCX: 0000000000000000 RDX: 0000000000000002 RSI: 0000000000000002 RDI: 0000000000000000 RBP: ffffffff8311af80 R08: 0000000000000020 R09: 00000000c2eda353 R10: ffff88812be2bbc8 R11: 000000001faab533 R12: ffff88885fb049c8 R13: ffff88812be2bbc8 R14: 0000000000000000 R15: ffff88811896ae00 FS: 0000000000000000(0000) GS:ffff8888dca82000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffffff000002c8 CR3: 0000000243050002 CR4: 0000000000372eb0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <IRQ> ? try_to_wake_up+0x108/0x4c0 ? udp4_lib_lookup2+0xbe/0x150 ? udp_lib_lport_inuse+0x100/0x100 ? __udp4_lib_lookup+0x2b0/0x410 __xfrm_policy_check2.constprop.0+0x11e/0x130 udp_queue_rcv_one_skb+0x1d/0x530 udp_unicast_rcv_skb+0x76/0x90 __udp4_lib_rcv+0xa64/0xe90 ip_protocol_deliver_rcu+0x20/0x130 ip_local_deliver_finish+0x75/0xa0 ip_local_deliver+0xc1/0xd0 ? ip_protocol_deliver_rcu+0x130/0x130 ip_sublist_rcv+0x1f9/0x240 ? ip_rcv_finish_core+0x430/0x430 ip_list_rcv+0xfc/0x130 __netif_receive_skb_list_core+0x181/0x1e0 netif_receive_skb_list_internal+0x200/0x360 ? mlx5e_build_rx_skb+0x1bc/0xda0 [mlx5_core] gro_receive_skb+0xfd/0x210 mlx5e_handle_rx_cqe_mpwrq+0x141/0x280 [mlx5_core] mlx5e_poll_rx_cq+0xcc/0x8e0 [mlx5_core] ? mlx5e_handle_rx_dim+0x91/0xd0 [mlx5_core] mlx5e_napi_poll+0x114/0xab0 [mlx5_core] __napi_poll+0x25/0x170 net_rx_action+0x32d/0x3a0 ? mlx5_eq_comp_int+0x8d/0x280 [mlx5_core] ? notifier_call_chain+0x33/0xa0 handle_softirqs+0xda/0x250 irq_exit_rcu+0x6d/0xc0 common_interrupt+0x81/0xa0 </IRQ> [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_sync: fix double free in 'hci_discovery_filter_clear()' Function 'hci_discovery_filter_clear()' frees 'uuids' array and then sets it to NULL. There is a tiny chance of the following race: 'hci_cmd_sync_work()' 'update_passive_scan_sync()' 'hci_update_passive_scan_sync()' 'hci_discovery_filter_clear()' kfree(uuids); <-------------------------preempted--------------------------------> 'start_service_discovery()' 'hci_discovery_filter_clear()' kfree(uuids); // DOUBLE FREE <-------------------------preempted--------------------------------> uuids = NULL; To fix it let's add locking around 'kfree()' call and NULL pointer assignment. Otherwise the following backtrace fires: [ ] ------------[ cut here ]------------ [ ] kernel BUG at mm/slub.c:547! [ ] Internal error: Oops - BUG: 00000000f2000800 [#1] PREEMPT SMP [ ] CPU: 3 UID: 0 PID: 246 Comm: bluetoothd Tainted: G O 6.12.19-kernel #1 [ ] Tainted: [O]=OOT_MODULE [ ] pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ ] pc : __slab_free+0xf8/0x348 [ ] lr : __slab_free+0x48/0x348 ... [ ] Call trace: [ ] __slab_free+0xf8/0x348 [ ] kfree+0x164/0x27c [ ] start_service_discovery+0x1d0/0x2c0 [ ] hci_sock_sendmsg+0x518/0x924 [ ] __sock_sendmsg+0x54/0x60 [ ] sock_write_iter+0x98/0xf8 [ ] do_iter_readv_writev+0xe4/0x1c8 [ ] vfs_writev+0x128/0x2b0 [ ] do_writev+0xfc/0x118 [ ] __arm64_sys_writev+0x20/0x2c [ ] invoke_syscall+0x68/0xf0 [ ] el0_svc_common.constprop.0+0x40/0xe0 [ ] do_el0_svc+0x1c/0x28 [ ] el0_svc+0x30/0xd0 [ ] el0t_64_sync_handler+0x100/0x12c [ ] el0t_64_sync+0x194/0x198 [ ] Code: 8b0002e6 eb17031f 54fffbe1 d503201f (d4210000) [ ] ---[ end trace 0000000000000000 ]--- Уязвимость функции discovery_init() в модуле include/net/bluetooth/hci_core.h ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bluetooth.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bluetooth в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bluetooth ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install bluetooth /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xen: fix UAF in dmabuf_exp_from_pages() [dma_buf_fd() fixes; no preferences regarding the tree it goes through - up to xen folks] As soon as we'd inserted a file reference into descriptor table, another thread could close it. That's fine for the case when all we are doing is returning that descriptor to userland (it's a race, but it's a userland race and there's nothing the kernel can do about it). However, if we follow fd_install() with any kind of access to objects that would be destroyed on close (be it the struct file itself or anything destroyed by its ->release()), we have a UAF. dma_buf_fd() is a combination of reserving a descriptor and fd_install(). gntdev dmabuf_exp_from_pages() calls it and then proceeds to access the objects destroyed on close - starting with gntdev_dmabuf itself. Fix that by doing reserving descriptor before anything else and do fd_install() only when everything had been set up. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: clear initialized flag for deinit-ed srng lists In a number of cases we see kernel panics on resume due to ath11k kernel page fault, which happens under the following circumstances: 1) First ath11k_hal_dump_srng_stats() call Last interrupt received for each group: ath11k_pci 0000:01:00.0: group_id 0 22511ms before ath11k_pci 0000:01:00.0: group_id 1 14440788ms before [..] ath11k_pci 0000:01:00.0: failed to receive control response completion, polling.. ath11k_pci 0000:01:00.0: Service connect timeout ath11k_pci 0000:01:00.0: failed to connect to HTT: -110 ath11k_pci 0000:01:00.0: failed to start core: -110 ath11k_pci 0000:01:00.0: firmware crashed: MHI_CB_EE_RDDM ath11k_pci 0000:01:00.0: already resetting count 2 ath11k_pci 0000:01:00.0: failed to wait wlan mode request (mode 4): -110 ath11k_pci 0000:01:00.0: qmi failed to send wlan mode off: -110 ath11k_pci 0000:01:00.0: failed to reconfigure driver on crash recovery [..] 2) At this point reconfiguration fails (we have 2 resets) and ath11k_core_reconfigure_on_crash() calls ath11k_hal_srng_deinit() which destroys srng lists. However, it does not reset per-list ->initialized flag. 3) Second ath11k_hal_dump_srng_stats() call sees stale ->initialized flag and attempts to dump srng stats: Last interrupt received for each group: ath11k_pci 0000:01:00.0: group_id 0 66785ms before ath11k_pci 0000:01:00.0: group_id 1 14485062ms before ath11k_pci 0000:01:00.0: group_id 2 14485062ms before ath11k_pci 0000:01:00.0: group_id 3 14485062ms before ath11k_pci 0000:01:00.0: group_id 4 14780845ms before ath11k_pci 0000:01:00.0: group_id 5 14780845ms before ath11k_pci 0000:01:00.0: group_id 6 14485062ms before ath11k_pci 0000:01:00.0: group_id 7 66814ms before ath11k_pci 0000:01:00.0: group_id 8 68997ms before ath11k_pci 0000:01:00.0: group_id 9 67588ms before ath11k_pci 0000:01:00.0: group_id 10 69511ms before BUG: unable to handle page fault for address: ffffa007404eb010 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 100000067 P4D 100000067 PUD 10022d067 PMD 100b01067 PTE 0 Oops: 0000 [#1] PREEMPT SMP NOPTI RIP: 0010:ath11k_hal_dump_srng_stats+0x2b4/0x3b0 [ath11k] Call Trace: <TASK> ? __die_body+0xae/0xb0 ? page_fault_oops+0x381/0x3e0 ? exc_page_fault+0x69/0xa0 ? asm_exc_page_fault+0x22/0x30 ? ath11k_hal_dump_srng_stats+0x2b4/0x3b0 [ath11k (HASH:6cea 4)] ath11k_qmi_driver_event_work+0xbd/0x1050 [ath11k (HASH:6cea 4)] worker_thread+0x389/0x930 kthread+0x149/0x170 Clear per-list ->initialized flag in ath11k_hal_srng_deinit(). Уязвимость ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-909')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iwlwifi: Add missing check for alloc_ordered_workqueue Add check for the return value of alloc_ordered_workqueue since it may return NULL pointer. Уязвимость компонента iwlwifi ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-252')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtl818x: Kill URBs before clearing tx status queue In rtl8187_stop() move the call of usb_kill_anchored_urbs() before clearing b_tx_status.queue. This change prevents callbacks from using already freed skb due to anchor was not killed before freeing such skb. BUG: kernel NULL pointer dereference, address: 0000000000000080 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 7 UID: 0 PID: 0 Comm: swapper/7 Not tainted 6.15.0 #8 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 0.0.0 02/06/2015 RIP: 0010:ieee80211_tx_status_irqsafe+0x21/0xc0 [mac80211] Call Trace: <IRQ> rtl8187_tx_cb+0x116/0x150 [rtl8187] __usb_hcd_giveback_urb+0x9d/0x120 usb_giveback_urb_bh+0xbb/0x140 process_one_work+0x19b/0x3c0 bh_worker+0x1a7/0x210 tasklet_action+0x10/0x30 handle_softirqs+0xf0/0x340 __irq_exit_rcu+0xcd/0xf0 common_interrupt+0x85/0xa0 </IRQ> Tested on RTL8187BvE device. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента wifi ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf, ktls: Fix data corruption when using bpf_msg_pop_data() in ktls When sending plaintext data, we initially calculated the corresponding ciphertext length. However, if we later reduced the plaintext data length via socket policy, we failed to recalculate the ciphertext length. This results in transmitting buffers containing uninitialized data during ciphertext transmission. This causes uninitialized bytes to be appended after a complete "Application Data" packet, leading to errors on the receiving end when parsing TLS record. Уязвимость компонентов bpf и ktls ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L', score=8.6) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PM / devfreq: Check governor before using governor->name Commit 96ffcdf239de ("PM / devfreq: Remove redundant governor_name from struct devfreq") removes governor_name and uses governor->name to replace it. But devfreq->governor may be NULL and directly using devfreq->governor->name may cause null pointer exception. Move the check of governor to before using governor->name. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: powercap: dtpm_cpu: Fix NULL pointer dereference in get_pd_power_uw() The get_pd_power_uw() function can crash with a NULL pointer dereference when em_cpu_get() returns NULL. This occurs when a CPU becomes impossible during runtime, causing get_cpu_device() to return NULL, which propagates through em_cpu_get() and leads to a crash when em_span_cpus() dereferences the NULL pointer. Add a NULL check after em_cpu_get() and return 0 if unavailable, matching the existing fallback behavior in __dtpm_cpu_setup(). [ rjw: Drop an excess empty code line ] Уязвимость компонента dtpm_cpu ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: staging: fbtft: fix potential memory leak in fbtft_framebuffer_alloc() In the error paths after fb_info structure is successfully allocated, the memory allocated in fb_deferred_io_init() for info->pagerefs is not freed. Fix that by adding the cleanup function on the error path. Уязвимость компонента fbtft ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: eventpoll: Fix semi-unbounded recursion Ensure that epoll instances can never form a graph deeper than EP_MAX_NESTS+1 links. Currently, ep_loop_check_proc() ensures that the graph is loop-free and does some recursion depth checks, but those recursion depth checks don't limit the depth of the resulting tree for two reasons: - They don't look upwards in the tree. - If there are multiple downwards paths of different lengths, only one of the paths is actually considered for the depth check since commit 28d82dc1c4ed ("epoll: limit paths"). Essentially, the current recursion depth check in ep_loop_check_proc() just serves to prevent it from recursing too deeply while checking for loops. A more thorough check is done in reverse_path_check() after the new graph edge has already been created; this checks, among other things, that no paths going upwards from any non-epoll file with a length of more than 5 edges exist. However, this check does not apply to non-epoll files. As a result, it is possible to recurse to a depth of at least roughly 500, tested on v6.15. (I am unsure if deeper recursion is possible; and this may have changed with commit 8c44dac8add7 ("eventpoll: Fix priority inversion problem").) To fix it: 1. In ep_loop_check_proc(), note the subtree depth of each visited node, and use subtree depths for the total depth calculation even when a subtree has already been visited. 2. Add ep_get_upwards_depth_proc() for similarly determining the maximum depth of an upwards walk. 3. In ep_loop_check(), use these values to limit the total path length between epoll nodes to EP_MAX_NESTS edges. Уязвимость компонента eventpoll ядра операционной системы Linux связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: cancle set bad inode after removing name fails The reproducer uses a file0 on a ntfs3 file system with a corrupted i_link. When renaming, the file0's inode is marked as a bad inode because the file name cannot be deleted. The underlying bug is that make_bad_inode() is called on a live inode. In some cases it's "icache lookup finds a normal inode, d_splice_alias() is called to attach it to dentry, while another thread decides to call make_bad_inode() on it - that would evict it from icache, but we'd already found it there earlier". In some it's outright "we have an inode attached to dentry - that's how we got it in the first place; let's call make_bad_inode() on it just for shits and giggles". [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tls: handle data disappearing from under the TLS ULP TLS expects that it owns the receive queue of the TCP socket. This cannot be guaranteed in case the reader of the TCP socket entered before the TLS ULP was installed, or uses some non-standard read API (eg. zerocopy ones). Replace the WARN_ON() and a buggy early exit (which leaves anchor pointing to a freed skb) with real error handling. Wipe the parsing state and tell the reader to retry. We already reload the anchor every time we (re)acquire the socket lock, so the only condition we need to avoid is an out of bounds read (not having enough bytes in the socket for previously parsed record len). If some data was read from under TLS but there's enough in the queue we'll reload and decrypt what is most likely not a valid TLS record. Leading to some undefined behavior from TLS perspective (corrupting a stream? missing an alert? missing an attack?) but no kernel crash should take place. Уязвимость компонента net/tls ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля tls.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль tls в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep tls ``` или ``` kmod list | grep tls ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod tls ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install tls /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/packet: fix a race in packet_set_ring() and packet_notifier() When packet_set_ring() releases po->bind_lock, another thread can run packet_notifier() and process an NETDEV_UP event. This race and the fix are both similar to that of commit 15fe076edea7 ("net/packet: fix a race in packet_bind() and packet_notifier()"). There too the packet_notifier NETDEV_UP event managed to run while a po->bind_lock critical section had to be temporarily released. And the fix was similarly to temporarily set po->num to zero to keep the socket unhooked until the lock is retaken. The po->bind_lock in packet_set_ring and packet_notifier precede the introduction of git history. Уязвимость компонента net/packet/af_packet.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vsock: Do not allow binding to VMADDR_PORT_ANY It is possible for a vsock to autobind to VMADDR_PORT_ANY. This can cause a use-after-free when a connection is made to the bound socket. The socket returned by accept() also has port VMADDR_PORT_ANY but is not on the list of unbound sockets. Binding it will result in an extra refcount decrement similar to the one fixed in fcdd2242c023 (vsock: Keep the binding until socket destruction). Modify the check in __vsock_bind_connectible() to also prevent binding to VMADDR_PORT_ANY. Уязвимость компонента vsock ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля vsock.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль vsock в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep vsock ``` или ``` kmod list | grep vsock ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod vsock ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install vsock /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: ti: j721e-csi2rx: fix list_del corruption If ti_csi2rx_start_dma() fails in ti_csi2rx_dma_callback(), the buffer is marked done with VB2_BUF_STATE_ERROR but is not removed from the DMA queue. This causes the same buffer to be retried in the next iteration, resulting in a double list_del() and eventual list corruption. Fix this by removing the buffer from the queue before calling vb2_buffer_done() on error. This resolves a crash due to list_del corruption: [ 37.811243] j721e-csi2rx 30102000.ticsi2rx: Failed to queue the next buffer for DMA [ 37.832187] slab kmalloc-2k start ffff00000255b000 pointer offset 1064 size 2048 [ 37.839761] list_del corruption. next->prev should be ffff00000255bc28, but was ffff00000255d428. (next=ffff00000255b428) [ 37.850799] ------------[ cut here ]------------ [ 37.855424] kernel BUG at lib/list_debug.c:65! [ 37.859876] Internal error: Oops - BUG: 00000000f2000800 [#1] SMP [ 37.866061] Modules linked in: i2c_dev usb_f_rndis u_ether libcomposite dwc3 udc_core usb_common aes_ce_blk aes_ce_cipher ghash_ce gf128mul sha1_ce cpufreq_dt dwc3_am62 phy_gmii_sel sa2ul [ 37.882830] CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Not tainted 6.16.0-rc3+ #28 VOLUNTARY [ 37.890851] Hardware name: Bosch STLA-GSRV2-B0 (DT) [ 37.895737] pstate: 600000c5 (nZCv daIF -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 37.902703] pc : __list_del_entry_valid_or_report+0xdc/0x114 [ 37.908390] lr : __list_del_entry_valid_or_report+0xdc/0x114 [ 37.914059] sp : ffff800080003db0 [ 37.917375] x29: ffff800080003db0 x28: 0000000000000007 x27: ffff800080e50000 [ 37.924521] x26: 0000000000000000 x25: ffff0000016abb50 x24: dead000000000122 [ 37.931666] x23: ffff0000016abb78 x22: ffff0000016ab080 x21: ffff800080003de0 [ 37.938810] x20: ffff00000255bc00 x19: ffff00000255b800 x18: 000000000000000a [ 37.945956] x17: 20747562202c3832 x16: 6362353532303030 x15: 0720072007200720 [ 37.953101] x14: 0720072007200720 x13: 0720072007200720 x12: 00000000ffffffea [ 37.960248] x11: ffff800080003b18 x10: 00000000ffffefff x9 : ffff800080f5b568 [ 37.967396] x8 : ffff800080f5b5c0 x7 : 0000000000017fe8 x6 : c0000000ffffefff [ 37.974542] x5 : ffff00000fea6688 x4 : 0000000000000000 x3 : 0000000000000000 [ 37.981686] x2 : 0000000000000000 x1 : ffff800080ef2b40 x0 : 000000000000006d [ 37.988832] Call trace: [ 37.991281] __list_del_entry_valid_or_report+0xdc/0x114 (P) [ 37.996959] ti_csi2rx_dma_callback+0x84/0x1c4 [ 38.001419] udma_vchan_complete+0x1e0/0x344 [ 38.005705] tasklet_action_common+0x118/0x310 [ 38.010163] tasklet_action+0x30/0x3c [ 38.013832] handle_softirqs+0x10c/0x2e0 [ 38.017761] __do_softirq+0x14/0x20 [ 38.021256] ____do_softirq+0x10/0x20 [ 38.024931] call_on_irq_stack+0x24/0x60 [ 38.028873] do_softirq_own_stack+0x1c/0x40 [ 38.033064] __irq_exit_rcu+0x130/0x15c [ 38.036909] irq_exit_rcu+0x10/0x20 [ 38.040403] el1_interrupt+0x38/0x60 [ 38.043987] el1h_64_irq_handler+0x18/0x24 [ 38.048091] el1h_64_irq+0x6c/0x70 [ 38.051501] default_idle_call+0x34/0xe0 (P) [ 38.055783] do_idle+0x1f8/0x250 [ 38.059021] cpu_startup_entry+0x34/0x3c [ 38.062951] rest_init+0xb4/0xc0 [ 38.066186] console_on_rootfs+0x0/0x6c [ 38.070031] __primary_switched+0x88/0x90 [ 38.074059] Code: b00037e0 91378000 f9400462 97e9bf49 (d4210000) [ 38.080168] ---[ end trace 0000000000000000 ]--- [ 38.084795] Kernel panic - not syncing: Oops - BUG: Fatal exception in interrupt [ 38.092197] SMP: stopping secondary CPUs [ 38.096139] Kernel Offset: disabled [ 38.099631] CPU features: 0x0000,00002000,02000801,0400420b [ 38.105202] Memory Limit: none [ 38.108260] ---[ end Kernel panic - not syncing: Oops - BUG: Fatal exception in interrupt ]--- Уязвимость компонента media ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: drop UFO packets in udp_rcv_segment() When sending a packet with virtio_net_hdr to tun device, if the gso_type in virtio_net_hdr is SKB_GSO_UDP and the gso_size is less than udphdr size, below crash may happen. ------------[ cut here ]------------ kernel BUG at net/core/skbuff.c:4572! Oops: invalid opcode: 0000 [#1] SMP NOPTI CPU: 0 UID: 0 PID: 62 Comm: mytest Not tainted 6.16.0-rc7 #203 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:skb_pull_rcsum+0x8e/0xa0 Code: 00 00 5b c3 cc cc cc cc 8b 93 88 00 00 00 f7 da e8 37 44 38 00 f7 d8 89 83 88 00 00 00 48 8b 83 c8 00 00 00 5b c3 cc cc cc cc <0f> 0b 0f 0b 66 66 2e 0f 1f 84 00 000 RSP: 0018:ffffc900001fba38 EFLAGS: 00000297 RAX: 0000000000000004 RBX: ffff8880040c1000 RCX: ffffc900001fb948 RDX: ffff888003e6d700 RSI: 0000000000000008 RDI: ffff88800411a062 RBP: ffff8880040c1000 R08: 0000000000000000 R09: 0000000000000001 R10: ffff888003606c00 R11: 0000000000000001 R12: 0000000000000000 R13: ffff888004060900 R14: ffff888004050000 R15: ffff888004060900 FS: 000000002406d3c0(0000) GS:ffff888084a19000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000020000040 CR3: 0000000004007000 CR4: 00000000000006f0 Call Trace: <TASK> udp_queue_rcv_one_skb+0x176/0x4b0 net/ipv4/udp.c:2445 udp_queue_rcv_skb+0x155/0x1f0 net/ipv4/udp.c:2475 udp_unicast_rcv_skb+0x71/0x90 net/ipv4/udp.c:2626 __udp4_lib_rcv+0x433/0xb00 net/ipv4/udp.c:2690 ip_protocol_deliver_rcu+0xa6/0x160 net/ipv4/ip_input.c:205 ip_local_deliver_finish+0x72/0x90 net/ipv4/ip_input.c:233 ip_sublist_rcv_finish+0x5f/0x70 net/ipv4/ip_input.c:579 ip_sublist_rcv+0x122/0x1b0 net/ipv4/ip_input.c:636 ip_list_rcv+0xf7/0x130 net/ipv4/ip_input.c:670 __netif_receive_skb_list_core+0x21d/0x240 net/core/dev.c:6067 netif_receive_skb_list_internal+0x186/0x2b0 net/core/dev.c:6210 napi_complete_done+0x78/0x180 net/core/dev.c:6580 tun_get_user+0xa63/0x1120 drivers/net/tun.c:1909 tun_chr_write_iter+0x65/0xb0 drivers/net/tun.c:1984 vfs_write+0x300/0x420 fs/read_write.c:593 ksys_write+0x60/0xd0 fs/read_write.c:686 do_syscall_64+0x50/0x1c0 arch/x86/entry/syscall_64.c:63 </TASK> To trigger gso segment in udp_queue_rcv_skb(), we should also set option UDP_ENCAP_ESPINUDP to enable udp_sk(sk)->encap_rcv. When the encap_rcv hook return 1 in udp_queue_rcv_one_skb(), udp_csum_pull_header() will try to pull udphdr, but the skb size has been segmented to gso size, which leads to this crash. Previous commit cf329aa42b66 ("udp: cope with UDP GRO packet misdirection") introduces segmentation in UDP receive path only for GRO, which was never intended to be used for UFO, so drop UFO packets in udp_rcv_segment(). Уязвимость компонента net ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: pnv_php: Fix surprise plug detection and recovery The existing PowerNV hotplug code did not handle surprise plug events correctly, leading to a complete failure of the hotplug system after device removal and a required reboot to detect new devices. This comes down to two issues: 1) When a device is surprise removed, often the bridge upstream port will cause a PE freeze on the PHB. If this freeze is not cleared, the MSI interrupts from the bridge hotplug notification logic will not be received by the kernel, stalling all plug events on all slots associated with the PE. 2) When a device is removed from a slot, regardless of surprise or programmatic removal, the associated PHB/PE ls left frozen. If this freeze is not cleared via a fundamental reset, skiboot is unable to clear the freeze and cannot retrain / rescan the slot. This also requires a reboot to clear the freeze and redetect the device in the slot. Issue the appropriate unfreeze and rescan commands on hotplug events, and don't oops on hotplug if pci_bus_to_OF_node() returns NULL. [bhelgaas: tidy comments] Уязвимость компонента pnv_php операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: pnv_php: Clean up allocated IRQs on unplug When the root of a nested PCIe bridge configuration is unplugged, the pnv_php driver leaked the allocated IRQ resources for the child bridges' hotplug event notifications, resulting in a panic. Fix this by walking all child buses and deallocating all its IRQ resources before calling pci_hp_remove_devices(). Also modify the lifetime of the workqueue at struct pnv_php_slot::wq so that it is only destroyed in pnv_php_free_slot(), instead of pnv_php_disable_irq(). This is required since pnv_php_disable_irq() will now be called by workers triggered by hot unplug interrupts, so the workqueue needs to stay allocated. The abridged kernel panic that occurs without this patch is as follows: WARNING: CPU: 0 PID: 687 at kernel/irq/msi.c:292 msi_device_data_release+0x6c/0x9c CPU: 0 UID: 0 PID: 687 Comm: bash Not tainted 6.14.0-rc5+ #2 Call Trace: msi_device_data_release+0x34/0x9c (unreliable) release_nodes+0x64/0x13c devres_release_all+0xc0/0x140 device_del+0x2d4/0x46c pci_destroy_dev+0x5c/0x194 pci_hp_remove_devices+0x90/0x128 pci_hp_remove_devices+0x44/0x128 pnv_php_disable_slot+0x54/0xd4 power_write_file+0xf8/0x18c pci_slot_attr_store+0x40/0x5c sysfs_kf_write+0x64/0x78 kernfs_fop_write_iter+0x1b0/0x290 vfs_write+0x3bc/0x50c ksys_write+0x84/0x140 system_call_exception+0x124/0x230 system_call_vectored_common+0x15c/0x2ec [bhelgaas: tidy comments] Уязвимость компонента pnv_php ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vfio/pds: Fix missing detach_ioas op When CONFIG_IOMMUFD is enabled and a device is bound to the pds_vfio_pci driver, the following WARN_ON() trace is seen and probe fails: WARNING: CPU: 0 PID: 5040 at drivers/vfio/vfio_main.c:317 __vfio_register_dev+0x130/0x140 [vfio] <...> pds_vfio_pci 0000:08:00.1: probe with driver pds_vfio_pci failed with error -22 This is because the driver's vfio_device_ops.detach_ioas isn't set. Fix this by using the generic vfio_iommufd_physical_detach_ioas function. Уязвимость компонента vfio/pds ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to trigger foreground gc during f2fs_map_blocks() in lfs mode w/ "mode=lfs" mount option, generic/299 will cause system panic as below: ------------[ cut here ]------------ kernel BUG at fs/f2fs/segment.c:2835! Call Trace: <TASK> f2fs_allocate_data_block+0x6f4/0xc50 f2fs_map_blocks+0x970/0x1550 f2fs_iomap_begin+0xb2/0x1e0 iomap_iter+0x1d6/0x430 __iomap_dio_rw+0x208/0x9a0 f2fs_file_write_iter+0x6b3/0xfa0 aio_write+0x15d/0x2e0 io_submit_one+0x55e/0xab0 __x64_sys_io_submit+0xa5/0x230 do_syscall_64+0x84/0x2f0 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0010:new_curseg+0x70f/0x720 The root cause of we run out-of-space is: in f2fs_map_blocks(), f2fs may trigger foreground gc only if it allocates any physical block, it will be a little bit later when there is multiple threads writing data w/ aio/dio/bufio method in parallel, since we always use OPU in lfs mode, so f2fs_map_blocks() does block allocations aggressively. In order to fix this issue, let's give a chance to trigger foreground gc in prior to block allocation in f2fs_map_blocks(). [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vdpa/mlx5: Fix release of uninitialized resources on error path The commit in the fixes tag made sure that mlx5_vdpa_free() is the single entrypoint for removing the vdpa device resources added in mlx5_vdpa_dev_add(), even in the cleanup path of mlx5_vdpa_dev_add(). This means that all functions from mlx5_vdpa_free() should be able to handle uninitialized resources. This was not the case though: mlx5_vdpa_destroy_mr_resources() and mlx5_cmd_cleanup_async_ctx() were not able to do so. This caused the splat below when adding a vdpa device without a MAC address. This patch fixes these remaining issues: - Makes mlx5_vdpa_destroy_mr_resources() return early if called on uninitialized resources. - Moves mlx5_cmd_init_async_ctx() early on during device addition because it can't fail. This means that mlx5_cmd_cleanup_async_ctx() also can't fail. To mirror this, move the call site of mlx5_cmd_cleanup_async_ctx() in mlx5_vdpa_free(). An additional comment was added in mlx5_vdpa_free() to document the expectations of functions called from this context. Splat: mlx5_core 0000:b5:03.2: mlx5_vdpa_dev_add:3950:(pid 2306) warning: No mac address provisioned? ------------[ cut here ]------------ WARNING: CPU: 13 PID: 2306 at kernel/workqueue.c:4207 __flush_work+0x9a/0xb0 [...] Call Trace: <TASK> ? __try_to_del_timer_sync+0x61/0x90 ? __timer_delete_sync+0x2b/0x40 mlx5_vdpa_destroy_mr_resources+0x1c/0x40 [mlx5_vdpa] mlx5_vdpa_free+0x45/0x160 [mlx5_vdpa] vdpa_release_dev+0x1e/0x50 [vdpa] device_release+0x31/0x90 kobject_cleanup+0x37/0x130 mlx5_vdpa_dev_add+0x327/0x890 [mlx5_vdpa] vdpa_nl_cmd_dev_add_set_doit+0x2c1/0x4d0 [vdpa] genl_family_rcv_msg_doit+0xd8/0x130 genl_family_rcv_msg+0x14b/0x220 ? __pfx_vdpa_nl_cmd_dev_add_set_doit+0x10/0x10 [vdpa] genl_rcv_msg+0x47/0xa0 ? __pfx_genl_rcv_msg+0x10/0x10 netlink_rcv_skb+0x53/0x100 genl_rcv+0x24/0x40 netlink_unicast+0x27b/0x3b0 netlink_sendmsg+0x1f7/0x430 __sys_sendto+0x1fa/0x210 ? ___pte_offset_map+0x17/0x160 ? next_uptodate_folio+0x85/0x2b0 ? percpu_counter_add_batch+0x51/0x90 ? filemap_map_pages+0x515/0x660 __x64_sys_sendto+0x20/0x30 do_syscall_64+0x7b/0x2c0 ? do_read_fault+0x108/0x220 ? do_pte_missing+0x14a/0x3e0 ? __handle_mm_fault+0x321/0x730 ? count_memcg_events+0x13f/0x180 ? handle_mm_fault+0x1fb/0x2d0 ? do_user_addr_fault+0x20c/0x700 ? syscall_exit_work+0x104/0x140 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f0c25b0feca [...] ---[ end trace 0000000000000000 ]--- Уязвимость компонента vdpa/mlx5 ядра операционной системы Linux связана с освобождением неверного указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: imxfb: Check fb_add_videomode to prevent null-ptr-deref fb_add_videomode() can fail with -ENOMEM when its internal kmalloc() cannot allocate a struct fb_modelist. If that happens, the modelist stays empty but the driver continues to register. Add a check for its return value to prevent poteintial null-ptr-deref, which is similar to the commit 17186f1f90d3 ("fbdev: Fix do_register_framebuffer to prevent null-ptr-deref in fb_videomode_to_var"). Уязвимость компонента imxfb ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clk: imx95-blk-ctl: Fix synchronous abort When enabling runtime PM for clock suppliers that also belong to a power domain, the following crash is thrown: error: synchronous external abort: 0000000096000010 [#1] PREEMPT SMP Workqueue: events_unbound deferred_probe_work_func pstate: 60400009 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : clk_mux_get_parent+0x60/0x90 lr : clk_core_reparent_orphans_nolock+0x58/0xd8 Call trace: clk_mux_get_parent+0x60/0x90 clk_core_reparent_orphans_nolock+0x58/0xd8 of_clk_add_hw_provider.part.0+0x90/0x100 of_clk_add_hw_provider+0x1c/0x38 imx95_bc_probe+0x2e0/0x3f0 platform_probe+0x70/0xd8 Enabling runtime PM without explicitly resuming the device caused the power domain cut off after clk_register() is called. As a result, a crash happens when the clock hardware provider is added and attempts to access the BLK_CTL register. Fix this by using devm_pm_runtime_enable() instead of pm_runtime_enable() and getting rid of the pm_runtime_disable() in the cleanup path. Уязвимость компонента imx95-blk-ctl ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pinmux: fix race causing mux_owner NULL with active mux_usecount commit 5a3e85c3c397 ("pinmux: Use sequential access to access desc->pinmux data") tried to address the issue when two client of the same gpio calls pinctrl_select_state() for the same functionality, was resulting in NULL pointer issue while accessing desc->mux_owner. However, issue was not completely fixed due to the way it was handled and it can still result in the same NULL pointer. The issue occurs due to the following interleaving: cpu0 (process A) cpu1 (process B) pin_request() { pin_free() { mutex_lock() desc->mux_usecount--; //becomes 0 .. mutex_unlock() mutex_lock(desc->mux) desc->mux_usecount++; // becomes 1 desc->mux_owner = owner; mutex_unlock(desc->mux) mutex_lock(desc->mux) desc->mux_owner = NULL; mutex_unlock(desc->mux) This sequence leads to a state where the pin appears to be in use (`mux_usecount == 1`) but has no owner (`mux_owner == NULL`), which can cause NULL pointer on next pin_request on the same pin. Ensure that updates to mux_usecount and mux_owner are performed atomically under the same lock. Only clear mux_owner when mux_usecount reaches zero and no new owner has been assigned. Уязвимость компонента pinmux ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: cpcap-charger: Fix null check for power_supply_get_by_name In the cpcap_usb_detect() function, the power_supply_get_by_name() function may return `NULL` instead of an error pointer. To prevent potential null pointer dereferences, Added a null check. Уязвимость компонента cpcap-charger ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clk: davinci: Add NULL check in davinci_lpsc_clk_register() devm_kasprintf() returns NULL when memory allocation fails. Currently, davinci_lpsc_clk_register() does not check for this case, which results in a NULL pointer dereference. Add NULL check after devm_kasprintf() to prevent this issue and ensuring no resources are left allocated. Уязвимость компонента davinci ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: xt_nfacct: don't assume acct name is null-terminated BUG: KASAN: slab-out-of-bounds in .. lib/vsprintf.c:721 Read of size 1 at addr ffff88801eac95c8 by task syz-executor183/5851 [..] string+0x231/0x2b0 lib/vsprintf.c:721 vsnprintf+0x739/0xf00 lib/vsprintf.c:2874 [..] nfacct_mt_checkentry+0xd2/0xe0 net/netfilter/xt_nfacct.c:41 xt_check_match+0x3d1/0xab0 net/netfilter/x_tables.c:523 nfnl_acct_find_get() handles non-null input, but the error printk relied on its presence. Уязвимость компонента net/netfilter/xt_nfacct.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Disable migration in nf_hook_run_bpf(). syzbot reported that the netfilter bpf prog can be called without migration disabled in xmit path. Then the assertion in __bpf_prog_run() fails, triggering the splat below. [0] Let's use bpf_prog_run_pin_on_cpu() in nf_hook_run_bpf(). [0]: BUG: assuming non migratable context at ./include/linux/filter.h:703 in_atomic(): 0, irqs_disabled(): 0, migration_disabled() 0 pid: 5829, name: sshd-session 3 locks held by sshd-session/5829: #0: ffff88807b4e4218 (sk_lock-AF_INET){+.+.}-{0:0}, at: lock_sock include/net/sock.h:1667 [inline] #0: ffff88807b4e4218 (sk_lock-AF_INET){+.+.}-{0:0}, at: tcp_sendmsg+0x20/0x50 net/ipv4/tcp.c:1395 #1: ffffffff8e5c4e00 (rcu_read_lock){....}-{1:3}, at: rcu_lock_acquire include/linux/rcupdate.h:331 [inline] #1: ffffffff8e5c4e00 (rcu_read_lock){....}-{1:3}, at: rcu_read_lock include/linux/rcupdate.h:841 [inline] #1: ffffffff8e5c4e00 (rcu_read_lock){....}-{1:3}, at: __ip_queue_xmit+0x69/0x26c0 net/ipv4/ip_output.c:470 #2: ffffffff8e5c4e00 (rcu_read_lock){....}-{1:3}, at: rcu_lock_acquire include/linux/rcupdate.h:331 [inline] #2: ffffffff8e5c4e00 (rcu_read_lock){....}-{1:3}, at: rcu_read_lock include/linux/rcupdate.h:841 [inline] #2: ffffffff8e5c4e00 (rcu_read_lock){....}-{1:3}, at: nf_hook+0xb2/0x680 include/linux/netfilter.h:241 CPU: 0 UID: 0 PID: 5829 Comm: sshd-session Not tainted 6.16.0-rc6-syzkaller-00002-g155a3c003e55 #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/07/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x16c/0x1f0 lib/dump_stack.c:120 __cant_migrate kernel/sched/core.c:8860 [inline] __cant_migrate+0x1c7/0x250 kernel/sched/core.c:8834 __bpf_prog_run include/linux/filter.h:703 [inline] bpf_prog_run include/linux/filter.h:725 [inline] nf_hook_run_bpf+0x83/0x1e0 net/netfilter/nf_bpf_link.c:20 nf_hook_entry_hookfn include/linux/netfilter.h:157 [inline] nf_hook_slow+0xbb/0x200 net/netfilter/core.c:623 nf_hook+0x370/0x680 include/linux/netfilter.h:272 NF_HOOK_COND include/linux/netfilter.h:305 [inline] ip_output+0x1bc/0x2a0 net/ipv4/ip_output.c:433 dst_output include/net/dst.h:459 [inline] ip_local_out net/ipv4/ip_output.c:129 [inline] __ip_queue_xmit+0x1d7d/0x26c0 net/ipv4/ip_output.c:527 __tcp_transmit_skb+0x2686/0x3e90 net/ipv4/tcp_output.c:1479 tcp_transmit_skb net/ipv4/tcp_output.c:1497 [inline] tcp_write_xmit+0x1274/0x84e0 net/ipv4/tcp_output.c:2838 __tcp_push_pending_frames+0xaf/0x390 net/ipv4/tcp_output.c:3021 tcp_push+0x225/0x700 net/ipv4/tcp.c:759 tcp_sendmsg_locked+0x1870/0x42b0 net/ipv4/tcp.c:1359 tcp_sendmsg+0x2e/0x50 net/ipv4/tcp.c:1396 inet_sendmsg+0xb9/0x140 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg net/socket.c:727 [inline] sock_write_iter+0x4aa/0x5b0 net/socket.c:1131 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x6c7/0x1150 fs/read_write.c:686 ksys_write+0x1f8/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x4c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fe7d365d407 Code: 48 89 fa 4c 89 df e8 38 aa 00 00 8b 93 08 03 00 00 59 5e 48 83 f8 fc 74 1a 5b c3 0f 1f 84 00 00 00 00 00 48 8b 44 24 10 0f 05 <5b> c3 0f 1f 80 00 00 00 00 83 e2 39 83 fa 08 75 de e8 23 ff ff ff RSP: Уязвимость компонента net/netfilter/nf_bpf_link.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: reject TDLS operations when station is not associated syzbot triggered a WARN in ieee80211_tdls_oper() by sending NL80211_TDLS_ENABLE_LINK immediately after NL80211_CMD_CONNECT, before association completed and without prior TDLS setup. This left internal state like sdata->u.mgd.tdls_peer uninitialized, leading to a WARN_ON() in code paths that assumed it was valid. Reject the operation early if not in station mode or not associated. Уязвимость компонента net/mac80211/tdls.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Check device memory pointer before usage Add a NULL check before accessing device memory to prevent a crash if dev->dm allocation in mlx5_init_once() fails. Уязвимость компонента net/mlx5 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw89: avoid NULL dereference when RX problematic packet on unsupported 6 GHz band With a quite rare chance, RX report might be problematic to make SW think a packet is received on 6 GHz band even if the chip does not support 6 GHz band actually. Since SW won't initialize stuffs for unsupported bands, NULL dereference will happen then in the sequence, rtw89_vif_rx_stats_iter() -> rtw89_core_cancel_6ghz_probe_tx(). So, add a check to avoid it. The following is a crash log for this case. BUG: kernel NULL pointer dereference, address: 0000000000000032 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: 0000 [#1] PREEMPT SMP NOPTI CPU: 1 PID: 1907 Comm: irq/131-rtw89_p Tainted: G U 6.6.56-05896-g89f5fb0eb30b #1 (HASH:1400 4) Hardware name: Google Telith/Telith, BIOS Google_Telith.15217.747.0 11/12/2024 RIP: 0010:rtw89_vif_rx_stats_iter+0xd2/0x310 [rtw89_core] Code: 4c 89 7d c8 48 89 55 c0 49 8d 44 24 02 48 89 45 b8 45 31 ff eb 11 41 c6 45 3a 01 41 b7 01 4d 8b 6d 00 4d 39 f5 74 42 8b 43 10 <41> 33 45 32 0f b7 4b 14 66 41 33 4d 36 0f b7 c9 09 c1 74 d8 4d 85 RSP: 0018:ffff9f3080138ca0 EFLAGS: 00010246 RAX: 00000000b8bf5770 RBX: ffff91b5e8c639c0 RCX: 0000000000000011 RDX: ffff91b582de1be8 RSI: 0000000000000000 RDI: ffff91b5e8c639e6 RBP: ffff9f3080138d00 R08: 0000000000000000 R09: 0000000000000000 R10: ffff91b59de70000 R11: ffffffffc069be50 R12: ffff91b5e8c639e4 R13: 0000000000000000 R14: ffff91b5828020b8 R15: 0000000000000000 FS: 0000000000000000(0000) GS:ffff91b8efa40000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000032 CR3: 00000002bf838000 CR4: 0000000000750ee0 PKRU: 55555554 Call Trace: <IRQ> ? __die_body+0x68/0xb0 ? page_fault_oops+0x379/0x3e0 ? exc_page_fault+0x4f/0xa0 ? asm_exc_page_fault+0x22/0x30 ? __pfx_rtw89_vif_rx_stats_iter+0x10/0x10 [rtw89_core (HASH:1400 5)] ? rtw89_vif_rx_stats_iter+0xd2/0x310 [rtw89_core (HASH:1400 5)] __iterate_interfaces+0x59/0x110 [mac80211 (HASH:1400 6)] ? __pfx_rtw89_vif_rx_stats_iter+0x10/0x10 [rtw89_core (HASH:1400 5)] ? __pfx_rtw89_vif_rx_stats_iter+0x10/0x10 [rtw89_core (HASH:1400 5)] ieee80211_iterate_active_interfaces_atomic+0x36/0x50 [mac80211 (HASH:1400 6)] rtw89_core_rx_to_mac80211+0xfd/0x1b0 [rtw89_core (HASH:1400 5)] rtw89_core_rx+0x43a/0x980 [rtw89_core (HASH:1400 5)] Уязвимость компонента rtw89 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: stm32: Check for cfg availability in stm32_spi_probe The stm32_spi_probe function now includes a check to ensure that the pointer returned by of_device_get_match_data is not NULL before accessing its members. This resolves a warning where a potential NULL pointer dereference could occur when accessing cfg->has_device_mode. Before accessing the 'has_device_mode' member, we verify that 'cfg' is not NULL. If 'cfg' is NULL, an error message is logged. This change ensures that the driver does not attempt to access configuration data if it is not available, thus preventing a potential system crash due to a NULL pointer dereference. Уязвимость компонента stm32 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfsplus: remove mutex_lock check in hfsplus_free_extents Syzbot reported an issue in hfsplus filesystem: ------------[ cut here ]------------ WARNING: CPU: 0 PID: 4400 at fs/hfsplus/extents.c:346 hfsplus_free_extents+0x700/0xad0 Call Trace: <TASK> hfsplus_file_truncate+0x768/0xbb0 fs/hfsplus/extents.c:606 hfsplus_write_begin+0xc2/0xd0 fs/hfsplus/inode.c:56 cont_expand_zero fs/buffer.c:2383 [inline] cont_write_begin+0x2cf/0x860 fs/buffer.c:2446 hfsplus_write_begin+0x86/0xd0 fs/hfsplus/inode.c:52 generic_cont_expand_simple+0x151/0x250 fs/buffer.c:2347 hfsplus_setattr+0x168/0x280 fs/hfsplus/inode.c:263 notify_change+0xe38/0x10f0 fs/attr.c:420 do_truncate+0x1fb/0x2e0 fs/open.c:65 do_sys_ftruncate+0x2eb/0x380 fs/open.c:193 do_syscall_x64 arch/x86/entry/common.c:50 [inline] do_syscall_64+0x3d/0xb0 arch/x86/entry/common.c:80 entry_SYSCALL_64_after_hwframe+0x63/0xcd To avoid deadlock, Commit 31651c607151 ("hfsplus: avoid deadlock on file truncation") unlock extree before hfsplus_free_extents(), and add check wheather extree is locked in hfsplus_free_extents(). However, when operations such as hfsplus_file_release, hfsplus_setattr, hfsplus_unlink, and hfsplus_get_block are executed concurrently in different files, it is very likely to trigger the WARN_ON, which will lead syzbot and xfstest to consider it as an abnormality. The comment above this warning also describes one of the easy triggering situations, which can easily trigger and cause xfstest&syzbot to report errors. [task A] [task B] ->hfsplus_file_release ->hfsplus_file_truncate ->hfs_find_init ->mutex_lock ->mutex_unlock ->hfsplus_write_begin ->hfsplus_get_block ->hfsplus_file_extend ->hfsplus_ext_read_extent ->hfs_find_init ->mutex_lock ->hfsplus_free_extents WARN_ON(mutex_is_locked) !!! Several threads could try to lock the shared extents tree. And warning can be triggered in one thread when another thread has locked the tree. This is the wrong behavior of the code and we need to remove the warning. Уязвимость компонента fs/hfsplus/extents.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid out-of-boundary access in devs.path - touch /mnt/f2fs/012345678901234567890123456789012345678901234567890123 - truncate -s $((1024*1024*1024)) \ /mnt/f2fs/012345678901234567890123456789012345678901234567890123 - touch /mnt/f2fs/file - truncate -s $((1024*1024*1024)) /mnt/f2fs/file - mkfs.f2fs /mnt/f2fs/012345678901234567890123456789012345678901234567890123 \ -c /mnt/f2fs/file - mount /mnt/f2fs/012345678901234567890123456789012345678901234567890123 \ /mnt/f2fs/loop [16937.192225] F2FS-fs (loop0): Mount Device [ 0]: /mnt/f2fs/012345678901234567890123456789012345678901234567890123\xff\x01, 511, 0 - 3ffff [16937.192268] F2FS-fs (loop0): Failed to find devices If device path length equals to MAX_PATH_LEN, sbi->devs.path[] may not end up w/ null character due to path array is fully filled, So accidently, fields locate after path[] may be treated as part of device path, result in parsing wrong device path. struct f2fs_dev_info { ... char path[MAX_PATH_LEN]; ... }; Let's add one byte space for sbi->devs.path[] to store null character of device path string. Уязвимость компонента fs/f2fs/f2fs.h ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:H', score=7.3) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: proc: use the same treatment to check proc_lseek as ones for proc_read_iter et.al Check pde->proc_ops->proc_lseek directly may cause UAF in rmmod scenario. It's a gap in proc_reg_open() after commit 654b33ada4ab("proc: fix UAF in proc_get_inode()"). Followed by AI Viro's suggestion, fix it in same manner. Уязвимость компонента proc ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gfs2: No more self recovery When a node withdraws and it turns out that it is the only node that has the filesystem mounted, gfs2 currently tries to replay the local journal to bring the filesystem back into a consistent state. Not only is that a very bad idea, it has also never worked because gfs2_recover_func() will refuse to do anything during a withdraw. However, before even getting to this point, gfs2_recover_func() dereferences sdp->sd_jdesc->jd_inode. This was a use-after-free before commit 04133b607a78 ("gfs2: Prevent double iput for journal on error") and is a NULL pointer dereference since then. Simply get rid of self recovery to fix that. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: [ceph] parse_longname(): strrchr() expects NUL-terminated string ... and parse_longname() is not guaranteed that. That's the reason why it uses kmemdup_nul() to build the argument for kstrtou64(); the problem is, kstrtou64() is not the only thing that need it. Just get a NUL-terminated copy of the entire thing and be done with that... Уязвимость компонента fs/ceph/crypto.c ядра операционной системы Linux связана с неправильным null-прекращением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: mediatek: mt8365-dai-i2s: pass correct size to mt8365_dai_set_priv Given mt8365_dai_set_priv allocate priv_size space to copy priv_data which means we should pass mt8365_i2s_priv[i] or "struct mtk_afe_i2s_priv" instead of afe_priv which has the size of "struct mt8365_afe_private". Otherwise the KASAN complains about. [ 59.389765] BUG: KASAN: global-out-of-bounds in mt8365_dai_set_priv+0xc8/0x168 [snd_soc_mt8365_pcm] ... [ 59.394789] Call trace: [ 59.395167] dump_backtrace+0xa0/0x128 [ 59.395733] show_stack+0x20/0x38 [ 59.396238] dump_stack_lvl+0xe8/0x148 [ 59.396806] print_report+0x37c/0x5e0 [ 59.397358] kasan_report+0xac/0xf8 [ 59.397885] kasan_check_range+0xe8/0x190 [ 59.398485] asan_memcpy+0x3c/0x98 [ 59.399022] mt8365_dai_set_priv+0xc8/0x168 [snd_soc_mt8365_pcm] [ 59.399928] mt8365_dai_i2s_register+0x1e8/0x2b0 [snd_soc_mt8365_pcm] [ 59.400893] mt8365_afe_pcm_dev_probe+0x4d0/0xdf0 [snd_soc_mt8365_pcm] [ 59.401873] platform_probe+0xcc/0x228 [ 59.402442] really_probe+0x340/0x9e8 [ 59.402992] driver_probe_device+0x16c/0x3f8 [ 59.403638] driver_probe_device+0x64/0x1d8 [ 59.404256] driver_attach+0x1dc/0x4c8 [ 59.404840] bus_for_each_dev+0x100/0x190 [ 59.405442] driver_attach+0x44/0x68 [ 59.405980] bus_add_driver+0x23c/0x500 [ 59.406550] driver_register+0xf8/0x3d0 [ 59.407122] platform_driver_register+0x68/0x98 [ 59.407810] mt8365_afe_pcm_driver_init+0x2c/0xff8 [snd_soc_mt8365_pcm] Уязвимость компонента mediatek ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nilfs2: reject invalid file types when reading inodes To prevent inodes with invalid file types from tripping through the vfs and causing malfunctions or assertion failures, add a missing sanity check when reading an inode from a block device. If the file type is not valid, treat it as a filesystem error. Уязвимость ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ice: Fix a null pointer dereference in ice_copy_and_init_pkg() Add check for the return value of devm_kmemdup() to prevent potential null pointer dereference. Уязвимость компонента ice/ice_ddp.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: netlink: can_changelink(): fix NULL pointer deref of struct can_priv::do_set_mode Andrei Lalaev reported a NULL pointer deref when a CAN device is restarted from Bus Off and the driver does not implement the struct can_priv::do_set_mode callback. There are 2 code path that call struct can_priv::do_set_mode: - directly by a manual restart from the user space, via can_changelink() - delayed automatic restart after bus off (deactivated by default) To prevent the NULL pointer deference, refuse a manual restart or configure the automatic restart delay in can_changelink() and report the error via extack to user space. As an additional safety measure let can_restart() return an error if can_priv::do_set_mode is not set instead of dereferencing it unchecked. Уязвимость компонента netlink ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: appletalk: Fix use-after-free in AARP proxy probe The AARP proxy‐probe routine (aarp_proxy_probe_network) sends a probe, releases the aarp_lock, sleeps, then re-acquires the lock. During that window an expire timer thread (__aarp_expire_timer) can remove and kfree() the same entry, leading to a use-after-free. race condition: cpu 0 | cpu 1 atalk_sendmsg() | atif_proxy_probe_device() aarp_send_ddp() | aarp_proxy_probe_network() mod_timer() | lock(aarp_lock) // LOCK!! timeout around 200ms | alloc(aarp_entry) and then call | proxies[hash] = aarp_entry aarp_expire_timeout() | aarp_send_probe() | unlock(aarp_lock) // UNLOCK!! lock(aarp_lock) // LOCK!! | msleep(100); __aarp_expire_timer(&proxies[ct]) | free(aarp_entry) | unlock(aarp_lock) // UNLOCK!! | | lock(aarp_lock) // LOCK!! | UAF aarp_entry !! ================================================================== BUG: KASAN: slab-use-after-free in aarp_proxy_probe_network+0x560/0x630 net/appletalk/aarp.c:493 Read of size 4 at addr ffff8880123aa360 by task repro/13278 CPU: 3 UID: 0 PID: 13278 Comm: repro Not tainted 6.15.2 #3 PREEMPT(full) Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1b0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:408 [inline] print_report+0xc1/0x630 mm/kasan/report.c:521 kasan_report+0xca/0x100 mm/kasan/report.c:634 aarp_proxy_probe_network+0x560/0x630 net/appletalk/aarp.c:493 atif_proxy_probe_device net/appletalk/ddp.c:332 [inline] atif_ioctl+0xb58/0x16c0 net/appletalk/ddp.c:857 atalk_ioctl+0x198/0x2f0 net/appletalk/ddp.c:1818 sock_do_ioctl+0xdc/0x260 net/socket.c:1190 sock_ioctl+0x239/0x6a0 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl fs/ioctl.c:892 [inline] __x64_sys_ioctl+0x194/0x200 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcb/0x250 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> Allocated: aarp_alloc net/appletalk/aarp.c:382 [inline] aarp_proxy_probe_network+0xd8/0x630 net/appletalk/aarp.c:468 atif_proxy_probe_device net/appletalk/ddp.c:332 [inline] atif_ioctl+0xb58/0x16c0 net/appletalk/ddp.c:857 atalk_ioctl+0x198/0x2f0 net/appletalk/ddp.c:1818 Freed: kfree+0x148/0x4d0 mm/slub.c:4841 __aarp_expire net/appletalk/aarp.c:90 [inline] __aarp_expire_timer net/appletalk/aarp.c:261 [inline] aarp_expire_timeout+0x480/0x6e0 net/appletalk/aarp.c:317 The buggy address belongs to the object at ffff8880123aa300 which belongs to the cache kmalloc-192 of size 192 The buggy address is located 96 bytes inside of freed 192-byte region [ffff8880123aa300, ffff8880123aa3c0) Memory state around the buggy address: ffff8880123aa200: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ffff8880123aa280: 00 00 00 00 fc fc fc fc fc fc fc fc fc fc fc fc >ffff8880123aa300: fa fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ^ ffff8880123aa380: fb fb fb fb fb fb fb fb fc fc fc fc fc fc fc fc ffff8880123aa400: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ================================================================== Уязвимость компонента net/appletalk/aarp.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: regulator: core: fix NULL dereference on unbind due to stale coupling data Failing to reset coupling_desc.n_coupled after freeing coupled_rdevs can lead to NULL pointer dereference when regulators are accessed post-unbind. This can happen during runtime PM or other regulator operations that rely on coupling metadata. For example, on ridesx4, unbinding the 'reg-dummy' platform device triggers a panic in regulator_lock_recursive() due to stale coupling state. Ensure n_coupled is set to 0 to prevent access to invalid pointers. Уязвимость компонента drivers/regulator/core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arm64/entry: Mask DAIF in cpu_switch_to(), call_on_irq_stack() `cpu_switch_to()` and `call_on_irq_stack()` manipulate SP to change to different stacks along with the Shadow Call Stack if it is enabled. Those two stack changes cannot be done atomically and both functions can be interrupted by SErrors or Debug Exceptions which, though unlikely, is very much broken : if interrupted, we can end up with mismatched stacks and Shadow Call Stack leading to clobbered stacks. In `cpu_switch_to()`, it can happen when SP_EL0 points to the new task, but x18 stills points to the old task's SCS. When the interrupt handler tries to save the task's SCS pointer, it will save the old task SCS pointer (x18) into the new task struct (pointed to by SP_EL0), clobbering it. In `call_on_irq_stack()`, it can happen when switching from the task stack to the IRQ stack and when switching back. In both cases, we can be interrupted when the SCS pointer points to the IRQ SCS, but SP points to the task stack. The nested interrupt handler pushes its return addresses on the IRQ SCS. It then detects that SP points to the task stack, calls `call_on_irq_stack()` and clobbers the task SCS pointer with the IRQ SCS pointer, which it will also use ! This leads to tasks returning to addresses on the wrong SCS, or even on the IRQ SCS, triggering kernel panics via CONFIG_VMAP_STACK or FPAC if enabled. This is possible on a default config, but unlikely. However, when enabling CONFIG_ARM64_PSEUDO_NMI, DAIF is unmasked and instead the GIC is responsible for filtering what interrupts the CPU should receive based on priority. Given the goal of emulating NMIs, pseudo-NMIs can be received by the CPU even in `cpu_switch_to()` and `call_on_irq_stack()`, possibly *very* frequently depending on the system configuration and workload, leading to unpredictable kernel panics. Completely mask DAIF in `cpu_switch_to()` and restore it when returning. Do the same in `call_on_irq_stack()`, but restore and mask around the branch. Mask DAIF even if CONFIG_SHADOW_CALL_STACK is not enabled for consistency of behaviour between all configurations. Introduce and use an assembly macro for saving and masking DAIF, as the existing one saves but only masks IF. Уязвимость компонента arm64/entry ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i2c: qup: jump out of the loop in case of timeout Original logic only sets the return value but doesn't jump out of the loop if the bus is kept active by a client. This is not expected. A malicious or buggy i2c client can hang the kernel in this case and should be avoided. This is observed during a long time test with a PCA953x GPIO extender. Fix it by changing the logic to not only sets the return value, but also jumps out of the loop and return to the caller with -ETIMEDOUT. Уязвимость компонента drivers/i2c/busses/i2c-qup.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: state: initialize state_ptrs earlier in xfrm_state_find In case of preemption, xfrm_state_look_at will find a different pcpu_id and look up states for that other CPU. If we matched a state for CPU2 in the state_cache while the lookup started on CPU1, we will jump to "found", but the "best" state that we got will be ignored and we will enter the "acquire" block. This block uses state_ptrs, which isn't initialized at this point. Let's initialize state_ptrs just after taking rcu_read_lock. This will also prevent a possible misuse in the future, if someone adjusts this function. Уязвимость компонента net/xfrm/xfrm_state.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/amd: Avoid stack buffer overflow from kernel cmdline While the kernel command line is considered trusted in most environments, avoid writing 1 byte past the end of "acpiid" if the "str" argument is maximum length. Уязвимость компонента drivers/iommu/amd/init.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid out-of-boundary access in dnode page As Jiaming Zhang reported: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x1c1/0x2a0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x17e/0x800 mm/kasan/report.c:480 kasan_report+0x147/0x180 mm/kasan/report.c:593 data_blkaddr fs/f2fs/f2fs.h:3053 [inline] f2fs_data_blkaddr fs/f2fs/f2fs.h:3058 [inline] f2fs_get_dnode_of_data+0x1a09/0x1c40 fs/f2fs/node.c:855 f2fs_reserve_block+0x53/0x310 fs/f2fs/data.c:1195 prepare_write_begin fs/f2fs/data.c:3395 [inline] f2fs_write_begin+0xf39/0x2190 fs/f2fs/data.c:3594 generic_perform_write+0x2c7/0x910 mm/filemap.c:4112 f2fs_buffered_write_iter fs/f2fs/file.c:4988 [inline] f2fs_file_write_iter+0x1ec8/0x2410 fs/f2fs/file.c:5216 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x546/0xa90 fs/read_write.c:686 ksys_write+0x149/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xf3/0x3d0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f The root cause is in the corrupted image, there is a dnode has the same node id w/ its inode, so during f2fs_get_dnode_of_data(), it tries to access block address in dnode at offset 934, however it parses the dnode as inode node, so that get_dnode_addr() returns 360, then it tries to access page address from 360 + 934 * 4 = 4096 w/ 4 bytes. To fix this issue, let's add sanity check for node id of all direct nodes during f2fs_get_dnode_of_data(). Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании с помощью искажённого файла изображения [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: reject duplicate device on updates A chain/flowtable update with duplicated devices in the same batch is possible. Unfortunately, netdev event path only removes the first device that is found, leaving unregistered the hook of the duplicated device. Check if a duplicated device exists in the transaction batch, bail out with EEXIST in such case. WARNING is hit when unregistering the hook: [49042.221275] WARNING: CPU: 4 PID: 8425 at net/netfilter/core.c:340 nf_hook_entry_head+0xaa/0x150 [49042.221375] CPU: 4 UID: 0 PID: 8425 Comm: nft Tainted: G S 6.16.0+ #170 PREEMPT(full) [...] [49042.221382] RIP: 0010:nf_hook_entry_head+0xaa/0x150 Уязвимость функции nf_tables_updchain компонента net/netfilter/nf_tables_api.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nf_tables.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_tables в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_tables ``` или ``` kmod list | grep nf_tables ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_tables ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install nf_tables /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: venus: Fix OOB read due to missing payload bound check Currently, The event_seq_changed() handler processes a variable number of properties sent by the firmware. The number of properties is indicated by the firmware and used to iterate over the payload. However, the payload size is not being validated against the actual message length. This can lead to out-of-bounds memory access if the firmware provides a property count that exceeds the data available in the payload. Such a condition can result in kernel crashes or potential information leaks if memory beyond the buffer is accessed. Fix this by properly validating the remaining size of the payload before each property access and updating bounds accordingly as properties are parsed. This ensures that property parsing is safely bounded within the received message buffer and protects against malformed or malicious firmware behavior. Уязвимость компонента venus ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: uvcvideo: Fix 1-byte out-of-bounds read in uvc_parse_format() The buffer length check before calling uvc_parse_format() only ensured that the buffer has at least 3 bytes (buflen > 2), buf the function accesses buffer[3], requiring at least 4 bytes. This can lead to an out-of-bounds read if the buffer has exactly 3 bytes. Fix it by checking that the buffer has at least 4 bytes in uvc_parse_format(). Уязвимость компонента uvcvideo ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/ptdump: take the memory hotplug lock inside ptdump_walk_pgd() Memory hot remove unmaps and tears down various kernel page table regions as required. The ptdump code can race with concurrent modifications of the kernel page tables. When leaf entries are modified concurrently, the dump code may log stale or inconsistent information for a VA range, but this is otherwise not harmful. But when intermediate levels of kernel page table are freed, the dump code will continue to use memory that has been freed and potentially reallocated for another purpose. In such cases, the ptdump code may dereference bogus addresses, leading to a number of potential problems. To avoid the above mentioned race condition, platforms such as arm64, riscv and s390 take memory hotplug lock, while dumping kernel page table via the sysfs interface /sys/kernel/debug/kernel_page_tables. Similar race condition exists while checking for pages that might have been marked W+X via /sys/kernel/debug/kernel_page_tables/check_wx_pages which in turn calls ptdump_check_wx(). Instead of solving this race condition again, let's just move the memory hotplug lock inside generic ptdump_check_wx() which will benefit both the scenarios. Drop get_online_mems() and put_online_mems() combination from all existing platform ptdump code paths. Уязвимость компонента mm/ptdump ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hv_netvsc: Fix panic during namespace deletion with VF The existing code move the VF NIC to new namespace when NETDEV_REGISTER is received on netvsc NIC. During deletion of the namespace, default_device_exit_batch() >> default_device_exit_net() is called. When netvsc NIC is moved back and registered to the default namespace, it automatically brings VF NIC back to the default namespace. This will cause the default_device_exit_net() >> for_each_netdev_safe loop unable to detect the list end, and hit NULL ptr: [ 231.449420] mana 7870:00:00.0 enP30832s1: Moved VF to namespace with: eth0 [ 231.449656] BUG: kernel NULL pointer dereference, address: 0000000000000010 [ 231.450246] #PF: supervisor read access in kernel mode [ 231.450579] #PF: error_code(0x0000) - not-present page [ 231.450916] PGD 17b8a8067 P4D 0 [ 231.451163] Oops: Oops: 0000 [#1] SMP NOPTI [ 231.451450] CPU: 82 UID: 0 PID: 1394 Comm: kworker/u768:1 Not tainted 6.16.0-rc4+ #3 VOLUNTARY [ 231.452042] Hardware name: Microsoft Corporation Virtual Machine/Virtual Machine, BIOS Hyper-V UEFI Release v4.1 11/21/2024 [ 231.452692] Workqueue: netns cleanup_net [ 231.452947] RIP: 0010:default_device_exit_batch+0x16c/0x3f0 [ 231.453326] Code: c0 0c f5 b3 e8 d5 db fe ff 48 85 c0 74 15 48 c7 c2 f8 fd ca b2 be 10 00 00 00 48 8d 7d c0 e8 7b 77 25 00 49 8b 86 28 01 00 00 <48> 8b 50 10 4c 8b 2a 4c 8d 62 f0 49 83 ed 10 4c 39 e0 0f 84 d6 00 [ 231.454294] RSP: 0018:ff75fc7c9bf9fd00 EFLAGS: 00010246 [ 231.454610] RAX: 0000000000000000 RBX: 0000000000000002 RCX: 61c8864680b583eb [ 231.455094] RDX: ff1fa9f71462d800 RSI: ff75fc7c9bf9fd38 RDI: 0000000030766564 [ 231.455686] RBP: ff75fc7c9bf9fd78 R08: 0000000000000000 R09: 0000000000000000 [ 231.456126] R10: 0000000000000001 R11: 0000000000000004 R12: ff1fa9f70088e340 [ 231.456621] R13: ff1fa9f70088e340 R14: ffffffffb3f50c20 R15: ff1fa9f7103e6340 [ 231.457161] FS: 0000000000000000(0000) GS:ff1faa6783a08000(0000) knlGS:0000000000000000 [ 231.457707] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 231.458031] CR2: 0000000000000010 CR3: 0000000179ab2006 CR4: 0000000000b73ef0 [ 231.458434] Call Trace: [ 231.458600] <TASK> [ 231.458777] ops_undo_list+0x100/0x220 [ 231.459015] cleanup_net+0x1b8/0x300 [ 231.459285] process_one_work+0x184/0x340 To fix it, move the ns change to a workqueue, and take rtnl_lock to avoid changing the netdev list when default_device_exit_net() is using it. Уязвимость компонента hv_netvsc ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: ets: use old 'nbands' while purging unused classes Shuang reported sch_ets test-case [1] crashing in ets_class_qlen_notify() after recent changes from Lion [2]. The problem is: in ets_qdisc_change() we purge unused DWRR queues; the value of 'q->nbands' is the new one, and the cleanup should be done with the old one. The problem is here since my first attempts to fix ets_qdisc_change(), but it surfaced again after the recent qdisc len accounting fixes. Fix it purging idle DWRR queues before assigning a new value of 'q->nbands', so that all purge operations find a consistent configuration: - old 'q->nbands' because it's needed by ets_class_find() - old 'q->nstrict' because it's needed by ets_class_is_strict() BUG: kernel NULL pointer dereference, address: 0000000000000000 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 62 UID: 0 PID: 39457 Comm: tc Kdump: loaded Not tainted 6.12.0-116.el10.x86_64 #1 PREEMPT(voluntary) Hardware name: Dell Inc. PowerEdge R640/06DKY5, BIOS 2.12.2 07/09/2021 RIP: 0010:__list_del_entry_valid_or_report+0x4/0x80 Code: ff 4c 39 c7 0f 84 39 19 8e ff b8 01 00 00 00 c3 cc cc cc cc 66 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 f3 0f 1e fa <48> 8b 17 48 8b 4f 08 48 85 d2 0f 84 56 19 8e ff 48 85 c9 0f 84 ab RSP: 0018:ffffba186009f400 EFLAGS: 00010202 RAX: 00000000000000d6 RBX: 0000000000000000 RCX: 0000000000000004 RDX: ffff9f0fa29b69c0 RSI: 0000000000000000 RDI: 0000000000000000 RBP: ffffffffc12c2400 R08: 0000000000000008 R09: 0000000000000004 R10: ffffffffffffffff R11: 0000000000000004 R12: 0000000000000000 R13: ffff9f0f8cfe0000 R14: 0000000000100005 R15: 0000000000000000 FS: 00007f2154f37480(0000) GS:ffff9f269c1c0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 00000001530be001 CR4: 00000000007726f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ets_class_qlen_notify+0x65/0x90 [sch_ets] qdisc_tree_reduce_backlog+0x74/0x110 ets_qdisc_change+0x630/0xa40 [sch_ets] __tc_modify_qdisc.constprop.0+0x216/0x7f0 tc_modify_qdisc+0x7c/0x120 rtnetlink_rcv_msg+0x145/0x3f0 netlink_rcv_skb+0x53/0x100 netlink_unicast+0x245/0x390 netlink_sendmsg+0x21b/0x470 ____sys_sendmsg+0x39d/0x3d0 ___sys_sendmsg+0x9a/0xe0 __sys_sendmsg+0x7a/0xd0 do_syscall_64+0x7d/0x160 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f2155114084 Code: 89 02 b8 ff ff ff ff eb bb 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 00 f3 0f 1e fa 80 3d 25 f0 0c 00 00 74 13 b8 2e 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 54 c3 0f 1f 00 48 83 ec 28 89 54 24 1c 48 89 RSP: 002b:00007fff1fd7a988 EFLAGS: 00000202 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 0000560ec063e5e0 RCX: 00007f2155114084 RDX: 0000000000000000 RSI: 00007fff1fd7a9f0 RDI: 0000000000000003 RBP: 00007fff1fd7aa60 R08: 0000000000000010 R09: 000000000000003f R10: 0000560ee9b3a010 R11: 0000000000000202 R12: 00007fff1fd7aae0 R13: 000000006891ccde R14: 0000560ec063e5e0 R15: 00007fff1fd7aad0 </TASK> [1] https://lore.kernel.org/netdev/e08c7f4a6882f260011909a868311c6e9b54f3e4.1639153474.git.dcaratti@redhat.com/ [2] https://lore.kernel.org/netdev/d912cbd7-193b-4269-9857-525bee8bbb6a@gmail.com/ Уязвимость компонента net/sched ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: Fix vmalloc out-of-bounds write in fast_imageblit This issue triggers when a userspace program does an ioctl FBIOPUT_CON2FBMAP by passing console number and frame buffer number. Ideally this maps console to frame buffer and updates the screen if console is visible. As part of mapping it has to do resize of console according to frame buffer info. if this resize fails and returns from vc_do_resize() and continues further. At this point console and new frame buffer are mapped and sets display vars. Despite failure still it continue to proceed updating the screen at later stages where vc_data is related to previous frame buffer and frame buffer info and display vars are mapped to new frame buffer and eventully leading to out-of-bounds write in fast_imageblit(). This bheviour is excepted only when fg_console is equal to requested console which is a visible console and updates screen with invalid struct references in fbcon_putcs(). Уязвимость компонента fbdev ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: userfaultfd: fix a crash in UFFDIO_MOVE when PMD is a migration entry When UFFDIO_MOVE encounters a migration PMD entry, it proceeds with obtaining a folio and accessing it even though the entry is swp_entry_t. Add the missing check and let split_huge_pmd() handle migration entries. While at it also remove unnecessary folio check. [surenb@google.com: remove extra folio check, per David] Уязвимость компонента mm/userfaultfd.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: fix race between polling and detaching syzbot reports a use-after-free in comedi in the below link, which is due to comedi gladly removing the allocated async area even though poll requests are still active on the wait_queue_head inside of it. This can cause a use-after-free when the poll entries are later triggered or removed, as the memory for the wait_queue_head has been freed. We need to check there are no tasks queued on any of the subdevices' wait queues before allowing the device to be detached by the `COMEDI_DEVCONFIG` ioctl. Tasks will read-lock `dev->attach_lock` before adding themselves to the subdevice wait queue, so fix the problem in the `COMEDI_DEVCONFIG` ioctl handler by write-locking `dev->attach_lock` before checking that all of the subdevices are safe to be deleted. This includes testing for any sleepers on the subdevices' wait queues. It remains locked until the device has been detached. This requires the `comedi_device_detach()` function to be refactored slightly, moving the bulk of it into new function `comedi_device_detach_locked()`. Note that the refactor of `comedi_device_detach()` results in `comedi_device_cancel_all()` now being called while `dev->attach_lock` is write-locked, which wasn't the case previously, but that does not matter. Thanks to Jens Axboe for diagnosing the problem and co-developing this patch. Уязвимость компонента comedi/comedi_fops.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommufd: Prevent ALIGN() overflow When allocating IOVA the candidate range gets aligned to the target alignment. If the range is close to ULONG_MAX then the ALIGN() can wrap resulting in a corrupted iova. Open code the ALIGN() using get_add_overflow() to prevent this. This simplifies the checks as we don't need to check for length earlier either. Consolidate the two copies of this code under a single helper. This bug would allow userspace to create a mapping that overlaps with some other mapping or a reserved range. Уязвимость компонента iommu/iommufd/io_pagetable.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pNFS: Fix uninited ptr deref in block/scsi layout The error occurs on the third attempt to encode extents. When function ext_tree_prepare_commit() reallocates a larger buffer to retry encoding extents, the "layoutupdate_pages" page array is initialized only after the retry loop. But ext_tree_free_commitdata() is called on every iteration and tries to put pages in the array, thus dereferencing uninitialized pointers. An additional problem is that there is no limit on the maximum possible buffer_size. When there are too many extents, the client may create a layoutcommit that is larger than the maximum possible RPC size accepted by the server. During testing, we observed two typical scenarios. First, one memory page for extents is enough when we work with small files, append data to the end of the file, or preallocate extents before writing. But when we fill a new large file without preallocating, the number of extents can be huge, and counting the number of written extents in ext_tree_encode_commit() does not help much. Since this number increases even more between unlocking and locking of ext_tree, the reallocated buffer may not be large enough again and again. Уязвимость компонента blocklayout/extent_tree.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: exfat: add cluster chain loop check for dir An infinite loop may occur if the following conditions occur due to file system corruption. (1) Condition for exfat_count_dir_entries() to loop infinitely. - The cluster chain includes a loop. - There is no UNUSED entry in the cluster chain. (2) Condition for exfat_create_upcase_table() to loop infinitely. - The cluster chain of the root directory includes a loop. - There are no UNUSED entry and up-case table entry in the cluster chain of the root directory. (3) Condition for exfat_load_bitmap() to loop infinitely. - The cluster chain of the root directory includes a loop. - There are no UNUSED entry and bitmap entry in the cluster chain of the root directory. (4) Condition for exfat_find_dir_entry() to loop infinitely. - The cluster chain includes a loop. - The unused directory entries were exhausted by some operation. (5) Condition for exfat_check_dir_empty() to loop infinitely. - The cluster chain includes a loop. - The unused directory entries were exhausted by some operation. - All files and sub-directories under the directory are deleted. This commit adds checks to break the above infinite loop. [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: dvb-frontends: w7090p: fix null-ptr-deref in w7090p_tuner_write_serpar and w7090p_tuner_read_serpar In w7090p_tuner_write_serpar, msg is controlled by user. When msg[0].buf is null and msg[0].len is zero, former checks on msg[0].buf would be passed. If accessing msg[0].buf[2] without sanity check, null pointer deref would happen. We add check on msg[0].len to prevent crash. Similar commit: commit 0ed554fd769a ("media: dvb-usb: az6027: fix null-ptr-deref in az6027_i2c_xfer()") Уязвимость компонента media ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: dvb-frontends: dib7090p: fix null-ptr-deref in dib7090p_rw_on_apb() In dib7090p_rw_on_apb, msg is controlled by user. When msg[0].buf is null and msg[0].len is zero, former checks on msg[0].buf would be passed. If accessing msg[0].buf[2] without sanity check, null pointer deref would happen. We add check on msg[0].len to prevent crash. Similar issue occurs when access msg[1].buf[0] and msg[1].buf[1]. Similar commit: commit 0ed554fd769a ("media: dvb-usb: az6027: fix null-ptr-deref in az6027_i2c_xfer()") Уязвимость компонента media/dvb-frontends/dib7000p.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Check for hdwq null ptr when cleaning up lpfc_vport structure If a call to lpfc_sli4_read_rev() from lpfc_sli4_hba_setup() fails, the resultant cleanup routine lpfc_sli4_vport_delete_fcp_xri_aborted() may occur before sli4_hba.hdwqs are allocated. This may result in a null pointer dereference when attempting to take the abts_io_buf_list_lock for the first hardware queue. Fix by adding a null ptr check on phba->sli4_hba.hdwq and early return because this situation means there must have been an error during port initialization. Уязвимость компонента lpfc/lpfc_scsi.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: MIPS: Don't crash in stack_top() for tasks without ABI or vDSO Not all tasks have an ABI associated or vDSO mapped, for example kthreads never do. If such a task ever ends up calling stack_top(), it will derefence the NULL ABI pointer and crash. This can for example happen when using kunit: mips_stack_top+0x28/0xc0 arch_pick_mmap_layout+0x190/0x220 kunit_vm_mmap_init+0xf8/0x138 __kunit_add_resource+0x40/0xa8 kunit_vm_mmap+0x88/0xd8 usercopy_test_init+0xb8/0x240 kunit_try_run_case+0x5c/0x1a8 kunit_generic_run_threadfn_adapter+0x28/0x50 kthread+0x118/0x240 ret_from_kernel_thread+0x14/0x1c Only dereference the ABI point if it is set. The GIC page is also included as it is specific to the vDSO. Also move the randomization adjustment into the same conditional. Уязвимость компонента mips/kernel/process.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jfs: upper bound check of tree index in dbAllocAG When computing the tree index in dbAllocAG, we never check if we are out of bounds realative to the size of the stree. This could happen in a scenario where the filesystem metadata are corrupted. Уязвимость компонента jfs/jfs_dmap.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jfs: Regular file corruption check The reproducer builds a corrupted file on disk with a negative i_size value. Add a check when opening this file to avoid subsequent operation failures. Уязвимость компонента jfs/file.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля jfs.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль jfs в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep jfs ``` или ``` kmod list | grep jfs ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod jfs ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install jfs /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: bfa: Double-free fix When the bfad_im_probe() function fails during initialization, the memory pointed to by bfad->im is freed without setting bfad->im to NULL. Subsequently, during driver uninstallation, when the state machine enters the bfad_sm_stopping state and calls the bfad_im_probe_undo() function, it attempts to free the memory pointed to by bfad->im again, thereby triggering a double-free vulnerability. Set bfad->im to NULL if probing fails. Уязвимость компонента scsi/bfa/bfad_im.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: libiscsi: Initialize iscsi_conn->dd_data only if memory is allocated In case of an ib_fast_reg_mr allocation failure during iSER setup, the machine hits a panic because iscsi_conn->dd_data is initialized unconditionally, even when no memory is allocated (dd_size == 0). This leads invalid pointer dereference during connection teardown. Fix by setting iscsi_conn->dd_data only if memory is actually allocated. Panic trace: ------------ iser: iser_create_fastreg_desc: Failed to allocate ib_fast_reg_mr err=-12 iser: iser_alloc_rx_descriptors: failed allocating rx descriptors / data buffers BUG: unable to handle page fault for address: fffffffffffffff8 RIP: 0010:swake_up_locked.part.5+0xa/0x40 Call Trace: complete+0x31/0x40 iscsi_iser_conn_stop+0x88/0xb0 [ib_iser] iscsi_stop_conn+0x66/0xc0 [scsi_transport_iscsi] iscsi_if_stop_conn+0x14a/0x150 [scsi_transport_iscsi] iscsi_if_rx+0x1135/0x1834 [scsi_transport_iscsi] ? netlink_lookup+0x12f/0x1b0 ? netlink_deliver_tap+0x2c/0x200 netlink_unicast+0x1ab/0x280 netlink_sendmsg+0x257/0x4f0 ? _copy_from_user+0x29/0x60 sock_sendmsg+0x5f/0x70 Уязвимость компонента scsi/libiscsi.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: do not BUG when INLINE_DATA_FL lacks system.data xattr A syzbot fuzzed image triggered a BUG_ON in ext4_update_inline_data() when an inode had the INLINE_DATA_FL flag set but was missing the system.data extended attribute. Since this can happen due to a maiciouly fuzzed file system, we shouldn't BUG, but rather, report it as a corrupted file system. Add similar replacements of BUG_ON with EXT4_ERROR_INODE() ii ext4_create_inline_data() and ext4_inline_data_truncate(). Уязвимость компонента fs/ext4/inline.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: fix potential buffer overflow in do_register_framebuffer() The current implementation may lead to buffer overflow when: 1. Unregistration creates NULL gaps in registered_fb[] 2. All array slots become occupied despite num_registered_fb < FB_MAX 3. The registration loop exceeds array bounds Add boundary check to prevent registered_fb[FB_MAX] access. Уязвимость функции do_register_framebuffer() компонента fbdev/core/fbmem.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю нарушить оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe: Make dma-fences compliant with the safe access rules Xe can free some of the data pointed to by the dma-fences it exports. Most notably the timeline name can get freed if userspace closes the associated submit queue. At the same time the fence could have been exported to a third party (for example a sync_fence fd) which will then cause an use- after-free on subsequent access. To make this safe we need to make the driver compliant with the newly documented dma-fence rules. Driver has to ensure a RCU grace period between signalling a fence and freeing any data pointed to by said fence. For the timeline name we simply make the queue be freed via kfree_rcu and for the shared lock associated with multiple queues we add a RCU grace period before freeing the per GT structure holding the lock. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rcu/nocb: Fix possible invalid rdp's->nocb_cb_kthread pointer access In the preparation stage of CPU online, if the corresponding the rdp's->nocb_cb_kthread does not exist, will be created, there is a situation where the rdp's rcuop kthreads creation fails, and then de-offload this CPU's rdp, does not assign this CPU's rdp->nocb_cb_kthread pointer, but this rdp's->nocb_gp_rdp and rdp's->rdp_gp->nocb_gp_kthread is still valid. This will cause the subsequent re-offload operation of this offline CPU, which will pass the conditional check and the kthread_unpark() will access invalid rdp's->nocb_cb_kthread pointer. This commit therefore use rdp's->nocb_gp_kthread instead of rdp_gp's->nocb_gp_kthread for safety check. Уязвимость функции rcu_nocb_rdp_offload() в модуле kernel/rcu/tree_nocb.h ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: fix null pointer access Writing a string without delimiters (' ', '\n', '\0') to the under gpu_od/fan_ctrl sysfs or pp_power_profile_mode for the CUSTOM profile will result in a null pointer dereference. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: core: Check for rtd == NULL in snd_soc_remove_pcm_runtime() snd_soc_remove_pcm_runtime() might be called with rtd == NULL which will leads to null pointer dereference. This was reproduced with topology loading and marking a link as ignore due to missing hardware component on the system. On module removal the soc_tplg_remove_link() would call snd_soc_remove_pcm_runtime() with rtd == NULL since the link was ignored, no runtime was created. Уязвимость компонента sound/soc/soc-core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Add sanity check for file name The length of the file name should be smaller than the directory entry size. Уязвимость компонента fs/ntfs3/dir.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drbd: add missing kref_get in handle_write_conflicts With `two-primaries` enabled, DRBD tries to detect "concurrent" writes and handle write conflicts, so that even if you write to the same sector simultaneously on both nodes, they end up with the identical data once the writes are completed. In handling "superseeded" writes, we forgot a kref_get, resulting in a premature drbd_destroy_device and use after free, and further to kernel crashes with symptoms. Relevance: No one should use DRBD as a random data generator, and apparently all users of "two-primaries" handle concurrent writes correctly on layer up. That is cluster file systems use some distributed lock manager, and live migration in virtualization environments stops writes on one node before starting writes on the other node. Which means that other than for "test cases", this code path is never taken in real life. FYI, in DRBD 9, things are handled differently nowadays. We still detect "write conflicts", but no longer try to be smart about them. We decided to disconnect hard instead: upper layers must not submit concurrent writes. If they do, that's their fault. Уязвимость драйвера drbd/drbd_receiver.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: loop: Avoid updating block size under exclusive owner Syzbot came up with a reproducer where a loop device block size is changed underneath a mounted filesystem. This causes a mismatch between the block device block size and the block size stored in the superblock causing confusion in various places such as fs/buffer.c. The particular issue triggered by syzbot was a warning in __getblk_slow() due to requested buffer size not matching block device block size. Fix the problem by getting exclusive hold of the loop device to change its block size. This fails if somebody (such as filesystem) has already an exclusive ownership of the block device and thus prevents modifying the loop device under some exclusive owner which doesn't expect it. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gfs2: Validate i_depth for exhash directories A fuzzer test introduced corruption that ends up with a depth of 0 in dir_e_read(), causing an undefined shift by 32 at: index = hash >> (32 - dip->i_depth); As calculated in an open-coded way in dir_make_exhash(), the minimum depth for an exhash directory is ilog2(sdp->sd_hash_ptrs) and 0 is invalid as sdp->sd_hash_ptrs is fixed as sdp->bsize / 16 at mount time. So we can avoid the undefined behaviour by checking for depth values lower than the minimum in gfs2_dinode_in(). Values greater than the maximum are already being checked for there. Also switch the calculation in dir_make_exhash() to use ilog2() to clarify how the depth is calculated. Tested with the syzkaller repro.c and xfstests '-g quick'. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb/server: avoid deadlock when linking with ReplaceIfExists If smb2_create_link() is called with ReplaceIfExists set and the name does exist then a deadlock will happen. ksmbd_vfs_kern_path_locked() will return with success and the parent directory will be locked. ksmbd_vfs_remove_file() will then remove the file. ksmbd_vfs_link() will then be called while the parent is still locked. It will try to lock the same parent and will deadlock. This patch moves the ksmbd_vfs_kern_path_unlock() call to *before* ksmbd_vfs_link() and then simplifies the code, removing the file_present flag variable. Уязвимость компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана c взаимной блокировкой потоков выполнения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfsplus: don't use BUG_ON() in hfsplus_create_attributes_file() When the volume header contains erroneous values that do not reflect the actual state of the filesystem, hfsplus_fill_super() assumes that the attributes file is not yet created, which later results in hitting BUG_ON() when hfsplus_create_attributes_file() is called. Replace this BUG_ON() with -EIO error with a message to suggest running fsck tool. Уязвимость компонента fs/hfsplus/xattr.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix slab-out-of-bounds read in hfsplus_uni2asc() The hfsplus_readdir() method is capable to crash by calling hfsplus_uni2asc(): [ 667.121659][ T9805] ================================================================== [ 667.122651][ T9805] BUG: KASAN: slab-out-of-bounds in hfsplus_uni2asc+0x902/0xa10 [ 667.123627][ T9805] Read of size 2 at addr ffff88802592f40c by task repro/9805 [ 667.124578][ T9805] [ 667.124876][ T9805] CPU: 3 UID: 0 PID: 9805 Comm: repro Not tainted 6.16.0-rc3 #1 PREEMPT(full) [ 667.124886][ T9805] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 667.124890][ T9805] Call Trace: [ 667.124893][ T9805] <TASK> [ 667.124896][ T9805] dump_stack_lvl+0x10e/0x1f0 [ 667.124911][ T9805] print_report+0xd0/0x660 [ 667.124920][ T9805] ? __virt_addr_valid+0x81/0x610 [ 667.124928][ T9805] ? __phys_addr+0xe8/0x180 [ 667.124934][ T9805] ? hfsplus_uni2asc+0x902/0xa10 [ 667.124942][ T9805] kasan_report+0xc6/0x100 [ 667.124950][ T9805] ? hfsplus_uni2asc+0x902/0xa10 [ 667.124959][ T9805] hfsplus_uni2asc+0x902/0xa10 [ 667.124966][ T9805] ? hfsplus_bnode_read+0x14b/0x360 [ 667.124974][ T9805] hfsplus_readdir+0x845/0xfc0 [ 667.124984][ T9805] ? __pfx_hfsplus_readdir+0x10/0x10 [ 667.124994][ T9805] ? stack_trace_save+0x8e/0xc0 [ 667.125008][ T9805] ? iterate_dir+0x18b/0xb20 [ 667.125015][ T9805] ? trace_lock_acquire+0x85/0xd0 [ 667.125022][ T9805] ? lock_acquire+0x30/0x80 [ 667.125029][ T9805] ? iterate_dir+0x18b/0xb20 [ 667.125037][ T9805] ? down_read_killable+0x1ed/0x4c0 [ 667.125044][ T9805] ? putname+0x154/0x1a0 [ 667.125051][ T9805] ? __pfx_down_read_killable+0x10/0x10 [ 667.125058][ T9805] ? apparmor_file_permission+0x239/0x3e0 [ 667.125069][ T9805] iterate_dir+0x296/0xb20 [ 667.125076][ T9805] __x64_sys_getdents64+0x13c/0x2c0 [ 667.125084][ T9805] ? __pfx___x64_sys_getdents64+0x10/0x10 [ 667.125091][ T9805] ? __x64_sys_openat+0x141/0x200 [ 667.125126][ T9805] ? __pfx_filldir64+0x10/0x10 [ 667.125134][ T9805] ? do_user_addr_fault+0x7fe/0x12f0 [ 667.125143][ T9805] do_syscall_64+0xc9/0x480 [ 667.125151][ T9805] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 667.125158][ T9805] RIP: 0033:0x7fa8753b2fc9 [ 667.125164][ T9805] Code: 00 c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 44 00 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 48 [ 667.125172][ T9805] RSP: 002b:00007ffe96f8e0f8 EFLAGS: 00000217 ORIG_RAX: 00000000000000d9 [ 667.125181][ T9805] RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007fa8753b2fc9 [ 667.125185][ T9805] RDX: 0000000000000400 RSI: 00002000000063c0 RDI: 0000000000000004 [ 667.125190][ T9805] RBP: 00007ffe96f8e110 R08: 00007ffe96f8e110 R09: 00007ffe96f8e110 [ 667.125195][ T9805] R10: 0000000000000000 R11: 0000000000000217 R12: 0000556b1e3b4260 [ 667.125199][ T9805] R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 [ 667.125207][ T9805] </TASK> [ 667.125210][ T9805] [ 667.145632][ T9805] Allocated by task 9805: [ 667.145991][ T9805] kasan_save_stack+0x20/0x40 [ 667.146352][ T9805] kasan_save_track+0x14/0x30 [ 667.146717][ T9805] __kasan_kmalloc+0xaa/0xb0 [ 667.147065][ T9805] __kmalloc_noprof+0x205/0x550 [ 667.147448][ T9805] hfsplus_find_init+0x95/0x1f0 [ 667.147813][ T9805] hfsplus_readdir+0x220/0xfc0 [ 667.148174][ T9805] iterate_dir+0x296/0xb20 [ 667.148549][ T9805] __x64_sys_getdents64+0x13c/0x2c0 [ 667.148937][ T9805] do_syscall_64+0xc9/0x480 [ 667.149291][ T9805] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 667.149809][ T9805] [ 667.150030][ T9805] The buggy address belongs to the object at ffff88802592f000 [ 667.150030][ T9805] which belongs to the cache kmalloc-2k of size 2048 [ 667.151282][ T9805] The buggy address is located 0 bytes to the right of [ 667.151282][ T9805] allocated 1036-byte region [ffff88802592f000, ffff88802592f40c) [ 667.1 ---truncated--- Уязвимость компонента fs/hfsplus/unicode.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix slab-out-of-bounds in hfsplus_bnode_read() The hfsplus_bnode_read() method can trigger the issue: [ 174.852007][ T9784] ================================================================== [ 174.852709][ T9784] BUG: KASAN: slab-out-of-bounds in hfsplus_bnode_read+0x2f4/0x360 [ 174.853412][ T9784] Read of size 8 at addr ffff88810b5fc6c0 by task repro/9784 [ 174.854059][ T9784] [ 174.854272][ T9784] CPU: 1 UID: 0 PID: 9784 Comm: repro Not tainted 6.16.0-rc3 #7 PREEMPT(full) [ 174.854281][ T9784] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 174.854286][ T9784] Call Trace: [ 174.854289][ T9784] <TASK> [ 174.854292][ T9784] dump_stack_lvl+0x10e/0x1f0 [ 174.854305][ T9784] print_report+0xd0/0x660 [ 174.854315][ T9784] ? __virt_addr_valid+0x81/0x610 [ 174.854323][ T9784] ? __phys_addr+0xe8/0x180 [ 174.854330][ T9784] ? hfsplus_bnode_read+0x2f4/0x360 [ 174.854337][ T9784] kasan_report+0xc6/0x100 [ 174.854346][ T9784] ? hfsplus_bnode_read+0x2f4/0x360 [ 174.854354][ T9784] hfsplus_bnode_read+0x2f4/0x360 [ 174.854362][ T9784] hfsplus_bnode_dump+0x2ec/0x380 [ 174.854370][ T9784] ? __pfx_hfsplus_bnode_dump+0x10/0x10 [ 174.854377][ T9784] ? hfsplus_bnode_write_u16+0x83/0xb0 [ 174.854385][ T9784] ? srcu_gp_start+0xd0/0x310 [ 174.854393][ T9784] ? __mark_inode_dirty+0x29e/0xe40 [ 174.854402][ T9784] hfsplus_brec_remove+0x3d2/0x4e0 [ 174.854411][ T9784] __hfsplus_delete_attr+0x290/0x3a0 [ 174.854419][ T9784] ? __pfx_hfs_find_1st_rec_by_cnid+0x10/0x10 [ 174.854427][ T9784] ? __pfx___hfsplus_delete_attr+0x10/0x10 [ 174.854436][ T9784] ? __asan_memset+0x23/0x50 [ 174.854450][ T9784] hfsplus_delete_all_attrs+0x262/0x320 [ 174.854459][ T9784] ? __pfx_hfsplus_delete_all_attrs+0x10/0x10 [ 174.854469][ T9784] ? rcu_is_watching+0x12/0xc0 [ 174.854476][ T9784] ? __mark_inode_dirty+0x29e/0xe40 [ 174.854483][ T9784] hfsplus_delete_cat+0x845/0xde0 [ 174.854493][ T9784] ? __pfx_hfsplus_delete_cat+0x10/0x10 [ 174.854507][ T9784] hfsplus_unlink+0x1ca/0x7c0 [ 174.854516][ T9784] ? __pfx_hfsplus_unlink+0x10/0x10 [ 174.854525][ T9784] ? down_write+0x148/0x200 [ 174.854532][ T9784] ? __pfx_down_write+0x10/0x10 [ 174.854540][ T9784] vfs_unlink+0x2fe/0x9b0 [ 174.854549][ T9784] do_unlinkat+0x490/0x670 [ 174.854557][ T9784] ? __pfx_do_unlinkat+0x10/0x10 [ 174.854565][ T9784] ? __might_fault+0xbc/0x130 [ 174.854576][ T9784] ? getname_flags.part.0+0x1c5/0x550 [ 174.854584][ T9784] __x64_sys_unlink+0xc5/0x110 [ 174.854592][ T9784] do_syscall_64+0xc9/0x480 [ 174.854600][ T9784] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 174.854608][ T9784] RIP: 0033:0x7f6fdf4c3167 [ 174.854614][ T9784] Code: f0 ff ff 73 01 c3 48 8b 0d 26 0d 0e 00 f7 d8 64 89 01 48 83 c8 ff c3 66 2e 0f 1f 84 00 00 00 00 08 [ 174.854622][ T9784] RSP: 002b:00007ffcb948bca8 EFLAGS: 00000206 ORIG_RAX: 0000000000000057 [ 174.854630][ T9784] RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007f6fdf4c3167 [ 174.854636][ T9784] RDX: 00007ffcb948bcc0 RSI: 00007ffcb948bcc0 RDI: 00007ffcb948bd50 [ 174.854641][ T9784] RBP: 00007ffcb948cd90 R08: 0000000000000001 R09: 00007ffcb948bb40 [ 174.854645][ T9784] R10: 00007f6fdf564fc0 R11: 0000000000000206 R12: 0000561e1bc9c2d0 [ 174.854650][ T9784] R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 [ 174.854658][ T9784] </TASK> [ 174.854661][ T9784] [ 174.879281][ T9784] Allocated by task 9784: [ 174.879664][ T9784] kasan_save_stack+0x20/0x40 [ 174.880082][ T9784] kasan_save_track+0x14/0x30 [ 174.880500][ T9784] __kasan_kmalloc+0xaa/0xb0 [ 174.880908][ T9784] __kmalloc_noprof+0x205/0x550 [ 174.881337][ T9784] __hfs_bnode_create+0x107/0x890 [ 174.881779][ T9784] hfsplus_bnode_find+0x2d0/0xd10 [ 174.882222][ T9784] hfsplus_brec_find+0x2b0/0x520 [ 174.882659][ T9784] hfsplus_delete_all_attrs+0x23b/0x3 ---truncated--- Уязвимость компонента fs/hfsplus/bnode.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfs: fix slab-out-of-bounds in hfs_bnode_read() This patch introduces is_bnode_offset_valid() method that checks the requested offset value. Also, it introduces check_and_correct_requested_length() method that checks and correct the requested length (if it is necessary). These methods are used in hfs_bnode_read(), hfs_bnode_write(), hfs_bnode_clear(), hfs_bnode_copy(), and hfs_bnode_move() with the goal to prevent the access out of allocated memory and triggering the crash. Уязвимость компонента fs/hfs/bnode.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfs: fix general protection fault in hfs_find_init() The hfs_find_init() method can trigger the crash if tree pointer is NULL: [ 45.746290][ T9787] Oops: general protection fault, probably for non-canonical address 0xdffffc0000000008: 0000 [#1] SMP KAI [ 45.747287][ T9787] KASAN: null-ptr-deref in range [0x0000000000000040-0x0000000000000047] [ 45.748716][ T9787] CPU: 2 UID: 0 PID: 9787 Comm: repro Not tainted 6.16.0-rc3 #10 PREEMPT(full) [ 45.750250][ T9787] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 45.751983][ T9787] RIP: 0010:hfs_find_init+0x86/0x230 [ 45.752834][ T9787] Code: c1 ea 03 80 3c 02 00 0f 85 9a 01 00 00 4c 8d 6b 40 48 c7 45 18 00 00 00 00 48 b8 00 00 00 00 00 fc [ 45.755574][ T9787] RSP: 0018:ffffc90015157668 EFLAGS: 00010202 [ 45.756432][ T9787] RAX: dffffc0000000000 RBX: 0000000000000000 RCX: ffffffff819a4d09 [ 45.757457][ T9787] RDX: 0000000000000008 RSI: ffffffff819acd3a RDI: ffffc900151576e8 [ 45.758282][ T9787] RBP: ffffc900151576d0 R08: 0000000000000005 R09: 0000000000000000 [ 45.758943][ T9787] R10: 0000000080000000 R11: 0000000000000001 R12: 0000000000000004 [ 45.759619][ T9787] R13: 0000000000000040 R14: ffff88802c50814a R15: 0000000000000000 [ 45.760293][ T9787] FS: 00007ffb72734540(0000) GS:ffff8880cec64000(0000) knlGS:0000000000000000 [ 45.761050][ T9787] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 45.761606][ T9787] CR2: 00007f9bd8225000 CR3: 000000010979a000 CR4: 00000000000006f0 [ 45.762286][ T9787] Call Trace: [ 45.762570][ T9787] <TASK> [ 45.762824][ T9787] hfs_ext_read_extent+0x190/0x9d0 [ 45.763269][ T9787] ? submit_bio_noacct_nocheck+0x2dd/0xce0 [ 45.763766][ T9787] ? __pfx_hfs_ext_read_extent+0x10/0x10 [ 45.764250][ T9787] hfs_get_block+0x55f/0x830 [ 45.764646][ T9787] block_read_full_folio+0x36d/0x850 [ 45.765105][ T9787] ? __pfx_hfs_get_block+0x10/0x10 [ 45.765541][ T9787] ? const_folio_flags+0x5b/0x100 [ 45.765972][ T9787] ? __pfx_hfs_read_folio+0x10/0x10 [ 45.766415][ T9787] filemap_read_folio+0xbe/0x290 [ 45.766840][ T9787] ? __pfx_filemap_read_folio+0x10/0x10 [ 45.767325][ T9787] ? __filemap_get_folio+0x32b/0xbf0 [ 45.767780][ T9787] do_read_cache_folio+0x263/0x5c0 [ 45.768223][ T9787] ? __pfx_hfs_read_folio+0x10/0x10 [ 45.768666][ T9787] read_cache_page+0x5b/0x160 [ 45.769070][ T9787] hfs_btree_open+0x491/0x1740 [ 45.769481][ T9787] hfs_mdb_get+0x15e2/0x1fb0 [ 45.769877][ T9787] ? __pfx_hfs_mdb_get+0x10/0x10 [ 45.770316][ T9787] ? find_held_lock+0x2b/0x80 [ 45.770731][ T9787] ? lockdep_init_map_type+0x5c/0x280 [ 45.771200][ T9787] ? lockdep_init_map_type+0x5c/0x280 [ 45.771674][ T9787] hfs_fill_super+0x38e/0x720 [ 45.772092][ T9787] ? __pfx_hfs_fill_super+0x10/0x10 [ 45.772549][ T9787] ? snprintf+0xbe/0x100 [ 45.772931][ T9787] ? __pfx_snprintf+0x10/0x10 [ 45.773350][ T9787] ? do_raw_spin_lock+0x129/0x2b0 [ 45.773796][ T9787] ? find_held_lock+0x2b/0x80 [ 45.774215][ T9787] ? set_blocksize+0x40a/0x510 [ 45.774636][ T9787] ? sb_set_blocksize+0x176/0x1d0 [ 45.775087][ T9787] ? setup_bdev_super+0x369/0x730 [ 45.775533][ T9787] get_tree_bdev_flags+0x384/0x620 [ 45.775985][ T9787] ? __pfx_hfs_fill_super+0x10/0x10 [ 45.776453][ T9787] ? __pfx_get_tree_bdev_flags+0x10/0x10 [ 45.776950][ T9787] ? bpf_lsm_capable+0x9/0x10 [ 45.777365][ T9787] ? security_capable+0x80/0x260 [ 45.777803][ T9787] vfs_get_tree+0x8e/0x340 [ 45.778203][ T9787] path_mount+0x13de/0x2010 [ 45.778604][ T9787] ? kmem_cache_free+0x2b0/0x4c0 [ 45.779052][ T9787] ? __pfx_path_mount+0x10/0x10 [ 45.779480][ T9787] ? getname_flags.part.0+0x1c5/0x550 [ 45.779954][ T9787] ? putname+0x154/0x1a0 [ 45.780335][ T9787] __x64_sys_mount+0x27b/0x300 [ 45.780758][ T9787] ? __pfx___x64_sys_mount+0x10/0x10 [ 45.781232][ T9787] ---truncated--- [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: kcm: Fix race condition in kcm_unattach() syzbot found a race condition when kcm_unattach(psock) and kcm_release(kcm) are executed at the same time. kcm_unattach() is missing a check of the flag kcm->tx_stopped before calling queue_work(). If the kcm has a reserved psock, kcm_unattach() might get executed between cancel_work_sync() and unreserve_psock() in kcm_release(), requeuing kcm->tx_work right before kcm gets freed in kcm_done(). Remove kcm->tx_stopped and replace it by the less error-prone disable_work_sync(). [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: linearize cloned gso packets in sctp_rcv A cloned head skb still shares these frag skbs in fraglist with the original head skb. It's not safe to access these frag skbs. syzbot reported two use-of-uninitialized-memory bugs caused by this: BUG: KMSAN: uninit-value in sctp_inq_pop+0x15b7/0x1920 net/sctp/inqueue.c:211 sctp_inq_pop+0x15b7/0x1920 net/sctp/inqueue.c:211 sctp_assoc_bh_rcv+0x1a7/0xc50 net/sctp/associola.c:998 sctp_inq_push+0x2ef/0x380 net/sctp/inqueue.c:88 sctp_backlog_rcv+0x397/0xdb0 net/sctp/input.c:331 sk_backlog_rcv+0x13b/0x420 include/net/sock.h:1122 __release_sock+0x1da/0x330 net/core/sock.c:3106 release_sock+0x6b/0x250 net/core/sock.c:3660 sctp_wait_for_connect+0x487/0x820 net/sctp/socket.c:9360 sctp_sendmsg_to_asoc+0x1ec1/0x1f00 net/sctp/socket.c:1885 sctp_sendmsg+0x32b9/0x4a80 net/sctp/socket.c:2031 inet_sendmsg+0x25a/0x280 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:718 [inline] and BUG: KMSAN: uninit-value in sctp_assoc_bh_rcv+0x34e/0xbc0 net/sctp/associola.c:987 sctp_assoc_bh_rcv+0x34e/0xbc0 net/sctp/associola.c:987 sctp_inq_push+0x2a3/0x350 net/sctp/inqueue.c:88 sctp_backlog_rcv+0x3c7/0xda0 net/sctp/input.c:331 sk_backlog_rcv+0x142/0x420 include/net/sock.h:1148 __release_sock+0x1d3/0x330 net/core/sock.c:3213 release_sock+0x6b/0x270 net/core/sock.c:3767 sctp_wait_for_connect+0x458/0x820 net/sctp/socket.c:9367 sctp_sendmsg_to_asoc+0x223a/0x2260 net/sctp/socket.c:1886 sctp_sendmsg+0x3910/0x49f0 net/sctp/socket.c:2032 inet_sendmsg+0x269/0x2a0 net/ipv4/af_inet.c:851 sock_sendmsg_nosec net/socket.c:712 [inline] This patch fixes it by linearizing cloned gso packets in sctp_rcv(). Уязвимость функции sctp_rcv() модуля net/sctp/input.c ядра операционной системы Linux связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sctp.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sctp в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sctp ``` или ``` kmod list | grep sctp ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sctp ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sctp /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: ctnetlink: fix refcount leak on table dump There is a reference count leak in ctnetlink_dump_table(): if (res < 0) { nf_conntrack_get(&ct->ct_general); // HERE cb->args[1] = (unsigned long)ct; ... While its very unlikely, its possible that ct == last. If this happens, then the refcount of ct was already incremented. This 2nd increment is never undone. This prevents the conntrack object from being released, which in turn keeps prevents cnet->count from dropping back to 0. This will then block the netns dismantle (or conntrack rmmod) as nf_conntrack_cleanup_net_list() will wait forever. This can be reproduced by running conntrack_resize.sh selftest in a loop. It takes ~20 minutes for me on a preemptible kernel on average before I see a runaway kworker spinning in nf_conntrack_cleanup_net_list. One fix would to change this to: if (res < 0) { if (ct != last) nf_conntrack_get(&ct->ct_general); But this reference counting isn't needed in the first place. We can just store a cookie value instead. A followup patch will do the same for ctnetlink_exp_dump_table, it looks to me as if this has the same problem and like ctnetlink_dump_table, we only need a 'skip hint', not the actual object so we can apply the same cookie strategy there as well. Уязвимость компонента nf_conntrack_netlink.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: habanalabs: fix UAF in export_dmabuf() As soon as we'd inserted a file reference into descriptor table, another thread could close it. That's fine for the case when all we are doing is returning that descriptor to userland (it's a race, but it's a userland race and there's nothing the kernel can do about it). However, if we follow fd_install() with any kind of access to objects that would be destroyed on close (be it the struct file itself or anything destroyed by its ->release()), we have a UAF. dma_buf_fd() is a combination of reserving a descriptor and fd_install(). habanalabs export_dmabuf() calls it and then proceeds to access the objects destroyed on close. In particular, it grabs an extra reference to another struct file that will be dropped as part of ->release() for ours; that "will be" is actually "might have already been". Fix that by reserving descriptor before anything else and do fd_install() only when everything had been set up. As a side benefit, we no longer have the failure exit with file already created, but reference to underlying file (as well as ->dmabuf_export_cnt, etc.) not grabbed yet; unlike dma_buf_fd(), fd_install() can't fail. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: BPF: Fix jump offset calculation in tailcall The extra pass of bpf_int_jit_compile() skips JIT context initialization which essentially skips offset calculation leaving out_offset = -1, so the jmp_offset in emit_bpf_tail_call is calculated by "#define jmp_offset (out_offset - (cur_offset))" is a negative number, which is wrong. The final generated assembly are as follow. 54: bgeu $a2, $t1, -8 # 0x0000004c 58: addi.d $a6, $s5, -1 5c: bltz $a6, -16 # 0x0000004c 60: alsl.d $t2, $a2, $a1, 0x3 64: ld.d $t2, $t2, 264 68: beq $t2, $zero, -28 # 0x0000004c Before apply this patch, the follow test case will reveal soft lock issues. cd tools/testing/selftests/bpf/ ./test_progs --allow=tailcalls/tailcall_bpf2bpf_1 dmesg: watchdog: BUG: soft lockup - CPU#2 stuck for 26s! [test_progs:25056] Уязвимость компонента bpf_jit.c ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfsd: handle get_client_locked() failure in nfsd4_setclientid_confirm() Lei Lu recently reported that nfsd4_setclientid_confirm() did not check the return value from get_client_locked(). a SETCLIENTID_CONFIRM could race with a confirmed client expiring and fail to get a reference. That could later lead to a UAF. Fix this by getting a reference early in the case where there is an extant confirmed client. If that fails then treat it as if there were no confirmed client found at all. In the case where the unconfirmed client is expiring, just fail and return the result from get_client_locked(). Уязвимость компонента fs/nfsd/nfs4state.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: asix_devices: add phy_mask for ax88772 mdio bus Without setting phy_mask for ax88772 mdio bus, current driver may create at most 32 mdio phy devices with phy address range from 0x00 ~ 0x1f. DLink DUB-E100 H/W Ver B1 is such a device. However, only one main phy device will bind to net phy driver. This is creating issue during system suspend/resume since phy_polling_mode() in phy_state_machine() will directly deference member of phydev->drv for non-main phy devices. Then NULL pointer dereference issue will occur. Due to only external phy or internal phy is necessary, add phy_mask for ax88772 mdio bus to workarnoud the issue. Уязвимость драйвера net/usb/asix_devices.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ftgmac100: fix potential NULL pointer access in ftgmac100_phy_disconnect After the call to phy_disconnect() netdev->phydev is reset to NULL. So fixed_phy_unregister() would be called with a NULL pointer as argument. Therefore cache the phy_device before this call. Уязвимость драйвера ethernet/faraday/ftgmac100.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netlink: avoid infinite retry looping in netlink_unicast() netlink_attachskb() checks for the socket's read memory allocation constraints. Firstly, it has: rmem < READ_ONCE(sk->sk_rcvbuf) to check if the just increased rmem value fits into the socket's receive buffer. If not, it proceeds and tries to wait for the memory under: rmem + skb->truesize > READ_ONCE(sk->sk_rcvbuf) The checks don't cover the case when skb->truesize + sk->sk_rmem_alloc is equal to sk->sk_rcvbuf. Thus the function neither successfully accepts these conditions, nor manages to reschedule the task - and is called in retry loop for indefinite time which is caught as: rcu: INFO: rcu_sched self-detected stall on CPU rcu: 0-....: (25999 ticks this GP) idle=ef2/1/0x4000000000000000 softirq=262269/262269 fqs=6212 (t=26000 jiffies g=230833 q=259957) NMI backtrace for cpu 0 CPU: 0 PID: 22 Comm: kauditd Not tainted 5.10.240 #68 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-4.fc42 04/01/2014 Call Trace: <IRQ> dump_stack lib/dump_stack.c:120 nmi_cpu_backtrace.cold lib/nmi_backtrace.c:105 nmi_trigger_cpumask_backtrace lib/nmi_backtrace.c:62 rcu_dump_cpu_stacks kernel/rcu/tree_stall.h:335 rcu_sched_clock_irq.cold kernel/rcu/tree.c:2590 update_process_times kernel/time/timer.c:1953 tick_sched_handle kernel/time/tick-sched.c:227 tick_sched_timer kernel/time/tick-sched.c:1399 __hrtimer_run_queues kernel/time/hrtimer.c:1652 hrtimer_interrupt kernel/time/hrtimer.c:1717 __sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1113 asm_call_irq_on_stack arch/x86/entry/entry_64.S:808 </IRQ> netlink_attachskb net/netlink/af_netlink.c:1234 netlink_unicast net/netlink/af_netlink.c:1349 kauditd_send_queue kernel/audit.c:776 kauditd_thread kernel/audit.c:897 kthread kernel/kthread.c:328 ret_from_fork arch/x86/entry/entry_64.S:304 Restore the original behavior of the check which commit in Fixes accidentally missed when restructuring the code. Found by Linux Verification Center (linuxtesting.org). Уязвимость компонента net/netlink/af_netlink.c ядра операционной системы Linux связана с некорректным вводом данных, используемых как условие выполнения цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb3: fix for slab out of bounds on mount to ksmbd With KASAN enabled, it is possible to get a slab out of bounds during mount to ksmbd due to missing check in parse_server_interfaces() (see below): BUG: KASAN: slab-out-of-bounds in parse_server_interfaces+0x14ee/0x1880 [cifs] Read of size 4 at addr ffff8881433dba98 by task mount/9827 CPU: 5 UID: 0 PID: 9827 Comm: mount Tainted: G OE 6.16.0-rc2-kasan #2 PREEMPT(voluntary) Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: Dell Inc. Precision Tower 3620/0MWYPT, BIOS 2.13.1 06/14/2019 Call Trace: <TASK> dump_stack_lvl+0x9f/0xf0 print_report+0xd1/0x670 __virt_addr_valid+0x22c/0x430 ? parse_server_interfaces+0x14ee/0x1880 [cifs] ? kasan_complete_mode_report_info+0x2a/0x1f0 ? parse_server_interfaces+0x14ee/0x1880 [cifs] kasan_report+0xd6/0x110 parse_server_interfaces+0x14ee/0x1880 [cifs] __asan_report_load_n_noabort+0x13/0x20 parse_server_interfaces+0x14ee/0x1880 [cifs] ? __pfx_parse_server_interfaces+0x10/0x10 [cifs] ? trace_hardirqs_on+0x51/0x60 SMB3_request_interfaces+0x1ad/0x3f0 [cifs] ? __pfx_SMB3_request_interfaces+0x10/0x10 [cifs] ? SMB2_tcon+0x23c/0x15d0 [cifs] smb3_qfs_tcon+0x173/0x2b0 [cifs] ? __pfx_smb3_qfs_tcon+0x10/0x10 [cifs] ? cifs_get_tcon+0x105d/0x2120 [cifs] ? do_raw_spin_unlock+0x5d/0x200 ? cifs_get_tcon+0x105d/0x2120 [cifs] ? __pfx_smb3_qfs_tcon+0x10/0x10 [cifs] cifs_mount_get_tcon+0x369/0xb90 [cifs] ? dfs_cache_find+0xe7/0x150 [cifs] dfs_mount_share+0x985/0x2970 [cifs] ? check_path.constprop.0+0x28/0x50 ? save_trace+0x54/0x370 ? __pfx_dfs_mount_share+0x10/0x10 [cifs] ? __lock_acquire+0xb82/0x2ba0 ? __kasan_check_write+0x18/0x20 cifs_mount+0xbc/0x9e0 [cifs] ? __pfx_cifs_mount+0x10/0x10 [cifs] ? do_raw_spin_unlock+0x5d/0x200 ? cifs_setup_cifs_sb+0x29d/0x810 [cifs] cifs_smb3_do_mount+0x263/0x1990 [cifs] Уязвимость компонента fs/smb/client/smb2ops.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Validate UAC3 power domain descriptors, too UAC3 power domain descriptors need to be verified with its variable bLength for avoiding the unexpected OOB accesses by malicious firmware, too. Уязвимость компонента sound/usb/validate.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/net: commit partial buffers on retry Ring provided buffers are potentially only valid within the single execution context in which they were acquired. io_uring deals with this and invalidates them on retry. But on the networking side, if MSG_WAITALL is set, or if the socket is of the streaming type and too little was processed, then it will hang on to the buffer rather than recycle or commit it. This is problematic for two reasons: 1) If someone unregisters the provided buffer ring before a later retry, then the req->buf_list will no longer be valid. 2) If multiple sockers are using the same buffer group, then multiple receives can consume the same memory. This can cause data corruption in the application, as either receive could land in the same userspace buffer. Fix this by disallowing partial retries from pinning a provided buffer across multiple executions, if ring provided buffers are used. Уязвимость компонента io_uring/net.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_reject: don't leak dst refcount for loopback packets recent patches to add a WARN() when replacing skb dst entry found an old bug: WARNING: include/linux/skbuff.h:1165 skb_dst_check_unset include/linux/skbuff.h:1164 [inline] WARNING: include/linux/skbuff.h:1165 skb_dst_set include/linux/skbuff.h:1210 [inline] WARNING: include/linux/skbuff.h:1165 nf_reject_fill_skb_dst+0x2a4/0x330 net/ipv4/netfilter/nf_reject_ipv4.c:234 [..] Call Trace: nf_send_unreach+0x17b/0x6e0 net/ipv4/netfilter/nf_reject_ipv4.c:325 nft_reject_inet_eval+0x4bc/0x690 net/netfilter/nft_reject_inet.c:27 expr_call_ops_eval net/netfilter/nf_tables_core.c:237 [inline] .. This is because blamed commit forgot about loopback packets. Such packets already have a dst_entry attached, even at PRE_ROUTING stage. Instead of checking hook just check if the skb already has a route attached to it. Уязвимость компонента netfilter ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: s390/mm: Do not map lowcore with identity mapping Since the identity mapping is pinned to address zero the lowcore is always also mapped to address zero, this happens regardless of the relocate_lowcore command line option. If the option is specified the lowcore is mapped twice, instead of only once. This means that NULL pointer accesses will succeed instead of causing an exception (low address protection still applies, but covers only parts). To fix this never map the first two pages of physical memory with the identity mapping. Уязвимость компонента arch/s390/boot/vmem.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/smc: fix UAF on smcsk after smc_listen_out() BPF CI testing report a UAF issue: [ 16.446633] BUG: kernel NULL pointer dereference, address: 000000000000003 0 [ 16.447134] #PF: supervisor read access in kernel mod e [ 16.447516] #PF: error_code(0x0000) - not-present pag e [ 16.447878] PGD 0 P4D 0 [ 16.448063] Oops: Oops: 0000 [#1] PREEMPT SMP NOPT I [ 16.448409] CPU: 0 UID: 0 PID: 9 Comm: kworker/0:1 Tainted: G OE 6.13.0-rc3-g89e8a75fda73-dirty #4 2 [ 16.449124] Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODUL E [ 16.449502] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/201 4 [ 16.450201] Workqueue: smc_hs_wq smc_listen_wor k [ 16.450531] RIP: 0010:smc_listen_work+0xc02/0x159 0 [ 16.452158] RSP: 0018:ffffb5ab40053d98 EFLAGS: 0001024 6 [ 16.452526] RAX: 0000000000000001 RBX: 0000000000000002 RCX: 000000000000030 0 [ 16.452994] RDX: 0000000000000280 RSI: 00003513840053f0 RDI: 000000000000000 0 [ 16.453492] RBP: ffffa097808e3800 R08: ffffa09782dba1e0 R09: 000000000000000 5 [ 16.453987] R10: 0000000000000000 R11: 0000000000000000 R12: ffffa0978274640 0 [ 16.454497] R13: 0000000000000000 R14: 0000000000000000 R15: ffffa09782d4092 0 [ 16.454996] FS: 0000000000000000(0000) GS:ffffa097bbc00000(0000) knlGS:000000000000000 0 [ 16.455557] CS: 0010 DS: 0000 ES: 0000 CR0: 000000008005003 3 [ 16.455961] CR2: 0000000000000030 CR3: 0000000102788004 CR4: 0000000000770ef 0 [ 16.456459] PKRU: 5555555 4 [ 16.456654] Call Trace : [ 16.456832] <TASK > [ 16.456989] ? __die+0x23/0x7 0 [ 16.457215] ? page_fault_oops+0x180/0x4c 0 [ 16.457508] ? __lock_acquire+0x3e6/0x249 0 [ 16.457801] ? exc_page_fault+0x68/0x20 0 [ 16.458080] ? asm_exc_page_fault+0x26/0x3 0 [ 16.458389] ? smc_listen_work+0xc02/0x159 0 [ 16.458689] ? smc_listen_work+0xc02/0x159 0 [ 16.458987] ? lock_is_held_type+0x8f/0x10 0 [ 16.459284] process_one_work+0x1ea/0x6d 0 [ 16.459570] worker_thread+0x1c3/0x38 0 [ 16.459839] ? __pfx_worker_thread+0x10/0x1 0 [ 16.460144] kthread+0xe0/0x11 0 [ 16.460372] ? __pfx_kthread+0x10/0x1 0 [ 16.460640] ret_from_fork+0x31/0x5 0 [ 16.460896] ? __pfx_kthread+0x10/0x1 0 [ 16.461166] ret_from_fork_asm+0x1a/0x3 0 [ 16.461453] </TASK > [ 16.461616] Modules linked in: bpf_testmod(OE) [last unloaded: bpf_testmod(OE) ] [ 16.462134] CR2: 000000000000003 0 [ 16.462380] ---[ end trace 0000000000000000 ]--- [ 16.462710] RIP: 0010:smc_listen_work+0xc02/0x1590 The direct cause of this issue is that after smc_listen_out_connected(), newclcsock->sk may be NULL since it will releases the smcsk. Therefore, if the application closes the socket immediately after accept, newclcsock->sk can be NULL. A possible execution order could be as follows: smc_listen_work | userspace ----------------------------------------------------------------- lock_sock(sk) | smc_listen_out_connected() | | \- smc_listen_out | | | \- release_sock | | |- sk->sk_data_ready() | | fd = accept(); | close(fd); | \- socket->sk = NULL; /* newclcsock->sk is NULL now */ SMC_STAT_SERV_SUCC_INC(sock_net(newclcsock->sk)) Since smc_listen_out_connected() will not fail, simply swapping the order of the code can easily fix this issue. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gve: prevent ethtool ops after shutdown A crash can occur if an ethtool operation is invoked after shutdown() is called. shutdown() is invoked during system shutdown to stop DMA operations without performing expensive deallocations. It is discouraged to unregister the netdev in this path, so the device may still be visible to userspace and kernel helpers. In gve, shutdown() tears down most internal data structures. If an ethtool operation is dispatched after shutdown(), it will dereference freed or NULL pointers, leading to a kernel panic. While graceful shutdown normally quiesces userspace before invoking the reboot syscall, forced shutdowns (as observed on GCP VMs) can still trigger this path. Fix by calling netif_device_detach() in shutdown(). This marks the device as detached so the ethtool ioctl handler will skip dispatching operations to the driver. Уязвимость драйвера gve ядра операционной системы Linux связана с недостаточным контролем ресурса в период его существовования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: asix_devices: Fix PHY address mask in MDIO bus initialization Syzbot reported shift-out-of-bounds exception on MDIO bus initialization. The PHY address should be masked to 5 bits (0-31). Without this mask, invalid PHY addresses could be used, potentially causing issues with MDIO bus operations. Fix this by masking the PHY address with 0x1f (31 decimal) to ensure it stays within the valid range. Уязвимость компонента asix_devices.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: Fix oops due to uninitialised variable Fix smb3_init_transform_rq() to initialise buffer to NULL before calling netfs_alloc_folioq_buffer() as netfs assumes it can append to the buffer it is given. Setting it to NULL means it should start a fresh buffer, but the value is currently undefined. Уязвимость компонента fs/smb/client/smb2ops.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ppp: fix race conditions in ppp_fill_forward_path ppp_fill_forward_path() has two race conditions: 1. The ppp->channels list can change between list_empty() and list_first_entry(), as ppp_lock() is not held. If the only channel is deleted in ppp_disconnect_channel(), list_first_entry() may access an empty head or a freed entry, and trigger a panic. 2. pch->chan can be NULL. When ppp_unregister_channel() is called, pch->chan is set to NULL before pch is removed from ppp->channels. Fix these by using a lockless RCU approach: - Use list_first_or_null_rcu() to safely test and access the first list entry. - Convert list modifications on ppp->channels to their RCU variants and add synchronize_net() after removal. - Check for a NULL pch->chan before dereferencing it. Уязвимость драйвера ppp ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add null pointer check in mod_hdcp_hdcp1_create_session() The function mod_hdcp_hdcp1_create_session() calls the function get_first_active_display(), but does not check its return value. The return value is a null pointer if the display list is empty. This will lead to a null pointer dereference. Add a null pointer check for get_first_active_display() and return MOD_HDCP_STATUS_DISPLAY_NOT_FOUND if the function return null. This is similar to the commit c3e9826a2202 ("drm/amd/display: Add null pointer check for get_first_active_display()"). (cherry picked from commit 5e43eb3cd731649c4f8b9134f857be62a416c893) Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: qla4xxx: Prevent a potential error pointer dereference The qla4xxx_get_ep_fwdb() function is supposed to return NULL on error, but qla4xxx_ep_connect() returns error pointers. Propagating the error pointers will lead to an Oops in the caller, so change the error pointers to NULL. Уязвимость функции qla4xxx_get_ep_fwdb() драйвера qla4xxx ядра операционной системы Linux связана с недостаточной проверкой возвращения значения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/nouveau/nvif: Fix potential memory leak in nvif_vmm_ctor(). When the nvif_vmm_type is invalid, we will return error directly without freeing the args in nvif_vmm_ctor(), which leading a memory leak. Fix it by setting the ret -EINVAL and goto done. Уязвимость драйвера drm/nouveau/nvif ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/cpu/hygon: Add missing resctrl_cpu_detect() in bsp_init helper Since 923f3a2b48bd ("x86/resctrl: Query LLC monitoring properties once during boot") resctrl_cpu_detect() has been moved from common CPU initialization code to the vendor-specific BSP init helper, while Hygon didn't put that call in their code. This triggers a division by zero fault during early booting stage on our machines with X86_FEATURE_CQM* supported, where get_rdt_mon_resources() tries to calculate mon_l3_config with uninitialized boot_cpu_data.x86_cache_occ_scale. Add the missing resctrl_cpu_detect() in the Hygon BSP init helper. [ bp: Massage commit message. ] Уязвимость компонента x86/cpu/hygon ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tls: fix handling of zero-length records on the rx_list Each recvmsg() call must process either - only contiguous DATA records (any number of them) - one non-DATA record If the next record has different type than what has already been processed we break out of the main processing loop. If the record has already been decrypted (which may be the case for TLS 1.3 where we don't know type until decryption) we queue the pending record to the rx_list. Next recvmsg() will pick it up from there. Queuing the skb to rx_list after zero-copy decrypt is not possible, since in that case we decrypted directly to the user space buffer, and we don't have an skb to queue (darg.skb points to the ciphertext skb for access to metadata like length). Only data records are allowed zero-copy, and we break the processing loop after each non-data record. So we should never zero-copy and then find out that the record type has changed. The corner case we missed is when the initial record comes from rx_list, and it's zero length. Уязвимость функции recvmsg() ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля tls.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль tls в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep tls ``` или ``` kmod list | grep tls ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod tls ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install tls /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: Limit access to parser->buffer when trace_get_user failed When the length of the string written to set_ftrace_filter exceeds FTRACE_BUFF_MAX, the following KASAN alarm will be triggered: BUG: KASAN: slab-out-of-bounds in strsep+0x18c/0x1b0 Read of size 1 at addr ffff0000d00bd5ba by task ash/165 CPU: 1 UID: 0 PID: 165 Comm: ash Not tainted 6.16.0-g6bcdbd62bd56-dirty Hardware name: linux,dummy-virt (DT) Call trace: show_stack+0x34/0x50 (C) dump_stack_lvl+0xa0/0x158 print_address_description.constprop.0+0x88/0x398 print_report+0xb0/0x280 kasan_report+0xa4/0xf0 __asan_report_load1_noabort+0x20/0x30 strsep+0x18c/0x1b0 ftrace_process_regex.isra.0+0x100/0x2d8 ftrace_regex_release+0x484/0x618 __fput+0x364/0xa58 ____fput+0x28/0x40 task_work_run+0x154/0x278 do_notify_resume+0x1f0/0x220 el0_svc+0xec/0xf0 el0t_64_sync_handler+0xa0/0xe8 el0t_64_sync+0x1ac/0x1b0 The reason is that trace_get_user will fail when processing a string longer than FTRACE_BUFF_MAX, but not set the end of parser->buffer to 0. Then an OOB access will be triggered in ftrace_regex_release-> ftrace_process_regex->strsep->strpbrk. We can solve this problem by limiting access to parser->buffer when trace_get_user failed. Уязвимость компонента trace ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: Fix use of uninitialized memory in do_insn_ioctl() and do_insnlist_ioctl() syzbot reports a KMSAN kernel-infoleak in `do_insn_ioctl()`. A kernel buffer is allocated to hold `insn->n` samples (each of which is an `unsigned int`). For some instruction types, `insn->n` samples are copied back to user-space, unless an error code is being returned. The problem is that not all the instruction handlers that need to return data to userspace fill in the whole `insn->n` samples, so that there is an information leak. There is a similar syzbot report for `do_insnlist_ioctl()`, although it does not have a reproducer for it at the time of writing. One culprit is `insn_rw_emulate_bits()` which is used as the handler for `INSN_READ` or `INSN_WRITE` instructions for subdevices that do not have a specific handler for that instruction, but do have an `INSN_BITS` handler. For `INSN_READ` it only fills in at most 1 sample, so if `insn->n` is greater than 1, the remaining `insn->n - 1` samples copied to userspace will be uninitialized kernel data. Another culprit is `vm80xx_ai_insn_read()` in the "vm80xx" driver. It never returns an error, even if it fails to fill the buffer. Fix it in `do_insn_ioctl()` and `do_insnlist_ioctl()` by making sure that uninitialized parts of the allocated buffer are zeroed before handling each instruction. Thanks to Arnaud Lecomte for their fix to `do_insn_ioctl()`. That fix replaced the call to `kmalloc_array()` with `kcalloc()`, but it is not always necessary to clear the whole buffer. Уязвимость драйвера comedi ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: pcl726: Prevent invalid irq number The reproducer passed in an irq number(0x80008000) that was too large, which triggered the oob. Added an interrupt number check to prevent users from passing in an irq number that was too large. If `it->options[1]` is 31, then `1 << it->options[1]` is still invalid because it shifts a 1-bit into the sign bit (which is UB in C). Possible solutions include reducing the upper bound on the `it->options[1]` value to 30 or lower, or using `1U << it->options[1]`. The old code would just not attempt to request the IRQ if the `options[1]` value were invalid. And it would still configure the device without interrupts even if the call to `request_irq` returned an error. So it would be better to combine this test with the test below. Уязвимость компонента comedi/drivers/pcl726.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: Make insn_rw_emulate_bits() do insn->n samples The `insn_rw_emulate_bits()` function is used as a default handler for `INSN_READ` instructions for subdevices that have a handler for `INSN_BITS` but not for `INSN_READ`. Similarly, it is used as a default handler for `INSN_WRITE` instructions for subdevices that have a handler for `INSN_BITS` but not for `INSN_WRITE`. It works by emulating the `INSN_READ` or `INSN_WRITE` instruction handling with a constructed `INSN_BITS` instruction. However, `INSN_READ` and `INSN_WRITE` instructions are supposed to be able read or write multiple samples, indicated by the `insn->n` value, but `insn_rw_emulate_bits()` currently only handles a single sample. For `INSN_READ`, the comedi core will copy `insn->n` samples back to user-space. (That triggered KASAN kernel-infoleak errors when `insn->n` was greater than 1, but that is being fixed more generally elsewhere in the comedi core.) Make `insn_rw_emulate_bits()` either handle `insn->n` samples, or return an error, to conform to the general expectation for `INSN_READ` and `INSN_WRITE` handlers. Уязвимость драйвера comedi ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: light: as73211: Ensure buffer holes are zeroed Given that the buffer is copied to a kfifo that ultimately user space can read, ensure we zero it. Уязвимость компонента iio/light/as73211.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ftrace: Also allocate and copy hash for reading of filter files Currently the reader of set_ftrace_filter and set_ftrace_notrace just adds the pointer to the global tracer hash to its iterator. Unlike the writer that allocates a copy of the hash, the reader keeps the pointer to the filter hashes. This is problematic because this pointer is static across function calls that release the locks that can update the global tracer hashes. This can cause UAF and similar bugs. Allocate and copy the hash for reading the filter files like it is done for the writers. This not only fixes UAF bugs, but also makes the code a bit simpler as it doesn't have to differentiate when to free the iterator's hash between writers and readers. Уязвимость компонента kernel/trace/ftrace.c ядра операционной системы Linux связана с использованием ресурсов с аналогичным идентификатором. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/buffer: fix use-after-free when call bh_read() helper There's issue as follows: BUG: KASAN: stack-out-of-bounds in end_buffer_read_sync+0xe3/0x110 Read of size 8 at addr ffffc9000168f7f8 by task swapper/3/0 CPU: 3 UID: 0 PID: 0 Comm: swapper/3 Not tainted 6.16.0-862.14.0.6.x86_64 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996) Call Trace: <IRQ> dump_stack_lvl+0x55/0x70 print_address_description.constprop.0+0x2c/0x390 print_report+0xb4/0x270 kasan_report+0xb8/0xf0 end_buffer_read_sync+0xe3/0x110 end_bio_bh_io_sync+0x56/0x80 blk_update_request+0x30a/0x720 scsi_end_request+0x51/0x2b0 scsi_io_completion+0xe3/0x480 ? scsi_device_unbusy+0x11e/0x160 blk_complete_reqs+0x7b/0x90 handle_softirqs+0xef/0x370 irq_exit_rcu+0xa5/0xd0 sysvec_apic_timer_interrupt+0x6e/0x90 </IRQ> Above issue happens when do ntfs3 filesystem mount, issue may happens as follows: mount IRQ ntfs_fill_super read_cache_page do_read_cache_folio filemap_read_folio mpage_read_folio do_mpage_readpage ntfs_get_block_vbo bh_read submit_bh wait_on_buffer(bh); blk_complete_reqs scsi_io_completion scsi_end_request blk_update_request end_bio_bh_io_sync end_buffer_read_sync __end_buffer_read_notouch unlock_buffer wait_on_buffer(bh);--> return will return to caller put_bh --> trigger stack-out-of-bounds In the mpage_read_folio() function, the stack variable 'map_bh' is passed to ntfs_get_block_vbo(). Once unlock_buffer() unlocks and wait_on_buffer() returns to continue processing, the stack variable is likely to be reclaimed. Consequently, during the end_buffer_read_sync() process, calling put_bh() may result in stack overrun. If the bh is not allocated on the stack, it belongs to a folio. Freeing a buffer head which belongs to a folio is done by drop_buffers() which will fail to free buffers which are still locked. So it is safe to call put_bh() before __end_buffer_read_notouch(). Уязвимость компонента fs/buffer.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: server: split ksmbd_rdma_stop_listening() out of ksmbd_rdma_destroy() We can't call destroy_workqueue(smb_direct_wq); before stop_sessions()! Otherwise already existing connections try to use smb_direct_wq as a NULL pointer. Уязвимость модуля smb ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Avoid a NULL pointer dereference [WHY] Although unlikely drm_atomic_get_new_connector_state() or drm_atomic_get_old_connector_state() can return NULL. [HOW] Check returns before dereference. (cherry picked from commit 1e5e8d672fec9f2ab352be121be971877bff2af9) Уязвимость компонента amdgpu_dm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: s390/sclp: Fix SCCB present check Tracing code called by the SCLP interrupt handler contains early exits if the SCCB address associated with an interrupt is NULL. This check is performed after physical to virtual address translation. If the kernel identity mapping does not start at address zero, the resulting virtual address is never zero, so that the NULL checks won't work. Subsequently this may result in incorrect accesses to the first page of the identity mapping. Fix this by introducing a function that handles the NULL case before address translation. Уязвимость компонента s390/char/sclp.c ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: Flush delayed SKBs while releasing RXE resources When skb packets are sent out, these skb packets still depends on the rxe resources, for example, QP, sk, when these packets are destroyed. If these rxe resources are released when the skb packets are destroyed, the call traces will appear. To avoid skb packets hang too long time in some network devices, a timestamp is added when these skb packets are created. If these skb packets hang too long time in network devices, these network devices can free these skb packets to release rxe resources. Уязвимость компонентов infiniband/sw/rxe ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFS: Fix a race when updating an existing write After nfs_lock_and_join_requests() tests for whether the request is still attached to the mapping, nothing prevents a call to nfs_inode_remove_request() from succeeding until we actually lock the page group. The reason is that whoever called nfs_inode_remove_request() doesn't necessarily have a lock on the page group head. So in order to avoid races, let's take the page group lock earlier in nfs_lock_and_join_requests(), and hold it across the removal of the request in nfs_inode_remove_request(). Уязвимость компонента NFS ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/futex: ensure io_futex_wait() cleans up properly on failure The io_futex_data is allocated upfront and assigned to the io_kiocb async_data field, but the request isn't marked with REQ_F_ASYNC_DATA at that point. Those two should always go together, as the flag tells io_uring whether the field is valid or not. Additionally, on failure cleanup, the futex handler frees the data but does not clear ->async_data. Clear the data and the flag in the error path as well. Thanks to Trend Micro Zero Day Initiative and particularly ReDress for reporting this. Уязвимость функции io_futex_wait() в модуле io_uring/futex.c интерфейса асинхронного ввода/вывода ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-672')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/damon/ops-common: ignore migration request to invalid nodes damon_migrate_pages() tries migration even if the target node is invalid. If users mistakenly make such invalid requests via DAMOS_MIGRATE_{HOT,COLD} action, the below kernel BUG can happen. [ 7831.883495] BUG: unable to handle page fault for address: 0000000000001f48 [ 7831.884160] #PF: supervisor read access in kernel mode [ 7831.884681] #PF: error_code(0x0000) - not-present page [ 7831.885203] PGD 0 P4D 0 [ 7831.885468] Oops: Oops: 0000 [#1] SMP PTI [ 7831.885852] CPU: 31 UID: 0 PID: 94202 Comm: kdamond.0 Not tainted 6.16.0-rc5-mm-new-damon+ #93 PREEMPT(voluntary) [ 7831.886913] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-4.el9 04/01/2014 [ 7831.887777] RIP: 0010:__alloc_frozen_pages_noprof (include/linux/mmzone.h:1724 include/linux/mmzone.h:1750 mm/page_alloc.c:4936 mm/page_alloc.c:5137) [...] [ 7831.895953] Call Trace: [ 7831.896195] <TASK> [ 7831.896397] __folio_alloc_noprof (mm/page_alloc.c:5183 mm/page_alloc.c:5192) [ 7831.896787] migrate_pages_batch (mm/migrate.c:1189 mm/migrate.c:1851) [ 7831.897228] ? __pfx_alloc_migration_target (mm/migrate.c:2137) [ 7831.897735] migrate_pages (mm/migrate.c:2078) [ 7831.898141] ? __pfx_alloc_migration_target (mm/migrate.c:2137) [ 7831.898664] damon_migrate_folio_list (mm/damon/ops-common.c:321 mm/damon/ops-common.c:354) [ 7831.899140] damon_migrate_pages (mm/damon/ops-common.c:405) [...] Add a target node validity check in damon_migrate_pages(). The validity check is stolen from that of do_pages_move(), which is being used for the move_pages() system call. Уязвимость компонента mm/damon/ops-common.c ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ACPI: pfr_update: Fix the driver update version check The security-version-number check should be used rather than the runtime version check for driver updates. Otherwise, the firmware update would fail when the update binary had a lower runtime version number than the current one. [ rjw: Changelog edits ] Уязвимость драйвера acpi/pfr_update.c ядра операционной системы Linux связана с сравнением с использованием неверных факторов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: sr: Fix MAC comparison to be constant-time To prevent timing attacks, MACs need to be compared in constant time. Use the appropriate helper function for this. Уязвимость компонента net/ipv6/seg6_hmac.c ядра операционной системы Linux связана с утечкой информации на основании временных расхождений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net, hsr: reject HSR frame if skb can't hold tag Receiving HSR frame with insufficient space to hold HSR tag in the skb can result in a crash (kernel BUG): [ 45.390915] skbuff: skb_under_panic: text:ffffffff86f32cac len:26 put:14 head:ffff888042418000 data:ffff888042417ff4 tail:0xe end:0x180 dev:bridge_slave_1 [ 45.392559] ------------[ cut here ]------------ [ 45.392912] kernel BUG at net/core/skbuff.c:211! [ 45.393276] Oops: invalid opcode: 0000 [#1] SMP DEBUG_PAGEALLOC KASAN NOPTI [ 45.393809] CPU: 1 UID: 0 PID: 2496 Comm: reproducer Not tainted 6.15.0 #12 PREEMPT(undef) [ 45.394433] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 [ 45.395273] RIP: 0010:skb_panic+0x15b/0x1d0 <snip registers, remove unreliable trace> [ 45.402911] Call Trace: [ 45.403105] <IRQ> [ 45.404470] skb_push+0xcd/0xf0 [ 45.404726] br_dev_queue_push_xmit+0x7c/0x6c0 [ 45.406513] br_forward_finish+0x128/0x260 [ 45.408483] __br_forward+0x42d/0x590 [ 45.409464] maybe_deliver+0x2eb/0x420 [ 45.409763] br_flood+0x174/0x4a0 [ 45.410030] br_handle_frame_finish+0xc7c/0x1bc0 [ 45.411618] br_handle_frame+0xac3/0x1230 [ 45.413674] __netif_receive_skb_core.constprop.0+0x808/0x3df0 [ 45.422966] __netif_receive_skb_one_core+0xb4/0x1f0 [ 45.424478] __netif_receive_skb+0x22/0x170 [ 45.424806] process_backlog+0x242/0x6d0 [ 45.425116] __napi_poll+0xbb/0x630 [ 45.425394] net_rx_action+0x4d1/0xcc0 [ 45.427613] handle_softirqs+0x1a4/0x580 [ 45.427926] do_softirq+0x74/0x90 [ 45.428196] </IRQ> This issue was found by syzkaller. The panic happens in br_dev_queue_push_xmit() once it receives a corrupted skb with ETH header already pushed in linear data. When it attempts the skb_push() call, there's not enough headroom and skb_push() panics. The corrupted skb is put on the queue by HSR layer, which makes a sequence of unintended transformations when it receives a specific corrupted HSR frame (with incomplete TAG). Fix it by dropping and consuming frames that are not long enough to contain both ethernet and hsr headers. Alternative fix would be to check for enough headroom before skb_push() in br_dev_queue_push_xmit(). In the reproducer, this is injected via AF_PACKET, but I don't easily see why it couldn't be sent over the wire from adjacent network. Further Details: In the reproducer, the following network interface chain is set up: ┌────────────────┐ ┌────────────────┐ │ veth0_to_hsr ├───┤ hsr_slave0 ┼───┐ └────────────────┘ └────────────────┘ │ │ ┌──────┐ ├─┤ hsr0 ├───┐ │ └──────┘ │ ┌────────────────┐ ┌────────────────┐ │ │┌────────┐ │ veth1_to_hsr ┼───┤ hsr_slave1 ├───┘ └┤ │ └────────────────┘ └────────────────┘ ┌┼ bridge │ ││ │ │└────────┘ │ ┌───────┐ │ │ ... ├──────┘ └───────┘ To trigger the events leading up to crash, reproducer sends a corrupted HSR fr ---truncated--- Уязвимость компонента net/hsr/hsr_slave.c ядра операционной системы Linux связана с неправильной проверкой синтаксической корректности ввода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: fix a Null pointer dereference vulnerability [Why] A null pointer dereference vulnerability exists in the AMD display driver's (DC module) cleanup function dc_destruct(). When display control context (dc->ctx) construction fails (due to memory allocation failure), this pointer remains NULL. During subsequent error handling when dc_destruct() is called, there's no NULL check before dereferencing the perf_trace member (dc->ctx->perf_trace), causing a kernel null pointer dereference crash. [How] Check if dc->ctx is non-NULL before dereferencing. (Updated commit text and removed unnecessary error message) (cherry picked from commit 9dd8e2ba268c636c240a918e0a31e6feaee19404) [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: Destroy KFD debugfs after destroy KFD wq Since KFD proc content was moved to kernel debugfs, we can't destroy KFD debugfs before kfd_process_destroy_wq. Move kfd_process_destroy_wq prior to kfd_debugfs_fini to fix a kernel NULL pointer problem. It happens when /sys/kernel/debug/kfd was already destroyed in kfd_debugfs_fini but kfd_process_destroy_wq calls kfd_debugfs_remove_process. This line debugfs_remove_recursive(entry->proc_dentry); tries to remove /sys/kernel/debug/kfd/proc/<pid> while /sys/kernel/debug/kfd is already gone. It hangs the kernel by kernel NULL pointer. (cherry picked from commit 0333052d90683d88531558dcfdbf2525cc37c233) Уязвимость компонента drm/amdkfd ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: check if hubbub is NULL in debugfs/amdgpu_dm_capabilities HUBBUB structure is not initialized on DCE hardware, so check if it is NULL to avoid null dereference while accessing amdgpu_dm_capabilities file in debugfs. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: venus: protect against spurious interrupts during probe Make sure the interrupt handler is initialized before the interrupt is registered. If the IRQ is registered before hfi_create(), it's possible that an interrupt fires before the handler setup is complete, leading to a NULL dereference. This error condition has been observed during system boot on Rb3Gen2. Уязвимость компонента qcom/venus/core.c ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: venus: Add a check for packet size after reading from shared memory Add a check to ensure that the packet size does not exceed the number of available words after reading the packet header from shared memory. This ensures that the size provided by the firmware is safe to process and prevent potential out-of-bounds memory access. Уязвимость компонента qcom/venus/hfi_venus.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: ivsc: Fix crash at shutdown due to missing mei_cldev_disable() calls Both the ACE and CSI driver are missing a mei_cldev_disable() call in their remove() function. This causes the mei_cl client to stay part of the mei_device->file_list list even though its memory is freed by mei_cl_bus_dev_release() calling kfree(cldev->cl). This leads to a use-after-free when mei_vsc_remove() runs mei_stop() which first removes all mei bus devices calling mei_ace_remove() and mei_csi_remove() followed by mei_cl_bus_dev_release() and then calls mei_cl_all_disconnect() which walks over mei_device->file_list dereferecing the just freed cldev->cl. And mei_vsc_remove() it self is run at shutdown because of the platform_device_unregister(tp->pdev) in vsc_tp_shutdown() When building a kernel with KASAN this leads to the following KASAN report: [ 106.634504] ================================================================== [ 106.634623] BUG: KASAN: slab-use-after-free in mei_cl_set_disconnected (drivers/misc/mei/client.c:783) mei [ 106.634683] Read of size 4 at addr ffff88819cb62018 by task systemd-shutdow/1 [ 106.634729] [ 106.634767] Tainted: [E]=UNSIGNED_MODULE [ 106.634770] Hardware name: Dell Inc. XPS 16 9640/09CK4V, BIOS 1.12.0 02/10/2025 [ 106.634773] Call Trace: [ 106.634777] <TASK> ... [ 106.634871] kasan_report (mm/kasan/report.c:221 mm/kasan/report.c:636) [ 106.634901] mei_cl_set_disconnected (drivers/misc/mei/client.c:783) mei [ 106.634921] mei_cl_all_disconnect (drivers/misc/mei/client.c:2165 (discriminator 4)) mei [ 106.634941] mei_reset (drivers/misc/mei/init.c:163) mei ... [ 106.635042] mei_stop (drivers/misc/mei/init.c:348) mei [ 106.635062] mei_vsc_remove (drivers/misc/mei/mei_dev.h:784 drivers/misc/mei/platform-vsc.c:393) mei_vsc [ 106.635066] platform_remove (drivers/base/platform.c:1424) Add the missing mei_cldev_disable() calls so that the mei_cl gets removed from mei_device->file_list before it is freed to fix this. Уязвимость драйвера ivsc ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: mt9m114: Fix deadlock in get_frame_interval/set_frame_interval Getting / Setting the frame interval using the V4L2 subdev pad ops get_frame_interval/set_frame_interval causes a deadlock, as the subdev state is locked in the [1] but also in the driver itself. In [2] it's described that the caller is responsible to acquire and release the lock in this case. Therefore, acquiring the lock in the driver is wrong. Remove the lock acquisitions/releases from mt9m114_ifp_get_frame_interval() and mt9m114_ifp_set_frame_interval(). [1] drivers/media/v4l2-core/v4l2-subdev.c - line 1129 [2] Documentation/driver-api/media/v4l2-subdev.rst Уязвимость компонента media/i2c/mt9m114.c ядра операционной системы Linux связана c взаимной блокировкой потоков выполнения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: rainshadow-cec: fix TOCTOU race condition in rain_interrupt() In the interrupt handler rain_interrupt(), the buffer full check on rain->buf_len is performed before acquiring rain->buf_lock. This creates a Time-of-Check to Time-of-Use (TOCTOU) race condition, as rain->buf_len is concurrently accessed and modified in the work handler rain_irq_work_handler() under the same lock. Multiple interrupt invocations can race, with each reading buf_len before it becomes full and then proceeding. This can lead to both interrupts attempting to write to the buffer, incrementing buf_len beyond its capacity (DATA_SIZE) and causing a buffer overflow. Fix this bug by moving the spin_lock() to before the buffer full check. This ensures that the check and the subsequent buffer modification are performed atomically, preventing the race condition. An corresponding spin_unlock() is added to the overflow path to correctly release the lock. This possible bug was found by an experimental static analysis tool developed by our team. Уязвимость драйвера rainshadow-cec ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: usbtv: Lock resolution while streaming When an program is streaming (ffplay) and another program (qv4l2) changes the TV standard from NTSC to PAL, the kernel crashes due to trying to copy to unmapped memory. Changing from NTSC to PAL increases the resolution in the usbtv struct, but the video plane buffer isn't adjusted, so it overflows. [hverkuil: call vb2_is_busy instead of vb2_is_streaming] Уязвимость компонента media/usb/usbtv/usbtv-video.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: parisc: Revise gateway LWS calls to probe user read access We use load and stbys,e instructions to trigger memory reference interruptions without writing to memory. Because of the way read access support is implemented, read access interruptions are only triggered at privilege levels 2 and 3. The kernel and gateway page execute at privilege level 0, so this code never triggers a read access interruption. Thus, it is currently possible for user code to execute a LWS compare and swap operation at an address that is read protected at privilege level 3 (PRIV_USER). Fix this by probing read access rights at privilege level 3 and branching to lws_fault if access isn't allowed. Уязвимость компонента arch/parisc/kernel/syscall.S ядра операционной системы Linux связана с недостаточным сравнением. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: parisc: Revise __get_user() to probe user read access Because of the way read access support is implemented, read access interruptions are only triggered at privilege levels 2 and 3. The kernel executes at privilege level 0, so __get_user() never triggers a read access interruption (code 26). Thus, it is currently possible for user code to access a read protected address via a system call. Fix this by probing read access rights at privilege level 3 (PRIV_USER) and setting __gu_err to -EFAULT (-14) if access isn't allowed. Note the cmpiclr instruction does a 32-bit compare because COND macro doesn't work inside asm. Уязвимость компонента arch/parisc/include/asm/uaccess.h ядра операционной системы Linux связана с недостаточным сравнением. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vsock/virtio: Validate length in packet header before skb_put() When receiving a vsock packet in the guest, only the virtqueue buffer size is validated prior to virtio_vsock_skb_rx_put(). Unfortunately, virtio_vsock_skb_rx_put() uses the length from the packet header as the length argument to skb_put(), potentially resulting in SKB overflow if the host has gone wonky. Validate the length as advertised by the packet header before calling virtio_vsock_skb_rx_put(). Уязвимость компонента net/vmw_vsock/virtio_transport.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: imu: bno055: fix OOB access of hw_xlate array Fix a potential out-of-bounds array access of the hw_xlate array in bno055.c. In bno055_get_regmask(), hw_xlate was iterated over the length of the vals array instead of the length of the hw_xlate array. In the case of bno055_gyr_scale, the vals array is larger than the hw_xlate array, so this could result in an out-of-bounds access. In practice, this shouldn't happen though because a match should always be found which breaks out of the for loop before it iterates beyond the end of the hw_xlate array. By adding a new hw_xlate_len field to the bno055_sysfs_attr, we can be sure we are iterating over the correct length. Уязвимость компонента iio/imu/bno055/bno055.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix refcount leak causing resource not released When ksmbd_conn_releasing(opinfo->conn) returns true,the refcount was not decremented properly, causing a refcount leak that prevents the count from reaching zero and the memory from being released. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: qat - flush misc workqueue during device shutdown Repeated loading and unloading of a device specific QAT driver, for example qat_4xxx, in a tight loop can lead to a crash due to a use-after-free scenario. This occurs when a power management (PM) interrupt triggers just before the device-specific driver (e.g., qat_4xxx.ko) is unloaded, while the core driver (intel_qat.ko) remains loaded. Since the driver uses a shared workqueue (`qat_misc_wq`) across all devices and owned by intel_qat.ko, a deferred routine from the device-specific driver may still be pending in the queue. If this routine executes after the driver is unloaded, it can dereference freed memory, resulting in a page fault and kernel crash like the following: BUG: unable to handle page fault for address: ffa000002e50a01c #PF: supervisor read access in kernel mode RIP: 0010:pm_bh_handler+0x1d2/0x250 [intel_qat] Call Trace: pm_bh_handler+0x1d2/0x250 [intel_qat] process_one_work+0x171/0x340 worker_thread+0x277/0x3a0 kthread+0xf0/0x120 ret_from_fork+0x2d/0x50 To prevent this, flush the misc workqueue during device shutdown to ensure that all pending work items are completed before the driver is unloaded. Note: This approach may slightly increase shutdown latency if the workqueue contains jobs from other devices, but it ensures correctness and stability. Уязвимость функции adf_dev_shutdown() модуля drivers/crypto/intel/qat/qat_common/adf_init.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: caam - Prevent crash on suspend with iMX8QM / iMX8ULP Since the CAAM on these SoCs is managed by another ARM core, called the SECO (Security Controller) on iMX8QM and Secure Enclave on iMX8ULP, which also reserves access to register page 0 suspend operations cannot touch this page. This is similar to when running OPTEE, where OPTEE will reserve page 0. Track this situation using a new state variable no_page0, reflecting if page 0 is reserved elsewhere, either by other management cores in SoC or by OPTEE. Replace the optee_en check in suspend/resume with the new check. optee_en cannot go away as it's needed elsewhere to gate OPTEE specific situations. Fixes the following splat at suspend: Internal error: synchronous external abort: 0000000096000010 [#1] SMP Hardware name: Freescale i.MX8QXP ACU6C (DT) pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : readl+0x0/0x18 lr : rd_reg32+0x18/0x3c sp : ffffffc08192ba20 x29: ffffffc08192ba20 x28: ffffff8025190000 x27: 0000000000000000 x26: ffffffc0808ae808 x25: ffffffc080922338 x24: ffffff8020e89090 x23: 0000000000000000 x22: ffffffc080922000 x21: ffffff8020e89010 x20: ffffffc080387ef8 x19: ffffff8020e89010 x18: 000000005d8000d5 x17: 0000000030f35963 x16: 000000008f785f3f x15: 000000003b8ef57c x14: 00000000c418aef8 x13: 00000000f5fea526 x12: 0000000000000001 x11: 0000000000000002 x10: 0000000000000001 x9 : 0000000000000000 x8 : ffffff8025190870 x7 : ffffff8021726880 x6 : 0000000000000002 x5 : ffffff80217268f0 x4 : ffffff8021726880 x3 : ffffffc081200000 x2 : 0000000000000001 x1 : ffffff8020e89010 x0 : ffffffc081200004 Call trace: readl+0x0/0x18 caam_ctrl_suspend+0x30/0xdc dpm_run_callback.constprop.0+0x24/0x5c device_suspend+0x170/0x2e8 dpm_suspend+0xa0/0x104 dpm_suspend_start+0x48/0x50 suspend_devices_and_enter+0x7c/0x45c pm_suspend+0x148/0x160 state_store+0xb4/0xf8 kobj_attr_store+0x14/0x24 sysfs_kf_write+0x38/0x48 kernfs_fop_write_iter+0xb4/0x178 vfs_write+0x118/0x178 ksys_write+0x6c/0xd0 __arm64_sys_write+0x14/0x1c invoke_syscall.constprop.0+0x64/0xb0 do_el0_svc+0x90/0xb0 el0_svc+0x18/0x44 el0t_64_sync_handler+0x88/0x124 el0t_64_sync+0x150/0x154 Code: 88dffc21 88dffc21 5ac00800 d65f03c0 (b9400000) Уязвимость компонента drivers/crypto/caam ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfs: Fix unbuffered write error handling If all the subrequests in an unbuffered write stream fail, the subrequest collector doesn't update the stream->transferred value and it retains its initial LONG_MAX value. Unfortunately, if all active streams fail, then we take the smallest value of { LONG_MAX, LONG_MAX, ... } as the value to set in wreq->transferred - which is then returned from ->write_iter(). LONG_MAX was chosen as the initial value so that all the streams can be quickly assessed by taking the smallest value of all stream->transferred - but this only works if we've set any of them. Fix this by adding a flag to indicate whether the value in stream->transferred is valid and checking that when we integrate the values. stream->transferred can then be initialised to zero. This was found by running the generic/750 xfstest against cifs with cache=none. It splices data to the target file. Once (if) it has used up all the available scratch space, the writes start failing with ENOSPC. This causes ->write_iter() to fail. However, it was returning wreq->transferred, i.e. LONG_MAX, rather than an error (because it thought the amount transferred was non-zero) and iter_file_splice_write() would then try to clean up that amount of pipe bufferage - leading to an oops when it overran. The kernel log showed: CIFS: VFS: Send error in write = -28 followed by: BUG: kernel NULL pointer dereference, address: 0000000000000008 with: RIP: 0010:iter_file_splice_write+0x3a4/0x520 do_splice+0x197/0x4e0 or: RIP: 0010:pipe_buf_release (include/linux/pipe_fs_i.h:282) iter_file_splice_write (fs/splice.c:755) Also put a warning check into splice to announce if ->write_iter() returned that it had written more than it was asked to. Уязвимость компонента netfs ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: serial: 8250: fix panic due to PSLVERR When the PSLVERR_RESP_EN parameter is set to 1, the device generates an error response if an attempt is made to read an empty RBR (Receive Buffer Register) while the FIFO is enabled. In serial8250_do_startup(), calling serial_port_out(port, UART_LCR, UART_LCR_WLEN8) triggers dw8250_check_lcr(), which invokes dw8250_force_idle() and serial8250_clear_and_reinit_fifos(). The latter function enables the FIFO via serial_out(p, UART_FCR, p->fcr). Execution proceeds to the serial_port_in(port, UART_RX). This satisfies the PSLVERR trigger condition. When another CPU (e.g., using printk()) is accessing the UART (UART is busy), the current CPU fails the check (value & ~UART_LCR_SPAR) == (lcr & ~UART_LCR_SPAR) in dw8250_check_lcr(), causing it to enter dw8250_force_idle(). Put serial_port_out(port, UART_LCR, UART_LCR_WLEN8) under the port->lock to fix this issue. Panic backtrace: [ 0.442336] Oops - unknown exception [#1] [ 0.442343] epc : dw8250_serial_in32+0x1e/0x4a [ 0.442351] ra : serial8250_do_startup+0x2c8/0x88e ... [ 0.442416] console_on_rootfs+0x26/0x70 Уязвимость компонента drivers/tty/serial/8250 ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/vmscan: fix hwpoisoned large folio handling in shrink_folio_list In shrink_folio_list(), the hwpoisoned folio may be large folio, which can't be handled by unmap_poisoned_folio(). For THP, try_to_unmap_one() must be passed with TTU_SPLIT_HUGE_PMD to split huge PMD first and then retry. Without TTU_SPLIT_HUGE_PMD, we will trigger null-ptr deref of pvmw.pte. Even we passed TTU_SPLIT_HUGE_PMD, we will trigger a WARN_ON_ONCE due to the page isn't in swapcache. Since UCE is rare in real world, and race with reclaimation is more rare, just skipping the hwpoisoned large folio is enough. memory_failure() will handle it if the UCE is triggered again. This happens when memory reclaim for large folio races with memory_failure(), and will lead to kernel panic. The race is as follows: cpu0 cpu1 shrink_folio_list memory_failure TestSetPageHWPoison unmap_poisoned_folio --> trigger BUG_ON due to unmap_poisoned_folio couldn't handle large folio [tujinjiang@huawei.com: add comment to unmap_poisoned_folio()] Уязвимость компонентов mm/memory-failure.c, mm/vmscan.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: s390/ism: fix concurrency management in ism_cmd() The s390x ISM device data sheet clearly states that only one request-response sequence is allowable per ISM function at any point in time. Unfortunately as of today the s390/ism driver in Linux does not honor that requirement. This patch aims to rectify that. This problem was discovered based on Aliaksei's bug report which states that for certain workloads the ISM functions end up entering error state (with PEC 2 as seen from the logs) after a while and as a consequence connections handled by the respective function break, and for future connection requests the ISM device is not considered -- given it is in a dysfunctional state. During further debugging PEC 3A was observed as well. A kernel message like [ 1211.244319] zpci: 061a:00:00.0: Event 0x2 reports an error for PCI function 0x61a is a reliable indicator of the stated function entering error state with PEC 2. Let me also point out that a kernel message like [ 1211.244325] zpci: 061a:00:00.0: The ism driver bound to the device does not support error recovery is a reliable indicator that the ISM function won't be auto-recovered because the ISM driver currently lacks support for it. On a technical level, without this synchronization, commands (inputs to the FW) may be partially or fully overwritten (corrupted) by another CPU trying to issue commands on the same function. There is hard evidence that this can lead to DMB token values being used as DMB IOVAs, leading to PEC 2 PCI events indicating invalid DMA. But this is only one of the failure modes imaginable. In theory even completely losing one command and executing another one twice and then trying to interpret the outputs as if the command we intended to execute was actually executed and not the other one is also possible. Frankly, I don't feel confident about providing an exhaustive list of possible consequences. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm: swap: fix potential buffer overflow in setup_clusters() In setup_swap_map(), we only ensure badpages are in range (0, last_page]. As maxpages might be < last_page, setup_clusters() will encounter a buffer overflow when a badpage is >= maxpages. Only call inc_cluster_info_page() for badpage which is < maxpages to fix the issue. Уязвимость функции setup_clusters() компонента mm/swapfile.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFS: Fix filehandle bounds checking in nfs_fh_to_dentry() The function needs to check the minimal filehandle length before it can access the embedded filehandle. Уязвимость функции nfs_fh_to_dentry() компонента fs/nfs/export.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: vm_unmap_ram() may be called from an invalid context When testing F2FS with xfstests using UFS backed virtual disks the kernel complains sometimes that f2fs_release_decomp_mem() calls vm_unmap_ram() from an invalid context. Example trace from f2fs/007 test: f2fs/007 5s ... [12:59:38][ 8.902525] run fstests f2fs/007 [ 11.468026] BUG: sleeping function called from invalid context at mm/vmalloc.c:2978 [ 11.471849] in_atomic(): 1, irqs_disabled(): 1, non_block: 0, pid: 68, name: irq/22-ufshcd [ 11.475357] preempt_count: 1, expected: 0 [ 11.476970] RCU nest depth: 0, expected: 0 [ 11.478531] CPU: 0 UID: 0 PID: 68 Comm: irq/22-ufshcd Tainted: G W 6.16.0-rc5-xfstests-ufs-g40f92e79b0aa #9 PREEMPT(none) [ 11.478535] Tainted: [W]=WARN [ 11.478536] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 11.478537] Call Trace: [ 11.478543] <TASK> [ 11.478545] dump_stack_lvl+0x4e/0x70 [ 11.478554] __might_resched.cold+0xaf/0xbe [ 11.478557] vm_unmap_ram+0x21/0xb0 [ 11.478560] f2fs_release_decomp_mem+0x59/0x80 [ 11.478563] f2fs_free_dic+0x18/0x1a0 [ 11.478565] f2fs_finish_read_bio+0xd7/0x290 [ 11.478570] blk_update_request+0xec/0x3b0 [ 11.478574] ? sbitmap_queue_clear+0x3b/0x60 [ 11.478576] scsi_end_request+0x27/0x1a0 [ 11.478582] scsi_io_completion+0x40/0x300 [ 11.478583] ufshcd_mcq_poll_cqe_lock+0xa3/0xe0 [ 11.478588] ufshcd_sl_intr+0x194/0x1f0 [ 11.478592] ufshcd_threaded_intr+0x68/0xb0 [ 11.478594] ? __pfx_irq_thread_fn+0x10/0x10 [ 11.478599] irq_thread_fn+0x20/0x60 [ 11.478602] ? __pfx_irq_thread_fn+0x10/0x10 [ 11.478603] irq_thread+0xb9/0x180 [ 11.478605] ? __pfx_irq_thread_dtor+0x10/0x10 [ 11.478607] ? __pfx_irq_thread+0x10/0x10 [ 11.478609] kthread+0x10a/0x230 [ 11.478614] ? __pfx_kthread+0x10/0x10 [ 11.478615] ret_from_fork+0x7e/0xd0 [ 11.478619] ? __pfx_kthread+0x10/0x10 [ 11.478621] ret_from_fork_asm+0x1a/0x30 [ 11.478623] </TASK> This patch modifies in_task() check inside f2fs_read_end_io() to also check if interrupts are disabled. This ensures that pages are unmapped asynchronously in an interrupt handler. Уязвимость компонента fs/f2fs ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: fix sleeping-in-atomic in ath11k_mac_op_set_bitrate_mask() ath11k_mac_disable_peer_fixed_rate() is passed as the iterator to ieee80211_iterate_stations_atomic(). Note in this case the iterator is required to be atomic, however ath11k_mac_disable_peer_fixed_rate() does not follow it as it might sleep. Consequently below warning is seen: BUG: sleeping function called from invalid context at wmi.c:304 Call Trace: <TASK> dump_stack_lvl __might_resched.cold ath11k_wmi_cmd_send ath11k_wmi_set_peer_param ath11k_mac_disable_peer_fixed_rate ieee80211_iterate_stations_atomic ath11k_mac_op_set_bitrate_mask.cold Change to ieee80211_iterate_stations_mtx() to fix this issue. Tested-on: WCN6855 hw2.0 PCI WLAN.HSP.1.1-03125-QCAHSPSWPL_V1_V2_SILICONZ_LITE-3.6510.30 [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Revert "fs/ntfs3: Replace inode_trylock with inode_lock" This reverts commit 69505fe98f198ee813898cbcaf6770949636430b. Initially, conditional lock acquisition was removed to fix an xfstest bug that was observed during internal testing. The deadlock reported by syzbot is resolved by reintroducing conditional acquisition. The xfstest bug no longer occurs on kernel version 6.16-rc1 during internal testing. I assume that changes in other modules may have contributed to this. Уязвимость компонента fs/ntfs3/file.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/kmemleak: avoid deadlock by moving pr_warn() outside kmemleak_lock When netpoll is enabled, calling pr_warn_once() while holding kmemleak_lock in mem_pool_alloc() can cause a deadlock due to lock inversion with the netconsole subsystem. This occurs because pr_warn_once() may trigger netpoll, which eventually leads to __alloc_skb() and back into kmemleak code, attempting to reacquire kmemleak_lock. This is the path for the deadlock. mem_pool_alloc() -> raw_spin_lock_irqsave(&kmemleak_lock, flags); -> pr_warn_once() -> netconsole subsystem -> netpoll -> __alloc_skb -> __create_object -> raw_spin_lock_irqsave(&kmemleak_lock, flags); Fix this by setting a flag and issuing the pr_warn_once() after kmemleak_lock is released. Уязвимость функции mem_pool_alloc() компонента mm/kmemleak.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/kmemleak: avoid soft lockup in __kmemleak_do_cleanup() A soft lockup warning was observed on a relative small system x86-64 system with 16 GB of memory when running a debug kernel with kmemleak enabled. watchdog: BUG: soft lockup - CPU#8 stuck for 33s! [kworker/8:1:134] The test system was running a workload with hot unplug happening in parallel. Then kemleak decided to disable itself due to its inability to allocate more kmemleak objects. The debug kernel has its CONFIG_DEBUG_KMEMLEAK_MEM_POOL_SIZE set to 40,000. The soft lockup happened in kmemleak_do_cleanup() when the existing kmemleak objects were being removed and deleted one-by-one in a loop via a workqueue. In this particular case, there are at least 40,000 objects that need to be processed and given the slowness of a debug kernel and the fact that a raw_spinlock has to be acquired and released in __delete_object(), it could take a while to properly handle all these objects. As kmemleak has been disabled in this case, the object removal and deletion process can be further optimized as locking isn't really needed. However, it is probably not worth the effort to optimize for such an edge case that should rarely happen. So the simple solution is to call cond_resched() at periodic interval in the iteration loop to avoid soft lockup. Уязвимость функции __kmemleak_do_cleanup() компонента mm/kmemleak.c ядра операционной системы Linux связана с чрезмерным итерированием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: do not allow relocation of partially dropped subvolumes [BUG] There is an internal report that balance triggered transaction abort, with the following call trace: item 85 key (594509824 169 0) itemoff 12599 itemsize 33 extent refs 1 gen 197740 flags 2 ref#0: tree block backref root 7 item 86 key (594558976 169 0) itemoff 12566 itemsize 33 extent refs 1 gen 197522 flags 2 ref#0: tree block backref root 7 ... BTRFS error (device loop0): extent item not found for insert, bytenr 594526208 num_bytes 16384 parent 449921024 root_objectid 934 owner 1 offset 0 BTRFS error (device loop0): failed to run delayed ref for logical 594526208 num_bytes 16384 type 182 action 1 ref_mod 1: -117 ------------[ cut here ]------------ BTRFS: Transaction aborted (error -117) WARNING: CPU: 1 PID: 6963 at ../fs/btrfs/extent-tree.c:2168 btrfs_run_delayed_refs+0xfa/0x110 [btrfs] And btrfs check doesn't report anything wrong related to the extent tree. [CAUSE] The cause is a little complex, firstly the extent tree indeed doesn't have the backref for 594526208. The extent tree only have the following two backrefs around that bytenr on-disk: item 65 key (594509824 METADATA_ITEM 0) itemoff 13880 itemsize 33 refs 1 gen 197740 flags TREE_BLOCK tree block skinny level 0 (176 0x7) tree block backref root CSUM_TREE item 66 key (594558976 METADATA_ITEM 0) itemoff 13847 itemsize 33 refs 1 gen 197522 flags TREE_BLOCK tree block skinny level 0 (176 0x7) tree block backref root CSUM_TREE But the such missing backref item is not an corruption on disk, as the offending delayed ref belongs to subvolume 934, and that subvolume is being dropped: item 0 key (934 ROOT_ITEM 198229) itemoff 15844 itemsize 439 generation 198229 root_dirid 256 bytenr 10741039104 byte_limit 0 bytes_used 345571328 last_snapshot 198229 flags 0x1000000000001(RDONLY) refs 0 drop_progress key (206324 EXTENT_DATA 2711650304) drop_level 2 level 2 generation_v2 198229 And that offending tree block 594526208 is inside the dropped range of that subvolume. That explains why there is no backref item for that bytenr and why btrfs check is not reporting anything wrong. But this also shows another problem, as btrfs will do all the orphan subvolume cleanup at a read-write mount. So half-dropped subvolume should not exist after an RW mount, and balance itself is also exclusive to subvolume cleanup, meaning we shouldn't hit a subvolume half-dropped during relocation. The root cause is, there is no orphan item for this subvolume. In fact there are 5 subvolumes from around 2021 that have the same problem. It looks like the original report has some older kernels running, and caused those zombie subvolumes. Thankfully upstream commit 8d488a8c7ba2 ("btrfs: fix subvolume/snapshot deletion not triggered on mount") has long fixed the bug. [ENHANCEMENT] For repairing such old fs, btrfs-progs will be enhanced. Considering how delayed the problem will show up (at run delayed ref time) and at that time we have to abort transaction already, it is too late. Instead here we reject any half-dropped subvolume for reloc tree at the earliest time, preventing confusion and extra time wasted on debugging similar bugs. Уязвимость компонента fs/btrfs ядра операционной системы Linux связана с операциями с ресурсом после истечения срока его действия или освобождения. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA: hfi1: fix possible divide-by-zero in find_hw_thread_mask() The function divides number of online CPUs by num_core_siblings, and later checks the divider by zero. This implies a possibility to get and divide-by-zero runtime error. Fix it by moving the check prior to division. This also helps to save one indentation level. Уязвимость функции find_hw_thread_mask() компонента drivers/infiniband/hw/hfi1/affinity.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jfs: truncate good inode pages when hard link is 0 The fileset value of the inode copy from the disk by the reproducer is AGGR_RESERVED_I. When executing evict, its hard link number is 0, so its inode pages are not truncated. This causes the bugon to be triggered when executing clear_inode() because nrpages is greater than 0. Уязвимость компонента fs/jfs ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля jfs.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль jfs в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep jfs ``` или ``` kmod list | grep jfs ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod jfs ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install jfs /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rcu: Fix rcu_read_unlock() deadloop due to IRQ work During rcu_read_unlock_special(), if this happens during irq_exit(), we can lockup if an IPI is issued. This is because the IPI itself triggers the irq_exit() path causing a recursive lock up. This is precisely what Xiongfeng found when invoking a BPF program on the trace_tick_stop() tracepoint As shown in the trace below. Fix by managing the irq_work state correctly. irq_exit() __irq_exit_rcu() /* in_hardirq() returns false after this */ preempt_count_sub(HARDIRQ_OFFSET) tick_irq_exit() tick_nohz_irq_exit() tick_nohz_stop_sched_tick() trace_tick_stop() /* a bpf prog is hooked on this trace point */ __bpf_trace_tick_stop() bpf_trace_run2() rcu_read_unlock_special() /* will send a IPI to itself */ irq_work_queue_on(&rdp->defer_qs_iw, rdp->cpu); A simple reproducer can also be obtained by doing the following in tick_irq_exit(). It will hang on boot without the patch: static inline void tick_irq_exit(void) { + rcu_read_lock(); + WRITE_ONCE(current->rcu_read_unlock_special.b.need_qs, true); + rcu_read_unlock(); + [neeraj: Apply Frederic's suggested fix for PREEMPT_RT] [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath10k: shutdown driver when hardware is unreliable In rare cases, ath10k may lose connection with the PCIe bus due to some unknown reasons, which could further lead to system crashes during resuming due to watchdog timeout: ath10k_pci 0000:01:00.0: wmi command 20486 timeout, restarting hardware ath10k_pci 0000:01:00.0: already restarting ath10k_pci 0000:01:00.0: failed to stop WMI vdev 0: -11 ath10k_pci 0000:01:00.0: failed to stop vdev 0: -11 ieee80211 phy0: PM: **** DPM device timeout **** Call Trace: panic+0x125/0x315 dpm_watchdog_set+0x54/0x54 dpm_watchdog_handler+0x57/0x57 call_timer_fn+0x31/0x13c At this point, all WMI commands will timeout and attempt to restart device. So set a threshold for consecutive restart failures. If the threshold is exceeded, consider the hardware is unreliable and all ath10k operations should be skipped to avoid system crash. fail_cont_count and pending_recovery are atomic variables, and do not involve complex conditional logic. Therefore, even if recovery check and reconfig complete are executed concurrently, the recovery mechanism will not be broken. Tested-on: QCA6174 hw3.2 PCI WLAN.RM.4.4.1-00288-QCARMSWPZ-1 [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/msm: Add error handling for krealloc in metadata setup Function msm_ioctl_gem_info_set_metadata() now checks for krealloc failure and returns -ENOMEM, avoiding potential NULL pointer dereference. Explicitly avoids __GFP_NOFAIL due to deadlock risks and allocation constraints. Patchwork: https://patchwork.freedesktop.org/patch/661235/ [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Forget ranges when refining tnum after JSET Syzbot reported a kernel warning due to a range invariant violation on the following BPF program. 0: call bpf_get_netns_cookie 1: if r0 == 0 goto <exit> 2: if r0 & Oxffffffff goto <exit> The issue is on the path where we fall through both jumps. That path is unreachable at runtime: after insn 1, we know r0 != 0, but with the sign extension on the jset, we would only fallthrough insn 2 if r0 == 0. Unfortunately, is_branch_taken() isn't currently able to figure this out, so the verifier walks all branches. The verifier then refines the register bounds using the second condition and we end up with inconsistent bounds on this unreachable path: 1: if r0 == 0 goto <exit> r0: u64=[0x1, 0xffffffffffffffff] var_off=(0, 0xffffffffffffffff) 2: if r0 & 0xffffffff goto <exit> r0 before reg_bounds_sync: u64=[0x1, 0xffffffffffffffff] var_off=(0, 0) r0 after reg_bounds_sync: u64=[0x1, 0] var_off=(0, 0) Improving the range refinement for JSET to cover all cases is tricky. We also don't expect many users to rely on JSET given LLVM doesn't generate those instructions. So instead of improving the range refinement for JSETs, Eduard suggested we forget the ranges whenever we're narrowing tnums after a JSET. This patch implements that approach. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rcu: Protect ->defer_qs_iw_pending from data race On kernels built with CONFIG_IRQ_WORK=y, when rcu_read_unlock() is invoked within an interrupts-disabled region of code [1], it will invoke rcu_read_unlock_special(), which uses an irq-work handler to force the system to notice when the RCU read-side critical section actually ends. That end won't happen until interrupts are enabled at the soonest. In some kernels, such as those booted with rcutree.use_softirq=y, the irq-work handler is used unconditionally. The per-CPU rcu_data structure's ->defer_qs_iw_pending field is updated by the irq-work handler and is both read and updated by rcu_read_unlock_special(). This resulted in the following KCSAN splat: ------------------------------------------------------------------------ BUG: KCSAN: data-race in rcu_preempt_deferred_qs_handler / rcu_read_unlock_special read to 0xffff96b95f42d8d8 of 1 bytes by task 90 on cpu 8: rcu_read_unlock_special+0x175/0x260 __rcu_read_unlock+0x92/0xa0 rt_spin_unlock+0x9b/0xc0 __local_bh_enable+0x10d/0x170 __local_bh_enable_ip+0xfb/0x150 rcu_do_batch+0x595/0xc40 rcu_cpu_kthread+0x4e9/0x830 smpboot_thread_fn+0x24d/0x3b0 kthread+0x3bd/0x410 ret_from_fork+0x35/0x40 ret_from_fork_asm+0x1a/0x30 write to 0xffff96b95f42d8d8 of 1 bytes by task 88 on cpu 8: rcu_preempt_deferred_qs_handler+0x1e/0x30 irq_work_single+0xaf/0x160 run_irq_workd+0x91/0xc0 smpboot_thread_fn+0x24d/0x3b0 kthread+0x3bd/0x410 ret_from_fork+0x35/0x40 ret_from_fork_asm+0x1a/0x30 no locks held by irq_work/8/88. irq event stamp: 200272 hardirqs last enabled at (200272): [<ffffffffb0f56121>] finish_task_switch+0x131/0x320 hardirqs last disabled at (200271): [<ffffffffb25c7859>] __schedule+0x129/0xd70 softirqs last enabled at (0): [<ffffffffb0ee093f>] copy_process+0x4df/0x1cc0 softirqs last disabled at (0): [<0000000000000000>] 0x0 ------------------------------------------------------------------------ The problem is that irq-work handlers run with interrupts enabled, which means that rcu_preempt_deferred_qs_handler() could be interrupted, and that interrupt handler might contain an RCU read-side critical section, which might invoke rcu_read_unlock_special(). In the strict KCSAN mode of operation used by RCU, this constitutes a data race on the ->defer_qs_iw_pending field. This commit therefore disables interrupts across the portion of the rcu_preempt_deferred_qs_handler() that updates the ->defer_qs_iw_pending field. This suffices because this handler is not a fast path. Уязвимость функции rcu_preempt_deferred_qs_handler() компонента kernel/rcu/tree_plugin.h ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: Correct tid cleanup when tid setup fails Currently, if any error occurs during ath12k_dp_rx_peer_tid_setup(), the tid value is already incremented, even though the corresponding TID is not actually allocated. Proceed to ath12k_dp_rx_peer_tid_delete() starting from unallocated tid, which might leads to freeing unallocated TID and cause potential crash or out-of-bounds access. Hence, fix by correctly decrementing tid before cleanup to match only the successfully allocated TIDs. Also, remove tid-- from failure case of ath12k_dp_rx_peer_frag_setup(), as decrementing the tid before cleanup in loop will take care of this. Compile tested only. Уязвимость компонента drivers/net/wireless/ath/ath12k ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority. Уязвимость функции add_tuning_control компонента sound/pci/hda/patch_ca0132.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gfs2: Set .migrate_folio in gfs2_{rgrp,meta}_aops Clears up the warning added in 7ee3647243e5 ("migrate: Remove call to ->writepage") that occurs in various xfstests, causing "something found in dmesg" failures. [ 341.136573] gfs2_meta_aops does not implement migrate_folio [ 341.136953] WARNING: CPU: 1 PID: 36 at mm/migrate.c:944 move_to_new_folio+0x2f8/0x300 [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/smaps: fix race between smaps_hugetlb_range and migration smaps_hugetlb_range() handles the pte without holdling ptl, and may be concurrenct with migration, leaing to BUG_ON in pfn_swap_entry_to_page(). The race is as follows. smaps_hugetlb_range migrate_pages huge_ptep_get remove_migration_ptes folio_unlock pfn_swap_entry_folio BUG_ON To fix it, hold ptl lock in smaps_hugetlb_range(). [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs: Prevent file descriptor table allocations exceeding INT_MAX When sysctl_nr_open is set to a very high value (for example, 1073741816 as set by systemd), processes attempting to use file descriptors near the limit can trigger massive memory allocation attempts that exceed INT_MAX, resulting in a WARNING in mm/slub.c: WARNING: CPU: 0 PID: 44 at mm/slub.c:5027 __kvmalloc_node_noprof+0x21a/0x288 This happens because kvmalloc_array() and kvmalloc() check if the requested size exceeds INT_MAX and emit a warning when the allocation is not flagged with __GFP_NOWARN. Specifically, when nr_open is set to 1073741816 (0x3ffffff8) and a process calls dup2(oldfd, 1073741880), the kernel attempts to allocate: - File descriptor array: 1073741880 * 8 bytes = 8,589,935,040 bytes - Multiple bitmaps: ~400MB - Total allocation size: > 8GB (exceeding INT_MAX = 2,147,483,647) Reproducer: 1. Set /proc/sys/fs/nr_open to 1073741816: # echo 1073741816 > /proc/sys/fs/nr_open 2. Run a program that uses a high file descriptor: #include <unistd.h> #include <sys/resource.h> int main() { struct rlimit rlim = {1073741824, 1073741824}; setrlimit(RLIMIT_NOFILE, &rlim); dup2(2, 1073741880); // Triggers the warning return 0; } 3. Observe WARNING in dmesg at mm/slub.c:5027 systemd commit a8b627a introduced automatic bumping of fs.nr_open to the maximum possible value. The rationale was that systems with memory control groups (memcg) no longer need separate file descriptor limits since memory is properly accounted. However, this change overlooked that: 1. The kernel's allocation functions still enforce INT_MAX as a maximum size regardless of memcg accounting 2. Programs and tests that legitimately test file descriptor limits can inadvertently trigger massive allocations 3. The resulting allocations (>8GB) are impractical and will always fail systemd's algorithm starts with INT_MAX and keeps halving the value until the kernel accepts it. On most systems, this results in nr_open being set to 1073741816 (0x3ffffff8), which is just under 1GB of file descriptors. While processes rarely use file descriptors near this limit in normal operation, certain selftests (like tools/testing/selftests/core/unshare_test.c) and programs that test file descriptor limits can trigger this issue. Fix this by adding a check in alloc_fdtable() to ensure the requested allocation size does not exceed INT_MAX. This causes the operation to fail with -EMFILE instead of triggering a kernel warning and avoids the impractical >8GB memory allocation request. Уязвимость компонента fs ядра операционной системы Linux связана с истощением дескриптора файлов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Validate UAC3 cluster segment descriptors UAC3 class segment descriptors need to be verified whether their sizes match with the declared lengths and whether they fit with the allocated buffer sizes, too. Otherwise malicious firmware may lead to the unexpected OOB accesses. Уязвимость ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/siw: Fix the sendmsg byte count in siw_tcp_sendpages Ever since commit c2ff29e99a76 ("siw: Inline do_tcp_sendpages()"), we have been doing this: static int siw_tcp_sendpages(struct socket *s, struct page **page, int offset, size_t size) [...] /* Calculate the number of bytes we need to push, for this page * specifically */ size_t bytes = min_t(size_t, PAGE_SIZE - offset, size); /* If we can't splice it, then copy it in, as normal */ if (!sendpage_ok(page[i])) msg.msg_flags &= ~MSG_SPLICE_PAGES; /* Set the bvec pointing to the page, with len $bytes */ bvec_set_page(&bvec, page[i], bytes, offset); /* Set the iter to $size, aka the size of the whole sendpages (!!!) */ iov_iter_bvec(&msg.msg_iter, ITER_SOURCE, &bvec, 1, size); try_page_again: lock_sock(sk); /* Sendmsg with $size size (!!!) */ rv = tcp_sendmsg_locked(sk, &msg, size); This means we've been sending oversized iov_iters and tcp_sendmsg calls for a while. This has a been a benign bug because sendpage_ok() always returned true. With the recent slab allocator changes being slowly introduced into next (that disallow sendpage on large kmalloc allocations), we have recently hit out-of-bounds crashes, due to slight differences in iov_iter behavior between the MSG_SPLICE_PAGES and "regular" copy paths: (MSG_SPLICE_PAGES) skb_splice_from_iter iov_iter_extract_pages iov_iter_extract_bvec_pages uses i->nr_segs to correctly stop in its tracks before OoB'ing everywhere skb_splice_from_iter gets a "short" read (!MSG_SPLICE_PAGES) skb_copy_to_page_nocache copy=iov_iter_count [...] copy_from_iter /* this doesn't help */ if (unlikely(iter->count < len)) len = iter->count; iterate_bvec ... and we run off the bvecs Fix this by properly setting the iov_iter's byte count, plus sending the correct byte count to tcp_sendmsg_locked. Уязвимость функции siw_tcp_sendpages компонента drivers/infiniband/sw/siw/siw_qp_tx.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: qgroup: fix race between quota disable and quota rescan ioctl There's a race between a task disabling quotas and another running the rescan ioctl that can result in a use-after-free of qgroup records from the fs_info->qgroup_tree rbtree. This happens as follows: 1) Task A enters btrfs_ioctl_quota_rescan() -> btrfs_qgroup_rescan(); 2) Task B enters btrfs_quota_disable() and calls btrfs_qgroup_wait_for_completion(), which does nothing because at that point fs_info->qgroup_rescan_running is false (it wasn't set yet by task A); 3) Task B calls btrfs_free_qgroup_config() which starts freeing qgroups from fs_info->qgroup_tree without taking the lock fs_info->qgroup_lock; 4) Task A enters qgroup_rescan_zero_tracking() which starts iterating the fs_info->qgroup_tree tree while holding fs_info->qgroup_lock, but task B is freeing qgroup records from that tree without holding the lock, resulting in a use-after-free. Fix this by taking fs_info->qgroup_lock at btrfs_free_qgroup_config(). Also at btrfs_qgroup_rescan() don't start the rescan worker if quotas were already disabled. Уязвимость компонента fs/btrfs/qgroup.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: core: config: Prevent OOB read in SS endpoint companion parsing usb_parse_ss_endpoint_companion() checks descriptor type before length, enabling a potentially odd read outside of the buffer size. Fix this up by checking the size first before looking at any of the fields in the descriptor. Уязвимость функции usb_parse_ss_endpoint_companion() компонента drivers/usb/core/config.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: Decrement TID on RX peer frag setup error handling Currently, TID is not decremented before peer cleanup, during error handling path of ath12k_dp_rx_peer_frag_setup(). This could lead to out-of-bounds access in peer->rx_tid[]. Hence, add a decrement operation for TID, before peer cleanup to ensures proper cleanup and prevents out-of-bounds access issues when the RX peer frag setup fails. Found during code review. Compile tested only. Уязвимость компонента drivers/net/wireless/ath/ath12k ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPI: APEI: send SIGBUS to current task if synchronous memory error not recovered If a synchronous error is detected as a result of user-space process triggering a 2-bit uncorrected error, the CPU will take a synchronous error exception such as Synchronous External Abort (SEA) on Arm64. The kernel will queue a memory_failure() work which poisons the related page, unmaps the page, and then sends a SIGBUS to the process, so that a system wide panic can be avoided. However, no memory_failure() work will be queued when abnormal synchronous errors occur. These errors can include situations like invalid PA, unexpected severity, no memory failure config support, invalid GUID section, etc. In such a case, the user-space process will trigger SEA again. This loop can potentially exceed the platform firmware threshold or even trigger a kernel hard lockup, leading to a system reboot. Fix it by performing a force kill if no memory_failure() work is queued for synchronous errors. [ rjw: Changelog edits ] Уязвимость функции ghes_do_proc() модуля drivers/acpi/apei/ghes.c драйвера ACPI (расширенный интерфейс конфигурации и питания) ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: timer: fix ida_free call while not allocated In the snd_utimer_create() function, if the kasprintf() function return NULL, snd_utimer_put_id() will be called, finally use ida_free() to free the unallocated id 0. the syzkaller reported the following information: ------------[ cut here ]------------ ida_free called for id=0 which is not allocated. WARNING: CPU: 1 PID: 1286 at lib/idr.c:592 ida_free+0x1fd/0x2f0 lib/idr.c:592 Modules linked in: CPU: 1 UID: 0 PID: 1286 Comm: syz-executor164 Not tainted 6.15.8 #3 PREEMPT(lazy) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-4.fc42 04/01/2014 RIP: 0010:ida_free+0x1fd/0x2f0 lib/idr.c:592 Code: f8 fc 41 83 fc 3e 76 69 e8 70 b2 f8 (...) RSP: 0018:ffffc900007f79c8 EFLAGS: 00010282 RAX: 0000000000000000 RBX: 1ffff920000fef3b RCX: ffffffff872176a5 RDX: ffff88800369d200 RSI: 0000000000000000 RDI: ffff88800369d200 RBP: 0000000000000000 R08: ffffffff87ba60a5 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000000 R12: 0000000000000000 R13: 0000000000000002 R14: 0000000000000000 R15: 0000000000000000 FS: 00007f6f1abc1740(0000) GS:ffff8880d76a0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f6f1ad7a784 CR3: 000000007a6e2000 CR4: 00000000000006f0 Call Trace: <TASK> snd_utimer_put_id sound/core/timer.c:2043 [inline] [snd_timer] snd_utimer_create+0x59b/0x6a0 sound/core/timer.c:2184 [snd_timer] snd_utimer_ioctl_create sound/core/timer.c:2202 [inline] [snd_timer] __snd_timer_user_ioctl.isra.0+0x724/0x1340 sound/core/timer.c:2287 [snd_timer] snd_timer_user_ioctl+0x75/0xc0 sound/core/timer.c:2298 [snd_timer] vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __x64_sys_ioctl+0x198/0x200 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0x7b/0x160 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x76/0x7e [...] The utimer->id should be set properly before the kasprintf() function, ensures the snd_utimer_put_id() function will free the allocated id. Уязвимость функции snd_utimer_create() компонента sound/core/timer.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: Make cake_enqueue return NET_XMIT_CN when past buffer_limit The following setup can trigger a WARNING in htb_activate due to the condition: !cl->leaf.q->q.qlen tc qdisc del dev lo root tc qdisc add dev lo root handle 1: htb default 1 tc class add dev lo parent 1: classid 1:1 \ htb rate 64bit tc qdisc add dev lo parent 1:1 handle f: \ cake memlimit 1b ping -I lo -f -c1 -s64 -W0.001 127.0.0.1 This is because the low memlimit leads to a low buffer_limit, which causes packet dropping. However, cake_enqueue still returns NET_XMIT_SUCCESS, causing htb_enqueue to call htb_activate with an empty child qdisc. We should return NET_XMIT_CN when packets are dropped from the same tin and flow. I do not believe return value of NET_XMIT_CN is necessary for packet drops in the case of ack filtering, as that is meant to optimize performance, not to signal congestion. Уязвимость компонента net/sched ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Optimize module load time by optimizing PLT/GOT counting When enabling CONFIG_KASAN, CONFIG_PREEMPT_VOLUNTARY_BUILD and CONFIG_PREEMPT_VOLUNTARY at the same time, there will be soft deadlock, the relevant logs are as follows: rcu: INFO: rcu_sched self-detected stall on CPU ... Call Trace: [<900000000024f9e4>] show_stack+0x5c/0x180 [<90000000002482f4>] dump_stack_lvl+0x94/0xbc [<9000000000224544>] rcu_dump_cpu_stacks+0x1fc/0x280 [<900000000037ac80>] rcu_sched_clock_irq+0x720/0xf88 [<9000000000396c34>] update_process_times+0xb4/0x150 [<90000000003b2474>] tick_nohz_handler+0xf4/0x250 [<9000000000397e28>] __hrtimer_run_queues+0x1d0/0x428 [<9000000000399b2c>] hrtimer_interrupt+0x214/0x538 [<9000000000253634>] constant_timer_interrupt+0x64/0x80 [<9000000000349938>] __handle_irq_event_percpu+0x78/0x1a0 [<9000000000349a78>] handle_irq_event_percpu+0x18/0x88 [<9000000000354c00>] handle_percpu_irq+0x90/0xf0 [<9000000000348c74>] handle_irq_desc+0x94/0xb8 [<9000000001012b28>] handle_cpu_irq+0x68/0xa0 [<9000000001def8c0>] handle_loongarch_irq+0x30/0x48 [<9000000001def958>] do_vint+0x80/0xd0 [<9000000000268a0c>] kasan_mem_to_shadow.part.0+0x2c/0x2a0 [<90000000006344f4>] __asan_load8+0x4c/0x120 [<900000000025c0d0>] module_frob_arch_sections+0x5c8/0x6b8 [<90000000003895f0>] load_module+0x9e0/0x2958 [<900000000038b770>] __do_sys_init_module+0x208/0x2d0 [<9000000001df0c34>] do_syscall+0x94/0x190 [<900000000024d6fc>] handle_syscall+0xbc/0x158 After analysis, this is because the slow speed of loading the amdgpu module leads to the long time occupation of the cpu and then the soft deadlock. When loading a module, module_frob_arch_sections() tries to figure out the number of PLTs/GOTs that will be needed to handle all the RELAs. It will call the count_max_entries() to find in an out-of-order date which counting algorithm has O(n^2) complexity. To make it faster, we sort the relocation list by info and addend. That way, to check for a duplicate relocation, it just needs to compare with the previous entry. This reduces the complexity of the algorithm to O(n log n), as done in commit d4e0340919fb ("arm64/module: Optimize module load time by optimizing PLT counting"). This gives sinificant reduction in module load time for modules with large number of relocations. After applying this patch, the soft deadlock problem has been solved, and the kernel starts normally without "Call Trace". Using the default configuration to test some modules, the results are as follows: Module Size ip_tables 36K fat 143K radeon 2.5MB amdgpu 16MB Without this patch: Module Module load time (ms) Count(PLTs/GOTs) ip_tables 18 59/6 fat 0 162/14 radeon 54 1221/84 amdgpu 1411 4525/1098 With this patch: Module Module load time (ms) Count(PLTs/GOTs) ip_tables 18 59/6 fat 0 162/14 radeon 22 1221/84 amdgpu 45 4525/1098 [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: gso: Forbid IPv6 TSO with extensions on devices with only IPV6_CSUM When performing Generic Segmentation Offload (GSO) on an IPv6 packet that contains extension headers, the kernel incorrectly requests checksum offload if the egress device only advertises NETIF_F_IPV6_CSUM feature, which has a strict contract: it supports checksum offload only for plain TCP or UDP over IPv6 and explicitly does not support packets with extension headers. The current GSO logic violates this contract by failing to disable the feature for packets with extension headers, such as those used in GREoIPv6 tunnels. This violation results in the device being asked to perform an operation it cannot support, leading to a `skb_warn_bad_offload` warning and a collapse of network throughput. While device TSO/USO is correctly bypassed in favor of software GSO for these packets, the GSO stack must be explicitly told not to request checksum offload. Mask NETIF_F_IPV6_CSUM, NETIF_F_TSO6 and NETIF_F_GSO_UDP_L4 in gso_features_check if the IPv6 header contains extension headers to compute checksum in software. The exception is a BIG TCP extension, which, as stated in commit 68e068cabd2c6c53 ("net: reenable NETIF_F_IPV6_CSUM offload for BIG TCP packets"): "The feature is only enabled on devices that support BIG TCP TSO. The header is only present for PF_PACKET taps like tcpdump, and not transmitted by physical devices." kernel log output (truncated): WARNING: CPU: 1 PID: 5273 at net/core/dev.c:3535 skb_warn_bad_offload+0x81/0x140 ... Call Trace: <TASK> skb_checksum_help+0x12a/0x1f0 validate_xmit_skb+0x1a3/0x2d0 validate_xmit_skb_list+0x4f/0x80 sch_direct_xmit+0x1a2/0x380 __dev_xmit_skb+0x242/0x670 __dev_queue_xmit+0x3fc/0x7f0 ip6_finish_output2+0x25e/0x5d0 ip6_finish_output+0x1fc/0x3f0 ip6_tnl_xmit+0x608/0xc00 [ip6_tunnel] ip6gre_tunnel_xmit+0x1c0/0x390 [ip6_gre] dev_hard_start_xmit+0x63/0x1c0 __dev_queue_xmit+0x6d0/0x7f0 ip6_finish_output2+0x214/0x5d0 ip6_finish_output+0x1fc/0x3f0 ip6_xmit+0x2ca/0x6f0 ip6_finish_output+0x1fc/0x3f0 ip6_xmit+0x2ca/0x6f0 inet6_csk_xmit+0xeb/0x150 __tcp_transmit_skb+0x555/0xa80 tcp_write_xmit+0x32a/0xe90 tcp_sendmsg_locked+0x437/0x1110 tcp_sendmsg+0x2f/0x50 ... skb linear: 00000000: e4 3d 1a 7d ec 30 e4 3d 1a 7e 5d 90 86 dd 60 0e skb linear: 00000010: 00 0a 1b 34 3c 40 20 11 00 00 00 00 00 00 00 00 skb linear: 00000020: 00 00 00 00 00 12 20 11 00 00 00 00 00 00 00 00 skb linear: 00000030: 00 00 00 00 00 11 2f 00 04 01 04 01 01 00 00 00 skb linear: 00000040: 86 dd 60 0e 00 0a 1b 00 06 40 20 23 00 00 00 00 skb linear: 00000050: 00 00 00 00 00 00 00 00 00 12 20 23 00 00 00 00 skb linear: 00000060: 00 00 00 00 00 00 00 00 00 11 bf 96 14 51 13 f9 skb linear: 00000070: ae 27 a0 a8 2b e3 80 18 00 40 5b 6f 00 00 01 01 skb linear: 00000080: 08 0a 42 d4 50 d5 4b 70 f8 1a Уязвимость компонента net ядра операционной системы Linux связана с неправильной реализацией последовательности выполняемых действий. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/hisilicon/hibmc: fix the hibmc loaded failed bug When hibmc loaded failed, the driver use hibmc_unload to free the resource, but the mutexes in mode.config are not init, which will access an NULL pointer. Just change goto statement to return, because hibnc_hw_init() doesn't need to free anything. Уязвимость компонента drivers/gpu/drm/hisilicon/hibmc/hibmc_drm_drv.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: bridge: fix soft lockup in br_multicast_query_expired() When set multicast_query_interval to a large value, the local variable 'time' in br_multicast_send_query() may overflow. If the time is smaller than jiffies, the timer will expire immediately, and then call mod_timer() again, which creates a loop and may trigger the following soft lockup issue. watchdog: BUG: soft lockup - CPU#1 stuck for 221s! [rb_consumer:66] CPU: 1 UID: 0 PID: 66 Comm: rb_consumer Not tainted 6.16.0+ #259 PREEMPT(none) Call Trace: <IRQ> __netdev_alloc_skb+0x2e/0x3a0 br_ip6_multicast_alloc_query+0x212/0x1b70 __br_multicast_send_query+0x376/0xac0 br_multicast_send_query+0x299/0x510 br_multicast_query_expired.constprop.0+0x16d/0x1b0 call_timer_fn+0x3b/0x2a0 __run_timers+0x619/0x950 run_timer_softirq+0x11c/0x220 handle_softirqs+0x18e/0x560 __irq_exit_rcu+0x158/0x1a0 sysvec_apic_timer_interrupt+0x76/0x90 </IRQ> This issue can be reproduced with: ip link add br0 type bridge echo 1 > /sys/class/net/br0/bridge/multicast_querier echo 0xffffffffffffffff > /sys/class/net/br0/bridge/multicast_query_interval ip link set dev br0 up The multicast_startup_query_interval can also cause this issue. Similar to the commit 99b40610956a ("net: bridge: mcast: add and enforce query interval minimum"), add check for the query interval maximum to fix this issue. Уязвимость функции br_multicast_query_expired() компонента net/bridge/br_multicast.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/debug_vm_pgtable: clear page table entries at destroy_args() The mm/debug_vm_pagetable test allocates manually page table entries for the tests it runs, using also its manually allocated mm_struct. That in itself is ok, but when it exits, at destroy_args() it fails to clear those entries with the *_clear functions. The problem is that leaves stale entries. If another process allocates an mm_struct with a pgd at the same address, it may end up running into the stale entry. This is happening in practice on a debug kernel with CONFIG_DEBUG_VM_PGTABLE=y, for example this is the output with some extra debugging I added (it prints a warning trace if pgtables_bytes goes negative, in addition to the warning at check_mm() function): [ 2.539353] debug_vm_pgtable: [get_random_vaddr ]: random_vaddr is 0x7ea247140000 [ 2.539366] kmem_cache info [ 2.539374] kmem_cachep 0x000000002ce82385 - freelist 0x0000000000000000 - offset 0x508 [ 2.539447] debug_vm_pgtable: [init_args ]: args->mm is 0x000000002267cc9e (...) [ 2.552800] WARNING: CPU: 5 PID: 116 at include/linux/mm.h:2841 free_pud_range+0x8bc/0x8d0 [ 2.552816] Modules linked in: [ 2.552843] CPU: 5 UID: 0 PID: 116 Comm: modprobe Not tainted 6.12.0-105.debug_vm2.el10.ppc64le+debug #1 VOLUNTARY [ 2.552859] Hardware name: IBM,9009-41A POWER9 (architected) 0x4e0202 0xf000005 of:IBM,FW910.00 (VL910_062) hv:phyp pSeries [ 2.552872] NIP: c0000000007eef3c LR: c0000000007eef30 CTR: c0000000003d8c90 [ 2.552885] REGS: c0000000622e73b0 TRAP: 0700 Not tainted (6.12.0-105.debug_vm2.el10.ppc64le+debug) [ 2.552899] MSR: 800000000282b033 <SF,VEC,VSX,EE,FP,ME,IR,DR,RI,LE> CR: 24002822 XER: 0000000a [ 2.552954] CFAR: c0000000008f03f0 IRQMASK: 0 [ 2.552954] GPR00: c0000000007eef30 c0000000622e7650 c000000002b1ac00 0000000000000001 [ 2.552954] GPR04: 0000000000000008 0000000000000000 c0000000007eef30 ffffffffffffffff [ 2.552954] GPR08: 00000000ffff00f5 0000000000000001 0000000000000048 0000000000004000 [ 2.552954] GPR12: 00000003fa440000 c000000017ffa300 c0000000051d9f80 ffffffffffffffdb [ 2.552954] GPR16: 0000000000000000 0000000000000008 000000000000000a 60000000000000e0 [ 2.552954] GPR20: 4080000000000000 c0000000113af038 00007fffcf130000 0000700000000000 [ 2.552954] GPR24: c000000062a6a000 0000000000000001 8000000062a68000 0000000000000001 [ 2.552954] GPR28: 000000000000000a c000000062ebc600 0000000000002000 c000000062ebc760 [ 2.553170] NIP [c0000000007eef3c] free_pud_range+0x8bc/0x8d0 [ 2.553185] LR [c0000000007eef30] free_pud_range+0x8b0/0x8d0 [ 2.553199] Call Trace: [ 2.553207] [c0000000622e7650] [c0000000007eef30] free_pud_range+0x8b0/0x8d0 (unreliable) [ 2.553229] [c0000000622e7750] [c0000000007f40b4] free_pgd_range+0x284/0x3b0 [ 2.553248] [c0000000622e7800] [c0000000007f4630] free_pgtables+0x450/0x570 [ 2.553274] [c0000000622e78e0] [c0000000008161c0] exit_mmap+0x250/0x650 [ 2.553292] [c0000000622e7a30] [c0000000001b95b8] __mmput+0x98/0x290 [ 2.558344] [c0000000622e7a80] [c0000000001d1018] exit_mm+0x118/0x1b0 [ 2.558361] [c0000000622e7ac0] [c0000000001d141c] do_exit+0x2ec/0x870 [ 2.558376] [c0000000622e7b60] [c0000000001d1ca8] do_group_exit+0x88/0x150 [ 2.558391] [c0000000622e7bb0] [c0000000001d1db8] sys_exit_group+0x48/0x50 [ 2.558407] [c0000000622e7be0] [c00000000003d810] system_call_exception+0x1e0/0x4c0 [ 2.558423] [c0000000622e7e50] [c00000000000d05c] system_call_vectored_common+0x15c/0x2ec (...) [ 2.558892] ---[ end trace 0000000000000000 ]--- [ 2.559022] BUG: Bad rss-counter state mm:000000002267cc9e type:MM_ANONPAGES val:1 [ 2.559037] BUG: non-zero pgtables_bytes on freeing mm: -6144 Here the modprobe process ended up with an allocated mm_struct from the mm_struct slab that was used before by the debug_vm_pgtable test. That is not a problem, since the mm_stru ---truncated--- Уязвимость функции destroy_args() компонента mm/debug_vm_pgtable.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: subpage: keep TOWRITE tag until folio is cleaned btrfs_subpage_set_writeback() calls folio_start_writeback() the first time a folio is written back, and it also clears the PAGECACHE_TAG_TOWRITE tag even if there are still dirty blocks in the folio. This can break ordering guarantees, such as those required by btrfs_wait_ordered_extents(). That ordering breakage leads to a real failure. For example, running generic/464 on a zoned setup will hit the following ASSERT. This happens because the broken ordering fails to flush existing dirty pages before the file size is truncated. assertion failed: !list_empty(&ordered->list) :: 0, in fs/btrfs/zoned.c:1899 ------------[ cut here ]------------ kernel BUG at fs/btrfs/zoned.c:1899! Oops: invalid opcode: 0000 [#1] SMP NOPTI CPU: 2 UID: 0 PID: 1906169 Comm: kworker/u130:2 Kdump: loaded Not tainted 6.16.0-rc6-BTRFS-ZNS+ #554 PREEMPT(voluntary) Hardware name: Supermicro Super Server/H12SSL-NT, BIOS 2.0 02/22/2021 Workqueue: btrfs-endio-write btrfs_work_helper [btrfs] RIP: 0010:btrfs_finish_ordered_zoned.cold+0x50/0x52 [btrfs] RSP: 0018:ffffc9002efdbd60 EFLAGS: 00010246 RAX: 000000000000004c RBX: ffff88811923c4e0 RCX: 0000000000000000 RDX: 0000000000000000 RSI: ffffffff827e38b1 RDI: 00000000ffffffff RBP: ffff88810005d000 R08: 00000000ffffdfff R09: ffffffff831051c8 R10: ffffffff83055220 R11: 0000000000000000 R12: ffff8881c2458c00 R13: ffff88811923c540 R14: ffff88811923c5e8 R15: ffff8881c1bd9680 FS: 0000000000000000(0000) GS:ffff88a04acd0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f907c7a918c CR3: 0000000004024000 CR4: 0000000000350ef0 Call Trace: <TASK> ? srso_return_thunk+0x5/0x5f btrfs_finish_ordered_io+0x4a/0x60 [btrfs] btrfs_work_helper+0xf9/0x490 [btrfs] process_one_work+0x204/0x590 ? srso_return_thunk+0x5/0x5f worker_thread+0x1d6/0x3d0 ? __pfx_worker_thread+0x10/0x10 kthread+0x118/0x230 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x205/0x260 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Consider process A calling writepages() with WB_SYNC_NONE. In zoned mode or for compressed writes, it locks several folios for delalloc and starts writing them out. Let's call the last locked folio folio X. Suppose the write range only partially covers folio X, leaving some pages dirty. Process A calls btrfs_subpage_set_writeback() when building a bio. This function call clears the TOWRITE tag of folio X, whose size = 8K and the block size = 4K. It is following state. 0 4K 8K |/////|/////| (flag: DIRTY, tag: DIRTY) <-----> Process A will write this range. Now suppose process B concurrently calls writepages() with WB_SYNC_ALL. It calls tag_pages_for_writeback() to tag dirty folios with PAGECACHE_TAG_TOWRITE. Since folio X is still dirty, it gets tagged. Then, B collects tagged folios using filemap_get_folios_tag() and must wait for folio X to be written before returning from writepages(). 0 4K 8K |/////|/////| (flag: DIRTY, tag: DIRTY|TOWRITE) However, between tagging and collecting, process A may call btrfs_subpage_set_writeback() and clear folio X's TOWRITE tag. 0 4K 8K | |/////| (flag: DIRTY|WRITEBACK, tag: DIRTY) As a result, process B won't see folio X in its batch, and returns without waiting for it. This breaks the WB_SYNC_ALL ordering requirement. Fix this by using btrfs_subpage_set_writeback_keepwrite(), which retains the TOWRITE tag. We now manually clear the tag only after the folio becomes clean, via the xas operation. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched/ext: Fix invalid task state transitions on class switch When enabling a sched_ext scheduler, we may trigger invalid task state transitions, resulting in warnings like the following (which can be easily reproduced by running the hotplug selftest in a loop): sched_ext: Invalid task state transition 0 -> 3 for fish[770] WARNING: CPU: 18 PID: 787 at kernel/sched/ext.c:3862 scx_set_task_state+0x7c/0xc0 ... RIP: 0010:scx_set_task_state+0x7c/0xc0 ... Call Trace: <TASK> scx_enable_task+0x11f/0x2e0 switching_to_scx+0x24/0x110 scx_enable.isra.0+0xd14/0x13d0 bpf_struct_ops_link_create+0x136/0x1a0 __sys_bpf+0x1edd/0x2c30 __x64_sys_bpf+0x21/0x30 do_syscall_64+0xbb/0x370 entry_SYSCALL_64_after_hwframe+0x77/0x7f This happens because we skip initialization for tasks that are already dead (with their usage counter set to zero), but we don't exclude them during the scheduling class transition phase. Fix this by also skipping dead tasks during class swiching, preventing invalid task state transitions. Уязвимость компонента kernel/sched/ext.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: parisc: Drop WARN_ON_ONCE() from flush_cache_vmap I have observed warning to occassionally trigger. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jbd2: prevent softlockup in jbd2_log_do_checkpoint() Both jbd2_log_do_checkpoint() and jbd2_journal_shrink_checkpoint_list() periodically release j_list_lock after processing a batch of buffers to avoid long hold times on the j_list_lock. However, since both functions contend for j_list_lock, the combined time spent waiting and processing can be significant. jbd2_journal_shrink_checkpoint_list() explicitly calls cond_resched() when need_resched() is true to avoid softlockups during prolonged operations. But jbd2_log_do_checkpoint() only exits its loop when need_resched() is true, relying on potentially sleeping functions like __flush_batch() or wait_on_buffer() to trigger rescheduling. If those functions do not sleep, the kernel may hit a softlockup. watchdog: BUG: soft lockup - CPU#3 stuck for 156s! [kworker/u129:2:373] CPU: 3 PID: 373 Comm: kworker/u129:2 Kdump: loaded Not tainted 6.6.0+ #10 Hardware name: Huawei TaiShan 2280 /BC11SPCD, BIOS 1.27 06/13/2017 Workqueue: writeback wb_workfn (flush-7:2) pstate: 20000005 (nzCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : native_queued_spin_lock_slowpath+0x358/0x418 lr : jbd2_log_do_checkpoint+0x31c/0x438 [jbd2] Call trace: native_queued_spin_lock_slowpath+0x358/0x418 jbd2_log_do_checkpoint+0x31c/0x438 [jbd2] __jbd2_log_wait_for_space+0xfc/0x2f8 [jbd2] add_transaction_credits+0x3bc/0x418 [jbd2] start_this_handle+0xf8/0x560 [jbd2] jbd2__journal_start+0x118/0x228 [jbd2] __ext4_journal_start_sb+0x110/0x188 [ext4] ext4_do_writepages+0x3dc/0x740 [ext4] ext4_writepages+0xa4/0x190 [ext4] do_writepages+0x94/0x228 __writeback_single_inode+0x48/0x318 writeback_sb_inodes+0x204/0x590 __writeback_inodes_wb+0x54/0xf8 wb_writeback+0x2cc/0x3d8 wb_do_writeback+0x2e0/0x2f8 wb_workfn+0x80/0x2a8 process_one_work+0x178/0x3e8 worker_thread+0x234/0x3b8 kthread+0xf0/0x108 ret_from_fork+0x10/0x20 So explicitly call cond_resched() in jbd2_log_do_checkpoint() to avoid softlockup. Уязвимость функции jbd2_log_do_checkpoint() компонента fs/jbd2/checkpoint.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: endpoint: Fix configfs group list head handling Doing a list_del() on the epf_group field of struct pci_epf_driver in pci_epf_remove_cfs() is not correct as this field is a list head, not a list entry. This list_del() call triggers a KASAN warning when an endpoint function driver which has a configfs attribute group is torn down: ================================================================== BUG: KASAN: slab-use-after-free in pci_epf_remove_cfs+0x17c/0x198 Write of size 8 at addr ffff00010f4a0d80 by task rmmod/319 CPU: 3 UID: 0 PID: 319 Comm: rmmod Not tainted 6.16.0-rc2 #1 NONE Hardware name: Radxa ROCK 5B (DT) Call trace: show_stack+0x2c/0x84 (C) dump_stack_lvl+0x70/0x98 print_report+0x17c/0x538 kasan_report+0xb8/0x190 __asan_report_store8_noabort+0x20/0x2c pci_epf_remove_cfs+0x17c/0x198 pci_epf_unregister_driver+0x18/0x30 nvmet_pci_epf_cleanup_module+0x24/0x30 [nvmet_pci_epf] __arm64_sys_delete_module+0x264/0x424 invoke_syscall+0x70/0x260 el0_svc_common.constprop.0+0xac/0x230 do_el0_svc+0x40/0x58 el0_svc+0x48/0xdc el0t_64_sync_handler+0x10c/0x138 el0t_64_sync+0x198/0x19c ... Remove this incorrect list_del() call from pci_epf_remove_cfs(). Уязвимость функции pci_epf_remove_cfs() компонента drivers/pci/endpoint/pci-epf-core.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: soc: qcom: mdt_loader: Ensure we don't read past the ELF header When the MDT loader is used in remoteproc, the ELF header is sanitized beforehand, but that's not necessary the case for other clients. Validate the size of the firmware buffer to ensure that we don't read past the end as we iterate over the header. e_phentsize and e_shentsize are validated as well, to ensure that the assumptions about step size in the traversal are valid. Уязвимость компонента drivers/soc/qcom/mdt_loader.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: exynos: Fix programming of HCI_UTRL_NEXUS_TYPE On Google gs101, the number of UTP transfer request slots (nutrs) is 32, and in this case the driver ends up programming the UTRL_NEXUS_TYPE incorrectly as 0. This is because the left hand side of the shift is 1, which is of type int, i.e. 31 bits wide. Shifting by more than that width results in undefined behaviour. Fix this by switching to the BIT() macro, which applies correct type casting as required. This ensures the correct value is written to UTRL_NEXUS_TYPE (0xffffffff on gs101), and it also fixes a UBSAN shift warning: UBSAN: shift-out-of-bounds in drivers/ufs/host/ufs-exynos.c:1113:21 shift exponent 32 is too large for 32-bit type 'int' For consistency, apply the same change to the nutmrs / UTMRL_NEXUS_TYPE write. Уязвимость компонента ufs-exynos.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bus: mhi: host: Detect events pointing to unexpected TREs When a remote device sends a completion event to the host, it contains a pointer to the consumed TRE. The host uses this pointer to process all of the TREs between it and the host's local copy of the ring's read pointer. This works when processing completion for chained transactions, but can lead to nasty results if the device sends an event for a single-element transaction with a read pointer that is multiple elements ahead of the host's read pointer. For instance, if the host accesses an event ring while the device is updating it, the pointer inside of the event might still point to an old TRE. If the host uses the channel's xfer_cb() to directly free the buffer pointed to by the TRE, the buffer will be double-freed. This behavior was observed on an ep that used upstream EP stack without 'commit 6f18d174b73d ("bus: mhi: ep: Update read pointer only after buffer is written")'. Where the device updated the events ring pointer before updating the event contents, so it left a window where the host was able to access the stale data the event pointed to, before the device had the chance to update them. The usual pattern was that the host received an event pointing to a TRE that is not immediately after the last processed one, so it got treated as if it was a chained transaction, processing all of the TREs in between the two read pointers. This commit aims to harden the host by ensuring transactions where the event points to a TRE that isn't local_rp + 1 are chained. [mani: added stable tag and reworded commit message] Уязвимость компонента drivers/bus ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm: dm-crypt: Do not partially accept write BIOs with zoned targets Read and write operations issued to a dm-crypt target may be split according to the dm-crypt internal limits defined by the max_read_size and max_write_size module parameters (default is 128 KB). The intent is to improve processing time of large BIOs by splitting them into smaller operations that can be parallelized on different CPUs. For zoned dm-crypt targets, this BIO splitting is still done but without the parallel execution to ensure that the issuing order of write operations to the underlying devices remains sequential. However, the splitting itself causes other problems: 1) Since dm-crypt relies on the block layer zone write plugging to handle zone append emulation using regular write operations, the reminder of a split write BIO will always be plugged into the target zone write plugged. Once the on-going write BIO finishes, this reminder BIO is unplugged and issued from the zone write plug work. If this reminder BIO itself needs to be split, the reminder will be re-issued and plugged again, but that causes a call to a blk_queue_enter(), which may block if a queue freeze operation was initiated. This results in a deadlock as DM submission still holds BIOs that the queue freeze side is waiting for. 2) dm-crypt relies on the emulation done by the block layer using regular write operations for processing zone append operations. This still requires to properly return the written sector as the BIO sector of the original BIO. However, this can be done correctly only and only if there is a single clone BIO used for processing the original zone append operation issued by the user. If the size of a zone append operation is larger than dm-crypt max_write_size, then the orginal BIO will be split and processed as a chain of regular write operations. Such chaining result in an incorrect written sector being returned to the zone append issuer using the original BIO sector. This in turn results in file system data corruptions using xfs or btrfs. Fix this by modifying get_max_request_size() to always return the size of the BIO to avoid it being split with dm_accpet_partial_bio() in crypt_map(). get_max_request_size() is renamed to get_max_request_sectors() to clarify the unit of the value returned and its interface is changed to take a struct dm_target pointer and a pointer to the struct bio being processed. In addition to this change, to ensure that crypt_alloc_buffer() works correctly, set the dm-crypt device max_hw_sectors limit to be at most BIO_MAX_VECS << PAGE_SECTORS_SHIFT (1 MB with a 4KB page architecture). This forces DM core to split write BIOs before passing them to crypt_map(), and thus guaranteeing that dm-crypt can always accept an entire write BIO without needing to split it. This change does not have any effect on the read path of dm-crypt. Read operations can still be split and the BIO fragments processed in parallel. There is also no impact on the performance of the write path given that all zone write BIOs were already processed inline instead of in parallel. This change also does not affect in any way regular dm-crypt block devices. Уязвимость компонента drivers/md/dm-crypt.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm: Always split write BIOs to zoned device limits Any zoned DM target that requires zone append emulation will use the block layer zone write plugging. In such case, DM target drivers must not split BIOs using dm_accept_partial_bio() as doing so can potentially lead to deadlocks with queue freeze operations. Regular write operations used to emulate zone append operations also cannot be split by the target driver as that would result in an invalid writen sector value return using the BIO sector. In order for zoned DM target drivers to avoid such incorrect BIO splitting, we must ensure that large BIOs are split before being passed to the map() function of the target, thus guaranteeing that the limits for the mapped device are not exceeded. dm-crypt and dm-flakey are the only target drivers supporting zoned devices and using dm_accept_partial_bio(). In the case of dm-crypt, this function is used to split BIOs to the internal max_write_size limit (which will be suppressed in a different patch). However, since crypt_alloc_buffer() uses a bioset allowing only up to BIO_MAX_VECS (256) vectors in a BIO. The dm-crypt device max_segments limit, which is not set and so default to BLK_MAX_SEGMENTS (128), must thus be respected and write BIOs split accordingly. In the case of dm-flakey, since zone append emulation is not required, the block layer zone write plugging is not used and no splitting of BIOs required. Modify the function dm_zone_bio_needs_split() to use the block layer helper function bio_needs_zone_write_plugging() to force a call to bio_split_to_limits() in dm_split_and_process_bio(). This allows DM target drivers to avoid using dm_accept_partial_bio() for write operations on zoned DM devices. Уязвимость компонента drivers/md ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: block: avoid possible overflow for chunk_sectors check in blk_stack_limits() In blk_stack_limits(), we check that the t->chunk_sectors value is a multiple of the t->physical_block_size value. However, by finding the chunk_sectors value in bytes, we may overflow the unsigned int which holds chunk_sectors, so change the check to be based on sectors. Уязвимость функции blk_stack_limits() компонента block/blk-settings.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: Duplicate SPI Handling The issue originates when Strongswan initiates an XFRM_MSG_ALLOCSPI Netlink message, which triggers the kernel function xfrm_alloc_spi(). This function is expected to ensure uniqueness of the Security Parameter Index (SPI) for inbound Security Associations (SAs). However, it can return success even when the requested SPI is already in use, leading to duplicate SPIs assigned to multiple inbound SAs, differentiated only by their destination addresses. This behavior causes inconsistencies during SPI lookups for inbound packets. Since the lookup may return an arbitrary SA among those with the same SPI, packet processing can fail, resulting in packet drops. According to RFC 4301 section 4.4.2 , for inbound processing a unicast SA is uniquely identified by the SPI and optionally protocol. Reproducing the Issue Reliably: To consistently reproduce the problem, restrict the available SPI range in charon.conf : spi_min = 0x10000000 spi_max = 0x10000002 This limits the system to only 2 usable SPI values. Next, create more than 2 Child SA. each using unique pair of src/dst address. As soon as the 3rd Child SA is initiated, it will be assigned a duplicate SPI, since the SPI pool is already exhausted. With a narrow SPI range, the issue is consistently reproducible. With a broader/default range, it becomes rare and unpredictable. Current implementation: xfrm_spi_hash() lookup function computes hash using daddr, proto, and family. So if two SAs have the same SPI but different destination addresses, then they will: a. Hash into different buckets b. Be stored in different linked lists (byspi + h) c. Not be seen in the same hlist_for_each_entry_rcu() iteration. As a result, the lookup will result in NULL and kernel allows that Duplicate SPI Proposed Change: xfrm_state_lookup_spi_proto() does a truly global search - across all states, regardless of hash bucket and matches SPI and proto. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFS: Fix the setting of capabilities when automounting a new filesystem Capabilities cannot be inherited when we cross into a new filesystem. They need to be reset to the minimal defaults, and then probed for again. Уязвимость компонента fs/nfs ядра операционной системы Linux связана с некорректным присваиванием привилегий. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: abort transaction on unexpected eb generation at btrfs_copy_root() If we find an unexpected generation for the extent buffer we are cloning at btrfs_copy_root(), we just WARN_ON() and don't error out and abort the transaction, meaning we allow to persist metadata with an unexpected generation. Instead of warning only, abort the transaction and return -EUCLEAN. Уязвимость функции btrfs_copy_root() компонента btrfs ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: Remove WARN_ON for device endpoint command timeouts This commit addresses a rarely observed endpoint command timeout which causes kernel panic due to warn when 'panic_on_warn' is enabled and unnecessary call trace prints when 'panic_on_warn' is disabled. It is seen during fast software-controlled connect/disconnect testcases. The following is one such endpoint command timeout that we observed: 1. Connect ======= ->dwc3_thread_interrupt ->dwc3_ep0_interrupt ->configfs_composite_setup ->composite_setup ->usb_ep_queue ->dwc3_gadget_ep0_queue ->__dwc3_gadget_ep0_queue ->__dwc3_ep0_do_control_data ->dwc3_send_gadget_ep_cmd 2. Disconnect ========== ->dwc3_thread_interrupt ->dwc3_gadget_disconnect_interrupt ->dwc3_ep0_reset_state ->dwc3_ep0_end_control_data ->dwc3_send_gadget_ep_cmd In the issue scenario, in Exynos platforms, we observed that control transfers for the previous connect have not yet been completed and end transfer command sent as a part of the disconnect sequence and processing of USB_ENDPOINT_HALT feature request from the host timeout. This maybe an expected scenario since the controller is processing EP commands sent as a part of the previous connect. It maybe better to remove WARN_ON in all places where device endpoint commands are sent to avoid unnecessary kernel panic due to warn. Уязвимость компонента dwc3 ядра операционной системы Linux связана с чрезмерным потреблением ресурсов в цикле. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: macb: fix unregister_netdev call order in macb_remove() When removing a macb device, the driver calls phy_exit() before unregister_netdev(). This leads to a WARN from kernfs: ------------[ cut here ]------------ kernfs: can not remove 'attached_dev', no directory WARNING: CPU: 1 PID: 27146 at fs/kernfs/dir.c:1683 Call trace: kernfs_remove_by_name_ns+0xd8/0xf0 sysfs_remove_link+0x24/0x58 phy_detach+0x5c/0x168 phy_disconnect+0x4c/0x70 phylink_disconnect_phy+0x6c/0xc0 [phylink] macb_close+0x6c/0x170 [macb] ... macb_remove+0x60/0x168 [macb] platform_remove+0x5c/0x80 ... The warning happens because the PHY is being exited while the netdev is still registered. The correct order is to unregister the netdev before shutting down the PHY and cleaning up the MDIO bus. Fix this by moving unregister_netdev() ahead of phy_exit() in macb_remove(). Уязвимость ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: multitouch: fix slab out-of-bounds access in mt_report_fixup() A malicious HID device can trigger a slab out-of-bounds during mt_report_fixup() by passing in report descriptor smaller than 607 bytes. mt_report_fixup() attempts to patch byte offset 607 of the descriptor with 0x25 by first checking if byte offset 607 is 0x15 however it lacks bounds checks to verify if the descriptor is big enough before conducting this check. Fix this bug by ensuring the descriptor size is at least 608 bytes before accessing it. Below is the KASAN splat after the out of bounds access happens: [ 13.671954] ================================================================== [ 13.672667] BUG: KASAN: slab-out-of-bounds in mt_report_fixup+0x103/0x110 [ 13.673297] Read of size 1 at addr ffff888103df39df by task kworker/0:1/10 [ 13.673297] [ 13.673297] CPU: 0 UID: 0 PID: 10 Comm: kworker/0:1 Not tainted 6.15.0-00005-gec5d573d83f4-dirty #3 [ 13.673297] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.2-debian-1.16.2-1 04/04 [ 13.673297] Call Trace: [ 13.673297] <TASK> [ 13.673297] dump_stack_lvl+0x5f/0x80 [ 13.673297] print_report+0xd1/0x660 [ 13.673297] kasan_report+0xe5/0x120 [ 13.673297] __asan_report_load1_noabort+0x18/0x20 [ 13.673297] mt_report_fixup+0x103/0x110 [ 13.673297] hid_open_report+0x1ef/0x810 [ 13.673297] mt_probe+0x422/0x960 [ 13.673297] hid_device_probe+0x2e2/0x6f0 [ 13.673297] really_probe+0x1c6/0x6b0 [ 13.673297] __driver_probe_device+0x24f/0x310 [ 13.673297] driver_probe_device+0x4e/0x220 [ 13.673297] __device_attach_driver+0x169/0x320 [ 13.673297] bus_for_each_drv+0x11d/0x1b0 [ 13.673297] __device_attach+0x1b8/0x3e0 [ 13.673297] device_initial_probe+0x12/0x20 [ 13.673297] bus_probe_device+0x13d/0x180 [ 13.673297] device_add+0xe3a/0x1670 [ 13.673297] hid_add_device+0x31d/0xa40 [...] Уязвимость функции mt_report_fixup() ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально подключённого HID устройства [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/mediatek: Add error handling for old state CRTC in atomic_disable Introduce error handling to address an issue where, after a hotplug event, the cursor continues to update. This situation can lead to a kernel panic due to accessing the NULL `old_state->crtc`. E,g. Unable to handle kernel NULL pointer dereference at virtual address Call trace: mtk_crtc_plane_disable+0x24/0x140 mtk_plane_atomic_update+0x8c/0xa8 drm_atomic_helper_commit_planes+0x114/0x2c8 drm_atomic_helper_commit_tail_rpm+0x4c/0x158 commit_tail+0xa0/0x168 drm_atomic_helper_commit+0x110/0x120 drm_atomic_commit+0x8c/0xe0 drm_atomic_helper_update_plane+0xd4/0x128 __setplane_atomic+0xcc/0x110 drm_mode_cursor_common+0x250/0x440 drm_mode_cursor_ioctl+0x44/0x70 drm_ioctl+0x264/0x5d8 __arm64_sys_ioctl+0xd8/0x510 invoke_syscall+0x6c/0xe0 do_el0_svc+0x68/0xe8 el0_svc+0x34/0x60 el0t_64_sync_handler+0x1c/0xf8 el0t_64_sync+0x180/0x188 Adding NULL pointer checks to ensure stability by preventing operations on an invalid CRTC state. [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: hid-ntrig: fix unable to handle page fault in ntrig_report_version() in ntrig_report_version(), hdev parameter passed from hid_probe(). sending descriptor to /dev/uhid can make hdev->dev.parent->parent to null if hdev->dev.parent->parent is null, usb_dev has invalid address(0xffffffffffffff58) that hid_to_usb_dev(hdev) returned when usb_rcvctrlpipe() use usb_dev,it trigger page fault error for address(0xffffffffffffff58) add null check logic to ntrig_report_version() before calling hid_to_usb_dev() Уязвимость компонента hid-ntrig ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Fix memory corruption when FW resources change during ifdown bnxt_set_dflt_rings() assumes that it is always called before any TC has been created. So it doesn't take bp->num_tc into account and assumes that it is always 0 or 1. In the FW resource or capability change scenario, the FW will return flags in bnxt_hwrm_if_change() that will cause the driver to reinitialize and call bnxt_cancel_reservations(). This will lead to bnxt_init_dflt_ring_mode() calling bnxt_set_dflt_rings() and bp->num_tc may be greater than 1. This will cause bp->tx_ring[] to be sized too small and cause memory corruption in bnxt_alloc_cp_rings(). Fix it by properly scaling the TX rings by bp->num_tc in the code paths mentioned above. Add 2 helper functions to determine bp->tx_nr_rings and bp->tx_nr_rings_per_tc. [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe/vm: Clear the scratch_pt pointer on error Avoid triggering a dereference of an error pointer on cleanup in xe_vm_free_scratch() by clearing any scratch_pt error pointer. (cherry picked from commit 358ee50ab565f3c8ea32480e9d03127a81ba32f8) [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sctp: initialize more fields in sctp_v6_from_sk() syzbot found that sin6_scope_id was not properly initialized, leading to undefined behavior. Clear sin6_scope_id and sin6_flowinfo. BUG: KMSAN: uninit-value in __sctp_v6_cmp_addr+0x887/0x8c0 net/sctp/ipv6.c:649 __sctp_v6_cmp_addr+0x887/0x8c0 net/sctp/ipv6.c:649 sctp_inet6_cmp_addr+0x4f2/0x510 net/sctp/ipv6.c:983 sctp_bind_addr_conflict+0x22a/0x3b0 net/sctp/bind_addr.c:390 sctp_get_port_local+0x21eb/0x2440 net/sctp/socket.c:8452 sctp_get_port net/sctp/socket.c:8523 [inline] sctp_listen_start net/sctp/socket.c:8567 [inline] sctp_inet_listen+0x710/0xfd0 net/sctp/socket.c:8636 __sys_listen_socket net/socket.c:1912 [inline] __sys_listen net/socket.c:1927 [inline] __do_sys_listen net/socket.c:1932 [inline] __se_sys_listen net/socket.c:1930 [inline] __x64_sys_listen+0x343/0x4c0 net/socket.c:1930 x64_sys_call+0x271d/0x3e20 arch/x86/include/generated/asm/syscalls_64.h:51 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd9/0x210 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Local variable addr.i.i created at: sctp_get_port net/sctp/socket.c:8515 [inline] sctp_listen_start net/sctp/socket.c:8567 [inline] sctp_inet_listen+0x650/0xfd0 net/sctp/socket.c:8636 __sys_listen_socket net/socket.c:1912 [inline] __sys_listen net/socket.c:1927 [inline] __do_sys_listen net/socket.c:1932 [inline] __se_sys_listen net/socket.c:1930 [inline] __x64_sys_listen+0x343/0x4c0 net/socket.c:1930 Уязвимость функции sctp_v6_from_sk() ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ftrace: Fix potential warning in trace_printk_seq during ftrace_dump When calling ftrace_dump_one() concurrently with reading trace_pipe, a WARN_ON_ONCE() in trace_printk_seq() can be triggered due to a race condition. The issue occurs because: CPU0 (ftrace_dump) CPU1 (reader) echo z > /proc/sysrq-trigger !trace_empty(&iter) trace_iterator_reset(&iter) <- len = size = 0 cat /sys/kernel/tracing/trace_pipe trace_find_next_entry_inc(&iter) __find_next_entry ring_buffer_empty_cpu <- all empty return NULL trace_printk_seq(&iter.seq) WARN_ON_ONCE(s->seq.len >= s->seq.size) In the context between trace_empty() and trace_find_next_entry_inc() during ftrace_dump, the ring buffer data was consumed by other readers. This caused trace_find_next_entry_inc to return NULL, failing to populate `iter.seq`. At this point, due to the prior trace_iterator_reset, both `iter.seq.len` and `iter.seq.size` were set to 0. Since they are equal, the WARN_ON_ONCE condition is triggered. Move the trace_printk_seq() into the if block that checks to make sure the return value of trace_find_next_entry_inc() is non-NULL in ftrace_dump_one(), ensuring the 'iter.seq' is properly populated before subsequent operations. Уязвимость функции trace_printk_seq() ядра операционной системы Linux связана с неконтролируемым элементом пути поиска. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RISC-V: KVM: fix stack overrun when loading vlenb The userspace load can put up to 2048 bits into an xlen bit stack buffer. We want only xlen bits, so check the size beforehand. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: efivarfs: Fix slab-out-of-bounds in efivarfs_d_compare Observed on kernel 6.6 (present on master as well): BUG: KASAN: slab-out-of-bounds in memcmp+0x98/0xd0 Call trace: kasan_check_range+0xe8/0x190 __asan_loadN+0x1c/0x28 memcmp+0x98/0xd0 efivarfs_d_compare+0x68/0xd8 __d_lookup_rcu_op_compare+0x178/0x218 __d_lookup_rcu+0x1f8/0x228 d_alloc_parallel+0x150/0x648 lookup_open.isra.0+0x5f0/0x8d0 open_last_lookups+0x264/0x828 path_openat+0x130/0x3f8 do_filp_open+0x114/0x248 do_sys_openat2+0x340/0x3c0 __arm64_sys_openat+0x120/0x1a0 If dentry->d_name.len < EFI_VARIABLE_GUID_LEN , 'guid' can become negative, leadings to oob. The issue can be triggered by parallel lookups using invalid filename: T1 T2 lookup_open ->lookup simple_lookup d_add // invalid dentry is added to hash list lookup_open d_alloc_parallel __d_lookup_rcu __d_lookup_rcu_op_compare hlist_bl_for_each_entry_rcu // invalid dentry can be retrieved ->d_compare efivarfs_d_compare // oob Fix it by checking 'guid' before cmp. Уязвимость компонента efivarfs ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/smb: Fix inconsistent refcnt update A possible inconsistent update of refcount was identified in `smb2_compound_op`. Such inconsistent update could lead to possible resource leaks. Why it is a possible bug: 1. In the comment section of the function, it clearly states that the reference to `cfile` should be dropped after calling this function. 2. Every control flow path would check and drop the reference to `cfile`, except the patched one. 3. Existing callers would not handle refcount update of `cfile` if -ENOMEM is returned. To fix the bug, an extra goto label "out" is added, to make sure that the cleanup logic would always be respected. As the problem is caused by the allocation failure of `vars`, the cleanup logic between label "finished" and "out" can be safely ignored. According to the definition of function `is_replayable_error`, the error code of "-ENOMEM" is not recoverable. Therefore, the replay logic also gets ignored. Уязвимость компонента fs/smb ядра операционной системы Linux связана с реализацией некорректного потока управления. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: use array_index_nospec with indices that come from guest min and dest_id are guest-controlled indices. Using array_index_nospec() after the bounds checks clamps these values to mitigate speculative execution side-channels. Уязвимость функции rray_index_nospec() ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: asus: fix UAF via HID_CLAIMED_INPUT validation After hid_hw_start() is called hidinput_connect() will eventually be called to set up the device with the input layer since the HID_CONNECT_DEFAULT connect mask is used. During hidinput_connect() all input and output reports are processed and corresponding hid_inputs are allocated and configured via hidinput_configure_usages(). This process involves slot tagging report fields and configuring usages by setting relevant bits in the capability bitmaps. However it is possible that the capability bitmaps are not set at all leading to the subsequent hidinput_has_been_populated() check to fail leading to the freeing of the hid_input and the underlying input device. This becomes problematic because a malicious HID device like a ASUS ROG N-Key keyboard can trigger the above scenario via a specially crafted descriptor which then leads to a user-after-free when the name of the freed input device is written to later on after hid_hw_start(). Below, report 93 intentionally utilises the HID_UP_UNDEFINED Usage Page which is skipped during usage configuration, leading to the frees. 0x05, 0x0D, // Usage Page (Digitizer) 0x09, 0x05, // Usage (Touch Pad) 0xA1, 0x01, // Collection (Application) 0x85, 0x0D, // Report ID (13) 0x06, 0x00, 0xFF, // Usage Page (Vendor Defined 0xFF00) 0x09, 0xC5, // Usage (0xC5) 0x15, 0x00, // Logical Minimum (0) 0x26, 0xFF, 0x00, // Logical Maximum (255) 0x75, 0x08, // Report Size (8) 0x95, 0x04, // Report Count (4) 0xB1, 0x02, // Feature (Data,Var,Abs) 0x85, 0x5D, // Report ID (93) 0x06, 0x00, 0x00, // Usage Page (Undefined) 0x09, 0x01, // Usage (0x01) 0x15, 0x00, // Logical Minimum (0) 0x26, 0xFF, 0x00, // Logical Maximum (255) 0x75, 0x08, // Report Size (8) 0x95, 0x1B, // Report Count (27) 0x81, 0x02, // Input (Data,Var,Abs) 0xC0, // End Collection Below is the KASAN splat after triggering the UAF: [ 21.672709] ================================================================== [ 21.673700] BUG: KASAN: slab-use-after-free in asus_probe+0xeeb/0xf80 [ 21.673700] Write of size 8 at addr ffff88810a0ac000 by task kworker/1:2/54 [ 21.673700] [ 21.673700] CPU: 1 UID: 0 PID: 54 Comm: kworker/1:2 Not tainted 6.16.0-rc4-g9773391cf4dd-dirty #36 PREEMPT(voluntary) [ 21.673700] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.2-debian-1.16.2-1 04/01/2014 [ 21.673700] Call Trace: [ 21.673700] <TASK> [ 21.673700] dump_stack_lvl+0x5f/0x80 [ 21.673700] print_report+0xd1/0x660 [ 21.673700] kasan_report+0xe5/0x120 [ 21.673700] __asan_report_store8_noabort+0x1b/0x30 [ 21.673700] asus_probe+0xeeb/0xf80 [ 21.673700] hid_device_probe+0x2ee/0x700 [ 21.673700] really_probe+0x1c6/0x6b0 [ 21.673700] __driver_probe_device+0x24f/0x310 [ 21.673700] driver_probe_device+0x4e/0x220 [...] [ 21.673700] [ 21.673700] Allocated by task 54: [ 21.673700] kasan_save_stack+0x3d/0x60 [ 21.673700] kasan_save_track+0x18/0x40 [ 21.673700] kasan_save_alloc_info+0x3b/0x50 [ 21.673700] __kasan_kmalloc+0x9c/0xa0 [ 21.673700] __kmalloc_cache_noprof+0x139/0x340 [ 21.673700] input_allocate_device+0x44/0x370 [ 21.673700] hidinput_connect+0xcb6/0x2630 [ 21.673700] hid_connect+0xf74/0x1d60 [ 21.673700] hid_hw_start+0x8c/0x110 [ 21.673700] asus_probe+0x5a3/0xf80 [ 21.673700] hid_device_probe+0x2ee/0x700 [ 21.673700] really_probe+0x1c6/0x6b0 [ 21.673700] __driver_probe_device+0x24f/0x310 [ 21.673700] driver_probe_device+0x4e/0x220 [...] [ 21.673700] [ 21.673700] Freed by task 54: [ 21.673700] kasan_save_stack+0x3d/0x60 [ 21.673700] kasan_save_track+0x18/0x40 [ 21.673700] kasan_save_free_info+0x3f/0x60 [ 21.673700] __kasan_slab_free+0x3c/0x50 [ 21.673700] kfre ---truncated--- Уязвимость компонента hid-asus.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix race with concurrent opens in rename(2) Besides sending the rename request to the server, the rename process also involves closing any deferred close, waiting for outstanding I/O to complete as well as marking all existing open handles as deleted to prevent them from deferring closes, which increases the race window for potential concurrent opens on the target file. Fix this by unhashing the dentry in advance to prevent any concurrent opens on the target. Уязвимость компонента inode.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: rose: convert 'use' field to refcount_t The 'use' field in struct rose_neigh is used as a reference counter but lacks atomicity. This can lead to race conditions where a rose_neigh structure is freed while still being referenced by other code paths. For example, when rose_neigh->use becomes zero during an ioctl operation via rose_rt_ioctl(), the structure may be removed while its timer is still active, potentially causing use-after-free issues. This patch changes the type of 'use' from unsigned short to refcount_t and updates all code paths to use rose_neigh_hold() and rose_neigh_put() which operate reference counts atomically. Уязвимость компонентов rose ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: rose: include node references in rose_neigh refcount Current implementation maintains two separate reference counting mechanisms: the 'count' field in struct rose_neigh tracks references from rose_node structures, while the 'use' field (now refcount_t) tracks references from rose_sock. This patch merges these two reference counting systems using 'use' field for proper reference management. Specifically, this patch adds incrementing and decrementing of rose_neigh->use when rose_neigh->count is incremented or decremented. This patch also modifies rose_rt_free(), rose_rt_device_down() and rose_clear_route() to properly release references to rose_neigh objects before freeing a rose_node through rose_remove_node(). These changes ensure rose_neigh structures are properly freed only when all references, including those from rose_node structures, are released. As a result, this resolves a slab-use-after-free issue reported by Syzbot. Уязвимость компонента rose_route.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: atm: atmtcp: Prevent arbitrary write in atmtcp_recv_control(). syzbot reported the splat below. [0] When atmtcp_v_open() or atmtcp_v_close() is called via connect() or close(), atmtcp_send_control() is called to send an in-kernel special message. The message has ATMTCP_HDR_MAGIC in atmtcp_control.hdr.length. Also, a pointer of struct atm_vcc is set to atmtcp_control.vcc. The notable thing is struct atmtcp_control is uAPI but has a space for an in-kernel pointer. struct atmtcp_control { struct atmtcp_hdr hdr; /* must be first */ ... atm_kptr_t vcc; /* both directions */ ... } __ATM_API_ALIGN; typedef struct { unsigned char _[8]; } __ATM_API_ALIGN atm_kptr_t; The special message is processed in atmtcp_recv_control() called from atmtcp_c_send(). atmtcp_c_send() is vcc->dev->ops->send() and called from 2 paths: 1. .ndo_start_xmit() (vcc->send() == atm_send_aal0()) 2. vcc_sendmsg() The problem is sendmsg() does not validate the message length and userspace can abuse atmtcp_recv_control() to overwrite any kptr by atmtcp_control. Let's add a new ->pre_send() hook to validate messages from sendmsg(). [0]: Oops: general protection fault, probably for non-canonical address 0xdffffc00200000ab: 0000 [#1] SMP KASAN PTI KASAN: probably user-memory-access in range [0x0000000100000558-0x000000010000055f] CPU: 0 UID: 0 PID: 5865 Comm: syz-executor331 Not tainted 6.17.0-rc1-syzkaller-00215-gbab3ce404553 #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 07/12/2025 RIP: 0010:atmtcp_recv_control drivers/atm/atmtcp.c:93 [inline] RIP: 0010:atmtcp_c_send+0x1da/0x950 drivers/atm/atmtcp.c:297 Code: 4d 8d 75 1a 4c 89 f0 48 c1 e8 03 42 0f b6 04 20 84 c0 0f 85 15 06 00 00 41 0f b7 1e 4d 8d b7 60 05 00 00 4c 89 f0 48 c1 e8 03 <42> 0f b6 04 20 84 c0 0f 85 13 06 00 00 66 41 89 1e 4d 8d 75 1c 4c RSP: 0018:ffffc90003f5f810 EFLAGS: 00010203 RAX: 00000000200000ab RBX: 0000000000000000 RCX: 0000000000000000 RDX: ffff88802a510000 RSI: 00000000ffffffff RDI: ffff888030a6068c RBP: ffff88802699fb40 R08: ffff888030a606eb R09: 1ffff1100614c0dd R10: dffffc0000000000 R11: ffffffff8718fc40 R12: dffffc0000000000 R13: ffff888030a60680 R14: 000000010000055f R15: 00000000ffffffff FS: 00007f8d7e9236c0(0000) GS:ffff888125c1c000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000000045ad50 CR3: 0000000075bde000 CR4: 00000000003526f0 Call Trace: <TASK> vcc_sendmsg+0xa10/0xc60 net/atm/common.c:645 sock_sendmsg_nosec net/socket.c:714 [inline] __sock_sendmsg+0x219/0x270 net/socket.c:729 ____sys_sendmsg+0x505/0x830 net/socket.c:2614 ___sys_sendmsg+0x21f/0x2a0 net/socket.c:2668 __sys_sendmsg net/socket.c:2700 [inline] __do_sys_sendmsg net/socket.c:2705 [inline] __se_sys_sendmsg net/socket.c:2703 [inline] __x64_sys_sendmsg+0x19b/0x260 net/socket.c:2703 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f8d7e96a4a9 Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 51 18 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b0 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f8d7e923198 EFLAGS: 00000246 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 00007f8d7e9f4308 RCX: 00007f8d7e96a4a9 RDX: 0000000000000000 RSI: 0000200000000240 RDI: 0000000000000005 RBP: 00007f8d7e9f4300 R08: 65732f636f72702f R09: 65732f636f72702f R10: 65732f636f72702f R11: 0000000000000246 R12: 00007f8d7e9c10ac R13: 00007f8d7e9231a0 R14: 0000200000000200 R15: 0000200000000250 </TASK> Modules linked in: Уязвимость компонентов atm ядра операционной системы Linux связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: trace/fgraph: Fix the warning caused by missing unregister notifier This warning was triggered during testing on v6.16: notifier callback ftrace_suspend_notifier_call already registered WARNING: CPU: 2 PID: 86 at kernel/notifier.c:23 notifier_chain_register+0x44/0xb0 ... Call Trace: <TASK> blocking_notifier_chain_register+0x34/0x60 register_ftrace_graph+0x330/0x410 ftrace_profile_write+0x1e9/0x340 vfs_write+0xf8/0x420 ? filp_flush+0x8a/0xa0 ? filp_close+0x1f/0x30 ? do_dup2+0xaf/0x160 ksys_write+0x65/0xe0 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x77/0x7f When writing to the function_profile_enabled interface, the notifier was not unregistered after start_graph_tracing failed, causing a warning the next time function_profile_enabled was written. Fixed by adding unregister_pm_notifier in the exception path. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbnic: Move phylink resume out of service_task and into open/close The fbnic driver was presenting with the following locking assert coming out of a PM resume: [ 42.208116][ T164] RTNL: assertion failed at drivers/net/phy/phylink.c (2611) [ 42.208492][ T164] WARNING: CPU: 1 PID: 164 at drivers/net/phy/phylink.c:2611 phylink_resume+0x190/0x1e0 [ 42.208872][ T164] Modules linked in: [ 42.209140][ T164] CPU: 1 UID: 0 PID: 164 Comm: bash Not tainted 6.17.0-rc2-virtme #134 PREEMPT(full) [ 42.209496][ T164] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.17.0-5.fc42 04/01/2014 [ 42.209861][ T164] RIP: 0010:phylink_resume+0x190/0x1e0 [ 42.210057][ T164] Code: 83 e5 01 0f 85 b0 fe ff ff c6 05 1c cd 3e 02 01 90 ba 33 0a 00 00 48 c7 c6 20 3a 1d a5 48 c7 c7 e0 3e 1d a5 e8 21 b8 90 fe 90 <0f> 0b 90 90 e9 86 fe ff ff e8 42 ea 1f ff e9 e2 fe ff ff 48 89 ef [ 42.210708][ T164] RSP: 0018:ffffc90000affbd8 EFLAGS: 00010296 [ 42.210983][ T164] RAX: 0000000000000000 RBX: ffff8880078d8400 RCX: 0000000000000000 [ 42.211235][ T164] RDX: 0000000000000000 RSI: 1ffffffff4f10938 RDI: 0000000000000001 [ 42.211466][ T164] RBP: 0000000000000000 R08: ffffffffa2ae79ea R09: fffffbfff4b3eb84 [ 42.211707][ T164] R10: 0000000000000003 R11: 0000000000000000 R12: ffff888007ad8000 [ 42.211997][ T164] R13: 0000000000000002 R14: ffff888006a18800 R15: ffffffffa34c59e0 [ 42.212234][ T164] FS: 00007f0dc8e39740(0000) GS:ffff88808f51f000(0000) knlGS:0000000000000000 [ 42.212505][ T164] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 42.212704][ T164] CR2: 00007f0dc8e9fe10 CR3: 000000000b56d003 CR4: 0000000000772ef0 [ 42.213227][ T164] PKRU: 55555554 [ 42.213366][ T164] Call Trace: [ 42.213483][ T164] <TASK> [ 42.213565][ T164] __fbnic_pm_attach.isra.0+0x8e/0xa0 [ 42.213725][ T164] pci_reset_function+0x116/0x1d0 [ 42.213895][ T164] reset_store+0xa0/0x100 [ 42.214025][ T164] ? pci_dev_reset_attr_is_visible+0x50/0x50 [ 42.214221][ T164] ? sysfs_file_kobj+0xc1/0x1e0 [ 42.214374][ T164] ? sysfs_kf_write+0x65/0x160 [ 42.214526][ T164] kernfs_fop_write_iter+0x2f8/0x4c0 [ 42.214677][ T164] ? kernfs_vma_page_mkwrite+0x1f0/0x1f0 [ 42.214836][ T164] new_sync_write+0x308/0x6f0 [ 42.214987][ T164] ? __lock_acquire+0x34c/0x740 [ 42.215135][ T164] ? new_sync_read+0x6f0/0x6f0 [ 42.215288][ T164] ? lock_acquire.part.0+0xbc/0x260 [ 42.215440][ T164] ? ksys_write+0xff/0x200 [ 42.215590][ T164] ? perf_trace_sched_switch+0x6d0/0x6d0 [ 42.215742][ T164] vfs_write+0x65e/0xbb0 [ 42.215876][ T164] ksys_write+0xff/0x200 [ 42.215994][ T164] ? __ia32_sys_read+0xc0/0xc0 [ 42.216141][ T164] ? do_user_addr_fault+0x269/0x9f0 [ 42.216292][ T164] ? rcu_is_watching+0x15/0xd0 [ 42.216442][ T164] do_syscall_64+0xbb/0x360 [ 42.216591][ T164] entry_SYSCALL_64_after_hwframe+0x4b/0x53 [ 42.216784][ T164] RIP: 0033:0x7f0dc8ea9986 A bit of digging showed that we were invoking the phylink_resume as a part of the fbnic_up path when we were enabling the service task while not holding the RTNL lock. We should be enabling this sooner as a part of the ndo_open path and then just letting the service task come online later. This will help to enforce the correct locking and brings the phylink interface online at the same time as the network interface, instead of at a later time. I tested this on QEMU to verify this was working by putting the system to sleep using "echo mem > /sys/power/state" to put the system to sleep in the guest and then using the command "system_wakeup" in the QEMU monitor. Уязвимость драйвера fbnic ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Fix lockdep assertion on sync reset unload event Fix lockdep assertion triggered during sync reset unload event. When the sync reset flow is initiated using the devlink reload fw_activate option, the PF already holds the devlink lock while handling unload event. In this case, delegate sync reset unload event handling back to the devlink callback process to avoid double-locking and resolve the lockdep warning. Kernel log: WARNING: CPU: 9 PID: 1578 at devl_assert_locked+0x31/0x40 [...] Call Trace: <TASK> mlx5_unload_one_devl_locked+0x2c/0xc0 [mlx5_core] mlx5_sync_reset_unload_event+0xaf/0x2f0 [mlx5_core] process_one_work+0x222/0x640 worker_thread+0x199/0x350 kthread+0x10b/0x230 ? __pfx_worker_thread+0x10/0x10 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x8e/0x100 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Уязвимость компонентов net/mlx5 ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfs: do not propagate ENODATA disk errors into xattr code ENODATA (aka ENOATTR) has a very specific meaning in the xfs xattr code; namely, that the requested attribute name could not be found. However, a medium error from disk may also return ENODATA. At best, this medium error may escape to userspace as "attribute not found" when in fact it's an IO (disk) error. At worst, we may oops in xfs_attr_leaf_get() when we do: error = xfs_attr_leaf_hasname(args, &bp); if (error == -ENOATTR) { xfs_trans_brelse(args->trans, bp); return error; } because an ENODATA/ENOATTR error from disk leaves us with a null bp, and the xfs_trans_brelse will then null-deref it. As discussed on the list, we really need to modify the lower level IO functions to trap all disk errors and ensure that we don't let unique errors like this leak up into higher xfs functions - many like this should be remapped to EIO. However, this patch directly addresses a reported bug in the xattr code, and should be safe to backport to stable kernels. A larger-scope patch to handle more unique errors at lower levels can follow later. (Note, prior to 07120f1abdff we did not oops, but we did return the wrong error code to userspace.) Уязвимость компонента xfs ядра операционной системы Linux связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: efi: stmm: Fix incorrect buffer allocation method The communication buffer allocated by setup_mm_hdr() is later on passed to tee_shm_register_kernel_buf(). The latter expects those buffers to be contiguous pages, but setup_mm_hdr() just uses kmalloc(). That can cause various corruptions or BUGs, specifically since commit 9aec2fb0fd5e ("slab: allocate frozen pages"), though it was broken before as well. Fix this by using alloc_pages_exact() instead of kmalloc(). Уязвимость компонентов efi ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: prevent NULL pointer dereference in UTF16 conversion There can be a NULL pointer dereference bug here. NULL is passed to __cifs_sfu_make_node without checks, which passes it unchecked to cifs_strndup_to_utf16, which in turn passes it to cifs_local_to_utf16_bytes where '*from' is dereferenced, causing a crash. This patch adds a check for NULL 'src' in cifs_strndup_to_utf16 and returns NULL early to prevent dereferencing NULL pointer. Found by Linux Verification Center (linuxtesting.org) with SVACE Уязвимость компонента cifs_unicode.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: batman-adv: fix OOB read/write in network-coding decode batadv_nc_skb_decode_packet() trusts coded_len and checks only against skb->len. XOR starts at sizeof(struct batadv_unicast_packet), reducing payload headroom, and the source skb length is not verified, allowing an out-of-bounds read and a small out-of-bounds write. Validate that coded_len fits within the payload area of both destination and source sk_buffs before XORing. Уязвимость компонента network-coding.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Fix buffer free/clear order in deferred receive path Fix a use-after-free window by correcting the buffer release sequence in the deferred receive path. The code freed the RQ buffer first and only then cleared the context pointer under the lock. Concurrent paths (e.g., ABTS and the repost path) also inspect and release the same pointer under the lock, so the old order could lead to double-free/UAF. Note that the repost path already uses the correct pattern: detach the pointer under the lock, then free it after dropping the lock. The deferred path should do the same. Уязвимость компонента lpfc_nvmet.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ocfs2: prevent release journal inode after journal shutdown Before calling ocfs2_delete_osb(), ocfs2_journal_shutdown() has already been executed in ocfs2_dismount_volume(), so osb->journal must be NULL. Therefore, the following calltrace will inevitably fail when it reaches jbd2_journal_release_jbd_inode(). ocfs2_dismount_volume()-> ocfs2_delete_osb()-> ocfs2_free_slot_info()-> __ocfs2_free_slot_info()-> evict()-> ocfs2_evict_inode()-> ocfs2_clear_inode()-> jbd2_journal_release_jbd_inode(osb->journal->j_journal, Adding osb->journal checks will prevent null-ptr-deref during the above execution path. Уязвимость функции ocfs2_delete_osb() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm: slub: avoid wake up kswapd in set_track_prepare set_track_prepare() can incur lock recursion. The issue is that it is called from hrtimer_start_range_ns holding the per_cpu(hrtimer_bases)[n].lock, but when enabled CONFIG_DEBUG_OBJECTS_TIMERS, may wake up kswapd in set_track_prepare, and try to hold the per_cpu(hrtimer_bases)[n].lock. Avoid deadlock caused by implicitly waking up kswapd by passing in allocation flags, which do not contain __GFP_KSWAPD_RECLAIM in the debug_objects_fill_pool() case. Inside stack depot they are processed by gfp_nested_mask(). Since ___slab_alloc() has preemption disabled, we mask out __GFP_DIRECT_RECLAIM from the flags there. The oops looks something like: BUG: spinlock recursion on CPU#3, swapper/3/0 lock: 0xffffff8a4bf29c80, .magic: dead4ead, .owner: swapper/3/0, .owner_cpu: 3 Hardware name: Qualcomm Technologies, Inc. Popsicle based on SM8850 (DT) Call trace: spin_bug+0x0 _raw_spin_lock_irqsave+0x80 hrtimer_try_to_cancel+0x94 task_contending+0x10c enqueue_dl_entity+0x2a4 dl_server_start+0x74 enqueue_task_fair+0x568 enqueue_task+0xac do_activate_task+0x14c ttwu_do_activate+0xcc try_to_wake_up+0x6c8 default_wake_function+0x20 autoremove_wake_function+0x1c __wake_up+0xac wakeup_kswapd+0x19c wake_all_kswapds+0x78 __alloc_pages_slowpath+0x1ac __alloc_pages_noprof+0x298 stack_depot_save_flags+0x6b0 stack_depot_save+0x14 set_track_prepare+0x5c ___slab_alloc+0xccc __kmalloc_cache_noprof+0x470 __set_page_owner+0x2bc post_alloc_hook[jt]+0x1b8 prep_new_page+0x28 get_page_from_freelist+0x1edc __alloc_pages_noprof+0x13c alloc_slab_page+0x244 allocate_slab+0x7c ___slab_alloc+0x8e8 kmem_cache_alloc_noprof+0x450 debug_objects_fill_pool+0x22c debug_object_activate+0x40 enqueue_hrtimer[jt]+0xdc hrtimer_start_range_ns+0x5f8 ... Уязвимость компонента slub.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm: move page table sync declarations to linux/pgtable.h During our internal testing, we started observing intermittent boot failures when the machine uses 4-level paging and has a large amount of persistent memory: BUG: unable to handle page fault for address: ffffe70000000034 #PF: supervisor write access in kernel mode #PF: error_code(0x0002) - not-present page PGD 0 P4D 0 Oops: 0002 [#1] SMP NOPTI RIP: 0010:__init_single_page+0x9/0x6d Call Trace: <TASK> __init_zone_device_page+0x17/0x5d memmap_init_zone_device+0x154/0x1bb pagemap_range+0x2e0/0x40f memremap_pages+0x10b/0x2f0 devm_memremap_pages+0x1e/0x60 dev_dax_probe+0xce/0x2ec [device_dax] dax_bus_probe+0x6d/0xc9 [... snip ...] </TASK> It turns out that the kernel panics while initializing vmemmap (struct page array) when the vmemmap region spans two PGD entries, because the new PGD entry is only installed in init_mm.pgd, but not in the page tables of other tasks. And looking at __populate_section_memmap(): if (vmemmap_can_optimize(altmap, pgmap)) // does not sync top level page tables r = vmemmap_populate_compound_pages(pfn, start, end, nid, pgmap); else // sync top level page tables in x86 r = vmemmap_populate(start, end, nid, altmap); In the normal path, vmemmap_populate() in arch/x86/mm/init_64.c synchronizes the top level page table (See commit 9b861528a801 ("x86-64, mem: Update all PGDs for direct mapping and vmemmap mapping changes")) so that all tasks in the system can see the new vmemmap area. However, when vmemmap_can_optimize() returns true, the optimized path skips synchronization of top-level page tables. This is because vmemmap_populate_compound_pages() is implemented in core MM code, which does not handle synchronization of the top-level page tables. Instead, the core MM has historically relied on each architecture to perform this synchronization manually. We're not the first party to encounter a crash caused by not-sync'd top level page tables: earlier this year, Gwan-gyeong Mun attempted to address the issue [1] [2] after hitting a kernel panic when x86 code accessed the vmemmap area before the corresponding top-level entries were synced. At that time, the issue was believed to be triggered only when struct page was enlarged for debugging purposes, and the patch did not get further updates. It turns out that current approach of relying on each arch to handle the page table sync manually is fragile because 1) it's easy to forget to sync the top level page table, and 2) it's also easy to overlook that the kernel should not access the vmemmap and direct mapping areas before the sync. # The solution: Make page table sync more code robust and harder to miss To address this, Dave Hansen suggested [3] [4] introducing {pgd,p4d}_populate_kernel() for updating kernel portion of the page tables and allow each architecture to explicitly perform synchronization when installing top-level entries. With this approach, we no longer need to worry about missing the sync step, reducing the risk of future regressions. The new interface reuses existing ARCH_PAGE_TABLE_SYNC_MASK, PGTBL_P*D_MODIFIED and arch_sync_kernel_mappings() facility used by vmalloc and ioremap to synchronize page tables. pgd_populate_kernel() looks like this: static inline void pgd_populate_kernel(unsigned long addr, pgd_t *pgd, p4d_t *p4d) { pgd_populate(&init_mm, pgd, p4d); if (ARCH_PAGE_TABLE_SYNC_MASK & PGTBL_PGD_MODIFIED) arch_sync_kernel_mappings(addr, addr); } It is worth noting that vmalloc() and apply_to_range() carefully synchronizes page tables by calling p*d_alloc_track() and arch_sync_kernel_mappings(), and thus they are not affected by ---truncated--- Уязвимость функции __populate_section_memmap() ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/mm/64: define ARCH_PAGE_TABLE_SYNC_MASK and arch_sync_kernel_mappings() Define ARCH_PAGE_TABLE_SYNC_MASK and arch_sync_kernel_mappings() to ensure page tables are properly synchronized when calling p*d_populate_kernel(). For 5-level paging, synchronization is performed via pgd_populate_kernel(). In 4-level paging, pgd_populate() is a no-op, so synchronization is instead performed at the P4D level via p4d_populate_kernel(). This fixes intermittent boot failures on systems using 4-level paging and a large amount of persistent memory: BUG: unable to handle page fault for address: ffffe70000000034 #PF: supervisor write access in kernel mode #PF: error_code(0x0002) - not-present page PGD 0 P4D 0 Oops: 0002 [#1] SMP NOPTI RIP: 0010:__init_single_page+0x9/0x6d Call Trace: <TASK> __init_zone_device_page+0x17/0x5d memmap_init_zone_device+0x154/0x1bb pagemap_range+0x2e0/0x40f memremap_pages+0x10b/0x2f0 devm_memremap_pages+0x1e/0x60 dev_dax_probe+0xce/0x2ec [device_dax] dax_bus_probe+0x6d/0xc9 [... snip ...] </TASK> It also fixes a crash in vmemmap_set_pmd() caused by accessing vmemmap before sync_global_pgds() [1]: BUG: unable to handle page fault for address: ffffeb3ff1200000 #PF: supervisor write access in kernel mode #PF: error_code(0x0002) - not-present page PGD 0 P4D 0 Oops: Oops: 0002 [#1] PREEMPT SMP NOPTI Tainted: [W]=WARN RIP: 0010:vmemmap_set_pmd+0xff/0x230 <TASK> vmemmap_populate_hugepages+0x176/0x180 vmemmap_populate+0x34/0x80 __populate_section_memmap+0x41/0x90 sparse_add_section+0x121/0x3e0 __add_pages+0xba/0x150 add_pages+0x1d/0x70 memremap_pages+0x3dc/0x810 devm_memremap_pages+0x1c/0x60 xe_devm_add+0x8b/0x100 [xe] xe_tile_init_noalloc+0x6a/0x70 [xe] xe_device_probe+0x48c/0x740 [xe] [... snip ...] Уязвимость функции arch_sync_kernel_mappings() ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pcmcia: Fix a NULL pointer dereference in __iodyn_find_io_region() In __iodyn_find_io_region(), pcmcia_make_resource() is assigned to res and used in pci_bus_alloc_resource(). There is a dereference of res in pci_bus_alloc_resource(), which could lead to a NULL pointer dereference on failure of pcmcia_make_resource(). Fix this bug by adding a check of res. Уязвимость функции __iodyn_find_io_region() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ppp: fix memory leak in pad_compress_skb If alloc_skb() fails in pad_compress_skb(), it returns NULL without releasing the old skb. The caller does: skb = pad_compress_skb(ppp, skb); if (!skb) goto drop; drop: kfree_skb(skb); When pad_compress_skb() returns NULL, the reference to the old skb is lost and kfree_skb(skb) ends up doing nothing, leading to a memory leak. Align pad_compress_skb() semantics with realloc(): only free the old skb if allocation and compression succeed. At the call site, use the new_skb variable so the original skb is not lost when pad_compress_skb() fails. Уязвимость функции pad_compress_skb() модуля drivers/net/ppp/ppp_generic.c ядра операционной системы Linux отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ax25: properly unshare skbs in ax25_kiss_rcv() Bernard Pidoux reported a regression apparently caused by commit c353e8983e0d ("net: introduce per netns packet chains"). skb->dev becomes NULL and we crash in __netif_receive_skb_core(). Before above commit, different kind of bugs or corruptions could happen without a major crash. But the root cause is that ax25_kiss_rcv() can queue/mangle input skb without checking if this skb is shared or not. Many thanks to Bernard Pidoux for his help, diagnosis and tests. We had a similar issue years ago fixed with commit 7aaed57c5c28 ("phonet: properly unshare skbs in phonet_rcv()"). Уязвимость функции ax25_kiss_rcv() модуля ax25_kiss_rcv ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: sme: cap SSID length in __cfg80211_connect_result() If the ssid->datalen is more than IEEE80211_MAX_SSID_LEN (32) it would lead to memory corruption so add some bounds checking. Уязвимость функции SSID в __cfg80211_connect_result() модуля net/wireless/sme.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vxlan: Fix NPD in {arp,neigh}_reduce() when using nexthop objects When the "proxy" option is enabled on a VXLAN device, the device will suppress ARP requests and IPv6 Neighbor Solicitation messages if it is able to reply on behalf of the remote host. That is, if a matching and valid neighbor entry is configured on the VXLAN device whose MAC address is not behind the "any" remote (0.0.0.0 / ::). The code currently assumes that the FDB entry for the neighbor's MAC address points to a valid remote destination, but this is incorrect if the entry is associated with an FDB nexthop group. This can result in a NPD [1][3] which can be reproduced using [2][4]. Fix by checking that the remote destination exists before dereferencing it. [1] BUG: kernel NULL pointer dereference, address: 0000000000000000 [...] CPU: 4 UID: 0 PID: 365 Comm: arping Not tainted 6.17.0-rc2-virtme-g2a89cb21162c #2 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-4.fc41 04/01/2014 RIP: 0010:vxlan_xmit+0xb58/0x15f0 [...] Call Trace: <TASK> dev_hard_start_xmit+0x5d/0x1c0 __dev_queue_xmit+0x246/0xfd0 packet_sendmsg+0x113a/0x1850 __sock_sendmsg+0x38/0x70 __sys_sendto+0x126/0x180 __x64_sys_sendto+0x24/0x30 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x4b/0x53 [2] #!/bin/bash ip address add 192.0.2.1/32 dev lo ip nexthop add id 1 via 192.0.2.2 fdb ip nexthop add id 10 group 1 fdb ip link add name vx0 up type vxlan id 10010 local 192.0.2.1 dstport 4789 proxy ip neigh add 192.0.2.3 lladdr 00:11:22:33:44:55 nud perm dev vx0 bridge fdb add 00:11:22:33:44:55 dev vx0 self static nhid 10 arping -b -c 1 -s 192.0.2.1 -I vx0 192.0.2.3 [3] BUG: kernel NULL pointer dereference, address: 0000000000000000 [...] CPU: 13 UID: 0 PID: 372 Comm: ndisc6 Not tainted 6.17.0-rc2-virtmne-g6ee90cb26014 #3 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1v996), BIOS 1.17.0-4.fc41 04/01/2x014 RIP: 0010:vxlan_xmit+0x803/0x1600 [...] Call Trace: <TASK> dev_hard_start_xmit+0x5d/0x1c0 __dev_queue_xmit+0x246/0xfd0 ip6_finish_output2+0x210/0x6c0 ip6_finish_output+0x1af/0x2b0 ip6_mr_output+0x92/0x3e0 ip6_send_skb+0x30/0x90 rawv6_sendmsg+0xe6e/0x12e0 __sock_sendmsg+0x38/0x70 __sys_sendto+0x126/0x180 __x64_sys_sendto+0x24/0x30 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x7f383422ec77 [4] #!/bin/bash ip address add 2001:db8:1::1/128 dev lo ip nexthop add id 1 via 2001:db8:1::1 fdb ip nexthop add id 10 group 1 fdb ip link add name vx0 up type vxlan id 10010 local 2001:db8:1::1 dstport 4789 proxy ip neigh add 2001:db8:1::3 lladdr 00:11:22:33:44:55 nud perm dev vx0 bridge fdb add 00:11:22:33:44:55 dev vx0 self static nhid 10 ndisc6 -r 1 -s 2001:db8:1::1 -w 1 2001:db8:1::3 vx0 [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vxlan: Fix NPD when refreshing an FDB entry with a nexthop object VXLAN FDB entries can point to either a remote destination or an FDB nexthop group. The latter is usually used in EVPN deployments where learning is disabled. However, when learning is enabled, an incoming packet might try to refresh an FDB entry that points to an FDB nexthop group and therefore does not have a remote. Such packets should be dropped, but they are only dropped after dereferencing the non-existent remote, resulting in a NPD [1] which can be reproduced using [2]. Fix by dropping such packets earlier. Remove the misleading comment from first_remote_rcu(). [1] BUG: kernel NULL pointer dereference, address: 0000000000000000 [...] CPU: 13 UID: 0 PID: 361 Comm: mausezahn Not tainted 6.17.0-rc1-virtme-g9f6b606b6b37 #1 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-4.fc41 04/01/2014 RIP: 0010:vxlan_snoop+0x98/0x1e0 [...] Call Trace: <TASK> vxlan_encap_bypass+0x209/0x240 encap_bypass_if_local+0xb1/0x100 vxlan_xmit_one+0x1375/0x17e0 vxlan_xmit+0x6b4/0x15f0 dev_hard_start_xmit+0x5d/0x1c0 __dev_queue_xmit+0x246/0xfd0 packet_sendmsg+0x113a/0x1850 __sock_sendmsg+0x38/0x70 __sys_sendto+0x126/0x180 __x64_sys_sendto+0x24/0x30 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x4b/0x53 [2] #!/bin/bash ip address add 192.0.2.1/32 dev lo ip address add 192.0.2.2/32 dev lo ip nexthop add id 1 via 192.0.2.3 fdb ip nexthop add id 10 group 1 fdb ip link add name vx0 up type vxlan id 10010 local 192.0.2.1 dstport 12345 localbypass ip link add name vx1 up type vxlan id 10020 local 192.0.2.2 dstport 54321 learning bridge fdb add 00:11:22:33:44:55 dev vx0 self static dst 192.0.2.2 port 54321 vni 10020 bridge fdb add 00:aa:bb:cc:dd:ee dev vx1 self static nhid 10 mausezahn vx0 -a 00:aa:bb:cc:dd:ee -b 00:11:22:33:44:55 -c 1 -q [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/tcp: Fix socket memory leak in TCP-AO failure handling for IPv6 When tcp_ao_copy_all_matching() fails in tcp_v6_syn_recv_sock() it just exits the function. This ends up causing a memory-leak: unreferenced object 0xffff0000281a8200 (size 2496): comm "softirq", pid 0, jiffies 4295174684 hex dump (first 32 bytes): 7f 00 00 06 7f 00 00 06 00 00 00 00 cb a8 88 13 ................ 0a 00 03 61 00 00 00 00 00 00 00 00 00 00 00 00 ...a............ backtrace (crc 5ebdbe15): kmemleak_alloc+0x44/0xe0 kmem_cache_alloc_noprof+0x248/0x470 sk_prot_alloc+0x48/0x120 sk_clone_lock+0x38/0x3b0 inet_csk_clone_lock+0x34/0x150 tcp_create_openreq_child+0x3c/0x4a8 tcp_v6_syn_recv_sock+0x1c0/0x620 tcp_check_req+0x588/0x790 tcp_v6_rcv+0x5d0/0xc18 ip6_protocol_deliver_rcu+0x2d8/0x4c0 ip6_input_finish+0x74/0x148 ip6_input+0x50/0x118 ip6_sublist_rcv+0x2fc/0x3b0 ipv6_list_rcv+0x114/0x170 __netif_receive_skb_list_core+0x16c/0x200 netif_receive_skb_list_internal+0x1f0/0x2d0 This is because in tcp_v6_syn_recv_sock (and the IPv4 counterpart), when exiting upon error, inet_csk_prepare_forced_close() and tcp_done() need to be called. They make sure the newsk will end up being correctly free'd. tcp_v4_syn_recv_sock() makes this very clear by having the put_and_exit label that takes care of things. So, this patch here makes sure tcp_v4_syn_recv_sock and tcp_v6_syn_recv_sock have similar error-handling and thus fixes the leak for TCP-AO. Уязвимость функции tcp_ao_copy_all_matching() ядра операционной системы Linux связана с неправильным освобождением памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i40e: Fix potential invalid access when MAC list is empty list_first_entry() never returns NULL - if the list is empty, it still returns a pointer to an invalid object, leading to potential invalid memory access when dereferenced. Fix this by using list_first_entry_or_null instead of list_first_entry. Уязвимость функции list_first_entry() ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ice: fix NULL access of tx->in_use in ice_ll_ts_intr Recent versions of the E810 firmware have support for an extra interrupt to handle report of the "low latency" Tx timestamps coming from the specialized low latency firmware interface. Instead of polling the registers, software can wait until the low latency interrupt is fired. This logic makes use of the Tx timestamp tracking structure, ice_ptp_tx, as it uses the same "ready" bitmap to track which Tx timestamps complete. Unfortunately, the ice_ll_ts_intr() function does not check if the tracker is initialized before its first access. This results in NULL dereference or use-after-free bugs similar to the issues fixed in the ice_ptp_ts_irq() function. Fix this by only checking the in_use bitmap (and other fields) if the tracker is marked as initialized. The reset flow will clear the init field under lock before it tears the tracker down, thus preventing any use-after-free or NULL access. Уязвимость функции ice_ptp_ts_irq() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/smc: fix one NULL pointer dereference in smc_ib_is_sg_need_sync() BUG: kernel NULL pointer dereference, address: 00000000000002ec PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP PTI CPU: 28 UID: 0 PID: 343 Comm: kworker/28:1 Kdump: loaded Tainted: G OE 6.17.0-rc2+ #9 NONE Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.15.0-1 04/01/2014 Workqueue: smc_hs_wq smc_listen_work [smc] RIP: 0010:smc_ib_is_sg_need_sync+0x9e/0xd0 [smc] ... Call Trace: <TASK> smcr_buf_map_link+0x211/0x2a0 [smc] __smc_buf_create+0x522/0x970 [smc] smc_buf_create+0x3a/0x110 [smc] smc_find_rdma_v2_device_serv+0x18f/0x240 [smc] ? smc_vlan_by_tcpsk+0x7e/0xe0 [smc] smc_listen_find_device+0x1dd/0x2b0 [smc] smc_listen_work+0x30f/0x580 [smc] process_one_work+0x18c/0x340 worker_thread+0x242/0x360 kthread+0xe7/0x220 ret_from_fork+0x13a/0x160 ret_from_fork_asm+0x1a/0x30 </TASK> If the software RoCE device is used, ibdev->dma_device is a null pointer. As a result, the problem occurs. Null pointer detection is added to prevent problems. Уязвимость функции smc_ib_is_sg_need_sync() ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Fix use-after-free in l2cap_sock_cleanup_listen() syzbot reported the splat below without a repro. In the splat, a single thread calling bt_accept_dequeue() freed sk and touched it after that. The root cause would be the racy l2cap_sock_cleanup_listen() call added by the cited commit. bt_accept_dequeue() is called under lock_sock() except for l2cap_sock_release(). Two threads could see the same socket during the list iteration in bt_accept_dequeue(): CPU1 CPU2 (close()) ---- ---- sock_hold(sk) sock_hold(sk); lock_sock(sk) <-- block close() sock_put(sk) bt_accept_unlink(sk) sock_put(sk) <-- refcnt by bt_accept_enqueue() release_sock(sk) lock_sock(sk) sock_put(sk) bt_accept_unlink(sk) sock_put(sk) <-- last refcnt bt_accept_unlink(sk) <-- UAF Depending on the timing, the other thread could show up in the "Freed by task" part. Let's call l2cap_sock_cleanup_listen() under lock_sock() in l2cap_sock_release(). [0]: BUG: KASAN: slab-use-after-free in debug_spin_lock_before kernel/locking/spinlock_debug.c:86 [inline] BUG: KASAN: slab-use-after-free in do_raw_spin_lock+0x26f/0x2b0 kernel/locking/spinlock_debug.c:115 Read of size 4 at addr ffff88803b7eb1c4 by task syz.5.3276/16995 CPU: 3 UID: 0 PID: 16995 Comm: syz.5.3276 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xcd/0x630 mm/kasan/report.c:482 kasan_report+0xe0/0x110 mm/kasan/report.c:595 debug_spin_lock_before kernel/locking/spinlock_debug.c:86 [inline] do_raw_spin_lock+0x26f/0x2b0 kernel/locking/spinlock_debug.c:115 spin_lock_bh include/linux/spinlock.h:356 [inline] release_sock+0x21/0x220 net/core/sock.c:3746 bt_accept_dequeue+0x505/0x600 net/bluetooth/af_bluetooth.c:312 l2cap_sock_cleanup_listen+0x5c/0x2a0 net/bluetooth/l2cap_sock.c:1451 l2cap_sock_release+0x5c/0x210 net/bluetooth/l2cap_sock.c:1425 __sock_release+0xb3/0x270 net/socket.c:649 sock_close+0x1c/0x30 net/socket.c:1439 __fput+0x3ff/0xb70 fs/file_table.c:468 task_work_run+0x14d/0x240 kernel/task_work.c:227 resume_user_mode_work include/linux/resume_user_mode.h:50 [inline] exit_to_user_mode_loop+0xeb/0x110 kernel/entry/common.c:43 exit_to_user_mode_prepare include/linux/irq-entry-common.h:225 [inline] syscall_exit_to_user_mode_work include/linux/entry-common.h:175 [inline] syscall_exit_to_user_mode include/linux/entry-common.h:210 [inline] do_syscall_64+0x3f6/0x4c0 arch/x86/entry/syscall_64.c:100 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f2accf8ebe9 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007ffdb6cb1378 EFLAGS: 00000246 ORIG_RAX: 00000000000001b4 RAX: 0000000000000000 RBX: 00000000000426fb RCX: 00007f2accf8ebe9 RDX: 0000000000000000 RSI: 000000000000001e RDI: 0000000000000003 RBP: 00007f2acd1b7da0 R08: 0000000000000001 R09: 00000012b6cb166f R10: 0000001b30e20000 R11: 0000000000000246 R12: 00007f2acd1b609c R13: 00007f2acd1b6090 R14: ffffffffffffffff R15: 00007ffdb6cb1490 </TASK> Allocated by task 5326: kasan_save_stack+0x33/0x60 mm/kasan/common.c:47 kasan_save_track+0x14/0x30 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:388 [inline] __kasan_kmalloc+0xaa/0xb0 mm/kasan/common.c:405 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4365 [inline] __kmalloc_nopro ---truncated--- Уязвимость функции l2cap_sock_cleanup_listen() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: vhci: Prevent use-after-free by removing debugfs files early Move the creation of debugfs files into a dedicated function, and ensure they are explicitly removed during vhci_release(), before associated data structures are freed. Previously, debugfs files such as "force_suspend", "force_wakeup", and others were created under hdev->debugfs but not removed in vhci_release(). Since vhci_release() frees the backing vhci_data structure, any access to these files after release would result in use-after-free errors. Although hdev->debugfs is later freed in hci_release_dev(), user can access files after vhci_data is freed but before hdev->debugfs is released. Уязвимость функции vhci_release() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повредить память [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: fix use-after-free in cmp_bss() Following bss_free() quirk introduced in commit 776b3580178f ("cfg80211: track hidden SSID networks properly"), adjust cfg80211_update_known_bss() to free the last beacon frame elements only if they're not shared via the corresponding 'hidden_beacon_bss' pointer. Уязвимость функции cmp_bss() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tee: fix NULL pointer dereference in tee_shm_put tee_shm_put have NULL pointer dereference: __optee_disable_shm_cache --> shm = reg_pair_to_ptr(...);//shm maybe return NULL tee_shm_free(shm); --> tee_shm_put(shm);//crash Add check in tee_shm_put to fix it. panic log: Unable to handle kernel paging request at virtual address 0000000000100cca Mem abort info: ESR = 0x0000000096000004 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x04: level 0 translation fault Data abort info: ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 user pgtable: 4k pages, 48-bit VAs, pgdp=0000002049d07000 [0000000000100cca] pgd=0000000000000000, p4d=0000000000000000 Internal error: Oops: 0000000096000004 [#1] SMP CPU: 2 PID: 14442 Comm: systemd-sleep Tainted: P OE ------- ---- 6.6.0-39-generic #38 Source Version: 938b255f6cb8817c95b0dd5c8c2944acfce94b07 Hardware name: greatwall GW-001Y1A-FTH, BIOS Great Wall BIOS V3.0 10/26/2022 pstate: 80000005 (Nzcv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : tee_shm_put+0x24/0x188 lr : tee_shm_free+0x14/0x28 sp : ffff001f98f9faf0 x29: ffff001f98f9faf0 x28: ffff0020df543cc0 x27: 0000000000000000 x26: ffff001f811344a0 x25: ffff8000818dac00 x24: ffff800082d8d048 x23: ffff001f850fcd18 x22: 0000000000000001 x21: ffff001f98f9fb88 x20: ffff001f83e76218 x19: ffff001f83e761e0 x18: 000000000000ffff x17: 303a30303a303030 x16: 0000000000000000 x15: 0000000000000003 x14: 0000000000000001 x13: 0000000000000000 x12: 0101010101010101 x11: 0000000000000001 x10: 0000000000000001 x9 : ffff800080e08d0c x8 : ffff001f98f9fb88 x7 : 0000000000000000 x6 : 0000000000000000 x5 : 0000000000000000 x4 : 0000000000000000 x3 : 0000000000000000 x2 : ffff001f83e761e0 x1 : 00000000ffff001f x0 : 0000000000100cca Call trace: tee_shm_put+0x24/0x188 tee_shm_free+0x14/0x28 __optee_disable_shm_cache+0xa8/0x108 optee_shutdown+0x28/0x38 platform_shutdown+0x28/0x40 device_shutdown+0x144/0x2b0 kernel_power_off+0x3c/0x80 hibernate+0x35c/0x388 state_store+0x64/0x80 kobj_attr_store+0x14/0x28 sysfs_kf_write+0x48/0x60 kernfs_fop_write_iter+0x128/0x1c0 vfs_write+0x270/0x370 ksys_write+0x6c/0x100 __arm64_sys_write+0x20/0x30 invoke_syscall+0x4c/0x120 el0_svc_common.constprop.0+0x44/0xf0 do_el0_svc+0x24/0x38 el0_svc+0x24/0x88 el0t_64_sync_handler+0x134/0x150 el0t_64_sync+0x14c/0x15 Уязвимость функции tee_shm_put() ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs: writeback: fix use-after-free in __mark_inode_dirty() An use-after-free issue occurred when __mark_inode_dirty() get the bdi_writeback that was in the progress of switching. CPU: 1 PID: 562 Comm: systemd-random- Not tainted 6.6.56-gb4403bd46a8e #1 ...... pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : __mark_inode_dirty+0x124/0x418 lr : __mark_inode_dirty+0x118/0x418 sp : ffffffc08c9dbbc0 ........ Call trace: __mark_inode_dirty+0x124/0x418 generic_update_time+0x4c/0x60 file_modified+0xcc/0xd0 ext4_buffered_write_iter+0x58/0x124 ext4_file_write_iter+0x54/0x704 vfs_write+0x1c0/0x308 ksys_write+0x74/0x10c __arm64_sys_write+0x1c/0x28 invoke_syscall+0x48/0x114 el0_svc_common.constprop.0+0xc0/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x40/0xe4 el0t_64_sync_handler+0x120/0x12c el0t_64_sync+0x194/0x198 Root cause is: systemd-random-seed kworker ---------------------------------------------------------------------- ___mark_inode_dirty inode_switch_wbs_work_fn spin_lock(&inode->i_lock); inode_attach_wb locked_inode_to_wb_and_lock_list get inode->i_wb spin_unlock(&inode->i_lock); spin_lock(&wb->list_lock) spin_lock(&inode->i_lock) inode_io_list_move_locked spin_unlock(&wb->list_lock) spin_unlock(&inode->i_lock) spin_lock(&old_wb->list_lock) inode_do_switch_wbs spin_lock(&inode->i_lock) inode->i_wb = new_wb spin_unlock(&inode->i_lock) spin_unlock(&old_wb->list_lock) wb_put_many(old_wb, nr_switched) cgwb_release old wb released wb_wakeup_delayed() accesses wb, then trigger the use-after-free issue Fix this race condition by holding inode spinlock until wb_wakeup_delayed() finished. Уязвимость компонента fs/fs-writeback.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - не использовать недоверенные сторонние модули ядра; - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mwifiex: Initialize the chan_stats array to zero The adapter->chan_stats[] array is initialized in mwifiex_init_channel_scan_gap() with vmalloc(), which doesn't zero out memory. The array is filled in mwifiex_update_chan_statistics() and then the user can query the data in mwifiex_cfg80211_dump_survey(). There are two potential issues here. What if the user calls mwifiex_cfg80211_dump_survey() before the data has been filled in. Also the mwifiex_update_chan_statistics() function doesn't necessarily initialize the whole array. Since the array was not initialized at the start that could result in an information leak. Also this array is pretty small. It's a maximum of 900 bytes so it's more appropriate to use kcalloc() instead vmalloc(). Уязвимость модуля wifi ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: br_netfilter: do not check confirmed bit in br_nf_local_in() after confirm When send a broadcast packet to a tap device, which was added to a bridge, br_nf_local_in() is called to confirm the conntrack. If another conntrack with the same hash value is added to the hash table, which can be triggered by a normal packet to a non-bridge device, the below warning may happen. ------------[ cut here ]------------ WARNING: CPU: 1 PID: 96 at net/bridge/br_netfilter_hooks.c:632 br_nf_local_in+0x168/0x200 CPU: 1 UID: 0 PID: 96 Comm: tap_send Not tainted 6.17.0-rc2-dirty #44 PREEMPT(voluntary) RIP: 0010:br_nf_local_in+0x168/0x200 Call Trace: <TASK> nf_hook_slow+0x3e/0xf0 br_pass_frame_up+0x103/0x180 br_handle_frame_finish+0x2de/0x5b0 br_nf_hook_thresh+0xc0/0x120 br_nf_pre_routing_finish+0x168/0x3a0 br_nf_pre_routing+0x237/0x5e0 br_handle_frame+0x1ec/0x3c0 __netif_receive_skb_core+0x225/0x1210 __netif_receive_skb_one_core+0x37/0xa0 netif_receive_skb+0x36/0x160 tun_get_user+0xa54/0x10c0 tun_chr_write_iter+0x65/0xb0 vfs_write+0x305/0x410 ksys_write+0x60/0xd0 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> ---[ end trace 0000000000000000 ]--- To solve the hash conflict, nf_ct_resolve_clash() try to merge the conntracks, and update skb->_nfct. However, br_nf_local_in() still use the old ct from local variable 'nfct' after confirm(), which leads to this warning. If confirm() does not insert the conntrack entry and return NF_DROP, the warning may also occur. There is no need to reserve the WARN_ON_ONCE, just remove it. Уязвимость компонента netfilter ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched: Fix sched_numa_find_nth_cpu() if mask offline sched_numa_find_nth_cpu() uses a bsearch to look for the 'closest' CPU in sched_domains_numa_masks and given cpus mask. However they might not intersect if all CPUs in the cpus mask are offline. bsearch will return NULL in that case, bail out instead of dereferencing a bogus pointer. The previous behaviour lead to this bug when using maxcpus=4 on an rk3399 (LLLLbb) (i.e. booting with all big CPUs offline): [ 1.422922] Unable to handle kernel paging request at virtual address ffffff8000000000 [ 1.423635] Mem abort info: [ 1.423889] ESR = 0x0000000096000006 [ 1.424227] EC = 0x25: DABT (current EL), IL = 32 bits [ 1.424715] SET = 0, FnV = 0 [ 1.424995] EA = 0, S1PTW = 0 [ 1.425279] FSC = 0x06: level 2 translation fault [ 1.425735] Data abort info: [ 1.425998] ISV = 0, ISS = 0x00000006, ISS2 = 0x00000000 [ 1.426499] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 1.426952] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 1.427428] swapper pgtable: 4k pages, 39-bit VAs, pgdp=0000000004a9f000 [ 1.428038] [ffffff8000000000] pgd=18000000f7fff403, p4d=18000000f7fff403, pud=18000000f7fff403, pmd=0000000000000000 [ 1.429014] Internal error: Oops: 0000000096000006 [#1] SMP [ 1.429525] Modules linked in: [ 1.429813] CPU: 3 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.17.0-rc4-dirty #343 PREEMPT [ 1.430559] Hardware name: Pine64 RockPro64 v2.1 (DT) [ 1.431012] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 1.431634] pc : sched_numa_find_nth_cpu+0x2a0/0x488 [ 1.432094] lr : sched_numa_find_nth_cpu+0x284/0x488 [ 1.432543] sp : ffffffc084e1b960 [ 1.432843] x29: ffffffc084e1b960 x28: ffffff80078a8800 x27: ffffffc0846eb1d0 [ 1.433495] x26: 0000000000000000 x25: 0000000000000000 x24: 0000000000000000 [ 1.434144] x23: 0000000000000000 x22: fffffffffff7f093 x21: ffffffc081de6378 [ 1.434792] x20: 0000000000000000 x19: 0000000ffff7f093 x18: 00000000ffffffff [ 1.435441] x17: 3030303866666666 x16: 66663d736b73616d x15: ffffffc104e1b5b7 [ 1.436091] x14: 0000000000000000 x13: ffffffc084712860 x12: 0000000000000372 [ 1.436739] x11: 0000000000000126 x10: ffffffc08476a860 x9 : ffffffc084712860 [ 1.437389] x8 : 00000000ffffefff x7 : ffffffc08476a860 x6 : 0000000000000000 [ 1.438036] x5 : 000000000000bff4 x4 : 0000000000000000 x3 : 0000000000000000 [ 1.438683] x2 : 0000000000000000 x1 : ffffffc0846eb000 x0 : ffffff8000407b68 [ 1.439332] Call trace: [ 1.439559] sched_numa_find_nth_cpu+0x2a0/0x488 (P) [ 1.440016] smp_call_function_any+0xc8/0xd0 [ 1.440416] armv8_pmu_init+0x58/0x27c [ 1.440770] armv8_cortex_a72_pmu_init+0x20/0x2c [ 1.441199] arm_pmu_device_probe+0x1e4/0x5e8 [ 1.441603] armv8_pmu_device_probe+0x1c/0x28 [ 1.442007] platform_probe+0x5c/0xac [ 1.442347] really_probe+0xbc/0x298 [ 1.442683] __driver_probe_device+0x78/0x12c [ 1.443087] driver_probe_device+0xdc/0x160 [ 1.443475] __driver_attach+0x94/0x19c [ 1.443833] bus_for_each_dev+0x74/0xd4 [ 1.444190] driver_attach+0x24/0x30 [ 1.444525] bus_add_driver+0xe4/0x208 [ 1.444874] driver_register+0x60/0x128 [ 1.445233] __platform_driver_register+0x24/0x30 [ 1.445662] armv8_pmu_driver_init+0x28/0x4c [ 1.446059] do_one_initcall+0x44/0x25c [ 1.446416] kernel_init_freeable+0x1dc/0x3bc [ 1.446820] kernel_init+0x20/0x1d8 [ 1.447151] ret_from_fork+0x10/0x20 [ 1.447493] Code: 90022e21 f000e5f5 910de2b5 2a1703e2 (f8767803) [ 1.448040] ---[ end trace 0000000000000000 ]--- [ 1.448483] note: swapper/0[1] exited with preempt_count 1 [ 1.449047] Kernel panic - not syncing: Attempted to kill init! exitcode=0x0000000b [ 1.449741] SMP: stopping secondary CPUs [ 1.450105] Kernel Offset: disabled [ 1.450419] CPU features: 0x000000,00080000,20002001,0400421b [ ---truncated--- [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: accel/ivpu: Prevent recovery work from being queued during device removal Use disable_work_sync() instead of cancel_work_sync() in ivpu_dev_fini() to ensure that no new recovery work items can be queued after device removal has started. Previously, recovery work could be scheduled even after canceling existing work, potentially leading to use-after-free bugs if recovery accessed freed resources. Rename ivpu_pm_cancel_recovery() to ivpu_pm_disable_recovery() to better reflect its new behavior. [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: xilinx: axienet: Add error handling for RX metadata pointer retrieval Add proper error checking for dmaengine_desc_get_metadata_ptr() which can return an error pointer and lead to potential crashes or undefined behaviour if the pointer retrieval fails. Properly handle the error by unmapping DMA buffer, freeing the skb and returning early to prevent further processing with invalid data. [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/userfaultfd: fix kmap_local LIFO ordering for CONFIG_HIGHPTE With CONFIG_HIGHPTE on 32-bit ARM, move_pages_pte() maps PTE pages using kmap_local_page(), which requires unmapping in Last-In-First-Out order. The current code maps dst_pte first, then src_pte, but unmaps them in the same order (dst_pte, src_pte), violating the LIFO requirement. This causes the warning in kunmap_local_indexed(): WARNING: CPU: 0 PID: 604 at mm/highmem.c:622 kunmap_local_indexed+0x178/0x17c addr \!= __fix_to_virt(FIX_KMAP_BEGIN + idx) Fix this by reversing the unmap order to respect LIFO ordering. This issue follows the same pattern as similar fixes: - commit eca6828403b8 ("crypto: skcipher - fix mismatch between mapping and unmapping order") - commit 8cf57c6df818 ("nilfs2: eliminate staggered calls to kunmap in nilfs_rename") Both of which addressed the same fundamental requirement that kmap_local operations must follow LIFO ordering. Уязвимость компонента mm/userfaultfd ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net_sched: gen_estimator: fix est_timer() vs CONFIG_PREEMPT_RT=y syzbot reported a WARNING in est_timer() [1] Problem here is that with CONFIG_PREEMPT_RT=y, timer callbacks can be preempted. Adopt preempt_disable_nested()/preempt_enable_nested() to fix this. [1] WARNING: CPU: 0 PID: 16 at ./include/linux/seqlock.h:221 __seqprop_assert include/linux/seqlock.h:221 [inline] WARNING: CPU: 0 PID: 16 at ./include/linux/seqlock.h:221 est_timer+0x6dc/0x9f0 net/core/gen_estimator.c:93 Modules linked in: CPU: 0 UID: 0 PID: 16 Comm: ktimers/0 Not tainted syzkaller #0 PREEMPT_{RT,(full)} Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 07/12/2025 RIP: 0010:__seqprop_assert include/linux/seqlock.h:221 [inline] RIP: 0010:est_timer+0x6dc/0x9f0 net/core/gen_estimator.c:93 Call Trace: <TASK> call_timer_fn+0x17e/0x5f0 kernel/time/timer.c:1747 expire_timers kernel/time/timer.c:1798 [inline] __run_timers kernel/time/timer.c:2372 [inline] __run_timer_base+0x648/0x970 kernel/time/timer.c:2384 run_timer_base kernel/time/timer.c:2393 [inline] run_timer_softirq+0xb7/0x180 kernel/time/timer.c:2403 handle_softirqs+0x22c/0x710 kernel/softirq.c:579 __do_softirq kernel/softirq.c:613 [inline] run_ktimerd+0xcf/0x190 kernel/softirq.c:1043 smpboot_thread_fn+0x53f/0xa60 kernel/smpboot.c:160 kthread+0x70e/0x8a0 kernel/kthread.c:463 ret_from_fork+0x3fc/0x770 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> Уязвимость компонента net/core/gen_estimator.c ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i40e: remove read access to debugfs files The 'command' and 'netdev_ops' debugfs files are a legacy debugging interface supported by the i40e driver since its early days by commit 02e9c290814c ("i40e: debugfs interface"). Both of these debugfs files provide a read handler which is mostly useless, and which is implemented with questionable logic. They both use a static 256 byte buffer which is initialized to the empty string. In the case of the 'command' file this buffer is literally never used and simply wastes space. In the case of the 'netdev_ops' file, the last command written is saved here. On read, the files contents are presented as the name of the device followed by a colon and then the contents of their respective static buffer. For 'command' this will always be "<device>: ". For 'netdev_ops', this will be "<device>: <last command written>". But note the buffer is shared between all devices operated by this module. At best, it is mostly meaningless information, and at worse it could be accessed simultaneously as there doesn't appear to be any locking mechanism. We have also recently received multiple reports for both read functions about their use of snprintf and potential overflow that could result in reading arbitrary kernel memory. For the 'command' file, this is definitely impossible, since the static buffer is always zero and never written to. For the 'netdev_ops' file, it does appear to be possible, if the user carefully crafts the command input, it will be copied into the buffer, which could be large enough to cause snprintf to truncate, which then causes the copy_to_user to read beyond the length of the buffer allocated by kzalloc. A minimal fix would be to replace snprintf() with scnprintf() which would cap the return to the number of bytes written, preventing an overflow. A more involved fix would be to drop the mostly useless static buffers, saving 512 bytes and modifying the read functions to stop needing those as input. Instead, lets just completely drop the read access to these files. These are debug interfaces exposed as part of debugfs, and I don't believe that dropping read access will break any script, as the provided output is pretty useless. You can find the netdev name through other more standard interfaces, and the 'netdev_ops' interface can easily result in garbage if you issue simultaneous writes to multiple devices at once. In order to properly remove the i40e_dbg_netdev_ops_buf, we need to refactor its write function to avoid using the static buffer. Instead, use the same logic as the i40e_dbg_command_write, with an allocated buffer. Update the code to use this instead of the static buffer, and ensure we free the buffer on exit. This fixes simultaneous writes to 'netdev_ops' on multiple devices, and allows us to remove the now unused static buffer along with removing the read access. [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/slub: avoid accessing metadata when pointer is invalid in object_err() object_err() reports details of an object for further debugging, such as the freelist pointer, redzone, etc. However, if the pointer is invalid, attempting to access object metadata can lead to a crash since it does not point to a valid object. One known path to the crash is when alloc_consistency_checks() determines the pointer to the allocated object is invalid because of a freelist corruption, and calls object_err() to report it. The debug code should report and handle the corruption gracefully and not crash in the process. In case the pointer is NULL or check_valid_pointer() returns false for the pointer, only print the pointer value and skip accessing metadata. Уязвимость компонента slub.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: of_numa: fix uninitialized memory nodes causing kernel panic When there are memory-only nodes (nodes without CPUs), these nodes are not properly initialized, causing kernel panic during boot. of_numa_init of_numa_parse_cpu_nodes node_set(nid, numa_nodes_parsed); of_numa_parse_memory_nodes In of_numa_parse_cpu_nodes, numa_nodes_parsed gets updated only for nodes containing CPUs. Memory-only nodes should have been updated in of_numa_parse_memory_nodes, but they weren't. Subsequently, when free_area_init() attempts to access NODE_DATA() for these uninitialized memory nodes, the kernel panics due to NULL pointer dereference. This can be reproduced on ARM64 QEMU with 1 CPU and 2 memory nodes: qemu-system-aarch64 \ -cpu host -nographic \ -m 4G -smp 1 \ -machine virt,accel=kvm,gic-version=3,iommu=smmuv3 \ -object memory-backend-ram,size=2G,id=mem0 \ -object memory-backend-ram,size=2G,id=mem1 \ -numa node,nodeid=0,memdev=mem0 \ -numa node,nodeid=1,memdev=mem1 \ -kernel $IMAGE \ -hda $DISK \ -append "console=ttyAMA0 root=/dev/vda rw earlycon" [ 0.000000] Booting Linux on physical CPU 0x0000000000 [0x481fd010] [ 0.000000] Linux version 6.17.0-rc1-00001-gabb4b3daf18c-dirty (yintirui@local) (gcc (GCC) 12.3.1, GNU ld (GNU Binutils) 2.41) #52 SMP PREEMPT Mon Aug 18 09:49:40 CST 2025 [ 0.000000] KASLR enabled [ 0.000000] random: crng init done [ 0.000000] Machine model: linux,dummy-virt [ 0.000000] efi: UEFI not found. [ 0.000000] earlycon: pl11 at MMIO 0x0000000009000000 (options '') [ 0.000000] printk: legacy bootconsole [pl11] enabled [ 0.000000] OF: reserved mem: Reserved memory: No reserved-memory node in the DT [ 0.000000] NODE_DATA(0) allocated [mem 0xbfffd9c0-0xbfffffff] [ 0.000000] node 1 must be removed before remove section 23 [ 0.000000] Zone ranges: [ 0.000000] DMA [mem 0x0000000040000000-0x00000000ffffffff] [ 0.000000] DMA32 empty [ 0.000000] Normal [mem 0x0000000100000000-0x000000013fffffff] [ 0.000000] Movable zone start for each node [ 0.000000] Early memory node ranges [ 0.000000] node 0: [mem 0x0000000040000000-0x00000000bfffffff] [ 0.000000] node 1: [mem 0x00000000c0000000-0x000000013fffffff] [ 0.000000] Initmem setup node 0 [mem 0x0000000040000000-0x00000000bfffffff] [ 0.000000] Unable to handle kernel NULL pointer dereference at virtual address 00000000000000a0 [ 0.000000] Mem abort info: [ 0.000000] ESR = 0x0000000096000004 [ 0.000000] EC = 0x25: DABT (current EL), IL = 32 bits [ 0.000000] SET = 0, FnV = 0 [ 0.000000] EA = 0, S1PTW = 0 [ 0.000000] FSC = 0x04: level 0 translation fault [ 0.000000] Data abort info: [ 0.000000] ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 [ 0.000000] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 0.000000] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 0.000000] [00000000000000a0] user address but active_mm is swapper [ 0.000000] Internal error: Oops: 0000000096000004 [#1] SMP [ 0.000000] Modules linked in: [ 0.000000] CPU: 0 UID: 0 PID: 0 Comm: swapper Not tainted 6.17.0-rc1-00001-g760c6dabf762-dirty #54 PREEMPT [ 0.000000] Hardware name: linux,dummy-virt (DT) [ 0.000000] pstate: 800000c5 (Nzcv daIF -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 0.000000] pc : free_area_init+0x50c/0xf9c [ 0.000000] lr : free_area_init+0x5c0/0xf9c [ 0.000000] sp : ffffa02ca0f33c00 [ 0.000000] x29: ffffa02ca0f33cb0 x28: 0000000000000000 x27: 0000000000000000 [ 0.000000] x26: 4ec4ec4ec4ec4ec5 x25: 00000000000c0000 x24: 00000000000c0000 [ 0.000000] x23: 0000000000040000 x22: 0000000000000000 x21: ffffa02ca0f3b368 [ 0.000000] x20: ffffa02ca14c7b98 x19: 0000000000000000 x18: 0000000000000002 [ 0.000000] x17: 000000000000cacc x16: 0000000000000001 x15: 0000000000000001 [ 0.000000] x14: 0000000080000000 x13: 0000000000000018 x12: 0000000000000002 [ 0.0 ---truncated--- Уязвимость компонента of_numa.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: fix linked list corruption Never leave scheduled wcid entries on the temporary on-stack list Уязвимость компонента tx.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pcmcia: Add error handling for add_interval() in do_validate_mem() In the do_validate_mem(), the call to add_interval() does not handle errors. If kmalloc() fails in add_interval(), it could result in a null pointer being inserted into the linked list, leading to illegal memory access when sub_interval() is called next. This patch adds an error handling for the add_interval(). If add_interval() returns an error, the function will return early with the error code. Уязвимость функции do_validate_mem() компонента rsrc_nonstatic.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ixgbe: fix incorrect map used in eee linkmode incorrectly used ixgbe_lp_map in loops intended to populate the supported and advertised EEE linkmode bitmaps based on ixgbe_ls_map. This results in incorrect bit setting and potential out-of-bounds access, since ixgbe_lp_map and ixgbe_ls_map have different sizes and purposes. ixgbe_lp_map[i] -> ixgbe_ls_map[i] Use ixgbe_ls_map for supported and advertised linkmodes, and keep ixgbe_lp_map usage only for link partner (lp_advertised) mapping. Уязвимость компонента ixgbe_ethtool.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tls: make sure to abort the stream if headers are bogus Normally we wait for the socket to buffer up the whole record before we service it. If the socket has a tiny buffer, however, we read out the data sooner, to prevent connection stalls. Make sure that we abort the connection when we find out late that the record is actually invalid. Retrying the parsing is fine in itself but since we copy some more data each time before we parse we can overflow the allocated skb space. Constructing a scenario in which we're under pressure without enough data in the socket to parse the length upfront is quite hard. syzbot figured out a way to do this by serving us the header in small OOB sends, and then filling in the recvbuf with a large normal send. Make sure that tls_rx_msg_size() aborts strp, if we reach an invalid record there's really no way to recover. Уязвимость функции tls_rx_msg_size() компонента tls ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля tls.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль tls в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep tls ``` или ``` kmod list | grep tls ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod tls ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install tls /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/rsrc: don't rely on user vaddr alignment There is no guaranteed alignment for user pointers, however the calculation of an offset of the first page into a folio after coalescing uses some weird bit mask logic, get rid of it. Уязвимость ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании при помощи специально созданного трафика ipv6 [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/vmscape: Add conditional IBPB mitigation VMSCAPE is a vulnerability that exploits insufficient branch predictor isolation between a guest and a userspace hypervisor (like QEMU). Existing mitigations already protect kernel/KVM from a malicious guest. Userspace can additionally be protected by flushing the branch predictors after a VMexit. Since it is the userspace that consumes the poisoned branch predictors, conditionally issue an IBPB after a VMexit and before returning to userspace. Workloads that frequently switch between hypervisor and userspace will incur the most overhead from the new IBPB. This new IBPB is not integrated with the existing IBPB sites. For instance, a task can use the existing speculation control prctl() to get an IBPB at context switch time. With this implementation, the IBPB is doubled up: one at context switch and another before running userspace. The intent is to integrate and optimize these cases post-embargo. [ dhansen: elaborate on suboptimal IBPB solution ] Уязвимость компонента arch/x86 ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Для нейтрализации уязвимости воспользуйтесь одним из следующих способов: 1. Отключить поддержку виртуализации (KVM) в системе, если она не используется. Для этого необходимо выполнить действия, описанные ниже. 1.1. Чтобы проверить, загружен ли модуль kvm в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep kvm ``` или ``` kmod list | grep kvm ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 1.2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod kvm ``` 1.3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 1.4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install kvm /bin/true ``` 1.5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 1.6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). 2. Соблюдайте следующие рекомендации: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам Astra Linux 1.8 libjson-xs-perl JSON::XS before version 4.04 for Perl has an integer buffer overflow causing a segfault when parsing crafted JSON, enabling denial-of-service attacks or other unspecified impact Уязвимость модуля преобразования структуры данных Perl в JSON Cpanel::JSON::XS связана с целочисленным переполнением при разборе JSON-данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 open-vm-tools VMware Aria Operations and VMware Tools contain a local privilege escalation vulnerability. A malicious local actor with non-administrative privileges having access to a VM with VMware Tools installed and managed by Aria Operations with SDMP enabled may exploit this vulnerability to escalate privileges to root on the same VM. Уязвимость функции Service Discovery Management Pack (SDMP) инструмента мониторинга виртуальной инфраструктуры VMware Aria Operations и набора утилит VMware Tools связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии до уровня root путем размещения специально сформированного вредоносного файла в директорию /tmp/httpd [NistCWE(cwe='CWE-267')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Отключите сервис обнаружения служб (Service Discovery). 1. Для этого, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора отредактируйте конфигурационный файл vmware-tools: ``` sudo nano /etc/vmware-tools/tools.conf ``` 2. Добавьте или раскомментируйте следующие строки: ``` [servicediscovery] disabled = true ``` 3. Перезапустите службу vmtoolsd ``` sudo systemctl restart vmtoolsd ``` Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 26, iOS 26 and iPadOS 26, macOS Tahoe 26, visionOS 26, watchOS 26. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A correctness issue was addressed with improved checks. This issue is fixed in Safari 26, iOS 18.7 and iPadOS 18.7, iOS 26 and iPadOS 26, macOS Tahoe 26, tvOS 26, visionOS 26, watchOS 26. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость компонента WebKit браузера Safari операционных систем watchOS, iOS, iPadOS, tvOS, visionOS связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved handling of caches. This issue is fixed in Safari 26, iOS 18.7 and iPadOS 18.7, iOS 26 and iPadOS 26, macOS Tahoe 26, tvOS 26, visionOS 26, watchOS 26. A website may be able to access sensor information without user consent. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 26, iOS 26 and iPadOS 26, macOS Tahoe 26. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 glib2.0 A flaw was found in GLib, which is vulnerable to an integer overflow in the g_string_insert_unichar() function. When the position at which to insert the character is large, the position will overflow, leading to a buffer underwrite. Уязвимость функции g_string_insert_unichar() набора библиотек GLib связана с нарушением начальной границы буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-124')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L', score=4.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 1.8 libsoup3, libsoup2.4 A denial-of-service vulnerability has been identified in the libsoup HTTP client library. This flaw can be triggered when a libsoup client receives a 401 (Unauthorized) HTTP response containing a specifically crafted domain parameter within the WWW-Authenticate header. Processing this malformed header can lead to a crash of the client application using libsoup. An attacker could exploit this by setting up a malicious HTTP server. If a user's application using the vulnerable libsoup library connects to this malicious server, it could result in a denial-of-service. Successful exploitation requires tricking a user's client application into connecting to the attacker's malicious server. Уязвимость библиотеки libsoup графического интерфейса GNOME связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) Astra Linux 1.8 python3.11 There is an issue in CPython when using `bytes.decode("unicode_escape", error="ignore|replace")`. If you are not using the "unicode_escape" encoding or an error handler your usage is not affected. To work-around this issue you may stop using the error= handler and instead wrap the bytes.decode() call in a try-except catching the DecodeError. Уязвимость функции bytes.decode() интерпретатора языка программирования Python (CPython) связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-416')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 protobuf Any project that uses Protobuf Pure-Python backend to parse untrusted Protocol Buffers data containing an arbitrary number of recursive groups, recursive messages or a series of SGROUP tags can be corrupted by exceeding the Python recursion limit. This can result in a Denial of service by crashing the application with a RecursionError. We recommend upgrading to version =>6.31.1 or beyond commit 17838beda2943d08b8a9d4df5b68f5f04f26d901 Уязвимость протокола сериализации данных Protobuf связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызывать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) protobuf: - Использовать ПО protobuf только на низком или отдельно выделенном уровне целостности - При использовании ПО protobuf выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска protobuf только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды protobuf-c: - включить защиту файловой системы ("установить МКЦ на ФС"); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - по возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 gst-plugins-good1.0 In GStreamer through 1.26.1, the isomp4 plugin's qtdemux_parse_trak function may read past the end of a heap buffer while parsing an MP4 file, possibly leading to information disclosure. Уязвимость плагина gst-plugins-good мультимедийного фреймворка Gstreamer связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальной информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 setuptools setuptools is a package that allows users to download, build, install, upgrade, and uninstall Python packages. A path traversal vulnerability in `PackageIndex` is present in setuptools prior to version 78.1.1. An attacker would be allowed to write files to arbitrary locations on the filesystem with the permissions of the process running the Python code, which could escalate to remote code execution depending on the context. Version 78.1.1 fixes the issue. Уязвимость библиотеки упрощения упаковки проектов setuptools связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, скомпрометировать уязвимую систему [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) setuptools: - Использовать ПО python-setuptools только на низком или отдельно выделенном уровне целостности - При использовании ПО python-setuptools выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-setuptools только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды python-setuptools: - Использовать ПО python-setuptools только на низком или отдельно выделенном уровне целостности - При использовании ПО python-setuptools выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-setuptools только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 mbedtls Mbed TLS before 3.6.4 allows a use-after-free in certain situations of applications that are developed in accordance with the documentation. The function mbedtls_x509_string_to_names() takes a head argument that is documented as an output argument. The documentation does not suggest that the function will free that pointer; however, the function does call mbedtls_asn1_free_named_data_list() on that argument, which performs a deep free(). As a result, application code that uses this function (relying only on documented behavior) is likely to still hold pointers to the memory blocks that were freed, resulting in a high risk of use-after-free or double-free. In particular, the two sample programs x509/cert_write and x509/cert_req are affected (use-after-free if the san string contains more than one DN). Уязвимость функции mbedtls_x509_string_to_names программного обеспечения Mbed TLS связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:H/A:H', score=8.9) - Отказаться от использования ПО mbedtls - При использовании ПО mbedtls не использовать функцию mbedtls_x509_string_to_names(). Если это невозможно, то всегда передавать в аргумент head значение NULL. Astra Linux 1.8 jq jq is a command-line JSON processor. In versions up to and including 1.7.1, a heap-buffer-overflow is present in function `jv_string_vfmt` in the jq_fuzz_execute harness from oss-fuzz. This crash happens on file jv.c, line 1456 `void* p = malloc(sz);`. As of time of publication, no patched versions are available. Уязвимость функции jv_string_vfmt функционального языка программирования jq связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) jq: - Запускайте скрипты и команды, использующие jq, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется - Настройте права доступа к исполняемым файлам и скриптам, использующим jq, так, чтобы их могли изменять только администраторы системы - Не обрабатывайте ненадежные входные данные с помощью процессора JSON командной строки jq - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов jqueryui: - Удалить ПО jqueryui, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки jqueryui - В случае использования библиотеки jqueryui избегать взаимодействия с неизвестными и подозрительными источниками - Запускать ПО, использующее библиотеку jqueryui, в изолированной программной среде с применением инструмента Firejail - Использовать ПО, использующее библиотеку jqueryui, только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 apache2 In certain proxy configurations, a denial of service attack against Apache HTTP Server versions 2.4.26 through to 2.4.63 can be triggered by untrusted clients causing an assertion in mod_proxy_http2. Configurations affected are a reverse proxy is configured for an HTTP/2 backend, with ProxyPreserveHost set to "on". Уязвимость функции mod_proxy_http2 веб-сервера Apache HTTP Server связана с использованием функции assert() или похожего оператора. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Уязвимость возможно реализовать сервер работает в конфигурации обратного прокси с HTTP/2 backend и включенной директивой `ProxyPreserveHost on`. Чтобы изменить конфигурацию Apache: - откройте файл `/etc/apache2/apache2.conf` или `/etc/httpd/conf/httpd.conf` - закоментрийте строку `ProxyPreserveHost on` или замените на `ProxyPreserveHost off` - перезапустите сервер `sudo systemctl restart apache2` - Обеспечить подключение к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache Astra Linux 1.8 libxml2 A use-after-free vulnerability was found in libxml2. This issue occurs when parsing XPath elements under certain circumstances when the XML schematron has the <sch:name path="..."/> schema elements. This flaw allows a malicious actor to craft a malicious XML document used as input for libxml, resulting in the program's crash using libxml or other possible undefined behaviors. Уязвимость функции xmlSchematronGetNode библиотеки Libxml2 связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libxml2 A vulnerability was found in libxml2. Processing certain sch:name elements from the input XML file can trigger a memory corruption issue. This flaw allows an attacker to craft a malicious XML input file that can lead libxml to crash, resulting in a denial of service or other possible undefined behavior due to sensitive data being corrupted in memory. Уязвимость функции xmlSchematronFormatReport() библиотеки libxml2 связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного XML файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 mtr mtr through 0.95, in certain privileged contexts, mishandles execution of a program specified by the MTR_PACKET environment variable. NOTE: mtr on macOS may often have Sudo rules, as an indirect consequence of Homebrew not installing setuid binaries. Уязвимость утилиты диагностики и мониторинга сети MTR связана с включением функций из недостоверной контролируемой области. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-829')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 apache2 In some mod_ssl configurations on Apache HTTP Server versions through to 2.4.63, an HTTP desynchronisation attack allows a man-in-the-middle attacker to hijack an HTTP session via a TLS upgrade. Only configurations using "SSLEngine optional" to enable TLS upgrades are affected. Users are recommended to upgrade to version 2.4.64, which removes support for TLS upgrade. Уязвимость функции mod_ssl веб-сервера Apache HTTP Server связана с недостатками процедуры аутентификации при обработке параметра SSLEngine optional. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании c помощью протокола TLS [NistCWE(cwe='CWE-287')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N', score=7.4) - Уязвимость возможно реализовать только при конфигурации, использующей опцию `SSLEngine optional` для поддержки обновлений TLS. Чтобы изменить конфигурацию Apache: - откройте файл `/etc/apache2/apache2.conf` или `/etc/httpd/conf/httpd.conf` - замените в строке `SSLEngine on` "optional" на "on" или "off" - перезапустите сервер `sudo systemctl restart apache2` - Обеспечить подключение к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache Astra Linux 1.8 mbedtls Mbed TLS before 3.6.4 has a race condition in AESNI detection if certain compiler optimizations occur. An attacker may be able to extract an AES key from a multithreaded program, or perform a GCM forgery. Уязвимость функции mbedtls_aesni_has_support() программного обеспечения Mbed TLS связана с оптимизацией компилятора. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность и конфиденциальность защищаемой информации [NistCWE(cwe='CWE-733')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N', score=7.8) mbedtls: - Удалить ПО mbedtls, если оно не используется и не является зависимостью других пакетов - Обеспечить возможность запуска mbedtls только доверенными пользователями ОС - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Versions prior to 7.1.2-0 and 6.9.13-26 have a heap buffer overflow in the `InterpretImageFilename` function. The issue stems from an off-by-one error that causes out-of-bounds memory access when processing format strings containing consecutive percent signs (`%%`). Versions 7.1.2-0 and 6.9.13-26 fix the issue. Уязвимость компонента image.c консольного графического редактора ImageMagick связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N', score=3.7) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. In versions prior to 7.1.2-0 and 6.9.13-26, in ImageMagick's `magick stream` command, specifying multiple consecutive `%d` format specifiers in a filename template causes a memory leak. Versions 7.1.2-0 and 6.9.13-26 fix the issue. Уязвимость компонента stream.c консольного графического редактора ImageMagick связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=3.7) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 apache2 Late Release of Memory after Effective Lifetime vulnerability in Apache HTTP Server. This issue affects Apache HTTP Server: from 2.4.17 up to 2.4.63. Users are recommended to upgrade to version 2.4.64, which fixes the issue. Уязвимость веб-сервера Apache HTTP Server связана с утечкой памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Обеспечить подключение к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности `mod_security` и `mod_evasive` - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускать Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничить размер принимаемых запросов - Настроить брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключения доверенных пользователей к ПО apache2 Astra Linux 1.8 vim Vim is an open source, command line text editor. Prior to version 9.1.1552, a path traversal issue in Vim’s tar.vim plugin can allow overwriting of arbitrary files when opening specially crafted tar archives. Impact is low because this exploit requires direct user interaction. However, successfully exploitation can lead to overwriting sensitive files or placing executable code in privileged locations, depending on the permissions of the process editing the archive. The victim must edit such a file using Vim which will reveal the filename and the file content, a careful user may suspect some strange things going on. Successful exploitation could results in the ability to execute arbitrary commands on the underlying operating system. Version 9.1.1552 contains a patch for the vulnerability. Уязвимость текстового редактора vim связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю выполнить произвольные команды [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:C/C:N/I:L/A:L', score=4.1) - При использовании ПО vim выполнять обработку файлов, в частности, tar-архивов, полученных только из доверенных источников - Использовать ПО vim только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО vim в пользу ПО nano Astra Linux 1.8 vim Vim is an open source, command line text editor. Prior to version 9.1.1551, a path traversal issue in Vim’s zip.vim plugin can allow overwriting of arbitrary files when opening specially crafted zip archives. Impact is low because this exploit requires direct user interaction. However, successfully exploitation can lead to overwriting sensitive files or placing executable code in privileged locations, depending on the permissions of the process editing the archive. The victim must edit such a file using Vim which will reveal the filename and the file content, a careful user may suspect some strange things going on. Successful exploitation could results in the ability to execute arbitrary commands on the underlying operating system. Version 9.1.1551 contains a patch for the vulnerability. Уязвимость текстового редактора vim связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю выполнить произвольные команды [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:C/C:N/I:L/A:L', score=4.1) - При использовании ПО vim выполнять обработку файлов, в частности, zip-архивов, полученных только из доверенных источников - Использовать ПО vim только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО vim в пользу ПО nano Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 6.9.13-27 and 7.1.2-1, the magnified size calculations in ReadOneMNGIMage (in coders/png.c) are unsafe and can overflow, leading to memory corruption. This issue has been patched in versions 6.9.13-27 and 7.1.2-1. Уязвимость консольного графического редактора ImageMagick связанная c целочисленным переполнением или переносом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - При использовании ПО imagemagick отказаться от использования уязвимой функции ReadOneMNGIMage - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to ImageMagick versions 6.9.13-28 and 7.1.2-2, a format string bug vulnerability exists in InterpretImageFilename function where user input is directly passed to FormatLocaleString without proper sanitization. An attacker can overwrite arbitrary memory regions, enabling a wide range of attacks from heap overflow to remote code execution. This issue has been patched in versions 6.9.13-28 and 7.1.2-2. Уязвимость функции InterpretImageFilename компонента image.c консольного графического редактора ImageMagick связана с выходом операции за границы буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного имени файла [NistCWE(cwe='CWE-123')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.5) - При использовании ПО imagemagick отказаться от использования уязвимой функции InterpretImageFilename - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. ImageMagick versions lower than 14.8.2 include insecure functions: SeekBlob(), which permits advancing the stream offset beyond the current end without increasing capacity, and WriteBlob(), which then expands by quantum + length (amortized) instead of offset + length, and copies to data + offset. When offset ≫ extent, the copy targets memory beyond the allocation, producing a deterministic heap write on 64-bit builds. No 2⁶⁴ arithmetic wrap, external delegates, or policy settings are required. This is fixed in version 14.8.2. Уязвимость консольного графического редактора ImageMagick связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:L', score=3.8) - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Отказаться от использования ПО imagemagick в пользу ПО graphicsmagick Astra Linux 1.8 squid Squid through 7.1 mishandles ASN.1 encoding of long SNMP OIDs. This occurs in asn_build_objid in lib/snmplib/asn1.c. Уязвимость функции asn_build_objid() прокси-сервера Squid связана с ошибками проверки границ данных при обработке кодировки ASN.1 длинных идентификаторов SNMP OID. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) squid: - Исключить из автозапуска сетевой сервис - Обеспечить подключения пользователей к прокси серверу squid только по https протоколу - Использовать ПО squid только на низком или отдельно выделенном уровне целостности - Запускать ПО Squid с минимально необходимыми привилегиями - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Squid (/etc/squid/squid.conf): ``` # Разрешите доступ к прокси-серверу только с доверенных IP-адресов acl localnet src YOUR_TRUSTED_IP http_access allow localnet http_access deny all ``` - Настройте брандмауэр так, чтобы разрешать входящие подключения к Squid только с доверенных сетей, например: ``` sudo iptables -A INPUT -s YOUR_TRUSTED_IP -p tcp --dport 3128 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 3128 -j DROP ``` - Ограничьте доступ к ненадёжным и недоверенным ресурсам с помощью белых или чёрных списков. squid3: - Исключить из автозапуска сетевой сервис - Обеспечить подключения пользователей к прокси серверу squid только по https протоколу - Использовать ПО squid только на низком или отдельно выделенном уровне целостности - Запускать ПО Squid с минимально необходимыми привилегиями - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Squid (/etc/squid/squid.conf): ``` # Разрешите доступ к прокси-серверу только с доверенных IP-адресов acl localnet src YOUR_TRUSTED_IP http_access allow localnet http_access deny all ``` - Настройте брандмауэр так, чтобы разрешать входящие подключения к Squid только с доверенных сетей, например: ``` sudo iptables -A INPUT -s YOUR_TRUSTED_IP -p tcp --dport 3128 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 3128 -j DROP ``` - Ограничьте доступ к ненадёжным и недоверенным ресурсам с помощью белых или чёрных списков. Astra Linux 1.8 thunderbird A crafted HTML email using mailbox:/// links can trigger automatic, unsolicited downloads of .pdf files to the user's desktop or home directory without prompting, even if auto-saving is disabled. This behavior can be abused to fill the disk with garbage data (e.g. using /dev/urandom on Linux) or to leak Windows credentials via SMB links when the email is viewed in HTML mode. While user interaction is required to download the .pdf file, visual obfuscation can conceal the download trigger. Viewing the email in HTML mode is enough to load external content. This vulnerability was fixed in Thunderbird 128.11.1 and Thunderbird 139.0.2. Уязвимость почтового клиента Thunderbird связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 libxml2 A flaw was found in libxml2's xmlBuildQName function, where integer overflows in buffer size calculations can lead to a stack-based buffer overflow. This issue can result in memory corruption or a denial of service when processing crafted input. Уязвимость функции xmlBuildQName библиотеки Libxml2 связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libpod A flaw was found in Podman. The podman machine init command fails to verify the TLS certificate when downloading the VM images from an OCI registry. This issue results in a Man In The Middle attack. Уязвимость команды machine init менеджера контейнеров Podman связана с ошибками процедуры подтверждения подлинности TLS сертификата при загрузке образов виртуальных машин из реестра OCI. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) Загрузите образ виртуальной машины вручную с помощью другого инструмента, который проверяет сертификат TLS, а затем передайте локальный образ как путь к файлу в Podman, например: ``` podman machine init --image <local-image-path> ``` Дополнительно, рекомендуем соблюдать следующие требования: - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ``` podman run --read-only --rm <image_name> ``` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ``` podman run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ``` - По возможности используйте rootless контейнеры, которые работают без привилегий суперпользователя - Запускайте контейнеры от имени пользователей с минимально необходимыми правами - Поддерживайте образы контейнеров и сам Podman в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 python3.11 The html.parser.HTMLParser class had worse-case quadratic complexity when processing certain crafted malformed inputs potentially leading to amplified denial-of-service. Уязвимость компонента html.parser.HTMLParser интерпретатора языка программирования Python связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=4.3) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 openssh ssh in OpenSSH before 10.1 allows control characters in usernames that originate from certain possibly untrusted sources, potentially leading to code execution when a ProxyCommand is used. The untrusted sources are the command line and %-sequence expansion of a configuration file. (A configuration file that provides a complete literal username is not categorized as an untrusted source.) Уязвимость компонента ssh средства криптографической защиты OpenSSH связана с некорректной обработкой специальных элементов. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-159')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N', score=3.6) Для нейтрализации угрозы эксплуатации уязвимости необходимо экранировать токены подстановки в директиве ProxyCommand для предотвращения внедрения управляющих символов и выполнения произвольного кода. Для этого выполните следующие инструкции: 1. Используя полномочия администратора системы с высоким уровнем целостности, откройте файлы ~/.ssh/config и /etc/ssh/sshd_config. 2. В файлах выполните поиск директивы ProxyCommand. 3. Экранируйте токены подстановки %r, %u, %l в одинарные кавычки: '%r', '%u', '%l'. 4. Перезапустите службу ssh: ``` sudo systemctl restart sshd ``` Astra Linux 1.8 openssh ssh in OpenSSH before 10.1 allows the '\0' character in an ssh:// URI, potentially leading to code execution when a ProxyCommand is used. Уязвимость компонента ProxyCommand средства криптографической защиты OpenSSH связана с внедрением нулевого байта (%00) в строку имени пользователя. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-158')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N', score=3.6) Для нейтрализации угрозы эксплуатации уязвимости необходимо запретить использование переменных подстановки в директиве ProxyCommand. Для этого выполните следующие инструкции: 1. Используя полномочия администратора системы с высоким уровнем целостности, откройте файлы ~/.ssh/config и /etc/ssh/sshd_config. 2. В файлах выполните поиск директивы ProxyCommand. 3. Удалите переменные подстановки, начинающиеся с %, например, %h, %p, %r, %n, %u, %l. 4. Перезапустите службу ssh: ``` sudo systemctl restart sshd ``` Astra Linux 1.8 dpkg It was discovered that dpkg-deb does not properly sanitize directory permissions when extracting a control member into a temporary directory, which is documented as being a safe operation even on untrusted data. This may result in leaving temporary files behind on cleanup. Given automated and repeated execution of dpkg-deb commands on adversarial .deb packages or with well compressible files, placed inside a directory with permissions not allowing removal by a non-root user, this can end up in a DoS scenario due to causing disk quota exhaustion or disk full conditions. Уязвимость менеджера пакетов Dpkg связана с небезопасными временными файлами. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N', score=8.2) - Обработка .deb пакетов с помощью dpkg-deb должна производиться только для пакетов из доверенных источников - Регулярно отслеживайте занятое место на разделах, где размещены временные директории - Запускайте все автоматические процессы, обрабатывающие .deb пакеты, от выделенного, изолированного системного пользователя с минимальными правами Astra Linux 1.8 gnutls28 A NULL pointer dereference flaw was found in the GnuTLS software in _gnutls_figure_common_ciphersuite(). Уязвимость функции _gnutls_figure_common_ciphersuite() библиотеки безопасности транспортного уровня GnuTLS связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=6.5) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 1.8 php8.2 In PHP versions:8.1.* before 8.1.33, 8.2.* before 8.2.29, 8.3.* before 8.3.23, 8.4.* before 8.4.10 when parsing XML data in SOAP extensions, overly large (>2Gb) XML namespace prefix may lead to null pointer dereference. This may lead to crashes and affect the availability of the target server. Уязвимость функции xmlNodeSetName() интерпретатора языка программирования PHP связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: potential integer overflow in usbg_make_tpg() The variable tpgt in usbg_make_tpg() is defined as unsigned long and is assigned to tpgt->tport_tpgt, which is defined as u16. This may cause an integer overflow when tpgt is greater than USHRT_MAX (65535). I haven't tried to trigger it myself, but it is possible to trigger it by calling usbg_make_tpg() with a large value for tpgt. I modified the type of tpgt to match tpgt->tport_tpgt and adjusted the relevant code accordingly. This patch is similar to commit 59c816c1f24d ("vhost/scsi: potential memory corruption"). Уязвимость функции usbg_make_tpg() модуля drivers/usb/gadget/function/f_tcm.c драйвера гаджетов USB ядра операционной системы Linux связана с целочисленным переполнением или циклическим сдвигом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 gdk-pixbuf A flaw exists in gdk‑pixbuf within the gdk_pixbuf__jpeg_image_load_increment function (io-jpeg.c) and in glib’s g_base64_encode_step (glib/gbase64.c). When processing maliciously crafted JPEG images, a heap buffer overflow can occur during Base64 encoding, allowing out-of-bounds reads from heap memory, potentially causing application crashes or arbitrary code execution. Уязвимость функции gdk_pixbuf__jpeg_image_load_increment компонента io-jpeg.c библиотеки загрузки изображений GdkPixbuf связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного JPEG изображения [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gdk-pixbuf: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с изображениями, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать приложения, использующие gdk-pixbuf, на низком уровне целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить права редактирования конфигурационных файлов gdk-pixbuf исключительно группе root. - Выполнять регламентный контроль целостности критических компонентов gdk-pixbuf в рамках замкнутой программной среды. Astra Linux 1.8 sqlite3 An integer overflow in the sqlite3KeyInfoFromExprList function in SQLite versions 3.39.2 through 3.41.1 allows an attacker with the ability to execute arbitrary SQL statements to cause a denial of service or disclose sensitive information from process memory via a crafted SELECT statement with a large number of expressions in the ORDER BY clause. Уязвимость функции sqlite3KeyInfoFromExprList системы управления базами данных SQLite связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) sqlite3: - Запускать ПО sqlite3 в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО sqlite3 в пользу ПО postgresql Astra Linux 1.8 freeipa A privilege escalation flaw from host to domain administrator was found in FreeIPA. This vulnerability is similar to CVE-2025-4404, where it fails to validate the uniqueness of the krbCanonicalName. While the previously released version added validations for the admin@REALM credential, FreeIPA still does not validate the root@REALM canonical name, which can also be used as the realm administrator's name. This flaw allows an attacker to perform administrative tasks over the REALM, leading to access to sensitive data and sensitive data exfiltration. Уязвимость сервера FreeIpa связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [NistCWE(cwe='CWE-1220')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H', score=9.1) freeipa: - Настройте правила брандмауэра для разрешения только необходимых портов - Разрешите доступ только с доверенных IP-адресов - Настройте FreeIPA для использования SSL/TLS для шифрования всех сетевых коммуникаций - Используйте доверенные сертификаты - Предоставляйте пользователям только те права, которые им необходимы для выполнения их задач - Настройте ограничения на количество попыток входа и используйте CAPTCHA - Настройте правила HBAC для управления доступом к хостам на основе ролей и групп пользователей - Запускать ПО freeipa в изолированной программной среде - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 138.0.7204.168 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с ошибками преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 138.0.7204.168 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с ошибками преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird On 64-bit platforms IonMonkey-JIT only wrote 32 bits of the 64-bit return value space on the stack. Baseline-JIT, however, read the entire 64 bits. This vulnerability was fixed in Firefox 141, Firefox ESR 115.26, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13, and Thunderbird 140.1. Уязвимость JIT-компилятора IonMonkey веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird On arm64, a WASM `br_table` instruction with a lot of entries could lead to the label being too far from the instruction causing truncation and incorrect computation of the branch address. This vulnerability was fixed in Firefox 141, Firefox ESR 115.26, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13, and Thunderbird 140.1. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с неправильная обработкой ошибок. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1332')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Thunderbird executed `javascript:` URLs when used in `object` and `embed` tags. This vulnerability was fixed in Firefox 141, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13, and Thunderbird 140.1. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с непринятием мер по нейтрализации script-related тэгов html на веб-странице. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-80')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) Astra Linux 1.8 firefox, thunderbird Insufficient escaping in the “Copy as cURL” feature could potentially be used to trick a user into executing unexpected code. This vulnerability was fixed in Firefox 141, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13, and Thunderbird 140.1. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) Astra Linux 1.8 firefox, thunderbird The `username:password` part was not correctly stripped from URLs in CSP reports potentially leaking HTTP Basic Authentication credentials. This vulnerability was fixed in Firefox 141, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13, and Thunderbird 140.1. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с настройками прав доступа по умолчанию. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-276')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird XSLT document loading did not correctly propagate the source document which bypassed its CSP. This vulnerability was fixed in Firefox 141, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13, and Thunderbird 140.1. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) Astra Linux 1.8 firefox, thunderbird The JavaScript engine did not handle closed generators correctly and it was possible to resume them leading to a nullptr deref. This vulnerability was fixed in Firefox 141, Firefox ESR 115.26, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13, and Thunderbird 140.1. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 115.25, Firefox ESR 128.12, Thunderbird ESR 128.12, Firefox ESR 140.0, Thunderbird ESR 140.0, Firefox 140 and Thunderbird 140. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 141, Firefox ESR 115.26, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13, and Thunderbird 140.1. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 128.12, Thunderbird ESR 128.12, Firefox ESR 140.0, Thunderbird ESR 140.0, Firefox 140 and Thunderbird 140. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 141, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13, and Thunderbird 140.1. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Thunderbird cached CORS preflight responses across IP address changes. This allowed circumventing CORS with DNS rebinding. This vulnerability was fixed in Firefox 141, Firefox ESR 140.1, Thunderbird 141, and Thunderbird 140.1. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с зависимостью критичных действий от обратного DNS-решения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-350')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Setting a nameless cookie with an equals sign in the value shadowed other cookies. Even if the nameless cookie was set over HTTP and the shadowed cookie included the `Secure` attribute. This vulnerability was fixed in Firefox 141, Firefox ESR 140.1, Thunderbird 141, and Thunderbird 140.1. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с отсутствием флага «Secure» в файлах cookie HTTPS-сеанса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность и целостность защищаемой информации [NistCWE(cwe='CWE-614')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Thunderbird ignored paths when checking the validity of navigations in a frame. This vulnerability was fixed in Firefox 141, Firefox ESR 140.1, Thunderbird 141, and Thunderbird 140.1. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-345')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox In some cases search terms persisted in the URL bar even after navigating away from the search page. This vulnerability was fixed in Firefox 141, Firefox ESR 140.1, Thunderbird 141, and Thunderbird 140.1. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox ESR 140.0, Thunderbird ESR 140.0, Firefox 140 and Thunderbird 140. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 141, Firefox ESR 140.1, Thunderbird 141, and Thunderbird 140.1. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 140 and Thunderbird 140. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 141 and Thunderbird 141. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 udisks2 A flaw was found in the Udisks daemon, where it allows unprivileged users to create loop devices using the D-BUS system. This is achieved via the loop device handler, which handles requests sent through the D-BUS interface. As two of the parameters of this handle, it receives the file descriptor list and index specifying the file where the loop device should be backed. The function itself validates the index value to ensure it isn't bigger than the maximum value allowed. However, it fails to validate the lower bound, allowing the index parameter to be a negative value. Under these circumstances, an attacker can cause the UDisks daemon to crash or perform a local privilege escalation by gaining access to files owned by privileged users. Уязвимость программы для запросов и управления устройствами хранения Udisks связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:H', score=8.5) udisks2: - Использовать ПО udisks2 только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО udisks2 только доверенными пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды Astra Linux 1.8 python3.11 There is a defect in the CPython “tarfile” module affecting the “TarFile” extraction and entry enumeration APIs. The tar implementation would process tar archives with negative offsets without error, resulting in an infinite loop and deadlock during the parsing of maliciously crafted tar archives. This vulnerability can be mitigated by including the following patch after importing the “tarfile” module:  https://gist.github.com/sethmlarson/1716ac5b82b73dbcbf23ad2eff8b33e1 Уязвимость модуля tarfile интерпретатора языка программирования Python (CPython) связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданных tar-архивов [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) После импортирования модуля tarfile добавлять следующие строки: ```python import tarfile def _block_patched(self, count): if count < 0: raise tarfile.InvalidHeaderError("invalid offset") return _block_patched._orig_block(self, count) _block_patched._orig_block = tarfile.TarInfo._block tarfile.TarInfo._block = _block_patched ``` Astra Linux 1.8 chromium Use after free in Media Stream in Google Chrome prior to 138.0.7204.183 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость интерфейса MediaStream браузеров Google Chrome и Microsoft Edge связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 139.0.7258.66 allowed a remote attacker to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Picture In Picture in Google Chrome prior to 139.0.7258.66 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Cast in Google Chrome prior to 139.0.7258.66 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Cast (Трансляция) веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Picture In Picture in Google Chrome prior to 139.0.7258.66 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Filesystems in Google Chrome prior to 139.0.7258.66 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 139.0.7258.66 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Core in Google Chrome prior to 139.0.7258.66 allowed a remote attacker to spoof the contents of the Omnibox (URL bar) via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 139.0.7258.66 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 postgresql-15 PostgreSQL optimizer statistics allow a user to read sampled data within a view that the user cannot access. Separately, statistics allow a user to read sampled data that a row security policy intended to hide. PostgreSQL maintains statistics for tables by sampling data available in columns; this data is consulted during the query planning process. Prior to this release, a user could craft a leaky operator that bypassed view access control lists (ACLs) and bypassed row security policies in partitioning or table inheritance hierarchies. Reachable statistics data notably included histograms and most-common-values lists. CVE-2017-7484 and CVE-2019-10130 intended to close this class of vulnerability, but this gap remained. Versions before PostgreSQL 17.6, 16.10, 15.14, 14.19, and 13.22 are affected. Уязвимость компонента core server системы управления базами данных PostgreSQL связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности ACL и получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-1230')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.1) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 postgresql-15 Untrusted data inclusion in pg_dump in PostgreSQL allows a malicious superuser of the origin server to inject arbitrary code for restore-time execution as the client operating system account running psql to restore the dump, via psql meta-commands. pg_dumpall is also affected. pg_restore is affected when used to generate a plain-format dump. This is similar to MySQL CVE-2024-21096. Versions before PostgreSQL 17.6, 16.10, 15.14, 14.19, and 13.22 are affected. Уязвимость утилиты pg_dump системы управления базами данных PostgreSQL связана с включением функций из недостоверной контролируемой области. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-829')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - Не восстанавливайте недоверенные файлы дампа с сервера или пользователя; - Для восстановления используйте утилиту pg_restore - Перед восстановлением обработайте файл дампа, закомментировав или удалив все метакоманды - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres с минимально необходимыми привилегиями для взаимодействия с postgresql Astra Linux 1.8 postgresql-15 Improper neutralization of newlines in pg_dump in PostgreSQL allows a user of the origin server to inject arbitrary code for restore-time execution as the client operating system account running psql to restore the dump, via psql meta-commands inside a purpose-crafted object name. The same attacks can achieve SQL injection as a superuser of the restore target server. pg_dumpall, pg_restore, and pg_upgrade are also affected. Versions before PostgreSQL 17.6, 16.10, 15.14, 14.19, and 13.22 are affected. Versions before 11.20 are unaffected. CVE-2012-0868 had fixed this class of problem, but version 11.20 reintroduced it. Уязвимость утилиты pg_dump системы управления базами данных PostgreSQL связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-93')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 chromium Heap buffer overflow in libaom in Google Chrome prior to 139.0.7258.127 allowed a remote attacker to potentially exploit heap corruption via a curated set of gestures. (Chromium security severity: High) Уязвимость компонента libaom веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in V8 in Google Chrome prior to 139.0.7258.127 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in File Picker in Google Chrome prior to 139.0.7258.127 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента File Picker веб-браузера Google Chrome связана с неправильной реализацией алгоритма аутентификации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-303')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Aura in Google Chrome prior to 139.0.7258.127 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость функции free компонента Aura браузера Google Chrome связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 139.0.7258.127 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость библиотеки ANGLE браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 tiff A weakness has been identified in LibTIFF 4.7.0. This affects the function main of the file tiffcrop.c of the component tiffcrop. Executing manipulation can lead to memory corruption. The attack can only be executed locally. The exploit has been made available to the public and could be exploited. Уязвимость компонента tiffcrop библиотеки LibTIFF связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - отказаться от использования утилиты tiffcrop; - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - по возможности запускать прикладное ПО в отдельной сессии; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды. Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 139.0.7258.138 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо выполнить одно из следующих требований: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Отключите оптимизатор V8: - Введите chrome://settings/content/v8 в адресную строку и нажмите Enter - В появившемся списке выберите Запретить сайтам использовать оптимизатор V8 - Перезапустите Chromium Astra Linux 1.8 tiff A flaw has been found in LibTIFF 4.7.0. This affects the function _TIFFmallocExt/_TIFFCheckRealloc/TIFFHashSetNew/InitCCITTFax3 of the file tools/tiffcmp.c of the component tiffcmp. Executing manipulation can lead to memory leak. The attack is restricted to local execution. This attack is characterized by high complexity. It is indicated that the exploitability is difficult. The exploit has been published and may be used. There is ongoing doubt regarding the real existence of this vulnerability. This patch is called ed141286a37f6e5ddafb5069347ff5d587e7a4e0. It is best practice to apply a patch to resolve this issue. A researcher disputes the security impact of this issue, because "this is a memory leak on a command line tool that is about to exit anyway". In the reply the project maintainer declares this issue as "a simple 'bug' when leaving the command line tool and (...) not a security issue at all". Уязвимость компонента tiffcmp библиотеки LibTIFF связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] NistCVSS2(cvss='AV:L/AC:H/Au:S/C:N/I:N/A:P', score=1.0) NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:L', score=2.5) - отказаться от использования утилиты tiffcmp; - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - по возможности запускать прикладное ПО в отдельной сессии; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды. Astra Linux 1.8 firefox, thunderbird An attacker was able to perform memory corruption in the GMP process which processes encrypted media. This process is also heavily sandboxed, but represents slightly different privileges from the content process. This vulnerability was fixed in Firefox 142, Firefox ESR 115.27, Firefox ESR 128.14, Firefox ESR 140.2, Thunderbird 142, Thunderbird 128.14, and Thunderbird 140.2. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Same-origin policy bypass in the Graphics: Canvas2D component. This vulnerability was fixed in Firefox 142, Firefox ESR 115.27, Firefox ESR 128.14, Firefox ESR 140.2, Thunderbird 142, Thunderbird 128.14, and Thunderbird 140.2. Уязвимость компонента Canvas2D браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием недоверенного файла междоменной политики. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) Astra Linux 1.8 firefox, thunderbird Uninitialized memory in the JavaScript Engine component. This vulnerability was fixed in Firefox 142, Firefox ESR 128.14, Firefox ESR 140.2, Thunderbird 142, Thunderbird 128.14, and Thunderbird 140.2. Уязвимость компонента JavaScript Engine браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird Denial-of-service due to out-of-memory in the Graphics: WebRender component. This vulnerability was fixed in Firefox 142, Firefox ESR 140.2, Thunderbird 142, and Thunderbird 140.2. Уязвимость компонента WebRender браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox Spoofing issue in the Address Bar component. This vulnerability was fixed in Firefox 142 and Firefox ESR 140.2. Уязвимость веб-браузеров Firefox и Firefox ESR связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 140.1, Thunderbird ESR 140.1, Firefox 141 and Thunderbird 141. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 142, Firefox ESR 140.2, Thunderbird 142, and Thunderbird 140.2. Уязвимость браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 115.26, Firefox ESR 128.13, Thunderbird ESR 128.13, Firefox ESR 140.1, Thunderbird ESR 140.1, Firefox 141 and Thunderbird 141. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 142, Firefox ESR 115.27, Firefox ESR 128.14, Firefox ESR 140.2, Thunderbird 142, Thunderbird 128.14, and Thunderbird 140.2. Уязвимость браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 openssl Issue summary: An application trying to decrypt CMS messages encrypted using password based encryption can trigger an out-of-bounds read and write. Impact summary: This out-of-bounds read may trigger a crash which leads to Denial of Service for an application. The out-of-bounds write can cause a memory corruption which can have various consequences including a Denial of Service or Execution of attacker-supplied code. Although the consequences of a successful exploit of this vulnerability could be severe, the probability that the attacker would be able to perform it is low. Besides, password based (PWRI) encryption support in CMS messages is very rarely used. For that reason the issue was assessed as Moderate severity according to our Security Policy. The FIPS modules in 3.5, 3.4, 3.3, 3.2, 3.1 and 3.0 are not affected by this issue, as the CMS implementation is outside the OpenSSL FIPS module boundary. Уязвимость компонента FIPS Module криптографической библиотеки OpenSSL связана с чтением за границами памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 openssl Issue summary: An application using the OpenSSL HTTP client API functions may trigger an out-of-bounds read if the 'no_proxy' environment variable is set and the host portion of the authority component of the HTTP URL is an IPv6 address. Impact summary: An out-of-bounds read can trigger a crash which leads to Denial of Service for an application. The OpenSSL HTTP client API functions can be used directly by applications but they are also used by the OCSP client functions and CMP (Certificate Management Protocol) client implementation in OpenSSL. However the URLs used by these implementations are unlikely to be controlled by an attacker. In this vulnerable code the out of bounds read can only trigger a crash. Furthermore the vulnerability requires an attacker-controlled URL to be passed from an application to the OpenSSL function and the user has to have a 'no_proxy' environment variable set. For the aforementioned reasons the issue was assessed as Low severity. The vulnerable code was introduced in the following patch releases: 3.0.16, 3.1.8, 3.2.4, 3.3.3, 3.4.0 and 3.5.0. The FIPS modules in 3.5, 3.4, 3.3, 3.2, 3.1 and 3.0 are not affected by this issue, as the HTTP client implementation is outside the OpenSSL FIPS module boundary. Уязвимость компонента HTTP Client API криптографической библиотеки OpenSSL связана с чтением за границами памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 139.0.7258.154 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость библиотеки ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 libpod There's a vulnerability in podman where an attacker may use the kube play command to overwrite host files when the kube file container a Secrete or a ConfigMap volume mount and such volume contains a symbolic link to a host file path. In a successful attack, the attacker can only control the target file to be overwritten but not the content to be written into the file. Binary-Affected: podman Upstream-version-introduced: v4.0.0 Upstream-version-fixed: v5.6.1 Уязвимость менеджера контейнеров Podman, инструмента управления контейнерами Libpod связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=8.1) libpod: - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` podman run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` podman run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - По возможности используйте rootless контейнеры, которые работают без привилегий суперпользователя - Запускайте контейнеры от имени пользователей с минимально необходимыми правами - Поддерживайте образы контейнеров и сам Podman в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) libpodofo: - Отказаться от использования библиотеки libpodofo - При использовании ПО, использующего библиотеку libpodofo, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libpodofo, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libpodofo, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 samba A flaw was found in Samba, in the vfs_streams_xattr module, where uninitialized heap memory could be written into alternate data streams. This allows an authenticated user to read residual memory content that may include sensitive data, resulting in an information disclosure vulnerability. Уязвимость модуля vfs_streams_xattr пакета программ сетевого взаимодействия Samba связана с чтением за пределами допустимого диапазона. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальной информации [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=4.3) samba: - Убедитесь, что процессы Samba не работают от имени root - Обеспечьте доступ к Samba только авторизованным пользователям - Отключите все неиспользуемые службы - Настройте брандмауэр для ограничения доступа к портам Samba: ``` sudo ufw allow from YOUR_TRUSTED_IP to any port 445 sudo ufw allow from YOUR_TRUSTED_IP to any port 139 ``` - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Samba (/etc/samba/smb.conf): ``` [global] # Запретите доступ всем, кроме доверенных сетей hosts allow = YOUR_TRUSTED_IP # Отключите поддержку WINS wins support = no # Отключите гостевой доступ security = user map to guest = never smb encrypt = required # Включите детальное логирование в отдельный файл для каждого клиента log level = 1 log file = /var/log/samba/log.%m max log size = 1000 ``` Astra Linux 1.8 chromium Inappropriate implementation in Toolbar in Google Chrome on Android prior to 140.0.7339.80 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform domain spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 140.0.7339.80 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Downloads in Google Chrome on Android prior to 140.0.7339.80 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 tiff A flaw was found in Libtiff. This vulnerability is a "write-what-where" condition, triggered when the library processes a specially crafted TIFF image file. By providing an abnormally large image height value in the file's metadata, an attacker can trick the library into writing attacker-controlled color data to an arbitrary memory location. This memory corruption can be exploited to cause a denial of service (application crash) or to achieve arbitrary code execution with the permissions of the user. Уязвимость библиотеки LibTIFF связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код на целевой системе [NistCWE(cwe='CWE-123')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 ffmpeg A heap-buffer-overflow write exists in jpeg2000dec FFmpeg which allows an attacker to potentially gain remote code execution or cause denial of service via the channel definition cdef atom of JPEG2000. Уязвимость компонента jpeg2000dec мультимедийной библиотеки FFmpeg связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданного JP2-файла [NistCWE(cwe='CWE-122')] None None - При использовании библиотеки FFmpeg для декодера JPEG2000 отключите многопоточность, т.е. установите количество потоков для кодера в 1. - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников Astra Linux 1.8 curl When an OAuth2 bearer token is used for an HTTP(S) transfer, and that transfer performs a redirect to a second URL, curl could leak that token to the second hostname under some circumstances. If the hostname that the first request is redirected to has information in the used .netrc file, with either of the `machine` or `default` keywords, curl would pass on the bearer token set for the first host also to the second one. Уязвимость программного средства для взаимодействия с серверами cURL связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-522'), NistCWE(cwe='CWE-522')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) 1. Не вносить в .netrc недоверенные хосты. 2. В файле .netrc не использовать шаблоны и маски (например, machine *). 3. По возможности не использовать curl одновременно с флагом --location (-L) и Bearer-токеном. 4. Проводить периодический аудит всех записей в .netrc. Astra Linux 1.8 curl curl would wrongly reuse an existing HTTP proxy connection doing CONNECT to a server, even if the new request uses different credentials for the HTTP proxy. The proper behavior is to create or use a separate connection. Уязвимость программного средства для взаимодействия с серверами cURL связана с обходом аутентификации в силу исходной ошибки. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии [NistCWE(cwe='CWE-305'), NistCWE(cwe='CWE-305')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 curl libcurl might in some circumstances reuse the wrong connection for SMB(S) transfers. libcurl features a pool of recent connections so that subsequent requests can reuse an existing connection to avoid overhead. When reusing a connection a range of criteria must be met. Due to a logical error in the code, a network transfer operation that was requested by an application could wrongfully reuse an existing SMB connection to the same server that was using a different "share" than the new subsequent transfer should. This could in unlucky situations lead to the download of the wrong file or the upload of a file to the wrong place. When this happens, the same credentials are used and the server name is the same. Уязвимость компонента lib/protocol.c программного средства для взаимодействия с серверами CURL связана с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-488'), NistCWE(cwe='CWE-918')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 curl Successfully using libcurl to do a transfer over a specific HTTP proxy (`proxyA`) with **Digest** authentication and then changing the proxy host to a second one (`proxyB`) for a second transfer, reusing the same handle, makes libcurl wrongly pass on the `Proxy-Authorization:` header field meant for `proxyA`, to `proxyB`. [NistCWE(cwe='CWE-294'), NistCWE(cwe='CWE-294')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ieee802154: Avoid calling WARN_ON() on -ENOMEM in cfg802154_switch_netns() It's pointless to call WARN_ON() in case of an allocation failure in dev_change_net_namespace() and device_rename(), since it only leads to useless splats caused by deliberate fault injections, so avoid it. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. [] None None Astra Linux 1.8 thunderbird Sandbox escape due to incorrect boundary conditions in the Graphics component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Mitigation bypass in the Remote Settings Client component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Mitigation bypass in the DOM: Notifications component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Mitigation bypass in the DOM: Networking component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Race condition in the DOM: Content Processes component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Privilege escalation due to incorrect boundary conditions in the Audio/Video component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Information disclosure in the Networking: HTTP component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Sandbox escape due to incorrect boundary conditions in the WebRTC component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Use-after-free in the Graphics component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Privilege escalation in the Crash Reporting component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Privilege escalation due to uninitialized memory in the Graphics: CanvasWebGL component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Privilege escalation in the Graphics: CanvasWebGL component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Privilege escalation in the Memory component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Privilege escalation in the DevTools component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Use-after-free in the Graphics: Text component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Mitigation bypass in the Enterprise Policies component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Use-after-free in the Graphics component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Incorrect boundary conditions in the DOM: Editor component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.3) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Use-after-free in the Internationalization component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Privilege escalation in the Session Restore component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Use-after-free in the Widget: Gtk component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Site isolation issue in the Reader Mode component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Spoofing issue in the DOM: Navigation component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Information disclosure in the Networking component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Incorrect boundary conditions in the Safe Browsing component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=8.0) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Privilege escalation in the Enterprise Policies component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Mitigation bypass in the Popup Blocker component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Mitigation bypass in the Networking component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Incorrect boundary conditions in the Networking component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Denial-of-service in the SVG component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 thunderbird Denial-of-service in the Security component. This vulnerability was fixed in Firefox 156, Firefox ESR 153.3, Thunderbird 156, and Thunderbird 153.3. [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 postgresql-15 Уязвимость функции SECURITY DEFINER реляционной СУБД PostgreSQL связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-269 AV:L/AC:L/Au:N/C:C/I:C/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 ntpsec Уязвимость реализации протокола сетевого времени NTPsec связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным CWE-125 AV:N/AC:M/Au:N/C:P/I:N/A:N AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N Astra Linux 1.8 ntpsec Уязвимость функции nts_client_process_response() компонента ntpd/nts_client.c реализации протокола сетевого времени NTPsec связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-125 AV:N/AC:L/Au:N/C:N/I:N/A:P AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L Astra Linux 1.8 libssh2 Уязвимость функции _libssh2_packet_add() компонента packet.c библиотеки реализации протокола SSH2 Libssh2 связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-20 AV:N/AC:M/Au:N/C:N/I:N/A:P AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 libvirt Уязвимость компонента virerror.c библиотеки управления виртуализацией Libvirt связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-401 AV:N/AC:L/Au:N/C:N/I:N/A:P AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L libvirt: - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать регламентный контроль целостности ОС - Активировать режим замкнутой программной среды Astra Linux 1.8 parsec Уязвимость подсистемы безопасности PARSEC связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-190 AV:N/AC:L/Au:N/C:N/I:N/A:P AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 1.8 audit Уязвимость компонента ausearch-parse.c инструмента хранения и поиска записей аудита Linux Audit связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-125 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 bzip2 Уязвимость утилиты для сжатия данных Bzip2 связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-476 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H Astra Linux 1.8 keepalived Уязвимость системы балансировки сетевого трафика Keepalived связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-129 AV:L/AC:H/Au:N/C:N/I:N/A:P AV:L/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:L Astra Linux 1.8 libssh2 Уязвимость компонента src/kex.c библиотеки реализации протокола SSH2 Libssh2 связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным CWE-125 AV:N/AC:H/Au:N/C:P/I:N/A:N AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 parsec-cups Уязвимость средства защиты и маркировки печати Parsec Cups связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L Astra Linux 1.8 tar Уязвимость функции extract_file() архиватора GNU Tar связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-125 AV:N/AC:M/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H rust-tar: - Удалить ПО rust-tar, если оно не используется и не является зависимостью других пакетов - При использовании ПО rust-tar выполнять обработку архивов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды tar: - Запускайте tar с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам tar так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. libtar: - Запускайте libtar с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libtar так, чтобы их могли изменять только администраторы системы. - При использовании ПО libtar выполнять обработку файлов, полученных только из доверенных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. node-tar-fs: - Удалить ПО node-tar-fs, если оно не используется и не является зависимостью других пакетов - Отказаться от использования ПО node-tar-fs - При использовании ПО node-tar-fs выполнять обработку файлов, полученных только из доверенных источников. - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 apt Уязвимость функции PackageFromTask() программы для установки, обновления и удаления программных пакетов Apt связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании CWE-125 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H python-wrapt: - Использовать ПО python-wrapt только на низком или отдельно выделенном уровне целостности - При использовании ПО python-wrapt выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-wrapt только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды raptor2: - Удалить ПО raptor2, если оно не используется и не является зависимостью других пакетов - Запускайте приложения, использующие raptor2, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Обеспечьте тщательную проверку всех данных, обрабатываемых Raptor2, чтобы предотвратить атаки, связанные с некорректными или недоверенными данными, например, поддельными или вредоносными RDF-запросами. - Рассмотрите возможность изоляции процессов с Raptor2, используя контейнеры (например, Docker) или виртуализацию Astra Linux 1.8 libssh2 Уязвимость функции _libssh2_ntohu32() библиотеки реализации протокола SSH2 Libssh2 связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании CWE-125 AV:N/AC:M/Au:N/C:P/I:N/A:P AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 catdoc A memory corruption vulnerability exists in the Shared String Table Record Parser implementation in xls2csv utility version 0.95. A specially crafted malformed file can lead to a heap buffer overflow. An attacker can provide a malicious file to trigger this vulnerability. Уязвимость утилиты преобразования файлов xls2csv связана с записью за пределами допустимого диапазона. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-680'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 catdoc An integer overflow vulnerability exists in the OLE Document File Allocation Table Parser functionality of catdoc 0.95. A specially crafted malformed file can lead to heap-based memory corruption. An attacker can provide a malicious file to trigger this vulnerability. Уязвимость компонента OLE Document File Allocation Table Parser программы извлечения читаемого текста из файлов MS-Word catdoc связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 catdoc An integer underflow vulnerability exists in the OLE Document DIFAT Parser functionality of catdoc 0.95. A specially crafted malformed file can lead to heap-based memory corruption. An attacker can provide a malicious file to trigger this vulnerability. Уязвимость компонента OLE Document DIFAT Parser программы для извлечения читаемого текста из файлов MS-Word catdoc связана с целочисленной потерей значимости. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: brcmfmac: fix use-after-free when rescheduling brcmf_btcoex_info work The brcmf_btcoex_detach() only shuts down the btcoex timer, if the flag timer_on is false. However, the brcmf_btcoex_timerfunc(), which runs as timer handler, sets timer_on to false. This creates critical race conditions: 1.If brcmf_btcoex_detach() is called while brcmf_btcoex_timerfunc() is executing, it may observe timer_on as false and skip the call to timer_shutdown_sync(). 2.The brcmf_btcoex_timerfunc() may then reschedule the brcmf_btcoex_info worker after the cancel_work_sync() has been executed, resulting in use-after-free bugs. The use-after-free bugs occur in two distinct scenarios, depending on the timing of when the brcmf_btcoex_info struct is freed relative to the execution of its worker thread. Scenario 1: Freed before the worker is scheduled The brcmf_btcoex_info is deallocated before the worker is scheduled. A race condition can occur when schedule_work(&bt_local->work) is called after the target memory has been freed. The sequence of events is detailed below: CPU0 | CPU1 brcmf_btcoex_detach | brcmf_btcoex_timerfunc | bt_local->timer_on = false; if (cfg->btcoex->timer_on) | ... | cancel_work_sync(); | ... | kfree(cfg->btcoex); // FREE | | schedule_work(&bt_local->work); // USE Scenario 2: Freed after the worker is scheduled The brcmf_btcoex_info is freed after the worker has been scheduled but before or during its execution. In this case, statements within the brcmf_btcoex_handler() — such as the container_of macro and subsequent dereferences of the brcmf_btcoex_info object will cause a use-after-free access. The following timeline illustrates this scenario: CPU0 | CPU1 brcmf_btcoex_detach | brcmf_btcoex_timerfunc | bt_local->timer_on = false; if (cfg->btcoex->timer_on) | ... | cancel_work_sync(); | ... | schedule_work(); // Reschedule | kfree(cfg->btcoex); // FREE | brcmf_btcoex_handler() // Worker /* | btci = container_of(....); // USE The kfree() above could | ... also occur at any point | btci-> // USE during the worker's execution| */ | To resolve the race conditions, drop the conditional check and call timer_shutdown_sync() directly. It can deactivate the timer reliably, regardless of its current state. Once stopped, the timer_on state is then set to false. [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 zziplib An issue was discovered in function zzip_disk_entry_to_file_header in mmapped.c in zziplib 0.13.69, which will lead to a denial-of-service. Уязвимость функции zzip_disk_entry_to_file_header файла mmapped.c библиотеки архивирования Zziplib связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 dcmtk A vulnerability was detected in DCMTK up to 3.6.7. The impacted element is the function DcmQueryRetrieveConfig::readPeerList of the file /dcmqrcnf.cc of the component dcmqrscp. The manipulation results in null pointer dereference. The attack needs to be approached locally. The exploit is now public and may be used. Upgrading to version 3.6.8 is sufficient to resolve this issue. The patch is identified as 957fb31e5. Upgrading the affected component is advised. Уязвимость функции DcmQueryRetrieveConfig::readPeerList компонента dcmqrscp библиотеки для работы с форматом DICOM DCMTK связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-404')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 cjson cJSON 1.7.15 might allow a denial of service via a crafted JSON document such as {"a": true, "b": [ null,9999999999999999999999999999999999999999999999912345678901234567]}. Уязвимость компонента cJSON.c библиотеки cJSON связана с нарушением ожидаемого поведения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-440')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) - удалить ПО cjson, если оно не используется и не является зависимостью других пакетов; - отказаться от использования ПО cjson в пользу ПО jansson; - при использовании ПО cjson выполнять обработку файлов, полученных только из доверенных источников; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - запретить установку бита исполнения для всех пользователей, включая администраторов; - включить режим замкнутой программной среды; - включить мандатный контроль целостности (МКЦ). Astra Linux 1.8 rubygems, ruby3.1 A ReDoS issue was discovered in the URI component through 0.12.0 in Ruby through 3.2.1. The URI parser mishandles invalid URLs that have specific characters. It causes an increase in execution time for parsing strings to URI objects. The fixed versions are 0.12.1, 0.11.1, 0.10.2 and 0.10.0.1. Уязвимость компонента URI языка программирования Ruby связана с некорректной реализацией обработки недопустимых URL-адресов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333'), NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) Astra Linux 1.8 ruby3.1 A ReDoS issue was discovered in the Time component through 0.2.1 in Ruby through 3.2.1. The Time parser mishandles invalid URLs that have specific characters. It causes an increase in execution time for parsing strings to Time objects. The fixed versions are 0.1.1 and 0.2.2. Уязвимость компонента Time языка программирования Ruby связана с некорректной реализацией обработки недопустимых URL-адресов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Использовать ПО ruby только на низком или отдельно выделенном уровне ц Astra Linux 1.8 sox A floating point exception vulnerability was found in sox, in the read_samples function at sox/src/voc.c:334:18. This flaw can lead to a denial of service. Уязвимость функции read_samples() программы обработки звука Sound eXchange (SoX) связана с некорректными числовыми вычислениями при обработке значений с плавающей запятой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1077'), NistCWE(cwe='CWE-697')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) Astra Linux 1.8 libde265 Buffer Overflow vulnerability in libde265 v1.0.12 allows a local attacker to cause a denial of service via the allocation size exceeding the maximum supported size of 0x10000000000. Уязвимость реализации видеокодека h.265 Libde265 связана с размером выделяемой памяти, превышающий максимальный поддерживаемый размер 0x10000000000. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N', score=3.3) libde265: - Отказаться от использования библиотеки libde265 - При использовании ПО, использующего библиотеку libde265, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libde265, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 cjson parse_string in cJSON before 1.7.18 has a heap-based buffer over-read via {"1":1, with no trailing newline if cJSON_ParseWithLength is called. Уязвимость функции cJSON_ParseWithLength компонента cJSON.c библиотеки cJSON связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) - удалить ПО cjson, если оно не используется и не является зависимостью других пакетов; - отказаться от использования ПО cjson в пользу ПО jansson; - при использовании ПО cjson выполнять обработку файлов, полученных только из доверенных источников; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - запретить установку бита исполнения для всех пользователей, включая администраторов; - включить режим замкнутой программной среды; - включить мандатный контроль целостности (МКЦ). Astra Linux 1.8 ffmpeg A flaw was found in FFmpeg's HLS demuxer. This vulnerability allows bypassing unsafe file extension checks and triggering arbitrary demuxers via base64-encoded data URIs appended with specific file extensions. Уязвимость мультимедийной библиотеки FFmpeg связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-99'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N', score=4.7) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg A flaw was found in FFmpeg's TTY Demuxer. This vulnerability allows possible data exfiltration via improper parsing of non-TTY-compliant input files in HLS playlists. Уязвимость мультимедийной библиотеки FFmpeg связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-99')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg A flaw was found in FFmpeg. This vulnerability allows unexpected additional CPU load and storage consumption, potentially leading to degraded performance or denial of service via the demuxing of arbitrary data as XBIN-formatted data without proper format validation. Уязвимость мультимедийной библиотеки FFmpeg связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-99'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libmodbus Stack-based Buffer Overflow vulnerability in libmodbus v3.1.10 allows to overflow the buffer allocated for the Modbus response if the function tries to reply to a Modbus request with an unexpected length. Уязвимость библиотеки взаимодействия с устройствами Modbus LibModbus связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L', score=4.8) Astra Linux 1.8 containerd-app containerd is an open-source container runtime. Versions 0.1.0 through 1.7.28, 2.0.0-beta.0 through 2.0.6, 2.1.0-beta.0 through 2.1.4 and 2.2.0-beta.0 through 2.2.0-rc.1 have an overly broad default permission vulnerability. Directory paths `/var/lib/containerd`, `/run/containerd/io.containerd.grpc.v1.cri` and `/run/containerd/io.containerd.sandbox.controller.v1.shim` were all created with incorrect permissions. This issue is fixed in versions 1.7.29, 2.0.7, 2.1.5 and 2.2.0. Workarounds include updating system administrator permissions so the host can manually chmod the directories to not have group or world accessible permissions, or to run containerd in rootless mode. Уязвимость среды выполнения контейнеров Containerd связана с неправильным разрешением на исполнение. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-279')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) 1. Не запускайте containerd с root-правами 2. Ограничьте права доступа к служебным директориям containerd: - Остановите containerd: ``` sudo systemctl stop containerd ``` - Установите правильлные права (доступ только у root) ``` sudo chmod 700 /var/lib/containerd sudo chmod 700 /run/containerd/io.containerd.grpc.v1.cri sudo chmod 700 /run/containerd/io.containerd.sandbox.controller.v1.shim ``` - Запустите containerd: ``` sudo systemctl start containerd ``` Astra Linux 1.8 c-ares c-ares is a C library for asynchronous DNS requests. `ares__read_line()` is used to parse local configuration files such as `/etc/resolv.conf`, `/etc/nsswitch.conf`, the `HOSTALIASES` file, and if using a c-ares version prior to 1.27.0, the `/etc/hosts` file. If any of these configuration files has an embedded `NULL` character as the first character in a new line, it can lead to attempting to read memory prior to the start of the given buffer which may result in a crash. This issue is fixed in c-ares 1.27.0. No known workarounds exist. Уязвимость функции ares__read_line() библиотеки асинхронных DNS-запросов C-ares связана с выходом операции за границы буфера в памяти из-за NULL-байта в конфигурационных файлах системы. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-127'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) - Удалить ПО c-ares, если оно не используется и не является зависимостью других пакетов - При использовании ПО c-ares проверить корректность конфигурации файлов /etc/resolv.conf, /etc/nsswitch.conf и /etc/hosts. Необходимо убедиться, что в этих конфигурационных файлах отсутствуют NULL-байты. Выполните следующую команду: ```bash grep -Pa '\x00' --color=never /etc/resolv.conf /etc/nsswitch.conf /etc/hosts | cat -vET ``` Если команда выведет путь к какому-либо файлу или строку с символом ^@, это означает, что в данном файле присутствует NULL-байт. В этом случае нужно открыть указанный файл в текстовом редакторе и удалить соответствующий символ (например, ^@), после чего сохранить изменения. - Убедитесь, что только доверенные процессы/пользователи имеют право менять файлы. - Ограничьте права сервисов, использующих библиотеку c-ares, до непривилегированных пользователей. - Настройте постоянный мониторинг на изменения системных конфигурационных файлов - При использовании ПО c-ares выполнять обработку файлов, полученных только из доверенных источников Astra Linux 1.8 botan Botan is a C++ cryptography library. X.509 certificates can identify elliptic curves using either an object identifier or using explicit encoding of the parameters. Prior to 3.5.0 and 2.19.5, checking name constraints in X.509 certificates is quadratic in the number of names and name constraints. An attacker who presented a certificate chain which contained a very large number of names in the SubjectAlternativeName, signed by a CA certificate which contained a large number of name constraints, could cause a denial of service. The problem has been addressed in Botan 3.5.0 and a partial backport has also been applied and is included in Botan 2.19.5. Уязвимость поля SubjectAlternativeName криптографической библиотеки Botan связана с неконтролируемым потреблением ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного сертификата [NistCWE(cwe='CWE-405')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) Прежде чем проверять сертификат, проверьте общее количество ограничений по именам, связанных с сертификатом. Если их слишком много (например, больше 128), немедленно отклоните сертификат. Astra Linux 1.8 docker.io-app moby v25.0.0 - v26.0.2 is vulnerable to NULL Pointer Dereference via daemon/images/image_history.go. Уязвимость программного средства для создания систем контейнерной изоляции Moby связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) docker.io-app: - Использовать Docker для работы в непривилегированном (rootless) режиме - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование файла Unix-сокета /var/run/docker.sock внутри контейнеров для всех пользователей - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске Docker-контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске Docker-контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске Docker-контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` docker run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` docker run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - Создавайте отдельные сети для контейнеров, используемых в одном контексте, чтобы изолировать их от других контейнеров и ограничить сетевой доступ только до необходимых сервисов. Для создания пользовательской сети используется следующая команда команда: ` docker network create <network_name> ` Далее, для подключения контейнера к созданной сети используется следующая команда: ` docker run --network=<network_name> --rm <image_name> ` - Поддерживайте образы контейнеров и сам Docker в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 edk2 EDK2 contains a vulnerability in the HashPeImageByType(). A user may cause a read out of bounds when a corrupted data pointer and length are sent via an adjecent network. A successful exploit of this vulnerability may lead to a loss of Integrity and/or Availability. Уязвимость функции HashPeImageByType() библиотеки Tianocore EDK2 связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L', score=4.6) edk2: - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. Astra Linux 1.8 edk2 EDK2 contains a vulnerability in BIOS where a user may cause an Integer Overflow or Wraparound by network means. A successful exploitation of this vulnerability may lead to denial of service. Уязвимость среды разработки для UEFI приложений EDK2 связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H', score=6.3) edk2: - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. Astra Linux 1.8 botan Botan is a C++ cryptography library. X.509 certificates can identify elliptic curves using either an object identifier or using explicit encoding of the parameters. A bug in the parsing of name constraint extensions in X.509 certificates meant that if the extension included both permitted subtrees and excluded subtrees, only the permitted subtree would be checked. If a certificate included a name which was permitted by the permitted subtree but also excluded by excluded subtree, it would be accepted. Fixed in versions 3.5.0 and 2.19.5. Уязвимость криптографической библиотеки C++ Botan связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказывать влияние на целостность системы [NistCWE(cwe='CWE-295'), NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) Astra Linux 1.8 python-webob WebOb provides objects for HTTP requests and responses. When WebOb normalizes the HTTP Location header to include the request hostname, it does so by parsing the URL that the user is to be redirected to with Python's urlparse, and joining it to the base URL. `urlparse` however treats a `//` at the start of a string as a URI without a scheme, and then treats the next part as the hostname. `urljoin` will then use that hostname from the second part as the hostname replacing the original one from the request. This vulnerability is patched in WebOb version 1.8.8. Уязвимость функций urlparse() и urljoin() библиотеки для разбора HTTP-запросов и формирования HTTP-ответов WebOb связана с перенаправлением URL на ненадежный сайт при обработке заголовка HTTP Location. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перенаправить пользователя на произвольный URL-адрес [NistCWE(cwe='CWE-601'), NistCWE(cwe='CWE-601')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) Всегда заменяйте все места кода, где устанавливается `Response(..., location=...)` или `response.location = ...`, на логику, которая формирует и подставляет только полный абсолютный URI вида `scheme://hostname[:port]/path`, собирая его из доверенной базы (конфигурации или проверенного request.host_url), отклоняя или нормализуя входящие значения, начинающиеся с `//`, и проверяя scheme/netloc по allowlist (либо разрешая только относительные пути и добавляя к ним базу) Astra Linux 1.8 openipmi OpenIPMI before 2.0.36 has an out-of-bounds array access (for authentication type) in the ipmi_sim simulator, resulting in denial of service or (with very low probability) authentication bypass or code execution. Уязвимость компонента lanserv_ipmi.c утилиты для управления IPMI-устройствами OpenIPMI связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=5.0) Astra Linux 1.8 requests Requests is a HTTP library. Due to a URL parsing issue, Requests releases prior to 2.32.4 may leak .netrc credentials to third parties for specific maliciously-crafted URLs. Users should upgrade to version 2.32.4 to receive a fix. For older versions of Requests, use of the .netrc file can be disabled with `trust_env=False` on one's Requests Session. Уязвимость библиотеки HTTP запросов языка программирования Python Requests связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-522')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) - При использовании модуля requests отключить использование .netrc в Requests, создавая Session(trust_env=False) или устанавливая trust_env=False при вызове, чтобы Requests не читал .netrc и переменные окружения - При использовании модуля requests явно указывать учетные данные, используемые при каждом вызове API, чтобы отключить доступ к файлу .netrc Astra Linux 1.8 ceph Ceph is a distributed object, block, and file storage platform. In versions up to and including 19.2.3, using the argument `x-amz-copy-source` to put an object and specifying an empty string as its content leads to the RGW daemon crashing, resulting in a DoS attack. As of time of publication, no known patched versions exist. Уязвимость демона RGW системы хранения данных Ceph связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) ceph: - Используя брандмауэр, ограничьте все входящие соединения, кроме необходимых для Ceph и администрирования - Используйте аутентификацию по SSH-ключам - Ограничьте пользователей, которые могут подключаться через SSH - Включите шифрование трафика между клиентами и серверами - Включите Cephx - Установите строгие права доступа на файлы с ключами Ceph - Создавайте пользователей Ceph с минимально необходимыми правами Astra Linux 1.8 ceph Ceph is a distributed object, block, and file storage platform. In versions 19.2.3 and below, it is possible to send an JWT that has "none" as JWT alg. And by doing so the JWT signature is not checked. The vulnerability is most likely in the RadosGW OIDC provider. As of time of publication, a known patched version has yet to be published. Уязвимость системы хранения данных Ceph связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-345')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=8.1) ceph: - Используя брандмауэр, ограничьте все входящие соединения, кроме необходимых для Ceph и администрирования - Используйте аутентификацию по SSH-ключам - Ограничьте пользователей, которые могут подключаться через SSH - Включите шифрование трафика между клиентами и серверами - Включите Cephx - Установите строгие права доступа на файлы с ключами Ceph - Создавайте пользователей Ceph с минимально необходимыми правами Astra Linux 1.8 botan Botan before 3.6.0, when certain GCC versions are used, has a compiler-induced secret-dependent operation in lib/utils/donna128.h in donna128 (used in Chacha-Poly1305 and x25519). An addition can be skipped if a carry is not set. This was observed for GCC 11.3.0 with -O2 on MIPS, and GCC on x86-i386. (Only 32-bit processors can be affected.) Уязвимость компонента lib/utils/donna128.h криптографической библиотеки Botan связана с раскрытием информации через несоответствие. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N', score=5.9) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: fix read pointer after free in ath12k_mac_assign_vif_to_vdev() In ath12k_mac_assign_vif_to_vdev(), if arvif is created on a different radio, it gets deleted from that radio through a call to ath12k_mac_unassign_link_vif(). This action frees the arvif pointer. Subsequently, there is a check involving arvif, which will result in a read-after-free scenario. Fix this by moving this check after arvif is again assigned via call to ath12k_mac_assign_link_vif(). Tested-on: QCN9274 hw2.0 PCI WLAN.WBE.1.3.1-00173-QCAHKSWPL_SILICONZ-1 Уязвимость компонента drivers/net/wireless/ath/ath12k/mac.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 qemu A flaw was found in the virtio-net device in QEMU. When enabling the RSS feature on the virtio-net network card, the indirections_table data within RSS becomes controllable. Setting excessively large values may cause an index out-of-bounds issue, potentially resulting in heap overflow access. This flaw allows a privileged user in the guest to crash the QEMU process on the host. Уязвимость компонента virtio-net эмулятора аппаратного обеспечения QEMU связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:N/A:H', score=6.8) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 qemu A flaw was found in QEMU. An assertion failure was present in the usb_ep_get() function in hw/net/core.c when trying to get the USB endpoint from a USB device. This flaw may allow a malicious unprivileged guest user to crash the QEMU process on the host and cause a denial of service condition. Уязвимость функции usb_ep_get() (hw/net/core.c) эмулятора аппаратного обеспечения QEMU связана с недостатком использования функции assert(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 qemu A flaw was found in QEMU, in the virtio-scsi, virtio-blk, and virtio-crypto devices. The size for virtqueue_push as set in virtio_scsi_complete_req / virtio_blk_req_complete / virito_crypto_req_complete could be larger than the true size of the data which has been sent to guest. Once virtqueue_push() finally calls dma_memory_unmap to ummap the in_iov, it may call the address_space_write function to write back the data. Some uninitialized data may exist in the bounce.buffer, leading to an information leak. Уязвимость компонентов virtio-scsi, virtio-blk, virtio-crypt функции virtqueue_push() эмулятора аппаратного обеспечения QEMU связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию через параметры virtio_scsi_complete_req, virtio_blk_req_complete, virito_crypto_req_complete [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N', score=3.8) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 rsync A malicious client acting as the receiver of an rsync file transfer can trigger an out of bounds read of a heap based buffer, via a negative array index. The malicious rsync client requires at least read access to the remote rsync module in order to trigger the issue. Уязвимость функции f_name() утилиты для передачи и синхронизации файлов Rsync связана с выходом операции за границы буфера в памяти в результате некорректной проверки индекса массива. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N', score=4.3) rsync: - При использовании ПО rsync отказаться от использования параметра --protect-args - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg A NULL pointer dereference vulnerability exists in FFmpeg’s Firequalizer filter (libavfilter/af_firequalizer.c) due to a missing check on the return value of av_malloc_array() in the config_input() function. An attacker could exploit this by tricking a victim into processing a crafted media file with the Firequalizer filter enabled, causing the application to dereference a NULL pointer and crash, leading to denial of service. Уязвимость мультимедийной библиотеки FFmpeg связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 qtsvg-opensource-src The module will parse a <pattern> node which is not a child of a structural node. The node will be deleted after creation but might be accessed later leading to a use after free. Уязвимость функции renderPattern() кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None None qtsvg-opensource-src: - В приложениях, использующих ПО qtsvg-opensource-src, выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 libxslt A use-after-free vulnerability was found in libxslt while parsing xsl nodes that may lead to the dereference of expired pointers and application crash. Уязвимость библиотеки для анализа XML-документов Libxslt связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) libxslt: - Запускайте libxslt с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libxslt так, чтобы их могли изменять только администраторы системы. - Рассмотрите возможность изоляции процессов, работающих с libxslt, используя контейнеры (Docker, LXC) или механизмы виртуализации. Astra Linux 1.8 gegl GIMP HDR File Parsing Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of HDR files. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-27803. Уязвимость библиотеки для обработки изображений GEGL связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gegl: - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. Astra Linux 1.8 gimp GIMP DCM File Parsing Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of DCM files. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-27863. Уязвимость графического редактора GIMP связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации и вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 gimp GIMP XWD File Parsing Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of XWD files. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-27823. Уязвимость графического редактора GIMP связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 libsoup3 A flaw was found in the cookie date handling logic of the libsoup HTTP library, widely used by GNOME and other applications for web communication. When processing cookies with specially crafted expiration dates, the library may perform an out-of-bounds memory read. This flaw could result in unintended disclosure of memory contents, potentially exposing sensitive information from the process using libsoup. Уязвимость функции soup_date_time_to_string() библиотеки доступа к HTTP серверам LibSoup связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) - Обеспечить возможность использования библиотеки llibsoup3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 openssl Issue summary: PBMAC1 parameters in PKCS#12 files are missing validation which can trigger a stack-based buffer overflow, invalid pointer or NULL pointer dereference during MAC verification. Impact summary: The stack buffer overflow or NULL pointer dereference may cause a crash leading to Denial of Service for an application that parses untrusted PKCS#12 files. The buffer overflow may also potentially enable code execution depending on platform mitigations. When verifying a PKCS#12 file that uses PBMAC1 for the MAC, the PBKDF2 salt and keylength parameters from the file are used without validation. If the value of keylength exceeds the size of the fixed stack buffer used for the derived key (64 bytes), the key derivation will overflow the buffer. The overflow length is attacker-controlled. Also, if the salt parameter is not an OCTET STRING type this can lead to invalid or NULL pointer dereference. Exploiting this issue requires a user or application to process a maliciously crafted PKCS#12 file. It is uncommon to accept untrusted PKCS#12 files in applications as they are usually used to store private keys which are trusted by definition. For this reason the issue was assessed as Moderate severity. The FIPS modules in 3.6, 3.5 and 3.4 are not affected by this issue, as PKCS#12 processing is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5 and 3.4 are vulnerable to this issue. OpenSSL 3.3, 3.0, 1.1.1 and 1.0.2 are not affected by this issue as they do not support PBMAC1 in PKCS#12. Уязвимость файлов формата PKCS#12 библиотеки OpenSSL связана с разыменованием указателей. Эксплуатация уязвимость может позволить нарушителю вызвать отказ в обслуживании или выпонить произвольный код [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:H', score=6.1) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Heap buffer overflow in WebGPU in Google Chrome prior to 141.0.7390.54 allowed a remote attacker who had compromised the renderer process to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebGPU веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Video in Google Chrome prior to 141.0.7390.54 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Video веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L', score=7.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Storage in Google Chrome prior to 141.0.7390.54 allowed a remote attacker to perform arbitrary read/write via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Storage веб-браузера Google Chrome связана с раскрытием информации при передаче данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-1300'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Media in Google Chrome prior to 141.0.7390.54 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Tab in Google Chrome prior to 141.0.7390.54 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Tab веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Media in Google Chrome prior to 141.0.7390.54 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Off by one error in V8 in Google Chrome prior to 141.0.7390.54 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-193'), NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 141.0.7390.54 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Low) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 qemu A flaw was found in QEMU. If the QIOChannelWebsock object is freed while it is waiting to complete a handshake, a GSource is leaked. This can lead to the callback firing later on and triggering a use-after-free in the use of the channel. This can be abused by a malicious client with network access to the VNC WebSocket port to cause a denial of service during the WebSocket handshake prior to the VNC client authentication. Уязвимость эмулятора аппаратного обеспечения QEMU связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 binutils A vulnerability has been found in GNU Binutils 2.45. This impacts the function bfd_elf_gc_record_vtentry of the file bfd/elflink.c of the component Linker. The manipulation leads to out-of-bounds read. Local access is required to approach this attack. The exploit has been disclosed to the public and may be used. The identifier of the patch is 047435dd988a3975d40c6626a8f739a0b2e154bc. To fix this issue, it is recommended to deploy a patch. Уязвимость функции bfd_elf_gc_record_vtentry компонента bfd/elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail; - запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - при использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников; - для непривилегированных пользователей активировать блокировку bash; - запретить установку бита исполнения для всех пользователей, включая администраторов; - включить режим замкнутой программной среды. Astra Linux 1.8 binutils A vulnerability was found in GNU Binutils 2.45. Affected is the function elf_link_add_object_symbols of the file bfd/elflink.c of the component Linker. The manipulation results in out-of-bounds read. The attack needs to be approached locally. The exploit has been made public and could be used. Upgrading to version 2.46 is able to address this issue. The patch is identified as 72efdf166aa0ed72ecc69fc2349af6591a7a19c0. Upgrading the affected component is advised. Уязвимость функции elf_link_add_object_symbols компонента bfd/elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail; - запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - при использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников; - для непривилегированных пользователей активировать блокировку bash; - запретить установку бита исполнения для всех пользователей, включая администраторов; - включить режим замкнутой программной среды. Astra Linux 1.8 binutils A vulnerability was determined in GNU Binutils 2.45. Affected by this vulnerability is the function get_link_hash_entry of the file bfd/elflink.c of the component Linker. This manipulation causes out-of-bounds read. The attack can only be executed locally. The exploit has been publicly disclosed and may be utilized. Upgrading to version 2.46 addresses this issue. Patch name: aeaaa9af6359c8e394ce9cf24911fec4f4d23703. It is advisable to upgrade the affected component. Уязвимость функции get_link_hash_entry компонента bfd/elflink.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail; - запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - при использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников; - для непривилегированных пользователей активировать блокировку bash; - запретить установку бита исполнения для всех пользователей, включая администраторов; - включить режим замкнутой программной среды. Astra Linux 1.8 chromium Heap buffer overflow in Sync in Google Chrome prior to 141.0.7390.65 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: High) Уязвимость функции синхронизации Sync веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Storage in Google Chrome prior to 141.0.7390.65 allowed a remote attacker to execute arbitrary code via a crafted video file. (Chromium security severity: High) Уязвимость компонента Storage веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 binutils A vulnerability has been found in GNU Binutils 2.43 and classified as problematic. Affected by this vulnerability is the function __sanitizer::internal_strlen of the file binutils/nm.c of the component nm. The manipulation of the argument const leads to buffer overflow. The attack can be launched remotely. The complexity of an attack is rather high. The exploitation appears to be difficult. The exploit has been disclosed to the public and may be used. Уязвимость функции __sanitizer::internal_strlen компонента binutils/nm.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:N/I:N/A:P', score=2.6) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 binutils A vulnerability was found in GNU Binutils 2.43 and classified as problematic. Affected by this issue is the function link_order_scan of the file ld/ldelfgen.c of the component ld. The manipulation leads to memory leak. The attack may be launched remotely. The complexity of an attack is rather high. The exploitation is known to be difficult. The exploit has been disclosed to the public and may be used. It is recommended to apply a patch to fix this issue. The code maintainer explains: "I'm not going to commit some of the leak fixes I've been working on to the 2.44 branch due to concern that would destabilise ld. All of the reported leaks in this bugzilla have been fixed on binutils master." Уязвимость функции link_order_scan() компонента ld/ldelfgen.c программного средства разработки GNU Binutils связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] NistCVSS2(cvss='AV:N/AC:H/Au:N/C:N/I:N/A:P', score=2.6) NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 binutils A vulnerability was found in GNU Binutils 2.45. Impacted is the function _bfd_x86_elf_late_size_sections of the file bfd/elfxx-x86.c of the component Linker. The manipulation results in out-of-bounds read. The attack needs to be approached locally. The exploit has been made public and could be used. The patch is identified as b6ac5a8a5b82f0ae6a4642c8d7149b325f4cc60a. A patch should be applied to remediate this issue. Уязвимость функции _bfd_x86_elf_late_size_sections компонента bfd/elfxx-x86.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 sssd A flaw was found in the integration of Active Directory and the System Security Services Daemon (SSSD) on Linux systems. In default configurations, the Kerberos local authentication plugin (sssd_krb5_localauth_plugin) is enabled, but a fallback to the an2ln plugin is possible. This fallback allows an attacker with permission to modify certain AD attributes (such as userPrincipalName or samAccountName) to impersonate privileged users, potentially resulting in unauthorized access or privilege escalation on domain-joined Linux hosts. Уязвимость сервиса управления доступом к удаленным каталогам и механизма аутентификации SSSD связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Вы можете отслеживать любые изменения атрибутов userPrincipalName или sAMAccountName в Active Directory, а также обеспечить, чтобы пользователи не имели прав на запись в эти атрибуты. Если вы используете SSSD, вы также можете включить и настроить плагин sssd_krb5_localauth_plugin для предотвращения данной уязвимости. Кроме того, рекомендуется отключить однократный вход (SSO) через Kerberos на Linux-системе, если он вам не требуется. Astra Linux 1.8 firefox Use-after-free in MediaTrackGraphImpl::GetInstance(). This vulnerability was fixed in Firefox 144, Firefox ESR 140.4, Thunderbird 144, and Thunderbird 140.4. Уязвимость функции MediaTrackGraphImpl::GetInstance браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимостей в ПО Firefox необходимо выполнить одно из следующих требований: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности Для нейтрализации угрозы эксплуатации уязвимостей в ПО Thunderbird необходимо выполнить одно из следующих требований: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 firefox A compromised web process was able to trigger out of bounds reads and writes in a more privileged process using manipulated WebGL textures. This vulnerability was fixed in Firefox 144, Firefox ESR 115.29, Firefox ESR 140.4, Thunderbird 144, and Thunderbird 140.4. Уязвимость компонента WebGL Texture Handler браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимостей в ПО Firefox необходимо выполнить одно из следующих требований: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности Для нейтрализации угрозы эксплуатации уязвимостей в ПО Thunderbird необходимо выполнить одно из следующих требований: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 firefox A compromised web process using malicious IPC messages could have caused the privileged browser process to reveal blocks of its memory to the compromised process. This vulnerability was fixed in Firefox 144, Firefox ESR 115.29, Firefox ESR 140.4, Thunderbird 144, and Thunderbird 140.4. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимостей в ПО Firefox необходимо выполнить одно из следующих требований: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности Для нейтрализации угрозы эксплуатации уязвимостей в ПО Thunderbird необходимо выполнить одно из следующих требований: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 firefox There was a way to change the value of JavaScript Object properties that were supposed to be non-writeable. This vulnerability was fixed in Firefox 144, Firefox ESR 115.29, Firefox ESR 140.4, Thunderbird 144, and Thunderbird 140.4. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием небезопасных механизмов обработки аутентификационных данных в памяти операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-591')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox A malicious page could have used the type attribute of an OBJECT tag to override the default browser behavior when encountering a web resource served without a content-type. This could have contributed to an XSS on a site that unsafely serves files without a content-type header. This vulnerability was fixed in Firefox 144, Firefox ESR 140.4, Thunderbird 144, and Thunderbird 140.4. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с некорректным кодированием или сокрытием выходных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить межсайтовые сценарные атаки (XSS) [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox ESR 115.28, Firefox ESR 140.3, Thunderbird ESR 140.3, Firefox 143 and Thunderbird 143. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 144, Firefox ESR 115.29, Firefox ESR 140.4, Thunderbird 144, and Thunderbird 140.4. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox ESR 140.3, Thunderbird ESR 140.3, Firefox 143 and Thunderbird 143. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 144, Firefox ESR 140.4, Thunderbird 144, and Thunderbird 140.4. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug present in Firefox 143 and Thunderbird 143. This bug showed evidence of memory corruption and we presume that with enough effort this could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 144 and Thunderbird 144. Уязвимость браузеров Mozilla Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 libxslt A flaw was found in the exsltFuncResultComp() function of libxslt, which handles EXSLT <func:result> elements during stylesheet parsing. Due to improper type handling, the function may treat an XML document node as a regular XML element node, resulting in a type confusion. This can cause unexpected memory reads and potential crashes. While difficult to exploit, the flaw could lead to application instability or denial of service. Уязвимость функции exsltFuncResultComp() компонента functions.c библиотеки для анализа XML-документов Libxslt связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) libxslt: - Запускайте libxslt с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libxslt так, чтобы их могли изменять только администраторы системы. - Рассмотрите возможность изоляции процессов, работающих с libxslt, используя контейнеры (Docker, LXC) или механизмы виртуализации. Astra Linux 1.8 chromium Use after free in Safe Browsing in Google Chrome prior to 141.0.7390.107 allowed a remote attacker who had compromised the renderer process to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Safe Browsing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 binutils A security flaw has been discovered in GNU Binutils 2.45. Impacted is the function tg_tag_type of the file prdbg.c. Performing a manipulation results in unchecked return value. The attack needs to be approached locally. The exploit has been released to the public and may be used for attacks. Уязвимость функции tg_tag_type() компонента prdbg.c программного средства разработки GNU Binutils связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-252'), NistCWE(cwe='CWE-252')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 binutils A weakness has been identified in GNU Binutils 2.45. The affected element is the function vfinfo of the file ldmisc.c. Executing a manipulation can lead to out-of-bounds read. The attack can only be executed locally. The exploit has been made available to the public and could be used for attacks. This patch is called 16357. It is best practice to apply a patch to resolve this issue. Уязвимость функции vfinfo() компонента ldmisc.c программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Out of bounds memory access in V8 in Google Chrome prior to 141.0.7390.122 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Starting with Firefox 142, it was possible for a compromised child process to trigger a use-after-free in the GPU or browser process using WebGPU-related IPC calls. This may have been usable to escape the child process sandbox. This vulnerability was fixed in Firefox 144.0.2. Уязвимость браузера Mozilla Firefox связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to perform arbitrary read/write via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to perform arbitrary read/write via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Object lifecycle issue in Media in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 142.0.7444.59 allowed an attacker who convinced a user to install a malicious extension to bypass navigation restrictions via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с обходом аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in V8 in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in Extensions in Google Chrome prior to 142.0.7444.59 allowed an attacker who convinced a user to install a malicious extension to obtain potentially sensitive information from process memory via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с отсутствием аутентификации для критичных функций. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного расширения [NistCWE(cwe='CWE-306')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N', score=5.9) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PageInfo in Google Chrome prior to 142.0.7444.59 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PageInfo браузеров Google Chrome и Microsoft Edge связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome on Linux and ChromeOS prior to 142.0.7444.59 allowed a remote attacker to potentially exploit object corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 142.0.7444.59 allowed a remote attacker who convinced a user to engage in specific UI gestures to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Autofill веб-браузера Google Chrome связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in V8 in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in WebXR in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebXR браузеров Google Chrome и Microsoft Edge связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Fullscreen UI in Google Chrome prior to 142.0.7444.59 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Fullscreen UI браузеров Google Chrome и Microsoft Edge связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить подмену пользовательского интерфейса с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-306')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in Extensions in Google Chrome prior to 142.0.7444.59 allowed an attacker who convinced a user to install a malicious extension to leak cross-origin data via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента Extensions браузеров Google Chrome и Microsoft Edge связана с неправильной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in SplitView in Google Chrome prior to 142.0.7444.59 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted domain name. (Chromium security severity: Low) Уязвимость компонента SplitView браузеров Google Chrome и Microsoft Edge связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить подмену пользовательского интерфейса [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 qemu A stack-based buffer overflow was found in the QEMU e1000 network device. The code for padding short frames was dropped from individual network devices and moved to the net core code. The issue stems from the device's receive code still being able to process a short frame in loopback mode. This could lead to a buffer overrun in the e1000_receive_iov() function via the loopback code path. A malicious guest user could use this vulnerability to crash the QEMU process on the host, resulting in a denial of service. Уязвимость функции e1000_receive_iov() компонента e1000.c эмулятора аппаратного обеспечения QEMU связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 142.0.7444.137 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с несоответствием программ управления памятью. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 libvirt A flaw was discovered in libvirt in the XML file processing. More specifically, the parsing of user provided XML files was performed before the ACL checks. A malicious user with limited permissions could exploit this flaw by submitting a specially crafted XML file, causing libvirt to allocate too much memory on the host. The excessive memory consumption could lead to a libvirt process crash on the host, resulting in a denial-of-service condition. Уязвимость механизма обработки XML-файлов библиотеки управления виртуализацией Libvirt связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально созданного XML файла [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) libvirt: - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать регламентный контроль целостности ОС - Активировать режим замкнутой программной среды Astra Linux 1.8 pgbouncer Untrusted search path in auth_query connection handler in PgBouncer before 1.25.1 allows an unauthenticated attacker to execute arbitrary SQL during authentication via a malicious search_path parameter in the StartupMessage. Уязвимость программного обеспечения для пула соединения в PostgreSQL PgBouncer связана с ненадежным путем поиска. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-426')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.5) pgbouncer : - Обеспечить возможность запуска pgbouncer только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 firefox Race condition in the Graphics component. This vulnerability was fixed in Firefox 145, Firefox ESR 140.5, Firefox ESR 115.30, Thunderbird 145, and Thunderbird 140.5. Уязвимость компонента Graphics веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 145, Firefox ESR 140.5, Firefox ESR 115.30, Thunderbird 145, and Thunderbird 140.5. Уязвимость компонента DOM: Core & HTML браузеров Mozilla Firefox и Firefox ESR связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the Audio/Video component. This vulnerability was fixed in Firefox 145, Firefox ESR 140.5, Firefox ESR 115.30, Thunderbird 145, and Thunderbird 140.5. Уязвимость компонента Audio/Video браузеров Mozilla Firefox и Firefox ESR связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Spoofing issue in Firefox. This vulnerability was fixed in Firefox 145, Firefox ESR 140.5, and Firefox ESR 115.30. Уязвимость браузеров Mozilla Firefox и Firefox ESR связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить спуфинг-атаки [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N', score=3.4) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the JavaScript: WebAssembly component. This vulnerability was fixed in Firefox 145, Firefox ESR 140.5, Thunderbird 145, and Thunderbird 140.5. Уязвимость компонента JavaScript: WebAssembly браузеров Mozilla Firefox и Firefox ESR связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-703')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Same-origin policy bypass in the DOM: Notifications component. This vulnerability was fixed in Firefox 145, Firefox ESR 140.5, Thunderbird 145, and Thunderbird 140.5. Уязвимость компонента DOM: Notifications браузеров Mozilla Firefox и Firefox ESR связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности [NistCWE(cwe='CWE-942')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the DOM: Security component. This vulnerability was fixed in Firefox 145, Firefox ESR 140.5, Thunderbird 145, and Thunderbird 140.5. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с обходом аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Same-origin policy bypass in the DOM: Workers component. This vulnerability was fixed in Firefox 145, Firefox ESR 140.5, Thunderbird 145, and Thunderbird 140.5. Уязвимость компонента DOM: Workers браузеров Mozilla Firefox и Firefox ESR связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности [NistCWE(cwe='CWE-942')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the WebRTC: Audio/Video component. This vulnerability was fixed in Firefox 145, Firefox ESR 140.5, Thunderbird 145, and Thunderbird 140.5. Уязвимость компонента WebRTC: Audio/Video браузеров Mozilla Firefox и Firefox ESR связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 145 and Thunderbird 145. Уязвимость интерфейса WebGPU API браузера Mozilla Firefox и почтового клиента Thunderbird связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-703')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 145 and Thunderbird 145. Уязвимость интерфейса WebGPU API браузера Mozilla Firefox и почтового клиента Thunderbird связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-703')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Sandbox escape due to incorrect boundary conditions in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 145 and Thunderbird 145. Уязвимость интерфейса WebGPU API браузера Mozilla Firefox и почтового клиента Thunderbird связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти защитный механизм песочницы и оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-703')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox JIT miscompilation in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 145 and Thunderbird 145. Уязвимость компонента JavaScript Engine браузера Mozilla Firefox связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-733')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 145 and Thunderbird 145. Уязвимость компонента WebGPU браузера Mozilla Firefox связана с некорректно используемыми стандартными разрешениями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-276')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Sandbox escape due to incorrect boundary conditions in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 145 and Thunderbird 145. Уязвимость компонента Graphics: WebGPU веб-браузера Firefox и почтового клиента Thunderbird связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-703')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 144 and Thunderbird 144. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 145 and Thunderbird 145. Уязвимость браузеров Mozilla Firefox и Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 142.0.7444.166 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с освобождением неверного указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 openvpn Improper validation of source IP addresses in OpenVPN version 2.6.0 through 2.6.15 and 2.7_alpha1 through 2.7_rc1 allows an attacker to open a session from a different IP address which did not initiate the connection resulting in a denial of service for the originating client Уязвимость компонента ssl_pkt.c программного обеспечения OpenVPN связана с недостаточной проверкой источника канала связи. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-940')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openvpn: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска openvpn только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 libvirt A flaw was found in libvirt. External inactive snapshots for shut-down VMs are incorrectly created as world-readable, making it possible for unprivileged users to inspect the guest OS contents. This results in an information disclosure vulnerability. Уязвимость библиотеки управления виртуализацией Libvirt связана с настройками прав доступа по умолчанию. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-276')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) libvirt: - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать регламентный контроль целостности ОС - Активировать режим замкнутой программной среды Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 142.0.7444.175 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 142.0.7444.175 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 webkit2gtk A flaw was found in WebKitGTK and WPE WebKit. This vulnerability allows an out-of-bounds read and integer underflow, leading to a UIProcess crash (DoS) via a crafted payload to the GLib remote inspector server. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 glib2.0 A heap-based buffer overflow problem was found in glib through an incorrect calculation of buffer size in the g_escape_uri_string() function. If the string to escape contains a very large number of unacceptable characters (which would need escaping), the calculation of the length of the escaped string could overflow, leading to a potential write off the end of the newly allocated string. Уязвимость функции g_escape_uri_string() набора библиотек GLib связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=7.7) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 143.0.7499.41 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 143.0.7499.41 allowed an attacker who convinced a user to install a malicious extension to potentially perform a sandbox escape via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента DevTools веб-браузера Google Chrome связана с неожиданным расширением знака. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-194')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Digital Credentials in Google Chrome prior to 143.0.7499.41 allowed a remote attacker who had compromised the renderer process to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Digital Credentials веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Downloads in Google Chrome prior to 143.0.7499.41 allowed a local attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Downloads веб-браузера Google Chrome связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Split View in Google Chrome prior to 143.0.7499.41 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted domain name. (Chromium security severity: Low) Уязвимость компонента Split View веб-браузера Google Chrome связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Downloads in Google Chrome prior to 143.0.7499.41 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass download protections via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Downloads веб-браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-449')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media Stream in Google Chrome prior to 143.0.7499.41 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Media Stream веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebRTC in Google Chrome prior to 143.0.7499.41 allowed a remote attacker to perform arbitrary read/write via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 143.0.7499.41 allowed a local attacker to bypass authentication via physical access to the device. (Chromium security severity: Low) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатками процедуры аутентификации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:P/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=3.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 mariadb MariaDB mariadb-dump Utility Directory Traversal Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of MariaDB. Interaction with the mariadb-dump utility is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the handling of view names. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-27000. Уязвимость компонента mariadb-dump системы управления базами данных MariaDB связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) mariadb-10.3: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей mariadb: - При использовании ПО mariadb выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО mariadb в изолированной программной среде с применением инструмента Firejail - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 chromium Bad cast in Loader in Google Chrome prior to 143.0.7499.41 allowed a remote attacker who had compromised the renderer process to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Loader веб-браузера Google Chrome связана с ошибками преобразования типов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-704')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in v8 in Google Chrome prior to 143.0.7499.41 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 webkit2gtk A flaw was found in WebKitGTK. This vulnerability allows remote, user-assisted information disclosure that can reveal any file the user is permitted to read via abusing the file drag-and-drop mechanism where WebKitGTK does not verify that drag operations originate from outside the browser. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N', score=7.4) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 util-linux A flaw was found in util-linux. This vulnerability allows a heap buffer overread when processing 256-byte usernames, specifically within the `setpwnam()` function, affecting SUID (Set User ID) login-utils utilities writing to the password database. Уязвимость функции setpwnam() пакета служебных утилит командной строки Util-linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:H', score=6.1) util-linux: - Использовать ПО util-linux только на низком или отдельно выделенном уровне целостности - Включить ввод пароля для sudo и su - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 php8.2 In PHP versions:8.1.* before 8.1.34, 8.2.* before 8.2.30, 8.3.* before 8.3.29, 8.4.* before 8.4.16, 8.5.* before 8.5.1, the getimagesize() function may leak uninitialized heap memory into the APPn segments (e.g., APP1) when reading images in multi-chunk mode (such as via php://filter). This occurs due to a bug in php_read_stream_all_chunks() that overwrites the buffer without advancing the pointer, leaving tail bytes uninitialized. This may lead to information disclosure of sensitive heap data and affect the confidentiality of the target server. Уязвимость функции php_read_stream_all_chunks языка программирования PHP связана с возможностью спекулятивного выполнения команд. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP versions:8.1.* before 8.1.34, 8.2.* before 8.2.30, 8.3.* before 8.3.29, 8.4.* before 8.4.16, 8.5.* before 8.5.1, a heap buffer overflow occurs in array_merge() when the total element count of packed arrays exceeds 32-bit limits or HT_MAX_SIZE, due to an integer overflow in the precomputation of element counts using zend_hash_num_elements(). This may lead to memory corruption or crashes and affect the integrity and availability of the target server. Уязвимость функции php_array_merge_wrapper языка программирования PHP связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=6.5) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.34, 8.2.* before 8.2.30, 8.3.* before 8.3.29, 8.4.* before 8.4.16, 8.5.* before 8.5.1 when using the PDO PostgreSQL driver with PDO::ATTR_EMULATE_PREPARES enabled, an invalid character sequence (such as \x99) in a prepared statement parameter may cause the quoting function PQescapeStringConn to return NULL, leading to a null pointer dereference in pdo_parse_params() function. This may lead to crashes (segmentation fault) and affect the availability of the target server. Уязвимость объектно-ориентированного прикладного программного интерфейса PDO интерпретатора языка программирования PHP связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 firefox, thunderbird Use-after-free in the WebRTC: Signaling component. This vulnerability was fixed in Firefox 146, Firefox ESR 140.6, Thunderbird 146, and Thunderbird 140.6. Уязвимость компонента WebRTC: Signaling браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Sandbox escape due to incorrect boundary conditions in the Graphics: CanvasWebGL component. This vulnerability was fixed in Firefox 146, Firefox ESR 115.31, Firefox ESR 140.6, Thunderbird 146, and Thunderbird 140.6. Уязвимость интерфейсов Canvas и WebGL браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти защитный механизм песочницы [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N', score=8.0) Astra Linux 1.8 firefox, thunderbird Privilege escalation in the DOM: Notifications component. This vulnerability was fixed in Firefox 146, Firefox ESR 115.31, Firefox ESR 140.6, Thunderbird 146, and Thunderbird 140.6. Уязвимость интерфейса Notification браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти при обработке объектов DOM. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird JIT miscompilation in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 146, Firefox ESR 115.31, Firefox ESR 140.6, Thunderbird 146, and Thunderbird 140.6. Уязвимость JIT-компилятора браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с неверным управлением генерацией код. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird JIT miscompilation in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 146, Firefox ESR 140.6, Thunderbird 146, and Thunderbird 140.6. Уязвимость JIT-компилятора браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) Astra Linux 1.8 firefox Use-after-free in the Audio/Video: GMP component. This vulnerability was fixed in Firefox 146 and Thunderbird 146. Уязвимость компонента GMP браузера Mozilla Firefox и почтового клиента Thunderbird связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Spoofing issue in the Downloads Panel component. This vulnerability was fixed in Firefox 146, Thunderbird 146, Firefox ESR 140.7, and Thunderbird 140.7. Уязвимость компонента Downloads Panel браузера Mozilla Firefox и почтового клиента Thunderbird связана с недостатками процедуры аутентификации в результате некорректного отображения доменного имени в адресной строке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить спуфинг-атаки [NistCWE(cwe='CWE-290'), NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) Astra Linux 1.8 firefox, thunderbird Privilege escalation in the Netmonitor component. This vulnerability was fixed in Firefox 146, Firefox ESR 140.6, Thunderbird 146, and Thunderbird 140.6. Уязвимость компонента Netmonitor браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird Privilege escalation in the Netmonitor component. This vulnerability was fixed in Firefox 146, Firefox ESR 140.6, Thunderbird 146, and Thunderbird 140.6. Уязвимость компонента Netmonitor браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird JIT miscompilation in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 146, Firefox ESR 140.6, Thunderbird 146, and Thunderbird 140.6. Уязвимость JIT-компилятора браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Same-origin policy bypass in the Request Handling component. This vulnerability was fixed in Firefox 146, Firefox ESR 115.31, Firefox ESR 140.6, Thunderbird 146, and Thunderbird 140.6. Уязвимость компонента Request Handling браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с отсутствием проверки достоверности источника данных или сообщения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности [NistCWE(cwe='CWE-346'), NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) Astra Linux 1.8 firefox Memory safety bugs present in Firefox 145 and Thunderbird 145. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 146 and Thunderbird 146. Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 140.5, Thunderbird ESR 140.5, Firefox 145 and Thunderbird 145. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 146, Firefox ESR 140.6, Thunderbird 146, and Thunderbird 140.6. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 chromium Use after free in Password Manager in Google Chrome prior to 143.0.7499.110 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Password Manager браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию и выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 glib2.0 A flaw was found in glib. This vulnerability allows a heap buffer overflow and denial-of-service (DoS) via an integer overflow in GLib's GIO (GLib Input/Output) escape_byte_string() function when processing malicious file or remote filesystem attribute values. Уязвимость функции escape_byte_string() компонента gio/gfileattribute.c набора библиотек GLib связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 1.8 chromium Use after free in WebGPU in Google Chrome prior to 143.0.7499.147 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebGPU веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in V8 in Google Chrome prior to 143.0.7499.147 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the Disability Access APIs component. This vulnerability was fixed in Firefox 146.0.1. Уязвимость компонента Disability Access APIs веб-браузера Firefox связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 146. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 146.0.1. Уязвимость браузера Firefox связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 libnbd A flaw was found in libnbd. A malicious actor could exploit this by convincing libnbd to open a specially crafted Uniform Resource Identifier (URI). This vulnerability arises because non-standard hostnames starting with '-o' are incorrectly interpreted as arguments to the Secure Shell (SSH) process, rather than as hostnames. This could lead to arbitrary code execution with the privileges of the user running libnbd. Уязвимость набора инструментов для работы с Network Block Device Libnbd связана с внедрением или модификацией аргумента. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-88')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L', score=4.8) libnbd: - Обеспечить возможность использования библиотеки libnbd только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 openssl Issue summary: Parsing CMS AuthEnvelopedData or EnvelopedData message with maliciously crafted AEAD parameters can trigger a stack buffer overflow. Impact summary: A stack buffer overflow may lead to a crash, causing Denial of Service, or potentially remote code execution. When parsing CMS (Auth)EnvelopedData structures that use AEAD ciphers such as AES-GCM, the IV (Initialization Vector) encoded in the ASN.1 parameters is copied into a fixed-size stack buffer without verifying that its length fits the destination. An attacker can supply a crafted CMS message with an oversized IV, causing a stack-based out-of-bounds write before any authentication or tag verification occurs. Applications and services that parse untrusted CMS or PKCS#7 content using AEAD ciphers (e.g., S/MIME (Auth)EnvelopedData with AES-GCM) are vulnerable. Because the overflow occurs prior to authentication, no valid key material is required to trigger it. While exploitability to remote code execution depends on platform and toolchain mitigations, the stack-based write primitive represents a severe risk. The FIPS modules in 3.6, 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the CMS implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3 and 3.0 are vulnerable to this issue. OpenSSL 1.1.1 and 1.0.2 are not affected by this issue. Уязвимость обработчика CMS-сообщений криптографической библиотеки OpenSSL связана с записью за границами буфера при обработке вектора инициализации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных пакетов [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - ограничение возможности обработки сообщений CMS или S/MIME, полученных от недоверенных источников; - использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - ограничение доступа из внешних сетей (Интернет). Astra Linux 1.8 openssl Issue summary: If an application using the SSL_CIPHER_find() function in a QUIC protocol client or server receives an unknown cipher suite from the peer, a NULL dereference occurs. Impact summary: A NULL pointer dereference leads to abnormal termination of the running process causing Denial of Service. Some applications call SSL_CIPHER_find() from the client_hello_cb callback on the cipher ID received from the peer. If this is done with an SSL object implementing the QUIC protocol, NULL pointer dereference will happen if the examined cipher ID is unknown or unsupported. As it is not very common to call this function in applications using the QUIC protocol and the worst outcome is Denial of Service, the issue was assessed as Low severity. The vulnerable code was introduced in the 3.2 version with the addition of the QUIC protocol support. The FIPS modules in 3.6, 3.5, 3.4 and 3.3 are not affected by this issue, as the QUIC implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4 and 3.3 are vulnerable to this issue. OpenSSL 3.0, 1.1.1 and 1.0.2 are not affected by this issue. Уязвимость функции SSL_CIPHER_find() библиотеки OpenSSL связана с разыменованием указателей. Эксплуатация уязвимость может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: HWS, change error flow on matcher disconnect Currently, when firmware failure occurs during matcher disconnect flow, the error flow of the function reconnects the matcher back and returns an error, which continues running the calling function and eventually frees the matcher that is being disconnected. This leads to a case where we have a freed matcher on the matchers list, which in turn leads to use-after-free and eventual crash. This patch fixes that by not trying to reconnect the matcher back when some FW command fails during disconnect. Note that we're dealing here with FW error. We can't overcome this problem. This might lead to bad steering state (e.g. wrong connection between matchers), and will also lead to resource leakage, as it is the case with any other error handling during resource destruction. However, the goal here is to allow the driver to continue and not crash the machine with use-after-free error. Уязвимость компонента matcher.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/vt-d: Avoid use of NULL after WARN_ON_ONCE There is a WARN_ON_ONCE to catch an unlikely situation when domain_remove_dev_pasid can't find the `pasid`. In case it nevertheless happens we must avoid using a NULL pointer. Уязвимость компонента iommu/vt-d ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bonding: check xdp prog when set bond mode Following operations can trigger a warning[1]: ip netns add ns1 ip netns exec ns1 ip link add bond0 type bond mode balance-rr ip netns exec ns1 ip link set dev bond0 xdp obj af_xdp_kern.o sec xdp ip netns exec ns1 ip link set bond0 type bond mode broadcast ip netns del ns1 When delete the namespace, dev_xdp_uninstall() is called to remove xdp program on bond dev, and bond_xdp_set() will check the bond mode. If bond mode is changed after attaching xdp program, the warning may occur. Some bond modes (broadcast, etc.) do not support native xdp. Set bond mode with xdp program attached is not good. Add check for xdp program when set bond mode. [1] ------------[ cut here ]------------ WARNING: CPU: 0 PID: 11 at net/core/dev.c:9912 unregister_netdevice_many_notify+0x8d9/0x930 Modules linked in: CPU: 0 UID: 0 PID: 11 Comm: kworker/u4:0 Not tainted 6.14.0-rc4 #107 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.15.0-0-g2dd4b9b3f840-prebuilt.qemu.org 04/01/2014 Workqueue: netns cleanup_net RIP: 0010:unregister_netdevice_many_notify+0x8d9/0x930 Code: 00 00 48 c7 c6 6f e3 a2 82 48 c7 c7 d0 b3 96 82 e8 9c 10 3e ... RSP: 0018:ffffc90000063d80 EFLAGS: 00000282 RAX: 00000000ffffffa1 RBX: ffff888004959000 RCX: 00000000ffffdfff RDX: 0000000000000000 RSI: 00000000ffffffea RDI: ffffc90000063b48 RBP: ffffc90000063e28 R08: ffffffff82d39b28 R09: 0000000000009ffb R10: 0000000000000175 R11: ffffffff82d09b40 R12: ffff8880049598e8 R13: 0000000000000001 R14: dead000000000100 R15: ffffc90000045000 FS: 0000000000000000(0000) GS:ffff888007a00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000000d406b60 CR3: 000000000483e000 CR4: 00000000000006f0 Call Trace: <TASK> ? __warn+0x83/0x130 ? unregister_netdevice_many_notify+0x8d9/0x930 ? report_bug+0x18e/0x1a0 ? handle_bug+0x54/0x90 ? exc_invalid_op+0x18/0x70 ? asm_exc_invalid_op+0x1a/0x20 ? unregister_netdevice_many_notify+0x8d9/0x930 ? bond_net_exit_batch_rtnl+0x5c/0x90 cleanup_net+0x237/0x3d0 process_one_work+0x163/0x390 worker_thread+0x293/0x3b0 ? __pfx_worker_thread+0x10/0x10 kthread+0xec/0x1e0 ? __pfx_kthread+0x10/0x10 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x2f/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> ---[ end trace 0000000000000000 ]--- [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vmxnet3: unregister xdp rxq info in the reset path vmxnet3 does not unregister xdp rxq info in the vmxnet3_reset_work() code path as vmxnet3_rq_destroy() is not invoked in this code path. So, we get below message with a backtrace. Missing unregister, handled but fix driver WARNING: CPU:48 PID: 500 at net/core/xdp.c:182 __xdp_rxq_info_reg+0x93/0xf0 This patch fixes the problem by moving the unregister code of XDP from vmxnet3_rq_destroy() to vmxnet3_rq_cleanup(). Уязвимость компонента vmxnet3_drv.c ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid panic once fallocation fails for pinfile syzbot reports a f2fs bug as below: ------------[ cut here ]------------ kernel BUG at fs/f2fs/segment.c:2746! CPU: 0 UID: 0 PID: 5323 Comm: syz.0.0 Not tainted 6.13.0-rc2-syzkaller-00018-g7cb1b4663150 #0 RIP: 0010:get_new_segment fs/f2fs/segment.c:2746 [inline] RIP: 0010:new_curseg+0x1f52/0x1f70 fs/f2fs/segment.c:2876 Call Trace: <TASK> __allocate_new_segment+0x1ce/0x940 fs/f2fs/segment.c:3210 f2fs_allocate_new_section fs/f2fs/segment.c:3224 [inline] f2fs_allocate_pinning_section+0xfa/0x4e0 fs/f2fs/segment.c:3238 f2fs_expand_inode_data+0x696/0xca0 fs/f2fs/file.c:1830 f2fs_fallocate+0x537/0xa10 fs/f2fs/file.c:1940 vfs_fallocate+0x569/0x6e0 fs/open.c:327 do_vfs_ioctl+0x258c/0x2e40 fs/ioctl.c:885 __do_sys_ioctl fs/ioctl.c:904 [inline] __se_sys_ioctl+0x80/0x170 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Concurrent pinfile allocation may run out of free section, result in panic in get_new_segment(), let's expand pin_sem lock coverage to include f2fs_gc(), so that we can make sure to reclaim enough free space for following allocation. In addition, do below changes to enhance error path handling: - call f2fs_bug_on() only in non-pinfile allocation path in get_new_segment(). - call reset_curseg_fields() to reset all fields of curseg in new_curseg() [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 389-ds-base A flaw was found in the 389-ds-base LDAP Server. This issue occurs when issuing a Modify DN LDAP operation through the ldap protocol, when the function return value is not tested and a NULL pointer is dereferenced. If a privileged user performs a ldap MODDN operation after a failed operation, it could lead to a Denial of Service (DoS) or system crash. Уязвимость сервера службы каталогов 389 Directory Server связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.9) Astra Linux 1.8 ruby-rack Rack provides an interface for developing web applications in Ruby. Prior to versions 2.2.11, 3.0.12, and 3.1.10, Rack::CommonLogger can be exploited by crafting input that includes newline characters to manipulate log entries. The supplied proof-of-concept demonstrates injecting malicious content into logs. When a user provides the authorization credentials via Rack::Auth::Basic, if success, the username will be put in env['REMOTE_USER'] and later be used by Rack::CommonLogger for logging purposes. The issue occurs when a server intentionally or unintentionally allows a user creation with the username contain CRLF and white space characters, or the server just want to log every login attempts. If an attacker enters a username with CRLF character, the logger will log the malicious username with CRLF characters into the logfile. Attackers can break log formats or insert fraudulent entries, potentially obscuring real activity or injecting malicious data into log files. Versions 2.2.11, 3.0.12, and 3.1.10 contain a fix. Уязвимость интерфейса модуля Rack интерпретатора языка программирования Ruby связана с непринятием мер по нейтрализации CRLF-последовательностей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ на изменение защищаемой информации [NistCWE(cwe='CWE-93')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N', score=6.5) ruby-rack: - Запускайте приложения, использующие Ruby Rack, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Убедитесь, что ваши веб-приложения, использующие Ruby Rack, корректно проверяют и санитизируют все входные данные, чтобы предотвратить атаки, такие как SQL-инъекции и XSS. - Настройте веб-сервер для использования HTTPS, чтобы защитить данные, передаваемые между клиентом и сервером. Astra Linux 1.8 ruby-rack Rack is a modular Ruby web server interface. The Rack::Sendfile middleware logs unsanitised header values from the X-Sendfile-Type header. An attacker can exploit this by injecting escape sequences (such as newline characters) into the header, resulting in log injection. This vulnerability is fixed in 2.2.12, 3.0.13, and 3.1.11. Уязвимость интерфейса модуля Rack интерпретатора языка программирования Ruby связана с неправильной обработкой выходных данных для журналов регистрации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на целостность защищаемой информации [NistCWE(cwe='CWE-93')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) - Прекратите использование Rack::Sendfile Astra Linux 1.8 ruby3.1 In the CGI gem before 0.4.2 for Ruby, the CGI::Cookie.parse method in the CGI library contains a potential Denial of Service (DoS) vulnerability. The method does not impose any limit on the length of the raw cookie value it processes. This oversight can lead to excessive resource consumption when parsing extremely large cookies. Уязвимость программного средства cgi gem, связанная с неправильная проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:L', score=5.8) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ruby3.1 In the CGI gem before 0.4.2 for Ruby, a Regular Expression Denial of Service (ReDoS) vulnerability exists in the Util#escapeElement method. Уязвимость программного средства cgi gem, связанная с недостаточной проверкой ввода при обработке ненадежного ввода с помощью регулярных выражений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333'), NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:N/A:L', score=4.0) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 mbedtls Mbed TLS before 2.28.10 and 3.x before 3.6.3, on the client side, accepts servers that have trusted certificates for arbitrary hostnames unless the TLS client application calls mbedtls_ssl_set_hostname. Уязвимость функции mbedtls_ssl_set_hostname программного обеспечения Mbed TLS связана с небезопасной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-1188')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N', score=5.4) Клиентские приложения TLS должны вызывать mbedtls_ssl_set_hostname() с ожидаемым именем сервера, если только они не разрешают только наборы шифров (режимы обмена ключами в TLS 1.3) на основе предварительно предоставленного общего ключа. Это не затрагивает клиентов TLS, если они работают в закрытой экосистеме, где доверенный центр сертификации выдает сертификаты только доверенным хостам. Мы по-прежнему рекомендуем вызывать функцию mbedtls_ssl_set_hostname() в качестве второй линии защиты на случай, если часть инфраструктуры открытых ключей будет скомпрометирована. TLS-клиенты не подвержены влиянию, если перед обменом данными по TLS-соединению они проверяют, соответствует ли отпечаток сертификата сервера заведомо исправному отпечатку (закрепление сертификата). TLS-клиенты, которые разрешают подключения только с использованием предварительно предоставленных ключей, не подвержены влиянию. Astra Linux 1.8 mbedtls Mbed TLS before 2.28.10 and 3.x before 3.6.3, in some cases of failed memory allocation or hardware errors, uses uninitialized stack memory to compose the TLS Finished message, potentially leading to authentication bypasses such as replays. Уязвимость реализации протокола TLS программного обеспечения Mbed TLS связана c использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить атаки типа "человек по середине" [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N', score=5.4) Перед выполнением рукопожатия убедитесь, что доступно достаточно памяти и что драйверы криптографического оборудования, используемые для хэш-функций, не могут выдавать ошибки. Astra Linux 1.8 runc-app runc is a CLI tool for spawning and running containers according to the OCI specification. In versions 1.2.7 and below, 1.3.0-rc.1 through 1.3.1, 1.4.0-rc.1 and 1.4.0-rc.2 files, runc would not perform sufficient verification that the source of the bind-mount (i.e., the container's /dev/null) was actually a real /dev/null inode when using the container's /dev/null to mask. This exposes two methods of attack: an arbitrary mount gadget, leading to host information disclosure, host denial of service, container escape, or a bypassing of maskedPaths. This issue is fixed in versions 1.2.8, 1.3.3 and 1.4.0-rc.3. Уязвимость функции maskedPaths инструмента для запуска изолированных контейнеров runc связана с состоянием гонки, разрешающим отслеживание ссылок. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-61')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H', score=7.8) Для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: 1. Использовать Docker для работы в непривилегированном (rootless) режиме 2. Запускать контейнеры от имени непривилегированного пользователя (внутри контейнера) Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 18.5, iOS 18.5 and iPadOS 18.5, macOS Sequoia 15.5, tvOS 18.5, visionOS 2.5, watchOS 11.5. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=8.0) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.6, iOS 18.6 and iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6, watchOS 11.6. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 libsoup3 A flaw was found in libsoup. The libsoup soup_uri_decode_data_uri() function may crash when processing malformed data URI. This flaw allows an attacker to cause a denial of service (DoS). Уязвимость функции soup_uri_decode_data_uri() библиотеки libsoup графического интерфейса GNOME связана с недостаточной проверкой исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально сформированного POST-запроса [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) libsoup3: - Обеспечить возможность использования библиотеки llibsoup3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sfc: fix NULL dereferences in ef100_process_design_param() Since cited commit, ef100_probe_main() and hence also ef100_check_design_params() run before efx->net_dev is created; consequently, we cannot netif_set_tso_max_size() or _segs() at this point. Move those netif calls to ef100_probe_netdev(), and also replace netif_err within the design params code with pci_err. [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Kill timer properly at removal The USB-audio MIDI code initializes the timer, but in a rare case, the driver might be freed without the disconnect call. This leaves the timer in an active state while the assigned object is released via snd_usbmidi_free(), which ends up with a kernel warning when the debug configuration is enabled, as spotted by fuzzer. For avoiding the problem, put timer_shutdown_sync() at snd_usbmidi_free(), so that the timer can be killed properly. While we're at it, replace the existing timer_delete_sync() at the disconnect callback with timer_shutdown_sync(), too. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: Add missing lock in cfg80211_check_and_end_cac() Callers of wdev_chandef() must hold the wiphy mutex. But the worker cfg80211_propagate_cac_done_wk() never takes the lock. Which triggers the warning below with the mesh_peer_connected_dfs test from hostapd and not (yet) released mac80211 code changes: WARNING: CPU: 0 PID: 495 at net/wireless/chan.c:1552 wdev_chandef+0x60/0x165 Modules linked in: CPU: 0 UID: 0 PID: 495 Comm: kworker/u4:2 Not tainted 6.14.0-rc5-wt-g03960e6f9d47 #33 13c287eeabfe1efea01c0bcc863723ab082e17cf Workqueue: cfg80211 cfg80211_propagate_cac_done_wk Stack: 00000000 00000001 ffffff00 6093267c 00000000 6002ec30 6d577c50 60037608 00000000 67e8d108 6063717b 00000000 Call Trace: [<6002ec30>] ? _printk+0x0/0x98 [<6003c2b3>] show_stack+0x10e/0x11a [<6002ec30>] ? _printk+0x0/0x98 [<60037608>] dump_stack_lvl+0x71/0xb8 [<6063717b>] ? wdev_chandef+0x60/0x165 [<6003766d>] dump_stack+0x1e/0x20 [<6005d1b7>] __warn+0x101/0x20f [<6005d3a8>] warn_slowpath_fmt+0xe3/0x15d [<600b0c5c>] ? mark_lock.part.0+0x0/0x4ec [<60751191>] ? __this_cpu_preempt_check+0x0/0x16 [<600b11a2>] ? mark_held_locks+0x5a/0x6e [<6005d2c5>] ? warn_slowpath_fmt+0x0/0x15d [<60052e53>] ? unblock_signals+0x3a/0xe7 [<60052f2d>] ? um_set_signals+0x2d/0x43 [<60751191>] ? __this_cpu_preempt_check+0x0/0x16 [<607508b2>] ? lock_is_held_type+0x207/0x21f [<6063717b>] wdev_chandef+0x60/0x165 [<605f89b4>] regulatory_propagate_dfs_state+0x247/0x43f [<60052f00>] ? um_set_signals+0x0/0x43 [<605e6bfd>] cfg80211_propagate_cac_done_wk+0x3a/0x4a [<6007e460>] process_scheduled_works+0x3bc/0x60e [<6007d0ec>] ? move_linked_works+0x4d/0x81 [<6007d120>] ? assign_work+0x0/0xaa [<6007f81f>] worker_thread+0x220/0x2dc [<600786ef>] ? set_pf_worker+0x0/0x57 [<60087c96>] ? to_kthread+0x0/0x43 [<6008ab3c>] kthread+0x2d3/0x2e2 [<6007f5ff>] ? worker_thread+0x0/0x2dc [<6006c05b>] ? calculate_sigpending+0x0/0x56 [<6003b37d>] new_thread_handler+0x4a/0x64 irq event stamp: 614611 hardirqs last enabled at (614621): [<00000000600bc96b>] __up_console_sem+0x82/0xaf hardirqs last disabled at (614630): [<00000000600bc92c>] __up_console_sem+0x43/0xaf softirqs last enabled at (614268): [<00000000606c55c6>] __ieee80211_wake_queue+0x933/0x985 softirqs last disabled at (614266): [<00000000606c52d6>] __ieee80211_wake_queue+0x643/0x985 Уязвимость функции cfg80211_check_and_end_cac() модуля net/wireless/reg.c поддержки беспроводной связи ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86/amd/hsmp: Ensure sock->metric_tbl_addr is non-NULL If metric table address is not allocated, accessing metrics_bin will result in a NULL pointer dereference, so add a check. Уязвимость компонента platform/x86/amd/hsmp ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/kbuf: always use READ_ONCE() to read ring provided buffer lengths Since the buffers are mapped from userspace, it is prudent to use READ_ONCE() to read the value into a local variable, and use that for any other actions taken. Having a stable read of the buffer length avoids worrying about it changing after checking, or being read multiple times. Similarly, the buffer may well change in between it being picked and being committed. Ensure the looping for incremental ring buffer commit stops if it hits a zero sized buffer, as no further progress can be made at that point. Уязвимость компонента io_uring/kbuf ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: ti: edma: Fix memory allocation size for queue_priority_map Fix a critical memory allocation bug in edma_setup_from_hw() where queue_priority_map was allocated with insufficient memory. The code declared queue_priority_map as s8 (*)[2] (pointer to array of 2 s8), but allocated memory using sizeof(s8) instead of the correct size. This caused out-of-bounds memory writes when accessing: queue_priority_map[i][0] = i; queue_priority_map[i][1] = i; The bug manifested as kernel crashes with "Oops - undefined instruction" on ARM platforms (BeagleBoard-X15) during EDMA driver probe, as the memory corruption triggered kernel hardening features on Clang. Change the allocation to use sizeof(*queue_priority_map) which automatically gets the correct size for the 2D array structure. Уязвимость функции edma_setup_from_hw() модуля drivers/dma/ti/edma.c ядра операционной системы Linux связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: idxd: Fix double free in idxd_setup_wqs() The clean up in idxd_setup_wqs() has had a couple bugs because the error handling is a bit subtle. It's simpler to just re-write it in a cleaner way. The issues here are: 1) If "idxd->max_wqs" is <= 0 then we call put_device(conf_dev) when "conf_dev" hasn't been initialized. 2) If kzalloc_node() fails then again "conf_dev" is invalid. It's either uninitialized or it points to the "conf_dev" from the previous iteration so it leads to a double free. It's better to free partial loop iterations within the loop and then the unwinding at the end can handle whole loop iterations. I also renamed the labels to describe what the goto does and not where the goto was located. Уязвимость функции idxd_setup_wqs() модуля drivers/dma/idxd/init.c ядра операционной системы Linux связана с ошибкой повторного освобождения памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: idxd: Remove improper idxd_free The call to idxd_free() introduces a duplicate put_device() leading to a reference count underflow: refcount_t: underflow; use-after-free. WARNING: CPU: 15 PID: 4428 at lib/refcount.c:28 refcount_warn_saturate+0xbe/0x110 ... Call Trace: <TASK> idxd_remove+0xe4/0x120 [idxd] pci_device_remove+0x3f/0xb0 device_release_driver_internal+0x197/0x200 driver_detach+0x48/0x90 bus_remove_driver+0x74/0xf0 pci_unregister_driver+0x2e/0xb0 idxd_exit_module+0x34/0x7a0 [idxd] __do_sys_delete_module.constprop.0+0x183/0x280 do_syscall_64+0x54/0xd70 entry_SYSCALL_64_after_hwframe+0x76/0x7e The idxd_unregister_devices() which is invoked at the very beginning of idxd_remove(), already takes care of the necessary put_device() through the following call path: idxd_unregister_devices() -> device_unregister() -> put_device() In addition, when CONFIG_DEBUG_KOBJECT_RELEASE is enabled, put_device() may trigger asynchronous cleanup via schedule_delayed_work(). If idxd_free() is called immediately after, it can result in a use-after-free. Remove the improper idxd_free() to avoid both the refcount underflow and potential memory corruption during module unload. Уязвимость функции idxd_free() библиотеки lib/refcount.c компонента dmaengine ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: xilinx_can: xcan_write_frame(): fix use-after-free of transmitted SKB can_put_echo_skb() takes ownership of the SKB and it may be freed during or after the call. However, xilinx_can xcan_write_frame() keeps using SKB after the call. Fix that by only calling can_put_echo_skb() after the code is done touching the SKB. The tx_lock is held for the entire xcan_write_frame() execution and also on the can_get_echo_skb() side so the order of operations does not matter. An earlier fix commit 3d3c817c3a40 ("can: xilinx_can: Fix usage of skb memory") did not move the can_put_echo_skb() call far enough. [mkl: add "commit" in front of sha1 in patch description] [mkl: fix indention] Уязвимость функции xcan_write_frame() модуля drivers/net/can/xilinx_can.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: fec: Fix possible NPD in fec_enet_phy_reset_after_clk_enable() The function of_phy_find_device may return NULL, so we need to take care before dereferencing phy_dev. Уязвимость функции fec_enet_phy_reset_after_clk_enable() модуля drivers/net/ethernet/freescale/fec_main.c ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/damon/sysfs: fix use-after-free in state_show() state_show() reads kdamond->damon_ctx without holding damon_sysfs_lock. This allows a use-after-free race: CPU 0 CPU 1 ----- ----- state_show() damon_sysfs_turn_damon_on() ctx = kdamond->damon_ctx; mutex_lock(&damon_sysfs_lock); damon_destroy_ctx(kdamond->damon_ctx); kdamond->damon_ctx = NULL; mutex_unlock(&damon_sysfs_lock); damon_is_running(ctx); /* ctx is freed */ mutex_lock(&ctx->kdamond_lock); /* UAF */ (The race can also occur with damon_sysfs_kdamonds_rm_dirs() and damon_sysfs_kdamond_release(), which free or replace the context under damon_sysfs_lock.) Fix by taking damon_sysfs_lock before dereferencing the context, mirroring the locking used in pid_show(). The bug has existed since state_show() first accessed kdamond->damon_ctx. Уязвимость функции state_show() модуля mm/damon/sysfs.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libceph: fix invalid accesses to ceph_connection_v1_info There is a place where generic code in messenger.c is reading and another place where it is writing to con->v1 union member without checking that the union member is active (i.e. msgr1 is in use). On 64-bit systems, con->v1.auth_retry overlaps with con->v2.out_iter, so such a read is almost guaranteed to return a bogus value instead of 0 when msgr2 is in use. This ends up being fairly benign because the side effect is just the invalidation of the authorizer and successive fetching of new tickets. con->v1.connect_seq overlaps with con->v2.conn_bufs and the fact that it's being written to can cause more serious consequences, but luckily it's not something that happens often. Уязвимость функций con_fault_finish() и clear_standby() модуля net/ceph/messenger.c ядра операционной системы Linux связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-704')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля libceph.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль libceph в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep libceph ``` или ``` kmod list | grep libceph ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod libceph ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install libceph /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: kernfs: Fix UAF in polling when open file is released A use-after-free (UAF) vulnerability was identified in the PSI (Pressure Stall Information) monitoring mechanism: BUG: KASAN: slab-use-after-free in psi_trigger_poll+0x3c/0x140 Read of size 8 at addr ffff3de3d50bd308 by task systemd/1 psi_trigger_poll+0x3c/0x140 cgroup_pressure_poll+0x70/0xa0 cgroup_file_poll+0x8c/0x100 kernfs_fop_poll+0x11c/0x1c0 ep_item_poll.isra.0+0x188/0x2c0 Allocated by task 1: cgroup_file_open+0x88/0x388 kernfs_fop_open+0x73c/0xaf0 do_dentry_open+0x5fc/0x1200 vfs_open+0xa0/0x3f0 do_open+0x7e8/0xd08 path_openat+0x2fc/0x6b0 do_filp_open+0x174/0x368 Freed by task 8462: cgroup_file_release+0x130/0x1f8 kernfs_drain_open_files+0x17c/0x440 kernfs_drain+0x2dc/0x360 kernfs_show+0x1b8/0x288 cgroup_file_show+0x150/0x268 cgroup_pressure_write+0x1dc/0x340 cgroup_file_write+0x274/0x548 Reproduction Steps: 1. Open test/cpu.pressure and establish epoll monitoring 2. Disable monitoring: echo 0 > test/cgroup.pressure 3. Re-enable monitoring: echo 1 > test/cgroup.pressure The race condition occurs because: 1. When cgroup.pressure is disabled (echo 0 > cgroup.pressure), it: - Releases PSI triggers via cgroup_file_release() - Frees of->priv through kernfs_drain_open_files() 2. While epoll still holds reference to the file and continues polling 3. Re-enabling (echo 1 > cgroup.pressure) accesses freed of->priv epolling disable/enable cgroup.pressure fd=open(cpu.pressure) while(1) ... epoll_wait kernfs_fop_poll kernfs_get_active = true echo 0 > cgroup.pressure ... cgroup_file_show kernfs_show // inactive kn kernfs_drain_open_files cft->release(of); kfree(ctx); ... kernfs_get_active = false echo 1 > cgroup.pressure kernfs_show kernfs_activate_one(kn); kernfs_fop_poll kernfs_get_active = true cgroup_file_poll psi_trigger_poll // UAF ... end: close(fd) To address this issue, introduce kernfs_get_active_of() for kernfs open files to obtain active references. This function will fail if the open file has been released. Replace kernfs_get_active() with kernfs_get_active_of() to prevent further operations on released file descriptors. Уязвимость механизма PSI (Pressure Stall Information) ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/mediatek: fix potential OF node use-after-free The for_each_child_of_node() helper drops the reference it takes to each node as it iterates over children and an explicit of_node_put() is only needed when exiting the loop early. Drop the recently introduced bogus additional reference count decrement at each iteration that could potentially lead to a use-after-free. Уязвимость функции mtk_drm_get_all_drm_priv() драйвера drivers/gpu/drm/mediatek/mtk_drm_drv.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/memory-failure: fix VM_BUG_ON_PAGE(PagePoisoned(page)) when unpoison memory When I did memory failure tests, below panic occurs: page dumped because: VM_BUG_ON_PAGE(PagePoisoned(page)) kernel BUG at include/linux/page-flags.h:616! Oops: invalid opcode: 0000 [#1] PREEMPT SMP NOPTI CPU: 3 PID: 720 Comm: bash Not tainted 6.10.0-rc1-00195-g148743902568 #40 RIP: 0010:unpoison_memory+0x2f3/0x590 RSP: 0018:ffffa57fc8787d60 EFLAGS: 00000246 RAX: 0000000000000037 RBX: 0000000000000009 RCX: ffff9be25fcdc9c8 RDX: 0000000000000000 RSI: 0000000000000027 RDI: ffff9be25fcdc9c0 RBP: 0000000000300000 R08: ffffffffb4956f88 R09: 0000000000009ffb R10: 0000000000000284 R11: ffffffffb4926fa0 R12: ffffe6b00c000000 R13: ffff9bdb453dfd00 R14: 0000000000000000 R15: fffffffffffffffe FS: 00007f08f04e4740(0000) GS:ffff9be25fcc0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000564787a30410 CR3: 000000010d4e2000 CR4: 00000000000006f0 Call Trace: <TASK> unpoison_memory+0x2f3/0x590 simple_attr_write_xsigned.constprop.0.isra.0+0xb3/0x110 debugfs_attr_write+0x42/0x60 full_proxy_write+0x5b/0x80 vfs_write+0xd5/0x540 ksys_write+0x64/0xe0 do_syscall_64+0xb9/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f08f0314887 RSP: 002b:00007ffece710078 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 0000000000000009 RCX: 00007f08f0314887 RDX: 0000000000000009 RSI: 0000564787a30410 RDI: 0000000000000001 RBP: 0000564787a30410 R08: 000000000000fefe R09: 000000007fffffff R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000009 R13: 00007f08f041b780 R14: 00007f08f0417600 R15: 00007f08f0416a00 </TASK> Modules linked in: hwpoison_inject ---[ end trace 0000000000000000 ]--- RIP: 0010:unpoison_memory+0x2f3/0x590 RSP: 0018:ffffa57fc8787d60 EFLAGS: 00000246 RAX: 0000000000000037 RBX: 0000000000000009 RCX: ffff9be25fcdc9c8 RDX: 0000000000000000 RSI: 0000000000000027 RDI: ffff9be25fcdc9c0 RBP: 0000000000300000 R08: ffffffffb4956f88 R09: 0000000000009ffb R10: 0000000000000284 R11: ffffffffb4926fa0 R12: ffffe6b00c000000 R13: ffff9bdb453dfd00 R14: 0000000000000000 R15: fffffffffffffffe FS: 00007f08f04e4740(0000) GS:ffff9be25fcc0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000564787a30410 CR3: 000000010d4e2000 CR4: 00000000000006f0 Kernel panic - not syncing: Fatal exception Kernel Offset: 0x31c00000 from 0xffffffff81000000 (relocation range: 0xffffffff80000000-0xffffffffbfffffff) ---[ end Kernel panic - not syncing: Fatal exception ]--- The root cause is that unpoison_memory() tries to check the PG_HWPoison flags of an uninitialized page. So VM_BUG_ON_PAGE(PagePoisoned(page)) is triggered. This can be reproduced by below steps: 1.Offline memory block: echo offline > /sys/devices/system/memory/memory12/state 2.Get offlined memory pfn: page-types -b n -rlN 3.Write pfn to unpoison-pfn echo <pfn> > /sys/kernel/debug/hwpoison/unpoison-pfn This scenario can be identified by pfn_to_online_page() returning NULL. And ZONE_DEVICE pages are never expected, so we can simply fail if pfn_to_online_page() == NULL to fix the bug. Уязвимость функции unpoison_memory() модуля mm/memory-failure.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix subvolume deletion lockup caused by inodes xarray race There is a race condition between inode eviction and inode caching that can cause a live struct btrfs_inode to be missing from the root->inodes xarray. Specifically, there is a window during evict() between the inode being unhashed and deleted from the xarray. If btrfs_iget() is called for the same inode in that window, it will be recreated and inserted into the xarray, but then eviction will delete the new entry, leaving nothing in the xarray: Thread 1 Thread 2 --------------------------------------------------------------- evict() remove_inode_hash() btrfs_iget_path() btrfs_iget_locked() btrfs_read_locked_inode() btrfs_add_inode_to_root() destroy_inode() btrfs_destroy_inode() btrfs_del_inode_from_root() __xa_erase In turn, this can cause issues for subvolume deletion. Specifically, if an inode is in this lost state, and all other inodes are evicted, then btrfs_del_inode_from_root() will call btrfs_add_dead_root() prematurely. If the lost inode has a delayed_node attached to it, then when btrfs_clean_one_deleted_snapshot() calls btrfs_kill_all_delayed_nodes(), it will loop forever because the delayed_nodes xarray will never become empty (unless memory pressure forces the inode out). We saw this manifest as soft lockups in production. Fix it by only deleting the xarray entry if it matches the given inode (using __xa_cmpxchg()). Уязвимость функции btrfs_del_inode_from_root() модуля fs/btrfs/inode.c ядра оперционной системы Linux связана с некорректной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667'), NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix recursive semaphore deadlock in fiemap call syzbot detected a OCFS2 hang due to a recursive semaphore on a FS_IOC_FIEMAP of the extent list on a specially crafted mmap file. context_switch kernel/sched/core.c:5357 [inline] __schedule+0x1798/0x4cc0 kernel/sched/core.c:6961 __schedule_loop kernel/sched/core.c:7043 [inline] schedule+0x165/0x360 kernel/sched/core.c:7058 schedule_preempt_disabled+0x13/0x30 kernel/sched/core.c:7115 rwsem_down_write_slowpath+0x872/0xfe0 kernel/locking/rwsem.c:1185 __down_write_common kernel/locking/rwsem.c:1317 [inline] __down_write kernel/locking/rwsem.c:1326 [inline] down_write+0x1ab/0x1f0 kernel/locking/rwsem.c:1591 ocfs2_page_mkwrite+0x2ff/0xc40 fs/ocfs2/mmap.c:142 do_page_mkwrite+0x14d/0x310 mm/memory.c:3361 wp_page_shared mm/memory.c:3762 [inline] do_wp_page+0x268d/0x5800 mm/memory.c:3981 handle_pte_fault mm/memory.c:6068 [inline] __handle_mm_fault+0x1033/0x5440 mm/memory.c:6195 handle_mm_fault+0x40a/0x8e0 mm/memory.c:6364 do_user_addr_fault+0x764/0x1390 arch/x86/mm/fault.c:1387 handle_page_fault arch/x86/mm/fault.c:1476 [inline] exc_page_fault+0x76/0xf0 arch/x86/mm/fault.c:1532 asm_exc_page_fault+0x26/0x30 arch/x86/include/asm/idtentry.h:623 RIP: 0010:copy_user_generic arch/x86/include/asm/uaccess_64.h:126 [inline] RIP: 0010:raw_copy_to_user arch/x86/include/asm/uaccess_64.h:147 [inline] RIP: 0010:_inline_copy_to_user include/linux/uaccess.h:197 [inline] RIP: 0010:_copy_to_user+0x85/0xb0 lib/usercopy.c:26 Code: e8 00 bc f7 fc 4d 39 fc 72 3d 4d 39 ec 77 38 e8 91 b9 f7 fc 4c 89 f7 89 de e8 47 25 5b fd 0f 01 cb 4c 89 ff 48 89 d9 4c 89 f6 <f3> a4 0f 1f 00 48 89 cb 0f 01 ca 48 89 d8 5b 41 5c 41 5d 41 5e 41 RSP: 0018:ffffc9000403f950 EFLAGS: 00050256 RAX: ffffffff84c7f101 RBX: 0000000000000038 RCX: 0000000000000038 RDX: 0000000000000000 RSI: ffffc9000403f9e0 RDI: 0000200000000060 RBP: ffffc9000403fa90 R08: ffffc9000403fa17 R09: 1ffff92000807f42 R10: dffffc0000000000 R11: fffff52000807f43 R12: 0000200000000098 R13: 00007ffffffff000 R14: ffffc9000403f9e0 R15: 0000200000000060 copy_to_user include/linux/uaccess.h:225 [inline] fiemap_fill_next_extent+0x1c0/0x390 fs/ioctl.c:145 ocfs2_fiemap+0x888/0xc90 fs/ocfs2/extent_map.c:806 ioctl_fiemap fs/ioctl.c:220 [inline] do_vfs_ioctl+0x1173/0x1430 fs/ioctl.c:532 __do_sys_ioctl fs/ioctl.c:596 [inline] __se_sys_ioctl+0x82/0x170 fs/ioctl.c:584 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f5f13850fd9 RSP: 002b:00007ffe3b3518b8 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 0000200000000000 RCX: 00007f5f13850fd9 RDX: 0000200000000040 RSI: 00000000c020660b RDI: 0000000000000004 RBP: 6165627472616568 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 00007ffe3b3518f0 R13: 00007ffe3b351b18 R14: 431bde82d7b634db R15: 00007f5f1389a03b ocfs2_fiemap() takes a read lock of the ip_alloc_sem semaphore (since v2.6.22-527-g7307de80510a) and calls fiemap_fill_next_extent() to read the extent list of this running mmap executable. The user supplied buffer to hold the fiemap information page faults calling ocfs2_page_mkwrite() which will take a write lock (since v2.6.27-38-g00dc417fa3e7) of the same semaphore. This recursive semaphore will hold filesystem locks and causes a hang of the fileystem. The ip_alloc_sem protects the inode extent list and size. Release the read semphore before calling fiemap_fill_next_extent() in ocfs2_fiemap() and ocfs2_fiemap_inline(). This does an unnecessary semaphore lock/unlock on the last extent but simplifies the error path. Уязвимость функций ocfs2_extent_map_get_blocks(), ocfs2_fiemap_inline() и ocfs2_fiemap() модуля fs/ocfs2/extent_map.c ядра операционной системы Linux связана с некорректной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Tell memcg to use allow_spinning=false path in bpf_timer_init() Currently, calling bpf_map_kmalloc_node() from __bpf_async_init() can cause various locking issues; see the following stack trace (edited for style) as one example: ... [10.011566] do_raw_spin_lock.cold [10.011570] try_to_wake_up (5) double-acquiring the same [10.011575] kick_pool rq_lock, causing a hardlockup [10.011579] __queue_work [10.011582] queue_work_on [10.011585] kernfs_notify [10.011589] cgroup_file_notify [10.011593] try_charge_memcg (4) memcg accounting raises an [10.011597] obj_cgroup_charge_pages MEMCG_MAX event [10.011599] obj_cgroup_charge_account [10.011600] __memcg_slab_post_alloc_hook [10.011603] __kmalloc_node_noprof ... [10.011611] bpf_map_kmalloc_node [10.011612] __bpf_async_init [10.011615] bpf_timer_init (3) BPF calls bpf_timer_init() [10.011617] bpf_prog_xxxxxxxxxxxxxxxx_fcg_runnable [10.011619] bpf__sched_ext_ops_runnable [10.011620] enqueue_task_scx (2) BPF runs with rq_lock held [10.011622] enqueue_task [10.011626] ttwu_do_activate [10.011629] sched_ttwu_pending (1) grabs rq_lock ... The above was reproduced on bpf-next (b338cf849ec8) by modifying ./tools/sched_ext/scx_flatcg.bpf.c to call bpf_timer_init() during ops.runnable(), and hacking the memcg accounting code a bit to make a bpf_timer_init() call more likely to raise an MEMCG_MAX event. We have also run into other similar variants (both internally and on bpf-next), including double-acquiring cgroup_file_kn_lock, the same worker_pool::lock, etc. As suggested by Shakeel, fix this by using __GFP_HIGH instead of GFP_ATOMIC in __bpf_async_init(), so that e.g. if try_charge_memcg() raises an MEMCG_MAX event, we call __memcg_memory_event() with @allow_spinning=false and avoid calling cgroup_file_notify() there. Depends on mm patch "memcg: skip cgroup_file_notify if spinning is not allowed": https://lore.kernel.org/bpf/20250905201606.66198-1-shakeel.butt@linux.dev/ v0 approach s/bpf_map_kmalloc_node/bpf_mem_alloc/ https://lore.kernel.org/bpf/20250905061919.439648-1-yepeilin@google.com/ v1 approach: https://lore.kernel.org/bpf/20250905234547.862249-1-yepeilin@google.com/ [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mtd: rawnand: stm32_fmc2: avoid overlapping mappings on ECC buffer Avoid below overlapping mappings by using a contiguous non-cacheable buffer. [ 4.077708] DMA-API: stm32_fmc2_nfc 48810000.nand-controller: cacheline tracking EEXIST, overlapping mappings aren't supported [ 4.089103] WARNING: CPU: 1 PID: 44 at kernel/dma/debug.c:568 add_dma_entry+0x23c/0x300 [ 4.097071] Modules linked in: [ 4.100101] CPU: 1 PID: 44 Comm: kworker/u4:2 Not tainted 6.1.82 #1 [ 4.106346] Hardware name: STMicroelectronics STM32MP257F VALID1 SNOR / MB1704 (LPDDR4 Power discrete) + MB1703 + MB1708 (SNOR MB1730) (DT) [ 4.118824] Workqueue: events_unbound deferred_probe_work_func [ 4.124674] pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 4.131624] pc : add_dma_entry+0x23c/0x300 [ 4.135658] lr : add_dma_entry+0x23c/0x300 [ 4.139792] sp : ffff800009dbb490 [ 4.143016] x29: ffff800009dbb4a0 x28: 0000000004008022 x27: ffff8000098a6000 [ 4.150174] x26: 0000000000000000 x25: ffff8000099e7000 x24: ffff8000099e7de8 [ 4.157231] x23: 00000000ffffffff x22: 0000000000000000 x21: ffff8000098a6a20 [ 4.164388] x20: ffff000080964180 x19: ffff800009819ba0 x18: 0000000000000006 [ 4.171545] x17: 6361727420656e69 x16: 6c6568636163203a x15: 72656c6c6f72746e [ 4.178602] x14: 6f632d646e616e2e x13: ffff800009832f58 x12: 00000000000004ec [ 4.185759] x11: 00000000000001a4 x10: ffff80000988af58 x9 : ffff800009832f58 [ 4.192916] x8 : 00000000ffffefff x7 : ffff80000988af58 x6 : 80000000fffff000 [ 4.199972] x5 : 000000000000bff4 x4 : 0000000000000000 x3 : 0000000000000000 [ 4.207128] x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff0000812d2c40 [ 4.214185] Call trace: [ 4.216605] add_dma_entry+0x23c/0x300 [ 4.220338] debug_dma_map_sg+0x198/0x350 [ 4.224373] __dma_map_sg_attrs+0xa0/0x110 [ 4.228411] dma_map_sg_attrs+0x10/0x2c [ 4.232247] stm32_fmc2_nfc_xfer.isra.0+0x1c8/0x3fc [ 4.237088] stm32_fmc2_nfc_seq_read_page+0xc8/0x174 [ 4.242127] nand_read_oob+0x1d4/0x8e0 [ 4.245861] mtd_read_oob_std+0x58/0x84 [ 4.249596] mtd_read_oob+0x90/0x150 [ 4.253231] mtd_read+0x68/0xac Уязвимость компонента stm32_fmc2_nand.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/damon/lru_sort: avoid divide-by-zero in damon_lru_sort_apply_parameters() Patch series "mm/damon: avoid divide-by-zero in DAMON module's parameters application". DAMON's RECLAIM and LRU_SORT modules perform no validation on user-configured parameters during application, which may lead to division-by-zero errors. Avoid the divide-by-zero by adding validation checks when DAMON modules attempt to apply the parameters. This patch (of 2): During the calculation of 'hot_thres' and 'cold_thres', either 'sample_interval' or 'aggr_interval' is used as the divisor, which may lead to division-by-zero errors. Fix it by directly returning -EINVAL when such a case occurs. Additionally, since 'aggr_interval' is already required to be set no smaller than 'sample_interval' in damon_set_attrs(), only the case where 'sample_interval' is zero needs to be checked. Уязвимость компонента lru_sort.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i40e: fix IRQ freeing in i40e_vsi_request_irq_msix error path If request_irq() in i40e_vsi_request_irq_msix() fails in an iteration later than the first, the error path wants to free the IRQs requested so far. However, it uses the wrong dev_id argument for free_irq(), so it does not free the IRQs correctly and instead triggers the warning: Trying to free already-free IRQ 173 WARNING: CPU: 25 PID: 1091 at kernel/irq/manage.c:1829 __free_irq+0x192/0x2c0 Modules linked in: i40e(+) [...] CPU: 25 UID: 0 PID: 1091 Comm: NetworkManager Not tainted 6.17.0-rc1+ #1 PREEMPT(lazy) Hardware name: [...] RIP: 0010:__free_irq+0x192/0x2c0 [...] Call Trace: <TASK> free_irq+0x32/0x70 i40e_vsi_request_irq_msix.cold+0x63/0x8b [i40e] i40e_vsi_request_irq+0x79/0x80 [i40e] i40e_vsi_open+0x21f/0x2f0 [i40e] i40e_open+0x63/0x130 [i40e] __dev_open+0xfc/0x210 __dev_change_flags+0x1fc/0x240 netif_change_flags+0x27/0x70 do_setlink.isra.0+0x341/0xc70 rtnl_newlink+0x468/0x860 rtnetlink_rcv_msg+0x375/0x450 netlink_rcv_skb+0x5c/0x110 netlink_unicast+0x288/0x3c0 netlink_sendmsg+0x20d/0x430 ____sys_sendmsg+0x3a2/0x3d0 ___sys_sendmsg+0x99/0xe0 __sys_sendmsg+0x8a/0xf0 do_syscall_64+0x82/0x2c0 entry_SYSCALL_64_after_hwframe+0x76/0x7e [...] </TASK> ---[ end trace 0000000000000000 ]--- Use the same dev_id for free_irq() as for request_irq(). I tested this with inserting code to fail intentionally. Уязвимость компонента i40e_main.c ядра операционной системы Linux связана с чрезмерным итерированием. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля i40e.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль i40e в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep i40e ``` или ``` kmod list | grep i40e ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod i40e ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install i40e /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfs/localio: restore creds before releasing pageio data Otherwise if the nfsd filecache code releases the nfsd_file immediately, it can trigger the BUG_ON(cred == current->cred) in __put_cred() when it puts the nfsd_file->nf_file->f-cred. Уязвимость компонента nfs/localio ядра операционной системы Linux связана с операциями с ресурсом после истечения срока его действия или освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tcp_bpf: Call sk_msg_free() when tcp_bpf_send_verdict() fails to allocate psock->cork. syzbot reported the splat below. [0] The repro does the following: 1. Load a sk_msg prog that calls bpf_msg_cork_bytes(msg, cork_bytes) 2. Attach the prog to a SOCKMAP 3. Add a socket to the SOCKMAP 4. Activate fault injection 5. Send data less than cork_bytes At 5., the data is carried over to the next sendmsg() as it is smaller than the cork_bytes specified by bpf_msg_cork_bytes(). Then, tcp_bpf_send_verdict() tries to allocate psock->cork to hold the data, but this fails silently due to fault injection + __GFP_NOWARN. If the allocation fails, we need to revert the sk->sk_forward_alloc change done by sk_msg_alloc(). Let's call sk_msg_free() when tcp_bpf_send_verdict fails to allocate psock->cork. The "*copied" also needs to be updated such that a proper error can be returned to the caller, sendmsg. It fails to allocate psock->cork. Nothing has been corked so far, so this patch simply sets "*copied" to 0. [0]: WARNING: net/ipv4/af_inet.c:156 at inet_sock_destruct+0x623/0x730 net/ipv4/af_inet.c:156, CPU#1: syz-executor/5983 Modules linked in: CPU: 1 UID: 0 PID: 5983 Comm: syz-executor Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 07/12/2025 RIP: 0010:inet_sock_destruct+0x623/0x730 net/ipv4/af_inet.c:156 Code: 0f 0b 90 e9 62 fe ff ff e8 7a db b5 f7 90 0f 0b 90 e9 95 fe ff ff e8 6c db b5 f7 90 0f 0b 90 e9 bb fe ff ff e8 5e db b5 f7 90 <0f> 0b 90 e9 e1 fe ff ff 89 f9 80 e1 07 80 c1 03 38 c1 0f 8c 9f fc RSP: 0018:ffffc90000a08b48 EFLAGS: 00010246 RAX: ffffffff8a09d0b2 RBX: dffffc0000000000 RCX: ffff888024a23c80 RDX: 0000000000000100 RSI: 0000000000000fff RDI: 0000000000000000 RBP: 0000000000000fff R08: ffff88807e07c627 R09: 1ffff1100fc0f8c4 R10: dffffc0000000000 R11: ffffed100fc0f8c5 R12: ffff88807e07c380 R13: dffffc0000000000 R14: ffff88807e07c60c R15: 1ffff1100fc0f872 FS: 00005555604c4500(0000) GS:ffff888125af1000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00005555604df5c8 CR3: 0000000032b06000 CR4: 00000000003526f0 Call Trace: <IRQ> __sk_destruct+0x86/0x660 net/core/sock.c:2339 rcu_do_batch kernel/rcu/tree.c:2605 [inline] rcu_core+0xca8/0x1770 kernel/rcu/tree.c:2861 handle_softirqs+0x286/0x870 kernel/softirq.c:579 __do_softirq kernel/softirq.c:613 [inline] invoke_softirq kernel/softirq.c:453 [inline] __irq_exit_rcu+0xca/0x1f0 kernel/softirq.c:680 irq_exit_rcu+0x9/0x30 kernel/softirq.c:696 instr_sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1052 [inline] sysvec_apic_timer_interrupt+0xa6/0xc0 arch/x86/kernel/apic/apic.c:1052 </IRQ> Уязвимость функции sk_msg_free() файла net/ipv4/af_inet.c ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для сокращения поверхности атаки с использованием уязвимости настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: ``` kernel.unprivileged_bpf_disabled=1 ``` Сохраните файл. 2. Примените изменения: ``` sudo sysctl -p ``` 3. Проверьте текущее состояние sysctl: ``` cat /proc/sys/kernel/unprivileged_bpf_disabled ``` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: Silence warning when chunk allocation fails in trace_pid_write Syzkaller trigger a fault injection warning: WARNING: CPU: 1 PID: 12326 at tracepoint_add_func+0xbfc/0xeb0 Modules linked in: CPU: 1 UID: 0 PID: 12326 Comm: syz.6.10325 Tainted: G U 6.14.0-rc5-syzkaller #0 Tainted: [U]=USER Hardware name: Google Compute Engine/Google Compute Engine RIP: 0010:tracepoint_add_func+0xbfc/0xeb0 kernel/tracepoint.c:294 Code: 09 fe ff 90 0f 0b 90 0f b6 74 24 43 31 ff 41 bc ea ff ff ff RSP: 0018:ffffc9000414fb48 EFLAGS: 00010283 RAX: 00000000000012a1 RBX: ffffffff8e240ae0 RCX: ffffc90014b78000 RDX: 0000000000080000 RSI: ffffffff81bbd78b RDI: 0000000000000001 RBP: 0000000000000000 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000001 R12: ffffffffffffffef R13: 0000000000000000 R14: dffffc0000000000 R15: ffffffff81c264f0 FS: 00007f27217f66c0(0000) GS:ffff8880b8700000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000001b2e80dff8 CR3: 00000000268f8000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> tracepoint_probe_register_prio+0xc0/0x110 kernel/tracepoint.c:464 register_trace_prio_sched_switch include/trace/events/sched.h:222 [inline] register_pid_events kernel/trace/trace_events.c:2354 [inline] event_pid_write.isra.0+0x439/0x7a0 kernel/trace/trace_events.c:2425 vfs_write+0x24c/0x1150 fs/read_write.c:677 ksys_write+0x12b/0x250 fs/read_write.c:731 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f We can reproduce the warning by following the steps below: 1. echo 8 >> set_event_notrace_pid. Let tr->filtered_pids owns one pid and register sched_switch tracepoint. 2. echo ' ' >> set_event_pid, and perform fault injection during chunk allocation of trace_pid_list_alloc. Let pid_list with no pid and assign to tr->filtered_pids. 3. echo ' ' >> set_event_pid. Let pid_list is NULL and assign to tr->filtered_pids. 4. echo 9 >> set_event_pid, will trigger the double register sched_switch tracepoint warning. The reason is that syzkaller injects a fault into the chunk allocation in trace_pid_list_alloc, causing a failure in trace_pid_list_set, which may trigger double register of the same tracepoint. This only occurs when the system is about to crash, but to suppress this warning, let's add failure handling logic to trace_pid_list_set. Уязвимость компонента trace.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/damon/reclaim: avoid divide-by-zero in damon_reclaim_apply_parameters() When creating a new scheme of DAMON_RECLAIM, the calculation of 'min_age_region' uses 'aggr_interval' as the divisor, which may lead to division-by-zero errors. Fix it by directly returning -EINVAL when such a case occurs. Уязвимость компонента reclaim.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix out-of-bounds dynptr write in bpf_crypto_crypt Stanislav reported that in bpf_crypto_crypt() the destination dynptr's size is not validated to be at least as large as the source dynptr's size before calling into the crypto backend with 'len = src_len'. This can result in an OOB write when the destination is smaller than the source. Concretely, in mentioned function, psrc and pdst are both linear buffers fetched from each dynptr: psrc = __bpf_dynptr_data(src, src_len); [...] pdst = __bpf_dynptr_data_rw(dst, dst_len); [...] err = decrypt ? ctx->type->decrypt(ctx->tfm, psrc, pdst, src_len, piv) : ctx->type->encrypt(ctx->tfm, psrc, pdst, src_len, piv); The crypto backend expects pdst to be large enough with a src_len length that can be written. Add an additional src_len > dst_len check and bail out if it's the case. Note that these kfuncs are accessible under root privileges only. Уязвимость функции bpf_crypto_crypt() в модуле kernel/bpf/crypto.c поддержки интерпретатора BPF ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: qcom: bam_dma: Fix DT error handling for num-channels/ees When we don't have a clock specified in the device tree, we have no way to ensure the BAM is on. This is often the case for remotely-controlled or remotely-powered BAM instances. In this case, we need to read num-channels from the DT to have all the necessary information to complete probing. However, at the moment invalid device trees without clock and without num-channels still continue probing, because the error handling is missing return statements. The driver will then later try to read the number of channels from the registers. This is unsafe, because it relies on boot firmware and lucky timing to succeed. Unfortunately, the lack of proper error handling here has been abused for several Qualcomm SoCs upstream, causing early boot crashes in several situations [1, 2]. Avoid these early crashes by erroring out when any of the required DT properties are missing. Note that this will break some of the existing DTs upstream (mainly BAM instances related to the crypto engine). However, clearly these DTs have never been tested properly, since the error in the kernel log was just ignored. It's safer to disable the crypto engine for these broken DTBs. [1]: https://lore.kernel.org/r/CY01EKQVWE36.B9X5TDXAREPF@fairphone.com/ [2]: https://lore.kernel.org/r/20230626145959.646747-1-krzysztof.kozlowski@linaro.org/ Уязвимость компонента bam_dma.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: genetlink: fix genl_bind() invoking bind() after -EPERM Per family bind/unbind callbacks were introduced to allow families to track multicast group consumer presence, e.g. to start or stop producing events depending on listeners. However, in genl_bind() the bind() callback was invoked even if capability checks failed and ret was set to -EPERM. This means that callbacks could run on behalf of unauthorized callers while the syscall still returned failure to user space. Fix this by only invoking bind() after "if (ret) break;" check i.e. after permission checks have succeeded. Уязвимость функции genl_bind() в модуле net/netlink/genetlink.c поддержки интерфейса мониторинга сокетов NETLINK ядра операционной системы Linux связана с неправильной обработкой разрешений. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ceph: fix race condition validating r_parent before applying state Add validation to ensure the cached parent directory inode matches the directory info in MDS replies. This prevents client-side race conditions where concurrent operations (e.g. rename) cause r_parent to become stale between request initiation and reply processing, which could lead to applying state changes to incorrect directory inodes. [ idryomov: folded a kerneldoc fixup and a follow-up fix from Alex to move CEPH_CAP_PIN reference when r_parent is updated: When the parent directory lock is not held, req->r_parent can become stale and is updated to point to the correct inode. However, the associated CEPH_CAP_PIN reference was not being adjusted. The CEPH_CAP_PIN is a reference on an inode that is tracked for accounting purposes. Moving this pin is important to keep the accounting balanced. When the pin was not moved from the old parent to the new one, it created two problems: The reference on the old, stale parent was never released, causing a reference leak. A reference for the new parent was never acquired, creating the risk of a reference underflow later in ceph_mdsc_release_request(). This patch corrects the logic by releasing the pin from the old parent and acquiring it for the new parent when r_parent is switched. This ensures reference accounting stays balanced. ] [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: let smbd_destroy() call disable_work_sync(&info->post_send_credits_work) In smbd_destroy() we may destroy the memory so we better wait until post_send_credits_work is no longer pending and will never be started again. I actually just hit the case using rxe: WARNING: CPU: 0 PID: 138 at drivers/infiniband/sw/rxe/rxe_verbs.c:1032 rxe_post_recv+0x1ee/0x480 [rdma_rxe] ... [ 5305.686979] [ T138] smbd_post_recv+0x445/0xc10 [cifs] [ 5305.687135] [ T138] ? srso_alias_return_thunk+0x5/0xfbef5 [ 5305.687149] [ T138] ? __kasan_check_write+0x14/0x30 [ 5305.687185] [ T138] ? __pfx_smbd_post_recv+0x10/0x10 [cifs] [ 5305.687329] [ T138] ? __pfx__raw_spin_lock_irqsave+0x10/0x10 [ 5305.687356] [ T138] ? srso_alias_return_thunk+0x5/0xfbef5 [ 5305.687368] [ T138] ? srso_alias_return_thunk+0x5/0xfbef5 [ 5305.687378] [ T138] ? _raw_spin_unlock_irqrestore+0x11/0x60 [ 5305.687389] [ T138] ? srso_alias_return_thunk+0x5/0xfbef5 [ 5305.687399] [ T138] ? get_receive_buffer+0x168/0x210 [cifs] [ 5305.687555] [ T138] smbd_post_send_credits+0x382/0x4b0 [cifs] [ 5305.687701] [ T138] ? __pfx_smbd_post_send_credits+0x10/0x10 [cifs] [ 5305.687855] [ T138] ? __pfx___schedule+0x10/0x10 [ 5305.687865] [ T138] ? __pfx__raw_spin_lock_irq+0x10/0x10 [ 5305.687875] [ T138] ? queue_delayed_work_on+0x8e/0xa0 [ 5305.687889] [ T138] process_one_work+0x629/0xf80 [ 5305.687908] [ T138] ? srso_alias_return_thunk+0x5/0xfbef5 [ 5305.687917] [ T138] ? __kasan_check_write+0x14/0x30 [ 5305.687933] [ T138] worker_thread+0x87f/0x1570 ... It means rxe_post_recv was called after rdma_destroy_qp(). This happened because put_receive_buffer() was triggered by ib_drain_qp() and called: queue_work(info->workqueue, &info->post_send_credits_work); [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm: bridge: anx7625: Fix NULL pointer dereference with early IRQ If the interrupt occurs before resource initialization is complete, the interrupt handler/worker may access uninitialized data such as the I2C tcpc_client device, potentially leading to NULL pointer dereference. Уязвимость компонента anx7625.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: rfkill: gpio: Fix crash due to dereferencering uninitialized pointer Since commit 7d5e9737efda ("net: rfkill: gpio: get the name and type from device property") rfkill_find_type() gets called with the possibly uninitialized "const char *type_name;" local variable. On x86 systems when rfkill-gpio binds to a "BCM4752" or "LNV4752" acpi_device, the rfkill->type is set based on the ACPI acpi_device_id: rfkill->type = (unsigned)id->driver_data; and there is no "type" property so device_property_read_string() will fail and leave type_name uninitialized, leading to a potential crash. rfkill_find_type() does accept a NULL pointer, fix the potential crash by initializing type_name to NULL. Note likely sofar this has not been caught because: 1. Not many x86 machines actually have a "BCM4752"/"LNV4752" acpi_device 2. The stack happened to contain NULL where type_name is stored Уязвимость компонента rfkill-gpio.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: qcom: q6apm-lpass-dais: Fix NULL pointer dereference if source graph failed If earlier opening of source graph fails (e.g. ADSP rejects due to incorrect audioreach topology), the graph is closed and "dai_data->graph[dai->id]" is assigned NULL. Preparing the DAI for sink graph continues though and next call to q6apm_lpass_dai_prepare() receives dai_data->graph[dai->id]=NULL leading to NULL pointer exception: qcom-apm gprsvc:service:2:1: Error (1) Processing 0x01001002 cmd qcom-apm gprsvc:service:2:1: DSP returned error[1001002] 1 q6apm-lpass-dais 30000000.remoteproc:glink-edge:gpr:service@1:bedais: fail to start APM port 78 q6apm-lpass-dais 30000000.remoteproc:glink-edge:gpr:service@1:bedais: ASoC: error at snd_soc_pcm_dai_prepare on TX_CODEC_DMA_TX_3: -22 Unable to handle kernel NULL pointer dereference at virtual address 00000000000000a8 ... Call trace: q6apm_graph_media_format_pcm+0x48/0x120 (P) q6apm_lpass_dai_prepare+0x110/0x1b4 snd_soc_pcm_dai_prepare+0x74/0x108 __soc_pcm_prepare+0x44/0x160 dpcm_be_dai_prepare+0x124/0x1c0 Уязвимость функции q6apm_lpass_dai_prepare() в модуле sound/soc/qcom/qdsp6/q6apm-lpass-dais.c поддержки звука SoC ядра операционной системы Linux связана с разыменованием указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm-stripe: fix a possible integer overflow There's a possible integer overflow in stripe_io_hints if we have too large chunk size. Test if the overflow happened, and if it did, don't set limits->io_min and limits->io_opt; [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: smbdirect: verify remaining_data_length respects max_fragmented_recv_size This is inspired by the check for data_offset + data_length. Уязвимость компонента transport_rdma.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: smbdirect: validate data_offset and data_length field of smb_direct_data_transfer If data_offset and data_length of smb_direct_data_transfer struct are invalid, out of bounds issue could happen. This patch validate data_offset and data_length field in recv_done. Уязвимость компонента transport_rdma.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=9.4) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: Fix use-after-free bugs in otx2_sync_tstamp() The original code relies on cancel_delayed_work() in otx2_ptp_destroy(), which does not ensure that the delayed work item synctstamp_work has fully completed if it was already running. This leads to use-after-free scenarios where otx2_ptp is deallocated by otx2_ptp_destroy(), while synctstamp_work remains active and attempts to dereference otx2_ptp in otx2_sync_tstamp(). Furthermore, the synctstamp_work is cyclic, the likelihood of triggering the bug is nonnegligible. A typical race condition is illustrated below: CPU 0 (cleanup) | CPU 1 (delayed work callback) otx2_remove() | otx2_ptp_destroy() | otx2_sync_tstamp() cancel_delayed_work() | kfree(ptp) | | ptp = container_of(...); //UAF | ptp-> //UAF This is confirmed by a KASAN report: BUG: KASAN: slab-use-after-free in __run_timer_base.part.0+0x7d7/0x8c0 Write of size 8 at addr ffff88800aa09a18 by task bash/136 ... Call Trace: <IRQ> dump_stack_lvl+0x55/0x70 print_report+0xcf/0x610 ? __run_timer_base.part.0+0x7d7/0x8c0 kasan_report+0xb8/0xf0 ? __run_timer_base.part.0+0x7d7/0x8c0 __run_timer_base.part.0+0x7d7/0x8c0 ? __pfx___run_timer_base.part.0+0x10/0x10 ? __pfx_read_tsc+0x10/0x10 ? ktime_get+0x60/0x140 ? lapic_next_event+0x11/0x20 ? clockevents_program_event+0x1d4/0x2a0 run_timer_softirq+0xd1/0x190 handle_softirqs+0x16a/0x550 irq_exit_rcu+0xaf/0xe0 sysvec_apic_timer_interrupt+0x70/0x80 </IRQ> ... Allocated by task 1: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x7f/0x90 otx2_ptp_init+0xb1/0x860 otx2_probe+0x4eb/0xc30 local_pci_probe+0xdc/0x190 pci_device_probe+0x2fe/0x470 really_probe+0x1ca/0x5c0 __driver_probe_device+0x248/0x310 driver_probe_device+0x44/0x120 __driver_attach+0xd2/0x310 bus_for_each_dev+0xed/0x170 bus_add_driver+0x208/0x500 driver_register+0x132/0x460 do_one_initcall+0x89/0x300 kernel_init_freeable+0x40d/0x720 kernel_init+0x1a/0x150 ret_from_fork+0x10c/0x1a0 ret_from_fork_asm+0x1a/0x30 Freed by task 136: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3a/0x60 __kasan_slab_free+0x3f/0x50 kfree+0x137/0x370 otx2_ptp_destroy+0x38/0x80 otx2_remove+0x10d/0x4c0 pci_device_remove+0xa6/0x1d0 device_release_driver_internal+0xf8/0x210 pci_stop_bus_device+0x105/0x150 pci_stop_and_remove_bus_device_locked+0x15/0x30 remove_store+0xcc/0xe0 kernfs_fop_write_iter+0x2c3/0x440 vfs_write+0x871/0xd70 ksys_write+0xee/0x1c0 do_syscall_64+0xac/0x280 entry_SYSCALL_64_after_hwframe+0x77/0x7f ... Replace cancel_delayed_work() with cancel_delayed_work_sync() to ensure that the delayed work item is properly canceled before the otx2_ptp is deallocated. This bug was initially identified through static analysis. To reproduce and test it, I simulated the OcteonTX2 PCI device in QEMU and introduced artificial delays within the otx2_sync_tstamp() function to increase the likelihood of triggering the bug. Уязвимость компонента otx2_ptp.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cnic: Fix use-after-free bugs in cnic_delete_task The original code uses cancel_delayed_work() in cnic_cm_stop_bnx2x_hw(), which does not guarantee that the delayed work item 'delete_task' has fully completed if it was already running. Additionally, the delayed work item is cyclic, the flush_workqueue() in cnic_cm_stop_bnx2x_hw() only blocks and waits for work items that were already queued to the workqueue prior to its invocation. Any work items submitted after flush_workqueue() is called are not included in the set of tasks that the flush operation awaits. This means that after the cyclic work items have finished executing, a delayed work item may still exist in the workqueue. This leads to use-after-free scenarios where the cnic_dev is deallocated by cnic_free_dev(), while delete_task remains active and attempt to dereference cnic_dev in cnic_delete_task(). A typical race condition is illustrated below: CPU 0 (cleanup) | CPU 1 (delayed work callback) cnic_netdev_event() | cnic_stop_hw() | cnic_delete_task() cnic_cm_stop_bnx2x_hw() | ... cancel_delayed_work() | /* the queue_delayed_work() flush_workqueue() | executes after flush_workqueue()*/ | queue_delayed_work() cnic_free_dev(dev)//free | cnic_delete_task() //new instance | dev = cp->dev; //use Replace cancel_delayed_work() with cancel_delayed_work_sync() to ensure that the cyclic delayed work item is properly canceled and that any ongoing execution of the work item completes before the cnic_dev is deallocated. Furthermore, since cancel_delayed_work_sync() uses __flush_work(work, true) to synchronously wait for any currently executing instance of the work item to finish, the flush_workqueue() becomes redundant and should be removed. This bug was identified through static analysis. To reproduce the issue and validate the fix, I simulated the cnic PCI device in QEMU and introduced intentional delays — such as inserting calls to ssleep() within the cnic_delete_task() function — to increase the likelihood of triggering the bug. Уязвимость компонента cnic.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Harden uplink netdev access against device unbind The function mlx5_uplink_netdev_get() gets the uplink netdevice pointer from mdev->mlx5e_res.uplink_netdev. However, the netdevice can be removed and its pointer cleared when unbound from the mlx5_core.eth driver. This results in a NULL pointer, causing a kernel panic. BUG: unable to handle page fault for address: 0000000000001300 at RIP: 0010:mlx5e_vport_rep_load+0x22a/0x270 [mlx5_core] Call Trace: <TASK> mlx5_esw_offloads_rep_load+0x68/0xe0 [mlx5_core] esw_offloads_enable+0x593/0x910 [mlx5_core] mlx5_eswitch_enable_locked+0x341/0x420 [mlx5_core] mlx5_devlink_eswitch_mode_set+0x17e/0x3a0 [mlx5_core] devlink_nl_eswitch_set_doit+0x60/0xd0 genl_family_rcv_msg_doit+0xe0/0x130 genl_rcv_msg+0x183/0x290 netlink_rcv_skb+0x4b/0xf0 genl_rcv+0x24/0x40 netlink_unicast+0x255/0x380 netlink_sendmsg+0x1f3/0x420 __sock_sendmsg+0x38/0x60 __sys_sendto+0x119/0x180 do_syscall_64+0x53/0x1d0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Ensure the pointer is valid before use by checking it for NULL. If it is valid, immediately call netdev_hold() to take a reference, and preventing the netdevice from being freed while it is in use. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ice: fix Rx page leak on multi-buffer frames The ice_put_rx_mbuf() function handles calling ice_put_rx_buf() for each buffer in the current frame. This function was introduced as part of handling multi-buffer XDP support in the ice driver. It works by iterating over the buffers from first_desc up to 1 plus the total number of fragments in the frame, cached from before the XDP program was executed. If the hardware posts a descriptor with a size of 0, the logic used in ice_put_rx_mbuf() breaks. Such descriptors get skipped and don't get added as fragments in ice_add_xdp_frag. Since the buffer isn't counted as a fragment, we do not iterate over it in ice_put_rx_mbuf(), and thus we don't call ice_put_rx_buf(). Because we don't call ice_put_rx_buf(), we don't attempt to re-use the page or free it. This leaves a stale page in the ring, as we don't increment next_to_alloc. The ice_reuse_rx_page() assumes that the next_to_alloc has been incremented properly, and that it always points to a buffer with a NULL page. Since this function doesn't check, it will happily recycle a page over the top of the next_to_alloc buffer, losing track of the old page. Note that this leak only occurs for multi-buffer frames. The ice_put_rx_mbuf() function always handles at least one buffer, so a single-buffer frame will always get handled correctly. It is not clear precisely why the hardware hands us descriptors with a size of 0 sometimes, but it happens somewhat regularly with "jumbo frames" used by 9K MTU. To fix ice_put_rx_mbuf(), we need to make sure to call ice_put_rx_buf() on all buffers between first_desc and next_to_clean. Borrow the logic of a similar function in i40e used for this same purpose. Use the same logic also in ice_get_pgcnts(). Instead of iterating over just the number of fragments, use a loop which iterates until the current index reaches to the next_to_clean element just past the current frame. Unlike i40e, the ice_put_rx_mbuf() function does call ice_put_rx_buf() on the last buffer of the frame indicating the end of packet. For non-linear (multi-buffer) frames, we need to take care when adjusting the pagecnt_bias. An XDP program might release fragments from the tail of the frame, in which case that fragment page is already released. Only update the pagecnt_bias for the first descriptor and fragments still remaining post-XDP program. Take care to only access the shared info for fragmented buffers, as this avoids a significant cache miss. The xdp_xmit value only needs to be updated if an XDP program is run, and only once per packet. Drop the xdp_xmit pointer argument from ice_put_rx_mbuf(). Instead, set xdp_xmit in the ice_clean_rx_irq() function directly. This avoids needing to pass the argument and avoids an extra bit-wise OR for each buffer in the frame. Move the increment of the ntc local variable to ensure its updated *before* all calls to ice_get_pgcnts() or ice_put_rx_mbuf(), as the loop logic requires the index of the element just after the current frame. Now that we use an index pointer in the ring to identify the packet, we no longer need to track or cache the number of fragments in the rx_ring. Уязвимость компонентов ice ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: qed: Don't collect too many protection override GRC elements In the protection override dump path, the firmware can return far too many GRC elements, resulting in attempting to write past the end of the previously-kmalloc'ed dump buffer. This will result in a kernel panic with reason: BUG: unable to handle kernel paging request at ADDRESS where "ADDRESS" is just past the end of the protection override dump buffer. The start address of the buffer is: p_hwfn->cdev->dbg_features[DBG_FEATURE_PROTECTION_OVERRIDE].dump_buf and the size of the buffer is buf_size in the same data structure. The panic can be arrived at from either the qede Ethernet driver path: [exception RIP: qed_grc_dump_addr_range+0x108] qed_protection_override_dump at ffffffffc02662ed [qed] qed_dbg_protection_override_dump at ffffffffc0267792 [qed] qed_dbg_feature at ffffffffc026aa8f [qed] qed_dbg_all_data at ffffffffc026b211 [qed] qed_fw_fatal_reporter_dump at ffffffffc027298a [qed] devlink_health_do_dump at ffffffff82497f61 devlink_health_report at ffffffff8249cf29 qed_report_fatal_error at ffffffffc0272baf [qed] qede_sp_task at ffffffffc045ed32 [qede] process_one_work at ffffffff81d19783 or the qedf storage driver path: [exception RIP: qed_grc_dump_addr_range+0x108] qed_protection_override_dump at ffffffffc068b2ed [qed] qed_dbg_protection_override_dump at ffffffffc068c792 [qed] qed_dbg_feature at ffffffffc068fa8f [qed] qed_dbg_all_data at ffffffffc0690211 [qed] qed_fw_fatal_reporter_dump at ffffffffc069798a [qed] devlink_health_do_dump at ffffffff8aa95e51 devlink_health_report at ffffffff8aa9ae19 qed_report_fatal_error at ffffffffc0697baf [qed] qed_hw_err_notify at ffffffffc06d32d7 [qed] qed_spq_post at ffffffffc06b1011 [qed] qed_fcoe_destroy_conn at ffffffffc06b2e91 [qed] qedf_cleanup_fcport at ffffffffc05e7597 [qedf] qedf_rport_event_handler at ffffffffc05e7bf7 [qedf] fc_rport_work at ffffffffc02da715 [libfc] process_one_work at ffffffff8a319663 Resolve this by clamping the firmware's return value to the maximum number of legal elements the firmware should return. Уязвимость функции qed_protection_override_dump() в модуле drivers/net/ethernet/qlogic/qed/qed_debug.c драйвера сетевых адаптеров Ethernet Qlogic ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/tcp: Fix a NULL pointer dereference when using TCP-AO with TCP_REPAIR A NULL pointer dereference can occur in tcp_ao_finish_connect() during a connect() system call on a socket with a TCP-AO key added and TCP_REPAIR enabled. The function is called with skb being NULL and attempts to dereference it on tcp_hdr(skb)->seq without a prior skb validation. Fix this by checking if skb is NULL before dereferencing it. The commentary is taken from bpf_skops_established(), which is also called in the same flow. Unlike the function being patched, bpf_skops_established() validates the skb before dereferencing it. int main(void){ struct sockaddr_in sockaddr; struct tcp_ao_add tcp_ao; int sk; int one = 1; memset(&sockaddr,'\0',sizeof(sockaddr)); memset(&tcp_ao,'\0',sizeof(tcp_ao)); sk = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP); sockaddr.sin_family = AF_INET; memcpy(tcp_ao.alg_name,"cmac(aes128)",12); memcpy(tcp_ao.key,"ABCDEFGHABCDEFGH",16); tcp_ao.keylen = 16; memcpy(&tcp_ao.addr,&sockaddr,sizeof(sockaddr)); setsockopt(sk, IPPROTO_TCP, TCP_AO_ADD_KEY, &tcp_ao, sizeof(tcp_ao)); setsockopt(sk, IPPROTO_TCP, TCP_REPAIR, &one, sizeof(one)); sockaddr.sin_family = AF_INET; sockaddr.sin_port = htobe16(123); inet_aton("127.0.0.1", &sockaddr.sin_addr); connect(sk,(struct sockaddr *)&sockaddr,sizeof(sockaddr)); return 0; } $ gcc tcp-ao-nullptr.c -o tcp-ao-nullptr -Wall $ unshare -Urn BUG: kernel NULL pointer dereference, address: 00000000000000b6 PGD 1f648d067 P4D 1f648d067 PUD 1982e8067 PMD 0 Oops: Oops: 0000 [#1] SMP NOPTI Hardware name: VMware, Inc. VMware Virtual Platform/440BX Desktop Reference Platform, BIOS 6.00 11/12/2020 RIP: 0010:tcp_ao_finish_connect (net/ipv4/tcp_ao.c:1182) Уязвимость функции tcp_ao_finish_connect() в модуле net/ipv4/tcp_ao.c реализации протокола IPv4 ядра операционной системы Linux связана с разыменованием указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: um: virtio_uml: Fix use-after-free after put_device in probe When register_virtio_device() fails in virtio_uml_probe(), the code sets vu_dev->registered = 1 even though the device was not successfully registered. This can lead to use-after-free or other issues. Уязвимость функции virtio_uml_probe() в модуле arch/um/drivers/virtio_uml.c 1 ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: wilc1000: avoid buffer overflow in WID string configuration Fix the following copy overflow warning identified by Smatch checker. drivers/net/wireless/microchip/wilc1000/wlan_cfg.c:184 wilc_wlan_parse_response_frame() error: '__memcpy()' 'cfg->s[i]->str' copy overflow (512 vs 65537) This patch introduces size check before accessing the memory buffer. The checks are base on the WID type of received data from the firmware. For WID string configuration, the size limit is determined by individual element size in 'struct wilc_cfg_str_vals' that is maintained in 'len' field of 'struct wilc_cfg_str'. Уязвимость функции wilc_wlan_parse_response_frame() модуля drivers/net/wireless/microchip/wilc1000/wlan_cfg.c драйвера адаптеров беспроводной связи Microchip ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных (классическое переполнение буфера). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля wilc1000.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль `wilc1000` в ядро системы, для этого выполнить одну из команд: ```bash lsmod | grep wilc1000``` или ```bash kmod list | grep wilc1000``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: команда для выгрузки модуля wilc1000.ko: ```bash sudo rmmod wilc1000``` 2. Запретить загрузку модулей: от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл `/etc/modprobe.d/blacklist.local.conf` или файл `/etc/modprobe.d/disable-wilc1000.conf`. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; добавить в файл строку: ```bash install wilc1000 /bin/false``` сохранить файл. 3. Обновить текущий образ `initramfs`: ```bash sudo update-initramfs -uk all``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cgroup: split cgroup_destroy_wq into 3 workqueues A hung task can occur during [1] LTP cgroup testing when repeatedly mounting/unmounting perf_event and net_prio controllers with systemd.unified_cgroup_hierarchy=1. The hang manifests in cgroup_lock_and_drain_offline() during root destruction. Related case: cgroup_fj_function_perf_event cgroup_fj_function.sh perf_event cgroup_fj_function_net_prio cgroup_fj_function.sh net_prio Call Trace: cgroup_lock_and_drain_offline+0x14c/0x1e8 cgroup_destroy_root+0x3c/0x2c0 css_free_rwork_fn+0x248/0x338 process_one_work+0x16c/0x3b8 worker_thread+0x22c/0x3b0 kthread+0xec/0x100 ret_from_fork+0x10/0x20 Root Cause: CPU0 CPU1 mount perf_event umount net_prio cgroup1_get_tree cgroup_kill_sb rebind_subsystems // root destruction enqueues // cgroup_destroy_wq // kill all perf_event css // one perf_event css A is dying // css A offline enqueues cgroup_destroy_wq // root destruction will be executed first css_free_rwork_fn cgroup_destroy_root cgroup_lock_and_drain_offline // some perf descendants are dying // cgroup_destroy_wq max_active = 1 // waiting for css A to die Problem scenario: 1. CPU0 mounts perf_event (rebind_subsystems) 2. CPU1 unmounts net_prio (cgroup_kill_sb), queuing root destruction work 3. A dying perf_event CSS gets queued for offline after root destruction 4. Root destruction waits for offline completion, but offline work is blocked behind root destruction in cgroup_destroy_wq (max_active=1) Solution: Split cgroup_destroy_wq into three dedicated workqueues: cgroup_offline_wq – Handles CSS offline operations cgroup_release_wq – Manages resource release cgroup_free_wq – Performs final memory deallocation This separation eliminates blocking in the CSS free path while waiting for offline operations to complete. [1] https://github.com/linux-test-project/ltp/blob/master/runtest/controllers Уязвимость компонента cgroup ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tcp: Clear tcp_sk(sk)->fastopen_rsk in tcp_disconnect(). syzbot reported the splat below where a socket had tcp_sk(sk)->fastopen_rsk in the TCP_ESTABLISHED state. [0] syzbot reused the server-side TCP Fast Open socket as a new client before the TFO socket completes 3WHS: 1. accept() 2. connect(AF_UNSPEC) 3. connect() to another destination As of accept(), sk->sk_state is TCP_SYN_RECV, and tcp_disconnect() changes it to TCP_CLOSE and makes connect() possible, which restarts timers. Since tcp_disconnect() forgot to clear tcp_sk(sk)->fastopen_rsk, the retransmit timer triggered the warning and the intended packet was not retransmitted. Let's call reqsk_fastopen_remove() in tcp_disconnect(). [0]: WARNING: CPU: 2 PID: 0 at net/ipv4/tcp_timer.c:542 tcp_retransmit_timer (net/ipv4/tcp_timer.c:542 (discriminator 7)) Modules linked in: CPU: 2 UID: 0 PID: 0 Comm: swapper/2 Not tainted 6.17.0-rc5-g201825fb4278 #62 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:tcp_retransmit_timer (net/ipv4/tcp_timer.c:542 (discriminator 7)) Code: 41 55 41 54 55 53 48 8b af b8 08 00 00 48 89 fb 48 85 ed 0f 84 55 01 00 00 0f b6 47 12 3c 03 74 0c 0f b6 47 12 3c 04 74 04 90 <0f> 0b 90 48 8b 85 c0 00 00 00 48 89 ef 48 8b 40 30 e8 6a 4f 06 3e RSP: 0018:ffffc900002f8d40 EFLAGS: 00010293 RAX: 0000000000000002 RBX: ffff888106911400 RCX: 0000000000000017 RDX: 0000000002517619 RSI: ffffffff83764080 RDI: ffff888106911400 RBP: ffff888106d5c000 R08: 0000000000000001 R09: ffffc900002f8de8 R10: 00000000000000c2 R11: ffffc900002f8ff8 R12: ffff888106911540 R13: ffff888106911480 R14: ffff888106911840 R15: ffffc900002f8de0 FS: 0000000000000000(0000) GS:ffff88907b768000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f8044d69d90 CR3: 0000000002c30003 CR4: 0000000000370ef0 Call Trace: <IRQ> tcp_write_timer (net/ipv4/tcp_timer.c:738) call_timer_fn (kernel/time/timer.c:1747) __run_timers (kernel/time/timer.c:1799 kernel/time/timer.c:2372) timer_expire_remote (kernel/time/timer.c:2385 kernel/time/timer.c:2376 kernel/time/timer.c:2135) tmigr_handle_remote_up (kernel/time/timer_migration.c:944 kernel/time/timer_migration.c:1035) __walk_groups.isra.0 (kernel/time/timer_migration.c:533 (discriminator 1)) tmigr_handle_remote (kernel/time/timer_migration.c:1096) handle_softirqs (./arch/x86/include/asm/jump_label.h:36 ./include/trace/events/irq.h:142 kernel/softirq.c:580) irq_exit_rcu (kernel/softirq.c:614 kernel/softirq.c:453 kernel/softirq.c:680 kernel/softirq.c:696) sysvec_apic_timer_interrupt (arch/x86/kernel/apic/apic.c:1050 (discriminator 35) arch/x86/kernel/apic/apic.c:1050 (discriminator 35)) </IRQ> Уязвимость функции tcp_disconnect() модуля net/ipv4/tcp.c реализации протокола IPv4 ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: igc: don't fail igc_probe() on LED setup error When igc_led_setup() fails, igc_probe() fails and triggers kernel panic in free_netdev() since unregister_netdev() is not called. [1] This behavior can be tested using fault-injection framework, especially the failslab feature. [2] Since LED support is not mandatory, treat LED setup failures as non-fatal and continue probe with a warning message, consequently avoiding the kernel panic. [1] kernel BUG at net/core/dev.c:12047! Oops: invalid opcode: 0000 [#1] SMP NOPTI CPU: 0 UID: 0 PID: 937 Comm: repro-igc-led-e Not tainted 6.17.0-rc4-enjuk-tnguy-00865-gc4940196ab02 #64 PREEMPT(voluntary) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:free_netdev+0x278/0x2b0 [...] Call Trace: <TASK> igc_probe+0x370/0x910 local_pci_probe+0x3a/0x80 pci_device_probe+0xd1/0x200 [...] [2] #!/bin/bash -ex FAILSLAB_PATH=/sys/kernel/debug/failslab/ DEVICE=0000:00:05.0 START_ADDR=$(grep " igc_led_setup" /proc/kallsyms \ | awk '{printf("0x%s", $1)}') END_ADDR=$(printf "0x%x" $((START_ADDR + 0x100))) echo $START_ADDR > $FAILSLAB_PATH/require-start echo $END_ADDR > $FAILSLAB_PATH/require-end echo 1 > $FAILSLAB_PATH/times echo 100 > $FAILSLAB_PATH/probability echo N > $FAILSLAB_PATH/ignore-gfp-wait echo $DEVICE > /sys/bus/pci/drivers/igc/bind Уязвимость компонента igc ядра операционной системы Linux связана с отсутствием обработчика. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: increase scan_ies_len for S1G Currently the S1G capability element is not taken into account for the scan_ies_len, which leads to a buffer length validation failure in ieee80211_prep_hw_scan() and subsequent WARN in __ieee80211_start_scan(). This prevents hw scanning from functioning. To fix ensure we accommodate for the S1G capability length. Уязвимость функции ieee80211_register_hw() ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных (классическое переполнение буфера). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля mac80211.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль mac80211 в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep mac80211 ``` или ``` kmod list | grep mac80211 ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod mac80211 ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install mac80211 /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/amd/pgtbl: Fix possible race while increase page table level The AMD IOMMU host page table implementation supports dynamic page table levels (up to 6 levels), starting with a 3-level configuration that expands based on IOVA address. The kernel maintains a root pointer and current page table level to enable proper page table walks in alloc_pte()/fetch_pte() operations. The IOMMU IOVA allocator initially starts with 32-bit address and onces its exhuasted it switches to 64-bit address (max address is determined based on IOMMU and device DMA capability). To support larger IOVA, AMD IOMMU driver increases page table level. But in unmap path (iommu_v1_unmap_pages()), fetch_pte() reads pgtable->[root/mode] without lock. So its possible that in exteme corner case, when increase_address_space() is updating pgtable->[root/mode], fetch_pte() reads wrong page table level (pgtable->mode). It does compare the value with level encoded in page table and returns NULL. This will result is iommu_unmap ops to fail and upper layer may retry/log WARN_ON. CPU 0 CPU 1 ------ ------ map pages unmap pages alloc_pte() -> increase_address_space() iommu_v1_unmap_pages() -> fetch_pte() pgtable->root = pte (new root value) READ pgtable->[mode/root] Reads new root, old mode Updates mode (pgtable->mode += 1) Since Page table level updates are infrequent and already synchronized with a spinlock, implement seqcount to enable lock-free read operations on the read path. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring: fix incorrect io_kiocb reference in io_link_skb In io_link_skb function, there is a bug where prev_notif is incorrectly assigned using 'nd' instead of 'prev_nd'. This causes the context validation check to compare the current notification with itself instead of comparing it with the previous notification. Fix by using the correct prev_nd parameter when obtaining prev_notif. Уязвимость функции io_link_skb() модуля io_uring/notif.c интерфейса асинхронного ввода/вывода ядра операционной системы Linux связана с некорректным сравнением. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: af_alg - Disallow concurrent writes in af_alg_sendmsg Issuing two writes to the same af_alg socket is bogus as the data will be interleaved in an unpredictable fashion. Furthermore, concurrent writes may create inconsistencies in the internal socket state. Disallow this by adding a new ctx->write field that indiciates exclusive ownership for writing. Уязвимость компонента crypto/af_alg.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля af_alg.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль af_alg в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep af_alg ``` или ``` kmod list | grep af_alg ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod af_alg ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install af_alg /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: xfrm_alloc_spi shouldn't use 0 as SPI x->id.spi == 0 means "no SPI assigned", but since commit 94f39804d891 ("xfrm: Duplicate SPI Handling"), we now create states and add them to the byspi list with this value. __xfrm_state_delete doesn't remove those states from the byspi list, since they shouldn't be there, and this shows up as a UAF the next time we go through the byspi list. Уязвимость функции xfrm_alloc_spi() модуля net/xfrm/xfrm_state.c ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля xfrm_user.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль xfrm_user в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep xfrm_user ``` или ``` kmod list | grep xfrm_user ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod xfrm_user ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install xfrm_user /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommufd: Fix race during abort for file descriptors fput() doesn't actually call file_operations release() synchronously, it puts the file on a work queue and it will be released eventually. This is normally fine, except for iommufd the file and the iommufd_object are tied to gether. The file has the object as it's private_data and holds a users refcount, while the object is expected to remain alive as long as the file is. When the allocation of a new object aborts before installing the file it will fput() the file and then go on to immediately kfree() the obj. This causes a UAF once the workqueue completes the fput() and tries to decrement the users refcount. Fix this by putting the core code in charge of the file lifetime, and call __fput_sync() during abort to ensure that release() is called before kfree. __fput_sync() is a bit too tricky to open code in all the object implementations. Instead the objects tell the core code where the file pointer is and the core will take care of the life cycle. If the object is successfully allocated then the file will hold a users refcount and the iommufd_object cannot be destroyed. It is worth noting that close(); ioctl(IOMMU_DESTROY); doesn't have an issue because close() is already using a synchronous version of fput(). The UAF looks like this: BUG: KASAN: slab-use-after-free in iommufd_eventq_fops_release+0x45/0xc0 drivers/iommu/iommufd/eventq.c:376 Write of size 4 at addr ffff888059c97804 by task syz.0.46/6164 CPU: 0 UID: 0 PID: 6164 Comm: syz.0.46 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/18/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xcd/0x630 mm/kasan/report.c:482 kasan_report+0xe0/0x110 mm/kasan/report.c:595 check_region_inline mm/kasan/generic.c:183 [inline] kasan_check_range+0x100/0x1b0 mm/kasan/generic.c:189 instrument_atomic_read_write include/linux/instrumented.h:96 [inline] atomic_fetch_sub_release include/linux/atomic/atomic-instrumented.h:400 [inline] __refcount_dec include/linux/refcount.h:455 [inline] refcount_dec include/linux/refcount.h:476 [inline] iommufd_eventq_fops_release+0x45/0xc0 drivers/iommu/iommufd/eventq.c:376 __fput+0x402/0xb70 fs/file_table.c:468 task_work_run+0x14d/0x240 kernel/task_work.c:227 resume_user_mode_work include/linux/resume_user_mode.h:50 [inline] exit_to_user_mode_loop+0xeb/0x110 kernel/entry/common.c:43 exit_to_user_mode_prepare include/linux/irq-entry-common.h:225 [inline] syscall_exit_to_user_mode_work include/linux/entry-common.h:175 [inline] syscall_exit_to_user_mode include/linux/entry-common.h:210 [inline] do_syscall_64+0x41c/0x4c0 arch/x86/entry/syscall_64.c:100 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента iommufd ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbcon: fix integer overflow in fbcon_do_set_font Fix integer overflow vulnerabilities in fbcon_do_set_font() where font size calculations could overflow when handling user-controlled font parameters. The vulnerabilities occur when: 1. CALC_FONTSZ(h, pitch, charcount) performs h * pith * charcount multiplication with user-controlled values that can overflow. 2. FONT_EXTRA_WORDS * sizeof(int) + size addition can also overflow 3. This results in smaller allocations than expected, leading to buffer overflows during font data copying. Add explicit overflow checking using check_mul_overflow() and check_add_overflow() kernel helpers to safety validate all size calculations before allocation. Уязвимость функции fbcon_set_font() модуля drivers/video/fbdev/core/fbcon.c драйвера устройств кадрового буфера ядра операционной системы Linux связана с целочисленным переполнением или циклическим сдвигом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i40e: add max boundary check for VF filters There is no check for max filters that VF can request. Add it. Уязвимость компонента i40e ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:H', score=7.3) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля i40e.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль i40e в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep i40e ``` или ``` kmod list | grep i40e ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod i40e ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install i40e /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i40e: fix validation of VF state in get resources VF state I40E_VF_STATE_ACTIVE is not the only state in which VF is actually active so it should not be used to determine if a VF is allowed to obtain resources. Use I40E_VF_STATE_RESOURCES_LOADED that is set only in i40e_vc_get_vf_resources_msg() and cleared during reset. Уязвимость компонента i40e ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i40e: fix input validation logic for action_meta Fix condition to check 'greater or equal' to prevent OOB dereference. Уязвимость функции i40e_validate_cloud_filter() модуля drivers/net/ethernet/intel/i40e/i40e_virtchnl_pf.c драйвера сетевых адаптеров Ethernet Intel ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i40e: fix idx validation in config queues msg Ensure idx is within range of active/initialized TCs when iterating over vf->ch[idx] in i40e_vc_config_queues_msg(). Уязвимость функции i40e_vc_config_queues_msg() модуля drivers/net/ethernet/intel/i40e/i40e_virtchnl_pf.c драйвера сетевых адаптеров Ethernet Intel ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i40e: fix idx validation in i40e_validate_queue_map Ensure idx is within range of active/initialized TCs when iterating over vf->ch[idx] in i40e_validate_queue_map(). Уязвимость функции i40e_validate_queue_map() модуля drivers/net/ethernet/intel/i40e/i40e_virtchnl_pf.c драйвера сетевых адаптеров Ethernet Intel ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i40e: add validation for ring_len param The `ring_len` parameter provided by the virtual function (VF) is assigned directly to the hardware memory context (HMC) without any validation. To address this, introduce an upper boundary check for both Tx and Rx queue lengths. The maximum number of descriptors supported by the hardware is 8k-32. Additionally, enforce alignment constraints: Tx rings must be a multiple of 8, and Rx rings must be a multiple of 32. Уязвимость компонентов i40e ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix wrong index reference in smb2_compound_op() In smb2_compound_op(), the loop that processes each command's response uses wrong indices when accessing response bufferes. This incorrect indexing leads to improper handling of command results. Also, if incorrectly computed index is greather than or equal to MAX_COMPOUND, it can cause out-of-bounds accesses. Уязвимость функции smb2_compound_op() модуля fs/smb/client/smb2inode.c поддержки клиента SMB ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: futex: Prevent use-after-free during requeue-PI syzbot managed to trigger the following race: T1 T2 futex_wait_requeue_pi() futex_do_wait() schedule() futex_requeue() futex_proxy_trylock_atomic() futex_requeue_pi_prepare() requeue_pi_wake_futex() futex_requeue_pi_complete() /* preempt */ * timeout/ signal wakes T1 * futex_requeue_pi_wakeup_sync() // Q_REQUEUE_PI_LOCKED futex_hash_put() // back to userland, on stack futex_q is garbage /* back */ wake_up_state(q->task, TASK_NORMAL); In this scenario futex_wait_requeue_pi() is able to leave without using futex_q::lock_ptr for synchronization. This can be prevented by reading futex_q::task before updating the futex_q::requeue_state. A reference on the task_struct is not needed because requeue_pi_wake_futex() is invoked with a spinlock_t held which implies a RCU read section. Even if T1 terminates immediately after, the task_struct will remain valid during T2's wake_up_state(). A READ_ONCE on futex_q::task before futex_requeue_pi_complete() is enough because it ensures that the variable is read before the state is updated. Read futex_q::task before updating the requeue state, use it for the following wakeup. Уязвимость функции requeue_pi_wake_futex() модуля kernel/futex/requeue.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: Fix potential use after free in otx2_tc_add_flow() This code calls kfree_rcu(new_node, rcu) and then dereferences "new_node" and then dereferences it on the next line. Two lines later, we take a mutex so I don't think this is an RCU safe region. Re-order it to do the dereferences before queuing up the free. Уязвимость функции otx2_tc_add_flow() модуля drivers/net/ethernet/marvell/octeontx2/nic/otx2_tc.c драйвера сетевых адаптеров Ethernet Marvell ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nexthop: Forbid FDB status change while nexthop is in a group The kernel forbids the creation of non-FDB nexthop groups with FDB nexthops: # ip nexthop add id 1 via 192.0.2.1 fdb # ip nexthop add id 2 group 1 Error: Non FDB nexthop group cannot have fdb nexthops. And vice versa: # ip nexthop add id 3 via 192.0.2.2 dev dummy1 # ip nexthop add id 4 group 3 fdb Error: FDB nexthop group can only have fdb nexthops. However, as long as no routes are pointing to a non-FDB nexthop group, the kernel allows changing the type of a nexthop from FDB to non-FDB and vice versa: # ip nexthop add id 5 via 192.0.2.2 dev dummy1 # ip nexthop add id 6 group 5 # ip nexthop replace id 5 via 192.0.2.2 fdb # echo $? 0 This configuration is invalid and can result in a NPD [1] since FDB nexthops are not associated with a nexthop device: # ip route add 198.51.100.1/32 nhid 6 # ping 198.51.100.1 Fix by preventing nexthop FDB status change while the nexthop is in a group: # ip nexthop add id 7 via 192.0.2.2 dev dummy1 # ip nexthop add id 8 group 7 # ip nexthop replace id 7 via 192.0.2.2 fdb Error: Cannot change nexthop FDB status while in a group. [1] BUG: kernel NULL pointer dereference, address: 00000000000003c0 [...] Oops: Oops: 0000 [#1] SMP CPU: 6 UID: 0 PID: 367 Comm: ping Not tainted 6.17.0-rc6-virtme-gb65678cacc03 #1 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-4.fc41 04/01/2014 RIP: 0010:fib_lookup_good_nhc+0x1e/0x80 [...] Call Trace: <TASK> fib_table_lookup+0x541/0x650 ip_route_output_key_hash_rcu+0x2ea/0x970 ip_route_output_key_hash+0x55/0x80 __ip4_datagram_connect+0x250/0x330 udp_connect+0x2b/0x60 __sys_connect+0x9c/0xd0 __x64_sys_connect+0x18/0x20 do_syscall_64+0xa4/0x2a0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость функции replace_nexthop_single() модуля net/ipv4/nexthop.c реализации протокола IPv4 ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_event: Fix UAF in hci_acl_create_conn_sync This fixes the following UFA in hci_acl_create_conn_sync where a connection still pending is command submission (conn->state == BT_OPEN) maybe freed, also since this also can happen with the likes of hci_le_create_conn_sync fix it as well: BUG: KASAN: slab-use-after-free in hci_acl_create_conn_sync+0x5ef/0x790 net/bluetooth/hci_sync.c:6861 Write of size 2 at addr ffff88805ffcc038 by task kworker/u11:2/9541 CPU: 1 UID: 0 PID: 9541 Comm: kworker/u11:2 Not tainted 6.16.0-rc7 #3 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.10.2-1ubuntu1 04/01/2014 Workqueue: hci3 hci_cmd_sync_work Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x230 mm/kasan/report.c:480 kasan_report+0x118/0x150 mm/kasan/report.c:593 hci_acl_create_conn_sync+0x5ef/0x790 net/bluetooth/hci_sync.c:6861 hci_cmd_sync_work+0x210/0x3a0 net/bluetooth/hci_sync.c:332 process_one_work kernel/workqueue.c:3238 [inline] process_scheduled_works+0xae1/0x17b0 kernel/workqueue.c:3321 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3402 kthread+0x70e/0x8a0 kernel/kthread.c:464 ret_from_fork+0x3fc/0x770 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 home/kwqcheii/source/fuzzing/kernel/kasan/linux-6.16-rc7/arch/x86/entry/entry_64.S:245 </TASK> Allocated by task 123736: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0x93/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __kmalloc_cache_noprof+0x230/0x3d0 mm/slub.c:4359 kmalloc_noprof include/linux/slab.h:905 [inline] kzalloc_noprof include/linux/slab.h:1039 [inline] __hci_conn_add+0x233/0x1b30 net/bluetooth/hci_conn.c:939 hci_conn_add_unset net/bluetooth/hci_conn.c:1051 [inline] hci_connect_acl+0x16c/0x4e0 net/bluetooth/hci_conn.c:1634 pair_device+0x418/0xa70 net/bluetooth/mgmt.c:3556 hci_mgmt_cmd+0x9c9/0xef0 net/bluetooth/hci_sock.c:1719 hci_sock_sendmsg+0x6ca/0xef0 net/bluetooth/hci_sock.c:1839 sock_sendmsg_nosec net/socket.c:712 [inline] __sock_sendmsg+0x219/0x270 net/socket.c:727 sock_write_iter+0x258/0x330 net/socket.c:1131 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x54b/0xa90 fs/read_write.c:686 ksys_write+0x145/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 103680: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x46/0x50 mm/kasan/generic.c:576 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x62/0x70 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2381 [inline] slab_free mm/slub.c:4643 [inline] kfree+0x18e/0x440 mm/slub.c:4842 device_release+0x9c/0x1c0 kobject_cleanup lib/kobject.c:689 [inline] kobject_release lib/kobject.c:720 [inline] kref_put include/linux/kref.h:65 [inline] kobject_put+0x22b/0x480 lib/kobject.c:737 hci_conn_cleanup net/bluetooth/hci_conn.c:175 [inline] hci_conn_del+0x8ff/0xcb0 net/bluetooth/hci_conn.c:1173 hci_conn_complete_evt+0x3c7/0x1040 net/bluetooth/hci_event.c:3199 hci_event_func net/bluetooth/hci_event.c:7477 [inline] hci_event_packet+0x7e0/0x1200 net/bluetooth/hci_event.c:7531 hci_rx_work+0x46a/0xe80 net/bluetooth/hci_core.c:4070 process_one_work kernel/workqueue.c:3238 [inline] process_scheduled_works+0xae1/0x17b0 kernel/workqueue.c:3321 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3402 kthread+0x70e/0x8a0 kernel/kthread.c:464 ret_from_fork+0x3fc/0x770 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 home/kwqcheii/sour ---truncated--- Уязвимость компонента hci_event ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bluetooth.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bluetooth в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bluetooth ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install bluetooth /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: tun: Update napi->skb after XDP process The syzbot report a UAF issue: BUG: KASAN: slab-use-after-free in skb_reset_mac_header include/linux/skbuff.h:3150 [inline] BUG: KASAN: slab-use-after-free in napi_frags_skb net/core/gro.c:723 [inline] BUG: KASAN: slab-use-after-free in napi_gro_frags+0x6e/0x1030 net/core/gro.c:758 Read of size 8 at addr ffff88802ef22c18 by task syz.0.17/6079 CPU: 0 UID: 0 PID: 6079 Comm: syz.0.17 Not tainted syzkaller #0 PREEMPT(full) Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x240 mm/kasan/report.c:482 kasan_report+0x118/0x150 mm/kasan/report.c:595 skb_reset_mac_header include/linux/skbuff.h:3150 [inline] napi_frags_skb net/core/gro.c:723 [inline] napi_gro_frags+0x6e/0x1030 net/core/gro.c:758 tun_get_user+0x28cb/0x3e20 drivers/net/tun.c:1920 tun_chr_write_iter+0x113/0x200 drivers/net/tun.c:1996 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x5c9/0xb30 fs/read_write.c:686 ksys_write+0x145/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> Allocated by task 6079: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 unpoison_slab_object mm/kasan/common.c:330 [inline] __kasan_mempool_unpoison_object+0xa0/0x170 mm/kasan/common.c:558 kasan_mempool_unpoison_object include/linux/kasan.h:388 [inline] napi_skb_cache_get+0x37b/0x6d0 net/core/skbuff.c:295 __alloc_skb+0x11e/0x2d0 net/core/skbuff.c:657 napi_alloc_skb+0x84/0x7d0 net/core/skbuff.c:811 napi_get_frags+0x69/0x140 net/core/gro.c:673 tun_napi_alloc_frags drivers/net/tun.c:1404 [inline] tun_get_user+0x77c/0x3e20 drivers/net/tun.c:1784 tun_chr_write_iter+0x113/0x200 drivers/net/tun.c:1996 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x5c9/0xb30 fs/read_write.c:686 ksys_write+0x145/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 6079: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x46/0x50 mm/kasan/generic.c:576 poison_slab_object mm/kasan/common.c:243 [inline] __kasan_slab_free+0x5b/0x80 mm/kasan/common.c:275 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2422 [inline] slab_free mm/slub.c:4695 [inline] kmem_cache_free+0x18f/0x400 mm/slub.c:4797 skb_pp_cow_data+0xdd8/0x13e0 net/core/skbuff.c:969 netif_skb_check_for_xdp net/core/dev.c:5390 [inline] netif_receive_generic_xdp net/core/dev.c:5431 [inline] do_xdp_generic+0x699/0x11a0 net/core/dev.c:5499 tun_get_user+0x2523/0x3e20 drivers/net/tun.c:1872 tun_chr_write_iter+0x113/0x200 drivers/net/tun.c:1996 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x5c9/0xb30 fs/read_write.c:686 ksys_write+0x145/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f After commit e6d5dbdd20aa ("xdp: add multi-buff support for xdp running in generic mode"), the original skb may be freed in skb_pp_cow_data() when XDP program was attached, which was allocated in tun_napi_alloc_frags(). However, the napi->skb still point to the original skb, update it after XDP process. Уязвимость функции tun_get_user() модуля drivers/net/tun.c драйвера сетевых устройств ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: mcba_usb: populate ndo_change_mtu() to prevent buffer overflow Sending an PF_PACKET allows to bypass the CAN framework logic and to directly reach the xmit() function of a CAN driver. The only check which is performed by the PF_PACKET framework is to make sure that skb->len fits the interface's MTU. Unfortunately, because the mcba_usb driver does not populate its net_device_ops->ndo_change_mtu(), it is possible for an attacker to configure an invalid MTU by doing, for example: $ ip link set can0 mtu 9999 After doing so, the attacker could open a PF_PACKET socket using the ETH_P_CANXL protocol: socket(PF_PACKET, SOCK_RAW, htons(ETH_P_CANXL)) to inject a malicious CAN XL frames. For example: struct canxl_frame frame = { .flags = 0xff, .len = 2048, }; The CAN drivers' xmit() function are calling can_dev_dropped_skb() to check that the skb is valid, unfortunately under above conditions, the malicious packet is able to go through can_dev_dropped_skb() checks: 1. the skb->protocol is set to ETH_P_CANXL which is valid (the function does not check the actual device capabilities). 2. the length is a valid CAN XL length. And so, mcba_usb_start_xmit() receives a CAN XL frame which it is not able to correctly handle and will thus misinterpret it as a CAN frame. This can result in a buffer overflow. The driver will consume cf->len as-is with no further checks on these lines: usb_msg.dlc = cf->len; memcpy(usb_msg.data, cf->data, usb_msg.dlc); Here, cf->len corresponds to the flags field of the CAN XL frame. In our previous example, we set canxl_frame->flags to 0xff. Because the maximum expected length is 8, a buffer overflow of 247 bytes occurs! Populate net_device_ops->ndo_change_mtu() to ensure that the interface's MTU can not be set to anything bigger than CAN_MTU. By fixing the root cause, this prevents the buffer overflow. Уязвимость компонента mcba_usb ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного пакета [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля mcba_usb.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль mcba_usb в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep mcba_usb ``` или ``` kmod list | grep mcba_usb ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod mcba_usb ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install mcba_usb /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: sun4i_can: populate ndo_change_mtu() to prevent buffer overflow Sending an PF_PACKET allows to bypass the CAN framework logic and to directly reach the xmit() function of a CAN driver. The only check which is performed by the PF_PACKET framework is to make sure that skb->len fits the interface's MTU. Unfortunately, because the sun4i_can driver does not populate its net_device_ops->ndo_change_mtu(), it is possible for an attacker to configure an invalid MTU by doing, for example: $ ip link set can0 mtu 9999 After doing so, the attacker could open a PF_PACKET socket using the ETH_P_CANXL protocol: socket(PF_PACKET, SOCK_RAW, htons(ETH_P_CANXL)) to inject a malicious CAN XL frames. For example: struct canxl_frame frame = { .flags = 0xff, .len = 2048, }; The CAN drivers' xmit() function are calling can_dev_dropped_skb() to check that the skb is valid, unfortunately under above conditions, the malicious packet is able to go through can_dev_dropped_skb() checks: 1. the skb->protocol is set to ETH_P_CANXL which is valid (the function does not check the actual device capabilities). 2. the length is a valid CAN XL length. And so, sun4ican_start_xmit() receives a CAN XL frame which it is not able to correctly handle and will thus misinterpret it as a CAN frame. This can result in a buffer overflow. The driver will consume cf->len as-is with no further checks on this line: dlc = cf->len; Here, cf->len corresponds to the flags field of the CAN XL frame. In our previous example, we set canxl_frame->flags to 0xff. Because the maximum expected length is 8, a buffer overflow of 247 bytes occurs a couple line below when doing: for (i = 0; i < dlc; i++) writel(cf->data[i], priv->base + (dreg + i * 4)); Populate net_device_ops->ndo_change_mtu() to ensure that the interface's MTU can not be set to anything bigger than CAN_MTU. By fixing the root cause, this prevents the buffer overflow. Уязвимость компонента sun4i_can.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного пакета [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: hi311x: populate ndo_change_mtu() to prevent buffer overflow Sending an PF_PACKET allows to bypass the CAN framework logic and to directly reach the xmit() function of a CAN driver. The only check which is performed by the PF_PACKET framework is to make sure that skb->len fits the interface's MTU. Unfortunately, because the sun4i_can driver does not populate its net_device_ops->ndo_change_mtu(), it is possible for an attacker to configure an invalid MTU by doing, for example: $ ip link set can0 mtu 9999 After doing so, the attacker could open a PF_PACKET socket using the ETH_P_CANXL protocol: socket(PF_PACKET, SOCK_RAW, htons(ETH_P_CANXL)) to inject a malicious CAN XL frames. For example: struct canxl_frame frame = { .flags = 0xff, .len = 2048, }; The CAN drivers' xmit() function are calling can_dev_dropped_skb() to check that the skb is valid, unfortunately under above conditions, the malicious packet is able to go through can_dev_dropped_skb() checks: 1. the skb->protocol is set to ETH_P_CANXL which is valid (the function does not check the actual device capabilities). 2. the length is a valid CAN XL length. And so, hi3110_hard_start_xmit() receives a CAN XL frame which it is not able to correctly handle and will thus misinterpret it as a CAN frame. The driver will consume frame->len as-is with no further checks. This can result in a buffer overflow later on in hi3110_hw_tx() on this line: memcpy(buf + HI3110_FIFO_EXT_DATA_OFF, frame->data, frame->len); Here, frame->len corresponds to the flags field of the CAN XL frame. In our previous example, we set canxl_frame->flags to 0xff. Because the maximum expected length is 8, a buffer overflow of 247 bytes occurs! Populate net_device_ops->ndo_change_mtu() to ensure that the interface's MTU can not be set to anything bigger than CAN_MTU. By fixing the root cause, this prevents the buffer overflow. Уязвимость компонента hi311x ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного пакета [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля hi311x.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль hi311x в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep hi311x ``` или ``` kmod list | grep hi311x ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod hi311x ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install hi311x /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: etas_es58x: populate ndo_change_mtu() to prevent buffer overflow Sending an PF_PACKET allows to bypass the CAN framework logic and to directly reach the xmit() function of a CAN driver. The only check which is performed by the PF_PACKET framework is to make sure that skb->len fits the interface's MTU. Unfortunately, because the etas_es58x driver does not populate its net_device_ops->ndo_change_mtu(), it is possible for an attacker to configure an invalid MTU by doing, for example: $ ip link set can0 mtu 9999 After doing so, the attacker could open a PF_PACKET socket using the ETH_P_CANXL protocol: socket(PF_PACKET, SOCK_RAW, htons(ETH_P_CANXL)); to inject a malicious CAN XL frames. For example: struct canxl_frame frame = { .flags = 0xff, .len = 2048, }; The CAN drivers' xmit() function are calling can_dev_dropped_skb() to check that the skb is valid, unfortunately under above conditions, the malicious packet is able to go through can_dev_dropped_skb() checks: 1. the skb->protocol is set to ETH_P_CANXL which is valid (the function does not check the actual device capabilities). 2. the length is a valid CAN XL length. And so, es58x_start_xmit() receives a CAN XL frame which it is not able to correctly handle and will thus misinterpret it as a CAN(FD) frame. This can result in a buffer overflow. For example, using the es581.4 variant, the frame will be dispatched to es581_4_tx_can_msg(), go through the last check at the beginning of this function: if (can_is_canfd_skb(skb)) return -EMSGSIZE; and reach this line: memcpy(tx_can_msg->data, cf->data, cf->len); Here, cf->len corresponds to the flags field of the CAN XL frame. In our previous example, we set canxl_frame->flags to 0xff. Because the maximum expected length is 8, a buffer overflow of 247 bytes occurs! Populate net_device_ops->ndo_change_mtu() to ensure that the interface's MTU can not be set to anything bigger than CAN_MTU or CANFD_MTU (depending on the device capabilities). By fixing the root cause, this prevents the buffer overflow. Уязвимость компонента etas_es58x ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного пакета [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля etas_es58x.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль etas_es58x в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep etas_es58x ``` или ``` kmod list | grep etas_es58x ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod etas_es58x ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install etas_es58x /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Check the helper function is valid in get_helper_proto kernel test robot reported verifier bug [1] where the helper func pointer could be NULL due to disabled config option. As Alexei suggested we could check on that in get_helper_proto directly. Marking tail_call helper func with BPF_PTR_POISON, because it is unused by design. [1] https://lore.kernel.org/oe-lkp/202507160818.68358831-lkp@intel.com [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: fix NULL dereference in ath11k_qmi_m3_load() If ab->fw.m3_data points to data, then fw pointer remains null. Further, if m3_mem is not allocated, then fw is dereferenced to be passed to ath11k_err function. Replace fw->size by m3_len. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции ath11k_qmi_m3_load() модуля drivers/net/wireless/ath/ath11k/qmi.c драйвера адаптеров беспроводной связи Atheros/Qualcomm ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm: swap: check for stable address space before operating on the VMA It is possible to hit a zero entry while traversing the vmas in unuse_mm() called from swapoff path and accessing it causes the OOPS: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000446--> Loading the memory from offset 0x40 on the XA_ZERO_ENTRY as address. Mem abort info: ESR = 0x0000000096000005 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x05: level 1 translation fault The issue is manifested from the below race between the fork() on a process and swapoff: fork(dup_mmap()) swapoff(unuse_mm) --------------- ----------------- 1) Identical mtree is built using __mt_dup(). 2) copy_pte_range()--> copy_nonpresent_pte(): The dst mm is added into the mmlist to be visible to the swapoff operation. 3) Fatal signal is sent to the parent process(which is the current during the fork) thus skip the duplication of the vmas and mark the vma range with XA_ZERO_ENTRY as a marker for this process that helps during exit_mmap(). 4) swapoff is tried on the 'mm' added to the 'mmlist' as part of the 2. 5) unuse_mm(), that iterates through the vma's of this 'mm' will hit the non-NULL zero entry and operating on this zero entry as a vma is resulting into the oops. The proper fix would be around not exposing this partially-valid tree to others when droping the mmap lock, which is being solved with [1]. A simpler solution would be checking for MMF_UNSTABLE, as it is set if mm_struct is not fully initialized in dup_mmap(). Thanks to Liam/Lorenzo/David for all the suggestions in fixing this issue. Уязвимость функции unuse_mm() модуля mm/swapfile.c подсистемы управления памятью ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: rc: fix races with imon_disconnect() Syzbot reports a KASAN issue as below: BUG: KASAN: use-after-free in __create_pipe include/linux/usb.h:1945 [inline] BUG: KASAN: use-after-free in send_packet+0xa2d/0xbc0 drivers/media/rc/imon.c:627 Read of size 4 at addr ffff8880256fb000 by task syz-executor314/4465 CPU: 2 PID: 4465 Comm: syz-executor314 Not tainted 6.0.0-rc1-syzkaller #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.14.0-2 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0xcd/0x134 lib/dump_stack.c:106 print_address_description mm/kasan/report.c:317 [inline] print_report.cold+0x2ba/0x6e9 mm/kasan/report.c:433 kasan_report+0xb1/0x1e0 mm/kasan/report.c:495 __create_pipe include/linux/usb.h:1945 [inline] send_packet+0xa2d/0xbc0 drivers/media/rc/imon.c:627 vfd_write+0x2d9/0x550 drivers/media/rc/imon.c:991 vfs_write+0x2d7/0xdd0 fs/read_write.c:576 ksys_write+0x127/0x250 fs/read_write.c:631 do_syscall_x64 arch/x86/entry/common.c:50 [inline] do_syscall_64+0x35/0xb0 arch/x86/entry/common.c:80 entry_SYSCALL_64_after_hwframe+0x63/0xcd The iMON driver improperly releases the usb_device reference in imon_disconnect without coordinating with active users of the device. Specifically, the fields usbdev_intf0 and usbdev_intf1 are not protected by the users counter (ictx->users). During probe, imon_init_intf0 or imon_init_intf1 increments the usb_device reference count depending on the interface. However, during disconnect, usb_put_dev is called unconditionally, regardless of actual usage. As a result, if vfd_write or other operations are still in progress after disconnect, this can lead to a use-after-free of the usb_device pointer. Thread 1 vfd_write Thread 2 imon_disconnect ... if usb_put_dev(ictx->usbdev_intf0) else usb_put_dev(ictx->usbdev_intf1) ... while send_packet if pipe = usb_sndintpipe( ictx->usbdev_intf0) UAF else pipe = usb_sndctrlpipe( ictx->usbdev_intf0, 0) UAF Guard access to usbdev_intf0 and usbdev_intf1 after disconnect by checking ictx->disconnected in all writer paths. Add early return with -ENODEV in send_packet(), vfd_write(), lcd_write() and display_open() if the device is no longer present. Set and read ictx->disconnected under ictx->lock to ensure memory synchronization. Acquire the lock in imon_disconnect() before setting the flag to synchronize with any ongoing operations. Ensure writers exit early and safely after disconnect before the USB core proceeds with cleanup. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента imon.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: tuner: xc5000: Fix use-after-free in xc5000_release The original code uses cancel_delayed_work() in xc5000_release(), which does not guarantee that the delayed work item timer_sleep has fully completed if it was already running. This leads to use-after-free scenarios where xc5000_release() may free the xc5000_priv while timer_sleep is still active and attempts to dereference the xc5000_priv. A typical race condition is illustrated below: CPU 0 (release thread) | CPU 1 (delayed work callback) xc5000_release() | xc5000_do_timer_sleep() cancel_delayed_work() | hybrid_tuner_release_state(priv) | kfree(priv) | | priv = container_of() // UAF Replace cancel_delayed_work() with cancel_delayed_work_sync() to ensure that the timer_sleep is properly canceled before the xc5000_priv memory is deallocated. A deadlock concern was considered: xc5000_release() is called in a process context and is not holding any locks that the timer_sleep work item might also need. Therefore, the use of the _sync() variant is safe here. This bug was initially identified through static analysis. [hverkuil: fix typo in Subject: tunner -> tuner] Уязвимость функции xc5000_release() модуля drivers/media/tuners/xc5000.c драйвера мультимедийных устройств ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля xc5000.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль xc5000 в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep xc5000 ``` или ``` kmod list | grep xc5000 ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod xc5000 ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install xc5000 /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: i2c: tc358743: Fix use-after-free bugs caused by orphan timer in probe The state->timer is a cyclic timer that schedules work_i2c_poll and delayed_work_enable_hotplug, while rearming itself. Using timer_delete() fails to guarantee the timer isn't still running when destroyed, similarly cancel_delayed_work() cannot ensure delayed_work_enable_hotplug has terminated if already executing. During probe failure after timer initialization, these may continue running as orphans and reference the already-freed tc358743_state object through tc358743_irq_poll_timer. The following is the trace captured by KASAN. BUG: KASAN: slab-use-after-free in __run_timer_base.part.0+0x7d7/0x8c0 Write of size 8 at addr ffff88800ded83c8 by task swapper/1/0 ... Call Trace: <IRQ> dump_stack_lvl+0x55/0x70 print_report+0xcf/0x610 ? __pfx_sched_balance_find_src_group+0x10/0x10 ? __run_timer_base.part.0+0x7d7/0x8c0 kasan_report+0xb8/0xf0 ? __run_timer_base.part.0+0x7d7/0x8c0 __run_timer_base.part.0+0x7d7/0x8c0 ? rcu_sched_clock_irq+0xb06/0x27d0 ? __pfx___run_timer_base.part.0+0x10/0x10 ? try_to_wake_up+0xb15/0x1960 ? tmigr_update_events+0x280/0x740 ? _raw_spin_lock_irq+0x80/0xe0 ? __pfx__raw_spin_lock_irq+0x10/0x10 tmigr_handle_remote_up+0x603/0x7e0 ? __pfx_tmigr_handle_remote_up+0x10/0x10 ? sched_balance_trigger+0x98/0x9f0 ? sched_tick+0x221/0x5a0 ? _raw_spin_lock_irq+0x80/0xe0 ? __pfx__raw_spin_lock_irq+0x10/0x10 ? tick_nohz_handler+0x339/0x440 ? __pfx_tmigr_handle_remote_up+0x10/0x10 __walk_groups.isra.0+0x42/0x150 tmigr_handle_remote+0x1f4/0x2e0 ? __pfx_tmigr_handle_remote+0x10/0x10 ? ktime_get+0x60/0x140 ? lapic_next_event+0x11/0x20 ? clockevents_program_event+0x1d4/0x2a0 ? hrtimer_interrupt+0x322/0x780 handle_softirqs+0x16a/0x550 irq_exit_rcu+0xaf/0xe0 sysvec_apic_timer_interrupt+0x70/0x80 </IRQ> ... Allocated by task 141: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x7f/0x90 __kmalloc_node_track_caller_noprof+0x198/0x430 devm_kmalloc+0x7b/0x1e0 tc358743_probe+0xb7/0x610 i2c_device_probe+0x51d/0x880 really_probe+0x1ca/0x5c0 __driver_probe_device+0x248/0x310 driver_probe_device+0x44/0x120 __device_attach_driver+0x174/0x220 bus_for_each_drv+0x100/0x190 __device_attach+0x206/0x370 bus_probe_device+0x123/0x170 device_add+0xd25/0x1470 i2c_new_client_device+0x7a0/0xcd0 do_one_initcall+0x89/0x300 do_init_module+0x29d/0x7f0 load_module+0x4f48/0x69e0 init_module_from_file+0xe4/0x150 idempotent_init_module+0x320/0x670 __x64_sys_finit_module+0xbd/0x120 do_syscall_64+0xac/0x280 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 141: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3a/0x60 __kasan_slab_free+0x3f/0x50 kfree+0x137/0x370 release_nodes+0xa4/0x100 devres_release_group+0x1b2/0x380 i2c_device_probe+0x694/0x880 really_probe+0x1ca/0x5c0 __driver_probe_device+0x248/0x310 driver_probe_device+0x44/0x120 __device_attach_driver+0x174/0x220 bus_for_each_drv+0x100/0x190 __device_attach+0x206/0x370 bus_probe_device+0x123/0x170 device_add+0xd25/0x1470 i2c_new_client_device+0x7a0/0xcd0 do_one_initcall+0x89/0x300 do_init_module+0x29d/0x7f0 load_module+0x4f48/0x69e0 init_module_from_file+0xe4/0x150 idempotent_init_module+0x320/0x670 __x64_sys_finit_module+0xbd/0x120 do_syscall_64+0xac/0x280 entry_SYSCALL_64_after_hwframe+0x77/0x7f ... Replace timer_delete() with timer_delete_sync() and cancel_delayed_work() with cancel_delayed_work_sync() to ensure proper termination of timer and work items before resource cleanup. This bug was initially identified through static analysis. For reproduction and testing, I created a functional emulation of the tc358743 device via a kernel module and introduced faults through the debugfs interface. Уязвимость функции tc358743_probe() модуля drivers/media/i2c/tc358743.c драйвера мультимедийных устройств ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: b2c2: Fix use-after-free causing by irq_check_work in flexcop_pci_remove The original code uses cancel_delayed_work() in flexcop_pci_remove(), which does not guarantee that the delayed work item irq_check_work has fully completed if it was already running. This leads to use-after-free scenarios where flexcop_pci_remove() may free the flexcop_device while irq_check_work is still active and attempts to dereference the device. A typical race condition is illustrated below: CPU 0 (remove) | CPU 1 (delayed work callback) flexcop_pci_remove() | flexcop_pci_irq_check_work() cancel_delayed_work() | flexcop_device_kfree(fc_pci->fc_dev) | | fc = fc_pci->fc_dev; // UAF This is confirmed by a KASAN report: ================================================================== BUG: KASAN: slab-use-after-free in __run_timer_base.part.0+0x7d7/0x8c0 Write of size 8 at addr ffff8880093aa8c8 by task bash/135 ... Call Trace: <IRQ> dump_stack_lvl+0x55/0x70 print_report+0xcf/0x610 ? __run_timer_base.part.0+0x7d7/0x8c0 kasan_report+0xb8/0xf0 ? __run_timer_base.part.0+0x7d7/0x8c0 __run_timer_base.part.0+0x7d7/0x8c0 ? __pfx___run_timer_base.part.0+0x10/0x10 ? __pfx_read_tsc+0x10/0x10 ? ktime_get+0x60/0x140 ? lapic_next_event+0x11/0x20 ? clockevents_program_event+0x1d4/0x2a0 run_timer_softirq+0xd1/0x190 handle_softirqs+0x16a/0x550 irq_exit_rcu+0xaf/0xe0 sysvec_apic_timer_interrupt+0x70/0x80 </IRQ> ... Allocated by task 1: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x7f/0x90 __kmalloc_noprof+0x1be/0x460 flexcop_device_kmalloc+0x54/0xe0 flexcop_pci_probe+0x1f/0x9d0 local_pci_probe+0xdc/0x190 pci_device_probe+0x2fe/0x470 really_probe+0x1ca/0x5c0 __driver_probe_device+0x248/0x310 driver_probe_device+0x44/0x120 __driver_attach+0xd2/0x310 bus_for_each_dev+0xed/0x170 bus_add_driver+0x208/0x500 driver_register+0x132/0x460 do_one_initcall+0x89/0x300 kernel_init_freeable+0x40d/0x720 kernel_init+0x1a/0x150 ret_from_fork+0x10c/0x1a0 ret_from_fork_asm+0x1a/0x30 Freed by task 135: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 kasan_save_free_info+0x3a/0x60 __kasan_slab_free+0x3f/0x50 kfree+0x137/0x370 flexcop_device_kfree+0x32/0x50 pci_device_remove+0xa6/0x1d0 device_release_driver_internal+0xf8/0x210 pci_stop_bus_device+0x105/0x150 pci_stop_and_remove_bus_device_locked+0x15/0x30 remove_store+0xcc/0xe0 kernfs_fop_write_iter+0x2c3/0x440 vfs_write+0x871/0xd70 ksys_write+0xee/0x1c0 do_syscall_64+0xac/0x280 entry_SYSCALL_64_after_hwframe+0x77/0x7f ... Replace cancel_delayed_work() with cancel_delayed_work_sync() to ensure that the delayed work item is properly canceled and any executing delayed work has finished before the device memory is deallocated. This bug was initially identified through static analysis. To reproduce and test it, I simulated the B2C2 FlexCop PCI device in QEMU and introduced artificial delays within the flexcop_pci_irq_check_work() function to increase the likelihood of triggering the bug. Уязвимость функции flexcop_pci_remove() модуля drivers/media/pci/b2c2/flexcop-pci.c драйвера мультимедийных устройств на шине PCI ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: target: target_core_configfs: Add length check to avoid buffer overflow A buffer overflow arises from the usage of snprintf to write into the buffer "buf" in target_lu_gp_members_show function located in /drivers/target/target_core_configfs.c. This buffer is allocated with size LU_GROUP_NAME_BUF (256 bytes). snprintf(...) formats multiple strings into buf with the HBA name (hba->hba_group.cg_item), a slash character, a devicename (dev-> dev_group.cg_item) and a newline character, the total formatted string length may exceed the buffer size of 256 bytes. Since snprintf() returns the total number of bytes that would have been written (the length of %s/%sn ), this value may exceed the buffer length (256 bytes) passed to memcpy(), this will ultimately cause function memcpy reporting a buffer overflow error. An additional check of the return value of snprintf() can avoid this buffer overflow. Уязвимость функции target_lu_gp_members_show() модуля drivers/target/target_core_configfs.c драйвера TCM ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw89: fix use-after-free in rtw89_core_tx_kick_off_and_wait() There is a bug observed when rtw89_core_tx_kick_off_and_wait() tries to access already freed skb_data: BUG: KFENCE: use-after-free write in rtw89_core_tx_kick_off_and_wait drivers/net/wireless/realtek/rtw89/core.c:1110 CPU: 6 UID: 0 PID: 41377 Comm: kworker/u64:24 Not tainted 6.17.0-rc1+ #1 PREEMPT(lazy) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS edk2-20250523-14.fc42 05/23/2025 Workqueue: events_unbound cfg80211_wiphy_work [cfg80211] Use-after-free write at 0x0000000020309d9d (in kfence-#251): rtw89_core_tx_kick_off_and_wait drivers/net/wireless/realtek/rtw89/core.c:1110 rtw89_core_scan_complete drivers/net/wireless/realtek/rtw89/core.c:5338 rtw89_hw_scan_complete_cb drivers/net/wireless/realtek/rtw89/fw.c:7979 rtw89_chanctx_proceed_cb drivers/net/wireless/realtek/rtw89/chan.c:3165 rtw89_chanctx_proceed drivers/net/wireless/realtek/rtw89/chan.h:141 rtw89_hw_scan_complete drivers/net/wireless/realtek/rtw89/fw.c:8012 rtw89_mac_c2h_scanofld_rsp drivers/net/wireless/realtek/rtw89/mac.c:5059 rtw89_fw_c2h_work drivers/net/wireless/realtek/rtw89/fw.c:6758 process_one_work kernel/workqueue.c:3241 worker_thread kernel/workqueue.c:3400 kthread kernel/kthread.c:463 ret_from_fork arch/x86/kernel/process.c:154 ret_from_fork_asm arch/x86/entry/entry_64.S:258 kfence-#251: 0x0000000056e2393d-0x000000009943cb62, size=232, cache=skbuff_head_cache allocated by task 41377 on cpu 6 at 77869.159548s (0.009551s ago): __alloc_skb net/core/skbuff.c:659 __netdev_alloc_skb net/core/skbuff.c:734 ieee80211_nullfunc_get net/mac80211/tx.c:5844 rtw89_core_send_nullfunc drivers/net/wireless/realtek/rtw89/core.c:3431 rtw89_core_scan_complete drivers/net/wireless/realtek/rtw89/core.c:5338 rtw89_hw_scan_complete_cb drivers/net/wireless/realtek/rtw89/fw.c:7979 rtw89_chanctx_proceed_cb drivers/net/wireless/realtek/rtw89/chan.c:3165 rtw89_chanctx_proceed drivers/net/wireless/realtek/rtw89/chan.c:3194 rtw89_hw_scan_complete drivers/net/wireless/realtek/rtw89/fw.c:8012 rtw89_mac_c2h_scanofld_rsp drivers/net/wireless/realtek/rtw89/mac.c:5059 rtw89_fw_c2h_work drivers/net/wireless/realtek/rtw89/fw.c:6758 process_one_work kernel/workqueue.c:3241 worker_thread kernel/workqueue.c:3400 kthread kernel/kthread.c:463 ret_from_fork arch/x86/kernel/process.c:154 ret_from_fork_asm arch/x86/entry/entry_64.S:258 freed by task 1045 on cpu 9 at 77869.168393s (0.001557s ago): ieee80211_tx_status_skb net/mac80211/status.c:1117 rtw89_pci_release_txwd_skb drivers/net/wireless/realtek/rtw89/pci.c:564 rtw89_pci_release_tx_skbs.isra.0 drivers/net/wireless/realtek/rtw89/pci.c:651 rtw89_pci_release_tx drivers/net/wireless/realtek/rtw89/pci.c:676 rtw89_pci_napi_poll drivers/net/wireless/realtek/rtw89/pci.c:4238 __napi_poll net/core/dev.c:7495 net_rx_action net/core/dev.c:7557 net/core/dev.c:7684 handle_softirqs kernel/softirq.c:580 do_softirq.part.0 kernel/softirq.c:480 __local_bh_enable_ip kernel/softirq.c:407 rtw89_pci_interrupt_threadfn drivers/net/wireless/realtek/rtw89/pci.c:927 irq_thread_fn kernel/irq/manage.c:1133 irq_thread kernel/irq/manage.c:1257 kthread kernel/kthread.c:463 ret_from_fork arch/x86/kernel/process.c:154 ret_from_fork_asm arch/x86/entry/entry_64.S:258 It is a consequence of a race between the waiting and the signaling side of the completion: Waiting thread Completing thread rtw89_core_tx_kick_off_and_wait() rcu_assign_pointer(skb_data->wait, wait) /* start waiting */ wait_for_completion_timeout() rtw89_pci_tx_status() rtw89_core_tx_wait_complete() rcu_read_lock() /* signals completion and ---truncated--- Уязвимость компонента rtw89 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модулей rtw89_pci.ko и rtw89_core.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули rtw89_pci и rtw89_core в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep rtw89_pci lsmod | grep rtw89_core ``` или ``` kmod list | grep rtw89_pci kmod list | grep rtw89_core ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля rtw89_pci.ko: ``` sudo rmmod rtw89_pci ``` - команда для выгрузки модуля rtw89_core.ko: ``` sudo rmmod rtw89_core ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-rtw89.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строки: ``` install rtw89_pci /bin/false install rtw89_core /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: mvsas: Fix use-after-free bugs in mvs_work_queue During the detaching of Marvell's SAS/SATA controller, the original code calls cancel_delayed_work() in mvs_free() to cancel the delayed work item mwq->work_q. However, if mwq->work_q is already running, the cancel_delayed_work() may fail to cancel it. This can lead to use-after-free scenarios where mvs_free() frees the mvs_info while mvs_work_queue() is still executing and attempts to access the already-freed mvs_info. A typical race condition is illustrated below: CPU 0 (remove) | CPU 1 (delayed work callback) mvs_pci_remove() | mvs_free() | mvs_work_queue() cancel_delayed_work() | kfree(mvi) | | mvi-> // UAF Replace cancel_delayed_work() with cancel_delayed_work_sync() to ensure that the delayed work item is properly canceled and any executing delayed work item completes before the mvs_info is deallocated. This bug was found by static analysis. Уязвимость функции mvs_free() модуля drivers/scsi/mvsas/mv_init.c драйвера устройств SCSI ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: mscc: ocelot: Fix use-after-free caused by cyclic delayed work The origin code calls cancel_delayed_work() in ocelot_stats_deinit() to cancel the cyclic delayed work item ocelot->stats_work. However, cancel_delayed_work() may fail to cancel the work item if it is already executing. While destroy_workqueue() does wait for all pending work items in the work queue to complete before destroying the work queue, it cannot prevent the delayed work item from being rescheduled within the ocelot_check_stats_work() function. This limitation exists because the delayed work item is only enqueued into the work queue after its timer expires. Before the timer expiration, destroy_workqueue() has no visibility of this pending work item. Once the work queue appears empty, destroy_workqueue() proceeds with destruction. When the timer eventually expires, the delayed work item gets queued again, leading to the following warning: workqueue: cannot queue ocelot_check_stats_work on wq ocelot-switch-stats WARNING: CPU: 2 PID: 0 at kernel/workqueue.c:2255 __queue_work+0x875/0xaf0 ... RIP: 0010:__queue_work+0x875/0xaf0 ... RSP: 0018:ffff88806d108b10 EFLAGS: 00010086 RAX: 0000000000000000 RBX: 0000000000000101 RCX: 0000000000000027 RDX: 0000000000000027 RSI: 0000000000000004 RDI: ffff88806d123e88 RBP: ffffffff813c3170 R08: 0000000000000000 R09: ffffed100da247d2 R10: ffffed100da247d1 R11: ffff88806d123e8b R12: ffff88800c00f000 R13: ffff88800d7285c0 R14: ffff88806d0a5580 R15: ffff88800d7285a0 FS: 0000000000000000(0000) GS:ffff8880e5725000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fe18e45ea10 CR3: 0000000005e6c000 CR4: 00000000000006f0 Call Trace: <IRQ> ? kasan_report+0xc6/0xf0 ? __pfx_delayed_work_timer_fn+0x10/0x10 ? __pfx_delayed_work_timer_fn+0x10/0x10 call_timer_fn+0x25/0x1c0 __run_timer_base.part.0+0x3be/0x8c0 ? __pfx_delayed_work_timer_fn+0x10/0x10 ? rcu_sched_clock_irq+0xb06/0x27d0 ? __pfx___run_timer_base.part.0+0x10/0x10 ? try_to_wake_up+0xb15/0x1960 ? _raw_spin_lock_irq+0x80/0xe0 ? __pfx__raw_spin_lock_irq+0x10/0x10 tmigr_handle_remote_up+0x603/0x7e0 ? __pfx_tmigr_handle_remote_up+0x10/0x10 ? sched_balance_trigger+0x1c0/0x9f0 ? sched_tick+0x221/0x5a0 ? _raw_spin_lock_irq+0x80/0xe0 ? __pfx__raw_spin_lock_irq+0x10/0x10 ? tick_nohz_handler+0x339/0x440 ? __pfx_tmigr_handle_remote_up+0x10/0x10 __walk_groups.isra.0+0x42/0x150 tmigr_handle_remote+0x1f4/0x2e0 ? __pfx_tmigr_handle_remote+0x10/0x10 ? ktime_get+0x60/0x140 ? lapic_next_event+0x11/0x20 ? clockevents_program_event+0x1d4/0x2a0 ? hrtimer_interrupt+0x322/0x780 handle_softirqs+0x16a/0x550 irq_exit_rcu+0xaf/0xe0 sysvec_apic_timer_interrupt+0x70/0x80 </IRQ> ... The following diagram reveals the cause of the above warning: CPU 0 (remove) | CPU 1 (delayed work callback) mscc_ocelot_remove() | ocelot_deinit() | ocelot_check_stats_work() ocelot_stats_deinit() | cancel_delayed_work()| ... | queue_delayed_work() destroy_workqueue() | (wait a time) | __queue_work() //UAF The above scenario actually constitutes a UAF vulnerability. The ocelot_stats_deinit() is only invoked when initialization failure or resource destruction, so we must ensure that any delayed work items cannot be rescheduled. Replace cancel_delayed_work() with disable_delayed_work_sync() to guarantee proper cancellation of the delayed work item and ensure completion of any currently executing work before the workqueue is deallocated. A deadlock concern was considered: ocelot_stats_deinit() is called in a process context and is not holding any locks that the delayed work item might also need. Therefore, the use of the _sync() variant is safe here. This bug was identified through static analysis. To reproduce the issue and validate the fix, I simulated ocelot-swit ---truncated--- Уязвимость функции ocelot_stats_deinit() модуля drivers/net/ethernet/mscc/ocelot_stats.c драйвера сетевых адаптеров Microsemi ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/9p: Fix buffer overflow in USB transport layer A buffer overflow vulnerability exists in the USB 9pfs transport layer where inconsistent size validation between packet header parsing and actual data copying allows a malicious USB host to overflow heap buffers. The issue occurs because: - usb9pfs_rx_header() validates only the declared size in packet header - usb9pfs_rx_complete() uses req->actual (actual received bytes) for memcpy This allows an attacker to craft packets with small declared size (bypassing validation) but large actual payload (triggering overflow in memcpy). Add validation in usb9pfs_rx_complete() to ensure req->actual does not exceed the buffer capacity before copying data. Уязвимость функции usb9pfs_rx_complete() модуля net/9p/trans_usbg.c реализации протокола 9P ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных (классическое переполнение буфера). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/hugetlb: fix folio is still mapped when deleted Migration may be raced with fallocating hole. remove_inode_single_folio will unmap the folio if the folio is still mapped. However, it's called without folio lock. If the folio is migrated and the mapped pte has been converted to migration entry, folio_mapped() returns false, and won't unmap it. Due to extra refcount held by remove_inode_single_folio, migration fails, restores migration entry to normal pte, and the folio is mapped again. As a result, we triggered BUG in filemap_unaccount_folio. The log is as follows: BUG: Bad page cache in process hugetlb pfn:156c00 page: refcount:515 mapcount:0 mapping:0000000099fef6e1 index:0x0 pfn:0x156c00 head: order:9 mapcount:1 entire_mapcount:1 nr_pages_mapped:0 pincount:0 aops:hugetlbfs_aops ino:dcc dentry name(?):"my_hugepage_file" flags: 0x17ffffc00000c1(locked|waiters|head|node=0|zone=2|lastcpupid=0x1fffff) page_type: f4(hugetlb) page dumped because: still mapped when deleted CPU: 1 UID: 0 PID: 395 Comm: hugetlb Not tainted 6.17.0-rc5-00044-g7aac71907bde-dirty #484 NONE Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 0.0.0 02/06/2015 Call Trace: <TASK> dump_stack_lvl+0x4f/0x70 filemap_unaccount_folio+0xc4/0x1c0 __filemap_remove_folio+0x38/0x1c0 filemap_remove_folio+0x41/0xd0 remove_inode_hugepages+0x142/0x250 hugetlbfs_fallocate+0x471/0x5a0 vfs_fallocate+0x149/0x380 Hold folio lock before checking if the folio is mapped to avold race with migration. Уязвимость функции remove_inode_single_folio() модуля fs/hugetlbfs/inode.c ядра операционной системы Linux связана с недостаточной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: kmsan: fix out-of-bounds access to shadow memory Running sha224_kunit on a KMSAN-enabled kernel results in a crash in kmsan_internal_set_shadow_origin(): BUG: unable to handle page fault for address: ffffbc3840291000 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 1810067 P4D 1810067 PUD 192d067 PMD 3c17067 PTE 0 Oops: 0000 [#1] SMP NOPTI CPU: 0 UID: 0 PID: 81 Comm: kunit_try_catch Tainted: G N 6.17.0-rc3 #10 PREEMPT(voluntary) Tainted: [N]=TEST Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.17.0-0-gb52ca86e094d-prebuilt.qemu.org 04/01/2014 RIP: 0010:kmsan_internal_set_shadow_origin+0x91/0x100 [...] Call Trace: <TASK> __msan_memset+0xee/0x1a0 sha224_final+0x9e/0x350 test_hash_buffer_overruns+0x46f/0x5f0 ? kmsan_get_shadow_origin_ptr+0x46/0xa0 ? __pfx_test_hash_buffer_overruns+0x10/0x10 kunit_try_run_case+0x198/0xa00 This occurs when memset() is called on a buffer that is not 4-byte aligned and extends to the end of a guard page, i.e. the next page is unmapped. The bug is that the loop at the end of kmsan_internal_set_shadow_origin() accesses the wrong shadow memory bytes when the address is not 4-byte aligned. Since each 4 bytes are associated with an origin, it rounds the address and size so that it can access all the origins that contain the buffer. However, when it checks the corresponding shadow bytes for a particular origin, it incorrectly uses the original unrounded shadow address. This results in reads from shadow memory beyond the end of the buffer's shadow memory, which crashes when that memory is not mapped. To fix this, correctly align the shadow address before accessing the 4 shadow bytes corresponding to each origin. Уязвимость модулей mm/kmsan/core.c и mm/kmsan/kmsan_test.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/proc/task_mmu: check p->vec_buf for NULL When the PAGEMAP_SCAN ioctl is invoked with vec_len = 0 reaches pagemap_scan_backout_range(), kernel panics with null-ptr-deref: [ 44.936808] Oops: general protection fault, probably for non-canonical address 0xdffffc0000000000: 0000 [#1] SMP DEBUG_PAGEALLOC KASAN NOPTI [ 44.937797] KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] [ 44.938391] CPU: 1 UID: 0 PID: 2480 Comm: reproducer Not tainted 6.17.0-rc6 #22 PREEMPT(none) [ 44.939062] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 [ 44.939935] RIP: 0010:pagemap_scan_thp_entry.isra.0+0x741/0xa80 <snip registers, unreliable trace> [ 44.946828] Call Trace: [ 44.947030] <TASK> [ 44.949219] pagemap_scan_pmd_entry+0xec/0xfa0 [ 44.952593] walk_pmd_range.isra.0+0x302/0x910 [ 44.954069] walk_pud_range.isra.0+0x419/0x790 [ 44.954427] walk_p4d_range+0x41e/0x620 [ 44.954743] walk_pgd_range+0x31e/0x630 [ 44.955057] __walk_page_range+0x160/0x670 [ 44.956883] walk_page_range_mm+0x408/0x980 [ 44.958677] walk_page_range+0x66/0x90 [ 44.958984] do_pagemap_scan+0x28d/0x9c0 [ 44.961833] do_pagemap_cmd+0x59/0x80 [ 44.962484] __x64_sys_ioctl+0x18d/0x210 [ 44.962804] do_syscall_64+0x5b/0x290 [ 44.963111] entry_SYSCALL_64_after_hwframe+0x76/0x7e vec_len = 0 in pagemap_scan_init_bounce_buffer() means no buffers are allocated and p->vec_buf remains set to NULL. This breaks an assumption made later in pagemap_scan_backout_range(), that page_region is always allocated for p->vec_buf_index. Fix it by explicitly checking p->vec_buf for NULL before dereferencing. Other sites that might run into same deref-issue are already (directly or transitively) protected by checking p->vec_buf. Note: From PAGEMAP_SCAN man page, it seems vec_len = 0 is valid when no output is requested and it's only the side effects caller is interested in, hence it passes check in pagemap_scan_get_args(). This issue was found by syzkaller. Уязвимость функции pagemap_scan_backout_range() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: afs: Fix potential null pointer dereference in afs_put_server afs_put_server() accessed server->debug_id before the NULL check, which could lead to a null pointer dereference. Move the debug_id assignment, ensuring we never dereference a NULL server pointer. Уязвимость функции afs_put_server afs_put_server() ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/gma500: Fix null dereference in hdmi teardown pci_set_drvdata sets the value of pdev->driver_data to NULL, after which the driver_data obtained from the same dev is dereferenced in oaktrail_hdmi_i2c_exit, and the i2c_dev is extracted from it. To prevent this, swap these calls. Found by Linux Verification Center (linuxtesting.org) with Svacer. Уязвимость модуля drivers/gpu/drm/gma500/oaktrail_hdmi.c ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/smc: fix warning in smc_rx_splice() when calling get_page() smc_lo_register_dmb() allocates DMB buffers with kzalloc(), which are later passed to get_page() in smc_rx_splice(). Since kmalloc memory is not page-backed, this triggers WARN_ON_ONCE() in get_page() and prevents holding a refcount on the buffer. This can lead to use-after-free if the memory is released before splice_to_pipe() completes. Use folio_alloc() instead, ensuring DMBs are page-backed and safe for get_page(). WARNING: CPU: 18 PID: 12152 at ./include/linux/mm.h:1330 smc_rx_splice+0xaf8/0xe20 [smc] CPU: 18 UID: 0 PID: 12152 Comm: smcapp Kdump: loaded Not tainted 6.17.0-rc3-11705-g9cf4672ecfee #10 NONE Hardware name: IBM 3931 A01 704 (z/VM 7.4.0) Krnl PSW : 0704e00180000000 000793161032696c (smc_rx_splice+0xafc/0xe20 [smc]) R:0 T:1 IO:1 EX:1 Key:0 M:1 W:0 P:0 AS:3 CC:2 PM:0 RI:0 EA:3 Krnl GPRS: 0000000000000000 001cee80007d3001 00077400000000f8 0000000000000005 0000000000000001 001cee80007d3006 0007740000001000 001c000000000000 000000009b0c99e0 0000000000001000 001c0000000000f8 001c000000000000 000003ffcc6f7c88 0007740003e98000 0007931600000005 000792969b2ff7b8 Krnl Code: 0007931610326960: af000000 mc 0,0 0007931610326964: a7f4ff43 brc 15,00079316103267ea #0007931610326968: af000000 mc 0,0 >000793161032696c: a7f4ff3f brc 15,00079316103267ea 0007931610326970: e320f1000004 lg %r2,256(%r15) 0007931610326976: c0e53fd1b5f5 brasl %r14,000793168fd5d560 000793161032697c: a7f4fbb5 brc 15,00079316103260e6 0007931610326980: b904002b lgr %r2,%r11 Call Trace: smc_rx_splice+0xafc/0xe20 [smc] smc_rx_splice+0x756/0xe20 [smc]) smc_rx_recvmsg+0xa74/0xe00 [smc] smc_splice_read+0x1ce/0x3b0 [smc] sock_splice_read+0xa2/0xf0 do_splice_read+0x198/0x240 splice_file_to_pipe+0x7e/0x110 do_splice+0x59e/0xde0 __do_splice+0x11a/0x2d0 __s390x_sys_splice+0x140/0x1f0 __do_syscall+0x122/0x280 system_call+0x6e/0x90 Last Breaking-Event-Address: smc_rx_splice+0x960/0xe20 [smc] ---[ end trace 0000000000000000 ]--- Уязвимость функции smc_rx_splice() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: qcom: audioreach: fix potential null pointer dereference It is possible that the topology parsing function audioreach_widget_load_module_common() could return NULL or an error pointer. Add missing NULL check so that we do not dereference it. Уязвимость функции audioreach_widget_load_module_common() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: uvcvideo: Mark invalid entities with id UVC_INVALID_ENTITY_ID Per UVC 1.1+ specification 3.7.2, units and terminals must have a non-zero unique ID. ``` Each Unit and Terminal within the video function is assigned a unique identification number, the Unit ID (UID) or Terminal ID (TID), contained in the bUnitID or bTerminalID field of the descriptor. The value 0x00 is reserved for undefined ID, ``` If we add a new entity with id 0 or a duplicated ID, it will be marked as UVC_INVALID_ENTITY_ID. In a previous attempt commit 3dd075fe8ebb ("media: uvcvideo: Require entities to have a non-zero unique ID"), we ignored all the invalid units, this broke a lot of non-compatible cameras. Hopefully we are more lucky this time. This also prevents some syzkaller reproducers from triggering warnings due to a chain of entities referring to themselves. In one particular case, an Output Unit is connected to an Input Unit, both with the same ID of 1. But when looking up for the source ID of the Output Unit, that same entity is found instead of the input entity, which leads to such warnings. In another case, a backward chain was considered finished as the source ID was 0. Later on, that entity was found, but its pads were not valid. Here is a sample stack trace for one of those cases. [ 20.650953] usb 1-1: new high-speed USB device number 2 using dummy_hcd [ 20.830206] usb 1-1: Using ep0 maxpacket: 8 [ 20.833501] usb 1-1: config 0 descriptor?? [ 21.038518] usb 1-1: string descriptor 0 read error: -71 [ 21.038893] usb 1-1: Found UVC 0.00 device <unnamed> (2833:0201) [ 21.039299] uvcvideo 1-1:0.0: Entity type for entity Output 1 was not initialized! [ 21.041583] uvcvideo 1-1:0.0: Entity type for entity Input 1 was not initialized! [ 21.042218] ------------[ cut here ]------------ [ 21.042536] WARNING: CPU: 0 PID: 9 at drivers/media/mc/mc-entity.c:1147 media_create_pad_link+0x2c4/0x2e0 [ 21.043195] Modules linked in: [ 21.043535] CPU: 0 UID: 0 PID: 9 Comm: kworker/0:1 Not tainted 6.11.0-rc7-00030-g3480e43aeccf #444 [ 21.044101] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.15.0-1 04/01/2014 [ 21.044639] Workqueue: usb_hub_wq hub_event [ 21.045100] RIP: 0010:media_create_pad_link+0x2c4/0x2e0 [ 21.045508] Code: fe e8 20 01 00 00 b8 f4 ff ff ff 48 83 c4 30 5b 41 5c 41 5d 41 5e 41 5f 5d c3 cc cc cc cc 0f 0b eb e9 0f 0b eb 0a 0f 0b eb 06 <0f> 0b eb 02 0f 0b b8 ea ff ff ff eb d4 66 2e 0f 1f 84 00 00 00 00 [ 21.046801] RSP: 0018:ffffc9000004b318 EFLAGS: 00010246 [ 21.047227] RAX: ffff888004e5d458 RBX: 0000000000000000 RCX: ffffffff818fccf1 [ 21.047719] RDX: 000000000000007b RSI: 0000000000000000 RDI: ffff888004313290 [ 21.048241] RBP: ffff888004313290 R08: 0001ffffffffffff R09: 0000000000000000 [ 21.048701] R10: 0000000000000013 R11: 0001888004313290 R12: 0000000000000003 [ 21.049138] R13: ffff888004313080 R14: ffff888004313080 R15: 0000000000000000 [ 21.049648] FS: 0000000000000000(0000) GS:ffff88803ec00000(0000) knlGS:0000000000000000 [ 21.050271] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 21.050688] CR2: 0000592cc27635b0 CR3: 000000000431c000 CR4: 0000000000750ef0 [ 21.051136] PKRU: 55555554 [ 21.051331] Call Trace: [ 21.051480] <TASK> [ 21.051611] ? __warn+0xc4/0x210 [ 21.051861] ? media_create_pad_link+0x2c4/0x2e0 [ 21.052252] ? report_bug+0x11b/0x1a0 [ 21.052540] ? trace_hardirqs_on+0x31/0x40 [ 21.052901] ? handle_bug+0x3d/0x70 [ 21.053197] ? exc_invalid_op+0x1a/0x50 [ 21.053511] ? asm_exc_invalid_op+0x1a/0x20 [ 21.053924] ? media_create_pad_link+0x91/0x2e0 [ 21.054364] ? media_create_pad_link+0x2c4/0x2e0 [ 21.054834] ? media_create_pad_link+0x91/0x2e0 [ 21.055131] ? _raw_spin_unlock+0x1e/0x40 [ 21.055441] ? __v4l2_device_register_subdev+0x202/0x210 [ 21.055837] uvc_mc_register_entities+0x358/0x400 [ 21.056144] uvc_register_chains+0x1 ---truncated--- [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipvs: Defer ip_vs_ftp unregister during netns cleanup On the netns cleanup path, __ip_vs_ftp_exit() may unregister ip_vs_ftp before connections with valid cp->app pointers are flushed, leading to a use-after-free. Fix this by introducing a global `exiting_module` flag, set to true in ip_vs_ftp_exit() before unregistering the pernet subsystem. In __ip_vs_ftp_exit(), skip ip_vs_ftp unregister if called during netns cleanup (when exiting_module is false) and defer it to __ip_vs_cleanup_batch(), which unregisters all apps after all connections are flushed. If called during module exit, unregister ip_vs_ftp immediately. Уязвимость компонента net/netfilter/ipvs ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ip_vs.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль ip_vs в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ip_vs ``` или ``` kmod list | grep ip_vs ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ip_vs ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install ip_vs /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: essiv - Check ssize for decryption and in-place encryption Move the ssize check to the start in essiv_aead_crypt so that it's also checked for decryption and in-place encryption. Уязвимость функции essiv_aead_crypt() компонента essiv ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля essiv.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль essiv в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep essiv ``` или ``` kmod list | grep essiv ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod essiv ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install essiv /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: peak_usb: fix shift-out-of-bounds issue Explicitly uses a 64-bit constant when the number of bits used for its shifting is 32 (which is the case for PC CAN FD interfaces supported by this driver). [mkl: update subject, apply manually] Уязвимость функции peak_usb_update_ts_now() модуля drivers/net/can/usb/peak_usb/pcan_usb_core.c драйвера сетевых устройств CAN ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: dynevent: Add a missing lockdown check on dynevent Since dynamic_events interface on tracefs is compatible with kprobe_events and uprobe_events, it should also check the lockdown status and reject if it is set. Уязвимость функции dyn_event_open() модуля kernel/trace/trace_dynevent.c поддержки трассировки ядра операционной системы Linux связана с отсутствием проверки состояния. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vhost: Take a reference on the task in struct vhost_task. vhost_task_create() creates a task and keeps a reference to its task_struct. That task may exit early via a signal and its task_struct will be released. A pending vhost_task_wake() will then attempt to wake the task and access a task_struct which is no longer there. Acquire a reference on the task_struct while creating the thread and release the reference while the struct vhost_task itself is removed. If the task exits early due to a signal, then the vhost_task_wake() will still access a valid task_struct. The wake is safe and will be skipped in this case. Уязвимость компонента vhost_task.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Don't (re)check L1 intercepts when completing userspace I/O When completing emulation of instruction that generated a userspace exit for I/O, don't recheck L1 intercepts as KVM has already finished that phase of instruction execution, i.e. has already committed to allowing L2 to perform I/O. If L1 (or host userspace) modifies the I/O permission bitmaps during the exit to userspace, KVM will treat the access as being intercepted despite already having emulated the I/O access. Pivot on EMULTYPE_NO_DECODE to detect that KVM is completing emulation. Of the three users of EMULTYPE_NO_DECODE, only complete_emulated_io() (the intended "recipient") can reach the code in question. gp_interception()'s use is mutually exclusive with is_guest_mode(), and complete_emulated_insn_gp() unconditionally pairs EMULTYPE_NO_DECODE with EMULTYPE_SKIP. The bad behavior was detected by a syzkaller program that toggles port I/O interception during the userspace I/O exit, ultimately resulting in a WARN on vcpu->arch.pio.count being non-zero due to KVM no completing emulation of the I/O instruction. WARNING: CPU: 23 PID: 1083 at arch/x86/kvm/x86.c:8039 emulator_pio_in_out+0x154/0x170 [kvm] Modules linked in: kvm_intel kvm irqbypass CPU: 23 UID: 1000 PID: 1083 Comm: repro Not tainted 6.16.0-rc5-c1610d2d66b1-next-vm #74 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 0.0.0 02/06/2015 RIP: 0010:emulator_pio_in_out+0x154/0x170 [kvm] PKRU: 55555554 Call Trace: <TASK> kvm_fast_pio+0xd6/0x1d0 [kvm] vmx_handle_exit+0x149/0x610 [kvm_intel] kvm_arch_vcpu_ioctl_run+0xda8/0x1ac0 [kvm] kvm_vcpu_ioctl+0x244/0x8c0 [kvm] __x64_sys_ioctl+0x8a/0xd0 do_syscall_64+0x5d/0xc60 entry_SYSCALL_64_after_hwframe+0x4b/0x53 </TASK> Уязвимость функции complete_emulated_io() ядра операционной системы Linux связана с ошибками обработки разрешений. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H', score=7.9) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/9p: fix double req put in p9_fd_cancelled Syzkaller reports a KASAN issue as below: general protection fault, probably for non-canonical address 0xfbd59c0000000021: 0000 [#1] PREEMPT SMP KASAN NOPTI KASAN: maybe wild-memory-access in range [0xdead000000000108-0xdead00000000010f] CPU: 0 PID: 5083 Comm: syz-executor.2 Not tainted 6.1.134-syzkaller-00037-g855bd1d7d838 #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:__list_del include/linux/list.h:114 [inline] RIP: 0010:__list_del_entry include/linux/list.h:137 [inline] RIP: 0010:list_del include/linux/list.h:148 [inline] RIP: 0010:p9_fd_cancelled+0xe9/0x200 net/9p/trans_fd.c:734 Call Trace: <TASK> p9_client_flush+0x351/0x440 net/9p/client.c:614 p9_client_rpc+0xb6b/0xc70 net/9p/client.c:734 p9_client_version net/9p/client.c:920 [inline] p9_client_create+0xb51/0x1240 net/9p/client.c:1027 v9fs_session_init+0x1f0/0x18f0 fs/9p/v9fs.c:408 v9fs_mount+0xba/0xcb0 fs/9p/vfs_super.c:126 legacy_get_tree+0x108/0x220 fs/fs_context.c:632 vfs_get_tree+0x8e/0x300 fs/super.c:1573 do_new_mount fs/namespace.c:3056 [inline] path_mount+0x6a6/0x1e90 fs/namespace.c:3386 do_mount fs/namespace.c:3399 [inline] __do_sys_mount fs/namespace.c:3607 [inline] __se_sys_mount fs/namespace.c:3584 [inline] __x64_sys_mount+0x283/0x300 fs/namespace.c:3584 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x35/0x80 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x6e/0xd8 This happens because of a race condition between: - The 9p client sending an invalid flush request and later cleaning it up; - The 9p client in p9_read_work() canceled all pending requests. Thread 1 Thread 2 ... p9_client_create() ... p9_fd_create() ... p9_conn_create() ... // start Thread 2 INIT_WORK(&m->rq, p9_read_work); p9_read_work() ... p9_client_rpc() ... ... p9_conn_cancel() ... spin_lock(&m->req_lock); ... p9_fd_cancelled() ... ... spin_unlock(&m->req_lock); // status rewrite p9_client_cb(m->client, req, REQ_STATUS_ERROR) // first remove list_del(&req->req_list); ... spin_lock(&m->req_lock) ... // second remove list_del(&req->req_list); spin_unlock(&m->req_lock) ... Commit 74d6a5d56629 ("9p/trans_fd: Fix concurrency del of req_list in p9_fd_cancelled/p9_read_work") fixes a concurrency issue in the 9p filesystem client where the req_list could be deleted simultaneously by both p9_read_work and p9_fd_cancelled functions, but for the case where req->status equals REQ_STATUS_RCVD. Update the check for req->status in p9_fd_cancelled to skip processing not just received requests, but anything that is not SENT, as whatever changed the state from SENT also removed the request from its list. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. [updated the check from status == RECV || status == ERROR to status != SENT] Уязвимость функции p9_read_work() ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: binder: fix double-free in dbitmap A process might fail to allocate a new bitmap when trying to expand its proc->dmap. In that case, dbitmap_grow() fails and frees the old bitmap via dbitmap_free(). However, the driver calls dbitmap_free() again when the same process terminates, leading to a double-free error: ================================================================== BUG: KASAN: double-free in binder_proc_dec_tmpref+0x2e0/0x55c Free of addr ffff00000b7c1420 by task kworker/9:1/209 CPU: 9 UID: 0 PID: 209 Comm: kworker/9:1 Not tainted 6.17.0-rc6-dirty #5 PREEMPT Hardware name: linux,dummy-virt (DT) Workqueue: events binder_deferred_func Call trace: kfree+0x164/0x31c binder_proc_dec_tmpref+0x2e0/0x55c binder_deferred_func+0xc24/0x1120 process_one_work+0x520/0xba4 [...] Allocated by task 448: __kmalloc_noprof+0x178/0x3c0 bitmap_zalloc+0x24/0x30 binder_open+0x14c/0xc10 [...] Freed by task 449: kfree+0x184/0x31c binder_inc_ref_for_node+0xb44/0xe44 binder_transaction+0x29b4/0x7fbc binder_thread_write+0x1708/0x442c binder_ioctl+0x1b50/0x2900 [...] ================================================================== Fix this issue by marking proc->map NULL in dbitmap_free(). Уязвимость функции dbitmap_free() ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bus: fsl-mc: Check return value of platform_get_resource() platform_get_resource() returns NULL in case of failure, so check its return value and propagate the error in order to prevent NULL pointer dereference. Уязвимость функции platform_get_resource() ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pinctrl: check the return value of pinmux_ops::get_function_name() While the API contract in docs doesn't specify it explicitly, the generic implementation of the get_function_name() callback from struct pinmux_ops - pinmux_generic_get_function_name() - can fail and return NULL. This is already checked in pinmux_check_ops() so add a similar check in pinmux_func_name_to_selector() instead of passing the returned pointer right down to strcmp() where the NULL can get dereferenced. This is normal operation when adding new pinfunctions. Уязвимость функции pinmux_func_name_to_selector() модуля drivers/pinctrl/pinmux.c драйвера контроллеров выводов PINCTRL ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tee: fix register_shm_helper() In register_shm_helper(), fix incorrect error handling for a call to iov_iter_extract_pages(). A case is missing for when iov_iter_extract_pages() only got some pages and return a number larger than 0, but not the requested amount. This fixes a possible NULL pointer dereference following a bad input from ioctl(TEE_IOC_SHM_REGISTER) where parts of the buffer isn't mapped. Уязвимость функции register_shm_helper() модуля drivers/tee/tee_shm.c драйвера доверенной среды выполнения ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: endpoint: pci-epf-test: Add NULL check for DMA channels before release The fields dma_chan_tx and dma_chan_rx of the struct pci_epf_test can be NULL even after EPF initialization. Then it is prudent to check that they have non-NULL values before releasing the channels. Add the checks in pci_epf_test_clean_dma_chan(). Without the checks, NULL pointer dereferences happen and they can lead to a kernel panic in some cases: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000050 Call trace: dma_release_channel+0x2c/0x120 (P) pci_epf_test_epc_deinit+0x94/0xc0 [pci_epf_test] pci_epc_deinit_notify+0x74/0xc0 tegra_pcie_ep_pex_rst_irq+0x250/0x5d8 irq_thread_fn+0x34/0xb8 irq_thread+0x18c/0x2e8 kthread+0x14c/0x210 ret_from_fork+0x10/0x20 [mani: trimmed the stack trace] Уязвимость функции pci_epf_test_clean_dma_chan() модуля drivers/pci/endpoint/functions/pci-epf-test.c драйвера устройств PCI ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: remoteproc: pru: Fix potential NULL pointer dereference in pru_rproc_set_ctable() pru_rproc_set_ctable() accessed rproc->priv before the IS_ERR_OR_NULL check, which could lead to a null pointer dereference. Move the pru assignment, ensuring we never dereference a NULL rproc pointer. Уязвимость компонента pru ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Input: uinput - zero-initialize uinput_ff_upload_compat to avoid info leak Struct ff_effect_compat is embedded twice inside uinput_ff_upload_compat, contains internal padding. In particular, there is a hole after struct ff_replay to satisfy alignment requirements for the following union member. Without clearing the structure, copy_to_user() may leak stack data to userspace. Initialize ff_up_compat to zero before filling valid fields. Уязвимость функции uinput_ff_upload_to_user() модуля drivers/input/misc/uinput.c драйвера устройств ввода ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: misc: fastrpc: fix possible map leak in fastrpc_put_args copy_to_user() failure would cause an early return without cleaning up the fdlist, which has been updated by the DSP. This could lead to map leak. Fix this by redirecting to a cleanup path on failure, ensuring that all mapped buffers are properly released before returning. Уязвимость функции fastrpc_put_args() модуля drivers/misc/fastrpc.c ядра операционной системы Linux связана с неправильным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: simplefb: Fix use after free in simplefb_detach_genpds() The pm_domain cleanup can not be devres managed as it uses struct simplefb_par which is allocated within struct fb_info by framebuffer_alloc(). This allocation is explicitly freed by unregister_framebuffer() in simplefb_remove(). Devres managed cleanup runs after the device remove call and thus can no longer access struct simplefb_par. Call simplefb_detach_genpds() explicitly from simplefb_destroy() like the cleanup functions for clocks and regulators. Fixes an use after free on M2 Mac mini during aperture_remove_conflicting_devices() using the downstream asahi kernel with Debian's kernel config. For unknown reasons this started to consistently dereference an invalid pointer in v6.16.3 based kernels. [ 6.736134] BUG: KASAN: slab-use-after-free in simplefb_detach_genpds+0x58/0x220 [ 6.743545] Read of size 4 at addr ffff8000304743f0 by task (udev-worker)/227 [ 6.750697] [ 6.752182] CPU: 6 UID: 0 PID: 227 Comm: (udev-worker) Tainted: G S 6.16.3-asahi+ #16 PREEMPTLAZY [ 6.752186] Tainted: [S]=CPU_OUT_OF_SPEC [ 6.752187] Hardware name: Apple Mac mini (M2, 2023) (DT) [ 6.752189] Call trace: [ 6.752190] show_stack+0x34/0x98 (C) [ 6.752194] dump_stack_lvl+0x60/0x80 [ 6.752197] print_report+0x17c/0x4d8 [ 6.752201] kasan_report+0xb4/0x100 [ 6.752206] __asan_report_load4_noabort+0x20/0x30 [ 6.752209] simplefb_detach_genpds+0x58/0x220 [ 6.752213] devm_action_release+0x50/0x98 [ 6.752216] release_nodes+0xd0/0x2c8 [ 6.752219] devres_release_all+0xfc/0x178 [ 6.752221] device_unbind_cleanup+0x28/0x168 [ 6.752224] device_release_driver_internal+0x34c/0x470 [ 6.752228] device_release_driver+0x20/0x38 [ 6.752231] bus_remove_device+0x1b0/0x380 [ 6.752234] device_del+0x314/0x820 [ 6.752238] platform_device_del+0x3c/0x1e8 [ 6.752242] platform_device_unregister+0x20/0x50 [ 6.752246] aperture_detach_platform_device+0x1c/0x30 [ 6.752250] aperture_detach_devices+0x16c/0x290 [ 6.752253] aperture_remove_conflicting_devices+0x34/0x50 ... [ 6.752343] [ 6.967409] Allocated by task 62: [ 6.970724] kasan_save_stack+0x3c/0x70 [ 6.974560] kasan_save_track+0x20/0x40 [ 6.978397] kasan_save_alloc_info+0x40/0x58 [ 6.982670] __kasan_kmalloc+0xd4/0xd8 [ 6.986420] __kmalloc_noprof+0x194/0x540 [ 6.990432] framebuffer_alloc+0xc8/0x130 [ 6.994444] simplefb_probe+0x258/0x2378 ... [ 7.054356] [ 7.055838] Freed by task 227: [ 7.058891] kasan_save_stack+0x3c/0x70 [ 7.062727] kasan_save_track+0x20/0x40 [ 7.066565] kasan_save_free_info+0x4c/0x80 [ 7.070751] __kasan_slab_free+0x6c/0xa0 [ 7.074675] kfree+0x10c/0x380 [ 7.077727] framebuffer_release+0x5c/0x90 [ 7.081826] simplefb_destroy+0x1b4/0x2c0 [ 7.085837] put_fb_info+0x98/0x100 [ 7.089326] unregister_framebuffer+0x178/0x320 [ 7.093861] simplefb_remove+0x3c/0x60 [ 7.097611] platform_remove+0x60/0x98 [ 7.101361] device_remove+0xb8/0x160 [ 7.105024] device_release_driver_internal+0x2fc/0x470 [ 7.110256] device_release_driver+0x20/0x38 [ 7.114529] bus_remove_device+0x1b0/0x380 [ 7.118628] device_del+0x314/0x820 [ 7.122116] platform_device_del+0x3c/0x1e8 [ 7.126302] platform_device_unregister+0x20/0x50 [ 7.131012] aperture_detach_platform_device+0x1c/0x30 [ 7.136157] aperture_detach_devices+0x16c/0x290 [ 7.140779] aperture_remove_conflicting_devices+0x34/0x50 ... Уязвимость компонента simplefb ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: SVM: Skip fastpath emulation on VM-Exit if next RIP isn't valid Skip the WRMSR and HLT fastpaths in SVM's VM-Exit handler if the next RIP isn't valid, e.g. because KVM is running with nrips=false. SVM must decode and emulate to skip the instruction if the CPU doesn't provide the next RIP, and getting the instruction bytes to decode requires reading guest memory. Reading guest memory through the emulator can fault, i.e. can sleep, which is disallowed since the fastpath handlers run with IRQs disabled. BUG: sleeping function called from invalid context at ./include/linux/uaccess.h:106 in_atomic(): 1, irqs_disabled(): 1, non_block: 0, pid: 32611, name: qemu preempt_count: 1, expected: 0 INFO: lockdep is turned off. irq event stamp: 30580 hardirqs last enabled at (30579): [<ffffffffc08b2527>] vcpu_run+0x1787/0x1db0 [kvm] hardirqs last disabled at (30580): [<ffffffffb4f62e32>] __schedule+0x1e2/0xed0 softirqs last enabled at (30570): [<ffffffffb4247a64>] fpu_swap_kvm_fpstate+0x44/0x210 softirqs last disabled at (30568): [<ffffffffb4247a64>] fpu_swap_kvm_fpstate+0x44/0x210 CPU: 298 UID: 0 PID: 32611 Comm: qemu Tainted: G U 6.16.0-smp--e6c618b51cfe-sleep #782 NONE Tainted: [U]=USER Hardware name: Google Astoria-Turin/astoria, BIOS 0.20241223.2-0 01/17/2025 Call Trace: <TASK> dump_stack_lvl+0x7d/0xb0 __might_resched+0x271/0x290 __might_fault+0x28/0x80 kvm_vcpu_read_guest_page+0x8d/0xc0 [kvm] kvm_fetch_guest_virt+0x92/0xc0 [kvm] __do_insn_fetch_bytes+0xf3/0x1e0 [kvm] x86_decode_insn+0xd1/0x1010 [kvm] x86_emulate_instruction+0x105/0x810 [kvm] __svm_skip_emulated_instruction+0xc4/0x140 [kvm_amd] handle_fastpath_invd+0xc4/0x1a0 [kvm] vcpu_run+0x11a1/0x1db0 [kvm] kvm_arch_vcpu_ioctl_run+0x5cc/0x730 [kvm] kvm_vcpu_ioctl+0x578/0x6a0 [kvm] __se_sys_ioctl+0x6d/0xb0 do_syscall_64+0x8a/0x2c0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x7f479d57a94b </TASK> Note, this is essentially a reapply of commit 5c30e8101e8d ("KVM: SVM: Skip WRMSR fastpath on VM-Exit if next RIP isn't valid"), but with different justification (KVM now grabs SRCU when skipping the instruction for other reasons). Уязвимость функции svm_vcpu_pre_run() модуля arch/x86/kvm/svm/svm.c подсистемы виртуализации на платформе x86 ядра операционной системы Linux связана с недостаточной проверкой исключительных состояний. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: Fix race condition in RPC handle list access The 'sess->rpc_handle_list' XArray manages RPC handles within a ksmbd session. Access to this list is intended to be protected by 'sess->rpc_lock' (an rw_semaphore). However, the locking implementation was flawed, leading to potential race conditions. In ksmbd_session_rpc_open(), the code incorrectly acquired only a read lock before calling xa_store() and xa_erase(). Since these operations modify the XArray structure, a write lock is required to ensure exclusive access and prevent data corruption from concurrent modifications. Furthermore, ksmbd_session_rpc_method() accessed the list using xa_load() without holding any lock at all. This could lead to reading inconsistent data or a potential use-after-free if an entry is concurrently removed and the pointer is dereferenced. Fix these issues by: 1. Using down_write() and up_write() in ksmbd_session_rpc_open() to ensure exclusive access during XArray modification, and ensuring the lock is correctly released on error paths. 2. Adding down_read() and up_read() in ksmbd_session_rpc_method() to safely protect the lookup. Уязвимость компонента ksmbd ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/ksm: fix flag-dropping behavior in ksm_madvise syzkaller discovered the following crash: (kernel BUG) [ 44.607039] ------------[ cut here ]------------ [ 44.607422] kernel BUG at mm/userfaultfd.c:2067! [ 44.608148] Oops: invalid opcode: 0000 [#1] SMP DEBUG_PAGEALLOC KASAN NOPTI [ 44.608814] CPU: 1 UID: 0 PID: 2475 Comm: reproducer Not tainted 6.16.0-rc6 #1 PREEMPT(none) [ 44.609635] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 [ 44.610695] RIP: 0010:userfaultfd_release_all+0x3a8/0x460 <snip other registers, drop unreliable trace> [ 44.617726] Call Trace: [ 44.617926] <TASK> [ 44.619284] userfaultfd_release+0xef/0x1b0 [ 44.620976] __fput+0x3f9/0xb60 [ 44.621240] fput_close_sync+0x110/0x210 [ 44.622222] __x64_sys_close+0x8f/0x120 [ 44.622530] do_syscall_64+0x5b/0x2f0 [ 44.622840] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 44.623244] RIP: 0033:0x7f365bb3f227 Kernel panics because it detects UFFD inconsistency during userfaultfd_release_all(). Specifically, a VMA which has a valid pointer to vma->vm_userfaultfd_ctx, but no UFFD flags in vma->vm_flags. The inconsistency is caused in ksm_madvise(): when user calls madvise() with MADV_UNMEARGEABLE on a VMA that is registered for UFFD in MINOR mode, it accidentally clears all flags stored in the upper 32 bits of vma->vm_flags. Assuming x86_64 kernel build, unsigned long is 64-bit and unsigned int and int are 32-bit wide. This setup causes the following mishap during the &= ~VM_MERGEABLE assignment. VM_MERGEABLE is a 32-bit constant of type unsigned int, 0x8000'0000. After ~ is applied, it becomes 0x7fff'ffff unsigned int, which is then promoted to unsigned long before the & operation. This promotion fills upper 32 bits with leading 0s, as we're doing unsigned conversion (and even for a signed conversion, this wouldn't help as the leading bit is 0). & operation thus ends up AND-ing vm_flags with 0x0000'0000'7fff'ffff instead of intended 0xffff'ffff'7fff'ffff and hence accidentally clears the upper 32-bits of its value. Fix it by changing `VM_MERGEABLE` constant to unsigned long, using the BIT() macro. Note: other VM_* flags are not affected: This only happens to the VM_MERGEABLE flag, as the other VM_* flags are all constants of type int and after ~ operation, they end up with leading 1 and are thus converted to unsigned long with leading 1s. Note 2: After commit 31defc3b01d9 ("userfaultfd: remove (VM_)BUG_ON()s"), this is no longer a kernel BUG, but a WARNING at the same place: [ 45.595973] WARNING: CPU: 1 PID: 2474 at mm/userfaultfd.c:2067 but the root-cause (flag-drop) remains the same. [akpm@linux-foundation.org: rust bindgen wasn't able to handle BIT(), from Miguel] Уязвимость макроопределения VM_MERGEABLE в модуле include/linux/mm.h ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: Fix race condition in kprobe initialization causing NULL pointer dereference There is a critical race condition in kprobe initialization that can lead to NULL pointer dereference and kernel crash. [1135630.084782] Unable to handle kernel paging request at virtual address 0000710a04630000 ... [1135630.260314] pstate: 404003c9 (nZcv DAIF +PAN -UAO) [1135630.269239] pc : kprobe_perf_func+0x30/0x260 [1135630.277643] lr : kprobe_dispatcher+0x44/0x60 [1135630.286041] sp : ffffaeff4977fa40 [1135630.293441] x29: ffffaeff4977fa40 x28: ffffaf015340e400 [1135630.302837] x27: 0000000000000000 x26: 0000000000000000 [1135630.312257] x25: ffffaf029ed108a8 x24: ffffaf015340e528 [1135630.321705] x23: ffffaeff4977fc50 x22: ffffaeff4977fc50 [1135630.331154] x21: 0000000000000000 x20: ffffaeff4977fc50 [1135630.340586] x19: ffffaf015340e400 x18: 0000000000000000 [1135630.349985] x17: 0000000000000000 x16: 0000000000000000 [1135630.359285] x15: 0000000000000000 x14: 0000000000000000 [1135630.368445] x13: 0000000000000000 x12: 0000000000000000 [1135630.377473] x11: 0000000000000000 x10: 0000000000000000 [1135630.386411] x9 : 0000000000000000 x8 : 0000000000000000 [1135630.395252] x7 : 0000000000000000 x6 : 0000000000000000 [1135630.403963] x5 : 0000000000000000 x4 : 0000000000000000 [1135630.412545] x3 : 0000710a04630000 x2 : 0000000000000006 [1135630.421021] x1 : ffffaeff4977fc50 x0 : 0000710a04630000 [1135630.429410] Call trace: [1135630.434828] kprobe_perf_func+0x30/0x260 [1135630.441661] kprobe_dispatcher+0x44/0x60 [1135630.448396] aggr_pre_handler+0x70/0xc8 [1135630.454959] kprobe_breakpoint_handler+0x140/0x1e0 [1135630.462435] brk_handler+0xbc/0xd8 [1135630.468437] do_debug_exception+0x84/0x138 [1135630.475074] el1_dbg+0x18/0x8c [1135630.480582] security_file_permission+0x0/0xd0 [1135630.487426] vfs_write+0x70/0x1c0 [1135630.493059] ksys_write+0x5c/0xc8 [1135630.498638] __arm64_sys_write+0x24/0x30 [1135630.504821] el0_svc_common+0x78/0x130 [1135630.510838] el0_svc_handler+0x38/0x78 [1135630.516834] el0_svc+0x8/0x1b0 kernel/trace/trace_kprobe.c: 1308 0xffff3df8995039ec <kprobe_perf_func+0x2c>: ldr x21, [x24,#120] include/linux/compiler.h: 294 0xffff3df8995039f0 <kprobe_perf_func+0x30>: ldr x1, [x21,x0] kernel/trace/trace_kprobe.c 1308: head = this_cpu_ptr(call->perf_events); 1309: if (hlist_empty(head)) 1310: return 0; crash> struct trace_event_call -o struct trace_event_call { ... [120] struct hlist_head *perf_events; //(call->perf_event) ... } crash> struct trace_event_call ffffaf015340e528 struct trace_event_call { ... perf_events = 0xffff0ad5fa89f088, //this value is correct, but x21 = 0 ... } Race Condition Analysis: The race occurs between kprobe activation and perf_events initialization: CPU0 CPU1 ==== ==== perf_kprobe_init perf_trace_event_init tp_event->perf_events = list;(1) tp_event->class->reg (2)← KPROBE ACTIVE Debug exception triggers ... kprobe_dispatcher kprobe_perf_func (tk->tp.flags & TP_FLAG_PROFILE) head = this_cpu_ptr(call->perf_events)(3) (perf_events is still NULL) Problem: 1. CPU0 executes (1) assigning tp_event->perf_events = list 2. CPU0 executes (2) enabling kprobe functionality via class->reg() 3. CPU1 triggers and reaches kprobe_dispatcher 4. CPU1 checks TP_FLAG_PROFILE - condition passes (step 2 completed) 5. CPU1 calls kprobe_perf_func() and crashes at (3) because call->perf_events is still NULL CPU1 sees that kprobe functionality is enabled but does not see that perf_events has been assigned. Add pairing read an ---truncated--- Уязвимость функций uprobe_dispatcher() и uretprobe_dispatcher() ядра операционной системы Linux связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: nfc: nci: Add parameter validation for packet data Syzbot reported an uninitialized value bug in nci_init_req, which was introduced by commit 5aca7966d2a7 ("Merge tag 'perf-tools-fixes-for-v6.17-2025-09-16' of git://git.kernel.org/pub/scm/linux/kernel/git/perf/perf-tools"). This bug arises due to very limited and poor input validation that was done at nic_valid_size(). This validation only validates the skb->len (directly reflects size provided at the userspace interface) with the length provided in the buffer itself (interpreted as NCI_HEADER). This leads to the processing of memory content at the address assuming the correct layout per what opcode requires there. This leads to the accesses to buffer of `skb_buff->data` which is not assigned anything yet. Following the same silent drop of packets of invalid sizes at `nic_valid_size()`, add validation of the data in the respective handlers and return error values in case of failure. Release the skb if error values are returned from handlers in `nci_nft_packet` and effectively do a silent drop Possible TODO: because we silently drop the packets, the call to `nci_request` will be waiting for completion of request and will face timeouts. These timeouts can get excessively logged in the dmesg. A proper handling of them may require to export `nci_request_cancel` (or propagate error handling from the nft packets handlers). Уязвимость функции nic_valid_size() ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs: udf: fix OOB read in lengthAllocDescs handling When parsing Allocation Extent Descriptor, lengthAllocDescs comes from on-disk data and must be validated against the block size. Crafted or corrupted images may set lengthAllocDescs so that the total descriptor length (sizeof(allocExtDesc) + lengthAllocDescs) exceeds the buffer, leading udf_update_tag() to call crc_itu_t() on out-of-bounds memory and trigger a KASAN use-after-free read. BUG: KASAN: use-after-free in crc_itu_t+0x1d5/0x2b0 lib/crc-itu-t.c:60 Read of size 1 at addr ffff888041e7d000 by task syz-executor317/5309 CPU: 0 UID: 0 PID: 5309 Comm: syz-executor317 Not tainted 6.12.0-rc4-syzkaller-00261-g850925a8133c #0 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 crc_itu_t+0x1d5/0x2b0 lib/crc-itu-t.c:60 udf_update_tag+0x70/0x6a0 fs/udf/misc.c:261 udf_write_aext+0x4d8/0x7b0 fs/udf/inode.c:2179 extent_trunc+0x2f7/0x4a0 fs/udf/truncate.c:46 udf_truncate_tail_extent+0x527/0x7e0 fs/udf/truncate.c:106 udf_release_file+0xc1/0x120 fs/udf/file.c:185 __fput+0x23f/0x880 fs/file_table.c:431 task_work_run+0x24f/0x310 kernel/task_work.c:239 exit_task_work include/linux/task_work.h:43 [inline] do_exit+0xa2f/0x28e0 kernel/exit.c:939 do_group_exit+0x207/0x2c0 kernel/exit.c:1088 __do_sys_exit_group kernel/exit.c:1099 [inline] __se_sys_exit_group kernel/exit.c:1097 [inline] __x64_sys_exit_group+0x3f/0x40 kernel/exit.c:1097 x64_sys_call+0x2634/0x2640 arch/x86/include/generated/asm/syscalls_64.h:232 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> Validate the computed total length against epos->bh->b_size. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость функции udf_update_tag() ядра операционной системы Linux связана с ошибками использования памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: codecs: wcd937x: set the comp soundwire port correctly For some reason we endup with setting soundwire port for HPHL_COMP and HPHR_COMP as zero, this can potentially result in a memory corruption due to accessing and setting -1 th element of port_map array. Уязвимость модуля sound/soc/codecs/wcd937x.cx ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/waitid: always prune wait queue entry in io_waitid_wait() For a successful return, always remove our entry from the wait queue entry list. Previously this was skipped if a cancelation was in progress, but this can race with another invocation of the wait queue entry callback. Уязвимость функции io_waitid_wait() ядра операционной системы Linux связана с ошибками синхронизации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: uio_hv_generic: Let userspace take care of interrupt mask Remove the logic to set interrupt mask by default in uio_hv_generic driver as the interrupt mask value is supposed to be controlled completely by the user space. If the mask bit gets changed by the driver, concurrently with user mode operating on the ring, the mask bit may be set when it is supposed to be clear, and the user-mode driver will miss an interrupt which will cause a hang. For eg- when the driver sets inbound ring buffer interrupt mask to 1, the host does not interrupt the guest on the UIO VMBus channel. However, setting the mask does not prevent the host from putting a message in the inbound ring buffer. So let’s assume that happens, the host puts a message into the ring buffer but does not interrupt. Subsequently, the user space code in the guest sets the inbound ring buffer interrupt mask to 0, saying “Hey, I’m ready for interrupts”. User space code then calls pread() to wait for an interrupt. Then one of two things happens: * The host never sends another message. So the pread() waits forever. * The host does send another message. But because there’s already a message in the ring buffer, it doesn’t generate an interrupt. This is the correct behavior, because the host should only send an interrupt when the inbound ring buffer transitions from empty to not-empty. Adding an additional message to a ring buffer that is not empty is not supposed to generate an interrupt on the guest. Since the guest is waiting in pread() and not removing messages from the ring buffer, the pread() waits forever. This could be easily reproduced in hv_fcopy_uio_daemon if we delay setting interrupt mask to 0. Similarly if hv_uio_channel_cb() sets the interrupt_mask to 1, there’s a race condition. Once user space empties the inbound ring buffer, but before user space sets interrupt_mask to 0, the host could put another message in the ring buffer but it wouldn’t interrupt. Then the next pread() would hang. Fix these by removing all instances where interrupt_mask is changed, while keeping the one in set_event() unchanged to enable userspace control the interrupt mask by writing 0/1 to /dev/uioX. Уязвимость модуля drivers/uio/uio_hv_generic.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Squashfs: fix uninit-value in squashfs_get_parent Syzkaller reports a "KMSAN: uninit-value in squashfs_get_parent" bug. This is caused by open_by_handle_at() being called with a file handle containing an invalid parent inode number. In particular the inode number is that of a symbolic link, rather than a directory. Squashfs_get_parent() gets called with that symbolic link inode, and accesses the parent member field. unsigned int parent_ino = squashfs_i(inode)->parent; Because non-directory inodes in Squashfs do not have a parent value, this is uninitialised, and this causes an uninitialised value access. The fix is to initialise parent with the invalid inode 0, which will cause an EINVAL error to be returned. Regular inodes used to share the parent field with the block_list_start field. This is removed in this commit to enable the parent field to contain the invalid inode number 0. Уязвимость функции open_by_handle_at() ядра операционной системы Linux связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vhost: vringh: Modify the return value check The return value of copy_from_iter and copy_to_iter can't be negative, check whether the copied lengths are equal. Уязвимость функции copy_from_iter() и copy_to_iter() ядра операционной системы Linux связана с отсутствием проверки кода возврата функции. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix crypto buffers in non-linear memory The crypto API, through the scatterlist API, expects input buffers to be in linear memory. We handle this with the cifs_sg_set_buf() helper that converts vmalloc'd memory to their corresponding pages. However, when we allocate our aead_request buffer (@creq in smb2ops.c::crypt_message()), we do so with kvzalloc(), which possibly puts aead_request->__ctx in vmalloc area. AEAD algorithm then uses ->__ctx for its private/internal data and operations, and uses sg_set_buf() for such data on a few places. This works fine as long as @creq falls into kmalloc zone (small requests) or vmalloc'd memory is still within linear range. Tasks' stacks are vmalloc'd by default (CONFIG_VMAP_STACK=y), so too many tasks will increment the base stacks' addresses to a point where virt_addr_valid(buf) will fail (BUG() in sg_set_buf()) when that happens. In practice: too many parallel reads and writes on an encrypted mount will trigger this bug. To fix this, always alloc @creq with kmalloc() instead. Also drop the @sensitive_size variable/arguments since kfree_sensitive() doesn't need it. Backtrace: [ 945.272081] ------------[ cut here ]------------ [ 945.272774] kernel BUG at include/linux/scatterlist.h:209! [ 945.273520] Oops: invalid opcode: 0000 [#1] SMP DEBUG_PAGEALLOC NOPTI [ 945.274412] CPU: 7 UID: 0 PID: 56 Comm: kworker/u33:0 Kdump: loaded Not tainted 6.15.0-lku-11779-g8e9d6efccdd7-dirty #1 PREEMPT(voluntary) [ 945.275736] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-2-gc13ff2cd-prebuilt.qemu.org 04/01/2014 [ 945.276877] Workqueue: writeback wb_workfn (flush-cifs-2) [ 945.277457] RIP: 0010:crypto_gcm_init_common+0x1f9/0x220 [ 945.278018] Code: b0 00 00 00 48 83 c4 08 5b 5d 41 5c 41 5d 41 5e 41 5f c3 cc cc cc cc 48 c7 c0 00 00 00 80 48 2b 05 5c 58 e5 00 e9 58 ff ff ff <0f> 0b 0f 0b 0f 0b 0f 0b 0f 0b 0f 0b 48 c7 04 24 01 00 00 00 48 8b [ 945.279992] RSP: 0018:ffffc90000a27360 EFLAGS: 00010246 [ 945.280578] RAX: 0000000000000000 RBX: ffffc90001d85060 RCX: 0000000000000030 [ 945.281376] RDX: 0000000000080000 RSI: 0000000000000000 RDI: ffffc90081d85070 [ 945.282145] RBP: ffffc90001d85010 R08: ffffc90001d85000 R09: 0000000000000000 [ 945.282898] R10: ffffc90001d85090 R11: 0000000000001000 R12: ffffc90001d85070 [ 945.283656] R13: ffff888113522948 R14: ffffc90001d85060 R15: ffffc90001d85010 [ 945.284407] FS: 0000000000000000(0000) GS:ffff8882e66cf000(0000) knlGS:0000000000000000 [ 945.285262] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 945.285884] CR2: 00007fa7ffdd31f4 CR3: 000000010540d000 CR4: 0000000000350ef0 [ 945.286683] Call Trace: [ 945.286952] <TASK> [ 945.287184] ? crypt_message+0x33f/0xad0 [cifs] [ 945.287719] crypto_gcm_encrypt+0x36/0xe0 [ 945.288152] crypt_message+0x54a/0xad0 [cifs] [ 945.288724] smb3_init_transform_rq+0x277/0x300 [cifs] [ 945.289300] smb_send_rqst+0xa3/0x160 [cifs] [ 945.289944] cifs_call_async+0x178/0x340 [cifs] [ 945.290514] ? __pfx_smb2_writev_callback+0x10/0x10 [cifs] [ 945.291177] smb2_async_writev+0x3e3/0x670 [cifs] [ 945.291759] ? find_held_lock+0x32/0x90 [ 945.292212] ? netfs_advance_write+0xf2/0x310 [ 945.292723] netfs_advance_write+0xf2/0x310 [ 945.293210] netfs_write_folio+0x346/0xcc0 [ 945.293689] ? __pfx__raw_spin_unlock_irq+0x10/0x10 [ 945.294250] netfs_writepages+0x117/0x460 [ 945.294724] do_writepages+0xbe/0x170 [ 945.295152] ? find_held_lock+0x32/0x90 [ 945.295600] ? kvm_sched_clock_read+0x11/0x20 [ 945.296103] __writeback_single_inode+0x56/0x4b0 [ 945.296643] writeback_sb_inodes+0x229/0x550 [ 945.297140] __writeback_inodes_wb+0x4c/0xe0 [ 945.297642] wb_writeback+0x2f1/0x3f0 [ 945.298069] wb_workfn+0x300/0x490 [ 945.298472] process_one_work+0x1fe/0x590 [ 945.298949] worker_thread+0x1ce/0x3c0 [ 945.299397] ? __pfx_worker_thread+0x10/0x10 [ 945.299900] kthr ---truncated--- Уязвимость функции cifs_sg_set_buf() ядра операционной системы Linux связана с ошибками использования памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: dlink: handle copy_thresh allocation failure The driver did not handle failure of `netdev_alloc_skb_ip_align()`. If the allocation failed, dereferencing `skb->protocol` could lead to a NULL pointer dereference. This patch tries to allocate `skb`. If the allocation fails, it falls back to the normal path. Tested-on: D-Link DGE-550T Rev-A3 Уязвимость функции netdev_alloc_skb_ip_align() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix double free in user_cluster_connect() user_cluster_disconnect() frees "conn->cc_private" which is "lc" but then the error handling frees "lc" a second time. Set "lc" to NULL on this path to avoid a double free. Уязвимость функции user_cluster_connect() ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vhost: vringh: Fix copy_to_iter return value check The return value of copy_to_iter can't be negative, check whether the copied length is equal to the requested length instead of checking for negative values. Уязвимость функции copy_to_iter() ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ptp: Add a upper bound on max_vclocks syzbot reported WARNING in max_vclocks_store. This occurs when the argument max is too large for kcalloc to handle. Extend the guard to guard against values that are too large for kcalloc [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/vt-d: Disallow dirty tracking if incoherent page walk Dirty page tracking relies on the IOMMU atomically updating the dirty bit in the paging-structure entry. For this operation to succeed, the paging- structure memory must be coherent between the IOMMU and the CPU. In another word, if the iommu page walk is incoherent, dirty page tracking doesn't work. The Intel VT-d specification, Section 3.10 "Snoop Behavior" states: "Remapping hardware encountering the need to atomically update A/EA/D bits in a paging-structure entry that is not snooped will result in a non- recoverable fault." To prevent an IOMMU from being incorrectly configured for dirty page tracking when it is operating in an incoherent mode, mark SSADS as supported only when both ecap_slads and ecap_smpwc are supported. Уязвимость модуля drivers/iommu/intel/iommu.h ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: coresight: Fix incorrect handling for return value of devm_kzalloc The return value of devm_kzalloc could be an null pointer, use "!desc.pdata" to fix incorrect handling return value of devm_kzalloc. Уязвимость функции devm_kzalloc() ядра операционной системы Linux связана с отсутствием проверки кода возврата функции. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: coresight: trbe: Return NULL pointer for allocation failures When the TRBE driver fails to allocate a buffer, it currently returns the error code "-ENOMEM". However, the caller etm_setup_aux() only checks for a NULL pointer, so it misses the error. As a result, the driver continues and eventually causes a kernel panic. Fix this by returning a NULL pointer from arm_trbe_alloc_buffer() on allocation failures. This allows that the callers can properly handle the failure. Уязвимость функции etm_setup_aux() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: Fix race in do_task() when draining When do_task() exhausts its iteration budget (!ret), it sets the state to TASK_STATE_IDLE to reschedule, without a secondary check on the current task->state. This can overwrite the TASK_STATE_DRAINING state set by a concurrent call to rxe_cleanup_task() or rxe_disable_task(). While state changes are protected by a spinlock, both rxe_cleanup_task() and rxe_disable_task() release the lock while waiting for the task to finish draining in the while(!is_done(task)) loop. The race occurs if do_task() hits its iteration limit and acquires the lock in this window. The cleanup logic may then proceed while the task incorrectly reschedules itself, leading to a potential use-after-free. This bug was introduced during the migration from tasklets to workqueues, where the special handling for the draining case was lost. Fix this by restoring the original pre-migration behavior. If the state is TASK_STATE_DRAINING when iterations are exhausted, set cont to 1 to force a new loop iteration. This allows the task to finish its work, so that a subsequent iteration can reach the switch statement and correctly transition the state to TASK_STATE_DRAINED, stopping the task as intended. Уязвимость функции do_task() ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса («Ситуация гонки»). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: hisilicon/qm - set NULL to qm->debug.qm_diff_regs When the initialization of qm->debug.acc_diff_reg fails, the probe process does not exit. However, after qm->debug.qm_diff_regs is freed, it is not set to NULL. This can lead to a double free when the remove process attempts to free it again. Therefore, qm->debug.qm_diff_regs should be set to NULL after it is freed. Уязвимость функции platform_get_resource() ядра операционной системы Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: reject index allocation if $BITMAP is empty but blocks exist Index allocation requires at least one bit in the $BITMAP attribute to track usage of index entries. If the bitmap is empty while index blocks are already present, this reflects on-disk corruption. syzbot triggered this condition using a malformed NTFS image. During a rename() operation involving a long filename (which spans multiple index entries), the empty bitmap allowed the name to be added without valid tracking. Subsequent deletion of the original entry failed with -ENOENT, due to unexpected index state. Reject such cases by verifying that the bitmap is not empty when index blocks exist. Уязвимость модуля fs/ntfs3/index.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs: ntfs3: Fix integer overflow in run_unpack() The MFT record relative to the file being opened contains its runlist, an array containing information about the file's location on the physical disk. Analysis of all Call Stack paths showed that the values of the runlist array, from which LCNs are calculated, are not validated before run_unpack function. The run_unpack function decodes the compressed runlist data format from MFT attributes (for example, $DATA), converting them into a runs_tree structure, which describes the mapping of virtual clusters (VCN) to logical clusters (LCN). The NTFS3 subsystem also has a shortcut for deleting files from MFT records - in this case, the RUN_DEALLOCATE command is sent to the run_unpack input, and the function logic provides that all data transferred to the runlist about file or directory is deleted without creating a runs_tree structure. Substituting the runlist in the $DATA attribute of the MFT record for an arbitrary file can lead either to access to arbitrary data on the disk bypassing access checks to them (since the inode access check occurs above) or to destruction of arbitrary data on the disk. Add overflow check for addition operation. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции run_unpack() ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pps: fix warning in pps_register_cdev when register device fail Similar to previous commit 2a934fdb01db ("media: v4l2-dev: fix error handling in __video_register_device()"), the release hook should be set before device_register(). Otherwise, when device_register() return error and put_device() try to callback the release function, the below warning may happen. ------------[ cut here ]------------ WARNING: CPU: 1 PID: 4760 at drivers/base/core.c:2567 device_release+0x1bd/0x240 drivers/base/core.c:2567 Modules linked in: CPU: 1 UID: 0 PID: 4760 Comm: syz.4.914 Not tainted 6.17.0-rc3+ #1 NONE RIP: 0010:device_release+0x1bd/0x240 drivers/base/core.c:2567 Call Trace: <TASK> kobject_cleanup+0x136/0x410 lib/kobject.c:689 kobject_release lib/kobject.c:720 [inline] kref_put include/linux/kref.h:65 [inline] kobject_put+0xe9/0x130 lib/kobject.c:737 put_device+0x24/0x30 drivers/base/core.c:3797 pps_register_cdev+0x2da/0x370 drivers/pps/pps.c:402 pps_register_source+0x2f6/0x480 drivers/pps/kapi.c:108 pps_tty_open+0x190/0x310 drivers/pps/clients/pps-ldisc.c:57 tty_ldisc_open+0xa7/0x120 drivers/tty/tty_ldisc.c:432 tty_set_ldisc+0x333/0x780 drivers/tty/tty_ldisc.c:563 tiocsetd drivers/tty/tty_io.c:2429 [inline] tty_ioctl+0x5d1/0x1700 drivers/tty/tty_io.c:2728 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:598 [inline] __se_sys_ioctl fs/ioctl.c:584 [inline] __x64_sys_ioctl+0x194/0x210 fs/ioctl.c:584 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0x5f/0x2a0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x76/0x7e </TASK> Before commit c79a39dc8d06 ("pps: Fix a use-after-free"), pps_register_cdev() call device_create() to create pps->dev, which will init dev->release to device_create_release(). Now the comment is outdated, just remove it. Thanks for the reminder from Calvin Owens, 'kfree_pps' should be removed in pps_register_source() to avoid a double free in the failure case. Уязвимость функции pps_register_cdev() ядра операционной системы Linux связана с раскрытием информации в сообщениях об ошибках. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tty: n_gsm: Don't block input queue by waiting MSC Currently gsm_queue() processes incoming frames and when opening a DLC channel it calls gsm_dlci_open() which calls gsm_modem_update(). If basic mode is used it calls gsm_modem_upd_via_msc() and it cannot block the input queue by waiting the response to come into the same input queue. Instead allow sending Modem Status Command without waiting for remote end to respond. Define a new function gsm_modem_send_initial_msc() for this purpose. As MSC is only valid for basic encoding, it does not do anything for advanced or when convergence layer type 2 is used. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Explicitly check accesses to bpf_sock_addr Syzkaller found a kernel warning on the following sock_addr program: 0: r0 = 0 1: r2 = *(u32 *)(r1 +60) 2: exit which triggers: verifier bug: error during ctx access conversion (0) This is happening because offset 60 in bpf_sock_addr corresponds to an implicit padding of 4 bytes, right after msg_src_ip4. Access to this padding isn't rejected in sock_addr_is_valid_access and it thus later fails to convert the access. This patch fixes it by explicitly checking the various fields of bpf_sock_addr in sock_addr_is_valid_access. I checked the other ctx structures and is_valid_access functions and didn't find any other similar cases. Other cases of (properly handled) padding are covered in new tests in a subsequent patch. Уязвимость функции bpf_sock_addr() ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: riscv, bpf: Sign extend struct ops return values properly The ns_bpf_qdisc selftest triggers a kernel panic: Unable to handle kernel paging request at virtual address ffffffffa38dbf58 Current test_progs pgtable: 4K pagesize, 57-bit VAs, pgdp=0x00000001109cc000 [ffffffffa38dbf58] pgd=000000011fffd801, p4d=000000011fffd401, pud=000000011fffd001, pmd=0000000000000000 Oops [#1] Modules linked in: bpf_testmod(OE) xt_conntrack nls_iso8859_1 [...] [last unloaded: bpf_testmod(OE)] CPU: 1 UID: 0 PID: 23584 Comm: test_progs Tainted: G W OE 6.17.0-rc1-g2465bb83e0b4 #1 NONE Tainted: [W]=WARN, [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: Unknown Unknown Product/Unknown Product, BIOS 2024.01+dfsg-1ubuntu5.1 01/01/2024 epc : __qdisc_run+0x82/0x6f0 ra : __qdisc_run+0x6e/0x6f0 epc : ffffffff80bd5c7a ra : ffffffff80bd5c66 sp : ff2000000eecb550 gp : ffffffff82472098 tp : ff60000096895940 t0 : ffffffff8001f180 t1 : ffffffff801e1664 t2 : 0000000000000000 s0 : ff2000000eecb5d0 s1 : ff60000093a6a600 a0 : ffffffffa38dbee8 a1 : 0000000000000001 a2 : ff2000000eecb510 a3 : 0000000000000001 a4 : 0000000000000000 a5 : 0000000000000010 a6 : 0000000000000000 a7 : 0000000000735049 s2 : ffffffffa38dbee8 s3 : 0000000000000040 s4 : ff6000008bcda000 s5 : 0000000000000008 s6 : ff60000093a6a680 s7 : ff60000093a6a6f0 s8 : ff60000093a6a6ac s9 : ff60000093140000 s10: 0000000000000000 s11: ff2000000eecb9d0 t3 : 0000000000000000 t4 : 0000000000ff0000 t5 : 0000000000000000 t6 : ff60000093a6a8b6 status: 0000000200000120 badaddr: ffffffffa38dbf58 cause: 000000000000000d [<ffffffff80bd5c7a>] __qdisc_run+0x82/0x6f0 [<ffffffff80b6fe58>] __dev_queue_xmit+0x4c0/0x1128 [<ffffffff80b80ae0>] neigh_resolve_output+0xd0/0x170 [<ffffffff80d2daf6>] ip6_finish_output2+0x226/0x6c8 [<ffffffff80d31254>] ip6_finish_output+0x10c/0x2a0 [<ffffffff80d31446>] ip6_output+0x5e/0x178 [<ffffffff80d2e232>] ip6_xmit+0x29a/0x608 [<ffffffff80d6f4c6>] inet6_csk_xmit+0xe6/0x140 [<ffffffff80c985e4>] __tcp_transmit_skb+0x45c/0xaa8 [<ffffffff80c995fe>] tcp_connect+0x9ce/0xd10 [<ffffffff80d66524>] tcp_v6_connect+0x4ac/0x5e8 [<ffffffff80cc19b8>] __inet_stream_connect+0xd8/0x318 [<ffffffff80cc1c36>] inet_stream_connect+0x3e/0x68 [<ffffffff80b42b20>] __sys_connect_file+0x50/0x88 [<ffffffff80b42bee>] __sys_connect+0x96/0xc8 [<ffffffff80b42c40>] __riscv_sys_connect+0x20/0x30 [<ffffffff80e5bcae>] do_trap_ecall_u+0x256/0x378 [<ffffffff80e69af2>] handle_exception+0x14a/0x156 Code: 892a 0363 1205 489c 8bc1 c7e5 2d03 084a 2703 080a (2783) 0709 ---[ end trace 0000000000000000 ]--- The bpf_fifo_dequeue prog returns a skb which is a pointer. The pointer is treated as a 32bit value and sign extend to 64bit in epilogue. This behavior is right for most bpf prog types but wrong for struct ops which requires RISC-V ABI. So let's sign extend struct ops return values according to the function model and RISC-V ABI([0]). [0]: https://riscv.org/wp-content/uploads/2024/12/riscv-calling.pdf Уязвимость модуля arch/riscv/net/bpf_jit_comp64.c ядра операционной системы Linux связана с неправильной проверкой возвращаемого значения функции. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nbd: restrict sockets to TCP and UDP Recently, syzbot started to abuse NBD with all kinds of sockets. Commit cf1b2326b734 ("nbd: verify socket is supported during setup") made sure the socket supported a shutdown() method. Explicitely accept TCP and UNIX stream sockets. Уязвимость компонента nbd ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf: arm_spe: Prevent overflow in PERF_IDX2OFF() Cast nr_pages to unsigned long to avoid overflow when handling large AUX buffer sizes (>= 2 GiB). Уязвимость функции PERF_IDX2OFF() ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: sch_qfq: Fix null-deref in agg_dequeue To prevent a potential crash in agg_dequeue (net/sched/sch_qfq.c) when cl->qdisc->ops->peek(cl->qdisc) returns NULL, we check the return value before using it, similar to the existing approach in sch_hfsc.c. To avoid code duplication, the following changes are made: 1. Changed qdisc_warn_nonwc(include/net/pkt_sched.h) into a static inline function. 2. Moved qdisc_peek_len from net/sched/sch_hfsc.c to include/net/pkt_sched.h so that sch_qfq can reuse it. 3. Applied qdisc_peek_len in agg_dequeue to avoid crashing. Уязвимость компонента net/sched ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: transport_ipc: validate payload size before reading handle handle_response() dereferences the payload as a 4-byte handle without verifying that the declared payload size is at least 4 bytes. A malformed or truncated message from ksmbd.mountd can lead to a 4-byte read past the declared payload size. Validate the size before dereferencing. This is a minimal fix to guard the initial handle read. Уязвимость компонента transport_ipc ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix NULL pointer deference in try_to_register_card In try_to_register_card(), the return value of usb_ifnum_to_if() is passed directly to usb_interface_claimed() without a NULL check, which will lead to a NULL pointer dereference when creating an invalid USB audio device. Fix this by adding a check to ensure the interface pointer is valid before passing it to usb_interface_claimed(). Уязвимость функции get_alias_quirk() модуля sound/usb/card.c поддержки звуковых устройств USB ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFSD: Define a proc_layoutcommit for the FlexFiles layout type Avoid a crash if a pNFS client should happen to send a LAYOUTCOMMIT operation on a FlexFiles layout. Уязвимость функции nfsd4_ff_proc_getdeviceinfo() модуля fs/nfsd/flexfilelayout.c поддержки сетевой файловой системы NFS ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix slab-out-of-bounds read in hfsplus_strcasecmp() The hfsplus_strcasecmp() logic can trigger the issue: [ 117.317703][ T9855] ================================================================== [ 117.318353][ T9855] BUG: KASAN: slab-out-of-bounds in hfsplus_strcasecmp+0x1bc/0x490 [ 117.318991][ T9855] Read of size 2 at addr ffff88802160f40c by task repro/9855 [ 117.319577][ T9855] [ 117.319773][ T9855] CPU: 0 UID: 0 PID: 9855 Comm: repro Not tainted 6.17.0-rc6 #33 PREEMPT(full) [ 117.319780][ T9855] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 117.319783][ T9855] Call Trace: [ 117.319785][ T9855] <TASK> [ 117.319788][ T9855] dump_stack_lvl+0x1c1/0x2a0 [ 117.319795][ T9855] ? __virt_addr_valid+0x1c8/0x5c0 [ 117.319803][ T9855] ? __pfx_dump_stack_lvl+0x10/0x10 [ 117.319808][ T9855] ? rcu_is_watching+0x15/0xb0 [ 117.319816][ T9855] ? lock_release+0x4b/0x3e0 [ 117.319821][ T9855] ? __kasan_check_byte+0x12/0x40 [ 117.319828][ T9855] ? __virt_addr_valid+0x1c8/0x5c0 [ 117.319835][ T9855] ? __virt_addr_valid+0x4a5/0x5c0 [ 117.319842][ T9855] print_report+0x17e/0x7e0 [ 117.319848][ T9855] ? __virt_addr_valid+0x1c8/0x5c0 [ 117.319855][ T9855] ? __virt_addr_valid+0x4a5/0x5c0 [ 117.319862][ T9855] ? __phys_addr+0xd3/0x180 [ 117.319869][ T9855] ? hfsplus_strcasecmp+0x1bc/0x490 [ 117.319876][ T9855] kasan_report+0x147/0x180 [ 117.319882][ T9855] ? hfsplus_strcasecmp+0x1bc/0x490 [ 117.319891][ T9855] hfsplus_strcasecmp+0x1bc/0x490 [ 117.319900][ T9855] ? __pfx_hfsplus_cat_case_cmp_key+0x10/0x10 [ 117.319906][ T9855] hfs_find_rec_by_key+0xa9/0x1e0 [ 117.319913][ T9855] __hfsplus_brec_find+0x18e/0x470 [ 117.319920][ T9855] ? __pfx_hfsplus_bnode_find+0x10/0x10 [ 117.319926][ T9855] ? __pfx_hfs_find_rec_by_key+0x10/0x10 [ 117.319933][ T9855] ? __pfx___hfsplus_brec_find+0x10/0x10 [ 117.319942][ T9855] hfsplus_brec_find+0x28f/0x510 [ 117.319949][ T9855] ? __pfx_hfs_find_rec_by_key+0x10/0x10 [ 117.319956][ T9855] ? __pfx_hfsplus_brec_find+0x10/0x10 [ 117.319963][ T9855] ? __kmalloc_noprof+0x2a9/0x510 [ 117.319969][ T9855] ? hfsplus_find_init+0x8c/0x1d0 [ 117.319976][ T9855] hfsplus_brec_read+0x2b/0x120 [ 117.319983][ T9855] hfsplus_lookup+0x2aa/0x890 [ 117.319990][ T9855] ? __pfx_hfsplus_lookup+0x10/0x10 [ 117.320003][ T9855] ? d_alloc_parallel+0x2f0/0x15e0 [ 117.320008][ T9855] ? __lock_acquire+0xaec/0xd80 [ 117.320013][ T9855] ? __pfx_d_alloc_parallel+0x10/0x10 [ 117.320019][ T9855] ? __raw_spin_lock_init+0x45/0x100 [ 117.320026][ T9855] ? __init_waitqueue_head+0xa9/0x150 [ 117.320034][ T9855] __lookup_slow+0x297/0x3d0 [ 117.320039][ T9855] ? __pfx___lookup_slow+0x10/0x10 [ 117.320045][ T9855] ? down_read+0x1ad/0x2e0 [ 117.320055][ T9855] lookup_slow+0x53/0x70 [ 117.320065][ T9855] walk_component+0x2f0/0x430 [ 117.320073][ T9855] path_lookupat+0x169/0x440 [ 117.320081][ T9855] filename_lookup+0x212/0x590 [ 117.320089][ T9855] ? __pfx_filename_lookup+0x10/0x10 [ 117.320098][ T9855] ? strncpy_from_user+0x150/0x290 [ 117.320105][ T9855] ? getname_flags+0x1e5/0x540 [ 117.320112][ T9855] user_path_at+0x3a/0x60 [ 117.320117][ T9855] __x64_sys_umount+0xee/0x160 [ 117.320123][ T9855] ? __pfx___x64_sys_umount+0x10/0x10 [ 117.320129][ T9855] ? do_syscall_64+0xb7/0x3a0 [ 117.320135][ T9855] ? entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 117.320141][ T9855] ? entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 117.320145][ T9855] do_syscall_64+0xf3/0x3a0 [ 117.320150][ T9855] ? exc_page_fault+0x9f/0xf0 [ 117.320154][ T9855] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 117.320158][ T9855] RIP: 0033:0x7f7dd7908b07 [ 117.320163][ T9855] Code: 23 0d 00 f7 d8 64 89 01 48 83 c8 ff c3 66 0f 1f 44 00 00 31 f6 e9 09 00 00 00 66 0f 1f 84 00 00 08 [ 117.320167][ T9855] RSP: 002b:00007ffd5ebd9698 EFLAGS: 00000202 ---truncated--- Уязвимость функции hfsplus_strcasecmp() компонента fs/hfsplus/unicode.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_ncm: Refactor bind path to use __free() After an bind/unbind cycle, the ncm->notify_req is left stale. If a subsequent bind fails, the unified error label attempts to free this stale request, leading to a NULL pointer dereference when accessing ep->ops->free_request. Refactor the error handling in the bind path to use the __free() automatic cleanup mechanism. Unable to handle kernel NULL pointer dereference at virtual address 0000000000000020 Call trace: usb_ep_free_request+0x2c/0xec ncm_bind+0x39c/0x3dc usb_add_function+0xcc/0x1f0 configfs_composite_bind+0x468/0x588 gadget_bind_driver+0x104/0x270 really_probe+0x190/0x374 __driver_probe_device+0xa0/0x12c driver_probe_device+0x3c/0x218 __device_attach_driver+0x14c/0x188 bus_for_each_drv+0x10c/0x168 __device_attach+0xfc/0x198 device_initial_probe+0x14/0x24 bus_probe_device+0x94/0x11c device_add+0x268/0x48c usb_add_gadget+0x198/0x28c dwc3_gadget_init+0x700/0x858 __dwc3_set_mode+0x3cc/0x664 process_scheduled_works+0x1d8/0x488 worker_thread+0x244/0x334 kthread+0x114/0x1bc ret_from_fork+0x10/0x20 Уязвимость компонента drivers/usb/gadget/function/f_ncm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_ecm: Refactor bind path to use __free() After an bind/unbind cycle, the ecm->notify_req is left stale. If a subsequent bind fails, the unified error label attempts to free this stale request, leading to a NULL pointer dereference when accessing ep->ops->free_request. Refactor the error handling in the bind path to use the __free() automatic cleanup mechanism. Уязвимость компонента drivers/usb/gadget/function/f_ecm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_acm: Refactor bind path to use __free() After an bind/unbind cycle, the acm->notify_req is left stale. If a subsequent bind fails, the unified error label attempts to free this stale request, leading to a NULL pointer dereference when accessing ep->ops->free_request. Refactor the error handling in the bind path to use the __free() automatic cleanup mechanism. Unable to handle kernel NULL pointer dereference at virtual address 0000000000000020 Call trace: usb_ep_free_request+0x2c/0xec gs_free_req+0x30/0x44 acm_bind+0x1b8/0x1f4 usb_add_function+0xcc/0x1f0 configfs_composite_bind+0x468/0x588 gadget_bind_driver+0x104/0x270 really_probe+0x190/0x374 __driver_probe_device+0xa0/0x12c driver_probe_device+0x3c/0x218 __device_attach_driver+0x14c/0x188 bus_for_each_drv+0x10c/0x168 __device_attach+0xfc/0x198 device_initial_probe+0x14/0x24 bus_probe_device+0x94/0x11c device_add+0x268/0x48c usb_add_gadget+0x198/0x28c dwc3_gadget_init+0x700/0x858 __dwc3_set_mode+0x3cc/0x664 process_scheduled_works+0x1d8/0x488 worker_thread+0x244/0x334 kthread+0x114/0x1bc ret_from_fork+0x10/0x20 Уязвимость компонента drivers/usb/gadget/function/f_acm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_rndis: Refactor bind path to use __free() After an bind/unbind cycle, the rndis->notify_req is left stale. If a subsequent bind fails, the unified error label attempts to free this stale request, leading to a NULL pointer dereference when accessing ep->ops->free_request. Refactor the error handling in the bind path to use the __free() automatic cleanup mechanism. Уязвимость компонента drivers/usb/gadget/function/f_rndis.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/sched: Fix potential double free in drm_sched_job_add_resv_dependencies When adding dependencies with drm_sched_job_add_dependency(), that function consumes the fence reference both on success and failure, so in the latter case the dma_fence_put() on the error path (xarray failed to expand) is a double free. Interestingly this bug appears to have been present ever since commit ebd5f74255b9 ("drm/sched: Add dependency tracking"), since the code back then looked like this: drm_sched_job_add_implicit_dependencies(): ... for (i = 0; i < fence_count; i++) { ret = drm_sched_job_add_dependency(job, fences[i]); if (ret) break; } for (; i < fence_count; i++) dma_fence_put(fences[i]); Which means for the failing 'i' the dma_fence_put was already a double free. Possibly there were no users at that time, or the test cases were insufficient to hit it. The bug was then only noticed and fixed after commit 9c2ba265352a ("drm/scheduler: use new iterator in drm_sched_job_add_implicit_dependencies v2") landed, with its fixup of commit 4eaf02d6076c ("drm/scheduler: fix drm_sched_job_add_implicit_dependencies"). At that point it was a slightly different flavour of a double free, which commit 963d0b356935 ("drm/scheduler: fix drm_sched_job_add_implicit_dependencies harder") noticed and attempted to fix. But it only moved the double free from happening inside the drm_sched_job_add_dependency(), when releasing the reference not yet obtained, to the caller, when releasing the reference already released by the former in the failure case. As such it is not easy to identify the right target for the fixes tag so lets keep it simple and just continue the chain. While fixing we also improve the comment and explain the reason for taking the reference and not dropping it. Уязвимость функции drm_sched_job_add_resv_dependencies() компонента drivers/gpu/drm/scheduler/sched_main.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: parse_dfs_referrals: prevent oob on malformed input Malicious SMB server can send invalid reply to FSCTL_DFS_GET_REFERRALS - reply smaller than sizeof(struct get_dfs_referral_rsp) - reply with number of referrals smaller than NumberOfReferrals in the header Processing of such replies will cause oob. Return -EINVAL error on such replies to prevent oob-s. Уязвимость функции parse_dfs_referrals() модуля fs/smb/client/misc.c поддержки клиента SMB ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=9.4) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: do not assert we found block group item when creating free space tree Currently, when building a free space tree at populate_free_space_tree(), if we are not using the block group tree feature, we always expect to find block group items (either extent items or a block group item with key type BTRFS_BLOCK_GROUP_ITEM_KEY) when we search the extent tree with btrfs_search_slot_for_read(), so we assert that we found an item. However this expectation is wrong since we can have a new block group created in the current transaction which is still empty and for which we still have not added the block group's item to the extent tree, in which case we do not have any items in the extent tree associated to the block group. The insertion of a new block group's block group item in the extent tree happens at btrfs_create_pending_block_groups() when it calls the helper insert_block_group_item(). This typically is done when a transaction handle is released, committed or when running delayed refs (either as part of a transaction commit or when serving tickets for space reservation if we are low on free space). So remove the assertion at populate_free_space_tree() even when the block group tree feature is not enabled and update the comment to mention this case. Syzbot reported this with the following stack trace: BTRFS info (device loop3 state M): rebuilding free space tree assertion failed: ret == 0 :: 0, in fs/btrfs/free-space-tree.c:1115 ------------[ cut here ]------------ kernel BUG at fs/btrfs/free-space-tree.c:1115! Oops: invalid opcode: 0000 [#1] SMP KASAN PTI CPU: 1 UID: 0 PID: 6352 Comm: syz.3.25 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/18/2025 RIP: 0010:populate_free_space_tree+0x700/0x710 fs/btrfs/free-space-tree.c:1115 Code: ff ff e8 d3 (...) RSP: 0018:ffffc9000430f780 EFLAGS: 00010246 RAX: 0000000000000043 RBX: ffff88805b709630 RCX: fea61d0e2e79d000 RDX: 0000000000000000 RSI: 0000000080000000 RDI: 0000000000000000 RBP: ffffc9000430f8b0 R08: ffffc9000430f4a7 R09: 1ffff92000861e94 R10: dffffc0000000000 R11: fffff52000861e95 R12: 0000000000000001 R13: 1ffff92000861f00 R14: dffffc0000000000 R15: 0000000000000000 FS: 00007f424d9fe6c0(0000) GS:ffff888125afc000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fd78ad212c0 CR3: 0000000076d68000 CR4: 00000000003526f0 Call Trace: <TASK> btrfs_rebuild_free_space_tree+0x1ba/0x6d0 fs/btrfs/free-space-tree.c:1364 btrfs_start_pre_rw_mount+0x128f/0x1bf0 fs/btrfs/disk-io.c:3062 btrfs_remount_rw fs/btrfs/super.c:1334 [inline] btrfs_reconfigure+0xaed/0x2160 fs/btrfs/super.c:1559 reconfigure_super+0x227/0x890 fs/super.c:1076 do_remount fs/namespace.c:3279 [inline] path_mount+0xd1a/0xfe0 fs/namespace.c:4027 do_mount fs/namespace.c:4048 [inline] __do_sys_mount fs/namespace.c:4236 [inline] __se_sys_mount+0x313/0x410 fs/namespace.c:4213 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f424e39066a Code: d8 64 89 02 (...) RSP: 002b:00007f424d9fde68 EFLAGS: 00000246 ORIG_RAX: 00000000000000a5 RAX: ffffffffffffffda RBX: 00007f424d9fdef0 RCX: 00007f424e39066a RDX: 0000200000000180 RSI: 0000200000000380 RDI: 0000000000000000 RBP: 0000200000000180 R08: 00007f424d9fdef0 R09: 0000000000000020 R10: 0000000000000020 R11: 0000000000000246 R12: 0000200000000380 R13: 00007f424d9fdeb0 R14: 0000000000000000 R15: 00002000000002c0 </TASK> Modules linked in: ---[ end trace 0000000000000000 ]--- Уязвимость компонента fs/btrfs ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix memory leaks when rejecting a non SINGLE data profile without an RST At the end of btrfs_load_block_group_zone_info() the first thing we do is to ensure that if the mapping type is not a SINGLE one and there is no RAID stripe tree, then we return early with an error. Doing that, though, prevents the code from running the last calls from this function which are about freeing memory allocated during its run. Hence, in this case, instead of returning early, we set the ret value and fall through the rest of the cleanup code. Уязвимость компонента fs/btrfs ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: Fix refcount leak for cifs_sb_tlink Fix three refcount inconsistency issues related to `cifs_sb_tlink`. Comments for `cifs_sb_tlink` state that `cifs_put_tlink()` needs to be called after successful calls to `cifs_sb_tlink()`. Three calls fail to update refcount accordingly, leading to possible resource leaks. Уязвимость компонента fs/smb/client ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ixgbevf: fix mailbox API compatibility by negotiating supported features There was backward compatibility in the terms of mailbox API. Various drivers from various OSes supporting 10G adapters from Intel portfolio could easily negotiate mailbox API. This convention has been broken since introducing API 1.4. Commit 0062e7cc955e ("ixgbevf: add VF IPsec offload code") added support for IPSec which is specific only for the kernel ixgbe driver. None of the rest of the Intel 10G PF/VF drivers supports it. And actually lack of support was not included in the IPSec implementation - there were no such code paths. No possibility to negotiate support for the feature was introduced along with introduction of the feature itself. Commit 339f28964147 ("ixgbevf: Add support for new mailbox communication between PF and VF") increasing API version to 1.5 did the same - it introduced code supported specifically by the PF ESX driver. It altered API version for the VF driver in the same time not touching the version defined for the PF ixgbe driver. It led to additional discrepancies, as the code provided within API 1.6 cannot be supported for Linux ixgbe driver as it causes crashes. The issue was noticed some time ago and mitigated by Jake within the commit d0725312adf5 ("ixgbevf: stop attempting IPSEC offload on Mailbox API 1.5"). As a result we have regression for IPsec support and after increasing API to version 1.6 ixgbevf driver stopped to support ESX MBX. To fix this mess add new mailbox op asking PF driver about supported features. Basing on a response determine whether to set support for IPSec and ESX-specific enhanced mailbox. New mailbox op, for compatibility purposes, must be added within new API revision, as API version of OOT PF & VF drivers is already increased to 1.6 and doesn't incorporate features negotiate op. Features negotiation mechanism gives possibility to be extended with new features when needed in the future. Уязвимость компонента drivers/net/ethernet/intel/ixgbevf ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vfs: Don't leak disconnected dentries on umount When user calls open_by_handle_at() on some inode that is not cached, we will create disconnected dentry for it. If such dentry is a directory, exportfs_decode_fh_raw() will then try to connect this dentry to the dentry tree through reconnect_path(). It may happen for various reasons (such as corrupted fs or race with rename) that the call to lookup_one_unlocked() in reconnect_one() will fail to find the dentry we are trying to reconnect and instead create a new dentry under the parent. Now this dentry will not be marked as disconnected although the parent still may well be disconnected (at least in case this inconsistency happened because the fs is corrupted and .. doesn't point to the real parent directory). This creates inconsistency in disconnected flags but AFAICS it was mostly harmless. At least until commit f1ee616214cb ("VFS: don't keep disconnected dentries on d_anon") which removed adding of most disconnected dentries to sb->s_anon list. Thus after this commit cleanup of disconnected dentries implicitely relies on the fact that dput() will immediately reclaim such dentries. However when some leaf dentry isn't marked as disconnected, as in the scenario described above, the reclaim doesn't happen and the dentries are "leaked". Memory reclaim can eventually reclaim them but otherwise they stay in memory and if umount comes first, we hit infamous "Busy inodes after unmount" bug. Make sure all dentries created under a disconnected parent are marked as disconnected as well. Уязвимость ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: fix divide-by-zero in comedi_buf_munge() The comedi_buf_munge() function performs a modulo operation `async->munge_chan %= async->cmd.chanlist_len` without first checking if chanlist_len is zero. If a user program submits a command with chanlist_len set to zero, this causes a divide-by-zero error when the device processes data in the interrupt handler path. Add a check for zero chanlist_len at the beginning of the function, similar to the existing checks for !map and CMDF_RAWDATA flag. When chanlist_len is zero, update munge_count and return early, indicating the data was handled without munging. This prevents potential kernel panics from malformed user commands. Уязвимость функции comedi_buf_munge() модуля drivers/comedi/comedi_buf.c ядра операционной системы Linux связана с недостаточной проверкой входных данных при делении на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: hi311x: fix null pointer dereference when resuming from sleep before interface was enabled This issue is similar to the vulnerability in the `mcp251x` driver, which was fixed in commit 03c427147b2d ("can: mcp251x: fix resume from sleep before interface was brought up"). In the `hi311x` driver, when the device resumes from sleep, the driver schedules `priv->restart_work`. However, if the network interface was not previously enabled, the `priv->wq` (workqueue) is not allocated and initialized, leading to a null pointer dereference. To fix this, we move the allocation and initialization of the workqueue from the `hi3110_open` function to the `hi3110_can_probe` function. This ensures that the workqueue is properly initialized before it is used during device resume. And added logic to destroy the workqueue in the error handling paths of `hi3110_can_probe` and in the `hi3110_can_remove` function to prevent resource leaks. Уязвимость компонента drivers/net/can/spi/hi311x.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: rng - Ensure set_ent is always present Ensure that set_ent is always set since only drbg provides it. Уязвимость ядра операционной системы Linux связана с недостаточной энтропией. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vmwgfx: Fix a null-ptr access in the cursor snooper Check that the resource which is converted to a surface exists before trying to use the cursor snooper on it. vmw_cmd_res_check allows explicit invalid (SVGA3D_INVALID_ID) identifiers because some svga commands accept SVGA3D_INVALID_ID to mean "no surface", unfortunately functions that accept the actual surfaces as objects might (and in case of the cursor snooper, do not) be able to handle null objects. Make sure that we validate not only the identifier (via the vmw_cmd_res_check) but also check that the actual resource exists before trying to do something with it. Fixes unchecked null-ptr reference in the snooping code. Уязвимость функции vmw_cmd_dma() модуля drivers/gpu/drm/vmwgfx/vmwgfx_execbuf.c драйвера инфраструктуры прямого рендеринга (DRI) ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/vmwgfx: Fix Use-after-free in validation Nodes stored in the validation duplicates hashtable come from an arena allocator that is cleared at the end of vmw_execbuf_process. All nodes are expected to be cleared in vmw_validation_drop_ht but this node escaped because its resource was destroyed prematurely. Уязвимость компонента drivers/gpu/drm/vmwgfx ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: mpt3sas: Fix crash in transport port remove by using ioc_info() During mpt3sas_transport_port_remove(), messages were logged with dev_printk() against &mpt3sas_port->port->dev. At this point the SAS transport device may already be partially unregistered or freed, leading to a crash when accessing its struct device. Using ioc_info(), which logs via the PCI device (ioc->pdev->dev), guaranteed to remain valid until driver removal. [83428.295776] Oops: general protection fault, probably for non-canonical address 0x6f702f323a33312d: 0000 [#1] SMP NOPTI [83428.295785] CPU: 145 UID: 0 PID: 113296 Comm: rmmod Kdump: loaded Tainted: G OE 6.16.0-rc1+ #1 PREEMPT(voluntary) [83428.295792] Tainted: [O]=OOT_MODULE, [E]=UNSIGNED_MODULE [83428.295795] Hardware name: Dell Inc. Precision 7875 Tower/, BIOS 89.1.67 02/23/2024 [83428.295799] RIP: 0010:__dev_printk+0x1f/0x70 [83428.295805] Code: 90 90 90 90 90 90 90 90 90 90 90 0f 1f 44 00 00 49 89 d1 48 85 f6 74 52 4c 8b 46 50 4d 85 c0 74 1f 48 8b 46 68 48 85 c0 74 22 <48> 8b 08 0f b6 7f 01 48 c7 c2 db e8 42 ad 83 ef 30 e9 7b f8 ff ff [83428.295813] RSP: 0018:ff85aeafc3137bb0 EFLAGS: 00010206 [83428.295817] RAX: 6f702f323a33312d RBX: ff4290ee81292860 RCX: 5000cca25103be32 [83428.295820] RDX: ff85aeafc3137bb8 RSI: ff4290eeb1966c00 RDI: ffffffffc1560845 [83428.295823] RBP: ff85aeafc3137c18 R08: 74726f702f303a33 R09: ff85aeafc3137bb8 [83428.295826] R10: ff85aeafc3137b18 R11: ff4290f5bd60fe68 R12: ff4290ee81290000 [83428.295830] R13: ff4290ee6e345de0 R14: ff4290ee81290000 R15: ff4290ee6e345e30 [83428.295833] FS: 00007fd9472a6740(0000) GS:ff4290f5ce96b000(0000) knlGS:0000000000000000 [83428.295837] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [83428.295840] CR2: 00007f242b4db238 CR3: 00000002372b8006 CR4: 0000000000771ef0 [83428.295844] PKRU: 55555554 [83428.295846] Call Trace: [83428.295848] <TASK> [83428.295850] _dev_printk+0x5c/0x80 [83428.295857] ? srso_alias_return_thunk+0x5/0xfbef5 [83428.295863] mpt3sas_transport_port_remove+0x1c7/0x420 [mpt3sas] [83428.295882] _scsih_remove_device+0x21b/0x280 [mpt3sas] [83428.295894] ? _scsih_expander_node_remove+0x108/0x140 [mpt3sas] [83428.295906] ? srso_alias_return_thunk+0x5/0xfbef5 [83428.295910] mpt3sas_device_remove_by_sas_address.part.0+0x8f/0x110 [mpt3sas] [83428.295921] _scsih_expander_node_remove+0x129/0x140 [mpt3sas] [83428.295933] _scsih_expander_node_remove+0x6a/0x140 [mpt3sas] [83428.295944] scsih_remove+0x3f0/0x4a0 [mpt3sas] [83428.295957] pci_device_remove+0x3b/0xb0 [83428.295962] device_release_driver_internal+0x193/0x200 [83428.295968] driver_detach+0x44/0x90 [83428.295971] bus_remove_driver+0x69/0xf0 [83428.295975] pci_unregister_driver+0x2a/0xb0 [83428.295979] _mpt3sas_exit+0x1f/0x300 [mpt3sas] [83428.295991] __do_sys_delete_module.constprop.0+0x174/0x310 [83428.295997] ? srso_alias_return_thunk+0x5/0xfbef5 [83428.296000] ? __x64_sys_getdents64+0x9a/0x110 [83428.296005] ? srso_alias_return_thunk+0x5/0xfbef5 [83428.296009] ? syscall_trace_enter+0xf6/0x1b0 [83428.296014] do_syscall_64+0x7b/0x2c0 [83428.296019] ? srso_alias_return_thunk+0x5/0xfbef5 [83428.296023] entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость компонента drivers/scsi/mpt3sas ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: host: max3421-hcd: Fix error pointer dereference in probe cleanup The kthread_run() function returns error pointers so the max3421_hcd->spi_thread pointer can be either error pointers or NULL. Check for both before dereferencing it. Уязвимость компонента drivers/usb/host/max3421-hcd.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: pm80xx: Fix array-index-out-of-of-bounds on rmmod Since commit f7b705c238d1 ("scsi: pm80xx: Set phy_attached to zero when device is gone") UBSAN reports: UBSAN: array-index-out-of-bounds in drivers/scsi/pm8001/pm8001_sas.c:786:17 index 28 is out of range for type 'pm8001_phy [16]' on rmmod when using an expander. For a direct attached device, attached_phy contains the local phy id. For a device behind an expander, attached_phy contains the remote phy id, not the local phy id. I.e. while pm8001_ha will have pm8001_ha->chip->n_phy local phys, for a device behind an expander, attached_phy can be much larger than pm8001_ha->chip->n_phy (depending on the amount of phys of the expander). E.g. on my system pm8001_ha has 8 phys with phy ids 0-7. One of the ports has an expander connected. The expander has 31 phys with phy ids 0-30. The pm8001_ha->phy array only contains the phys of the HBA. It does not contain the phys of the expander. Thus, it is wrong to use attached_phy to index the pm8001_ha->phy array for a device behind an expander. Thus, we can only clear phy_attached for devices that are directly attached. Уязвимость компонента drivers/scsi/pm8001 ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: asix: hold PM usage ref to avoid PM/MDIO + RTNL deadlock Prevent USB runtime PM (autosuspend) for AX88772* in bind. usbnet enables runtime PM (autosuspend) by default, so disabling it via the usb_driver flag is ineffective. On AX88772B, autosuspend shows no measurable power saving with current driver (no link partner, admin up/down). The ~0.453 W -> ~0.248 W drop on v6.1 comes from phylib powering the PHY off on admin-down, not from USB autosuspend. The real hazard is that with runtime PM enabled, ndo_open() (under RTNL) may synchronously trigger autoresume (usb_autopm_get_interface()) into asix_resume() while the USB PM lock is held. Resume paths then invoke phylink/phylib and MDIO, which also expect RTNL, leading to possible deadlocks or PM lock vs MDIO wake issues. To avoid this, keep the device runtime-PM active by taking a usage reference in ax88772_bind() and dropping it in unbind(). A non-zero PM usage count blocks runtime suspend regardless of userspace policy (.../power/control - pm_runtime_allow/forbid), making this approach robust against sysfs overrides. Holding a runtime-PM usage ref does not affect system-wide suspend; system sleep/resume callbacks continue to run as before. Уязвимость функции ndo_open() модуля drivers/net/usb/asix_devices.c драйвера поддержки сетевых адаптеров USB ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса («Ситуация гонки»). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: Intel: bytcr_rt5651: Fix invalid quirk input mapping When an invalid value is passed via quirk option, currently bytcr_rt5640 driver just ignores and leaves as is, which may lead to unepxected results like OOB access. This patch adds the sanity check and corrects the input mapping to the certain default value if an invalid value is passed. Уязвимость функции snd_soc_set_dmi_name() модуля sound/soc/intel/boards/bytcr_rt5651.c драйвера звуковой карты bytcr_rt5640 ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Enforce expected_attach_type for tailcall compatibility Yinhao et al. recently reported: Our fuzzer tool discovered an uninitialized pointer issue in the bpf_prog_test_run_xdp() function within the Linux kernel's BPF subsystem. This leads to a NULL pointer dereference when a BPF program attempts to deference the txq member of struct xdp_buff object. The test initializes two programs of BPF_PROG_TYPE_XDP: progA acts as the entry point for bpf_prog_test_run_xdp() and its expected_attach_type can neither be of be BPF_XDP_DEVMAP nor BPF_XDP_CPUMAP. progA calls into a slot of a tailcall map it owns. progB's expected_attach_type must be BPF_XDP_DEVMAP to pass xdp_is_valid_access() validation. The program returns struct xdp_md's egress_ifindex, and the latter is only allowed to be accessed under mentioned expected_attach_type. progB is then inserted into the tailcall which progA calls. The underlying issue goes beyond XDP though. Another example are programs of type BPF_PROG_TYPE_CGROUP_SOCK_ADDR. sock_addr_is_valid_access() as well as sock_addr_func_proto() have different logic depending on the programs' expected_attach_type. Similarly, a program attached to BPF_CGROUP_INET4_GETPEERNAME should not be allowed doing a tailcall into a program which calls bpf_bind() out of BPF which is only enabled for BPF_CGROUP_INET4_CONNECT. In short, specifying expected_attach_type allows to open up additional functionality or restrictions beyond what the basic bpf_prog_type enables. The use of tailcalls must not violate these constraints. Fix it by enforcing expected_attach_type in __bpf_prog_map_compatible(). Note that we only enforce this for tailcall maps, but not for BPF devmaps or cpumaps: There, the programs are invoked through dev_map_bpf_prog_run*() and cpu_map_bpf_prog_run*() which set up a new environment / context and therefore these situations are not prone to this issue. Уязвимость функции bpf_prog_test_run_xdp () модуля kernel/bpf/core.c поддержки интерпретатора BPF ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sparc: fix accurate exception reporting in copy_{from_to}_user for UltraSPARC III Anthony Yznaga tracked down that a BUG_ON in ext4 code with large folios enabled resulted from copy_from_user() returning impossibly large values greater than the size to be copied. This lead to __copy_from_iter() returning impossible values instead of the actual number of bytes it was able to copy. The BUG_ON has been reported in https://lore.kernel.org/r/b14f55642207e63e907965e209f6323a0df6dcee.camel@physik.fu-berlin.de The referenced commit introduced exception handlers on user-space memory references in copy_from_user and copy_to_user. These handlers return from the respective function and calculate the remaining bytes left to copy using the current register contents. The exception handlers expect that %o2 has already been masked during the bulk copy loop, but the masking was performed after that loop. This will fix the return value of copy_from_user and copy_to_user in the faulting case. The behaviour of memcpy stays unchanged. Уязвимость функции copy_from_user() модуля arch/sparc/lib/U3memcpy.S ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: blk-mq: check kobject state_in_sysfs before deleting in blk_mq_unregister_hctx In __blk_mq_update_nr_hw_queues() the return value of blk_mq_sysfs_register_hctxs() is not checked. If sysfs creation for hctx fails, later changing the number of hw_queues or removing disk will trigger the following warning: kernfs: can not remove 'nr_tags', no directory WARNING: CPU: 2 PID: 637 at fs/kernfs/dir.c:1707 kernfs_remove_by_name_ns+0x13f/0x160 Call Trace: remove_files.isra.1+0x38/0xb0 sysfs_remove_group+0x4d/0x100 sysfs_remove_groups+0x31/0x60 __kobject_del+0x23/0xf0 kobject_del+0x17/0x40 blk_mq_unregister_hctx+0x5d/0x80 blk_mq_sysfs_unregister_hctxs+0x94/0xd0 blk_mq_update_nr_hw_queues+0x124/0x760 nullb_update_nr_hw_queues+0x71/0xf0 [null_blk] nullb_device_submit_queues_store+0x92/0x120 [null_blk] kobjct_del() was called unconditionally even if sysfs creation failed. Fix it by checkig the kobject creation statusbefore deleting it. Уязвимость функции __blk_mq_update_nr_hw_queues() модуля block/blk-mq-sysfs.c поддержки блочного уровня ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить привилегии [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sparc: fix accurate exception reporting in copy_{from_to}_user for UltraSPARC The referenced commit introduced exception handlers on user-space memory references in copy_from_user and copy_to_user. These handlers return from the respective function and calculate the remaining bytes left to copy using the current register contents. This commit fixes a couple of bad calculations. This will fix the return value of copy_from_user and copy_to_user in the faulting case. The behaviour of memcpy stays unchanged. Уязвимость функции copy_from_user() и copy_to_user() модуля arch/sparc/lib/U1memcpy.S ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hwrng: ks-sa - fix division by zero in ks_sa_rng_init Fix division by zero in ks_sa_rng_init caused by missing clock pointer initialization. The clk_get_rate() call is performed on an uninitialized clk pointer, resulting in division by zero when calculating delay values. Add clock initialization code before using the clock. drivers/char/hw_random/ks-sa-rng.c | 7 +++++++ 1 file changed, 7 insertions(+) Уязвимость функции ks_sa_rng_init() модуля drivers/char/hw_random/ks-sa-rng.c ядра операционной системы Linux связана с ошибками деления на ноль. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sunrpc: fix null pointer dereference on zero-length checksum In xdr_stream_decode_opaque_auth(), zero-length checksum.len causes checksum.data to be set to NULL. This triggers a NPD when accessing checksum.data in gss_krb5_verify_mic_v2(). This patch ensures that the value of checksum.len is not less than XDR_UNIT. Уязвимость функции xdr_stream_decode_opaque_auth() модуля net/sunrpc/auth_gss/svcauth_gss.c реализации протокола RPC ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: Intel: sof_sdw: Prevent jump to NULL add_sidecar callback In create_sdw_dailink() check that sof_end->codec_info->add_sidecar is not NULL before calling it. The original code assumed that if include_sidecar is true, the codec on that link has an add_sidecar callback. But there could be other codecs on the same link that do not have an add_sidecar callback. Уязвимость функции create_sdw_dailink() модуля sound/soc/intel/boards/sof_sdw.c подсистемы поддержки процессоров на чипе (SoC) и портативных аудиокодеков AsoC ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: Use __sk_dst_get() and dst_dev_rcu() in mptcp_active_enable(). mptcp_active_enable() is called from subflow_finish_connect(), which is icsk->icsk_af_ops->sk_rx_dst_set() and it's not always under RCU. Using sk_dst_get(sk)->dev could trigger UAF. Let's use __sk_dst_get() and dst_dev_rcu(). Уязвимость функции __sk_dst_get() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm: fix NULL pointer dereference in __dm_suspend() There is a race condition between dm device suspend and table load that can lead to null pointer dereference. The issue occurs when suspend is invoked before table load completes: BUG: kernel NULL pointer dereference, address: 0000000000000054 Oops: 0000 [#1] PREEMPT SMP PTI CPU: 6 PID: 6798 Comm: dmsetup Not tainted 6.6.0-g7e52f5f0ca9b #62 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.1-2.fc37 04/01/2014 RIP: 0010:blk_mq_wait_quiesce_done+0x0/0x50 Call Trace: <TASK> blk_mq_quiesce_queue+0x2c/0x50 dm_stop_queue+0xd/0x20 __dm_suspend+0x130/0x330 dm_suspend+0x11a/0x180 dev_suspend+0x27e/0x560 ctl_ioctl+0x4cf/0x850 dm_ctl_ioctl+0xd/0x20 vfs_ioctl+0x1d/0x50 __se_sys_ioctl+0x9b/0xc0 __x64_sys_ioctl+0x19/0x30 x64_sys_call+0x2c4a/0x4620 do_syscall_64+0x9e/0x1b0 The issue can be triggered as below: T1 T2 dm_suspend table_load __dm_suspend dm_setup_md_queue dm_mq_init_request_queue blk_mq_init_allocated_queue => q->mq_ops = set->ops; (1) dm_stop_queue / dm_wait_for_completion => q->tag_set NULL pointer! (2) => q->tag_set = set; (3) Fix this by checking if a valid table (map) exists before performing request-based suspend and waiting for target I/O. When map is NULL, skip these table-dependent suspend steps. Even when map is NULL, no I/O can reach any target because there is no table loaded; I/O submitted in this state will fail early in the DM layer. Skipping the table-dependent suspend logic in this case is safe and avoids NULL pointer dereferences. Уязвимость функции __dm_suspend() ядра операционной системы Linux связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to truncate first page in error path of f2fs_truncate() syzbot reports a bug as below: loop0: detected capacity change from 0 to 40427 F2FS-fs (loop0): Wrong SSA boundary, start(3584) end(4096) blocks(3072) F2FS-fs (loop0): Can't find valid F2FS filesystem in 1th superblock F2FS-fs (loop0): invalid crc value F2FS-fs (loop0): f2fs_convert_inline_folio: corrupted inline inode ino=3, i_addr[0]:0x1601, run fsck to fix. ------------[ cut here ]------------ kernel BUG at fs/inode.c:753! RIP: 0010:clear_inode+0x169/0x190 fs/inode.c:753 Call Trace: <TASK> evict+0x504/0x9c0 fs/inode.c:810 f2fs_fill_super+0x5612/0x6fa0 fs/f2fs/super.c:5047 get_tree_bdev_flags+0x40e/0x4d0 fs/super.c:1692 vfs_get_tree+0x8f/0x2b0 fs/super.c:1815 do_new_mount+0x2a2/0x9e0 fs/namespace.c:3808 do_mount fs/namespace.c:4136 [inline] __do_sys_mount fs/namespace.c:4347 [inline] __se_sys_mount+0x317/0x410 fs/namespace.c:4324 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f During f2fs_evict_inode(), clear_inode() detects that we missed to truncate all page cache before destorying inode, that is because in below path, we will create page #0 in cache, but missed to drop it in error path, let's fix it. - evict - f2fs_evict_inode - f2fs_truncate - f2fs_convert_inline_inode - f2fs_grab_cache_folio : create page #0 in cache - f2fs_convert_inline_folio : sanity check failed, return -EFSCORRUPTED - clear_inode detects that inode->i_data.nrpages is not zero [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: Remove disruptive netif_wake_queue in rtl8150_set_multicast syzbot reported WARNING in rtl8150_start_xmit/usb_submit_urb. This is the sequence of events that leads to the warning: rtl8150_start_xmit() { netif_stop_queue(); usb_submit_urb(dev->tx_urb); } rtl8150_set_multicast() { netif_stop_queue(); netif_wake_queue(); <-- wakes up TX queue before URB is done } rtl8150_start_xmit() { netif_stop_queue(); usb_submit_urb(dev->tx_urb); <-- double submission } rtl8150_set_multicast being the ndo_set_rx_mode callback should not be calling netif_stop_queue and notif_start_queue as these handle TX queue synchronization. The net core function dev_set_rx_mode handles the synchronization for rtl8150_set_multicast making it safe to remove these locks. Уязвимость функции rtl8150_start_xmit() ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: ISO: Fix possible UAF on iso_conn_free This attempt to fix similar issue to sco_conn_free where if the conn->sk is not set to NULL may lead to UAF on iso_conn_free. Уязвимость функции iso_conn_free() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bluetooth.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bluetooth в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bluetooth ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install bluetooth /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: pcm: Disable bottom softirqs as part of spin_lock_irq() on PREEMPT_RT snd_pcm_group_lock_irq() acquires a spinlock_t and disables interrupts via spin_lock_irq(). This also implicitly disables the handling of softirqs such as TIMER_SOFTIRQ. On PREEMPT_RT softirqs are preemptible and spin_lock_irq() does not disable them. That means a timer can be invoked during spin_lock_irq() on the same CPU. Due to synchronisations reasons local_bh_disable() has a per-CPU lock named softirq_ctrl.lock which synchronizes individual softirq against each other. syz-bot managed to trigger a lockdep report where softirq_ctrl.lock is acquired in hrtimer_cancel() in addition to hrtimer_run_softirq(). This is a possible deadlock. The softirq_ctrl.lock can not be made part of spin_lock_irq() as this would lead to too much synchronisation against individual threads on the system. To avoid the possible deadlock, softirqs must be manually disabled before the lock is acquired. Disable softirqs before the lock is acquired on PREEMPT_RT. Уязвимость модуля sound/core/pcm_native.c ядра операционной системы Linux связана c взаимной блокировкой потоков выполнения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm: hugetlb: avoid soft lockup when mprotect to large memory area When calling mprotect() to a large hugetlb memory area in our customer's workload (~300GB hugetlb memory), soft lockup was observed: watchdog: BUG: soft lockup - CPU#98 stuck for 23s! [t2_new_sysv:126916] CPU: 98 PID: 126916 Comm: t2_new_sysv Kdump: loaded Not tainted 6.17-rc7 Hardware name: GIGACOMPUTING R2A3-T40-AAV1/Jefferson CIO, BIOS 5.4.4.1 07/15/2025 pstate: 20400009 (nzCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : mte_clear_page_tags+0x14/0x24 lr : mte_sync_tags+0x1c0/0x240 sp : ffff80003150bb80 x29: ffff80003150bb80 x28: ffff00739e9705a8 x27: 0000ffd2d6a00000 x26: 0000ff8e4bc00000 x25: 00e80046cde00f45 x24: 0000000000022458 x23: 0000000000000000 x22: 0000000000000004 x21: 000000011b380000 x20: ffff000000000000 x19: 000000011b379f40 x18: 0000000000000000 x17: 0000000000000000 x16: 0000000000000000 x15: 0000000000000000 x14: 0000000000000000 x13: 0000000000000000 x12: 0000000000000000 x11: 0000000000000000 x10: 0000000000000000 x9 : ffffc875e0aa5e2c x8 : 0000000000000000 x7 : 0000000000000000 x6 : 0000000000000000 x5 : fffffc01ce7a5c00 x4 : 00000000046cde00 x3 : fffffc0000000000 x2 : 0000000000000004 x1 : 0000000000000040 x0 : ffff0046cde7c000 Call trace:   mte_clear_page_tags+0x14/0x24   set_huge_pte_at+0x25c/0x280   hugetlb_change_protection+0x220/0x430   change_protection+0x5c/0x8c   mprotect_fixup+0x10c/0x294   do_mprotect_pkey.constprop.0+0x2e0/0x3d4   __arm64_sys_mprotect+0x24/0x44   invoke_syscall+0x50/0x160   el0_svc_common+0x48/0x144   do_el0_svc+0x30/0xe0   el0_svc+0x30/0xf0   el0t_64_sync_handler+0xc4/0x148   el0t_64_sync+0x1a4/0x1a8 Soft lockup is not triggered with THP or base page because there is cond_resched() called for each PMD size. Although the soft lockup was triggered by MTE, it should be not MTE specific. The other processing which takes long time in the loop may trigger soft lockup too. So add cond_resched() for hugetlb to avoid soft lockup. Уязвимость модуля mm/hugetlb.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: Intel: bytcr_rt5640: Fix invalid quirk input mapping When an invalid value is passed via quirk option, currently bytcr_rt5640 driver only shows an error message but leaves as is. This may lead to unepxected results like OOB access. This patch corrects the input mapping to the certain default value if an invalid value is passed. Уязвимость модуля sound/soc/intel/boards/bytcr_rt5640.c ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля snd-soc-core.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль snd-soc-core в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep snd-soc-core ``` или ``` kmod list | grep snd-soc-core ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod snd-soc-core ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install snd-soc-core /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/vt-d: debugfs: Fix legacy mode page table dump logic In legacy mode, SSPTPTR is ignored if TT is not 00b or 01b. SSPTPTR maybe uninitialized or zero in that case and may cause oops like: Oops: general protection fault, probably for non-canonical address 0xf00087d3f000f000: 0000 [#1] SMP NOPTI CPU: 2 UID: 0 PID: 786 Comm: cat Not tainted 6.16.0 #191 PREEMPT(voluntary) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.17.0-5.fc42 04/01/2014 RIP: 0010:pgtable_walk_level+0x98/0x150 RSP: 0018:ffffc90000f279c0 EFLAGS: 00010206 RAX: 0000000040000000 RBX: ffffc90000f27ab0 RCX: 000000000000001e RDX: 0000000000000003 RSI: f00087d3f000f000 RDI: f00087d3f0010000 RBP: ffffc90000f27a00 R08: ffffc90000f27a98 R09: 0000000000000002 R10: 0000000000000000 R11: 0000000000000000 R12: f00087d3f000f000 R13: 0000000000000000 R14: 0000000040000000 R15: ffffc90000f27a98 FS: 0000764566dcb740(0000) GS:ffff8881f812c000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000764566d44000 CR3: 0000000109d81003 CR4: 0000000000772ef0 PKRU: 55555554 Call Trace: <TASK> pgtable_walk_level+0x88/0x150 domain_translation_struct_show.isra.0+0x2d9/0x300 dev_domain_translation_struct_show+0x20/0x40 seq_read_iter+0x12d/0x490 ... Avoid walking the page table if TT is not 00b or 01b. Уязвимость модуля drivers/iommu/intel/debugfs.c ялра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PM / devfreq: mtk-cci: Fix potential error pointer dereference in probe() The drv->sram_reg pointer could be set to ERR_PTR(-EPROBE_DEFER) which would lead to a error pointer dereference. Use IS_ERR_OR_NULL() to check that the pointer is valid. Уязвимость функции probe() ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: EDAC/i10nm: Skip DIMM enumeration on a disabled memory controller When loading the i10nm_edac driver on some Intel Granite Rapids servers, a call trace may appear as follows: UBSAN: shift-out-of-bounds in drivers/edac/skx_common.c:453:16 shift exponent -66 is negative ... __ubsan_handle_shift_out_of_bounds+0x1e3/0x390 skx_get_dimm_info.cold+0x47/0xd40 [skx_edac_common] i10nm_get_dimm_config+0x23e/0x390 [i10nm_edac] skx_register_mci+0x159/0x220 [skx_edac_common] i10nm_init+0xcb0/0x1ff0 [i10nm_edac] ... This occurs because some BIOS may disable a memory controller if there aren't any memory DIMMs populated on this memory controller. The DIMMMTR register of this disabled memory controller contains the invalid value ~0, resulting in the call trace above. Fix this call trace by skipping DIMM enumeration on a disabled memory controller. Уязвимость модуля drivers/edac/i10nm_base.c ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xsk: Harden userspace-supplied xdp_desc validation Turned out certain clearly invalid values passed in xdp_desc from userspace can pass xp_{,un}aligned_validate_desc() and then lead to UBs or just invalid frames to be queued for xmit. desc->len close to ``U32_MAX`` with a non-zero pool->tx_metadata_len can cause positive integer overflow and wraparound, the same way low enough desc->addr with a non-zero pool->tx_metadata_len can cause negative integer overflow. Both scenarios can then pass the validation successfully. This doesn't happen with valid XSk applications, but can be used to perform attacks. Always promote desc->len to ``u64`` first to exclude positive overflows of it. Use explicit check_{add,sub}_overflow() when validating desc->addr (which is ``u64`` already). bloat-o-meter reports a little growth of the code size: add/remove: 0/0 grow/shrink: 2/1 up/down: 60/-16 (44) Function old new delta xskq_cons_peek_desc 299 330 +31 xsk_tx_peek_release_desc_batch 973 1002 +29 xsk_generic_xmit 3148 3132 -16 but hopefully this doesn't hurt the performance much. Уязвимость ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xen/events: Return -EEXIST for bound VIRQs Change find_virq() to return -EEXIST when a VIRQ is bound to a different CPU than the one passed in. With that, remove the BUG_ON() from bind_virq_to_irq() to propogate the error upwards. Some VIRQs are per-cpu, but others are per-domain or global. Those must be bound to CPU0 and can then migrate elsewhere. The lookup for per-domain and global will probably fail when migrated off CPU 0, especially when the current CPU is tracked. This now returns -EEXIST instead of BUG_ON(). A second call to bind a per-domain or global VIRQ is not expected, but make it non-fatal to avoid trying to look up the irq, since we don't know which per_cpu(virq_to_irq) it will be in. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mailbox: zynqmp-ipi: Fix SGI cleanup on unbind The driver incorrectly determines SGI vs SPI interrupts by checking IRQ number < 16, which fails with dynamic IRQ allocation. During unbind, this causes improper SGI cleanup leading to kernel crash. Add explicit irq_type field to pdata for reliable identification of SGI interrupts (type-2) and only clean up SGI resources when appropriate. Уязвимость функций czynqmp_ipi_free_mboxes() и zynqmp_ipi_probe() модуля drivers/mailbox/zynqmp-ipi-mailbox.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: amd/sdw_utils: avoid NULL deref when devm_kasprintf() fails devm_kasprintf() may return NULL on memory allocation failure, but the debug message prints cpus->dai_name before checking it. Move the dev_dbg() call after the NULL check to prevent potential NULL pointer dereference. Уязвимость функции devm_kasprintf() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: nxp: imx8-isi: m2m: Fix streaming cleanup on release If streamon/streamoff calls are imbalanced, such as when exiting an application with Ctrl+C when streaming, the m2m usage_count will never reach zero and the ISI channel won't be freed. Besides from that, if the input line width is more than 2K, it will trigger a WARN_ON(): [ 59.222120] ------------[ cut here ]------------ [ 59.226758] WARNING: drivers/media/platform/nxp/imx8-isi/imx8-isi-hw.c:631 at mxc_isi_channel_chain+0xa4/0x120, CPU#4: v4l2-ctl/654 [ 59.238569] Modules linked in: ap1302 [ 59.242231] CPU: 4 UID: 0 PID: 654 Comm: v4l2-ctl Not tainted 6.16.0-rc4-next-20250704-06511-gff0e002d480a-dirty #258 PREEMPT [ 59.253597] Hardware name: NXP i.MX95 15X15 board (DT) [ 59.258720] pstate: 80400009 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 59.265669] pc : mxc_isi_channel_chain+0xa4/0x120 [ 59.270358] lr : mxc_isi_channel_chain+0x44/0x120 [ 59.275047] sp : ffff8000848c3b40 [ 59.278348] x29: ffff8000848c3b40 x28: ffff0000859b4c98 x27: ffff800081939f00 [ 59.285472] x26: 000000000000000a x25: ffff0000859b4cb8 x24: 0000000000000001 [ 59.292597] x23: ffff0000816f4760 x22: ffff0000816f4258 x21: ffff000084ceb780 [ 59.299720] x20: ffff000084342ff8 x19: ffff000084340000 x18: 0000000000000000 [ 59.306845] x17: 0000000000000000 x16: 0000000000000000 x15: 0000ffffdb369e1c [ 59.313969] x14: 0000000000000000 x13: 0000000000000000 x12: 0000000000000000 [ 59.321093] x11: 0000000000000000 x10: 0000000000000000 x9 : 0000000000000000 [ 59.328217] x8 : ffff8000848c3d48 x7 : ffff800081930b30 x6 : ffff800081930b30 [ 59.335340] x5 : ffff0000859b6000 x4 : ffff80008193ae80 x3 : ffff800081022420 [ 59.342464] x2 : ffff0000852f6900 x1 : 0000000000000001 x0 : ffff000084341000 [ 59.349590] Call trace: [ 59.352025] mxc_isi_channel_chain+0xa4/0x120 (P) [ 59.356722] mxc_isi_m2m_streamon+0x160/0x20c [ 59.361072] v4l_streamon+0x24/0x30 [ 59.364556] __video_do_ioctl+0x40c/0x4a0 [ 59.368560] video_usercopy+0x2bc/0x690 [ 59.372382] video_ioctl2+0x18/0x24 [ 59.375857] v4l2_ioctl+0x40/0x60 [ 59.379168] __arm64_sys_ioctl+0xac/0x104 [ 59.383172] invoke_syscall+0x48/0x104 [ 59.386916] el0_svc_common.constprop.0+0xc0/0xe0 [ 59.391613] do_el0_svc+0x1c/0x28 [ 59.394915] el0_svc+0x34/0xf4 [ 59.397966] el0t_64_sync_handler+0xa0/0xe4 [ 59.402143] el0t_64_sync+0x198/0x19c [ 59.405801] ---[ end trace 0000000000000000 ]--- Address this issue by moving the streaming preparation and cleanup to the vb2 .prepare_streaming() and .unprepare_streaming() operations. This also simplifies the driver by allowing direct usage of the v4l2_m2m_ioctl_streamon() and v4l2_m2m_ioctl_streamoff() helpers. Уязвимость компонента drivers/media/platform/nxp/imx8-isi/imx8-isi-m2m.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe/guc: Check GuC running state before deregistering exec queue In normal operation, a registered exec queue is disabled and deregistered through the GuC, and freed only after the GuC confirms completion. However, if the driver is forced to unbind while the exec queue is still running, the user may call exec_destroy() after the GuC has already been stopped and CT communication disabled. In this case, the driver cannot receive a response from the GuC, preventing proper cleanup of exec queue resources. Fix this by directly releasing the resources when GuC is not running. Here is the failure dmesg log: " [ 468.089581] ---[ end trace 0000000000000000 ]--- [ 468.089608] pci 0000:03:00.0: [drm] *ERROR* GT0: GUC ID manager unclean (1/65535) [ 468.090558] pci 0000:03:00.0: [drm] GT0: total 65535 [ 468.090562] pci 0000:03:00.0: [drm] GT0: used 1 [ 468.090564] pci 0000:03:00.0: [drm] GT0: range 1..1 (1) [ 468.092716] ------------[ cut here ]------------ [ 468.092719] WARNING: CPU: 14 PID: 4775 at drivers/gpu/drm/xe/xe_ttm_vram_mgr.c:298 ttm_vram_mgr_fini+0xf8/0x130 [xe] " v2: use xe_uc_fw_is_running() instead of xe_guc_ct_enabled(). As CT may go down and come back during VF migration. (cherry picked from commit 9b42321a02c50a12b2beb6ae9469606257fbecea) Уязвимость компонента drivers/gpu/drm/xe ядра операционной системы Linux связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: detect invalid INLINE_DATA + EXTENTS flag combination syzbot reported a BUG_ON in ext4_es_cache_extent() when opening a verity file on a corrupted ext4 filesystem mounted without a journal. The issue is that the filesystem has an inode with both the INLINE_DATA and EXTENTS flags set: EXT4-fs error (device loop0): ext4_cache_extents:545: inode #15: comm syz.0.17: corrupted extent tree: lblk 0 < prev 66 Investigation revealed that the inode has both flags set: DEBUG: inode 15 - flag=1, i_inline_off=164, has_inline=1, extents_flag=1 This is an invalid combination since an inode should have either: - INLINE_DATA: data stored directly in the inode - EXTENTS: data stored in extent-mapped blocks Having both flags causes ext4_has_inline_data() to return true, skipping extent tree validation in __ext4_iget(). The unvalidated out-of-order extents then trigger a BUG_ON in ext4_es_cache_extent() due to integer underflow when calculating hole sizes. Fix this by detecting this invalid flag combination early in ext4_iget() and rejecting the corrupted inode. Уязвимость компонента fs/ext4 ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Reject negative offsets for ALU ops When verifying BPF programs, the check_alu_op() function validates instructions with ALU operations. The 'offset' field in these instructions is a signed 16-bit integer. The existing check 'insn->off > 1' was intended to ensure the offset is either 0, or 1 for BPF_MOD/BPF_DIV. However, because 'insn->off' is signed, this check incorrectly accepts all negative values (e.g., -1). This commit tightens the validation by changing the condition to '(insn->off != 0 && insn->off != 1)'. This ensures that any value other than the explicitly permitted 0 and 1 is rejected, hardening the verifier against malformed BPF programs. Уязвимость компонента kernel/bpf ядра операционной системы Linux связана с отсутствием проверки на соответствие минимальному значению диапазона. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvmet-fc: move lsop put work to nvmet_fc_ls_req_op It’s possible for more than one async command to be in flight from __nvmet_fc_send_ls_req. For each command, a tgtport reference is taken. In the current code, only one put work item is queued at a time, which results in a leaked reference. To fix this, move the work item to the nvmet_fc_ls_req_op struct, which already tracks all resources related to the command. Уязвимость ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: accel/qaic: Treat remaining == 0 as error in find_and_map_user_pages() Currently, if find_and_map_user_pages() takes a DMA xfer request from the user with a length field set to 0, or in a rare case, the host receives QAIC_TRANS_DMA_XFER_CONT from the device where resources->xferred_dma_size is equal to the requested transaction size, the function will return 0 before allocating an sgt or setting the fields of the dma_xfer struct. In that case, encode_addr_size_pairs() will try to access the sgt which will lead to a general protection fault. Return an EINVAL in case the user provides a zero-sized ALP, or the device requests continuation after all of the bytes have been transferred. Уязвимость функции find_and_map_user_pages() компонента drivers/accel/qaic/qaic_control.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/ip6_tunnel: Prevent perpetual tunnel growth Similarly to ipv4 tunnel, ipv6 version updates dev->needed_headroom, too. While ipv4 tunnel headroom adjustment growth was limited in commit 5ae1e9922bbd ("net: ip_tunnel: prevent perpetual headroom growth"), ipv6 tunnel yet increases the headroom without any ceiling. Reflect ipv4 tunnel headroom adjustment limit on ipv6 version. Credits to Francesco Ruggeri, who was originally debugging this issue and wrote local Arista-specific patch and a reproducer. Уязвимость модулей include/net/ip_tunnels.h, net/ipv4/ip_tunnel.c, net/ipv6/ip6_tunnel.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tls: wait for pending async decryptions if tls_strp_msg_hold fails Async decryption calls tls_strp_msg_hold to create a clone of the input skb to hold references to the memory it uses. If we fail to allocate that clone, proceeding with async decryption can lead to various issues (UAF on the skb, writing into userspace memory after the recv() call has returned). In this case, wait for all pending decryption requests. Уязвимость функции tls_strp_msg_hold() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: accel/qaic: Fix bootlog initialization ordering As soon as we queue MHI buffers to receive the bootlog from the device, we could be receiving data. Therefore all the resources needed to process that data need to be setup prior to queuing the buffers. We currently initialize some of the resources after queuing the buffers which creates a race between the probe() and any data that comes back from the device. If the uninitialized resources are accessed, we could see page faults. Fix the init ordering to close the race. Уязвимость функции probe() ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pid: Add a judgment for ns null in pid_nr_ns __task_pid_nr_ns ns = task_active_pid_ns(current); pid_nr_ns(rcu_dereference(*task_pid_ptr(task, type)), ns); if (pid && ns->level <= pid->level) { Sometimes null is returned for task_active_pid_ns. Then it will trigger kernel panic in pid_nr_ns. For example: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000058 Mem abort info: ESR = 0x0000000096000007 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x07: level 3 translation fault Data abort info: ISV = 0, ISS = 0x00000007, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 user pgtable: 4k pages, 39-bit VAs, pgdp=00000002175aa000 [0000000000000058] pgd=08000002175ab003, p4d=08000002175ab003, pud=08000002175ab003, pmd=08000002175be003, pte=0000000000000000 pstate: 834000c5 (Nzcv daIF +PAN -UAO +TCO +DIT -SSBS BTYPE=--) pc : __task_pid_nr_ns+0x74/0xd0 lr : __task_pid_nr_ns+0x24/0xd0 sp : ffffffc08001bd10 x29: ffffffc08001bd10 x28: ffffffd4422b2000 x27: 0000000000000001 x26: ffffffd442821168 x25: ffffffd442821000 x24: 00000f89492eab31 x23: 00000000000000c0 x22: ffffff806f5693c0 x21: ffffff806f5693c0 x20: 0000000000000001 x19: 0000000000000000 x18: 0000000000000000 x17: 00000000529c6ef0 x16: 00000000529c6ef0 x15: 00000000023a1adc x14: 0000000000000003 x13: 00000000007ef6d8 x12: 001167c391c78800 x11: 00ffffffffffffff x10: 0000000000000000 x9 : 0000000000000001 x8 : ffffff80816fa3c0 x7 : 0000000000000000 x6 : 49534d702d535449 x5 : ffffffc080c4c2c0 x4 : ffffffd43ee128c8 x3 : ffffffd43ee124dc x2 : 0000000000000000 x1 : 0000000000000001 x0 : ffffff806f5693c0 Call trace: __task_pid_nr_ns+0x74/0xd0 ... __handle_irq_event_percpu+0xd4/0x284 handle_irq_event+0x48/0xb0 handle_fasteoi_irq+0x160/0x2d8 generic_handle_domain_irq+0x44/0x60 gic_handle_irq+0x4c/0x114 call_on_irq_stack+0x3c/0x74 do_interrupt_handler+0x4c/0x84 el1_interrupt+0x34/0x58 el1h_64_irq_handler+0x18/0x24 el1h_64_irq+0x68/0x6c account_kernel_stack+0x60/0x144 exit_task_stack_account+0x1c/0x80 do_exit+0x7e4/0xaf8 ... get_signal+0x7bc/0x8d8 do_notify_resume+0x128/0x828 el0_svc+0x6c/0x70 el0t_64_sync_handler+0x68/0xbc el0t_64_sync+0x1a8/0x1ac Code: 35fffe54 911a02a8 f9400108 b4000128 (b9405a69) ---[ end trace 0000000000000000 ]--- Kernel panic - not syncing: Oops: Fatal exception in interrupt Уязвимость функции pid_nr_ns() ядра операционной системы Linux связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: verify orphan file size is not too big In principle orphan file can be arbitrarily large. However orphan replay needs to traverse it all and we also pin all its buffers in memory. Thus filesystems with absurdly large orphan files can lead to big amounts of memory consumed. Limit orphan file size to a sane value and also use kvmalloc() for allocating array of block descriptor structures to avoid large order allocations for sane but large orphan files. Уязвимость функции kvmalloc() ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mailbox: zynqmp-ipi: Fix out-of-bounds access in mailbox cleanup loop The cleanup loop was starting at the wrong array index, causing out-of-bounds access. Start the loop at the correct index for zero-indexed arrays to prevent accessing memory beyond the allocated array bounds. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/kvm: Force legacy PCI hole to UC when overriding MTRRs for TDX/SNP When running as an SNP or TDX guest under KVM, force the legacy PCI hole, i.e. memory between Top of Lower Usable DRAM and 4GiB, to be mapped as UC via a forced variable MTRR range. In most KVM-based setups, legacy devices such as the HPET and TPM are enumerated via ACPI. ACPI enumeration includes a Memory32Fixed entry, and optionally a SystemMemory descriptor for an OperationRegion, e.g. if the device needs to be accessed via a Control Method. If a SystemMemory entry is present, then the kernel's ACPI driver will auto-ioremap the region so that it can be accessed at will. However, the ACPI spec doesn't provide a way to enumerate the memory type of SystemMemory regions, i.e. there's no way to tell software that a region must be mapped as UC vs. WB, etc. As a result, Linux's ACPI driver always maps SystemMemory regions using ioremap_cache(), i.e. as WB on x86. The dedicated device drivers however, e.g. the HPET driver and TPM driver, want to map their associated memory as UC or WC, as accessing PCI devices using WB is unsupported. On bare metal and non-CoCO, the conflicting requirements "work" as firmware configures the PCI hole (and other device memory) to be UC in the MTRRs. So even though the ACPI mappings request WB, they are forced to UC- in the kernel's tracking due to the kernel properly handling the MTRR overrides, and thus are compatible with the drivers' requested WC/UC-. With force WB MTRRs on SNP and TDX guests, the ACPI mappings get their requested WB if the ACPI mappings are established before the dedicated driver code attempts to initialize the device. E.g. if acpi_init() runs before the corresponding device driver is probed, ACPI's WB mapping will "win", and result in the driver's ioremap() failing because the existing WB mapping isn't compatible with the requested WC/UC-. E.g. when a TPM is emulated by the hypervisor (ignoring the security implications of relying on what is allegedly an untrusted entity to store measurements), the TPM driver will request UC and fail: [ 1.730459] ioremap error for 0xfed40000-0xfed45000, requested 0x2, got 0x0 [ 1.732780] tpm_tis MSFT0101:00: probe with driver tpm_tis failed with error -12 Note, the '0x2' and '0x0' values refer to "enum page_cache_mode", not x86's memtypes (which frustratingly are an almost pure inversion; 2 == WB, 0 == UC). E.g. tracing mapping requests for TPM TIS yields: Mapping TPM TIS with req_type = 0 WARNING: CPU: 22 PID: 1 at arch/x86/mm/pat/memtype.c:530 memtype_reserve+0x2ab/0x460 Modules linked in: CPU: 22 UID: 0 PID: 1 Comm: swapper/0 Tainted: G W 6.16.0-rc7+ #2 VOLUNTARY Tainted: [W]=WARN Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/29/2025 RIP: 0010:memtype_reserve+0x2ab/0x460 __ioremap_caller+0x16d/0x3d0 ioremap_cache+0x17/0x30 x86_acpi_os_ioremap+0xe/0x20 acpi_os_map_iomem+0x1f3/0x240 acpi_os_map_memory+0xe/0x20 acpi_ex_system_memory_space_handler+0x273/0x440 acpi_ev_address_space_dispatch+0x176/0x4c0 acpi_ex_access_region+0x2ad/0x530 acpi_ex_field_datum_io+0xa2/0x4f0 acpi_ex_extract_from_field+0x296/0x3e0 acpi_ex_read_data_from_field+0xd1/0x460 acpi_ex_resolve_node_to_value+0x2ee/0x530 acpi_ex_resolve_to_value+0x1f2/0x540 acpi_ds_evaluate_name_path+0x11b/0x190 acpi_ds_exec_end_op+0x456/0x960 acpi_ps_parse_loop+0x27a/0xa50 acpi_ps_parse_aml+0x226/0x600 acpi_ps_execute_method+0x172/0x3e0 acpi_ns_evaluate+0x175/0x5f0 acpi_evaluate_object+0x213/0x490 acpi_evaluate_integer+0x6d/0x140 acpi_bus_get_status+0x93/0x150 acpi_add_single_object+0x43a/0x7c0 acpi_bus_check_add+0x149/0x3a0 acpi_bus_check_add_1+0x16/0x30 acpi_ns_walk_namespace+0x22c/0x360 acpi_walk_namespace+0x15c/0x170 acpi_bus_scan+0x1dd/0x200 acpi_scan_init+0xe5/0x2b0 acpi_init+0x264/0x5b0 do_one_i ---truncated--- Уязвимость функции ioremap_cache() ядра операционной системы Linux связана с неправильной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix metadata_dst leak __bpf_redirect_neigh_v{4,6} Cilium has a BPF egress gateway feature which forces outgoing K8s Pod traffic to pass through dedicated egress gateways which then SNAT the traffic in order to interact with stable IPs outside the cluster. The traffic is directed to the gateway via vxlan tunnel in collect md mode. A recent BPF change utilized the bpf_redirect_neigh() helper to forward packets after the arrival and decap on vxlan, which turned out over time that the kmalloc-256 slab usage in kernel was ever-increasing. The issue was that vxlan allocates the metadata_dst object and attaches it through a fake dst entry to the skb. The latter was never released though given bpf_redirect_neigh() was merely setting the new dst entry via skb_dst_set() without dropping an existing one first. Уязвимость функции bpf_redirect_neigh() ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ice: ice_adapter: release xa entry on adapter allocation failure When ice_adapter_new() fails, the reserved XArray entry created by xa_insert() is not released. This causes subsequent insertions at the same index to return -EBUSY, potentially leading to NULL pointer dereferences. Reorder the operations as suggested by Przemek Kitszel: 1. Check if adapter already exists (xa_load) 2. Reserve the XArray slot (xa_reserve) 3. Allocate the adapter (ice_adapter_new) 4. Store the adapter (xa_store) Уязвимость функции ice_adapter_new() ядра операционной системы Linux связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sctp: fix a null dereference in sctp_disposition sctp_sf_do_5_1D_ce() If new_asoc->peer.adaptation_ind=0 and sctp_ulpevent_make_authkey=0 and sctp_ulpevent_make_authkey() returns 0, then the variable ai_ev remains zero and the zero will be dereferenced in the sctp_ulpevent_free() function. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pwm: berlin: Fix wrong register in suspend/resume The 'enable' register should be BERLIN_PWM_EN rather than BERLIN_PWM_ENABLE, otherwise, the driver accesses wrong address, there will be cpu exception then kernel panic during suspend/resume. Уязвимость модуля drivers/pwm/pwm-berlin.c ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: guard against EA inode refcount underflow in xattr update syzkaller found a path where ext4_xattr_inode_update_ref() reads an EA inode refcount that is already <= 0 and then applies ref_change (often -1). That lets the refcount underflow and we proceed with a bogus value, triggering errors like: EXT4-fs error: EA inode <n> ref underflow: ref_count=-1 ref_change=-1 EXT4-fs warning: ea_inode dec ref err=-117 Make the invariant explicit: if the current refcount is non-positive, treat this as on-disk corruption, emit ext4_error_inode(), and fail the operation with -EFSCORRUPTED instead of updating the refcount. Delete the WARN_ONCE() as negative refcounts are now impossible; keep error reporting in ext4_error_inode(). This prevents the underflow and the follow-on orphan/cleanup churn. Уязвимость функции ext4_xattr_inode_update_ref() ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Revert "ipmi: fix msg stack when IPMI is disconnected" This reverts commit c608966f3f9c2dca596967501d00753282b395fc. This patch has a subtle bug that can cause the IPMI driver to go into an infinite loop if the BMC misbehaves in a certain way. Apparently certain BMCs do misbehave this way because several reports have come in recently about this. Уязвимость функций init_kcs_data_with_state(), start_kcs_transaction() и kcs_event() ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xtensa: simdisk: add input size check in proc_write_simdisk A malicious user could pass an arbitrarily bad value to memdup_user_nul(), potentially causing kernel crash. This follows the same pattern as commit ee76746387f6 ("netdevsim: prevent bad user input in nsim_dev_health_break_write()") Уязвимость функции memdup_user_nul() ядра операционной системы Linux связана с некорректным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cpufreq: intel_pstate: Fix object lifecycle issue in update_qos_request() The cpufreq_cpu_put() call in update_qos_request() takes place too early because the latter subsequently calls freq_qos_update_request() that indirectly accesses the policy object in question through the QoS request object passed to it. Fortunately, update_qos_request() is called under intel_pstate_driver_lock, so this issue does not matter for changing the intel_pstate operation mode, but it theoretically can cause a crash to occur on CPU device hot removal (which currently can only happen in virt, but it is formally supported nevertheless). Address this issue by modifying update_qos_request() to drop the reference to the policy later. Уязвимость функции update_qos_request() ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mount: handle NULL values in mnt_ns_release() When calling in listmount() mnt_ns_release() may be passed a NULL pointer. Handle that case gracefully. Уязвимость функции mnt_ns_release() ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs: quota: create dedicated workqueue for quota_release_work There is a kernel panic due to WARN_ONCE when panic_on_warn is set. This issue occurs when writeback is triggered due to sync call for an opened file(ie, writeback reason is WB_REASON_SYNC). When f2fs balance is needed at sync path, flush for quota_release_work is triggered. By default quota_release_work is queued to "events_unbound" queue which does not have WQ_MEM_RECLAIM flag. During f2fs balance "writeback" workqueue tries to flush quota_release_work causing kernel panic due to MEM_RECLAIM flag mismatch errors. This patch creates dedicated workqueue with WQ_MEM_RECLAIM flag for work quota_release_work. ------------[ cut here ]------------ WARNING: CPU: 4 PID: 14867 at kernel/workqueue.c:3721 check_flush_dependency+0x13c/0x148 Call trace: check_flush_dependency+0x13c/0x148 __flush_work+0xd0/0x398 flush_delayed_work+0x44/0x5c dquot_writeback_dquots+0x54/0x318 f2fs_do_quota_sync+0xb8/0x1a8 f2fs_write_checkpoint+0x3cc/0x99c f2fs_gc+0x190/0x750 f2fs_balance_fs+0x110/0x168 f2fs_write_single_data_page+0x474/0x7dc f2fs_write_data_pages+0x7d0/0xd0c do_writepages+0xe0/0x2f4 __writeback_single_inode+0x44/0x4ac writeback_sb_inodes+0x30c/0x538 wb_writeback+0xf4/0x440 wb_workfn+0x128/0x5d4 process_scheduled_works+0x1c4/0x45c worker_thread+0x32c/0x3e8 kthread+0x11c/0x1b0 ret_from_fork+0x10/0x20 Kernel panic - not syncing: kernel: panic_on_warn set ... [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: mc: Clear minor number before put device The device minor should not be cleared after the device is released. Уязвимость компонента media ядра операционной системы Linux связана c использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: avoid potential buffer over-read in parse_apply_sb_mount_options() Unlike other strings in the ext4 superblock, we rely on tune2fs to make sure s_mount_opts is NUL terminated. Harden parse_apply_sb_mount_options() by treating s_mount_opts as a potential __nonstring. Уязвимость функции parse_apply_sb_mount_options() ядра операционной системы Linux связана с ошибками при завершении строки или массива символом NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: page_pool: Fix PP_MAGIC_MASK to avoid crashing on some 32-bit arches Helge reported that the introduction of PP_MAGIC_MASK let to crashes on boot on his 32-bit parisc machine. The cause of this is the mask is set too wide, so the page_pool_page_is_pp() incurs false positives which crashes the machine. Just disabling the check in page_pool_is_pp() will lead to the page_pool code itself malfunctioning; so instead of doing this, this patch changes the define for PP_DMA_INDEX_BITS to avoid mistaking arbitrary kernel pointers for page_pool-tagged pages. The fix relies on the kernel pointers that alias with the pp_magic field always being above PAGE_OFFSET. With this assumption, we can use the lowest bit of the value of PAGE_OFFSET as the upper bound of the PP_DMA_INDEX_MASK, which should avoid the false positives. Because we cannot rely on PAGE_OFFSET always being a compile-time constant, nor on it always being >0, we fall back to disabling the dma_index storage when there are not enough bits available. This leaves us in the situation we were in before the patch in the Fixes tag, but only on a subset of architecture configurations. This seems to be the best we can do until the transition to page types in complete for page_pool pages. v2: - Make sure there's at least 8 bits available and that the PAGE_OFFSET bit calculation doesn't wrap Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Squashfs: reject negative file sizes in squashfs_read_inode() Syskaller reports a "WARNING in ovl_copy_up_file" in overlayfs. This warning is ultimately caused because the underlying Squashfs file system returns a file with a negative file size. This commit checks for a negative file size and returns EINVAL. [phillip@squashfs.org.uk: only need to check 64 bit quantity] Уязвимость функции squashfs_read_inode() файловой системы SquashFS ядра операционной системы Linux связана со сравнением числовых диапазонов без минимальной проверки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: kernel/sys.c: fix the racy usage of task_lock(tsk->group_leader) in sys_prlimit64() paths The usage of task_lock(tsk->group_leader) in sys_prlimit64()->do_prlimit() path is very broken. sys_prlimit64() does get_task_struct(tsk) but this only protects task_struct itself. If tsk != current and tsk is not a leader, this process can exit/exec and task_lock(tsk->group_leader) may use the already freed task_struct. Another problem is that sys_prlimit64() can race with mt-exec which changes ->group_leader. In this case do_prlimit() may take the wrong lock, or (worse) ->group_leader may change between task_lock() and task_unlock(). Change sys_prlimit64() to take tasklist_lock when necessary. This is not nice, but I don't see a better fix for -stable. Уязвимость модуля kernel/sys.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipmi: Rework user message limit handling The limit on the number of user messages had a number of issues, improper counting in some cases and a use after free. Restructure how this is all done to handle more in the receive message allocation routine, so all refcouting and user message limit counts are done in that routine. It's a lot cleaner and safer. Уязвимость модуля drivers/char/ipmi/ipmi_msghandler.c ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: listmount: don't call path_put() under namespace semaphore Massage listmount() and make sure we don't call path_put() under the namespace semaphore. If we put the last reference we're fscked. Уязвимость функции path_put() модуля fs/namespace.c ядра операционной системы Linux связана с недостаточным контролем ресурса в период его существования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sctp: Fix MAC comparison to be constant-time To prevent timing attacks, MACs need to be compared in constant time. Use the appropriate helper function for this. Уязвимость модулей net/sctp/sm_make_chunk.c и net/sctp/sm_statefuns.c ядра операционной системы Linux связана с раскрытием информации из-за несоответствия во времени. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: avoid potential out-of-bounds in btrfs_encode_fh() The function btrfs_encode_fh() does not properly account for the three cases it handles. Before writing to the file handle (fh), the function only returns to the user BTRFS_FID_SIZE_NON_CONNECTABLE (5 dwords, 20 bytes) or BTRFS_FID_SIZE_CONNECTABLE (8 dwords, 32 bytes). However, when a parent exists and the root ID of the parent and the inode are different, the function writes BTRFS_FID_SIZE_CONNECTABLE_ROOT (10 dwords, 40 bytes). If *max_len is not large enough, this write goes out of bounds because BTRFS_FID_SIZE_CONNECTABLE_ROOT is greater than BTRFS_FID_SIZE_CONNECTABLE originally returned. This results in an 8-byte out-of-bounds write at fid->parent_root_objectid = parent_root_id. A previous attempt to fix this issue was made but was lost. https://lore.kernel.org/all/4CADAEEC020000780001B32C@vpn.id2.novell.com/ Although this issue does not seem to be easily triggerable, it is a potential memory corruption bug that should be fixed. This patch resolves the issue by ensuring the function returns the appropriate size for all three cases and validates that *max_len is large enough before writing any data. Уязвимость функции btrfs_encode_fh() ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_objref: validate objref and objrefmap expressions Referencing a synproxy stateful object from OUTPUT hook causes kernel crash due to infinite recursive calls: BUG: TASK stack guard page was hit at 000000008bda5b8c (stack is 000000003ab1c4a5..00000000494d8b12) [...] Call Trace: __find_rr_leaf+0x99/0x230 fib6_table_lookup+0x13b/0x2d0 ip6_pol_route+0xa4/0x400 fib6_rule_lookup+0x156/0x240 ip6_route_output_flags+0xc6/0x150 __nf_ip6_route+0x23/0x50 synproxy_send_tcp_ipv6+0x106/0x200 synproxy_send_client_synack_ipv6+0x1aa/0x1f0 nft_synproxy_do_eval+0x263/0x310 nft_do_chain+0x5a8/0x5f0 [nf_tables nft_do_chain_inet+0x98/0x110 nf_hook_slow+0x43/0xc0 __ip6_local_out+0xf0/0x170 ip6_local_out+0x17/0x70 synproxy_send_tcp_ipv6+0x1a2/0x200 synproxy_send_client_synack_ipv6+0x1aa/0x1f0 [...] Implement objref and objrefmap expression validate functions. Currently, only NFT_OBJECT_SYNPROXY object type requires validation. This will also handle a jump to a chain using a synproxy object from the OUTPUT hook. Now when trying to reference a synproxy object in the OUTPUT hook, nft will produce the following error: synproxy_crash.nft: Error: Could not process rule: Operation not supported synproxy name mysynproxy ^^^^^^^^^^^^^^^^^^^^^^^^ [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: v4l2-subdev: Fix alloc failure check in v4l2_subdev_call_state_try() v4l2_subdev_call_state_try() macro allocates a subdev state with __v4l2_subdev_state_alloc(), but does not check the returned value. If __v4l2_subdev_state_alloc fails, it returns an ERR_PTR, and that would cause v4l2_subdev_call_state_try() to crash. Add proper error handling to v4l2_subdev_call_state_try(). Уязвимость функции v4l2_subdev_call_state_try() модуля include/media/v4l2-subdev.h ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix memory leak of qgroup_list in btrfs_add_qgroup_relation When btrfs_add_qgroup_relation() is called with invalid qgroup levels (src >= dst), the function returns -EINVAL directly without freeing the preallocated qgroup_list structure passed by the caller. This causes a memory leak because the caller unconditionally sets the pointer to NULL after the call, preventing any cleanup. The issue occurs because the level validation check happens before the mutex is acquired and before any error handling path that would free the prealloc pointer. On this early return, the cleanup code at the 'out' label (which includes kfree(prealloc)) is never reached. In btrfs_ioctl_qgroup_assign(), the code pattern is: prealloc = kzalloc(sizeof(*prealloc), GFP_KERNEL); ret = btrfs_add_qgroup_relation(trans, sa->src, sa->dst, prealloc); prealloc = NULL; // Always set to NULL regardless of return value ... kfree(prealloc); // This becomes kfree(NULL), does nothing When the level check fails, 'prealloc' is never freed by either the callee or the caller, resulting in a 64-byte memory leak per failed operation. This can be triggered repeatedly by an unprivileged user with access to a writable btrfs mount, potentially exhausting kernel memory. Fix this by freeing prealloc before the early return, ensuring prealloc is always freed on all error paths. Уязвимость функции btrfs_add_qgroup_relation() (fs/btrfs/qgroup.c) ядра операционной системы Linux связана с ошибками освобождения памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPI: video: Fix use-after-free in acpi_video_switch_brightness() The switch_brightness_work delayed work accesses device->brightness and device->backlight, freed by acpi_video_dev_unregister_backlight() during device removal. If the work executes after acpi_video_bus_unregister_backlight() frees these resources, it causes a use-after-free when acpi_video_switch_brightness() dereferences device->brightness or device->backlight. Fix this by calling cancel_delayed_work_sync() for each device's switch_brightness_work in acpi_video_bus_remove_notify_handler() after removing the notify handler that queues the work. This ensures the work completes before the memory is freed. [ rjw: Changelog edit ] Уязвимость функции acpi_video_switch_brightness() (drivers/acpi/acpi_video.c) ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfsd: fix refcount leak in nfsd_set_fh_dentry() nfsd exports a "pseudo root filesystem" which is used by NFSv4 to find the various exported filesystems using LOOKUP requests from a known root filehandle. NFSv3 uses the MOUNT protocol to find those exported filesystems and so is not given access to the pseudo root filesystem. If a v3 (or v2) client uses a filehandle from that filesystem, nfsd_set_fh_dentry() will report an error, but still stores the export in "struct svc_fh" even though it also drops the reference (exp_put()). This means that when fh_put() is called an extra reference will be dropped which can lead to use-after-free and possible denial of service. Normal NFS usage will not provide a pseudo-root filehandle to a v3 client. This bug can only be triggered by the client synthesising an incorrect filehandle. To fix this we move the assignments to the svc_fh later, after all possible error cases have been detected. Уязвимость функции nfsd_set_fh_dentry() компонента fs/nfsd/nfsfh.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: af_unix: Initialise scc_index in unix_add_edge(). Quang Le reported that the AF_UNIX GC could garbage-collect a receive queue of an alive in-flight socket, with a nice repro. The repro consists of three stages. 1) 1-a. Create a single cyclic reference with many sockets 1-b. close() all sockets 1-c. Trigger GC 2) 2-a. Pass sk-A to an embryo sk-B 2-b. Pass sk-X to sk-X 2-c. Trigger GC 3) 3-a. accept() the embryo sk-B 3-b. Pass sk-B to sk-C 3-c. close() the in-flight sk-A 3-d. Trigger GC As of 2-c, sk-A and sk-X are linked to unix_unvisited_vertices, and unix_walk_scc() groups them into two different SCCs: unix_sk(sk-A)->vertex->scc_index = 2 (UNIX_VERTEX_INDEX_START) unix_sk(sk-X)->vertex->scc_index = 3 Once GC completes, unix_graph_grouped is set to true. Also, unix_graph_maybe_cyclic is set to true due to sk-X's cyclic self-reference, which makes close() trigger GC. At 3-b, unix_add_edge() allocates unix_sk(sk-B)->vertex and links it to unix_unvisited_vertices. unix_update_graph() is called at 3-a. and 3-b., but neither unix_graph_grouped nor unix_graph_maybe_cyclic is changed because both sk-B's listener and sk-C are not in-flight. 3-c decrements sk-A's file refcnt to 1. Since unix_graph_grouped is true at 3-d, unix_walk_scc_fast() is finally called and iterates 3 sockets sk-A, sk-B, and sk-X: sk-A -> sk-B (-> sk-C) sk-X -> sk-X This is totally fine. All of them are not yet close()d and should be grouped into different SCCs. However, unix_vertex_dead() misjudges that sk-A and sk-B are in the same SCC and sk-A is dead. unix_sk(sk-A)->scc_index == unix_sk(sk-B)->scc_index <-- Wrong! && sk-A's file refcnt == unix_sk(sk-A)->vertex->out_degree ^-- 1 in-flight count for sk-B -> sk-A is dead !? The problem is that unix_add_edge() does not initialise scc_index. Stage 1) is used for heap spraying, making a newly allocated vertex have vertex->scc_index == 2 (UNIX_VERTEX_INDEX_START) set by unix_walk_scc() at 1-c. Let's track the max SCC index from the previous unix_walk_scc() call and assign the max + 1 to a new vertex's scc_index. This way, we can continue to avoid Tarjan's algorithm while preventing misjudgments. Уязвимость функции __unix_walk_scc() модуля net/unix/garbage.c реализации сетевых функций ядра операционной системы Linux связана с отсутствием инициализации переменной. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/damon/vaddr: do not repeat pte_offset_map_lock() until success DAMON's virtual address space operation set implementation (vaddr) calls pte_offset_map_lock() inside the page table walk callback function. This is for reading and writing page table accessed bits. If pte_offset_map_lock() fails, it retries by returning the page table walk callback function with ACTION_AGAIN. pte_offset_map_lock() can continuously fail if the target is a pmd migration entry, though. Hence it could cause an infinite page table walk if the migration cannot be done until the page table walk is finished. This indeed caused a soft lockup when CPU hotplugging and DAMON were running in parallel. Avoid the infinite loop by simply not retrying the page table walk. DAMON is promising only a best-effort accuracy, so missing access to such pages is no problem. Уязвимость компонента mm/damon/vaddr.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fuse: fix livelock in synchronous file put from fuseblk workers I observed a hang when running generic/323 against a fuseblk server. This test opens a file, initiates a lot of AIO writes to that file descriptor, and closes the file descriptor before the writes complete. Unsurprisingly, the AIO exerciser threads are mostly stuck waiting for responses from the fuseblk server: # cat /proc/372265/task/372313/stack [<0>] request_wait_answer+0x1fe/0x2a0 [fuse] [<0>] __fuse_simple_request+0xd3/0x2b0 [fuse] [<0>] fuse_do_getattr+0xfc/0x1f0 [fuse] [<0>] fuse_file_read_iter+0xbe/0x1c0 [fuse] [<0>] aio_read+0x130/0x1e0 [<0>] io_submit_one+0x542/0x860 [<0>] __x64_sys_io_submit+0x98/0x1a0 [<0>] do_syscall_64+0x37/0xf0 [<0>] entry_SYSCALL_64_after_hwframe+0x4b/0x53 But the /weird/ part is that the fuseblk server threads are waiting for responses from itself: # cat /proc/372210/task/372232/stack [<0>] request_wait_answer+0x1fe/0x2a0 [fuse] [<0>] __fuse_simple_request+0xd3/0x2b0 [fuse] [<0>] fuse_file_put+0x9a/0xd0 [fuse] [<0>] fuse_release+0x36/0x50 [fuse] [<0>] __fput+0xec/0x2b0 [<0>] task_work_run+0x55/0x90 [<0>] syscall_exit_to_user_mode+0xe9/0x100 [<0>] do_syscall_64+0x43/0xf0 [<0>] entry_SYSCALL_64_after_hwframe+0x4b/0x53 The fuseblk server is fuse2fs so there's nothing all that exciting in the server itself. So why is the fuse server calling fuse_file_put? The commit message for the fstest sheds some light on that: "By closing the file descriptor before calling io_destroy, you pretty much guarantee that the last put on the ioctx will be done in interrupt context (during I/O completion). Aha. AIO fgets a new struct file from the fd when it queues the ioctx. The completion of the FUSE_WRITE command from userspace causes the fuse server to call the AIO completion function. The completion puts the struct file, queuing a delayed fput to the fuse server task. When the fuse server task returns to userspace, it has to run the delayed fput, which in the case of a fuseblk server, it does synchronously. Sending the FUSE_RELEASE command sychronously from fuse server threads is a bad idea because a client program can initiate enough simultaneous AIOs such that all the fuse server threads end up in delayed_fput, and now there aren't any threads left to handle the queued fuse commands. Fix this by only using asynchronous fputs when closing files, and leave a comment explaining why. Уязвимость компонента fs/fuse ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: pci: mg4b: fix uninitialized iio scan data Fix potential leak of uninitialized stack data to userspace by ensuring that the `scan` structure is zeroed before use. Уязвимость компонента drivers/media/pci/mgb4 ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: most: usb: Fix use-after-free in hdm_disconnect hdm_disconnect() calls most_deregister_interface(), which eventually unregisters the MOST interface device with device_unregister(iface->dev). If that drops the last reference, the device core may call release_mdev() immediately while hdm_disconnect() is still executing. The old code also freed several mdev-owned allocations in hdm_disconnect() and then performed additional put_device() calls. Depending on refcount order, this could lead to use-after-free or double-free when release_mdev() ran (or when unregister paths also performed puts). Fix by moving the frees of mdev-owned allocations into release_mdev(), so they happen exactly once when the device is truly released, and by dropping the extra put_device() calls in hdm_disconnect() that are redundant after device_unregister() and most_deregister_interface(). This addresses the KASAN slab-use-after-free reported by syzbot in hdm_disconnect(). See report and stack traces in the bug link below. Уязвимость функции hdm_disconnect() компонента drivers/most/most_usb.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/panthor: Fix kernel panic on partial unmap of a GPU VA region This commit address a kernel panic issue that can happen if Userspace tries to partially unmap a GPU virtual region (aka drm_gpuva). The VM_BIND interface allows partial unmapping of a BO. Panthor driver pre-allocates memory for the new drm_gpuva structures that would be needed for the map/unmap operation, done using drm_gpuvm layer. It expected that only one new drm_gpuva would be needed on umap but a partial unmap can require 2 new drm_gpuva and that's why it ended up doing a NULL pointer dereference causing a kernel panic. Following dump was seen when partial unmap was exercised. Unable to handle kernel NULL pointer dereference at virtual address 0000000000000078 Mem abort info: ESR = 0x0000000096000046 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x06: level 2 translation fault Data abort info: ISV = 0, ISS = 0x00000046, ISS2 = 0x00000000 CM = 0, WnR = 1, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 user pgtable: 4k pages, 48-bit VAs, pgdp=000000088a863000 [000000000000078] pgd=080000088a842003, p4d=080000088a842003, pud=0800000884bf5003, pmd=0000000000000000 Internal error: Oops: 0000000096000046 [#1] PREEMPT SMP <snip> pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : panthor_gpuva_sm_step_remap+0xe4/0x330 [panthor] lr : panthor_gpuva_sm_step_remap+0x6c/0x330 [panthor] sp : ffff800085d43970 x29: ffff800085d43970 x28: ffff00080363e440 x27: ffff0008090c6000 x26: 0000000000000030 x25: ffff800085d439f8 x24: ffff00080d402000 x23: ffff800085d43b60 x22: ffff800085d439e0 x21: ffff00080abdb180 x20: 0000000000000000 x19: 0000000000000000 x18: 0000000000000010 x17: 6e656c202c303030 x16: 3666666666646466 x15: 393d61766f69202c x14: 312d3d7361203a70 x13: 303030323d6e656c x12: ffff80008324bf58 x11: 0000000000000003 x10: 0000000000000002 x9 : ffff8000801a6a9c x8 : ffff00080360b300 x7 : 0000000000000000 x6 : 000000088aa35fc7 x5 : fff1000080000000 x4 : ffff8000842ddd30 x3 : 0000000000000001 x2 : 0000000100000000 x1 : 0000000000000001 x0 : 0000000000000078 Call trace: panthor_gpuva_sm_step_remap+0xe4/0x330 [panthor] op_remap_cb.isra.22+0x50/0x80 __drm_gpuvm_sm_unmap+0x10c/0x1c8 drm_gpuvm_sm_unmap+0x40/0x60 panthor_vm_exec_op+0xb4/0x3d0 [panthor] panthor_vm_bind_exec_sync_op+0x154/0x278 [panthor] panthor_ioctl_vm_bind+0x160/0x4a0 [panthor] drm_ioctl_kernel+0xbc/0x138 drm_ioctl+0x240/0x500 __arm64_sys_ioctl+0xb0/0xf8 invoke_syscall+0x4c/0x110 el0_svc_common.constprop.1+0x98/0xf8 do_el0_svc+0x24/0x38 el0_svc+0x40/0xf8 el0t_64_sync_handler+0xa0/0xc8 el0t_64_sync+0x174/0x178 Уязвимость компонента drivers/gpu/drm/panthor ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: firmware: arm_scmi: Account for failed debug initialization When the SCMI debug subsystem fails to initialize, the related debug root will be missing, and the underlying descriptor will be NULL. Handle this fault condition in the SCMI debug helpers that maintain metrics counters. Уязвимость компонента drivers/firmware/arm_scmi ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm: prevent poison consumption when splitting THP When performing memory error injection on a THP (Transparent Huge Page) mapped to userspace on an x86 server, the kernel panics with the following trace. The expected behavior is to terminate the affected process instead of panicking the kernel, as the x86 Machine Check code can recover from an in-userspace #MC. mce: [Hardware Error]: CPU 0: Machine Check Exception: f Bank 3: bd80000000070134 mce: [Hardware Error]: RIP 10:<ffffffff8372f8bc> {memchr_inv+0x4c/0xf0} mce: [Hardware Error]: TSC afff7bbff88a ADDR 1d301b000 MISC 80 PPIN 1e741e77539027db mce: [Hardware Error]: PROCESSOR 0:d06d0 TIME 1758093249 SOCKET 0 APIC 0 microcode 80000320 mce: [Hardware Error]: Run the above through 'mcelog --ascii' mce: [Hardware Error]: Machine check: Data load in unrecoverable area of kernel Kernel panic - not syncing: Fatal local machine check The root cause of this panic is that handling a memory failure triggered by an in-userspace #MC necessitates splitting the THP. The splitting process employs a mechanism, implemented in try_to_map_unused_to_zeropage(), which reads the pages in the THP to identify zero-filled pages. However, reading the pages in the THP results in a second in-kernel #MC, occurring before the initial memory_failure() completes, ultimately leading to a kernel panic. See the kernel panic call trace on the two #MCs. First Machine Check occurs // [1] memory_failure() // [2] try_to_split_thp_page() split_huge_page() split_huge_page_to_list_to_order() __folio_split() // [3] remap_page() remove_migration_ptes() remove_migration_pte() try_to_map_unused_to_zeropage() // [4] memchr_inv() // [5] Second Machine Check occurs // [6] Kernel panic [1] Triggered by accessing a hardware-poisoned THP in userspace, which is typically recoverable by terminating the affected process. [2] Call folio_set_has_hwpoisoned() before try_to_split_thp_page(). [3] Pass the RMP_USE_SHARED_ZEROPAGE remap flag to remap_page(). [4] Try to map the unused THP to zeropage. [5] Re-access pages in the hw-poisoned THP in the kernel. [6] Triggered in-kernel, leading to a panic kernel. In Step[2], memory_failure() sets the poisoned flag on the page in the THP by TestSetPageHWPoison() before calling try_to_split_thp_page(). As suggested by David Hildenbrand, fix this panic by not accessing to the poisoned page in the THP during zeropage identification, while continuing to scan unaffected pages in the THP for possible zeropage mapping. This prevents a second in-kernel #MC that would cause kernel panic in Step[4]. Thanks to Andrew Zaborowski for his initial work on fixing this issue. Уязвимость компонента mm ядра операционной системы Linux связана с некорректной обработкой исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vsock: fix lock inversion in vsock_assign_transport() Syzbot reported a potential lock inversion deadlock between vsock_register_mutex and sk_lock-AF_VSOCK when vsock_linger() is called. The issue was introduced by commit 687aa0c5581b ("vsock: Fix transport_* TOCTOU") which added vsock_register_mutex locking in vsock_assign_transport() around the transport->release() call, that can call vsock_linger(). vsock_assign_transport() can be called with sk_lock held. vsock_linger() calls sk_wait_event() that temporarily releases and re-acquires sk_lock. During this window, if another thread hold vsock_register_mutex while trying to acquire sk_lock, a circular dependency is created. Fix this by releasing vsock_register_mutex before calling transport->release() and vsock_deassign_transport(). This is safe because we don't need to hold vsock_register_mutex while releasing the old transport, and we ensure the new transport won't disappear by obtaining a module reference first via try_module_get(). Уязвимость функции vsock_assign_transport() компонента net/vmw_vsock/af_vsock.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ocfs2: clear extent cache after moving/defragmenting extents The extent map cache can become stale when extents are moved or defragmented, causing subsequent operations to see outdated extent flags. This triggers a BUG_ON in ocfs2_refcount_cal_cow_clusters(). The problem occurs when: 1. copy_file_range() creates a reflinked extent with OCFS2_EXT_REFCOUNTED 2. ioctl(FITRIM) triggers ocfs2_move_extents() 3. __ocfs2_move_extents_range() reads and caches the extent (flags=0x2) 4. ocfs2_move_extent()/ocfs2_defrag_extent() calls __ocfs2_move_extent() which clears OCFS2_EXT_REFCOUNTED flag on disk (flags=0x0) 5. The extent map cache is not invalidated after the move 6. Later write() operations read stale cached flags (0x2) but disk has updated flags (0x0), causing a mismatch 7. BUG_ON(!(rec->e_flags & OCFS2_EXT_REFCOUNTED)) triggers Fix by clearing the extent map cache after each extent move/defrag operation in __ocfs2_move_extents_range(). This ensures subsequent operations read fresh extent data from disk. Уязвимость компонента fs/ocfs2 ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: directly free partially initialized fs_info in btrfs_check_leaked_roots() If fs_info->super_copy or fs_info->super_for_commit allocated failed in btrfs_get_tree_subvol(), then no need to call btrfs_free_fs_info(). Otherwise btrfs_check_leaked_roots() would access NULL pointer because fs_info->allocated_roots had not been initialised. syzkaller reported the following information: ------------[ cut here ]------------ BUG: unable to handle page fault for address: fffffffffffffbb0 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 64c9067 P4D 64c9067 PUD 64cb067 PMD 0 Oops: Oops: 0000 [#1] SMP KASAN PTI CPU: 0 UID: 0 PID: 1402 Comm: syz.1.35 Not tainted 6.15.8 #4 PREEMPT(lazy) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), (...) RIP: 0010:arch_atomic_read arch/x86/include/asm/atomic.h:23 [inline] RIP: 0010:raw_atomic_read include/linux/atomic/atomic-arch-fallback.h:457 [inline] RIP: 0010:atomic_read include/linux/atomic/atomic-instrumented.h:33 [inline] RIP: 0010:refcount_read include/linux/refcount.h:170 [inline] RIP: 0010:btrfs_check_leaked_roots+0x18f/0x2c0 fs/btrfs/disk-io.c:1230 [...] Call Trace: <TASK> btrfs_free_fs_info+0x310/0x410 fs/btrfs/disk-io.c:1280 btrfs_get_tree_subvol+0x592/0x6b0 fs/btrfs/super.c:2029 btrfs_get_tree+0x63/0x80 fs/btrfs/super.c:2097 vfs_get_tree+0x98/0x320 fs/super.c:1759 do_new_mount+0x357/0x660 fs/namespace.c:3899 path_mount+0x716/0x19c0 fs/namespace.c:4226 do_mount fs/namespace.c:4239 [inline] __do_sys_mount fs/namespace.c:4450 [inline] __se_sys_mount fs/namespace.c:4427 [inline] __x64_sys_mount+0x28c/0x310 fs/namespace.c:4427 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0x92/0x180 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f032eaffa8d [...] Уязвимость компонента fs/btrfs ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/notify: call exportfs_encode_fid with s_umount Calling intotify_show_fdinfo() on fd watching an overlayfs inode, while the overlayfs is being unmounted, can lead to dereferencing NULL ptr. This issue was found by syzkaller. Race Condition Diagram: Thread 1 Thread 2 -------- -------- generic_shutdown_super() shrink_dcache_for_umount sb->s_root = NULL | | vfs_read() | inotify_fdinfo() | * inode get from mark * | show_mark_fhandle(m, inode) | exportfs_encode_fid(inode, ..) | ovl_encode_fh(inode, ..) | ovl_check_encode_origin(inode) | * deref i_sb->s_root * | | v fsnotify_sb_delete(sb) Which then leads to: [ 32.133461] Oops: general protection fault, probably for non-canonical address 0xdffffc0000000006: 0000 [#1] SMP DEBUG_PAGEALLOC KASAN NOPTI [ 32.134438] KASAN: null-ptr-deref in range [0x0000000000000030-0x0000000000000037] [ 32.135032] CPU: 1 UID: 0 PID: 4468 Comm: systemd-coredum Not tainted 6.17.0-rc6 #22 PREEMPT(none) <snip registers, unreliable trace> [ 32.143353] Call Trace: [ 32.143732] ovl_encode_fh+0xd5/0x170 [ 32.144031] exportfs_encode_inode_fh+0x12f/0x300 [ 32.144425] show_mark_fhandle+0xbe/0x1f0 [ 32.145805] inotify_fdinfo+0x226/0x2d0 [ 32.146442] inotify_show_fdinfo+0x1c5/0x350 [ 32.147168] seq_show+0x530/0x6f0 [ 32.147449] seq_read_iter+0x503/0x12a0 [ 32.148419] seq_read+0x31f/0x410 [ 32.150714] vfs_read+0x1f0/0x9e0 [ 32.152297] ksys_read+0x125/0x240 IOW ovl_check_encode_origin derefs inode->i_sb->s_root, after it was set to NULL in the unmount path. Fix it by protecting calling exportfs_encode_fid() from show_mark_fhandle() with s_umount lock. This form of fix was suggested by Amir in [1]. [1]: https://lore.kernel.org/all/CAOQ4uxhbDwhb+2Brs1UdkoF0a3NSdBAOQPNfEHjahrgoKJpLEw@mail.gmail.com/ Уязвимость компонента fs/notify ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Fix IPsec cleanup over MPV device When we do mlx5e_detach_netdev() we eventually disable blocking events notifier, among those events are IPsec MPV events from IB to core. So before disabling those blocking events, make sure to also unregister the devcom device and mark all this device operations as complete, in order to prevent the other device from using invalid netdev during future devcom events which could cause the trace below. BUG: kernel NULL pointer dereference, address: 0000000000000010 PGD 146427067 P4D 146427067 PUD 146488067 PMD 0 Oops: Oops: 0000 [#1] SMP CPU: 1 UID: 0 PID: 7735 Comm: devlink Tainted: GW 6.12.0-rc6_for_upstream_min_debug_2024_11_08_00_46 #1 Tainted: [W]=WARN Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.13.0-0-gf21b5a4aeb02-prebuilt.qemu.org 04/01/2014 RIP: 0010:mlx5_devcom_comp_set_ready+0x5/0x40 [mlx5_core] Code: 00 01 48 83 05 23 32 1e 00 01 41 b8 ed ff ff ff e9 60 ff ff ff 48 83 05 00 32 1e 00 01 eb e3 66 0f 1f 44 00 00 0f 1f 44 00 00 <48> 8b 47 10 48 83 05 5f 32 1e 00 01 48 8b 50 40 48 85 d2 74 05 40 RSP: 0018:ffff88811a5c35f8 EFLAGS: 00010206 RAX: ffff888106e8ab80 RBX: ffff888107d7e200 RCX: ffff88810d6f0a00 RDX: ffff88810d6f0a00 RSI: 0000000000000001 RDI: 0000000000000000 RBP: ffff88811a17e620 R08: 0000000000000040 R09: 0000000000000000 R10: ffff88811a5c3618 R11: 0000000de85d51bd R12: ffff88811a17e600 R13: ffff88810d6f0a00 R14: 0000000000000000 R15: ffff8881034bda80 FS: 00007f27bdf89180(0000) GS:ffff88852c880000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000010 CR3: 000000010f159005 CR4: 0000000000372eb0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? __die+0x20/0x60 ? page_fault_oops+0x150/0x3e0 ? exc_page_fault+0x74/0x130 ? asm_exc_page_fault+0x22/0x30 ? mlx5_devcom_comp_set_ready+0x5/0x40 [mlx5_core] mlx5e_devcom_event_mpv+0x42/0x60 [mlx5_core] mlx5_devcom_send_event+0x8c/0x170 [mlx5_core] blocking_event+0x17b/0x230 [mlx5_core] notifier_call_chain+0x35/0xa0 blocking_notifier_call_chain+0x3d/0x60 mlx5_blocking_notifier_call_chain+0x22/0x30 [mlx5_core] mlx5_core_mp_event_replay+0x12/0x20 [mlx5_core] mlx5_ib_bind_slave_port+0x228/0x2c0 [mlx5_ib] mlx5_ib_stage_init_init+0x664/0x9d0 [mlx5_ib] ? idr_alloc_cyclic+0x50/0xb0 ? __kmalloc_cache_noprof+0x167/0x340 ? __kmalloc_noprof+0x1a7/0x430 __mlx5_ib_add+0x34/0xd0 [mlx5_ib] mlx5r_probe+0xe9/0x310 [mlx5_ib] ? kernfs_add_one+0x107/0x150 ? __mlx5_ib_add+0xd0/0xd0 [mlx5_ib] auxiliary_bus_probe+0x3e/0x90 really_probe+0xc5/0x3a0 ? driver_probe_device+0x90/0x90 __driver_probe_device+0x80/0x160 driver_probe_device+0x1e/0x90 __device_attach_driver+0x7d/0x100 bus_for_each_drv+0x80/0xd0 __device_attach+0xbc/0x1f0 bus_probe_device+0x86/0xa0 device_add+0x62d/0x830 __auxiliary_device_add+0x3b/0xa0 ? auxiliary_device_init+0x41/0x90 add_adev+0xd1/0x150 [mlx5_core] mlx5_rescan_drivers_locked+0x21c/0x300 [mlx5_core] esw_mode_change+0x6c/0xc0 [mlx5_core] mlx5_devlink_eswitch_mode_set+0x21e/0x640 [mlx5_core] devlink_nl_eswitch_set_doit+0x60/0xe0 genl_family_rcv_msg_doit+0xd0/0x120 genl_rcv_msg+0x180/0x2b0 ? devlink_get_from_attrs_lock+0x170/0x170 ? devlink_nl_eswitch_get_doit+0x290/0x290 ? devlink_nl_pre_doit_port_optional+0x50/0x50 ? genl_family_rcv_msg_dumpit+0xf0/0xf0 netlink_rcv_skb+0x54/0x100 genl_rcv+0x24/0x40 netlink_unicast+0x1fc/0x2d0 netlink_sendmsg+0x1e4/0x410 __sock_sendmsg+0x38/0x60 ? sockfd_lookup_light+0x12/0x60 __sys_sendto+0x105/0x160 ? __sys_recvmsg+0x4e/0x90 __x64_sys_sendto+0x20/0x30 do_syscall_64+0x4c/0x100 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x7f27bc91b13a Code: bb 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 44 00 00 8b 05 fa 96 2c 00 45 89 c9 4c 63 d1 48 63 ff 85 c0 75 15 b8 2c 00 00 00 0f 05 <48> 3d 00 f0 ff ff ---truncated--- Уязвимость компонента drivers/net/ethernet/mellanox/mlx5 ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: phy: micrel: always set shared->phydev for LAN8814 Currently, during the LAN8814 PTP probe shared->phydev is only set if PTP clock gets actually set, otherwise the function will return before setting it. This is an issue as shared->phydev is unconditionally being used when IRQ is being handled, especially in lan8814_gpio_process_cap and since it was not set it will cause a NULL pointer exception and crash the kernel. So, simply always set shared->phydev to avoid the NULL pointer exception. Уязвимость компонента drivers/net/phy/micrel.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sctp: avoid NULL dereference when chunk data buffer is missing chunk->skb pointer is dereferenced in the if-block where it's supposed to be NULL only. chunk->skb can only be NULL if chunk->head_skb is not. Check for frag_list instead and do it just before replacing chunk->skb. We're sure that otherwise chunk->skb is non-NULL because of outer if() condition. Уязвимость компонента net/sctp ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sctp.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sctp в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sctp ``` или ``` kmod list | grep sctp ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sctp ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sctp /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gfs2: Fix unlikely race in gdlm_put_lock In gdlm_put_lock(), there is a small window of time in which the DFL_UNMOUNT flag has been set but the lockspace hasn't been released, yet. In that window, dlm may still call gdlm_ast() and gdlm_bast(). To prevent it from dereferencing freed glock objects, only free the glock if the lockspace has actually been released. [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfs: fix KMSAN uninit-value issue in hfs_find_set_zero_bits() The syzbot reported issue in hfs_find_set_zero_bits(): ===================================================== BUG: KMSAN: uninit-value in hfs_find_set_zero_bits+0x74d/0xb60 fs/hfs/bitmap.c:45 hfs_find_set_zero_bits+0x74d/0xb60 fs/hfs/bitmap.c:45 hfs_vbm_search_free+0x13c/0x5b0 fs/hfs/bitmap.c:151 hfs_extend_file+0x6a5/0x1b00 fs/hfs/extent.c:408 hfs_get_block+0x435/0x1150 fs/hfs/extent.c:353 __block_write_begin_int+0xa76/0x3030 fs/buffer.c:2151 block_write_begin fs/buffer.c:2262 [inline] cont_write_begin+0x10e1/0x1bc0 fs/buffer.c:2601 hfs_write_begin+0x85/0x130 fs/hfs/inode.c:52 cont_expand_zero fs/buffer.c:2528 [inline] cont_write_begin+0x35a/0x1bc0 fs/buffer.c:2591 hfs_write_begin+0x85/0x130 fs/hfs/inode.c:52 hfs_file_truncate+0x1d6/0xe60 fs/hfs/extent.c:494 hfs_inode_setattr+0x964/0xaa0 fs/hfs/inode.c:654 notify_change+0x1993/0x1aa0 fs/attr.c:552 do_truncate+0x28f/0x310 fs/open.c:68 do_ftruncate+0x698/0x730 fs/open.c:195 do_sys_ftruncate fs/open.c:210 [inline] __do_sys_ftruncate fs/open.c:215 [inline] __se_sys_ftruncate fs/open.c:213 [inline] __x64_sys_ftruncate+0x11b/0x250 fs/open.c:213 x64_sys_call+0xfe3/0x3db0 arch/x86/include/generated/asm/syscalls_64.h:78 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd9/0x210 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:4154 [inline] slab_alloc_node mm/slub.c:4197 [inline] __kmalloc_cache_noprof+0x7f7/0xed0 mm/slub.c:4354 kmalloc_noprof include/linux/slab.h:905 [inline] hfs_mdb_get+0x1cc8/0x2a90 fs/hfs/mdb.c:175 hfs_fill_super+0x3d0/0xb80 fs/hfs/super.c:337 get_tree_bdev_flags+0x6e3/0x920 fs/super.c:1681 get_tree_bdev+0x38/0x50 fs/super.c:1704 hfs_get_tree+0x35/0x40 fs/hfs/super.c:388 vfs_get_tree+0xb0/0x5c0 fs/super.c:1804 do_new_mount+0x738/0x1610 fs/namespace.c:3902 path_mount+0x6db/0x1e90 fs/namespace.c:4226 do_mount fs/namespace.c:4239 [inline] __do_sys_mount fs/namespace.c:4450 [inline] __se_sys_mount+0x6eb/0x7d0 fs/namespace.c:4427 __x64_sys_mount+0xe4/0x150 fs/namespace.c:4427 x64_sys_call+0xfa7/0x3db0 arch/x86/include/generated/asm/syscalls_64.h:166 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd9/0x210 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f CPU: 1 UID: 0 PID: 12609 Comm: syz.1.2692 Not tainted 6.16.0-syzkaller #0 PREEMPT(none) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 07/12/2025 ===================================================== The HFS_SB(sb)->bitmap buffer is allocated in hfs_mdb_get(): HFS_SB(sb)->bitmap = kmalloc(8192, GFP_KERNEL); Finally, it can trigger the reported issue because kmalloc() doesn't clear the allocated memory. If allocated memory contains only zeros, then everything will work pretty fine. But if the allocated memory contains the "garbage", then it can affect the bitmap operations and it triggers the reported issue. This patch simply exchanges the kmalloc() on kzalloc() with the goal to guarantee the correctness of bitmap operations. Because, newly created allocation bitmap should have all available blocks free. Potentially, initialization bitmap's read operation could not fill the whole allocated memory and "garbage" in the not initialized memory will be the reason of volume coruptions and file system driver bugs. Уязвимость функции hfs_mdb_get() модуля fs/hfs/mdb.c файловой системы ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix KMSAN uninit-value issue in __hfsplus_ext_cache_extent() The syzbot reported issue in __hfsplus_ext_cache_extent(): [ 70.194323][ T9350] BUG: KMSAN: uninit-value in __hfsplus_ext_cache_extent+0x7d0/0x990 [ 70.195022][ T9350] __hfsplus_ext_cache_extent+0x7d0/0x990 [ 70.195530][ T9350] hfsplus_file_extend+0x74f/0x1cf0 [ 70.195998][ T9350] hfsplus_get_block+0xe16/0x17b0 [ 70.196458][ T9350] __block_write_begin_int+0x962/0x2ce0 [ 70.196959][ T9350] cont_write_begin+0x1000/0x1950 [ 70.197416][ T9350] hfsplus_write_begin+0x85/0x130 [ 70.197873][ T9350] generic_perform_write+0x3e8/0x1060 [ 70.198374][ T9350] __generic_file_write_iter+0x215/0x460 [ 70.198892][ T9350] generic_file_write_iter+0x109/0x5e0 [ 70.199393][ T9350] vfs_write+0xb0f/0x14e0 [ 70.199771][ T9350] ksys_write+0x23e/0x490 [ 70.200149][ T9350] __x64_sys_write+0x97/0xf0 [ 70.200570][ T9350] x64_sys_call+0x3015/0x3cf0 [ 70.201065][ T9350] do_syscall_64+0xd9/0x1d0 [ 70.201506][ T9350] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 70.202054][ T9350] [ 70.202279][ T9350] Uninit was created at: [ 70.202693][ T9350] __kmalloc_noprof+0x621/0xf80 [ 70.203149][ T9350] hfsplus_find_init+0x8d/0x1d0 [ 70.203602][ T9350] hfsplus_file_extend+0x6ca/0x1cf0 [ 70.204087][ T9350] hfsplus_get_block+0xe16/0x17b0 [ 70.204561][ T9350] __block_write_begin_int+0x962/0x2ce0 [ 70.205074][ T9350] cont_write_begin+0x1000/0x1950 [ 70.205547][ T9350] hfsplus_write_begin+0x85/0x130 [ 70.206017][ T9350] generic_perform_write+0x3e8/0x1060 [ 70.206519][ T9350] __generic_file_write_iter+0x215/0x460 [ 70.207042][ T9350] generic_file_write_iter+0x109/0x5e0 [ 70.207552][ T9350] vfs_write+0xb0f/0x14e0 [ 70.207961][ T9350] ksys_write+0x23e/0x490 [ 70.208375][ T9350] __x64_sys_write+0x97/0xf0 [ 70.208810][ T9350] x64_sys_call+0x3015/0x3cf0 [ 70.209255][ T9350] do_syscall_64+0xd9/0x1d0 [ 70.209680][ T9350] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 70.210230][ T9350] [ 70.210454][ T9350] CPU: 2 UID: 0 PID: 9350 Comm: repro Not tainted 6.12.0-rc5 #5 [ 70.211174][ T9350] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 70.212115][ T9350] ===================================================== [ 70.212734][ T9350] Disabling lock debugging due to kernel taint [ 70.213284][ T9350] Kernel panic - not syncing: kmsan.panic set ... [ 70.213858][ T9350] CPU: 2 UID: 0 PID: 9350 Comm: repro Tainted: G B 6.12.0-rc5 #5 [ 70.214679][ T9350] Tainted: [B]=BAD_PAGE [ 70.215057][ T9350] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 70.215999][ T9350] Call Trace: [ 70.216309][ T9350] <TASK> [ 70.216585][ T9350] dump_stack_lvl+0x1fd/0x2b0 [ 70.217025][ T9350] dump_stack+0x1e/0x30 [ 70.217421][ T9350] panic+0x502/0xca0 [ 70.217803][ T9350] ? kmsan_get_metadata+0x13e/0x1c0 [ 70.218294][ Message fromT sy9350] kmsan_report+0x296/slogd@syzkaller 0x2aat Aug 18 22:11:058 ... kernel :[ 70.213284][ T9350] Kernel panic - not syncing: kmsan.panic [ 70.220179][ T9350] ? kmsan_get_metadata+0x13e/0x1c0 set ... [ 70.221254][ T9350] ? __msan_warning+0x96/0x120 [ 70.222066][ T9350] ? __hfsplus_ext_cache_extent+0x7d0/0x990 [ 70.223023][ T9350] ? hfsplus_file_extend+0x74f/0x1cf0 [ 70.224120][ T9350] ? hfsplus_get_block+0xe16/0x17b0 [ 70.224946][ T9350] ? __block_write_begin_int+0x962/0x2ce0 [ 70.225756][ T9350] ? cont_write_begin+0x1000/0x1950 [ 70.226337][ T9350] ? hfsplus_write_begin+0x85/0x130 [ 70.226852][ T9350] ? generic_perform_write+0x3e8/0x1060 [ 70.227405][ T9350] ? __generic_file_write_iter+0x215/0x460 [ 70.227979][ T9350] ? generic_file_write_iter+0x109/0x5e0 [ 70.228540][ T9350] ? vfs_write+0xb0f/0x14e0 [ 70.228997][ T9350] ? ksys_write+0x23e/0x490 ---truncated--- Уязвимость компонента fs/hfsplus ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля hfsplus.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль hfsplus в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep hfsplus ``` или ``` kmod list | grep hfsplus ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod hfsplus ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install hfsplus /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfs: fix out of bounds memory read error in symlink repair xfs/286 produced this report on my test fleet: ================================================================== BUG: KFENCE: out-of-bounds read in memcpy_orig+0x54/0x110 Out-of-bounds read at 0xffff88843fe9e038 (184B right of kfence-#184): memcpy_orig+0x54/0x110 xrep_symlink_salvage_inline+0xb3/0xf0 [xfs] xrep_symlink_salvage+0x100/0x110 [xfs] xrep_symlink+0x2e/0x80 [xfs] xrep_attempt+0x61/0x1f0 [xfs] xfs_scrub_metadata+0x34f/0x5c0 [xfs] xfs_ioc_scrubv_metadata+0x387/0x560 [xfs] xfs_file_ioctl+0xe23/0x10e0 [xfs] __x64_sys_ioctl+0x76/0xc0 do_syscall_64+0x4e/0x1e0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 kfence-#184: 0xffff88843fe9df80-0xffff88843fe9dfea, size=107, cache=kmalloc-128 allocated by task 3470 on cpu 1 at 263329.131592s (192823.508886s ago): xfs_init_local_fork+0x79/0xe0 [xfs] xfs_iformat_local+0xa4/0x170 [xfs] xfs_iformat_data_fork+0x148/0x180 [xfs] xfs_inode_from_disk+0x2cd/0x480 [xfs] xfs_iget+0x450/0xd60 [xfs] xfs_bulkstat_one_int+0x6b/0x510 [xfs] xfs_bulkstat_iwalk+0x1e/0x30 [xfs] xfs_iwalk_ag_recs+0xdf/0x150 [xfs] xfs_iwalk_run_callbacks+0xb9/0x190 [xfs] xfs_iwalk_ag+0x1dc/0x2f0 [xfs] xfs_iwalk_args.constprop.0+0x6a/0x120 [xfs] xfs_iwalk+0xa4/0xd0 [xfs] xfs_bulkstat+0xfa/0x170 [xfs] xfs_ioc_fsbulkstat.isra.0+0x13a/0x230 [xfs] xfs_file_ioctl+0xbf2/0x10e0 [xfs] __x64_sys_ioctl+0x76/0xc0 do_syscall_64+0x4e/0x1e0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 CPU: 1 UID: 0 PID: 1300113 Comm: xfs_scrub Not tainted 6.18.0-rc4-djwx #rc4 PREEMPT(lazy) 3d744dd94e92690f00a04398d2bd8631dcef1954 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.0-4.module+el8.8.0+21164+ed375313 04/01/2014 ================================================================== On further analysis, I realized that the second parameter to min() is not correct. xfs_ifork::if_bytes is the size of the xfs_ifork::if_data buffer. if_bytes can be smaller than the data fork size because: (a) the forkoff code tries to keep the data area as large as possible (b) for symbolic links, if_bytes is the ondisk file size + 1 (c) forkoff is always a multiple of 8. Case in point: for a single-byte symlink target, forkoff will be 8 but the buffer will only be 2 bytes long. In other words, the logic here is wrong and we walk off the end of the incore buffer. Fix that. Уязвимость компонента fs/xfs ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vsock: Ignore signal/timeout on connect() if already established During connect(), acting on a signal/timeout by disconnecting an already established socket leads to several issues: 1. connect() invoking vsock_transport_cancel_pkt() -> virtio_transport_purge_skbs() may race with sendmsg() invoking virtio_transport_get_credit(). This results in a permanently elevated `vvs->bytes_unsent`. Which, in turn, confuses the SOCK_LINGER handling. 2. connect() resetting a connected socket's state may race with socket being placed in a sockmap. A disconnected socket remaining in a sockmap breaks sockmap's assumptions. And gives rise to WARNs. 3. connect() transitioning SS_CONNECTED -> SS_UNCONNECTED allows for a transport change/drop after TCP_ESTABLISHED. Which poses a problem for any simultaneous sendmsg() or connect() and may result in a use-after-free/null-ptr-deref. Do not disconnect socket on signal/timeout. Keep the logic for unconnected sockets: they don't linger, can't be placed in a sockmap, are rejected by sendmsg(). [1]: https://lore.kernel.org/netdev/e07fd95c-9a38-4eea-9638-133e38c2ec9b@rbox.co/ [2]: https://lore.kernel.org/netdev/20250317-vsock-trans-signal-race-v4-0-fc8837f3f1d4@rbox.co/ [3]: https://lore.kernel.org/netdev/60f1b7db-3099-4f6a-875e-af9f6ef194f6@rbox.co/ Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Clean up only new IRQ glue on request_irq() failure The mlx5_irq_alloc() function can inadvertently free the entire rmap and end up in a crash[1] when the other threads tries to access this, when request_irq() fails due to exhausted IRQ vectors. This commit modifies the cleanup to remove only the specific IRQ mapping that was just added. This prevents removal of other valid mappings and ensures precise cleanup of the failed IRQ allocation's associated glue object. Note: This error is observed when both fwctl and rds configs are enabled. [1] mlx5_core 0000:05:00.0: Successfully registered panic handler for port 1 mlx5_core 0000:05:00.0: mlx5_irq_alloc:293:(pid 66740): Failed to request irq. err = -28 infiniband mlx5_0: mlx5_ib_test_wc:290:(pid 66740): Error -28 while trying to test write-combining support mlx5_core 0000:05:00.0: Successfully unregistered panic handler for port 1 mlx5_core 0000:06:00.0: Successfully registered panic handler for port 1 mlx5_core 0000:06:00.0: mlx5_irq_alloc:293:(pid 66740): Failed to request irq. err = -28 infiniband mlx5_0: mlx5_ib_test_wc:290:(pid 66740): Error -28 while trying to test write-combining support mlx5_core 0000:06:00.0: Successfully unregistered panic handler for port 1 mlx5_core 0000:03:00.0: mlx5_irq_alloc:293:(pid 28895): Failed to request irq. err = -28 mlx5_core 0000:05:00.0: mlx5_irq_alloc:293:(pid 28895): Failed to request irq. err = -28 general protection fault, probably for non-canonical address 0xe277a58fde16f291: 0000 [#1] SMP NOPTI RIP: 0010:free_irq_cpu_rmap+0x23/0x7d Call Trace: <TASK> ? show_trace_log_lvl+0x1d6/0x2f9 ? show_trace_log_lvl+0x1d6/0x2f9 ? mlx5_irq_alloc.cold+0x5d/0xf3 [mlx5_core] ? __die_body.cold+0x8/0xa ? die_addr+0x39/0x53 ? exc_general_protection+0x1c4/0x3e9 ? dev_vprintk_emit+0x5f/0x90 ? asm_exc_general_protection+0x22/0x27 ? free_irq_cpu_rmap+0x23/0x7d mlx5_irq_alloc.cold+0x5d/0xf3 [mlx5_core] irq_pool_request_vector+0x7d/0x90 [mlx5_core] mlx5_irq_request+0x2e/0xe0 [mlx5_core] mlx5_irq_request_vector+0xad/0xf7 [mlx5_core] comp_irq_request_pci+0x64/0xf0 [mlx5_core] create_comp_eq+0x71/0x385 [mlx5_core] ? mlx5e_open_xdpsq+0x11c/0x230 [mlx5_core] mlx5_comp_eqn_get+0x72/0x90 [mlx5_core] ? xas_load+0x8/0x91 mlx5_comp_irqn_get+0x40/0x90 [mlx5_core] mlx5e_open_channel+0x7d/0x3c7 [mlx5_core] mlx5e_open_channels+0xad/0x250 [mlx5_core] mlx5e_open_locked+0x3e/0x110 [mlx5_core] mlx5e_open+0x23/0x70 [mlx5_core] __dev_open+0xf1/0x1a5 __dev_change_flags+0x1e1/0x249 dev_change_flags+0x21/0x5c do_setlink+0x28b/0xcc4 ? __nla_parse+0x22/0x3d ? inet6_validate_link_af+0x6b/0x108 ? cpumask_next+0x1f/0x35 ? __snmp6_fill_stats64.constprop.0+0x66/0x107 ? __nla_validate_parse+0x48/0x1e6 __rtnl_newlink+0x5ff/0xa57 ? kmem_cache_alloc_trace+0x164/0x2ce rtnl_newlink+0x44/0x6e rtnetlink_rcv_msg+0x2bb/0x362 ? __netlink_sendskb+0x4c/0x6c ? netlink_unicast+0x28f/0x2ce ? rtnl_calcit.isra.0+0x150/0x146 netlink_rcv_skb+0x5f/0x112 netlink_unicast+0x213/0x2ce netlink_sendmsg+0x24f/0x4d9 __sock_sendmsg+0x65/0x6a ____sys_sendmsg+0x28f/0x2c9 ? import_iovec+0x17/0x2b ___sys_sendmsg+0x97/0xe0 __sys_sendmsg+0x81/0xd8 do_syscall_64+0x35/0x87 entry_SYSCALL_64_after_hwframe+0x6e/0x0 RIP: 0033:0x7fc328603727 Code: c3 66 90 41 54 41 89 d4 55 48 89 f5 53 89 fb 48 83 ec 10 e8 0b ed ff ff 44 89 e2 48 89 ee 89 df 41 89 c0 b8 2e 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 35 44 89 c7 48 89 44 24 08 e8 44 ed ff ff 48 RSP: 002b:00007ffe8eb3f1a0 EFLAGS: 00000293 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 000000000000000d RCX: 00007fc328603727 RDX: 0000000000000000 RSI: 00007ffe8eb3f1f0 RDI: 000000000000000d RBP: 00007ffe8eb3f1f0 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000293 R12: 0000000000000000 R13: 00000000000 ---truncated--- Уязвимость компонента drivers/net/ethernet/mellanox/mlx5 ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: qlogic/qede: fix potential out-of-bounds read in qede_tpa_cont() and qede_tpa_end() The loops in 'qede_tpa_cont()' and 'qede_tpa_end()', iterate over 'cqe->len_list[]' using only a zero-length terminator as the stopping condition. If the terminator was missing or malformed, the loop could run past the end of the fixed-size array. Add an explicit bound check using ARRAY_SIZE() in both loops to prevent a potential out-of-bounds access. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функций qede_tpa_cont(), qede_tpa_end() компонента drivers/net/ethernet/qlogic/qede/qede_fp.c ядра операционной системы Linux связана с неправильным null-прекращением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/ctcm: Fix double-kfree The function 'mpc_rcvd_sweep_req(mpcginfo)' is called conditionally from function 'ctcmpc_unpack_skb'. It frees passed mpcginfo. After that a call to function 'kfree' in function 'ctcmpc_unpack_skb' frees it again. Remove 'kfree' call in function 'mpc_rcvd_sweep_req(mpcginfo)'. Bug detected by the clang static analyzer. Уязвимость компонента drivers/s390/net/ctcm_mpc.c ядра операционной системы Linux связана с множественным освобождением одного и того же ресурса или дескриптора. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: openvswitch: remove never-working support for setting nsh fields The validation of the set(nsh(...)) action is completely wrong. It runs through the nsh_key_put_from_nlattr() function that is the same function that validates NSH keys for the flow match and the push_nsh() action. However, the set(nsh(...)) has a very different memory layout. Nested attributes in there are doubled in size in case of the masked set(). That makes proper validation impossible. There is also confusion in the code between the 'masked' flag, that says that the nested attributes are doubled in size containing both the value and the mask, and the 'is_mask' that says that the value we're parsing is the mask. This is causing kernel crash on trying to write into mask part of the match with SW_FLOW_KEY_PUT() during validation, while validate_nsh() doesn't allocate any memory for it: BUG: kernel NULL pointer dereference, address: 0000000000000018 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 1c2383067 P4D 1c2383067 PUD 20b703067 PMD 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 8 UID: 0 Kdump: loaded Not tainted 6.17.0-rc4+ #107 PREEMPT(voluntary) RIP: 0010:nsh_key_put_from_nlattr+0x19d/0x610 [openvswitch] Call Trace: <TASK> validate_nsh+0x60/0x90 [openvswitch] validate_set.constprop.0+0x270/0x3c0 [openvswitch] __ovs_nla_copy_actions+0x477/0x860 [openvswitch] ovs_nla_copy_actions+0x8d/0x100 [openvswitch] ovs_packet_cmd_execute+0x1cc/0x310 [openvswitch] genl_family_rcv_msg_doit+0xdb/0x130 genl_family_rcv_msg+0x14b/0x220 genl_rcv_msg+0x47/0xa0 netlink_rcv_skb+0x53/0x100 genl_rcv+0x24/0x40 netlink_unicast+0x280/0x3b0 netlink_sendmsg+0x1f7/0x430 ____sys_sendmsg+0x36b/0x3a0 ___sys_sendmsg+0x87/0xd0 __sys_sendmsg+0x6d/0xd0 do_syscall_64+0x7b/0x2c0 entry_SYSCALL_64_after_hwframe+0x76/0x7e The third issue with this process is that while trying to convert the non-masked set into masked one, validate_set() copies and doubles the size of the OVS_KEY_ATTR_NSH as if it didn't have any nested attributes. It should be copying each nested attribute and doubling them in size independently. And the process must be properly reversed during the conversion back from masked to a non-masked variant during the flow dump. In the end, the only two outcomes of trying to use this action are either validation failure or a kernel crash. And if somehow someone manages to install a flow with such an action, it will most definitely not do what it is supposed to, since all the keys and the masks are mixed up. Fixing all the issues is a complex task as it requires re-writing most of the validation code. Given that and the fact that this functionality never worked since introduction, let's just remove it altogether. It's better to re-introduce it later with a proper implementation instead of trying to fix it in stable releases. Уязвимость компонента net/openvswitch ядра операционной системы Linux связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: fix a race in mptcp_pm_del_add_timer() mptcp_pm_del_add_timer() can call sk_stop_timer_sync(sk, &entry->add_timer) while another might have free entry already, as reported by syzbot. Add RCU protection to fix this issue. Also change confusing add_timer variable with stop_timer boolean. syzbot report: BUG: KASAN: slab-use-after-free in __timer_delete_sync+0x372/0x3f0 kernel/time/timer.c:1616 Read of size 4 at addr ffff8880311e4150 by task kworker/1:1/44 CPU: 1 UID: 0 PID: 44 Comm: kworker/1:1 Not tainted syzkaller #0 PREEMPT_{RT,(full)} Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/02/2025 Workqueue: events mptcp_worker Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x240 mm/kasan/report.c:482 kasan_report+0x118/0x150 mm/kasan/report.c:595 __timer_delete_sync+0x372/0x3f0 kernel/time/timer.c:1616 sk_stop_timer_sync+0x1b/0x90 net/core/sock.c:3631 mptcp_pm_del_add_timer+0x283/0x310 net/mptcp/pm.c:362 mptcp_incoming_options+0x1357/0x1f60 net/mptcp/options.c:1174 tcp_data_queue+0xca/0x6450 net/ipv4/tcp_input.c:5361 tcp_rcv_established+0x1335/0x2670 net/ipv4/tcp_input.c:6441 tcp_v4_do_rcv+0x98b/0xbf0 net/ipv4/tcp_ipv4.c:1931 tcp_v4_rcv+0x252a/0x2dc0 net/ipv4/tcp_ipv4.c:2374 ip_protocol_deliver_rcu+0x221/0x440 net/ipv4/ip_input.c:205 ip_local_deliver_finish+0x3bb/0x6f0 net/ipv4/ip_input.c:239 NF_HOOK+0x30c/0x3a0 include/linux/netfilter.h:318 NF_HOOK+0x30c/0x3a0 include/linux/netfilter.h:318 __netif_receive_skb_one_core net/core/dev.c:6079 [inline] __netif_receive_skb+0x143/0x380 net/core/dev.c:6192 process_backlog+0x31e/0x900 net/core/dev.c:6544 __napi_poll+0xb6/0x540 net/core/dev.c:7594 napi_poll net/core/dev.c:7657 [inline] net_rx_action+0x5f7/0xda0 net/core/dev.c:7784 handle_softirqs+0x22f/0x710 kernel/softirq.c:622 __do_softirq kernel/softirq.c:656 [inline] __local_bh_enable_ip+0x1a0/0x2e0 kernel/softirq.c:302 mptcp_pm_send_ack net/mptcp/pm.c:210 [inline] mptcp_pm_addr_send_ack+0x41f/0x500 net/mptcp/pm.c:-1 mptcp_pm_worker+0x174/0x320 net/mptcp/pm.c:1002 mptcp_worker+0xd5/0x1170 net/mptcp/protocol.c:2762 process_one_work kernel/workqueue.c:3263 [inline] process_scheduled_works+0xae1/0x17b0 kernel/workqueue.c:3346 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3427 kthread+0x711/0x8a0 kernel/kthread.c:463 ret_from_fork+0x4bc/0x870 arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> Allocated by task 44: kasan_save_stack mm/kasan/common.c:56 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:77 poison_kmalloc_redzone mm/kasan/common.c:400 [inline] __kasan_kmalloc+0x93/0xb0 mm/kasan/common.c:417 kasan_kmalloc include/linux/kasan.h:262 [inline] __kmalloc_cache_noprof+0x1ef/0x6c0 mm/slub.c:5748 kmalloc_noprof include/linux/slab.h:957 [inline] mptcp_pm_alloc_anno_list+0x104/0x460 net/mptcp/pm.c:385 mptcp_pm_create_subflow_or_signal_addr+0xf9d/0x1360 net/mptcp/pm_kernel.c:355 mptcp_pm_nl_fully_established net/mptcp/pm_kernel.c:409 [inline] __mptcp_pm_kernel_worker+0x417/0x1ef0 net/mptcp/pm_kernel.c:1529 mptcp_pm_worker+0x1ee/0x320 net/mptcp/pm.c:1008 mptcp_worker+0xd5/0x1170 net/mptcp/protocol.c:2762 process_one_work kernel/workqueue.c:3263 [inline] process_scheduled_works+0xae1/0x17b0 kernel/workqueue.c:3346 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3427 kthread+0x711/0x8a0 kernel/kthread.c:463 ret_from_fork+0x4bc/0x870 arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 Freed by task 6630: kasan_save_stack mm/kasan/common.c:56 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:77 __kasan_save_free_info+0x46/0x50 mm/kasan/generic.c:587 kasan_save_free_info mm/kasan/kasan.h:406 [inline] poison_slab_object m ---truncated--- Уязвимость функции mptcp_pm_del_add_timer() компонента net/mptcp/pm.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо отключить mptcp. Для этого необходимо выполнить действия, описанные ниже. 1. Проверьте текущее состояние mptcp: ``` sysctl net.mptcp.enabled ``` 2. Если ```net.mptcp.enabled = 1```, отключите mptcp.enabled: ``` sudo sysctl -w net.mptcp.enabled=0 ``` 3. Чтобы изменения сохранились после перезагрузки сервера, добавьте строку в конфигурационный файл: Используя полномочия администратора системы с высоким уровнем целостности, необходимо выполнить ``` echo "net.mptcp.enabled=0" | sudo tee /etc/sysctl.d/90-disable-mptcp.conf ``` Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: fix race condition in mptcp_schedule_work() syzbot reported use-after-free in mptcp_schedule_work() [1] Issue here is that mptcp_schedule_work() schedules a work, then gets a refcount on sk->sk_refcnt if the work was scheduled. This refcount will be released by mptcp_worker(). [A] if (schedule_work(...)) { [B] sock_hold(sk); return true; } Problem is that mptcp_worker() can run immediately and complete before [B] We need instead : sock_hold(sk); if (schedule_work(...)) return true; sock_put(sk); [1] refcount_t: addition on 0; use-after-free. WARNING: CPU: 1 PID: 29 at lib/refcount.c:25 refcount_warn_saturate+0xfa/0x1d0 lib/refcount.c:25 Call Trace: <TASK> __refcount_add include/linux/refcount.h:-1 [inline] __refcount_inc include/linux/refcount.h:366 [inline] refcount_inc include/linux/refcount.h:383 [inline] sock_hold include/net/sock.h:816 [inline] mptcp_schedule_work+0x164/0x1a0 net/mptcp/protocol.c:943 mptcp_tout_timer+0x21/0xa0 net/mptcp/protocol.c:2316 call_timer_fn+0x17e/0x5f0 kernel/time/timer.c:1747 expire_timers kernel/time/timer.c:1798 [inline] __run_timers kernel/time/timer.c:2372 [inline] __run_timer_base+0x648/0x970 kernel/time/timer.c:2384 run_timer_base kernel/time/timer.c:2393 [inline] run_timer_softirq+0xb7/0x180 kernel/time/timer.c:2403 handle_softirqs+0x22f/0x710 kernel/softirq.c:622 __do_softirq kernel/softirq.c:656 [inline] run_ktimerd+0xcf/0x190 kernel/softirq.c:1138 smpboot_thread_fn+0x542/0xa60 kernel/smpboot.c:160 kthread+0x711/0x8a0 kernel/kthread.c:463 ret_from_fork+0x4bc/0x870 arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 Уязвимость функции mptcp_schedule_work() модуля net/mptcp/protocol.c реализации протокола MPTCP ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса («Ситуация гонки»). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо отключить mptcp. Для этого необходимо выполнить действия, описанные ниже. 1. Проверьте текущее состояние mptcp: ``` sysctl net.mptcp.enabled ``` 2. Если ```net.mptcp.enabled = 1```, отключите mptcp.enabled: ``` sudo sysctl -w net.mptcp.enabled=0 ``` 3. Чтобы изменения сохранились после перезагрузки сервера, добавьте строку в конфигурационный файл: Используя полномочия администратора системы с высоким уровнем целостности, необходимо выполнить ``` echo "net.mptcp.enabled=0" | sudo tee /etc/sysctl.d/90-disable-mptcp.conf ``` Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: sg: Do not sleep in atomic context sg_finish_rem_req() calls blk_rq_unmap_user(). The latter function may sleep. Hence, call sg_finish_rem_req() with interrupts enabled instead of disabled. Уязвимость функции sg_finish_rem_req() модуля drivers/scsi/sg.c драйвера поддержки устройств SCSI ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvme: nvme-fc: Ensure ->ioerr_work is cancelled in nvme_fc_delete_ctrl() nvme_fc_delete_assocation() waits for pending I/O to complete before returning, and an error can cause ->ioerr_work to be queued after cancel_work_sync() had been called. Move the call to cancel_work_sync() to be after nvme_fc_delete_association() to ensure ->ioerr_work is not running when the nvme_fc_ctrl object is freed. Otherwise the following can occur: [ 1135.911754] list_del corruption, ff2d24c8093f31f8->next is NULL [ 1135.917705] ------------[ cut here ]------------ [ 1135.922336] kernel BUG at lib/list_debug.c:52! [ 1135.926784] Oops: invalid opcode: 0000 [#1] SMP NOPTI [ 1135.931851] CPU: 48 UID: 0 PID: 726 Comm: kworker/u449:23 Kdump: loaded Not tainted 6.12.0 #1 PREEMPT(voluntary) [ 1135.943490] Hardware name: Dell Inc. PowerEdge R660/0HGTK9, BIOS 2.5.4 01/16/2025 [ 1135.950969] Workqueue: 0x0 (nvme-wq) [ 1135.954673] RIP: 0010:__list_del_entry_valid_or_report.cold+0xf/0x6f [ 1135.961041] Code: c7 c7 98 68 72 94 e8 26 45 fe ff 0f 0b 48 c7 c7 70 68 72 94 e8 18 45 fe ff 0f 0b 48 89 fe 48 c7 c7 80 69 72 94 e8 07 45 fe ff <0f> 0b 48 89 d1 48 c7 c7 a0 6a 72 94 48 89 c2 e8 f3 44 fe ff 0f 0b [ 1135.979788] RSP: 0018:ff579b19482d3e50 EFLAGS: 00010046 [ 1135.985015] RAX: 0000000000000033 RBX: ff2d24c8093f31f0 RCX: 0000000000000000 [ 1135.992148] RDX: 0000000000000000 RSI: ff2d24d6bfa1d0c0 RDI: ff2d24d6bfa1d0c0 [ 1135.999278] RBP: ff2d24c8093f31f8 R08: 0000000000000000 R09: ffffffff951e2b08 [ 1136.006413] R10: ffffffff95122ac8 R11: 0000000000000003 R12: ff2d24c78697c100 [ 1136.013546] R13: fffffffffffffff8 R14: 0000000000000000 R15: ff2d24c78697c0c0 [ 1136.020677] FS: 0000000000000000(0000) GS:ff2d24d6bfa00000(0000) knlGS:0000000000000000 [ 1136.028765] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 1136.034510] CR2: 00007fd207f90b80 CR3: 000000163ea22003 CR4: 0000000000f73ef0 [ 1136.041641] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 1136.048776] DR3: 0000000000000000 DR6: 00000000fffe07f0 DR7: 0000000000000400 [ 1136.055910] PKRU: 55555554 [ 1136.058623] Call Trace: [ 1136.061074] <TASK> [ 1136.063179] ? show_trace_log_lvl+0x1b0/0x2f0 [ 1136.067540] ? show_trace_log_lvl+0x1b0/0x2f0 [ 1136.071898] ? move_linked_works+0x4a/0xa0 [ 1136.075998] ? __list_del_entry_valid_or_report.cold+0xf/0x6f [ 1136.081744] ? __die_body.cold+0x8/0x12 [ 1136.085584] ? die+0x2e/0x50 [ 1136.088469] ? do_trap+0xca/0x110 [ 1136.091789] ? do_error_trap+0x65/0x80 [ 1136.095543] ? __list_del_entry_valid_or_report.cold+0xf/0x6f [ 1136.101289] ? exc_invalid_op+0x50/0x70 [ 1136.105127] ? __list_del_entry_valid_or_report.cold+0xf/0x6f [ 1136.110874] ? asm_exc_invalid_op+0x1a/0x20 [ 1136.115059] ? __list_del_entry_valid_or_report.cold+0xf/0x6f [ 1136.120806] move_linked_works+0x4a/0xa0 [ 1136.124733] worker_thread+0x216/0x3a0 [ 1136.128485] ? __pfx_worker_thread+0x10/0x10 [ 1136.132758] kthread+0xfa/0x240 [ 1136.135904] ? __pfx_kthread+0x10/0x10 [ 1136.139657] ret_from_fork+0x31/0x50 [ 1136.143236] ? __pfx_kthread+0x10/0x10 [ 1136.146988] ret_from_fork_asm+0x1a/0x30 [ 1136.150915] </TASK> [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: imx_sc_key - fix memory corruption on unload This is supposed to be "priv" but we accidentally pass "&priv" which is an address in the stack and so it will lead to memory corruption when the imx_sc_key_action() function is called. Remove the &. Уязвимость функции imx_sc_key_action() компонента drivers/input/keyboard/imx_sc_key.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: cros_ec_keyb - fix an invalid memory access If cros_ec_keyb_register_matrix() isn't called (due to `buttons_switches_only`) in cros_ec_keyb_probe(), `ckdev->idev` remains NULL. An invalid memory access is observed in cros_ec_keyb_process() when receiving an EC_MKBP_EVENT_KEY_MATRIX event in cros_ec_keyb_work() in such case. Unable to handle kernel read from unreadable memory at virtual address 0000000000000028 ... x3 : 0000000000000000 x2 : 0000000000000000 x1 : 0000000000000000 x0 : 0000000000000000 Call trace: input_event cros_ec_keyb_work blocking_notifier_call_chain ec_irq_thread It's still unknown about why the kernel receives such malformed event, in any cases, the kernel shouldn't access `ckdev->idev` and friends if the driver doesn't intend to initialize them. Уязвимость модуля drivers/input/keyboard/cros_ec_keyb.c драйвера клавиатуры встроенного контроллера ChromeOS EC ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: be2net: pass wrb_params in case of OS2BMC be_insert_vlan_in_pkt() is called with the wrb_params argument being NULL at be_send_pkt_to_bmc() call site.  This may lead to dereferencing a NULL pointer when processing a workaround for specific packet, as commit bc0c3405abbb ("be2net: fix a Tx stall bug caused by a specific ipv6 packet") states. The correct way would be to pass the wrb_params from be_xmit(). Уязвимость функции be_send_pkt_to_bmc() модуля drivers/net/ethernet/emulex/benet/be_main.c драйвера сетевого устройства be2net ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: arm64: Check the untrusted offset in FF-A memory share Verify the offset to prevent OOB access in the hypervisor FF-A buffer in case an untrusted large enough value [U32_MAX - sizeof(struct ffa_composite_mem_region) + 1, U32_MAX] is set from the host kernel. Уязвимость модуля arch/arm64/kvm/hyp/nvhe/ffa.c подсистемы виртуализации Kernel-based Virtual Machine (KVM) ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или повысить привилегии [] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H', score=8.2) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: client: fix memory leak in smb3_fs_context_parse_param The user calls fsconfig twice, but when the program exits, free() only frees ctx->source for the second fsconfig, not the first. Regarding fc->source, there is no code in the fs context related to its memory reclamation. To fix this memory leak, release the source memory corresponding to ctx or fc before each parsing. syzbot reported: BUG: memory leak unreferenced object 0xffff888128afa360 (size 96): backtrace (crc 79c9c7ba): kstrdup+0x3c/0x80 mm/util.c:84 smb3_fs_context_parse_param+0x229b/0x36c0 fs/smb/client/fs_context.c:1444 BUG: memory leak unreferenced object 0xffff888112c7d900 (size 96): backtrace (crc 79c9c7ba): smb3_fs_context_fullpath+0x70/0x1b0 fs/smb/client/fs_context.c:629 smb3_fs_context_parse_param+0x2266/0x36c0 fs/smb/client/fs_context.c:1438 [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix potential overflow of PCM transfer buffer The PCM stream data in USB-audio driver is transferred over USB URB packet buffers, and each packet size is determined dynamically. The packet sizes are limited by some factors such as wMaxPacketSize USB descriptor. OTOH, in the current code, the actually used packet sizes are determined only by the rate and the PPS, which may be bigger than the size limit above. This results in a buffer overflow, as reported by syzbot. Basically when the limit is smaller than the calculated packet size, it implies that something is wrong, most likely a weird USB descriptor. So the best option would be just to return an error at the parameter setup time before doing any further operations. This patch introduces such a sanity check, and returns -EINVAL when the packet size is greater than maxpacksize. The comparison with ep->packsize[1] alone should suffice since it's always equal or greater than ep->packsize[0]. Уязвимость функции snd_usb_endpoint_set_params() в модуле sound/usb/endpoint.c поддержки звуковых устройств USB ядра операционной системы Linux связана с неправильным расчетом размера буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/proc: fix uaf in proc_readdir_de() Pde is erased from subdir rbtree through rb_erase(), but not set the node to EMPTY, which may result in uaf access. We should use RB_CLEAR_NODE() set the erased node to EMPTY, then pde_subdir_next() will return NULL to avoid uaf access. We found an uaf issue while using stress-ng testing, need to run testcase getdent and tun in the same time. The steps of the issue is as follows: 1) use getdent to traverse dir /proc/pid/net/dev_snmp6/, and current pde is tun3; 2) in the [time windows] unregister netdevice tun3 and tun2, and erase them from rbtree. erase tun3 first, and then erase tun2. the pde(tun2) will be released to slab; 3) continue to getdent process, then pde_subdir_next() will return pde(tun2) which is released, it will case uaf access. CPU 0 | CPU 1 ------------------------------------------------------------------------- traverse dir /proc/pid/net/dev_snmp6/ | unregister_netdevice(tun->dev) //tun3 tun2 sys_getdents64() | iterate_dir() | proc_readdir() | proc_readdir_de() | snmp6_unregister_dev() pde_get(de); | proc_remove() read_unlock(&proc_subdir_lock); | remove_proc_subtree() | write_lock(&proc_subdir_lock); [time window] | rb_erase(&root->subdir_node, &parent->subdir); | write_unlock(&proc_subdir_lock); read_lock(&proc_subdir_lock); | next = pde_subdir_next(de); | pde_put(de); | de = next; //UAF | rbtree of dev_snmp6 | pde(tun3) / \ NULL pde(tun2) Уязвимость функции proc_readdir_de() ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/secretmem: fix use-after-free race in fault handler When a page fault occurs in a secret memory file created with `memfd_secret(2)`, the kernel will allocate a new folio for it, mark the underlying page as not-present in the direct map, and add it to the file mapping. If two tasks cause a fault in the same page concurrently, both could end up allocating a folio and removing the page from the direct map, but only one would succeed in adding the folio to the file mapping. The task that failed undoes the effects of its attempt by (a) freeing the folio again and (b) putting the page back into the direct map. However, by doing these two operations in this order, the page becomes available to the allocator again before it is placed back in the direct mapping. If another task attempts to allocate the page between (a) and (b), and the kernel tries to access it via the direct map, it would result in a supervisor not-present page fault. Fix the ordering to restore the direct map before the folio is freed. Уязвимость функции memfd_secret() ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSD: free copynotify stateid in nfs4_free_ol_stateid() Typically copynotify stateid is freed either when parent's stateid is being close/freed or in nfsd4_laundromat if the stateid hasn't been used in a lease period. However, in case when the server got an OPEN (which created a parent stateid), followed by a COPY_NOTIFY using that stateid, followed by a client reboot. New client instance while doing CREATE_SESSION would force expire previous state of this client. It leads to the open state being freed thru release_openowner-> nfs4_free_ol_stateid() and it finds that it still has copynotify stateid associated with it. We currently print a warning and is triggerred WARNING: CPU: 1 PID: 8858 at fs/nfsd/nfs4state.c:1550 nfs4_free_ol_stateid+0xb0/0x100 [nfsd] This patch, instead, frees the associated copynotify stateid here. If the parent stateid is freed (without freeing the copynotify stateids associated with it), it leads to the list corruption when laundromat ends up freeing the copynotify state later. [ 1626.839430] Internal error: Oops - BUG: 00000000f2000800 [#1] SMP [ 1626.842828] Modules linked in: nfnetlink_queue nfnetlink_log bluetooth cfg80211 rpcrdma rdma_cm iw_cm ib_cm ib_core nfsd nfs_acl lockd grace nfs_localio ext4 crc16 mbcache jbd2 overlay uinput snd_seq_dummy snd_hrtimer qrtr rfkill vfat fat uvcvideo snd_hda_codec_generic videobuf2_vmalloc videobuf2_memops snd_hda_intel uvc snd_intel_dspcfg videobuf2_v4l2 videobuf2_common snd_hda_codec snd_hda_core videodev snd_hwdep snd_seq mc snd_seq_device snd_pcm snd_timer snd soundcore sg loop auth_rpcgss vsock_loopback vmw_vsock_virtio_transport_common vmw_vsock_vmci_transport vmw_vmci vsock xfs 8021q garp stp llc mrp nvme ghash_ce e1000e nvme_core sr_mod nvme_keyring nvme_auth cdrom vmwgfx drm_ttm_helper ttm sunrpc dm_mirror dm_region_hash dm_log iscsi_tcp libiscsi_tcp libiscsi scsi_transport_iscsi fuse dm_multipath dm_mod nfnetlink [ 1626.855594] CPU: 2 UID: 0 PID: 199 Comm: kworker/u24:33 Kdump: loaded Tainted: G B W 6.17.0-rc7+ #22 PREEMPT(voluntary) [ 1626.857075] Tainted: [B]=BAD_PAGE, [W]=WARN [ 1626.857573] Hardware name: VMware, Inc. VMware20,1/VBSA, BIOS VMW201.00V.24006586.BA64.2406042154 06/04/2024 [ 1626.858724] Workqueue: nfsd4 laundromat_main [nfsd] [ 1626.859304] pstate: 61400005 (nZCv daif +PAN -UAO -TCO +DIT -SSBS BTYPE=--) [ 1626.860010] pc : __list_del_entry_valid_or_report+0x148/0x200 [ 1626.860601] lr : __list_del_entry_valid_or_report+0x148/0x200 [ 1626.861182] sp : ffff8000881d7a40 [ 1626.861521] x29: ffff8000881d7a40 x28: 0000000000000018 x27: ffff0000c2a98200 [ 1626.862260] x26: 0000000000000600 x25: 0000000000000000 x24: ffff8000881d7b20 [ 1626.862986] x23: ffff0000c2a981e8 x22: 1fffe00012410e7d x21: ffff0000920873e8 [ 1626.863701] x20: ffff0000920873e8 x19: ffff000086f22998 x18: 0000000000000000 [ 1626.864421] x17: 20747562202c3839 x16: 3932326636383030 x15: 3030666666662065 [ 1626.865092] x14: 6220646c756f6873 x13: 0000000000000001 x12: ffff60004fd9e4a3 [ 1626.865713] x11: 1fffe0004fd9e4a2 x10: ffff60004fd9e4a2 x9 : dfff800000000000 [ 1626.866320] x8 : 00009fffb0261b5e x7 : ffff00027ecf2513 x6 : 0000000000000001 [ 1626.866938] x5 : ffff00027ecf2510 x4 : ffff60004fd9e4a3 x3 : 0000000000000000 [ 1626.867553] x2 : 0000000000000000 x1 : ffff000096069640 x0 : 000000000000006d [ 1626.868167] Call trace: [ 1626.868382] __list_del_entry_valid_or_report+0x148/0x200 (P) [ 1626.868876] _free_cpntf_state_locked+0xd0/0x268 [nfsd] [ 1626.869368] nfs4_laundromat+0x6f8/0x1058 [nfsd] [ 1626.869813] laundromat_main+0x24/0x60 [nfsd] [ 1626.870231] process_one_work+0x584/0x1050 [ 1626.870595] worker_thread+0x4c4/0xc60 [ 1626.870893] kthread+0x2f8/0x398 [ 1626.871146] ret_from_fork+0x10/0x20 [ 1626.871422] Code: aa1303e1 aa1403e3 910e8000 97bc55d7 (d4210000) [ 1626.871892] SMP: stopping secondary CPUs Уязвимость функции nfs4_free_ol_stateid() компонента fs/nfsd/nfs4state.c ядра операционной системы Linux связана с операциями с ресурсом после истечения срока его действия или освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: guest_memfd: Remove bindings on memslot deletion when gmem is dying When unbinding a memslot from a guest_memfd instance, remove the bindings even if the guest_memfd file is dying, i.e. even if its file refcount has gone to zero. If the memslot is freed before the file is fully released, nullifying the memslot side of the binding in kvm_gmem_release() will write to freed memory, as detected by syzbot+KASAN: ================================================================== BUG: KASAN: slab-use-after-free in kvm_gmem_release+0x176/0x440 virt/kvm/guest_memfd.c:353 Write of size 8 at addr ffff88807befa508 by task syz.0.17/6022 CPU: 0 UID: 0 PID: 6022 Comm: syz.0.17 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/02/2025 Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x240 mm/kasan/report.c:482 kasan_report+0x118/0x150 mm/kasan/report.c:595 kvm_gmem_release+0x176/0x440 virt/kvm/guest_memfd.c:353 __fput+0x44c/0xa70 fs/file_table.c:468 task_work_run+0x1d4/0x260 kernel/task_work.c:227 resume_user_mode_work include/linux/resume_user_mode.h:50 [inline] exit_to_user_mode_loop+0xe9/0x130 kernel/entry/common.c:43 exit_to_user_mode_prepare include/linux/irq-entry-common.h:225 [inline] syscall_exit_to_user_mode_work include/linux/entry-common.h:175 [inline] syscall_exit_to_user_mode include/linux/entry-common.h:210 [inline] do_syscall_64+0x2bd/0xfa0 arch/x86/entry/syscall_64.c:100 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fbeeff8efc9 </TASK> Allocated by task 6023: kasan_save_stack mm/kasan/common.c:56 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:77 poison_kmalloc_redzone mm/kasan/common.c:397 [inline] __kasan_kmalloc+0x93/0xb0 mm/kasan/common.c:414 kasan_kmalloc include/linux/kasan.h:262 [inline] __kmalloc_cache_noprof+0x3e2/0x700 mm/slub.c:5758 kmalloc_noprof include/linux/slab.h:957 [inline] kzalloc_noprof include/linux/slab.h:1094 [inline] kvm_set_memory_region+0x747/0xb90 virt/kvm/kvm_main.c:2104 kvm_vm_ioctl_set_memory_region+0x6f/0xd0 virt/kvm/kvm_main.c:2154 kvm_vm_ioctl+0x957/0xc60 virt/kvm/kvm_main.c:5201 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:583 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 6023: kasan_save_stack mm/kasan/common.c:56 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:77 kasan_save_free_info+0x46/0x50 mm/kasan/generic.c:584 poison_slab_object mm/kasan/common.c:252 [inline] __kasan_slab_free+0x5c/0x80 mm/kasan/common.c:284 kasan_slab_free include/linux/kasan.h:234 [inline] slab_free_hook mm/slub.c:2533 [inline] slab_free mm/slub.c:6622 [inline] kfree+0x19a/0x6d0 mm/slub.c:6829 kvm_set_memory_region+0x9c4/0xb90 virt/kvm/kvm_main.c:2130 kvm_vm_ioctl_set_memory_region+0x6f/0xd0 virt/kvm/kvm_main.c:2154 kvm_vm_ioctl+0x957/0xc60 virt/kvm/kvm_main.c:5201 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:583 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Deliberately don't acquire filemap invalid lock when the file is dying as the lifecycle of f_mapping is outside the purview of KVM. Dereferencing the mapping is *probably* fine, but there's no need to invalidate anything as memslot deletion is responsible for zapping SPTEs, and the only code that can access the dying file is kvm_gmem_release(), whose core code is mutual ---truncated--- Уязвимость компонента virt/kvm/guest_memfd.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix NULL pointer dereference in snd_usb_mixer_controls_badd In snd_usb_create_streams(), for UAC version 3 devices, the Interface Association Descriptor (IAD) is retrieved via usb_ifnum_to_if(). If this call fails, a fallback routine attempts to obtain the IAD from the next interface and sets a BADD profile. However, snd_usb_mixer_controls_badd() assumes that the IAD retrieved from usb_ifnum_to_if() is always valid, without performing a NULL check. This can lead to a NULL pointer dereference when usb_ifnum_to_if() fails to find the interface descriptor. This patch adds a NULL pointer check after calling usb_ifnum_to_if() in snd_usb_mixer_controls_badd() to prevent the dereference. This issue was discovered by syzkaller, which triggered the bug by sending a crafted USB device descriptor. Уязвимость функции snd_usb_mixer_controls_badd() компонента sound/usb/mixer.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vmwgfx: Validate command header size against SVGA_CMD_MAX_DATASIZE This data originates from userspace and is used in buffer offset calculations which could potentially overflow causing an out-of-bounds access. Уязвимость компонента drivers/gpu/drm/vmwgfx ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: sched: act_ife: initialize struct tc_ife to fix KMSAN kernel-infoleak Fix a KMSAN kernel-infoleak detected by the syzbot . [net?] KMSAN: kernel-infoleak in __skb_datagram_iter In tcf_ife_dump(), the variable 'opt' was partially initialized using a designatied initializer. While the padding bytes are reamined uninitialized. nla_put() copies the entire structure into a netlink message, these uninitialized bytes leaked to userspace. Initialize the structure with memset before assigning its fields to ensure all members and padding are cleared prior to beign copied. This change silences the KMSAN report and prevents potential information leaks from the kernel memory. This fix has been tested and validated by syzbot. This patch closes the bug reported at the following syzkaller link and ensures no infoleak. Уязвимость компонента net/sched/act_ife.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: sched: act_connmark: initialize struct tc_ife to fix kernel leak In tcf_connmark_dump(), the variable 'opt' was partially initialized using a designatied initializer. While the padding bytes are reamined uninitialized. nla_put() copies the entire structure into a netlink message, these uninitialized bytes leaked to userspace. Initialize the structure with memset before assigning its fields to ensure all members and padding are cleared prior to beign copied. Уязвимость функции tcf_connmark_dump() компонента net/sched/act_connmark.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: Fix use-after-free in tipc_mon_reinit_self(). syzbot reported use-after-free of tipc_net(net)->monitors[] in tipc_mon_reinit_self(). [0] The array is protected by RTNL, but tipc_mon_reinit_self() iterates over it without RTNL. tipc_mon_reinit_self() is called from tipc_net_finalize(), which is always under RTNL except for tipc_net_finalize_work(). Let's hold RTNL in tipc_net_finalize_work(). [0]: BUG: KASAN: slab-use-after-free in __raw_spin_lock_irqsave include/linux/spinlock_api_smp.h:110 [inline] BUG: KASAN: slab-use-after-free in _raw_spin_lock_irqsave+0xa7/0xf0 kernel/locking/spinlock.c:162 Read of size 1 at addr ffff88805eae1030 by task kworker/0:7/5989 CPU: 0 UID: 0 PID: 5989 Comm: kworker/0:7 Not tainted syzkaller #0 PREEMPT_{RT,(full)} Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/18/2025 Workqueue: events tipc_net_finalize_work Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x240 mm/kasan/report.c:482 kasan_report+0x118/0x150 mm/kasan/report.c:595 __kasan_check_byte+0x2a/0x40 mm/kasan/common.c:568 kasan_check_byte include/linux/kasan.h:399 [inline] lock_acquire+0x8d/0x360 kernel/locking/lockdep.c:5842 __raw_spin_lock_irqsave include/linux/spinlock_api_smp.h:110 [inline] _raw_spin_lock_irqsave+0xa7/0xf0 kernel/locking/spinlock.c:162 rtlock_slowlock kernel/locking/rtmutex.c:1894 [inline] rwbase_rtmutex_lock_state kernel/locking/spinlock_rt.c:160 [inline] rwbase_write_lock+0xd3/0x7e0 kernel/locking/rwbase_rt.c:244 rt_write_lock+0x76/0x110 kernel/locking/spinlock_rt.c:243 write_lock_bh include/linux/rwlock_rt.h:99 [inline] tipc_mon_reinit_self+0x79/0x430 net/tipc/monitor.c:718 tipc_net_finalize+0x115/0x190 net/tipc/net.c:140 process_one_work kernel/workqueue.c:3236 [inline] process_scheduled_works+0xade/0x17b0 kernel/workqueue.c:3319 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3400 kthread+0x70e/0x8a0 kernel/kthread.c:463 ret_from_fork+0x439/0x7d0 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> Allocated by task 6089: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:388 [inline] __kasan_kmalloc+0x93/0xb0 mm/kasan/common.c:405 kasan_kmalloc include/linux/kasan.h:260 [inline] __kmalloc_cache_noprof+0x1a8/0x320 mm/slub.c:4407 kmalloc_noprof include/linux/slab.h:905 [inline] kzalloc_noprof include/linux/slab.h:1039 [inline] tipc_mon_create+0xc3/0x4d0 net/tipc/monitor.c:657 tipc_enable_bearer net/tipc/bearer.c:357 [inline] __tipc_nl_bearer_enable+0xe16/0x13f0 net/tipc/bearer.c:1047 __tipc_nl_compat_doit net/tipc/netlink_compat.c:371 [inline] tipc_nl_compat_doit+0x3bc/0x5f0 net/tipc/netlink_compat.c:393 tipc_nl_compat_handle net/tipc/netlink_compat.c:-1 [inline] tipc_nl_compat_recv+0x83c/0xbe0 net/tipc/netlink_compat.c:1321 genl_family_rcv_msg_doit+0x215/0x300 net/netlink/genetlink.c:1115 genl_family_rcv_msg net/netlink/genetlink.c:1195 [inline] genl_rcv_msg+0x60e/0x790 net/netlink/genetlink.c:1210 netlink_rcv_skb+0x208/0x470 net/netlink/af_netlink.c:2552 genl_rcv+0x28/0x40 net/netlink/genetlink.c:1219 netlink_unicast_kernel net/netlink/af_netlink.c:1320 [inline] netlink_unicast+0x846/0xa10 net/netlink/af_netlink.c:1346 netlink_sendmsg+0x805/0xb30 net/netlink/af_netlink.c:1896 sock_sendmsg_nosec net/socket.c:714 [inline] __sock_sendmsg+0x21c/0x270 net/socket.c:729 ____sys_sendmsg+0x508/0x820 net/socket.c:2614 ___sys_sendmsg+0x21f/0x2a0 net/socket.c:2668 __sys_sendmsg net/socket.c:2700 [inline] __do_sys_sendmsg net/socket.c:2705 [inline] __se_sys_sendmsg net/socket.c:2703 [inline] __x64_sys_sendmsg+0x1a1/0x260 net/socket.c:2703 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/ ---truncated--- Уязвимость функции tipc_mon_reinit_self() ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: prevent possible shift-out-of-bounds in sctp_transport_update_rto syzbot reported a possible shift-out-of-bounds [1] Blamed commit added rto_alpha_max and rto_beta_max set to 1000. It is unclear if some sctp users are setting very large rto_alpha and/or rto_beta. In order to prevent user regression, perform the test at run time. Also add READ_ONCE() annotations as sysctl values can change under us. [1] UBSAN: shift-out-of-bounds in net/sctp/transport.c:509:41 shift exponent 64 is too large for 32-bit type 'unsigned int' CPU: 0 UID: 0 PID: 16704 Comm: syz.2.2320 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/02/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x16c/0x1f0 lib/dump_stack.c:120 ubsan_epilogue lib/ubsan.c:233 [inline] __ubsan_handle_shift_out_of_bounds+0x27f/0x420 lib/ubsan.c:494 sctp_transport_update_rto.cold+0x1c/0x34b net/sctp/transport.c:509 sctp_check_transmitted+0x11c4/0x1c30 net/sctp/outqueue.c:1502 sctp_outq_sack+0x4ef/0x1b20 net/sctp/outqueue.c:1338 sctp_cmd_process_sack net/sctp/sm_sideeffect.c:840 [inline] sctp_cmd_interpreter net/sctp/sm_sideeffect.c:1372 [inline] Уязвимость функции sctp_transport_update_rto() компонента net/sctp/transport.c ядра операционной системы Linux связана с неправильным побитовым смещением целого числа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: 6lowpan: reset link-local header on ipv6 recv path Bluetooth 6lowpan.c netdev has header_ops, so it must set link-local header for RX skb, otherwise things crash, eg. with AF_PACKET SOCK_RAW Add missing skb_reset_mac_header() for uncompressed ipv6 RX path. For the compressed one, it is done in lowpan_header_decompress(). Log: (BlueZ 6lowpan-tester Client Recv Raw - Success) ------ kernel BUG at net/core/skbuff.c:212! Call Trace: <IRQ> ... packet_rcv (net/packet/af_packet.c:2152) ... <TASK> __local_bh_enable_ip (kernel/softirq.c:407) netif_rx (net/core/dev.c:5648) chan_recv_cb (net/bluetooth/6lowpan.c:294 net/bluetooth/6lowpan.c:359) ------ Уязвимость компонента net/bluetooth/6lowpan.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btusb: reorder cleanup in btusb_disconnect to avoid UAF There is a KASAN: slab-use-after-free read in btusb_disconnect(). Calling "usb_driver_release_interface(&btusb_driver, data->intf)" will free the btusb data associated with the interface. The same data is then used later in the function, hence the UAF. Fix by moving the accesses to btusb data to before the data is free'd. Уязвимость функции btusb_disconnect() компонента drivers/bluetooth/btusb.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: cancel mesh send timer when hdev removed mesh_send_done timer is not canceled when hdev is removed, which causes crash if the timer triggers after hdev is gone. Cancel the timer when MGMT removes the hdev, like other MGMT timers. Should fix the BUG: sporadically seen by BlueZ test bot (in "Mesh - Send cancel - 1" test). Log: ------ BUG: KASAN: slab-use-after-free in run_timer_softirq+0x76b/0x7d0 ... Freed by task 36: kasan_save_stack+0x24/0x50 kasan_save_track+0x14/0x30 __kasan_save_free_info+0x3a/0x60 __kasan_slab_free+0x43/0x70 kfree+0x103/0x500 device_release+0x9a/0x210 kobject_put+0x100/0x1e0 vhci_release+0x18b/0x240 ------ Уязвимость ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb/server: fix possible refcount leak in smb2_sess_setup() Reference count of ksmbd_session will leak when session need reconnect. Fix this by adding the missing ksmbd_user_session_put(). Уязвимость функции smb2_sess_setup() компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb/server: fix possible memory leak in smb2_read() Memory leak occurs when ksmbd_vfs_read() fails. Fix this by adding the missing kvfree(). Уязвимость функции smb2_read() компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: exfat: fix improper check of dentry.stream.valid_size We found an infinite loop bug in the exFAT file system that can lead to a Denial-of-Service (DoS) condition. When a dentry in an exFAT filesystem is malformed, the following system calls — SYS_openat, SYS_ftruncate, and SYS_pwrite64 — can cause the kernel to hang. Root cause analysis shows that the size validation code in exfat_find() does not check whether dentry.stream.valid_size is negative. As a result, the system calls mentioned above can succeed and eventually trigger the DoS issue. This patch adds a check for negative dentry.stream.valid_size to prevent this vulnerability. Уязвимость функции exfat_find() компонента fs/exfat/namei.c ядра операционной системы Linux связана с отсутствием проверки на соответствие минимальному значению диапазона. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Fix NULL pointer dereference in VRAM logic for APU devices Previously, APU platforms (and other scenarios with uninitialized VRAM managers) triggered a NULL pointer dereference in `ttm_resource_manager_usage()`. The root cause is not that the `struct ttm_resource_manager *man` pointer itself is NULL, but that `man->bdev` (the backing device pointer within the manager) remains uninitialized (NULL) on APUs—since APUs lack dedicated VRAM and do not fully set up VRAM manager structures. When `ttm_resource_manager_usage()` attempts to acquire `man->bdev->lru_lock`, it dereferences the NULL `man->bdev`, leading to a kernel OOPS. 1. **amdgpu_cs.c**: Extend the existing bandwidth control check in `amdgpu_cs_get_threshold_for_moves()` to include a check for `ttm_resource_manager_used()`. If the manager is not used (uninitialized `bdev`), return 0 for migration thresholds immediately—skipping VRAM-specific logic that would trigger the NULL dereference. 2. **amdgpu_kms.c**: Update the `AMDGPU_INFO_VRAM_USAGE` ioctl and memory info reporting to use a conditional: if the manager is used, return the real VRAM usage; otherwise, return 0. This avoids accessing `man->bdev` when it is NULL. 3. **amdgpu_virt.c**: Modify the vf2pf (virtual function to physical function) data write path. Use `ttm_resource_manager_used()` to check validity: if the manager is usable, calculate `fb_usage` from VRAM usage; otherwise, set `fb_usage` to 0 (APUs have no discrete framebuffer to report). This approach is more robust than APU-specific checks because it: - Works for all scenarios where the VRAM manager is uninitialized (not just APUs), - Aligns with TTM's design by using its native helper function, - Preserves correct behavior for discrete GPUs (which have fully initialized `man->bdev` and pass the `ttm_resource_manager_used()` check). v4: use ttm_resource_manager_used(&adev->mman.vram_mgr.manager) instead of checking the adev->gmc.is_app_apu flag (Christian) Уязвимость компонента drivers/gpu/drm/amd/amdgpu ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: hide VRAM sysfs attributes on GPUs without VRAM Otherwise accessing them can cause a crash. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: virtio-net: fix received length check in big packets Since commit 4959aebba8c0 ("virtio-net: use mtu size as buffer length for big packets"), when guest gso is off, the allocated size for big packets is not MAX_SKB_FRAGS * PAGE_SIZE anymore but depends on negotiated MTU. The number of allocated frags for big packets is stored in vi->big_packets_num_skbfrags. Because the host announced buffer length can be malicious (e.g. the host vhost_net driver's get_rx_bufs is modified to announce incorrect length), we need a check in virtio_net receive path. Currently, the check is not adapted to the new change which can lead to NULL page pointer dereference in the below while loop when receiving length that is larger than the allocated one. This commit fixes the received length check corresponding to the new change. Уязвимость компонента virtio-net ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: iommufd: Don't overflow during division for dirty tracking If pgshift is 63 then BITS_PER_TYPE(*bitmap->bitmap) * pgsize will overflow to 0 and this triggers divide by 0. In this case the index should just be 0, so reorganize things to divide by shift and avoid hitting any overflows. Уязвимость компонента iommufd ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: Fix OOB access in parse_adv_monitor_pattern() In the parse_adv_monitor_pattern() function, the value of the 'length' variable is currently limited to HCI_MAX_EXT_AD_LENGTH(251). The size of the 'value' array in the mgmt_adv_pattern structure is 31. If the value of 'pattern[i].length' is set in the user space and exceeds 31, the 'patterns[i].value' array can be accessed out of bound when copied. Increasing the size of the 'value' array in the 'mgmt_adv_pattern' structure will break the userspace. Considering this, and to avoid OOB access revert the limits for 'offset' and 'length' back to the value of HCI_MAX_AD_LENGTH. Found by InfoTeCS on behalf of Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость модуля Bluetooth ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: bridge: fix use-after-free due to MST port state bypass syzbot reported[1] a use-after-free when deleting an expired fdb. It is due to a race condition between learning still happening and a port being deleted, after all its fdbs have been flushed. The port's state has been toggled to disabled so no learning should happen at that time, but if we have MST enabled, it will bypass the port's state, that together with VLAN filtering disabled can lead to fdb learning at a time when it shouldn't happen while the port is being deleted. VLAN filtering must be disabled because we flush the port VLANs when it's being deleted which will stop learning. This fix adds a check for the port's vlan group which is initialized to NULL when the port is getting deleted, that avoids the port state bypass. When MST is enabled there would be a minimal new overhead in the fast-path because the port's vlan group pointer is cache-hot. [1] https://syzkaller.appspot.com/bug?extid=dd280197f0f7ab3917be Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_event: validate skb length for unknown CC opcode In hci_cmd_complete_evt(), if the command complete event has an unknown opcode, we assume the first byte of the remaining skb->data contains the return status. However, parameter data has previously been pulled in hci_event_func(), which may leave the skb empty. If so, using skb->data[0] for the return status uses un-init memory. The fix is to check skb->len before using skb->data. Уязвимость модуля Bluetooth ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=7.6) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: videobuf2: forbid remove_bufs when legacy fileio is active vb2_ioctl_remove_bufs() call manipulates queue internal buffer list, potentially overwriting some pointers used by the legacy fileio access mode. Forbid that ioctl when fileio is active to protect internal queue state between subsequent read/write calls. Уязвимость функции vb2_ioctl_remove_bufs() компонента drivers/media/common/videobuf2/videobuf2-v4l2.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: ensure no dirty metadata is written back for an fs with errors [BUG] During development of a minor feature (make sure all btrfs_bio::end_io() is called in task context), I noticed a crash in generic/388, where metadata writes triggered new works after btrfs_stop_all_workers(). It turns out that it can even happen without any code modification, just using RAID5 for metadata and the same workload from generic/388 is going to trigger the use-after-free. [CAUSE] If btrfs hits an error, the fs is marked as error, no new transaction is allowed thus metadata is in a frozen state. But there are some metadata modifications before that error, and they are still in the btree inode page cache. Since there will be no real transaction commit, all those dirty folios are just kept as is in the page cache, and they can not be invalidated by invalidate_inode_pages2() call inside close_ctree(), because they are dirty. And finally after btrfs_stop_all_workers(), we call iput() on btree inode, which triggers writeback of those dirty metadata. And if the fs is using RAID56 metadata, this will trigger RMW and queue new works into rmw_workers, which is already stopped, causing warning from queue_work() and use-after-free. [FIX] Add a special handling for write_one_eb(), that if the fs is already in an error state, immediately mark the bbio as failure, instead of really submitting them. Then during close_ctree(), iput() will just discard all those dirty tree blocks without really writing them back, thus no more new jobs for already stopped-and-freed workqueues. The extra discard in write_one_eb() also acts as an extra safenet. E.g. the transaction abort is triggered by some extent/free space tree corruptions, and since extent/free space tree is already corrupted some tree blocks may be allocated where they shouldn't be (overwriting existing tree blocks). In that case writing them back will further corrupting the fs. Уязвимость функции write_one_eb() модуля fs/btrfs/extent_io.c файловой системы btrfs ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: Add bounds checking in bit_putcs to fix vmalloc-out-of-bounds Add bounds checking to prevent writes past framebuffer boundaries when rendering text near screen edges. Return early if the Y position is off-screen and clip image height to screen boundary. Break from the rendering loop if the X position is off-screen. When clipping image width to fit the screen, update the character count to match the clipped width to prevent buffer size mismatches. Without the character count update, bit_putcs_aligned and bit_putcs_unaligned receive mismatched parameters where the buffer is allocated for the clipped width but cnt reflects the original larger count, causing out-of-bounds writes. Уязвимость функции bit_putcs() модуля drivers/video/fbdev/core/bitblit.c драйвера устройств кадрового буфера ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: orangefs: fix xattr related buffer overflow... Willy Tarreau <w@1wt.eu> forwarded me a message from Disclosure <disclosure@aisle.com> with the following warning: > The helper `xattr_key()` uses the pointer variable in the loop condition > rather than dereferencing it. As `key` is incremented, it remains non-NULL > (until it runs into unmapped memory), so the loop does not terminate on > valid C strings and will walk memory indefinitely, consuming CPU or hanging > the thread. I easily reproduced this with setfattr and getfattr, causing a kernel oops, hung user processes and corrupted orangefs files. Disclosure sent along a diff (not a patch) with a suggested fix, which I based this patch on. After xattr_key started working right, xfstest generic/069 exposed an xattr related memory leak that lead to OOM. xattr_key returns a hashed key. When adding xattrs to the orangefs xattr cache, orangefs used hash_add, a kernel hashing macro. hash_add also hashes the key using hash_log which resulted in additions to the xattr cache going to the wrong hash bucket. generic/069 tortures a single file and orangefs does a getattr for the xattr "security.capability" every time. Orangefs negative caches on xattrs which includes a kmalloc. Since adds to the xattr cache were going to the wrong bucket, every getattr for "security.capability" resulted in another kmalloc, none of which were ever freed. I changed the two uses of hash_add to hlist_add_head instead and the memory leak ceased and generic/069 quit throwing furniture. Уязвимость компонента fs/orangefs ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: exfat: validate cluster allocation bits of the allocation bitmap syzbot created an exfat image with cluster bits not set for the allocation bitmap. exfat-fs reads and uses the allocation bitmap without checking this. The problem is that if the start cluster of the allocation bitmap is 6, cluster 6 can be allocated when creating a directory with mkdir. exfat zeros out this cluster in exfat_mkdir, which can delete existing entries. This can reallocate the allocated entries. In addition, the allocation bitmap is also zeroed out, so cluster 6 can be reallocated. This patch adds exfat_test_bitmap_range to validate that clusters used for the allocation bitmap are correctly marked as in-use. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: bcsp: receive data only if registered Currently, bcsp_recv() can be called even when the BCSP protocol has not been registered. This leads to a NULL pointer dereference, as shown in the following stack trace: KASAN: null-ptr-deref in range [0x0000000000000108-0x000000000000010f] RIP: 0010:bcsp_recv+0x13d/0x1740 drivers/bluetooth/hci_bcsp.c:590 Call Trace: <TASK> hci_uart_tty_receive+0x194/0x220 drivers/bluetooth/hci_ldisc.c:627 tiocsti+0x23c/0x2c0 drivers/tty/tty_io.c:2290 tty_ioctl+0x626/0xde0 drivers/tty/tty_io.c:2706 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f To prevent this, ensure that the HCI_UART_REGISTERED flag is set before processing received data. If the protocol is not registered, return -EUNATCH. Уязвимость функции bcsp_recv() модуля drivers/bluetooth/hci_bcsp.c драйвера устройств Bluetooth ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bluetooth.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bluetooth в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bluetooth ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install bluetooth /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: SCO: Fix UAF on sco_conn_free BUG: KASAN: slab-use-after-free in sco_conn_free net/bluetooth/sco.c:87 [inline] BUG: KASAN: slab-use-after-free in kref_put include/linux/kref.h:65 [inline] BUG: KASAN: slab-use-after-free in sco_conn_put+0xdd/0x410 net/bluetooth/sco.c:107 Write of size 8 at addr ffff88811cb96b50 by task kworker/u17:4/352 CPU: 1 UID: 0 PID: 352 Comm: kworker/u17:4 Not tainted 6.17.0-rc5-g717368f83676 #4 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 Workqueue: hci13 hci_cmd_sync_work Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x10b/0x170 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0x191/0x550 mm/kasan/report.c:482 kasan_report+0xc4/0x100 mm/kasan/report.c:595 sco_conn_free net/bluetooth/sco.c:87 [inline] kref_put include/linux/kref.h:65 [inline] sco_conn_put+0xdd/0x410 net/bluetooth/sco.c:107 sco_connect_cfm+0xb4/0xae0 net/bluetooth/sco.c:1441 hci_connect_cfm include/net/bluetooth/hci_core.h:2082 [inline] hci_conn_failed+0x20a/0x2e0 net/bluetooth/hci_conn.c:1313 hci_conn_unlink+0x55f/0x810 net/bluetooth/hci_conn.c:1121 hci_conn_del+0xb6/0x1110 net/bluetooth/hci_conn.c:1147 hci_abort_conn_sync+0x8c5/0xbb0 net/bluetooth/hci_sync.c:5689 hci_cmd_sync_work+0x281/0x380 net/bluetooth/hci_sync.c:332 process_one_work kernel/workqueue.c:3236 [inline] process_scheduled_works+0x77e/0x1040 kernel/workqueue.c:3319 worker_thread+0xbee/0x1200 kernel/workqueue.c:3400 kthread+0x3c7/0x870 kernel/kthread.c:463 ret_from_fork+0x13a/0x1e0 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> Allocated by task 31370: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x30/0x70 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:388 [inline] __kasan_kmalloc+0x82/0x90 mm/kasan/common.c:405 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4382 [inline] __kmalloc_noprof+0x22f/0x390 mm/slub.c:4394 kmalloc_noprof include/linux/slab.h:909 [inline] sk_prot_alloc+0xae/0x220 net/core/sock.c:2239 sk_alloc+0x34/0x5a0 net/core/sock.c:2295 bt_sock_alloc+0x3c/0x330 net/bluetooth/af_bluetooth.c:151 sco_sock_alloc net/bluetooth/sco.c:562 [inline] sco_sock_create+0xc0/0x350 net/bluetooth/sco.c:593 bt_sock_create+0x161/0x3b0 net/bluetooth/af_bluetooth.c:135 __sock_create+0x3ad/0x780 net/socket.c:1589 sock_create net/socket.c:1647 [inline] __sys_socket_create net/socket.c:1684 [inline] __sys_socket+0xd5/0x330 net/socket.c:1731 __do_sys_socket net/socket.c:1745 [inline] __se_sys_socket net/socket.c:1743 [inline] __x64_sys_socket+0x7a/0x90 net/socket.c:1743 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xc7/0x240 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 31374: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x30/0x70 mm/kasan/common.c:68 kasan_save_free_info+0x40/0x50 mm/kasan/generic.c:576 poison_slab_object mm/kasan/common.c:243 [inline] __kasan_slab_free+0x3d/0x50 mm/kasan/common.c:275 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2428 [inline] slab_free mm/slub.c:4701 [inline] kfree+0x199/0x3b0 mm/slub.c:4900 sk_prot_free net/core/sock.c:2278 [inline] __sk_destruct+0x4aa/0x630 net/core/sock.c:2373 sco_sock_release+0x2ad/0x300 net/bluetooth/sco.c:1333 __sock_release net/socket.c:649 [inline] sock_close+0xb8/0x230 net/socket.c:1439 __fput+0x3d1/0x9e0 fs/file_table.c:468 task_work_run+0x206/0x2a0 kernel/task_work.c:227 get_signal+0x1201/0x1410 kernel/signal.c:2807 arch_do_signal_or_restart+0x34/0x740 arch/x86/kernel/signal.c:337 exit_to_user_mode_loop+0x68/0xc0 kernel/entry/common.c:40 exit_to_user_mode_prepare include/linux/irq-entry-common.h:225 [inline] s ---truncated--- Уязвимость функции sco_sock_kill() модуля net/bluetooth/sco.c подсистемы Bluetooth ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bluetooth.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bluetooth в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bluetooth ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install bluetooth /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: amd/amdkfd: resolve a race in amdgpu_amdkfd_device_fini_sw There is race in amdgpu_amdkfd_device_fini_sw and interrupt. if amdgpu_amdkfd_device_fini_sw run in b/w kfd_cleanup_nodes and kfree(kfd), and KGD interrupt generated. kernel panic log: BUG: kernel NULL pointer dereference, address: 0000000000000098 amdgpu 0000:c8:00.0: amdgpu: Requesting 4 partitions through PSP PGD d78c68067 P4D d78c68067 kfd kfd: amdgpu: Allocated 3969056 bytes on gart PUD 1465b8067 PMD @ Oops: @002 [#1] SMP NOPTI kfd kfd: amdgpu: Total number of KFD nodes to be created: 4 CPU: 115 PID: @ Comm: swapper/115 Kdump: loaded Tainted: G S W OE K RIP: 0010:_raw_spin_lock_irqsave+0x12/0x40 Code: 89 e@ 41 5c c3 cc cc cc cc 66 66 2e Of 1f 84 00 00 00 00 00 OF 1f 40 00 Of 1f 44% 00 00 41 54 9c 41 5c fa 31 cO ba 01 00 00 00 <fO> OF b1 17 75 Ba 4c 89 e@ 41 Sc 89 c6 e8 07 38 5d RSP: 0018: ffffc90@1a6b0e28 EFLAGS: 00010046 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 0000000000000018 0000000000000001 RSI: ffff8883bb623e00 RDI: 0000000000000098 ffff8883bb000000 RO8: ffff888100055020 ROO: ffff888100055020 0000000000000000 R11: 0000000000000000 R12: 0900000000000002 ffff888F2b97da0@ R14: @000000000000098 R15: ffff8883babdfo00 CS: 010 DS: 0000 ES: 0000 CRO: 0000000080050033 CR2: 0000000000000098 CR3: 0000000e7cae2006 CR4: 0000000002770ce0 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 0000000000000000 DR6: 00000000fffeO7FO DR7: 0000000000000400 PKRU: 55555554 Call Trace: <IRQ> kgd2kfd_interrupt+@x6b/0x1f@ [amdgpu] ? amdgpu_fence_process+0xa4/0x150 [amdgpu] kfd kfd: amdgpu: Node: 0, interrupt_bitmap: 3 YcpxFl Rant tErace amdgpu_irq_dispatch+0x165/0x210 [amdgpu] amdgpu_ih_process+0x80/0x100 [amdgpu] amdgpu: Virtual CRAT table created for GPU amdgpu_irq_handler+0x1f/@x60 [amdgpu] __handle_irq_event_percpu+0x3d/0x170 amdgpu: Topology: Add dGPU node [0x74a2:0x1002] handle_irq_event+0x5a/@xcO handle_edge_irq+0x93/0x240 kfd kfd: amdgpu: KFD node 1 partition @ size 49148M asm_call_irq_on_stack+0xf/@x20 </IRQ> common_interrupt+0xb3/0x130 asm_common_interrupt+0x1le/0x40 5.10.134-010.a1i5000.a18.x86_64 #1 Уязвимость компонента drivers/gpu/drm/amd/amdkfd ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: accel/habanalabs: support mapping cb with vmalloc-backed coherent memory When IOMMU is enabled, dma_alloc_coherent() with GFP_USER may return addresses from the vmalloc range. If such an address is mapped without VM_MIXEDMAP, vm_insert_page() will trigger a BUG_ON due to the VM_PFNMAP restriction. Fix this by checking for vmalloc addresses and setting VM_MIXEDMAP in the VMA before mapping. This ensures safe mapping and avoids kernel crashes. The memory is still driver-allocated and cannot be accessed directly by userspace. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: Verify inode mode when loading from disk The inode mode loaded from corrupted disk can be invalid. Do like what commit 0a9e74051313 ("isofs: Verify inode mode when loading from disk") does. Уязвимость компонента fs/jfs ядра операционной системы Linux связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ntfs3: pretend $Extend records as regular files Since commit af153bb63a33 ("vfs: catch invalid modes in may_open()") requires any inode be one of S_IFDIR/S_IFLNK/S_IFREG/S_IFCHR/S_IFBLK/ S_IFIFO/S_IFSOCK type, use S_IFREG for $Extend records. Уязвимость компонента fs/ntfs3 ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: cdns3: gadget: Use-after-free during failed initialization and exit of cdnsp gadget In the __cdnsp_gadget_init() and cdnsp_gadget_exit() functions, the gadget structure (pdev->gadget) was freed before its endpoints. The endpoints are linked via the ep_list in the gadget structure. Freeing the gadget first leaves dangling pointers in the endpoint list. When the endpoints are subsequently freed, this results in a use-after-free. Fix: By separating the usb_del_gadget_udc() operation into distinct "del" and "put" steps, cdnsp_gadget_free_endpoints() can be executed prior to the final release of the gadget structure with usb_put_gadget(). A patch similar to bb9c74a5bd14("usb: dwc3: gadget: Free gadget structure only after freeing endpoints"). Уязвимость функций __cdnsp_gadget_init(), cdnsp_gadget_exit() компонента drivers/usb/cdns3/cdnsp-gadget.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_fs: Fix epfile null pointer access after ep enable. A race condition occurs when ffs_func_eps_enable() runs concurrently with ffs_data_reset(). The ffs_data_clear() called in ffs_data_reset() sets ffs->epfiles to NULL before resetting ffs->eps_count to 0, leading to a NULL pointer dereference when accessing epfile->ep in ffs_func_eps_enable() after successful usb_ep_enable(). The ffs->epfiles pointer is set to NULL in both ffs_data_clear() and ffs_data_close() functions, and its modification is protected by the spinlock ffs->eps_lock. And the whole ffs_func_eps_enable() function is also protected by ffs->eps_lock. Thus, add NULL pointer handling for ffs->epfiles in the ffs_func_eps_enable() function to fix issues Уязвимость функции ffs_func_eps_enable() модуля drivers/usb/gadget/function/f_fs.c драйвера гаджетов USB ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/mediatek: Fix device use-after-free on unbind A recent change fixed device reference leaks when looking up drm platform device driver data during bind() but failed to remove a partial fix which had been added by commit 80805b62ea5b ("drm/mediatek: Fix kobject put for component sub-drivers"). This results in a reference imbalance on component bind() failures and on unbind() which could lead to a user-after-free. Make sure to only drop the references after retrieving the driver data by effectively reverting the previous partial fix. Note that holding a reference to a device does not prevent its driver data from going away so there is no point in keeping the reference. Уязвимость компонента drivers/gpu/drm/mediatek ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: regmap: slimbus: fix bus_context pointer in regmap init calls Commit 4e65bda8273c ("ASoC: wcd934x: fix error handling in wcd934x_codec_parse_data()") revealed the problem in the slimbus regmap. That commit breaks audio playback, for instance, on sdm845 Thundercomm Dragonboard 845c board: Unable to handle kernel paging request at virtual address ffff8000847cbad4 ... CPU: 5 UID: 0 PID: 776 Comm: aplay Not tainted 6.18.0-rc1-00028-g7ea30958b305 #11 PREEMPT Hardware name: Thundercomm Dragonboard 845c (DT) ... Call trace: slim_xfer_msg+0x24/0x1ac [slimbus] (P) slim_read+0x48/0x74 [slimbus] regmap_slimbus_read+0x18/0x24 [regmap_slimbus] _regmap_raw_read+0xe8/0x174 _regmap_bus_read+0x44/0x80 _regmap_read+0x60/0xd8 _regmap_update_bits+0xf4/0x140 _regmap_select_page+0xa8/0x124 _regmap_raw_write_impl+0x3b8/0x65c _regmap_bus_raw_write+0x60/0x80 _regmap_write+0x58/0xc0 regmap_write+0x4c/0x80 wcd934x_hw_params+0x494/0x8b8 [snd_soc_wcd934x] snd_soc_dai_hw_params+0x3c/0x7c [snd_soc_core] __soc_pcm_hw_params+0x22c/0x634 [snd_soc_core] dpcm_be_dai_hw_params+0x1d4/0x38c [snd_soc_core] dpcm_fe_dai_hw_params+0x9c/0x17c [snd_soc_core] snd_pcm_hw_params+0x124/0x464 [snd_pcm] snd_pcm_common_ioctl+0x110c/0x1820 [snd_pcm] snd_pcm_ioctl+0x34/0x4c [snd_pcm] __arm64_sys_ioctl+0xac/0x104 invoke_syscall+0x48/0x104 el0_svc_common.constprop.0+0x40/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x34/0xec el0t_64_sync_handler+0xa0/0xf0 el0t_64_sync+0x198/0x19c The __devm_regmap_init_slimbus() started to be used instead of __regmap_init_slimbus() after the commit mentioned above and turns out the incorrect bus_context pointer (3rd argument) was used in __devm_regmap_init_slimbus(). It should be just "slimbus" (which is equal to &slimbus->dev). Correct it. The wcd934x codec seems to be the only or the first user of devm_regmap_init_slimbus() but we should fix it till the point where __devm_regmap_init_slimbus() was introduced therefore two "Fixes" tags. While at this, also correct the same argument in __regmap_init_slimbus(). Уязвимость компонента drivers/base/regmap/regmap-slimbus.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_sync: fix race in hci_cmd_sync_dequeue_once hci_cmd_sync_dequeue_once() does lookup and then cancel the entry under two separate lock sections. Meanwhile, hci_cmd_sync_work() can also delete the same entry, leading to double list_del() and "UAF". Fix this by holding cmd_sync_work_lock across both lookup and cancel, so that the entry cannot be removed concurrently. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Sync pending IRQ work before freeing ring buffer Fix a race where irq_work can be queued in bpf_ringbuf_commit() but the ring buffer is freed before the work executes. In the syzbot reproducer, a BPF program attached to sched_switch triggers bpf_ringbuf_commit(), queuing an irq_work. If the ring buffer is freed before this work executes, the irq_work thread may accesses freed memory. Calling `irq_work_sync(&rb->work)` ensures that all pending irq_work complete before freeing the buffer. Уязвимость компонента bpf ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix potential cfid UAF in smb2_query_info_compound When smb2_query_info_compound() retries, a previously allocated cfid may have been freed in the first attempt. Because cfid wasn't reset on replay, later cleanup could act on a stale pointer, leading to a potential use-after-free. Reinitialize cfid to NULL under the replay label. Example trace (trimmed): refcount_t: underflow; use-after-free. WARNING: CPU: 1 PID: 11224 at ../lib/refcount.c:28 refcount_warn_saturate+0x9c/0x110 [...] RIP: 0010:refcount_warn_saturate+0x9c/0x110 [...] Call Trace: <TASK> smb2_query_info_compound+0x29c/0x5c0 [cifs f90b72658819bd21c94769b6a652029a07a7172f] ? step_into+0x10d/0x690 ? __legitimize_path+0x28/0x60 smb2_queryfs+0x6a/0xf0 [cifs f90b72658819bd21c94769b6a652029a07a7172f] smb311_queryfs+0x12d/0x140 [cifs f90b72658819bd21c94769b6a652029a07a7172f] ? kmem_cache_alloc+0x18a/0x340 ? getname_flags+0x46/0x1e0 cifs_statfs+0x9f/0x2b0 [cifs f90b72658819bd21c94769b6a652029a07a7172f] statfs_by_dentry+0x67/0x90 vfs_statfs+0x16/0xd0 user_statfs+0x54/0xa0 __do_sys_statfs+0x20/0x50 do_syscall_64+0x58/0x80 Уязвимость функции smb2_query_info_compound() компонента fs/smb/client/smb2ops.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: brcmfmac: fix crash while sending Action Frames in standalone AP Mode Currently, whenever there is a need to transmit an Action frame, the brcmfmac driver always uses the P2P vif to send the "actframe" IOVAR to firmware. The P2P interfaces were available when wpa_supplicant is managing the wlan interface. However, the P2P interfaces are not created/initialized when only hostapd is managing the wlan interface. And if hostapd receives an ANQP Query REQ Action frame even from an un-associated STA, the brcmfmac driver tries to use an uninitialized P2P vif pointer for sending the IOVAR to firmware. This NULL pointer dereferencing triggers a driver crash. [ 1417.074538] Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 [...] [ 1417.075188] Hardware name: Raspberry Pi 4 Model B Rev 1.5 (DT) [...] [ 1417.075653] Call trace: [ 1417.075662] brcmf_p2p_send_action_frame+0x23c/0xc58 [brcmfmac] [ 1417.075738] brcmf_cfg80211_mgmt_tx+0x304/0x5c0 [brcmfmac] [ 1417.075810] cfg80211_mlme_mgmt_tx+0x1b0/0x428 [cfg80211] [ 1417.076067] nl80211_tx_mgmt+0x238/0x388 [cfg80211] [ 1417.076281] genl_family_rcv_msg_doit+0xe0/0x158 [ 1417.076302] genl_rcv_msg+0x220/0x2a0 [ 1417.076317] netlink_rcv_skb+0x68/0x140 [ 1417.076330] genl_rcv+0x40/0x60 [ 1417.076343] netlink_unicast+0x330/0x3b8 [ 1417.076357] netlink_sendmsg+0x19c/0x3f8 [ 1417.076370] __sock_sendmsg+0x64/0xc0 [ 1417.076391] ____sys_sendmsg+0x268/0x2a0 [ 1417.076408] ___sys_sendmsg+0xb8/0x118 [ 1417.076427] __sys_sendmsg+0x90/0xf8 [ 1417.076445] __arm64_sys_sendmsg+0x2c/0x40 [ 1417.076465] invoke_syscall+0x50/0x120 [ 1417.076486] el0_svc_common.constprop.0+0x48/0xf0 [ 1417.076506] do_el0_svc+0x24/0x38 [ 1417.076525] el0_svc+0x30/0x100 [ 1417.076548] el0t_64_sync_handler+0x100/0x130 [ 1417.076569] el0t_64_sync+0x190/0x198 [ 1417.076589] Code: f9401e80 aa1603e2 f9403be1 5280e483 (f9400000) Fix this, by always using the vif corresponding to the wdev on which the Action frame Transmission request was initiated by the userspace. This way, even if P2P vif is not available, the IOVAR is sent to firmware on AP vif and the ANQP Query RESP Action frame is transmitted without crashing the driver. Move init_completion() for "send_af_done" from brcmf_p2p_create_p2pdev() to brcmf_p2p_attach(). Because the former function would not get executed when only hostapd is managing wlan interface, and it is not safe to do reinit_completion() later in brcmf_p2p_tx_action_frame(), without any prior init_completion(). And in the brcmf_p2p_tx_action_frame() function, the condition check for P2P Presence response frame is not needed, since the wpa_supplicant is properly sending the P2P Presense Response frame on the P2P-GO vif instead of the P2P-Device vif. [Cc stable] Уязвимость компонента drivers/net/wireless/broadcom/brcm80211/brcmfmac ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: bitblit: bound-check glyph index in bit_putcs* bit_putcs_aligned()/unaligned() derived the glyph pointer from the character value masked by 0xff/0x1ff, which may exceed the actual font's glyph count and read past the end of the built-in font array. Clamp the index to the actual glyph count before computing the address. This fixes a global out-of-bounds read reported by syzbot. Уязвимость функций bit_putcs_aligned(), bit_putcs_unaligned() компонента drivers/video/fbdev/core/bitblit.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbcon: Set fb_display[i]->mode to NULL when the mode is released Recently, we discovered the following issue through syzkaller: BUG: KASAN: slab-use-after-free in fb_mode_is_equal+0x285/0x2f0 Read of size 4 at addr ff11000001b3c69c by task syz.xxx ... Call Trace: <TASK> dump_stack_lvl+0xab/0xe0 print_address_description.constprop.0+0x2c/0x390 print_report+0xb9/0x280 kasan_report+0xb8/0xf0 fb_mode_is_equal+0x285/0x2f0 fbcon_mode_deleted+0x129/0x180 fb_set_var+0xe7f/0x11d0 do_fb_ioctl+0x6a0/0x750 fb_ioctl+0xe0/0x140 __x64_sys_ioctl+0x193/0x210 do_syscall_64+0x5f/0x9c0 entry_SYSCALL_64_after_hwframe+0x76/0x7e Based on experimentation and analysis, during framebuffer unregistration, only the memory of fb_info->modelist is freed, without setting the corresponding fb_display[i]->mode to NULL for the freed modes. This leads to UAF issues during subsequent accesses. Here's an example of reproduction steps: 1. With /dev/fb0 already registered in the system, load a kernel module to register a new device /dev/fb1; 2. Set fb1's mode to the global fb_display[] array (via FBIOPUT_CON2FBMAP); 3. Switch console from fb to VGA (to allow normal rmmod of the ko); 4. Unload the kernel module, at this point fb1's modelist is freed, leaving a wild pointer in fb_display[]; 5. Trigger the bug via system calls through fb0 attempting to delete a mode from fb0. Add a check in do_unregister_framebuffer(): if the mode to be freed exists in fb_display[], set the corresponding mode pointer to NULL. Уязвимость функции do_unregister_framebuffer() ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или выполнить произвольный код [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: NFSD: Fix crash in nfsd4_read_release() When tracing is enabled, the trace_nfsd_read_done trace point crashes during the pynfs read.testNoFh test. Уязвимость функции nfsd4_read_release() компонента fs/nfsd/nfs4proc.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix potential UAF in smb2_close_cached_fid() find_or_create_cached_dir() could grab a new reference after kref_put() had seen the refcount drop to zero but before cfid_list_lock is acquired in smb2_close_cached_fid(), leading to use-after-free. Switch to kref_put_lock() so cfid_release() is called with cfid_list_lock held, closing that gap. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/sched: Fix deadlock in drm_sched_entity_kill_jobs_cb The Mesa issue referenced below pointed out a possible deadlock: [ 1231.611031] Possible interrupt unsafe locking scenario: [ 1231.611033] CPU0 CPU1 [ 1231.611034] ---- ---- [ 1231.611035] lock(&xa->xa_lock#17); [ 1231.611038] local_irq_disable(); [ 1231.611039] lock(&fence->lock); [ 1231.611041] lock(&xa->xa_lock#17); [ 1231.611044] <Interrupt> [ 1231.611045] lock(&fence->lock); [ 1231.611047] *** DEADLOCK *** In this example, CPU0 would be any function accessing job->dependencies through the xa_* functions that don't disable interrupts (eg: drm_sched_job_add_dependency(), drm_sched_entity_kill_jobs_cb()). CPU1 is executing drm_sched_entity_kill_jobs_cb() as a fence signalling callback so in an interrupt context. It will deadlock when trying to grab the xa_lock which is already held by CPU0. Replacing all xa_* usage by their xa_*_irq counterparts would fix this issue, but Christian pointed out another issue: dma_fence_signal takes fence.lock and so does dma_fence_add_callback. dma_fence_signal() // locks f1.lock -> drm_sched_entity_kill_jobs_cb() -> foreach dependencies -> dma_fence_add_callback() // locks f2.lock This will deadlock if f1 and f2 share the same spinlock. To fix both issues, the code iterating on dependencies and re-arming them is moved out to drm_sched_entity_kill_jobs_work(). [phasta: commit message nits] Уязвимость функции drm_sched_entity_kill_jobs_cb() компонента drivers/gpu/drm/scheduler/sched_entity.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sctp: Prevent TOCTOU out-of-bounds write For the following path not holding the sock lock, sctp_diag_dump() -> sctp_for_each_endpoint() -> sctp_ep_dump() make sure not to exceed bounds in case the address list has grown between buffer allocation (time-of-check) and write (time-of-use). Уязвимость компонента net/sctp ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: Fix mmap write lock not release If mmap write lock is taken while draining retry fault, mmap write lock is not released because svm_range_restore_pages calls mmap_read_unlock then returns. This causes deadlock and system hangs later because mmap read or write lock cannot be taken. Downgrade mmap write lock to read lock if draining retry fault fix this bug. Уязвимость компонента drivers/gpu/drm/amd/amdkfd ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix infinite loop in __insert_extent_tree() When we get wrong extent info data, and look up extent_node in rb tree, it will cause infinite loop (CONFIG_F2FS_CHECK_FS=n). Avoiding this by return NULL and print some kernel messages in that case. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: stmmac: Correctly handle Rx checksum offload errors The stmmac_rx function would previously set skb->ip_summed to CHECKSUM_UNNECESSARY if hardware checksum offload (CoE) was enabled and the packet was of a known IP ethertype. However, this logic failed to check if the hardware had actually reported a checksum error. The hardware status, indicating a header or payload checksum failure, was being ignored at this stage. This could cause corrupt packets to be passed up the network stack as valid. This patch corrects the logic by checking the `csum_none` status flag, which is set when the hardware reports a checksum error. If this flag is set, skb->ip_summed is now correctly set to CHECKSUM_NONE, ensuring the kernel's network stack will perform its own validation and properly handle the corrupt packet. Уязвимость функции stmmac_rx() ядра операционной системы Linux связана с переполнением буфера на основе стека. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L', score=8.2) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix nullptr err of vm_handle_moved If a amdgpu_bo_va is fpriv->prt_va, the bo of this one is always NULL. So, such kind of amdgpu_bo_va should be updated separately before amdgpu_vm_handle_moved. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe: Fix oops in xe_gem_fault when running core_hotunplug test. I saw an oops in xe_gem_fault when running the xe-fast-feedback testlist against the realtime kernel without debug options enabled. The panic happens after core_hotunplug unbind-rebind finishes. Presumably what happens is that a process mmaps, unlocks because of the FAULT_FLAG_RETRY_NOWAIT logic, has no process memory left, causing ttm_bo_vm_dummy_page() to return VM_FAULT_NOPAGE, since there was nothing left to populate, and then oopses in "mem_type_is_vram(tbo->resource->mem_type)" because tbo->resource is NULL. It's convoluted, but fits the data and explains the oops after the test exits. Уязвимость функции xe_gem_fault() компонента drivers/gpu/drm/xe/xe_bo.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: futex: Don't leak robust_list pointer on exec race sys_get_robust_list() and compat_get_robust_list() use ptrace_may_access() to check if the calling task is allowed to access another task's robust_list pointer. This check is racy against a concurrent exec() in the target process. During exec(), a task may transition from a non-privileged binary to a privileged one (e.g., setuid binary) and its credentials/memory mappings may change. If get_robust_list() performs ptrace_may_access() before this transition, it may erroneously allow access to sensitive information after the target becomes privileged. A racy access allows an attacker to exploit a window during which ptrace_may_access() passes before a target process transitions to a privileged state via exec(). For example, consider a non-privileged task T that is about to execute a setuid-root binary. An attacker task A calls get_robust_list(T) while T is still unprivileged. Since ptrace_may_access() checks permissions based on current credentials, it succeeds. However, if T begins exec immediately afterwards, it becomes privileged and may change its memory mappings. Because get_robust_list() proceeds to access T->robust_list without synchronizing with exec() it may read user-space pointers from a now-privileged process. This violates the intended post-exec access restrictions and could expose sensitive memory addresses or be used as a primitive in a larger exploit chain. Consequently, the race can lead to unauthorized disclosure of information across privilege boundaries and poses a potential security risk. Take a read lock on signal->exec_update_lock prior to invoking ptrace_may_access() and accessing the robust_list/compat_robust_list. This ensures that the target task's exec state remains stable during the check, allowing for consistent and synchronized validation of credentials. Уязвимость компонента kernel/futex ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvme-fc: use lock accessing port_state and rport state nvme_fc_unregister_remote removes the remote port on a lport object at any point in time when there is no active association. This races with with the reconnect logic, because nvme_fc_create_association is not taking a lock to check the port_state and atomically increase the active count on the rport. Уязвимость функции nvme_fc_create_association() модуля drivers/nvme/host/fc.c драйвера NVME ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvmet-fc: avoid scheduling association deletion twice When forcefully shutting down a port via the configfs interface, nvmet_port_subsys_drop_link() first calls nvmet_port_del_ctrls() and then nvmet_disable_port(). Both functions will eventually schedule all remaining associations for deletion. The current implementation checks whether an association is about to be removed, but only after the work item has already been scheduled. As a result, it is possible for the first scheduled work item to free all resources, and then for the same work item to be scheduled again for deletion. Because the association list is an RCU list, it is not possible to take a lock and remove the list entry directly, so it cannot be looked up again. Instead, a flag (terminating) must be used to determine whether the association is already in the process of being deleted. Уязвимость компонента drivers/nvme/target/fc.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: Intel: avs: Disable periods-elapsed work when closing PCM avs_dai_fe_shutdown() handles the shutdown procedure for HOST HDAudio stream while period-elapsed work services its IRQs. As the former frees the DAI's private context, these two operations shall be synchronized to avoid slab-use-after-free or worse errors. Уязвимость компонента sound/soc/intel/avs ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arch_topology: Fix incorrect error check in topology_parse_cpu_capacity() Fix incorrect use of PTR_ERR_OR_ZERO() in topology_parse_cpu_capacity() which causes the code to proceed with NULL clock pointers. The current logic uses !PTR_ERR_OR_ZERO(cpu_clk) which evaluates to true for both valid pointers and NULL, leading to potential NULL pointer dereference in clk_get_rate(). Per include/linux/err.h documentation, PTR_ERR_OR_ZERO(ptr) returns: "The error code within @ptr if it is an error pointer; 0 otherwise." This means PTR_ERR_OR_ZERO() returns 0 for both valid pointers AND NULL pointers. Therefore !PTR_ERR_OR_ZERO(cpu_clk) evaluates to true (proceed) when cpu_clk is either valid or NULL, causing clk_get_rate(NULL) to be called when of_clk_get() returns NULL. Replace with !IS_ERR_OR_NULL(cpu_clk) which only proceeds for valid pointers, preventing potential NULL pointer dereference in clk_get_rate(). Уязвимость функции topology_parse_cpu_capacity() компонента drivers/base/arch_topology.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: enetc: fix the deadlock of enetc_mdio_lock After applying the workaround for err050089, the LS1028A platform experiences RCU stalls on RT kernel. This issue is caused by the recursive acquisition of the read lock enetc_mdio_lock. Here list some of the call stacks identified under the enetc_poll path that may lead to a deadlock: enetc_poll -> enetc_lock_mdio -> enetc_clean_rx_ring OR napi_complete_done -> napi_gro_receive -> enetc_start_xmit -> enetc_lock_mdio -> enetc_map_tx_buffs -> enetc_unlock_mdio -> enetc_unlock_mdio After enetc_poll acquires the read lock, a higher-priority writer attempts to acquire the lock, causing preemption. The writer detects that a read lock is already held and is scheduled out. However, readers under enetc_poll cannot acquire the read lock again because a writer is already waiting, leading to a thread hang. Currently, the deadlock is avoided by adjusting enetc_lock_mdio to prevent recursive lock acquisition. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfs: validate record offset in hfsplus_bmap_alloc hfsplus_bmap_alloc can trigger a crash if a record offset or length is larger than node_size [ 15.264282] BUG: KASAN: slab-out-of-bounds in hfsplus_bmap_alloc+0x887/0x8b0 [ 15.265192] Read of size 8 at addr ffff8881085ca188 by task test/183 [ 15.265949] [ 15.266163] CPU: 0 UID: 0 PID: 183 Comm: test Not tainted 6.17.0-rc2-gc17b750b3ad9 #14 PREEMPT(voluntary) [ 15.266165] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 15.266167] Call Trace: [ 15.266168] <TASK> [ 15.266169] dump_stack_lvl+0x53/0x70 [ 15.266173] print_report+0xd0/0x660 [ 15.266181] kasan_report+0xce/0x100 [ 15.266185] hfsplus_bmap_alloc+0x887/0x8b0 [ 15.266208] hfs_btree_inc_height.isra.0+0xd5/0x7c0 [ 15.266217] hfsplus_brec_insert+0x870/0xb00 [ 15.266222] __hfsplus_ext_write_extent+0x428/0x570 [ 15.266225] __hfsplus_ext_cache_extent+0x5e/0x910 [ 15.266227] hfsplus_ext_read_extent+0x1b2/0x200 [ 15.266233] hfsplus_file_extend+0x5a7/0x1000 [ 15.266237] hfsplus_get_block+0x12b/0x8c0 [ 15.266238] __block_write_begin_int+0x36b/0x12c0 [ 15.266251] block_write_begin+0x77/0x110 [ 15.266252] cont_write_begin+0x428/0x720 [ 15.266259] hfsplus_write_begin+0x51/0x100 [ 15.266262] cont_write_begin+0x272/0x720 [ 15.266270] hfsplus_write_begin+0x51/0x100 [ 15.266274] generic_perform_write+0x321/0x750 [ 15.266285] generic_file_write_iter+0xc3/0x310 [ 15.266289] __kernel_write_iter+0x2fd/0x800 [ 15.266296] dump_user_range+0x2ea/0x910 [ 15.266301] elf_core_dump+0x2a94/0x2ed0 [ 15.266320] vfs_coredump+0x1d85/0x45e0 [ 15.266349] get_signal+0x12e3/0x1990 [ 15.266357] arch_do_signal_or_restart+0x89/0x580 [ 15.266362] irqentry_exit_to_user_mode+0xab/0x110 [ 15.266364] asm_exc_page_fault+0x26/0x30 [ 15.266366] RIP: 0033:0x41bd35 [ 15.266367] Code: bc d1 f3 0f 7f 27 f3 0f 7f 6f 10 f3 0f 7f 77 20 f3 0f 7f 7f 30 49 83 c0 0f 49 29 d0 48 8d 7c 17 31 e9 9f 0b 00 00 66 0f ef c0 <f3> 0f 6f 0e f3 0f 6f 56 10 66 0f 74 c1 66 0f d7 d0 49 83 f8f [ 15.266369] RSP: 002b:00007ffc9e62d078 EFLAGS: 00010283 [ 15.266371] RAX: 00007ffc9e62d100 RBX: 0000000000000000 RCX: 0000000000000000 [ 15.266372] RDX: 00000000000000e0 RSI: 0000000000000000 RDI: 00007ffc9e62d100 [ 15.266373] RBP: 0000400000000040 R08: 00000000000000e0 R09: 0000000000000000 [ 15.266374] R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 [ 15.266375] R13: 0000000000000000 R14: 0000000000000000 R15: 0000400000000000 [ 15.266376] </TASK> When calling hfsplus_bmap_alloc to allocate a free node, this function first retrieves the bitmap from header node and map node using node->page together with the offset and length from hfs_brec_lenoff ``` len = hfs_brec_lenoff(node, 2, &off16); off = off16; off += node->page_offset; pagep = node->page + (off >> PAGE_SHIFT); data = kmap_local_page(*pagep); ``` However, if the retrieved offset or length is invalid(i.e. exceeds node_size), the code may end up accessing pages outside the allocated range for this node. This patch adds proper validation of both offset and length before use, preventing out-of-bounds page access. Move is_bnode_offset_valid and check_and_correct_requested_length to hfsplus_fs.h, as they may be required by other functions. Уязвимость компонента fs/hfsplus ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: RX, Fix generating skb from non-linear xdp_buff for striding RQ XDP programs can change the layout of an xdp_buff through bpf_xdp_adjust_tail() and bpf_xdp_adjust_head(). Therefore, the driver cannot assume the size of the linear data area nor fragments. Fix the bug in mlx5 by generating skb according to xdp_buff after XDP programs run. Currently, when handling multi-buf XDP, the mlx5 driver assumes the layout of an xdp_buff to be unchanged. That is, the linear data area continues to be empty and fragments remain the same. This may cause the driver to generate erroneous skb or triggering a kernel warning. When an XDP program added linear data through bpf_xdp_adjust_head(), the linear data will be ignored as mlx5e_build_linear_skb() builds an skb without linear data and then pull data from fragments to fill the linear data area. When an XDP program has shrunk the non-linear data through bpf_xdp_adjust_tail(), the delta passed to __pskb_pull_tail() may exceed the actual nonlinear data size and trigger the BUG_ON in it. To fix the issue, first record the original number of fragments. If the number of fragments changes after the XDP program runs, rewind the end fragment pointer by the difference and recalculate the truesize. Then, build the skb with the linear data area matching the xdp_buff. Finally, only pull data in if there is non-linear data and fill the linear part up to 256 bytes. Уязвимость компонента drivers/net/ethernet/mellanox/mlx5/core ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix KMSAN uninit-value issue in hfsplus_delete_cat() The syzbot reported issue in hfsplus_delete_cat(): [ 70.682285][ T9333] ===================================================== [ 70.682943][ T9333] BUG: KMSAN: uninit-value in hfsplus_subfolders_dec+0x1d7/0x220 [ 70.683640][ T9333] hfsplus_subfolders_dec+0x1d7/0x220 [ 70.684141][ T9333] hfsplus_delete_cat+0x105d/0x12b0 [ 70.684621][ T9333] hfsplus_rmdir+0x13d/0x310 [ 70.685048][ T9333] vfs_rmdir+0x5ba/0x810 [ 70.685447][ T9333] do_rmdir+0x964/0xea0 [ 70.685833][ T9333] __x64_sys_rmdir+0x71/0xb0 [ 70.686260][ T9333] x64_sys_call+0xcd8/0x3cf0 [ 70.686695][ T9333] do_syscall_64+0xd9/0x1d0 [ 70.687119][ T9333] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 70.687646][ T9333] [ 70.687856][ T9333] Uninit was stored to memory at: [ 70.688311][ T9333] hfsplus_subfolders_inc+0x1c2/0x1d0 [ 70.688779][ T9333] hfsplus_create_cat+0x148e/0x1800 [ 70.689231][ T9333] hfsplus_mknod+0x27f/0x600 [ 70.689730][ T9333] hfsplus_mkdir+0x5a/0x70 [ 70.690146][ T9333] vfs_mkdir+0x483/0x7a0 [ 70.690545][ T9333] do_mkdirat+0x3f2/0xd30 [ 70.690944][ T9333] __x64_sys_mkdir+0x9a/0xf0 [ 70.691380][ T9333] x64_sys_call+0x2f89/0x3cf0 [ 70.691816][ T9333] do_syscall_64+0xd9/0x1d0 [ 70.692229][ T9333] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 70.692773][ T9333] [ 70.692990][ T9333] Uninit was stored to memory at: [ 70.693469][ T9333] hfsplus_subfolders_inc+0x1c2/0x1d0 [ 70.693960][ T9333] hfsplus_create_cat+0x148e/0x1800 [ 70.694438][ T9333] hfsplus_fill_super+0x21c1/0x2700 [ 70.694911][ T9333] mount_bdev+0x37b/0x530 [ 70.695320][ T9333] hfsplus_mount+0x4d/0x60 [ 70.695729][ T9333] legacy_get_tree+0x113/0x2c0 [ 70.696167][ T9333] vfs_get_tree+0xb3/0x5c0 [ 70.696588][ T9333] do_new_mount+0x73e/0x1630 [ 70.697013][ T9333] path_mount+0x6e3/0x1eb0 [ 70.697425][ T9333] __se_sys_mount+0x733/0x830 [ 70.697857][ T9333] __x64_sys_mount+0xe4/0x150 [ 70.698269][ T9333] x64_sys_call+0x2691/0x3cf0 [ 70.698704][ T9333] do_syscall_64+0xd9/0x1d0 [ 70.699117][ T9333] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 70.699730][ T9333] [ 70.699946][ T9333] Uninit was created at: [ 70.700378][ T9333] __alloc_pages_noprof+0x714/0xe60 [ 70.700843][ T9333] alloc_pages_mpol_noprof+0x2a2/0x9b0 [ 70.701331][ T9333] alloc_pages_noprof+0xf8/0x1f0 [ 70.701774][ T9333] allocate_slab+0x30e/0x1390 [ 70.702194][ T9333] ___slab_alloc+0x1049/0x33a0 [ 70.702635][ T9333] kmem_cache_alloc_lru_noprof+0x5ce/0xb20 [ 70.703153][ T9333] hfsplus_alloc_inode+0x5a/0xd0 [ 70.703598][ T9333] alloc_inode+0x82/0x490 [ 70.703984][ T9333] iget_locked+0x22e/0x1320 [ 70.704428][ T9333] hfsplus_iget+0x5c/0xba0 [ 70.704827][ T9333] hfsplus_btree_open+0x135/0x1dd0 [ 70.705291][ T9333] hfsplus_fill_super+0x1132/0x2700 [ 70.705776][ T9333] mount_bdev+0x37b/0x530 [ 70.706171][ T9333] hfsplus_mount+0x4d/0x60 [ 70.706579][ T9333] legacy_get_tree+0x113/0x2c0 [ 70.707019][ T9333] vfs_get_tree+0xb3/0x5c0 [ 70.707444][ T9333] do_new_mount+0x73e/0x1630 [ 70.707865][ T9333] path_mount+0x6e3/0x1eb0 [ 70.708270][ T9333] __se_sys_mount+0x733/0x830 [ 70.708711][ T9333] __x64_sys_mount+0xe4/0x150 [ 70.709158][ T9333] x64_sys_call+0x2691/0x3cf0 [ 70.709630][ T9333] do_syscall_64+0xd9/0x1d0 [ 70.710053][ T9333] entry_SYSCALL_64_after_hwframe+0x77/0x7f [ 70.710611][ T9333] [ 70.710842][ T9333] CPU: 3 UID: 0 PID: 9333 Comm: repro Not tainted 6.12.0-rc6-dirty #17 [ 70.711568][ T9333] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 70.712490][ T9333] ===================================================== [ 70.713085][ T9333] Disabling lock debugging due to kernel taint [ 70.713618][ T9333] Kernel panic - not syncing: kmsan.panic set ... [ 70.714159][ T9333] ---truncated--- Уязвимость компонента fs/hfsplus ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arm64: mte: Do not warn if the page is already tagged in copy_highpage() The arm64 copy_highpage() assumes that the destination page is newly allocated and not MTE-tagged (PG_mte_tagged unset) and warns accordingly. However, following commit 060913999d7a ("mm: migrate: support poisoned recover from migrate folio"), folio_mc_copy() is called before __folio_migrate_mapping(). If the latter fails (-EAGAIN), the copy will be done again to the same destination page. Since copy_highpage() already set the PG_mte_tagged flag, this second copy will warn. Replace the WARN_ON_ONCE(page already tagged) in the arm64 copy_highpage() with a comment. Уязвимость функции copy_highpage() модуля arch/arm64/mm/copypage.c поддержки платформы ARM 64бит ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: increase max link count and fix link->enc NULL pointer access [why] 1.) dc->links[MAX_LINKS] array size smaller than actual requested. max_connector + max_dpia + 4 virtual = 14. increase from 12 to 14. 2.) hw_init() access null LINK_ENC for dpia non display_endpoint. (cherry picked from commit d7f5a61e1b04ed87b008c8d327649d184dc5bb45) [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/smc: fix general protection fault in __smc_diag_dump The syzbot report a crash: Oops: general protection fault, probably for non-canonical address 0xfbd5a5d5a0000003: 0000 [#1] SMP KASAN NOPTI KASAN: maybe wild-memory-access in range [0xdead4ead00000018-0xdead4ead0000001f] CPU: 1 UID: 0 PID: 6949 Comm: syz.0.335 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Compute Engine/Google Compute Engine, BIOS Google 08/18/2025 RIP: 0010:smc_diag_msg_common_fill net/smc/smc_diag.c:44 [inline] RIP: 0010:__smc_diag_dump.constprop.0+0x3ca/0x2550 net/smc/smc_diag.c:89 Call Trace: <TASK> smc_diag_dump_proto+0x26d/0x420 net/smc/smc_diag.c:217 smc_diag_dump+0x27/0x90 net/smc/smc_diag.c:234 netlink_dump+0x539/0xd30 net/netlink/af_netlink.c:2327 __netlink_dump_start+0x6d6/0x990 net/netlink/af_netlink.c:2442 netlink_dump_start include/linux/netlink.h:341 [inline] smc_diag_handler_dump+0x1f9/0x240 net/smc/smc_diag.c:251 __sock_diag_cmd net/core/sock_diag.c:249 [inline] sock_diag_rcv_msg+0x438/0x790 net/core/sock_diag.c:285 netlink_rcv_skb+0x158/0x420 net/netlink/af_netlink.c:2552 netlink_unicast_kernel net/netlink/af_netlink.c:1320 [inline] netlink_unicast+0x5a7/0x870 net/netlink/af_netlink.c:1346 netlink_sendmsg+0x8d1/0xdd0 net/netlink/af_netlink.c:1896 sock_sendmsg_nosec net/socket.c:714 [inline] __sock_sendmsg net/socket.c:729 [inline] ____sys_sendmsg+0xa95/0xc70 net/socket.c:2614 ___sys_sendmsg+0x134/0x1d0 net/socket.c:2668 __sys_sendmsg+0x16d/0x220 net/socket.c:2700 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x4e0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> The process like this: (CPU1) | (CPU2) ---------------------------------|------------------------------- inet_create() | // init clcsock to NULL | sk = sk_alloc() | | // unexpectedly change clcsock | inet_init_csk_locks() | | // add sk to hash table | smc_inet_init_sock() | smc_sk_init() | smc_hash_sk() | | // traverse the hash table | smc_diag_dump_proto | __smc_diag_dump() | // visit wrong clcsock | smc_diag_msg_common_fill() // alloc clcsock | smc_create_clcsk | sock_create_kern | With CONFIG_DEBUG_LOCK_ALLOC=y, the smc->clcsock is unexpectedly changed in inet_init_csk_locks(). The INET_PROTOSW_ICSK flag is no need by smc, just remove it. After removing the INET_PROTOSW_ICSK flag, this patch alse revert commit 6fd27ea183c2 ("net/smc: fix lacks of icsk_syn_mss with IPPROTO_SMC") to avoid casting smc_sock to inet_connection_sock. Уязвимость компонента net/smc ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: riscv: stacktrace: Disable KASAN checks for non-current tasks Unwinding the stack of a task other than current, KASAN would report "BUG: KASAN: out-of-bounds in walk_stackframe+0x41c/0x460" There is a same issue on x86 and has been resolved by the commit 84936118bdf3 ("x86/unwind: Disable KASAN checks for non-current tasks") The solution could be applied to RISC-V too. This patch also can solve the issue: https://seclists.org/oss-sec/2025/q4/23 [pjw@kernel.org: clean up checkpatch issues] [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf/x86/intel: Fix KASAN global-out-of-bounds warning When running "perf mem record" command on CWF, the below KASAN global-out-of-bounds warning is seen. ================================================================== BUG: KASAN: global-out-of-bounds in cmt_latency_data+0x176/0x1b0 Read of size 4 at addr ffffffffb721d000 by task dtlb/9850 Call Trace: kasan_report+0xb8/0xf0 cmt_latency_data+0x176/0x1b0 setup_arch_pebs_sample_data+0xf49/0x2560 intel_pmu_drain_arch_pebs+0x577/0xb00 handle_pmi_common+0x6c4/0xc80 The issue is caused by below code in __grt_latency_data(). The code tries to access x86_hybrid_pmu structure which doesn't exist on non-hybrid platform like CWF. WARN_ON_ONCE(hybrid_pmu(event->pmu)->pmu_type == hybrid_big) So add is_hybrid() check before calling this WARN_ON_ONCE to fix the global-out-of-bounds access issue. Уязвимость компонента perf/x86/intel ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/sysfb: Do not dereference NULL pointer in plane reset The plane state in __drm_gem_reset_shadow_plane() can be NULL. Do not deref that pointer, but forward NULL to the other plane-reset helpers. Clears plane->state to NULL. v2: - fix typo in commit description (Javier) Уязвимость функции __drm_gem_reset_shadow_plane() компонента drivers/gpu/drm/drm_gem_atomic_helper.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ceph: fix multifs mds auth caps issue The mds auth caps check should also validate the fsname along with the associated caps. Not doing so would result in applying the mds auth caps of one fs on to the other fs in a multifs ceph cluster. The bug causes multiple issues w.r.t user authentication, following is one such example. Steps to Reproduce (on vstart cluster): 1. Create two file systems in a cluster, say 'fsname1' and 'fsname2' 2. Authorize read only permission to the user 'client.usr' on fs 'fsname1' $ceph fs authorize fsname1 client.usr / r 3. Authorize read and write permission to the same user 'client.usr' on fs 'fsname2' $ceph fs authorize fsname2 client.usr / rw 4. Update the keyring $ceph auth get client.usr >> ./keyring With above permssions for the user 'client.usr', following is the expectation. a. The 'client.usr' should be able to only read the contents and not allowed to create or delete files on file system 'fsname1'. b. The 'client.usr' should be able to read/write on file system 'fsname2'. But, with this bug, the 'client.usr' is allowed to read/write on file system 'fsname1'. See below. 5. Mount the file system 'fsname1' with the user 'client.usr' $sudo bin/mount.ceph usr@.fsname1=/ /kmnt_fsname1_usr/ 6. Try creating a file on file system 'fsname1' with user 'client.usr'. This should fail but passes with this bug. $touch /kmnt_fsname1_usr/file1 7. Mount the file system 'fsname1' with the user 'client.admin' and create a file. $sudo bin/mount.ceph admin@.fsname1=/ /kmnt_fsname1_admin $echo "data" > /kmnt_fsname1_admin/admin_file1 8. Try removing an existing file on file system 'fsname1' with the user 'client.usr'. This shoudn't succeed but succeeds with the bug. $rm -f /kmnt_fsname1_usr/admin_file1 For more information, please take a look at the corresponding mds/fuse patch and tests added by looking into the tracker mentioned below. v2: Fix a possible null dereference in doutc v3: Don't store fsname from mdsmap, validate against ceph_mount_options's fsname and use it v4: Code refactor, better warning message and fix possible compiler warning [ Slava.Dubeyko: "fsname check failed" -> "fsname mismatch" ] Уязвимость компонента ceph ядра операционной системы Linux связана с недостаточной детализацией контроля доступа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ipv6: fix field-spanning memcpy warning in AH output Fix field-spanning memcpy warnings in ah6_output() and ah6_output_done() where extension headers are copied to/from IPv6 address fields, triggering fortify-string warnings about writes beyond the 16-byte address fields. memcpy: detected field-spanning write (size 40) of single field "&top_iph->saddr" at net/ipv6/ah6.c:439 (size 16) WARNING: CPU: 0 PID: 8838 at net/ipv6/ah6.c:439 ah6_output+0xe7e/0x14e0 net/ipv6/ah6.c:439 The warnings are false positives as the extension headers are intentionally placed after the IPv6 header in memory. Fix by properly copying addresses and extension headers separately, and introduce helper functions to avoid code duplication. Уязвимость функций ah6_output_done() и ah6_output() файла net/ipv6/ah6.c ядра операционной системы Linux связана с неправильным расчетом размера буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 bind9 Under certain circumstances, BIND is too lenient when accepting records from answers, allowing an attacker to inject forged data into the cache. This issue affects BIND 9 versions 9.11.0 through 9.16.50, 9.18.0 through 9.18.39, 9.20.0 through 9.20.13, 9.21.0 through 9.21.12, 9.11.3-S1 through 9.16.50-S1, 9.18.11-S1 through 9.18.39-S1, and 9.20.9-S1 through 9.20.13-S1. Уязвимость DNS-сервера BIND связана с загрузкой внешних ненадёжных данных вместе с надёжными данными. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, перенаправить трафик на вредоносный сайт [NistCWE(cwe='CWE-349')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N', score=8.6) Для нейтрализации угрозы эксплуатации уязвимости необходимо выполнить следующие требования: - Настроить списки контроля доступа (ACL) в named.conf, разрешив рекурсивные и обычные запросы исключительно для IP-адресов доверенных внутренних сетей организации. - Настроить принудительное использование доверенных вышестоящих серверов (forwarders) в режиме forward only. Ваш BIND будет направлять все запросы только на заранее заданные, проверенные IP-адреса. - Установить низкое значение времени жизни записей в кэше с помощью параметра max-cache-ttl. - Включить обязательную проверку DNSSEC (dnssec-validation auto). Она обеспечивает криптографическую проверку целостности и подлинности ответов для всех доменов, поддерживающих эту технологию. Astra Linux 1.8 bind9 In specific circumstances, due to a weakness in the Pseudo Random Number Generator (PRNG) that is used, it is possible for an attacker to predict the source port and query ID that BIND will use. This issue affects BIND 9 versions 9.16.0 through 9.16.50, 9.18.0 through 9.18.39, 9.20.0 through 9.20.13, 9.21.0 through 9.21.12, 9.16.8-S1 through 9.16.50-S1, 9.18.11-S1 through 9.18.39-S1, and 9.20.9-S1 through 9.20.13-S1. Уязвимость сервера DNS BIND связана с прогнозируемостью в результате наблюдения состояния. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-341')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N', score=8.6) bind9: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска bind9 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 26, iOS 26 and iPadOS 26, macOS Tahoe 26, tvOS 26, visionOS 26, watchOS 26. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved handling of caches. This issue is fixed in Safari 26.1, iOS 18.7.2 and iPadOS 18.7.2, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. A website may exfiltrate image data cross-origin. Уязвимость модуля отображения веб-страниц WebKit операционных систем iOS и iPadOS связана с использованием недоверенного файла междоменной политики при обработке элементов Canvas. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-942')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 26, iOS 26 and iPadOS 26, macOS Tahoe 26, tvOS 26, visionOS 26, watchOS 26. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk Multiple issues were addressed by disabling array allocation sinking. This issue is fixed in Safari 26.1, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, visionOS 26.1. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 26.1, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk This issue was addressed through improved state management. This issue is fixed in Safari 26.1, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A buffer overflow was addressed with improved bounds checking. This issue is fixed in Safari 26.1, iOS 18.7.2 and iPadOS 18.7.2, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk This issue was addressed through improved state management. This issue is fixed in Safari 26.1, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 26.1, iOS 18.7.2 and iPadOS 18.7.2, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 26.1, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 26.1, iOS 18.7.2 and iPadOS 18.7.2, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to memory corruption. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 26.1, iOS 18.7.2 and iPadOS 18.7.2, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 26.1, iOS 18.7.2 and iPadOS 18.7.2, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk This issue was addressed with improved checks. This issue is fixed in Safari 26.1, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 26.1, iOS 18.7.2 and iPadOS 18.7.2, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk This issue was addressed with improved checks. This issue is fixed in Safari 26.1, iOS 18.7.2 and iPadOS 18.7.2, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk This issue was addressed through improved state management. This issue is fixed in Safari 26.1, iOS 18.7.2 and iPadOS 18.7.2, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A buffer overflow issue was addressed with improved memory handling. This issue is fixed in Safari 26.2, iOS 18.7.3 and iPadOS 18.7.3, iOS 26.2 and iPadOS 26.2, macOS Tahoe 26.2, visionOS 26.2. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 26.2, iOS 18.7.3 and iPadOS 18.7.3, iOS 26.2 and iPadOS 26.2, macOS Tahoe 26.2, tvOS 26.2, visionOS 26.2, watchOS 26.2. Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on versions of iOS before iOS 26. CVE-2025-14174 was also issued in response to this report. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A race condition was addressed with improved state handling. This issue is fixed in Safari 26.2, iOS 18.7.3 and iPadOS 18.7.3, iOS 26.2 and iPadOS 26.2, macOS Tahoe 26.2, tvOS 26.2, visionOS 26.2, watchOS 26.2. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модуля отображения веб-страниц WebKit операционных систем macOS, iOS и iPadOS связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 26.2, iOS 18.7.3 and iPadOS 18.7.3, iOS 26.2 and iPadOS 26.2, macOS Tahoe 26.2, visionOS 26.2. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модуля отображения веб-страниц WebKit операционных систем macOS, iOS и iPadOS связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 26.2, iOS 18.7.3 and iPadOS 18.7.3, iOS 26.2 and iPadOS 26.2, macOS Tahoe 26.2. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модуля отображения веб-страниц WebKit операционных систем macOS, iOS и iPadOS связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A type confusion issue was addressed with improved state handling. This issue is fixed in Safari 26.2, iOS 18.7.3 and iPadOS 18.7.3, iOS 26.2 and iPadOS 26.2, macOS Tahoe 26.2, visionOS 26.2. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с ошибками преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 poppler Poppler 24.06.1 through 25.x before 25.04.0 allows stack consumption and a SIGSEGV via deeply nested structures within the metadata (such as GTS_PDFEVersion) of a PDF document, e.g., a regular expression for a long pdfsubver string. This occurs in Dict::lookup, Catalog::getMetadata, and associated functions in PDFDoc, with deep recursion in the regex executor (std::__detail::_Executor). Уязвимость библиотеки для отображения PDF-файлов Poppler связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) - Избегайте анализа ненадежных PDF-файлов с помощью уязвимых сборок Poppler. - Внедрите страницы защиты стека и ограничения размера стека ulimit для утилит командной строки. - Используйте изолированные контейнеры для автоматизированных рабочих процессов анализа PDF-файлов. - Примените фаззинговые регрессионные тесты для рекурсивных структур метаданных. Astra Linux 1.8 libraw In LibRaw before 0.21.4, metadata/tiff.cpp has an out-of-bounds read in the Fujifilm 0xf00c tag parser. Уязвимость компонента metadata/tiff.cpp библиотеки для обработки изображений LibRaw связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) Astra Linux 1.8 libraw In LibRaw before 0.21.4, phase_one_correct in decoders/load_mfbacks.cpp has out-of-bounds reads for tag 0x412 processing, related to large w0 or w1 values or the frac and mult calculations. Уязвимость функции phase_one_correct компонента decoders/load_mfbacks.cpp библиотеки для обработки изображений LibRaw связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) Astra Linux 1.8 libraw In LibRaw before 0.21.4, phase_one_correct in decoders/load_mfbacks.cpp allows out-of-buffer access because split_col and split_row values are not checked in 0x041f tag processing. Уязвимость функции phase_one_correct() компонента decoders/load_mfbacks.cpp библиотеки для обработки изображений LibRaw связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) Astra Linux 1.8 libraw In LibRaw before 0.21.4, tag 0x412 processing in phase_one_correct in decoders/load_mfbacks.cpp does not enforce minimum w0 and w1 values. Уязвимость функции phase_one_correct() компонента decoders/load_mfbacks.cpp библиотеки для обработки изображений LibRaw связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1284'), NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) Astra Linux 1.8 mupdf An issue in Artifex mupdf 1.25.6, 1.25.5 allows a remote attacker to cause a denial of service via an infinite recursion in the `mutool clean` utility. When processing a crafted PDF file containing cyclic /Next references in the outline structure, the `strip_outline()` function enters infinite recursion Уязвимость функции strip_outline() компонента source/pdf/pdf-clean-file.c программы просмотра PDF-файлов MuPDf связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) - использовать ПО mupdf только на низком или отдельно выделенном уровне целостности; - при использовании ПО mupdf выполнять обработку файлов, полученных только из доверенных источников; - обеспечить возможность запуска mupdf только доверенными пользователями ОС; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - для непривилегированных пользователей активировать блокировку интерпретаторов; - отказаться от использования ПО mupdf в пользу ПО okular. Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup. It is vulnerable to memory leaks in the soup_header_parse_quality_list() function when parsing a quality list that contains elements with all zeroes. Уязвимость функции soup_header_parse_quality_list() компонента soup-headers.c библиотеки доступа к HTTP серверам LibSoup связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) - Отказаться от использования ПО libsoup2.4, libsoup3 в пользу ПО libcurl - Обеспечить возможность использования библиотек libsoup2.4, libsoup3 только доверенными пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was found in libsoup. When libsoup clients encounter an HTTP redirect, they mistakenly send the HTTP Authorization header to the new host that the redirection points to. This allows the new host to impersonate the user to the original host that issued the redirect. Уязвимость функции lookup_auth() компонента soup-auth-manager.c библиотеки доступа к HTTP серверам LibSoup связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-497')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N', score=6.8) - Отказаться от использования ПО libsoup2.4, libsoup3 в пользу ПО libcurl - Обеспечить возможность использования библиотек libsoup2.4, libsoup3 только доверенными пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды Astra Linux 1.8 pgpool2 Pgpool-II provided by PgPool Global Development Group contains an authentication bypass by primary weakness vulnerability. if the vulnerability is exploited, an attacker may be able to log in to the system as an arbitrary user, allowing them to read or tamper with data in the database, and/or disable the database. Уязвимость программных средств балансировки и управления соединениями Pgpool-II связана с обходом аутентификации в силу исходной ошибки. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности и получить доступ на чтение, изменение и удаление данных [NistCWE(cwe='CWE-305')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) pgpool2: - Запускайте приложения, использующие pgpool2, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Убедитесь, что ваши веб-приложения, использующие pgpool2, корректно проверяют все входные данные, чтобы предотвратить атаки, такие как SQL-инъекции и XSS. - Настройте веб-сервер для использования HTTPS, чтобы защитить данные, передаваемые между клиентом и сервером. Astra Linux 1.8 nodejs Certain build processes for libuv and Node.js for 32-bit systems, such as for the nodejs binary package through nodejs_20.19.0+dfsg-2_i386.deb for Debian GNU/Linux, have an inconsistent off_t size (e.g., building on i386 Debian always uses _FILE_OFFSET_BITS=64 for the libuv dynamic library, but uses the _FILE_OFFSET_BITS global system default of 32 for nodejs), leading to out-of-bounds access. NOTE: this is not a problem in the Node.js software itself. In particular, the Node.js website's download page does not offer prebuilt Node.js for Linux on i386. Уязвимость программной платформы Node.js связана с зависимостью от машинно-зависимого представления данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1102')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:L', score=6.5) nodejs: - При использовании ПО NodeJS выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте NodeJS-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 gst-plugins-good1.0 In GStreamer through 1.26.1, the isomp4 plugin's qtdemux_parse_tree function may read past the end of a heap buffer while parsing an MP4 file, leading to information disclosure. Уязвимость плагина gst-plugins-good мультимедийного фреймворка Gstreamer связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальной информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:H', score=6.6) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 nbdkit There's a flaw in the nbdkit server when handling responses from its plugins regarding the status of data blocks. If a client makes a specific request for a very large data range, and a plugin responds with an even larger single block, the nbdkit server can encounter a critical internal error, leading to a denial-of-service. Уязвимость утилиты для создания NBD-серверов NBDKit Plugin Framework связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 nbdkit A flaw exists in the nbdkit "blocksize" filter that can be triggered by a specific type of client request. When a client requests block status information for a very large data range, exceeding a certain limit, it causes an internal error in the nbdkit, leading to a denial of service. Уязвимость утилиты для создания NBD-серверов NBDKit Plugin Framework связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 gst-plugins-base1.0 In GStreamer through 1.26.1, the subparse plugin's parse_subrip_time function may write data past the bounds of a stack buffer, leading to a crash. Уязвимость мультимедийного фреймворка Gstreamer связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код на целевой системе [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=5.6) gst-plugins-base1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-base1.0 In GStreamer through 1.26.1, the subparse plugin's subrip_unescape_formatting function may dereference a NULL pointer while parsing a subtitle file, leading to a crash. Уязвимость мультимедийного фреймворка Gstreamer связана с разыменованием нулевого указателя в парсере субтитров SubRip. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) gst-plugins-base1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-base1.0 In GStreamer through 1.26.1, the subparse plugin's tmplayer_parse_line function may dereference a NULL pointer while parsing a subtitle file, leading to a crash. Уязвимость мультимедийного фреймворка Gstreamer связана с разыменованием нулевого указателя в парсере субтитров TMPlayer. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=5.6) gst-plugins-base1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 libssh A vulnerability was found in libssh, where an uninitialized variable exists under certain conditions in the privatekey_from_file() function. This flaw can be triggered if the file specified by the filename doesn't exist and may lead to possible signing failures or heap corruption. Уязвимость функции privatekey_from_file() библиотеки для аутентификации клиента LibSSH связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N', score=3.6) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 libsoup2.4, libsoup3 A flaw was found in the cookie parsing logic of the libsoup HTTP library, used in GNOME applications and other software. The vulnerability arises when processing the expiration date of cookies, where a specially crafted value can trigger an integer overflow. This may result in undefined behavior, allowing an attacker to bypass cookie expiration logic, causing persistent or unintended cookie behavior. The issue stems from improper validation of large integer inputs during date arithmetic operations within the cookie parsing routines. Уязвимость функции parse_timezone() компонента soup-date-utils.c библиотеки доступа к HTTP серверам LibSoup связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N', score=3.7) Astra Linux 1.8 zabbix A regular Zabbix user with no permission to the Monitoring -> Problems view is still able to call the problem.view.refresh action and therefore still retrieve a list of active problems. Уязвимость универсальной системы мониторинга Zabbix связана с ошибками авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=4.3) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix An authenticated Zabbix user (including Guest) is able to cause disproportionate CPU load on the webserver by sending specially crafted parameters to /imgstore.php, leading to potential denial of service. Уязвимость компонента imgstore.php системы мониторинга Zabbix связана с неконтролируемым потреблением ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-405')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 libsoup3, libsoup2.4 A vulnerability was found in the libsoup package. This flaw stems from its failure to correctly verify the termination of multipart HTTP messages. This can allow a remote attacker to send a specially crafted multipart HTTP body, causing the libsoup-consuming server to read beyond its allocated memory boundaries (out-of-bounds read). Уязвимость функции find_boundary() компонента soup-multipart.c библиотеки доступа к HTTP серверам LibSoup связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L', score=6.5) Astra Linux 1.8 poppler An issue in the pdfseparate utility of freedesktop poppler v25.04.0 allows attackers to cause an infinite recursion via supplying a crafted PDF file. This can lead to a Denial of Service (DoS). Уязвимость библиотеки для отображения PDF-файлов Poppler связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 1.8 openjpeg2 openjpeg v 2.5.0 was discovered to contain a NULL pointer dereference via the component /openjp2/dwt.c. Уязвимость компонента dwt.c библиотеки для кодирования и декодирования изображений OpenJPEG связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) openjpeg2: - Используйте openjpeg2 с минимально необходимыми привилегиями - Активировать режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - При использовании ПО openjpeg2 выполнять обработку файлов, полученных только из доверенных источников Astra Linux 1.8 runc-app runc is a CLI tool for spawning and running containers according to the OCI specification. Versions 1.0.0-rc3 through 1.2.7, 1.3.0-rc.1 through 1.3.2, and 1.4.0-rc.1 through 1.4.0-rc.2, due to insufficient checks when bind-mounting `/dev/pts/$n` to `/dev/console` inside the container, an attacker can trick runc into bind-mounting paths which would normally be made read-only or be masked onto a path that the attacker can write to. This attack is very similar in concept and application to CVE-2025-31133, except that it attacks a similar vulnerability in a different target (namely, the bind-mount of `/dev/pts/$n` to `/dev/console` as configured for all containers that allocate a console). This happens after `pivot_root(2)`, so this cannot be used to write to host files directly -- however, as with CVE-2025-31133, this can load to denial of service of the host or a container breakout by providing the attacker with a writable copy of `/proc/sysrq-trigger` or `/proc/sys/kernel/core_pattern` (respectively). This issue is fixed in versions 1.2.8, 1.3.3 and 1.4.0-rc.3. Уязвимость инструмента для запуска изолированных контейнеров runc связана с состоянием гонки, разрешающим отслеживание ссылок. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-61')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H', score=7.5) Для нейтрализации угрозы эксплуатации уязвимости необходимо использовать Docker для работы в непривилегированном (rootless) режиме Astra Linux 1.8 runc-app runc is a CLI tool for spawning and running containers according to the OCI specification. In versions 1.2.7, 1.3.2 and 1.4.0-rc.2, an attacker can trick runc into misdirecting writes to /proc to other procfs files through the use of a racing container with shared mounts (we have also verified this attack is possible to exploit using a standard Dockerfile with docker buildx build as that also permits triggering parallel execution of containers with custom shared mounts configured). This redirect could be through symbolic links in a tmpfs or theoretically other methods such as regular bind-mounts. While similar, the mitigation applied for the related CVE, CVE-2019-19921, was fairly limited and effectively only caused runc to verify that when LSM labels are written they are actually procfs files. This issue is fixed in versions 1.2.8, 1.3.3, and 1.4.0-rc.3. Уязвимость инструмента для запуска изолированных контейнеров runc связана с состоянием гонки, разрешающим отслеживание ссылок. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-61')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H', score=7.5) Для нейтрализации угрозы эксплуатации уязвимости необходимо использовать Docker для работы в непривилегированном (rootless) режиме Astra Linux 1.8 poppler Poppler ia a library for rendering PDF files, and examining or modifying their structure. A use-after-free (write) vulnerability has been detected in versions Poppler prior to 25.10.0 within the StructTreeRoot class. The issue arises from the use of raw pointers to elements of a `std::vector`, which can lead to dangling pointers when the vector is resized. The vulnerability stems from the way that refToParentMap stores references to `std::vector` elements using raw pointers. These pointers may become invalid when the vector is resized. This vulnerability is a common security problem involving the use of raw pointers to `std::vectors`. Internally, `std::vector `stores its elements in a dynamically allocated array. When the array reaches its capacity and a new element is added, the vector reallocates a larger block of memory and moves all the existing elements to the new location. At this point if any pointers to elements are stored before a resize occurs, they become dangling pointers once the reallocation happens. Version 25.10.0 contains a patch for the issue. Уязвимость библиотеки для отображения PDF-файлов Poppler связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None None poppler: - При использовании ПО poppler выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular poppler-22: - При использовании ПО poppler-22 выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО в изолированной программной среде с применением инструмента Firejail - При необходимости использования ПО только для чтения PDF-файлов рекомендуется использовать ПО okular Astra Linux 1.8 libssh A flaw was found in the libssh library in versions less than 0.11.2. An out-of-bounds read can be triggered in the sftp_handle function due to an incorrect comparison check that permits the function to access memory beyond the valid handle list and to return an invalid pointer, which is used in further processing. This vulnerability allows an authenticated remote attacker to potentially read unintended memory regions, exposing sensitive information or affect service behavior. Уязвимость функции sftp_handle() библиотеки LibSSH связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N', score=5.4) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 libssh A flaw was found in the key export functionality of libssh. The issue occurs in the internal function responsible for converting cryptographic keys into serialized formats. During error handling, a memory structure is freed but not cleared, leading to a potential double free issue if an additional failure occurs later in the function. This condition may result in heap corruption or application instability in low-memory scenarios, posing a risk to system reliability where key export operations are performed. Уязвимость функции pki_key_to_blob() библиотеки libssh связана с ошибкой повторного освобождения памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию или вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 libssh A flaw was found in libssh versions built with OpenSSL versions older than 3.0, specifically in the ssh_kdf() function responsible for key derivation. Due to inconsistent interpretation of return values where OpenSSL uses 0 to indicate failure and libssh uses 0 for success—the function may mistakenly return a success status even when key derivation fails. This results in uninitialized cryptographic key buffers being used in subsequent communication, potentially compromising SSH sessions' confidentiality, integrity, and availability. Уязвимость функции ssh_kdf() библиотеки libssh связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-682')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.0) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 p7zip-rar 7-Zip is a file archiver with a high compression ratio. Zeroes written outside heap buffer in RAR5 handler may lead to memory corruption and denial of service in versions of 7-Zip prior to 25.0.0. Version 25.0.0 contains a fix for the issue. Уязвимость метода NCompress::NRar5::CDecoder декодера RAR5 архиватора 7-Zip связана с возможностью переполнения буфера на основе кучи. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Запускайте p7zip с минимально необходимыми привилегиями. - Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. - Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 docker.io-app Moby is an open source container framework developed by Docker Inc. that is distributed as Docker Engine, Mirantis Container Runtime, and various other downstream projects/products. A firewalld vulnerability affects Moby releases before 28.0.0. When firewalld reloads, Docker fails to re-create iptables rules that isolate bridge networks, allowing any container to access all ports on any other container across different bridge networks on the same host. This breaks network segmentation between containers that should be isolated, creating significant risk in multi-tenant environments. Only containers in --internal networks remain protected. Workarounds include reloading firewalld and either restarting the docker daemon, re-creating bridge networks, or using rootless mode. Maintainers anticipate a fix for this issue in version 25.0.13. Уязвимость компонента bridge_linux.go средства автоматизации развёртывания и управления приложениями в средах с поддержкой контейнеризации Docker связана с отсутствием инициализации ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-909')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:L/I:L/A:N', score=3.3) docker.io-app: - Использовать Docker для работы в непривилегированном (rootless) режиме - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование файла Unix-сокета /var/run/docker.sock внутри контейнеров для всех пользователей - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске Docker-контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске Docker-контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске Docker-контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` docker run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` docker run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - Создавайте отдельные сети для контейнеров, используемых в одном контексте, чтобы изолировать их от других контейнеров и ограничить сетевой доступ только до необходимых сервисов. Для создания пользовательской сети используется следующая команда команда: ` docker network create <network_name> ` Далее, для подключения контейнера к созданной сети используется следующая команда: ` docker run --network=<network_name> --rm <image_name> ` - Поддерживайте образы контейнеров и сам Docker в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 qtbase-opensource-src An issue was found in the private API function qDecodeDataUrl() in QtCore, which is used in QTextDocument and QNetworkReply, and, potentially, in user code. If the function was called with malformed data, for example, an URL that contained a "charset" parameter that lacked a value (such as "data:charset,"), and Qt was built with assertions enabled, then it would hit an assertion, resulting in a denial of service (abort). This impacts Qt up to 5.15.18, 6.0.0->6.5.8, 6.6.0->6.8.3 and 6.9.0. This has been fixed in 5.15.19, 6.5.9, 6.8.4 and 6.9.1. Уязвимость функции qDecodeDataUrl() модуля QtCore кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с недостаточной проверкой входных данных при обработке параметра charset. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None None qtbase-opensource-src: - Запускайте приложения, использующие qtbase-opensource-src, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Обеспечьте строгую проверку и валидацию всех данных, передаваемых в приложения на Qt, чтобы избежать угроз, связанных с неподтверждёнными или вредоносными данными. - Отказаться от использования ПО qtbase-opensource-src в пользу ПО gtk+3.0 Astra Linux 1.8 firebird3.0 Firebird is a relational database. Prior to versions 3.0.13, 4.0.6, and 5.0.3, there is an XDR message parsing NULL pointer dereference denial-of-service vulnerability in Firebird. This specific flaw exists within the parsing of xdr message from client. It leads to NULL pointer dereference and DoS. This issue has been patched in versions 3.0.13, 4.0.6, and 5.0.3. Уязвимость функции xdr_trrq_message() компонента protocol.cpp реляционной СУБД Firebird связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) Astra Linux 1.8 apache2 An integer overflow in the case of failed ACME certificate renewal leads, after a number of failures (~30 days in default configurations), to the backoff timer becoming 0. Attempts to renew the certificate then are repeated without delays until it succeeds. This issue affects Apache HTTP Server: from 2.4.30 before 2.4.66. Users are recommended to upgrade to version 2.4.66, which fixes the issue. Уязвимость веб-сервера Apache HTTP Server связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 fluidsynth fluidsynth-2.4.6 and earlier versions is vulnerable to Null pointer dereference in fluid_synth_monopoly.c, that can be triggered when loading an invalid midi file. Уязвимость компонента src/synth/fluid_synth_monopoly.c программного синтезатора FluidSynth связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - При использовании ПО fluidsynth выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска ПО fluidsynth только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash Astra Linux 1.8 cjson cJSON 1.5.0 through 1.7.18 allows out-of-bounds access via the decode_array_index_from_pointer function in cJSON_Utils.c, allowing remote attackers to bypass array bounds checking and access restricted data via malformed JSON pointer strings containing alphanumeric characters. Уязвимость функции decode_array_index_from_pointer компонента cJSON_Utils.c библиотеки cJSON связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Удалить ПО cjson, если оно не используется и не является зависимостью других пакетов - Отказаться от использования ПО cjson в пользу ПО jansson - При использовании ПО cjson выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 python-h2 h2 is a pure-Python implementation of a HTTP/2 protocol stack. Prior to version 4.3.0, an HTTP/2 request splitting vulnerability allows attackers to perform request smuggling attacks by injecting CRLF characters into headers. This occurs when servers downgrade HTTP/2 requests to HTTP/1.1 without properly validating header names/values, enabling attackers to manipulate request boundaries and bypass security controls. This issue has been patched in version 4.3.0. Уязвимость стека протокола http/2 Python-h2 связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-93')] None None python-h2: - Использовать ПО python-h2 только на низком или отдельно выделенном уровне целостности - При использовании ПО python-h2 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-h2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 apache2 Apache HTTP Server 2.4.65 and earlier with Server Side Includes (SSI) enabled and mod_cgid (but not mod_cgi) passes the shell-escaped query string to #exec cmd="..." directives. This issue affects Apache HTTP Server before 2.4.66. Users are recommended to upgrade to version 2.4.66, which fixes the issue. Уязвимость веб-сервера Apache HTTP Server связана с раскрытием информации при передаче данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-201')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L', score=8.3) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. Prior to version 2.4.15, a client that connects to cupsd but sends slow messages, e.g. only one byte per second, delays cupsd as a whole, such that it becomes unusable by other clients. This issue has been patched in version 2.4.15. Уязвимость сервера печати CUPS связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.1) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 python-kdcproxy If kdcproxy receives a request for a realm which does not have server addresses defined in its configuration, by default, it will query SRV records in the DNS zone matching the requested realm name. This creates a server-side request forgery vulnerability, since an attacker could send a request for a realm matching a DNS zone where they created SRV records pointing to arbitrary ports and hostnames (which may resolve to loopback or internal IP addresses). This vulnerability can be exploited to probe internal network topology and firewall rules, perform port scanning, and exfiltrate data. Deployments where the "use_dns" setting is explicitly set to false are not affected. Уязвимость прокси-сервера для протокола Kerberos Python-kdcproxy связана с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-918')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N', score=8.6) Есть mitigation на [Red Hat](https://access.redhat.com/security/cve/cve-2025-59088), необходима проверка Astra Linux 1.8 expat, firefox, thunderbird libexpat in Expat before 2.7.2 allows attackers to trigger large dynamic memory allocations via a small document that is submitted for parsing. Уязвимость библиотеки для анализа XML-файлов libexpat связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 ffmpeg When decoding an OpenEXR file that uses DWAA or DWAB compression, the specified raw length of run-length-encoded data is not checked when using it to calculate the output data. We read rle_raw_size from the input file at [0], we decompress and decode into the buffer td->rle_raw_data of size rle_raw_size at [1], and then at [2] we will access entries in this buffer up to (td->xsize - 1) * (td->ysize - 1) + rle_raw_size / 2, which may exceed rle_raw_size. We recommend upgrading to version 8.0 or beyond. Уязвимость функции rle_raw_size мультимедийной библиотеки FFmpeg связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-787')] None None ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg When decoding an OpenEXR file that uses DWAA or DWAB compression, there's an implicit assumption that the height and width are divisible by 8. If the height or width of the image is not divisible by 8, the copy loops at [0] and [1] will continue to write until the next multiple of 8. The buffer td->uncompressed_data is allocated in decode_block based on the precise height and width of the image, so the "rounded-up" multiple of 8 in the copy loop can exceed the buffer bounds, and the write block starting at [2] can corrupt following heap memory. We recommend upgrading to version 8.0 or beyond. Уязвимость функции uncompressed_data мультимедийной библиотеки FFmpeg связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-787')] None None ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg When decoding an OpenEXR file that uses DWAA or DWAB compression, there's an implicit assumption that all image channels have the same pixel type (and size), and that if there are four channels, the first four are "B", "G", "R" and "A". The channel parsing code can be found in decode_header. The buffer td->uncompressed_data is allocated in decode_block based on the xsize, ysize and computed current_channel_offset. The function dwa_uncompress then assumes at [5] that if there are 4 channels, these are "B", "G", "R" and "A", and in the calculations at [6] and [7] that all channels are of the same type, which matches the type of the main color channels. If we set the main color channels to a 4-byte type and add duplicate or unknown channels of the 2-byte EXR_HALF type, then the addition at [7] will increment the pointer by 4-bytes * xsize * nb_channels, which will exceed the allocated buffer. We recommend upgrading to version 8.0 or beyond. Уязвимость функции dwa_uncompress() компонента OpenEXR File Decoder мультимедийной библиотеки FFmpeg связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-787')] None None ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ghostscript Artifex Ghostscript through 10.05.1 has a stack-based buffer overflow in pdf_write_cmap in devices/vector/gdevpdtw.c. Уязвимость функции pdf_write_cmap набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N', score=4.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript Artifex Ghostscript through 10.05.1 has a stack-based buffer overflow in pdfmark_coerce_dest in devices/vector/gdevpdfm.c via a large size value. Уязвимость функции pdfmark_coerce_dest набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N', score=4.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ruby-rack Rack is a modular Ruby web server interface. Prior to version 2.2.18, Rack::QueryParser enforces its params_limit only for parameters separated by &, while still splitting on both & and ;. As a result, attackers could use ; separators to bypass the parameter count limit and submit more parameters than intended. Applications or middleware that directly invoke Rack::QueryParser with its default configuration (no explicit delimiter) could be exposed to increased CPU and memory consumption. This can be abused as a limited denial-of-service vector. This issue has been patched in version 2.2.18. Уязвимость функции QueryParser() интерфейса модуля Rack интерпретатора языка программирования Ruby связана с исчерпанием ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Применяйте ограничения на длину строки запроса и размер запроса на уровне веб-сервера или прокси Настройте QueryParser с явным разделителем (например, &), чтобы избежать несоответствия Astra Linux 1.8 libssh A flaw was found in libssh when using the ChaCha20 cipher with the OpenSSL library. If an attacker manages to exhaust the heap space, this error is not detected and may lead to libssh using a partially initialized cipher context. This occurs because the OpenSSL error code returned aliases with the SSH_OK code, resulting in libssh not properly detecting the error returned by the OpenSSL library. This issue can lead to undefined behavior, including compromised data confidentiality and integrity or crashes. Уязвимость функции chacha20_poly1305_set_key() библиотеки libssh связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию [NistCWE(cwe='CWE-393')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 libarchive An issue was discovered in libarchive bsdtar before version 3.8.1 in function apply_substitution in file tar/subst.c when processing crafted -s substitution rules. This can cause unbounded memory allocation and lead to denial of service (Out-of-Memory crash). Уязвимость функции apply_substitution() компонента tar/subst.c библиотеки архивирования Libarchive связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 1.8 ruby-rack Rack is a modular Ruby web server interface. In versions prior to 2.2.19, 3.1.17, and 3.2.2, `Rack::Multipart::Parser` buffers the entire multipart preamble (bytes before the first boundary) in memory without any size limit. A client can send a large preamble followed by a valid boundary, causing significant memory use and potential process termination due to out-of-memory (OOM) conditions. Remote attackers can trigger large transient memory spikes by including a long preamble in multipart/form-data requests. The impact scales with allowed request sizes and concurrency, potentially causing worker crashes or severe slowdown due to garbage collection. Versions 2.2.19, 3.1.17, and 3.2.2 enforce a preamble size limit (e.g., 16 KiB) or discard preamble data entirely. Workarounds include limiting total request body size at the proxy or web server level and monitoring memory and set per-process limits to prevent OOM conditions. Уязвимость компонента Rack::Multipart::Parser модульного интерфейса между веб-серверами и веб-приложениями Rack связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Ограничьте общий размер тела запроса на уровне прокси-сервера или веб-сервера. - Отслеживайте использование памяти и установите лимиты на процесс, чтобы предотвратить исчерпание памяти Astra Linux 1.8 ruby-rack Rack is a modular Ruby web server interface. In versions prior to 2.2.19, 3.1.17, and 3.2.2, ``Rack::Multipart::Parser` stores non-file form fields (parts without a `filename`) entirely in memory as Ruby `String` objects. A single large text field in a multipart/form-data request (hundreds of megabytes or more) can consume equivalent process memory, potentially leading to out-of-memory (OOM) conditions and denial of service (DoS). Attackers can send large non-file fields to trigger excessive memory usage. Impact scales with request size and concurrency, potentially leading to worker crashes or severe garbage-collection overhead. All Rack applications processing multipart form submissions are affected. Versions 2.2.19, 3.1.17, and 3.2.2 enforce a reasonable size cap for non-file fields (e.g., 2 MiB). Workarounds include restricting maximum request body size at the web-server or proxy layer (e.g., Nginx `client_max_body_size`) and validating and rejecting unusually large form fields at the application level. Уязвимость класса Rack::Multipart::Parser модульного интерфейса между веб-серверами и веб-приложениями Rack связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Ограничьте максимальный размер тела запроса на уровне веб-сервера или прокси (например, директива Nginx client_max_body_size). - Проверяйте и отклоняйте необычно большие поля формы на уровне приложения. Astra Linux 1.8 ruby-rack Rack is a modular Ruby web server interface. In versions prior to 2.2.19, 3.1.17, and 3.2.2, `Rack::Multipart::Parser` can accumulate unbounded data when a multipart part’s header block never terminates with the required blank line (`CRLFCRLF`). The parser keeps appending incoming bytes to memory without a size cap, allowing a remote attacker to exhaust memory and cause a denial of service (DoS). Attackers can send incomplete multipart headers to trigger high memory use, leading to process termination (OOM) or severe slowdown. The effect scales with request size limits and concurrency. All applications handling multipart uploads may be affected. Versions 2.2.19, 3.1.17, and 3.2.2 cap per-part header size (e.g., 64 KiB). As a workaround, restrict maximum request sizes at the proxy or web server layer (e.g., Nginx `client_max_body_size`). Уязвимость класса Rack::Multipart::Parser модульного интерфейса между веб-серверами и веб-приложениями Rack связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Ограничивайте максимальный размер запросов на уровне прокси или веб-сервера (например, с помощью директивы Nginx client_max_body_size). Astra Linux 1.8 python-ldap python-ldap is a lightweight directory access protocol (LDAP) client API for Python. In versions prior to 3.4.5, the sanitization method `ldap.filter.escape_filter_chars` can be tricked to skip escaping of special characters when a crafted `list` or `dict` is supplied as the `assertion_value` parameter, and the non-default `escape_mode=1` is configured. The method `ldap.filter.escape_filter_chars` supports 3 different escaping modes. `escape_mode=0` (default) and `escape_mode=2` happen to raise exceptions when a `list` or `dict` object is supplied as the `assertion_value` parameter. However, `escape_mode=1` computes without performing adequate logic to ensure a fully escaped return value. If an application relies on the vulnerable method in the `python-ldap` library to escape untrusted user input, an attacker might be able to abuse the vulnerability to launch ldap injection attacks which could potentially disclose or manipulate ldap data meant to be inaccessible to them. Version 3.4.5 fixes the issue by adding a type check at the start of the `ldap.filter.escape_filter_chars` method to raise an exception when the supplied `assertion_value` parameter is not of type `str`. Уязвимость компонента filter.py модуля Python для работы с LDAP-каталогами Python-LDAP связана с некорректной обработкой специальных элементов управления. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-75')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) - При использовании модуля pythol-ldap реализовать строгую проверку типа данных перед вызовом ldap.filter.escape_filter_chars - При использовании модуля pythol-ldap не использовать escape_mode=1 при вызове ldap.filter.escape_filter_chars Astra Linux 1.8 python-ldap python-ldap is a lightweight directory access protocol (LDAP) client API for Python. In versions prior to 3.4.5, ldap.dn.escape_dn_chars() escapes \x00 incorrectly by emitting a backslash followed by a literal NUL byte instead of the RFC-4514 hex form \00. Any application that uses this helper to construct DNs from untrusted input can be made to consistently fail before a request is sent to the LDAP server (e.g., AD), resulting in a client-side denial of service. Version 3.4.5 contains a patch for the issue. Уязвимость компонента dn.py модуля Python для работы с LDAP-каталогами Python-LDAP связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) - При использовании модуля python-ldap реализовать предварительную замену \x00 на корректное RFC-4514 представление \00 перед вызовом ldap.dn.escape_dn_chars() - При использовании модуля python-ldap запретить передачу значений с \x00 - При использовании модуля python-ldap внедрить валидацию входных данных на наличие \x00 Astra Linux 1.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. Prior to version 2.4.15, a user in the lpadmin group can use the cups web ui to change the config and insert a malicious line. Then the cupsd process which runs as root will parse the new config and cause an out-of-bound write. This issue has been patched in version 2.4.15. Уязвимость сервера печати CUPS связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-124')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:C/C:N/I:N/A:H', score=6.0) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 ruby-rack Rack is a modular Ruby web server interface. Prior to versions 2.2.20, 3.1.18, and 3.2.3, `Rack::Request#POST` reads the entire request body into memory for `Content-Type: application/x-www-form-urlencoded`, calling `rack.input.read(nil)` without enforcing a length or cap. Large request bodies can therefore be buffered completely into process memory before parsing, leading to denial of service (DoS) through memory exhaustion. Users should upgrade to Rack version 2.2.20, 3.1.18, or 3.2.3, anu of which enforces form parameter limits using `query_parser.bytesize_limit`, preventing unbounded reads of `application/x-www-form-urlencoded` bodies. Additionally, enforce strict maximum body size at the proxy or web server layer (e.g., Nginx `client_max_body_size`, Apache `LimitRequestBody`). Уязвимость класса Rack::Request#POST модульного интерфейса между веб-серверами и веб-приложениями Rack связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Установите строгое ограничение на максимальный размер тела запроса на уровне прокси-сервера или веб-сервера (например, client_max_body_size в Nginx или LimitRequestBody в Apache) Astra Linux 1.8 ruby-sinatra Sinatra is a domain-specific language for creating web applications in Ruby. In versions prior to 4.2.0, there is a denial of service vulnerability in the `If-Match` and `If-None-Match` header parsing component of Sinatra, if the `etag` method is used when constructing the response. Carefully crafted input can cause `If-Match` and `If-None-Match` header parsing in Sinatra to take an unexpected amount of time, possibly resulting in a denial of service attack vector. This header is typically involved in generating the `ETag` header value. Any applications that use the `etag` method when generating a response are impacted. Version 4.2.0 fixes the issue. Уязвимость парсера фреймворка разработки веб-приложений на Ruby Sinatra связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 gdk-pixbuf A flaw was found in the GIF parser of GdkPixbuf’s LZW decoder. When an invalid symbol is encountered during decompression, the decoder sets the reported output size to the full buffer length rather than the actual number of written bytes. This logic error results in uninitialized sections of the buffer being included in the output, potentially leaking arbitrary memory contents in the processed image. Уязвимость декодера LZW библиотеки загрузки изображений GdkPixbufс связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.3) gdk-pixbuf: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с изображениями, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать приложения, использующие gdk-pixbuf, на низком уровне целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить права редактирования конфигурационных файлов gdk-pixbuf исключительно группе root. - Выполнять регламентный контроль целостности критических компонентов gdk-pixbuf в рамках замкнутой программной среды. Astra Linux 1.8 squid Squid is a caching proxy for the Web. In Squid versions prior to 7.2, a failure to redact HTTP authentication credentials in error handling allows information disclosure. The vulnerability allows a script to bypass browser security protections and learn the credentials a trusted client uses to authenticate. This potentially allows a remote client to identify security tokens or credentials used internally by a web application using Squid for backend load balancing. These attacks do not require Squid to be configured with HTTP authentication. The vulnerability is fixed in version 7.2. As a workaround, disable debug information in administrator mailto links generated by Squid by configuring squid.conf with email_err_data off. Уязвимость конфигурации email_err_data on прокси-сервера Squid связана с недостатками механизма формирования отчетов об ошибках. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-209')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N', score=10.0) 1. Проверить, актуальна ли уязвимость, можно с помощью следующей команды: ``` /usr/sbin/squid -k parse 2>&1 | grep "email_err_data" ``` Если в результате выполнения команды на экран ничего не было выведено, то уязвимость не актуальна. 2. В противном случае, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/squid/squid.conf и измените значение параметра email_err_data на off: ``` email_err_data off ``` 3. Сохраните файл и перезагрузите squid: ``` sudo systemctl restart squid ``` Astra Linux 1.8 imagemagick ImageMagick is an open source software suite for displaying, converting, and editing raster image files. In ImageMagick versions prior to 7.1.2-7 and 6.9.13-32, an integer overflow vulnerability exists in the BMP decoder on 32-bit systems. The vulnerability occurs in coders/bmp.c when calculating the extent value by multiplying image columns by bits per pixel. On 32-bit systems with size_t of 4 bytes, a malicious BMP file with specific dimensions can cause this multiplication to overflow and wrap to zero. The overflow check added to address CVE-2025-57803 is placed after the overflow occurs, making it ineffective. A specially crafted 58-byte BMP file with width set to 536,870,912 and 32 bits per pixel can trigger this overflow, causing the bytes_per_line calculation to become zero. This vulnerability only affects 32-bit builds of ImageMagick where default resource limits for width, height, and area have been manually increased beyond their defaults. 64-bit systems with size_t of 8 bytes are not vulnerable, and systems using default ImageMagick resource limits are not vulnerable. The vulnerability is fixed in versions 7.1.2-7 and 6.9.13-32. Уязвимость консольного графического редактора ImageMagick связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 xwayland, xorg-server A flaw was found in the X.Org X server and Xwayland when processing X11 Present extension notifications. Improper error handling during notification creation can leave dangling pointers that lead to a use-after-free condition. This can cause memory corruption or a crash, potentially allowing an attacker to execute arbitrary code or cause a denial of service. Уязвимость реализации протокола Wayland для X.Org XWayland, реализации сервера X Window System X.Org Server связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) Astra Linux 1.8 xwayland, xorg-server A flaw was discovered in the X.Org X server’s X Keyboard (Xkb) extension when handling client resource cleanup. The software frees certain data structures without properly detaching related resources, leading to a use-after-free condition. This can cause memory corruption or a crash when affected clients disconnect. Уязвимость функции XkbRemoveResourceClient реализации сервера X Window System X.Org Server, реализации протокола Wayland для X.Org XWayland связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) Astra Linux 1.8 xwayland, xorg-server A flaw was identified in the X.Org X server’s X Keyboard (Xkb) extension where improper bounds checking in the XkbSetCompatMap() function can cause an unsigned short overflow. If an attacker sends specially crafted input data, the value calculation may overflow, leading to memory corruption or a crash. Уязвимость функции XkbSetCompatMap реализации протокола Wayland для X.Org XWayland, реализации сервера X Window System X.Org Server связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) Astra Linux 1.8 strongswan In the eap-mschapv2 plugin (client-side) in strongSwan before 6.0.3, a malicious EAP-MSCHAPv2 server can send a crafted message of size 6 through 8, and cause an integer underflow that potentially results in a heap-based buffer overflow. Уязвимость плагина EAP-MSCHAPv2 VPN-клиента StrongSwan связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) - Не использовать аутентификацию EAP - Использовать аутентификацию EAP с настроенным нетуннелируемым методом EAP (например, auth = eap-tls или auth = eap-md5) - Отключить плагин eap-mschapv2 - Скомпилировать плагин с оптимизацией и параметром -D_FORTIFY_SOURCE=3 Astra Linux 1.8 ffmpeg Integer overflow vulnerability in the yuv2ya16_X_c_template function in libswscale/output.c in FFmpeg 8.0. Уязвимость функции yuv2ya16_X_c_template() компонента libswscale/output.c мультимедийной библиотеки FFmpeg связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 openexr OpenEXR provides the specification and reference implementation of the EXR file format, an image storage format for the motion picture industry. In versions 3.3.0 through 3.3.5 and 3.4.0 through 3.4.2, while fuzzing `openexr_exrcheck_fuzzer`, Valgrind reports a conditional branch depending on uninitialized data inside `generic_unpack`. This indicates a use of uninitialized memory. The issue can result in undefined behavior and/or a potential crash/denial of service. Versions 3.3.6 and 3.4.3 fix the issue. Уязвимость программного обеспечения для хранения изображений с широкими динамическими диапазоном яркости OpenEXR связана с ошибками при инициализации переменных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 containerd-app containerd is an open-source container runtime. Versions 1.7.28 and below, 2.0.0-beta.0 through 2.0.6, 2.1.0-beta.0 through 2.1.4, and 2.2.0-beta.0 through 2.2.0-rc.1 contain a bug in the CRI Attach implementation where a user can exhaust memory on the host due to goroutine leaks. This issue is fixed in versions 1.7.29, 2.0.7, 2.1.5 and 2.2.0. To workaround this vulnerability, users can set up an admission controller to control accesses to pods/attach resources. Уязвимость среды выполнения контейнеров containerd связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) - Обеспечить возможность импорта образов контейнеров только доверенным пользователям ОС - Не запускать контейнеры с правами root - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС Astra Linux 1.8 ruby-webrick Ruby WEBrick read_header HTTP Request Smuggling Vulnerability. This vulnerability allows remote attackers to smuggle arbitrary HTTP requests on affected installations of Ruby WEBrick. This issue is exploitable when the product is deployed behind an HTTP proxy that fulfills specific conditions. The specific flaw exists within the read_headers method. The issue results from the inconsistent parsing of terminators of HTTP headers. An attacker can leverage this vulnerability to smuggle arbitrary HTTP requests. Was ZDI-CAN-21876. Уязвимость набора инструментов HTTP-сервера WEBrick связана с недостатками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:H/A:N', score=6.5) - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 symfony Symfony is a PHP framework for web and console applications and a set of reusable PHP components. Symfony's HttpFoundation component defines an object-oriented layer for the HTTP specification. Starting in version 2.0.0 and prior to version 5.4.50, 6.4.29, and 7.3.7, the `Request` class improperly interprets some `PATH_INFO` in a way that leads to representing some URLs with a path that doesn't start with a `/`. This can allow bypassing some access control rules that are built with this `/`-prefix assumption. Starting in versions 5.4.50, 6.4.29, and 7.3.7, the `Request` class now ensures that URL paths always start with a `/`. Уязвимость программной платформы для разработки и управления веб-приложениями Symfony связана с использованием нестандартных URL-путей для авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-647')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) Astra Linux 1.8 libcupsfilters cups-filters contains backends, filters, and other software required to get the cups printing service working on operating systems other than macos. In cups-filters prior to 1.28.18, by crafting a PDF file with a large `MediaBox` value, an attacker can cause CUPS-Filter 1.x’s `pdftoraster` tool to write beyond the bounds of an array. First, a PDF with a large `MediaBox` width value causes `header.cupsWidth` to become large. Next, the calculation of `bytesPerLine = (header.cupsBitsPerPixel * header.cupsWidth + 7) / 8` overflows, resulting in a small value. Then, `lineBuf` is allocated with the small `bytesPerLine` size. Finally, `convertLineChunked` calls `writePixel8`, which attempts to write to `lineBuf` outside of its buffer size (out of bounds write). In libcupsfilters, the maintainers found the same `bytesPerLine` multiplication without overflow check, but the provided test case does not cause an overflow there, because the values are different. Commit 50d94ca0f2fa6177613c97c59791bde568631865 contains a patch, which is incorporated into cups-filters version 1.28.18. Уязвимость пакета для печати CUPS Filters и библиотеки для сервера печати Libcupsfilters связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) Astra Linux 1.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. Prior to version 1.6.51, a heap buffer over-read vulnerability exists in libpng's png_do_quantize function when processing PNG files with malformed palette indices. The vulnerability occurs when palette_lookup array bounds are not validated against externally-supplied image data, allowing an attacker to craft a PNG file with out-of-range palette indices that trigger out-of-bounds memory access. This issue has been patched in version 1.6.51. Уязвимость функции png_do_quantize() компонента pngrtran.c библиотеки для работы с растровой графикой в формате PNG Libpng связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H', score=6.1) Astra Linux 1.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. From version 1.6.0 to before 1.6.51, a heap buffer over-read vulnerability exists in libpng's png_write_image_8bit function when processing 8-bit images through the simplified write API with convert_to_8bit enabled. The vulnerability affects 8-bit grayscale+alpha, RGB/RGBA, and images with incomplete row data. A conditional guard incorrectly allows 8-bit input to enter code expecting 16-bit input, causing reads up to 2 bytes beyond allocated buffer boundaries. This issue has been patched in version 1.6.51. Уязвимость библиотеки для работы с растровой графикой в формате PNG Libpng связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H', score=6.1) Astra Linux 1.8 cups-filters cups-filters contains backends, filters, and other software required to get the cups printing service working on operating systems other than macos. In versions 2.0.1 and prior, a heap-buffer-overflow vulnerability in the rastertopclx filter causes the program to crash with a segmentation fault when processing maliciously crafted input data. This issue can be exploited to trigger memory corruption, potentially leading to arbitrary code execution. This issue has been patched via commit 956283c. Уязвимость пакета для печати CUPS Filters связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. From version 1.6.0 to before 1.6.51, an out-of-bounds read vulnerability exists in png_image_read_composite when processing palette images with PNG_FLAG_OPTIMIZE_ALPHA enabled. The palette compositing code in png_init_read_transformations incorrectly applies background compositing during premultiplication, violating the invariant component ≤ alpha × 257 required by the simplified PNG API. This issue has been patched in version 1.6.51. Уязвимость библиотеки для работы с растровой графикой в формате PNG Libpng связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H', score=7.1) Astra Linux 1.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. From version 1.6.0 to before 1.6.51, there is a heap buffer overflow vulnerability in the libpng simplified API function png_image_finish_read when processing 16-bit interlaced PNGs with 8-bit output format. Attacker-crafted interlaced PNG files cause heap writes beyond allocated buffer bounds. This issue has been patched in version 1.6.51. Уязвимость функции png_image_finish_read() библиотеки для работы с растровой графикой в формате PNG libpng связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код путем загрузки специально сформированного PNG-файла [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H', score=7.1) Astra Linux 1.8 apache2 Improper Neutralization of Escape, Meta, or Control Sequences vulnerability in Apache HTTP Server through environment variables set via the Apache configuration unexpectedly superseding variables calculated by the server for CGI programs. This issue affects Apache HTTP Server from 2.4.0 through 2.4.65. Users are recommended to upgrade to version 2.4.66 which fixes the issue. Уязвимость веб-сервера Apache HTTP Server связана с неправильной нейтрализацией последовательности управляющих и мета символов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-150')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 openssl Issue summary: A TLS 1.3 connection using certificate compression can be forced to allocate a large buffer before decompression without checking against the configured certificate size limit. Impact summary: An attacker can cause per-connection memory allocations of up to approximately 22 MiB and extra CPU work, potentially leading to service degradation or resource exhaustion (Denial of Service). In affected configurations, the peer-supplied uncompressed certificate length from a CompressedCertificate message is used to grow a heap buffer prior to decompression. This length is not bounded by the max_cert_list setting, which otherwise constrains certificate message sizes. An attacker can exploit this to cause large per-connection allocations followed by handshake failure. No memory corruption or information disclosure occurs. This issue only affects builds where TLS 1.3 certificate compression is compiled in (i.e., not OPENSSL_NO_COMP_ALG) and at least one compression algorithm (brotli, zlib, or zstd) is available, and where the compression extension is negotiated. Both clients receiving a server CompressedCertificate and servers in mutual TLS scenarios receiving a client CompressedCertificate are affected. Servers that do not request client certificates are not vulnerable to client-initiated attacks. Users can mitigate this issue by setting SSL_OP_NO_RX_CERTIFICATE_COMPRESSION to disable receiving compressed certificates. The FIPS modules in 3.6, 3.5, 3.4 and 3.3 are not affected by this issue, as the TLS implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4 and 3.3 are vulnerable to this issue. OpenSSL 3.0, 1.1.1 and 1.0.2 are not affected by this issue. Уязвимость параметра max_cert_list сжатия сертификатов в TLS 1.3 библиотеки OpenSSL связана с неконтролируемым распределением памяти. Эксплуатация уязвимость может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-789')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 apache2 mod_userdir+suexec bypass via AllowOverride FileInfo vulnerability in Apache HTTP Server. Users with access to use the RequestHeader directive in htaccess can cause some CGI scripts to run under an unexpected userid. This issue affects Apache HTTP Server: from 2.4.7 through 2.4.65. Users are recommended to upgrade to version 2.4.66, which fixes the issue. Уязвимость модуля mod_userdir веб-сервера Apache HTTP Server связана с обходом аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L', score=5.4) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A flaw was found in WebKitGTK. Processing malicious web content can cause an unexpected process crash due to improper memory handling. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. Prior to 1.6.52, an out-of-bounds read vulnerability in libpng's simplified API allows reading up to 1012 bytes beyond the png_sRGB_base[512] array when processing valid palette PNG images with partial transparency and gamma correction. The PNG files that trigger this vulnerability are valid per the PNG specification; the bug is in libpng's internal state management. Upgrade to libpng 1.6.52 or later. Уязвимость функции png_image_read_composite() библиотеки libpng связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность и доступность защищаемой информации с помощью специально созданного файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H', score=7.1) - При использовании упрощенного API png_image_finish_read явно задайте цвет фона в структуре png_image (поле background). - Используйте низкоуровневый API вместо упрощенного API. - При использовании упрощенного API запросите формат вывода с альфа-каналом (PNG_FORMAT_RGBA или PNG_FORMAT_GA), чтобы избежать пути композиции. Astra Linux 1.8 python-urllib3 urllib3 is a user-friendly HTTP client library for Python. Starting in version 1.24 and prior to 2.6.0, the number of links in the decompression chain was unbounded allowing a malicious server to insert a virtually unlimited number of compression steps leading to high CPU usage and massive memory allocation for the decompressed data. This vulnerability is fixed in 2.6.0. Уязвимость HTTP библиотеки для Python Urllib3 связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python-urllib3: - Использовать ПО python-urllib3 только на низком или отдельно выделенном уровне целостности - При использовании ПО python-urllib3 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-urllib3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 python-tornado Tornado is a Python web framework and asynchronous networking library. In versions 6.5.2 and below, the supplied reason phrase is used unescaped in HTTP headers (where it could be used for header injection) or in HTML in the default error page (where it could be used for XSS) and can be exploited by passing untrusted or malicious data into the reason argument. Used by both RequestHandler.set_status and tornado.web.HTTPError, the argument is designed to allow applications to pass custom "reason" phrases (the "Not Found" in HTTP/1.1 404 Not Found) to the HTTP status line (mainly for non-standard status codes). This issue is fixed in version 6.5.3. [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) python-tornado: - Использовать ПО python-tornado только на низком или отдельно выделенном уровне целостности - При использовании ПО python-tornado выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-tornado только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 python-tornado Tornado is a Python web framework and asynchronous networking library. In versions 6.5.2 and below, a single maliciously crafted HTTP request can block the server's event loop for an extended period, caused by the HTTPHeaders.add method. The function accumulates values using string concatenation when the same header name is repeated, causing a Denial of Service (DoS). Due to Python string immutability, each concatenation copies the entire string, resulting in O(n²) time complexity. The severity can vary from high if max_header_size has been increased from its default, to low if it has its default value of 64KB. This issue is fixed in version 6.5.3. Уязвимость веб-фреймворка Python Tornado связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python-tornado: - Использовать ПО python-tornado только на низком или отдельно выделенном уровне целостности - При использовании ПО python-tornado выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-tornado только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 python-tornado Tornado is a Python web framework and asynchronous networking library. Versions 6.5.2 and below use an inefficient algorithm when parsing parameters for HTTP header values, potentially causing a DoS. The _parseparam function in httputil.py is used to parse specific HTTP header values, such as those in multipart/form-data and repeatedly calls string.count() within a nested loop while processing quoted semicolons. If an attacker sends a request with a large number of maliciously crafted parameters in a Content-Disposition header, the server's CPU usage increases quadratically (O(n²)) during parsing. Due to Tornado's single event loop architecture, a single malicious request can cause the entire server to become unresponsive for an extended period. This issue is fixed in version 6.5.3. Уязвимость функции _parseparam компонента httputil.py веб-фреймворка Python Tornado связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python-tornado: - Использовать ПО python-tornado только на низком или отдельно выделенном уровне целостности - При использовании ПО python-tornado выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-tornado только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 hdf5 A vulnerability classified as problematic was found in HDF5 1.14.6. This vulnerability affects the function H5O__fsinfo_encode of the file /src/H5Ofsinfo.c. The manipulation leads to heap-based buffer overflow. It is possible to launch the attack on the local host. The exploit has been disclosed to the public and may be used. Уязвимость функции H5O__fsinfo_encode компонента src/H5Ofsinfo.c библиотеки обработки HDF файлов HDF5 связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - Отказаться от использования библиотеки hdf5. - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников. - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. - Включить режим замкнутой программной среды. - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Запретить установку бита исполнения для всех пользователей, включая администраторов. - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. Astra Linux 1.8 openssl Issue summary: Writing large, newline-free data into a BIO chain using the line-buffering filter where the next BIO performs short writes can trigger a heap-based out-of-bounds write. Impact summary: This out-of-bounds write can cause memory corruption which typically results in a crash, leading to Denial of Service for an application. The line-buffering BIO filter (BIO_f_linebuffer) is not used by default in TLS/SSL data paths. In OpenSSL command-line applications, it is typically only pushed onto stdout/stderr on VMS systems. Third-party applications that explicitly use this filter with a BIO chain that can short-write and that write large, newline-free data influenced by an attacker would be affected. However, the circumstances where this could happen are unlikely to be under attacker control, and BIO_f_linebuffer is unlikely to be handling non-curated data controlled by an attacker. For that reason the issue was assessed as Low severity. The FIPS modules in 3.6, 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the BIO implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0, 1.1.1 and 1.0.2 are vulnerable to this issue. Уязвимость функции BIO_f_linebuffer() библиотеки OpenSSL связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимость может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gpiolib: fix invalid pointer access in debugfs If the memory allocation in gpiolib_seq_start() fails, the s->private field remains uninitialized and is later dereferenced without checking in gpiolib_seq_stop(). Initialize s->private to NULL before calling kzalloc() and check it before dereferencing it. Уязвимость компонента gpiolib ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: fix uninitialized waitqueue in transaction manager The transaction manager initialization in txInit() was not properly initializing TxBlock[0].waitor waitqueue, causing a crash when txEnd(0) is called on read-only filesystems. When a filesystem is mounted read-only, txBegin() returns tid=0 to indicate no transaction. However, txEnd(0) still gets called and tries to access TxBlock[0].waitor via tid_to_tblock(0), but this waitqueue was never initialized because the initialization loop started at index 1 instead of 0. This causes a 'non-static key' lockdep warning and system crash: INFO: trying to register non-static key in txEnd Fix by ensuring all transaction blocks including TxBlock[0] have their waitqueues properly initialized during txInit(). Уязвимость функции txInit() модуля fs/jfs/jfs_txnmgr.c файловой системы JFS ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/radeon: Do not kfree() devres managed rdev Since the allocation of the drivers main structure was changed to devm_drm_dev_alloc() rdev is managed by devres and we shouldn't be calling kfree() on it. This fixes things exploding if the driver probe fails and devres cleans up the rdev after we already free'd it. (cherry picked from commit 16c0681617b8a045773d4d87b6140002fa75b03b) Уязвимость компонента drm/radeon ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: x86/fpu: Ensure XFD state on signal delivery Sean reported [1] the following splat when running KVM tests: WARNING: CPU: 232 PID: 15391 at xfd_validate_state+0x65/0x70 Call Trace: <TASK> fpu__clear_user_states+0x9c/0x100 arch_do_signal_or_restart+0x142/0x210 exit_to_user_mode_loop+0x55/0x100 do_syscall_64+0x205/0x2c0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Chao further identified [2] a reproducible scenario involving signal delivery: a non-AMX task is preempted by an AMX-enabled task which modifies the XFD MSR. When the non-AMX task resumes and reloads XSTATE with init values, a warning is triggered due to a mismatch between fpstate::xfd and the CPU's current XFD state. fpu__clear_user_states() does not currently re-synchronize the XFD state after such preemption. Invoke xfd_update_state() which detects and corrects the mismatch if there is a dynamic feature. This also benefits the sigreturn path, as fpu__restore_sig() may call fpu__clear_user_states() when the sigframe is inaccessible. [ dhansen: minor changelog munging ] Уязвимость компонента arch/x86/kernel/fpu ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: aspeed - fix double free caused by devm The clock obtained via devm_clk_get_enabled() is automatically managed by devres and will be disabled and freed on driver detach. Manually calling clk_disable_unprepare() in error path and remove function causes double free. Remove the manual clock cleanup in both aspeed_acry_probe()'s error path and aspeed_acry_remove(). Уязвимость компонента crypto ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ftrace: Fix softlockup in ftrace_module_enable A soft lockup was observed when loading amdgpu module. If a module has a lot of tracable functions, multiple calls to kallsyms_lookup can spend too much time in RCU critical section and with disabled preemption, causing kernel panic. This is the same issue that was fixed in commit d0b24b4e91fc ("ftrace: Prevent RCU stall on PREEMPT_VOLUNTARY kernels") and commit 42ea22e754ba ("ftrace: Add cond_resched() to ftrace_graph_set_hash()"). Fix it the same way by adding cond_resched() in ftrace_module_enable. Уязвимость функции ftrace_module_enable() модуля kernel/trace/ftrace.c поддержки трассировки ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI: cadence: Check for the existence of cdns_pcie::ops before using it cdns_pcie::ops might not be populated by all the Cadence glue drivers. This is going to be true for the upcoming Sophgo platform which doesn't set the ops. Hence, add a check to prevent NULL pointer dereference. [mani: reworded subject and description] Уязвимость компонента drivers/pci/controller/cadence ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cpufreq/longhaul: handle NULL policy in longhaul_exit longhaul_exit() was calling cpufreq_cpu_get(0) without checking for a NULL policy pointer. On some systems, this could lead to a NULL dereference and a kernel warning or panic. This patch adds a check using unlikely() and returns early if the policy is NULL. Bugzilla: #219962 Уязвимость функции longhaul_exit() модуля drivers/cpufreq/longhaul.c драйвера масштабирования частоты ЦП ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: blk-cgroup: fix possible deadlock while configuring policy Following deadlock can be triggered easily by lockdep: WARNING: possible circular locking dependency detected 6.17.0-rc3-00124-ga12c2658ced0 #1665 Not tainted ------------------------------------------------------ check/1334 is trying to acquire lock: ff1100011d9d0678 (&q->sysfs_lock){+.+.}-{4:4}, at: blk_unregister_queue+0x53/0x180 but task is already holding lock: ff1100011d9d00e0 (&q->q_usage_counter(queue)#3){++++}-{0:0}, at: del_gendisk+0xba/0x110 which lock already depends on the new lock. the existing dependency chain (in reverse order) is: -> #2 (&q->q_usage_counter(queue)#3){++++}-{0:0}: blk_queue_enter+0x40b/0x470 blkg_conf_prep+0x7b/0x3c0 tg_set_limit+0x10a/0x3e0 cgroup_file_write+0xc6/0x420 kernfs_fop_write_iter+0x189/0x280 vfs_write+0x256/0x490 ksys_write+0x83/0x190 __x64_sys_write+0x21/0x30 x64_sys_call+0x4608/0x4630 do_syscall_64+0xdb/0x6b0 entry_SYSCALL_64_after_hwframe+0x76/0x7e -> #1 (&q->rq_qos_mutex){+.+.}-{4:4}: __mutex_lock+0xd8/0xf50 mutex_lock_nested+0x2b/0x40 wbt_init+0x17e/0x280 wbt_enable_default+0xe9/0x140 blk_register_queue+0x1da/0x2e0 __add_disk+0x38c/0x5d0 add_disk_fwnode+0x89/0x250 device_add_disk+0x18/0x30 virtblk_probe+0x13a3/0x1800 virtio_dev_probe+0x389/0x610 really_probe+0x136/0x620 __driver_probe_device+0xb3/0x230 driver_probe_device+0x2f/0xe0 __driver_attach+0x158/0x250 bus_for_each_dev+0xa9/0x130 driver_attach+0x26/0x40 bus_add_driver+0x178/0x3d0 driver_register+0x7d/0x1c0 __register_virtio_driver+0x2c/0x60 virtio_blk_init+0x6f/0xe0 do_one_initcall+0x94/0x540 kernel_init_freeable+0x56a/0x7b0 kernel_init+0x2b/0x270 ret_from_fork+0x268/0x4c0 ret_from_fork_asm+0x1a/0x30 -> #0 (&q->sysfs_lock){+.+.}-{4:4}: __lock_acquire+0x1835/0x2940 lock_acquire+0xf9/0x450 __mutex_lock+0xd8/0xf50 mutex_lock_nested+0x2b/0x40 blk_unregister_queue+0x53/0x180 __del_gendisk+0x226/0x690 del_gendisk+0xba/0x110 sd_remove+0x49/0xb0 [sd_mod] device_remove+0x87/0xb0 device_release_driver_internal+0x11e/0x230 device_release_driver+0x1a/0x30 bus_remove_device+0x14d/0x220 device_del+0x1e1/0x5a0 __scsi_remove_device+0x1ff/0x2f0 scsi_remove_device+0x37/0x60 sdev_store_delete+0x77/0x100 dev_attr_store+0x1f/0x40 sysfs_kf_write+0x65/0x90 kernfs_fop_write_iter+0x189/0x280 vfs_write+0x256/0x490 ksys_write+0x83/0x190 __x64_sys_write+0x21/0x30 x64_sys_call+0x4608/0x4630 do_syscall_64+0xdb/0x6b0 entry_SYSCALL_64_after_hwframe+0x76/0x7e other info that might help us debug this: Chain exists of: &q->sysfs_lock --> &q->rq_qos_mutex --> &q->q_usage_counter(queue)#3 Possible unsafe locking scenario: CPU0 CPU1 ---- ---- lock(&q->q_usage_counter(queue)#3); lock(&q->rq_qos_mutex); lock(&q->q_usage_counter(queue)#3); lock(&q->sysfs_lock); Root cause is that queue_usage_counter is grabbed with rq_qos_mutex held in blkg_conf_prep(), while queue should be freezed before rq_qos_mutex from other context. The blk_queue_enter() from blkg_conf_prep() is used to protect against policy deactivation, which is already protected with blkcg_mutex, hence convert blk_queue_enter() to blkcg_mutex to fix this problem. Meanwhile, consider that blkcg_mutex is held after queue is freezed from policy deactivation, also convert blkg_alloc() to use GFP_NOIO. Уязвимость функции blkg_conf_prep() модуля block/blk-cgroup.c поддержки блочного уровня ядра операционной системы Linux связана с возникновением взаимной блокировки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: s390: Disable ARCH_WANT_OPTIMIZE_HUGETLB_VMEMMAP As reported by Luiz Capitulino enabling HVO on s390 leads to reproducible crashes. The problem is that kernel page tables are modified without flushing corresponding TLB entries. Even if it looks like the empty flush_tlb_all() implementation on s390 is the problem, it is actually a different problem: on s390 it is not allowed to replace an active/valid page table entry with another valid page table entry without the detour over an invalid entry. A direct replacement may lead to random crashes and/or data corruption. In order to invalidate an entry special instructions have to be used (e.g. ipte or idte). Alternatively there are also special instructions available which allow to replace a valid entry with a different valid entry (e.g. crdte or cspg). Given that the HVO code currently does not provide the hooks to allow for an implementation which is compliant with the s390 architecture requirements, disable ARCH_WANT_OPTIMIZE_HUGETLB_VMEMMAP again, which is basically a revert of the original patch which enabled it. Уязвимость компонента s390 ядра операционной системы Linux связана с использованием недостаточно случайных значений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix NULL deref in debugfs odm_combine_segments When a connector is connected but inactive (e.g., disabled by desktop environments), pipe_ctx->stream_res.tg will be destroyed. Then, reading odm_combine_segments causes kernel NULL pointer dereference. BUG: kernel NULL pointer dereference, address: 0000000000000000 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 16 UID: 0 PID: 26474 Comm: cat Not tainted 6.17.0+ #2 PREEMPT(lazy) e6a17af9ee6db7c63e9d90dbe5b28ccab67520c6 Hardware name: LENOVO 21Q4/LNVNB161216, BIOS PXCN25WW 03/27/2025 RIP: 0010:odm_combine_segments_show+0x93/0xf0 [amdgpu] Code: 41 83 b8 b0 00 00 00 01 75 6e 48 98 ba a1 ff ff ff 48 c1 e0 0c 48 8d 8c 07 d8 02 00 00 48 85 c9 74 2d 48 8b bc 07 f0 08 00 00 <48> 8b 07 48 8b 80 08 02 00> RSP: 0018:ffffd1bf4b953c58 EFLAGS: 00010286 RAX: 0000000000005000 RBX: ffff8e35976b02d0 RCX: ffff8e3aeed052d8 RDX: 00000000ffffffa1 RSI: ffff8e35a3120800 RDI: 0000000000000000 RBP: 0000000000000000 R08: ffff8e3580eb0000 R09: ffff8e35976b02d0 R10: ffffd1bf4b953c78 R11: 0000000000000000 R12: ffffd1bf4b953d08 R13: 0000000000040000 R14: 0000000000000001 R15: 0000000000000001 FS: 00007f44d3f9f740(0000) GS:ffff8e3caa47f000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 00000006485c2000 CR4: 0000000000f50ef0 PKRU: 55555554 Call Trace: <TASK> seq_read_iter+0x125/0x490 ? __alloc_frozen_pages_noprof+0x18f/0x350 seq_read+0x12c/0x170 full_proxy_read+0x51/0x80 vfs_read+0xbc/0x390 ? __handle_mm_fault+0xa46/0xef0 ? do_syscall_64+0x71/0x900 ksys_read+0x73/0xf0 do_syscall_64+0x71/0x900 ? count_memcg_events+0xc2/0x190 ? handle_mm_fault+0x1d7/0x2d0 ? do_user_addr_fault+0x21a/0x690 ? exc_page_fault+0x7e/0x1a0 entry_SYSCALL_64_after_hwframe+0x6c/0x74 RIP: 0033:0x7f44d4031687 Code: 48 89 fa 4c 89 df e8 58 b3 00 00 8b 93 08 03 00 00 59 5e 48 83 f8 fc 74 1a 5b c3 0f 1f 84 00 00 00 00 00 48 8b 44 24 10 0f 05 <5b> c3 0f 1f 80 00 00 00 00> RSP: 002b:00007ffdb4b5f0b0 EFLAGS: 00000202 ORIG_RAX: 0000000000000000 RAX: ffffffffffffffda RBX: 00007f44d3f9f740 RCX: 00007f44d4031687 RDX: 0000000000040000 RSI: 00007f44d3f5e000 RDI: 0000000000000003 RBP: 0000000000040000 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000202 R12: 00007f44d3f5e000 R13: 0000000000000003 R14: 0000000000000000 R15: 0000000000040000 </TASK> Modules linked in: tls tcp_diag inet_diag xt_mark ccm snd_hrtimer snd_seq_dummy snd_seq_midi snd_seq_oss snd_seq_midi_event snd_rawmidi snd_seq snd_seq_device x> snd_hda_codec_atihdmi snd_hda_codec_realtek_lib lenovo_wmi_helpers think_lmi snd_hda_codec_generic snd_hda_codec_hdmi snd_soc_core kvm snd_compress uvcvideo sn> platform_profile joydev amd_pmc mousedev mac_hid sch_fq_codel uinput i2c_dev parport_pc ppdev lp parport nvme_fabrics loop nfnetlink ip_tables x_tables dm_cryp> CR2: 0000000000000000 ---[ end trace 0000000000000000 ]--- RIP: 0010:odm_combine_segments_show+0x93/0xf0 [amdgpu] Code: 41 83 b8 b0 00 00 00 01 75 6e 48 98 ba a1 ff ff ff 48 c1 e0 0c 48 8d 8c 07 d8 02 00 00 48 85 c9 74 2d 48 8b bc 07 f0 08 00 00 <48> 8b 07 48 8b 80 08 02 00> RSP: 0018:ffffd1bf4b953c58 EFLAGS: 00010286 RAX: 0000000000005000 RBX: ffff8e35976b02d0 RCX: ffff8e3aeed052d8 RDX: 00000000ffffffa1 RSI: ffff8e35a3120800 RDI: 0000000000000000 RBP: 0000000000000000 R08: ffff8e3580eb0000 R09: ffff8e35976b02d0 R10: ffffd1bf4b953c78 R11: 0000000000000000 R12: ffffd1bf4b953d08 R13: 0000000000040000 R14: 0000000000000001 R15: 0000000000000001 FS: 00007f44d3f9f740(0000) GS:ffff8e3caa47f000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 00000006485c2000 CR4: 0000000000f50ef0 PKRU: 55555554 Fix this by checking pipe_ctx-> ---truncated--- Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/radeon: Remove calls to drm_put_dev() Since the allocation of the drivers main structure was changed to devm_drm_dev_alloc() drm_put_dev()'ing to trigger it to be free'd should be done by devres. However, drm_put_dev() is still in the probe error and device remove paths. When the driver fails to probe warnings like the following are shown because devres is trying to drm_put_dev() after the driver already did it. [ 5.642230] radeon 0000:01:05.0: probe with driver radeon failed with error -22 [ 5.649605] ------------[ cut here ]------------ [ 5.649607] refcount_t: underflow; use-after-free. [ 5.649620] WARNING: CPU: 0 PID: 357 at lib/refcount.c:28 refcount_warn_saturate+0xbe/0x110 (cherry picked from commit 3eb8c0b4c091da0a623ade0d3ee7aa4a93df1ea4) Уязвимость компонента drm/radeon ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ima: don't clear IMA_DIGSIG flag when setting or removing non-IMA xattr Currently when both IMA and EVM are in fix mode, the IMA signature will be reset to IMA hash if a program first stores IMA signature in security.ima and then writes/removes some other security xattr for the file. For example, on Fedora, after booting the kernel with "ima_appraise=fix evm=fix ima_policy=appraise_tcb" and installing rpm-plugin-ima, installing/reinstalling a package will not make good reference IMA signature generated. Instead IMA hash is generated, # getfattr -m - -d -e hex /usr/bin/bash # file: usr/bin/bash security.ima=0x0404... This happens because when setting security.selinux, the IMA_DIGSIG flag that had been set early was cleared. As a result, IMA hash is generated when the file is closed. Similarly, IMA signature can be cleared on file close after removing security xattr like security.evm or setting/removing ACL. Prevent replacing the IMA file signature with a file hash, by preventing the IMA_DIGSIG flag from being reset. Here's a minimal C reproducer which sets security.selinux as the last step which can also replaced by removing security.evm or setting ACL, #include <stdio.h> #include <sys/xattr.h> #include <fcntl.h> #include <unistd.h> #include <string.h> #include <stdlib.h> int main() { const char* file_path = "/usr/sbin/test_binary"; const char* hex_string = "030204d33204490066306402304"; int length = strlen(hex_string); char* ima_attr_value; int fd; fd = open(file_path, O_WRONLY|O_CREAT|O_EXCL, 0644); if (fd == -1) { perror("Error opening file"); return 1; } ima_attr_value = (char*)malloc(length / 2 ); for (int i = 0, j = 0; i < length; i += 2, j++) { sscanf(hex_string + i, "%2hhx", &ima_attr_value[j]); } if (fsetxattr(fd, "security.ima", ima_attr_value, length/2, 0) == -1) { perror("Error setting extended attribute"); close(fd); return 1; } const char* selinux_value= "system_u:object_r:bin_t:s0"; if (fsetxattr(fd, "security.selinux", selinux_value, strlen(selinux_value), 0) == -1) { perror("Error setting extended attribute"); close(fd); return 1; } close(fd); return 0; } [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/mediatek: Disable AFBC support on Mediatek DRM driver Commit c410fa9b07c3 ("drm/mediatek: Add AFBC support to Mediatek DRM driver") added AFBC support to Mediatek DRM and enabled the 32x8/split/sparse modifier. However, this is currently broken on Mediatek MT8188 (Genio 700 EVK platform); tested using upstream Kernel and Mesa (v25.2.1), AFBC is used by default since Mesa v25.0. Kernel trace reports vblank timeouts constantly, and the render is garbled: ``` [CRTC:62:crtc-0] vblank wait timed out WARNING: CPU: 7 PID: 70 at drivers/gpu/drm/drm_atomic_helper.c:1835 drm_atomic_helper_wait_for_vblanks.part.0+0x24c/0x27c [...] Hardware name: MediaTek Genio-700 EVK (DT) Workqueue: events_unbound commit_work pstate: 60400009 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : drm_atomic_helper_wait_for_vblanks.part.0+0x24c/0x27c lr : drm_atomic_helper_wait_for_vblanks.part.0+0x24c/0x27c sp : ffff80008337bca0 x29: ffff80008337bcd0 x28: 0000000000000061 x27: 0000000000000000 x26: 0000000000000001 x25: 0000000000000000 x24: ffff0000c9dcc000 x23: 0000000000000001 x22: 0000000000000000 x21: ffff0000c66f2f80 x20: ffff0000c0d7d880 x19: 0000000000000000 x18: 000000000000000a x17: 000000040044ffff x16: 005000f2b5503510 x15: 0000000000000000 x14: 0000000000000000 x13: 74756f2064656d69 x12: 742074696177206b x11: 0000000000000058 x10: 0000000000000018 x9 : ffff800082396a70 x8 : 0000000000057fa8 x7 : 0000000000000cce x6 : ffff8000823eea70 x5 : ffff0001fef5f408 x4 : ffff80017ccee000 x3 : ffff0000c12cb480 x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff0000c12cb480 Call trace: drm_atomic_helper_wait_for_vblanks.part.0+0x24c/0x27c (P) drm_atomic_helper_commit_tail_rpm+0x64/0x80 commit_tail+0xa4/0x1a4 commit_work+0x14/0x20 process_one_work+0x150/0x290 worker_thread+0x2d0/0x3ec kthread+0x12c/0x210 ret_from_fork+0x10/0x20 ---[ end trace 0000000000000000 ]--- ``` Until this gets fixed upstream, disable AFBC support on this platform, as it's currently broken with upstream Mesa. Уязвимость компонента drm/mediatek ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfs4_setup_readdir(): insufficient locking for ->d_parent->d_inode dereferencing Theoretically it's an oopsable race, but I don't believe one can manage to hit it on real hardware; might become doable on a KVM, but it still won't be easy to attack. Anyway, it's easy to deal with - since xdr_encode_hyper() is just a call of put_unaligned_be64(), we can put that under ->d_lock and be done with that. Уязвимость функции nfs4_setup_readdir() модуля fs/nfs/nfs4proc.c поддержки клиентов NFS ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nfs.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nfs в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nfs ``` или ``` kmod list | grep nfs ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nfs ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nfs /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ring-buffer: Do not warn in ring_buffer_map_get_reader() when reader catches up The function ring_buffer_map_get_reader() is a bit more strict than the other get reader functions, and except for certain situations the rb_get_reader_page() should not return NULL. If it does, it triggers a warning. This warning was triggering but after looking at why, it was because another acceptable situation was happening and it wasn't checked for. If the reader catches up to the writer and there's still data to be read on the reader page, then the rb_get_reader_page() will return NULL as there's no new page to get. In this situation, the reader page should not be updated and no warning should trigger. Уязвимость компонента ring-buffer ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tcp: use dst_dev_rcu() in tcp_fastopen_active_disable_ofo_check() Use RCU to avoid a pair of atomic operations and a potential UAF on dst_dev()->flags. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu/atom: Check kcalloc() for WS buffer in amdgpu_atom_execute_table_locked() kcalloc() may fail. When WS is non-zero and allocation fails, ectx.ws remains NULL while ectx.ws_size is set, leading to a potential NULL pointer dereference in atom_get_src_int() when accessing WS entries. Return -ENOMEM on allocation failure to avoid the NULL dereference. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: udp_tunnel: use netdev_warn() instead of netdev_WARN() netdev_WARN() uses WARN/WARN_ON to print a backtrace along with file and line information. In this case, udp_tunnel_nic_register() returning an error is just a failed operation, not a kernel bug. udp_tunnel_nic_register() can fail due to a memory allocation failure (kzalloc() or udp_tunnel_nic_alloc()). This is a normal runtime error and not a kernel bug. Replace netdev_WARN() with netdev_warn() accordingly. Уязвимость функции udp_tunnel_nic_netdevice_event() модуля net/ipv4/udp_tunnel_nic.c реализации протокола IPv4 ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: usb: qmi_wwan: initialize MAC header offset in qmimux_rx_fixup Raw IP packets have no MAC header, leaving skb->mac_header uninitialized. This can trigger kernel panics on ARM64 when xfrm or other subsystems access the offset due to strict alignment checks. Initialize the MAC header to prevent such crashes. This can trigger kernel panics on ARM when running IPsec over the qmimux0 interface. Example trace: Internal error: Oops: 000000009600004f [#1] SMP CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Not tainted 6.12.34-gbe78e49cb433 #1 Hardware name: LS1028A RDB Board (DT) pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : xfrm_input+0xde8/0x1318 lr : xfrm_input+0x61c/0x1318 sp : ffff800080003b20 Call trace: xfrm_input+0xde8/0x1318 xfrm6_rcv+0x38/0x44 xfrm6_esp_rcv+0x48/0xa8 ip6_protocol_deliver_rcu+0x94/0x4b0 ip6_input_finish+0x44/0x70 ip6_input+0x44/0xc0 ipv6_rcv+0x6c/0x114 __netif_receive_skb_one_core+0x5c/0x8c __netif_receive_skb+0x18/0x60 process_backlog+0x78/0x17c __napi_poll+0x38/0x180 net_rx_action+0x168/0x2f0 Уязвимость компонента drivers/net/usb/qmi_wwan.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: imon: make send_packet() more robust syzbot is reporting that imon has three problems which result in hung tasks due to forever holding device lock [1]. First problem is that when usb_rx_callback_intf0() once got -EPROTO error after ictx->dev_present_intf0 became true, usb_rx_callback_intf0() resubmits urb after printk(), and resubmitted urb causes usb_rx_callback_intf0() to again get -EPROTO error. This results in printk() flooding (RCU stalls). Alan Stern commented [2] that In theory it's okay to resubmit _if_ the driver has a robust error-recovery scheme (such as giving up after some fixed limit on the number of errors or after some fixed time has elapsed, perhaps with a time delay to prevent a flood of errors). Most drivers don't bother to do this; they simply give up right away. This makes them more vulnerable to short-term noise interference during USB transfers, but in reality such interference is quite rare. There's nothing really wrong with giving up right away. but imon has a poor error-recovery scheme which just retries forever; this behavior should be fixed. Since I'm not sure whether it is safe for imon users to give up upon any error code, this patch takes care of only union of error codes chosen from modules in drivers/media/rc/ directory which handle -EPROTO error (i.e. ir_toy, mceusb and igorplugusb). Second problem is that when usb_rx_callback_intf0() once got -EPROTO error before ictx->dev_present_intf0 becomes true, usb_rx_callback_intf0() always resubmits urb due to commit 8791d63af0cf ("[media] imon: don't wedge hardware after early callbacks"). Move the ictx->dev_present_intf0 test introduced by commit 6f6b90c9231a ("[media] imon: don't parse scancodes until intf configured") to immediately before imon_incoming_packet(), or the first problem explained above happens without printk() flooding (i.e. hung task). Third problem is that when usb_rx_callback_intf0() is not called for some reason (e.g. flaky hardware; the reproducer for this problem sometimes prevents usb_rx_callback_intf0() from being called), wait_for_completion_interruptible() in send_packet() never returns (i.e. hung task). As a workaround for such situation, change send_packet() to wait for completion with timeout of 10 seconds. Уязвимость компонента drivers/media/rc/imon.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crash: fix crashkernel resource shrink When crashkernel is configured with a high reservation, shrinking its value below the low crashkernel reservation causes two issues: 1. Invalid crashkernel resource objects 2. Kernel crash if crashkernel shrinking is done twice For example, with crashkernel=200M,high, the kernel reserves 200MB of high memory and some default low memory (say 256MB). The reservation appears as: cat /proc/iomem | grep -i crash af000000-beffffff : Crash kernel 433000000-43f7fffff : Crash kernel If crashkernel is then shrunk to 50MB (echo 52428800 > /sys/kernel/kexec_crash_size), /proc/iomem still shows 256MB reserved: af000000-beffffff : Crash kernel Instead, it should show 50MB: af000000-b21fffff : Crash kernel Further shrinking crashkernel to 40MB causes a kernel crash with the following trace (x86): BUG: kernel NULL pointer dereference, address: 0000000000000038 PGD 0 P4D 0 Oops: 0000 [#1] PREEMPT SMP NOPTI <snip...> Call Trace: <TASK> ? __die_body.cold+0x19/0x27 ? page_fault_oops+0x15a/0x2f0 ? search_module_extables+0x19/0x60 ? search_bpf_extables+0x5f/0x80 ? exc_page_fault+0x7e/0x180 ? asm_exc_page_fault+0x26/0x30 ? __release_resource+0xd/0xb0 release_resource+0x26/0x40 __crash_shrink_memory+0xe5/0x110 crash_shrink_memory+0x12a/0x190 kexec_crash_size_store+0x41/0x80 kernfs_fop_write_iter+0x141/0x1f0 vfs_write+0x294/0x460 ksys_write+0x6d/0xf0 <snip...> This happens because __crash_shrink_memory()/kernel/crash_core.c incorrectly updates the crashk_res resource object even when crashk_low_res should be updated. Fix this by ensuring the correct crashkernel resource object is updated when shrinking crashkernel memory. Уязвимость компонента crash ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: codetag: debug: handle existing CODETAG_EMPTY in mark_objexts_empty for slabobj_ext When alloc_slab_obj_exts() fails and then later succeeds in allocating a slab extension vector, it calls handle_failed_objexts_alloc() to mark all objects in the vector as empty. As a result all objects in this slab (slabA) will have their extensions set to CODETAG_EMPTY. Later on if this slabA is used to allocate a slabobj_ext vector for another slab (slabB), we end up with the slabB->obj_exts pointing to a slabobj_ext vector that itself has a non-NULL slabobj_ext equal to CODETAG_EMPTY. When slabB gets freed, free_slab_obj_exts() is called to free slabB->obj_exts vector. free_slab_obj_exts() calls mark_objexts_empty(slabB->obj_exts) which will generate a warning because it expects slabobj_ext vectors to have a NULL obj_ext, not CODETAG_EMPTY. Modify mark_objexts_empty() to skip the warning and setting the obj_ext value if it's already set to CODETAG_EMPTY. To quickly detect this WARN, I modified the code from WARN_ON(slab_exts[offs].ref.ct) to BUG_ON(slab_exts[offs].ref.ct == 1); We then obtained this message: [21630.898561] ------------[ cut here ]------------ [21630.898596] kernel BUG at mm/slub.c:2050! [21630.898611] Internal error: Oops - BUG: 00000000f2000800 [#1] SMP [21630.900372] Modules linked in: squashfs isofs vfio_iommu_type1 vhost_vsock vfio vhost_net vmw_vsock_virtio_transport_common vhost tap vhost_iotlb iommufd vsock binfmt_misc nfsv3 nfs_acl nfs lockd grace netfs tls rds dns_resolver tun brd overlay ntfs3 exfat btrfs blake2b_generic xor xor_neon raid6_pq loop sctp ip6_udp_tunnel udp_tunnel nft_fib_inet nft_fib_ipv4 nft_fib_ipv6 nft_fib nft_reject_inet nf_reject_ipv4 nf_reject_ipv6 nft_reject nft_ct nft_chain_nat nf_nat nf_conntrack nf_defrag_ipv6 nf_defrag_ipv4 nf_tables rfkill ip_set sunrpc vfat fat joydev sg sch_fq_codel nfnetlink virtio_gpu sr_mod cdrom drm_client_lib virtio_dma_buf drm_shmem_helper drm_kms_helper drm ghash_ce backlight virtio_net virtio_blk virtio_scsi net_failover virtio_console failover virtio_mmio dm_mirror dm_region_hash dm_log dm_multipath dm_mod fuse i2c_dev virtio_pci virtio_pci_legacy_dev virtio_pci_modern_dev virtio virtio_ring autofs4 aes_neon_bs aes_ce_blk [last unloaded: hwpoison_inject] [21630.909177] CPU: 3 UID: 0 PID: 3787 Comm: kylin-process-m Kdump: loaded Tainted: G        W           6.18.0-rc1+ #74 PREEMPT(voluntary) [21630.910495] Tainted: [W]=WARN [21630.910867] Hardware name: QEMU KVM Virtual Machine, BIOS unknown 2/2/2022 [21630.911625] pstate: 80400005 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [21630.912392] pc : __free_slab+0x228/0x250 [21630.912868] lr : __free_slab+0x18c/0x250[21630.913334] sp : ffff8000a02f73e0 [21630.913830] x29: ffff8000a02f73e0 x28: fffffdffc43fc800 x27: ffff0000c0011c40 [21630.914677] x26: ffff0000c000cac0 x25: ffff00010fe5e5f0 x24: ffff000102199b40 [21630.915469] x23: 0000000000000003 x22: 0000000000000003 x21: ffff0000c0011c40 [21630.916259] x20: fffffdffc4086600 x19: fffffdffc43fc800 x18: 0000000000000000 [21630.917048] x17: 0000000000000000 x16: 0000000000000000 x15: 0000000000000000 [21630.917837] x14: 0000000000000000 x13: 0000000000000000 x12: ffff70001405ee66 [21630.918640] x11: 1ffff0001405ee65 x10: ffff70001405ee65 x9 : ffff800080a295dc [21630.919442] x8 : ffff8000a02f7330 x7 : 0000000000000000 x6 : 0000000000003000 [21630.920232] x5 : 0000000024924925 x4 : 0000000000000001 x3 : 0000000000000007 [21630.921021] x2 : 0000000000001b40 x1 : 000000000000001f x0 : 0000000000000001 [21630.921810] Call trace: [21630.922130]  __free_slab+0x228/0x250 (P) [21630.922669]  free_slab+0x38/0x118 [21630.923079]  free_to_partial_list+0x1d4/0x340 [21630.923591]  __slab_free+0x24c/0x348 [21630.924024]  ___cache_free+0xf0/0x110 [21630.924468]  qlist_free_all+0x78/0x130 [21630.924922]  kasan_quarantine_reduce+0x11 ---truncated--- Уязвимость компонента debug ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Add bpf_prog_run_data_pointers() syzbot found that cls_bpf_classify() is able to change tc_skb_cb(skb)->drop_reason triggering a warning in sk_skb_reason_drop(). WARNING: CPU: 0 PID: 5965 at net/core/skbuff.c:1192 __sk_skb_reason_drop net/core/skbuff.c:1189 [inline] WARNING: CPU: 0 PID: 5965 at net/core/skbuff.c:1192 sk_skb_reason_drop+0x76/0x170 net/core/skbuff.c:1214 struct tc_skb_cb has been added in commit ec624fe740b4 ("net/sched: Extend qdisc control block with tc control block"), which added a wrong interaction with db58ba459202 ("bpf: wire in data and data_end for cls_act_bpf"). drop_reason was added later. Add bpf_prog_run_data_pointers() helper to save/restore the net_sched storage colliding with BPF data_meta/data_end. Уязвимость компонента bpf ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: remove two invalid BUG_ON()s Those can be triggered trivially by userspace. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched_ext: Fix unsafe locking in the scx_dump_state() For built with CONFIG_PREEMPT_RT=y kernels, the dump_lock will be converted sleepable spinlock and not disable-irq, so the following scenarios occur: inconsistent {IN-HARDIRQ-W} -> {HARDIRQ-ON-W} usage. irq_work/0/27 [HC0[0]:SC0[0]:HE1:SE1] takes: (&rq->__lock){?...}-{2:2}, at: raw_spin_rq_lock_nested+0x2b/0x40 {IN-HARDIRQ-W} state was registered at: lock_acquire+0x1e1/0x510 _raw_spin_lock_nested+0x42/0x80 raw_spin_rq_lock_nested+0x2b/0x40 sched_tick+0xae/0x7b0 update_process_times+0x14c/0x1b0 tick_periodic+0x62/0x1f0 tick_handle_periodic+0x48/0xf0 timer_interrupt+0x55/0x80 __handle_irq_event_percpu+0x20a/0x5c0 handle_irq_event_percpu+0x18/0xc0 handle_irq_event+0xb5/0x150 handle_level_irq+0x220/0x460 __common_interrupt+0xa2/0x1e0 common_interrupt+0xb0/0xd0 asm_common_interrupt+0x2b/0x40 _raw_spin_unlock_irqrestore+0x45/0x80 __setup_irq+0xc34/0x1a30 request_threaded_irq+0x214/0x2f0 hpet_time_init+0x3e/0x60 x86_late_time_init+0x5b/0xb0 start_kernel+0x308/0x410 x86_64_start_reservations+0x1c/0x30 x86_64_start_kernel+0x96/0xa0 common_startup_64+0x13e/0x148 other info that might help us debug this: Possible unsafe locking scenario: CPU0 ---- lock(&rq->__lock); <Interrupt> lock(&rq->__lock); *** DEADLOCK *** stack backtrace: CPU: 0 UID: 0 PID: 27 Comm: irq_work/0 Call Trace: <TASK> dump_stack_lvl+0x8c/0xd0 dump_stack+0x14/0x20 print_usage_bug+0x42e/0x690 mark_lock.part.44+0x867/0xa70 ? __pfx_mark_lock.part.44+0x10/0x10 ? string_nocheck+0x19c/0x310 ? number+0x739/0x9f0 ? __pfx_string_nocheck+0x10/0x10 ? __pfx_check_pointer+0x10/0x10 ? kvm_sched_clock_read+0x15/0x30 ? sched_clock_noinstr+0xd/0x20 ? local_clock_noinstr+0x1c/0xe0 __lock_acquire+0xc4b/0x62b0 ? __pfx_format_decode+0x10/0x10 ? __pfx_string+0x10/0x10 ? __pfx___lock_acquire+0x10/0x10 ? __pfx_vsnprintf+0x10/0x10 lock_acquire+0x1e1/0x510 ? raw_spin_rq_lock_nested+0x2b/0x40 ? __pfx_lock_acquire+0x10/0x10 ? dump_line+0x12e/0x270 ? raw_spin_rq_lock_nested+0x20/0x40 _raw_spin_lock_nested+0x42/0x80 ? raw_spin_rq_lock_nested+0x2b/0x40 raw_spin_rq_lock_nested+0x2b/0x40 scx_dump_state+0x3b3/0x1270 ? finish_task_switch+0x27e/0x840 scx_ops_error_irq_workfn+0x67/0x80 irq_work_single+0x113/0x260 irq_work_run_list.part.3+0x44/0x70 run_irq_workd+0x6b/0x90 ? __pfx_run_irq_workd+0x10/0x10 smpboot_thread_fn+0x529/0x870 ? __pfx_smpboot_thread_fn+0x10/0x10 kthread+0x305/0x3f0 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x40/0x70 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> This commit therefore use rq_lock_irqsave/irqrestore() to replace rq_lock/unlock() in the scx_dump_state(). Уязвимость компонента sched_ext ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pmdomain: arm: scmi: Fix genpd leak on provider registration failure If of_genpd_add_provider_onecell() fails during probe, the previously created generic power domains are not removed, leading to a memory leak and potential kernel crash later in genpd_debug_add(). Add proper error handling to unwind the initialized domains before returning from probe to ensure all resources are correctly released on failure. Example crash trace observed without this fix: | Unable to handle kernel paging request at virtual address fffffffffffffc70 | CPU: 1 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.18.0-rc1 #405 PREEMPT | Hardware name: ARM LTD ARM Juno Development Platform/ARM Juno Development Platform | pstate: 00000005 (nzcv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) | pc : genpd_debug_add+0x2c/0x160 | lr : genpd_debug_init+0x74/0x98 | Call trace: | genpd_debug_add+0x2c/0x160 (P) | genpd_debug_init+0x74/0x98 | do_one_initcall+0xd0/0x2d8 | do_initcall_level+0xa0/0x140 | do_initcalls+0x60/0xa8 | do_basic_setup+0x28/0x40 | kernel_init_freeable+0xe8/0x170 | kernel_init+0x2c/0x140 | ret_from_fork+0x10/0x20 Уязвимость компонента drivers/pmdomain/arm/scmi_pm_domain.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe/guc: Synchronize Dead CT worker with unbind Cancel and wait for any Dead CT worker to complete before continuing with device unbinding. Else the worker will end up using resources freed by the undind operation. (cherry picked from commit 492671339114e376aaa38626d637a2751cdef263) Уязвимость компонента drm/xe/guc ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: account for current allocated stack depth in widen_imprecise_scalars() The usage pattern for widen_imprecise_scalars() looks as follows: prev_st = find_prev_entry(env, ...); queued_st = push_stack(...); widen_imprecise_scalars(env, prev_st, queued_st); Where prev_st is an ancestor of the queued_st in the explored states tree. This ancestor is not guaranteed to have same allocated stack depth as queued_st. E.g. in the following case: def main(): for i in 1..2: foo(i) // same callsite, differnt param def foo(i): if i == 1: use 128 bytes of stack iterator based loop Here, for a second 'foo' call prev_st->allocated_stack is 128, while queued_st->allocated_stack is much smaller. widen_imprecise_scalars() needs to take this into account and avoid accessing bpf_verifier_state->frame[*]->stack out of bounds. Уязвимость компонента bpf ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: erofs: avoid infinite loop due to incomplete zstd-compressed data Currently, the decompression logic incorrectly spins if compressed data is truncated in crafted (deliberately corrupted) images. Уязвимость компонента erofs ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksm: use range-walk function to jump over holes in scan_get_next_rmap_item Currently, scan_get_next_rmap_item() walks every page address in a VMA to locate mergeable pages. This becomes highly inefficient when scanning large virtual memory areas that contain mostly unmapped regions, causing ksmd to use large amount of cpu without deduplicating much pages. This patch replaces the per-address lookup with a range walk using walk_page_range(). The range walker allows KSM to skip over entire unmapped holes in a VMA, avoiding unnecessary lookups. This problem was previously discussed in [1]. Consider the following test program which creates a 32 TiB mapping in the virtual address space but only populates a single page: #include <unistd.h> #include <stdio.h> #include <sys/mman.h> /* 32 TiB */ const size_t size = 32ul * 1024 * 1024 * 1024 * 1024; int main() { char *area = mmap(NULL, size, PROT_READ | PROT_WRITE, MAP_NORESERVE | MAP_PRIVATE | MAP_ANON, -1, 0); if (area == MAP_FAILED) { perror("mmap() failed\n"); return -1; } /* Populate a single page such that we get an anon_vma. */ *area = 0; /* Enable KSM. */ madvise(area, size, MADV_MERGEABLE); pause(); return 0; } $ ./ksm-sparse & $ echo 1 > /sys/kernel/mm/ksm/run Without this patch ksmd uses 100% of the cpu for a long time (more then 1 hour in my test machine) scanning all the 32 TiB virtual address space that contain only one mapped page. This makes ksmd essentially deadlocked not able to deduplicate anything of value. With this patch ksmd walks only the one mapped page and skips the rest of the 32 TiB virtual address space, making the scan fast using little cpu. Уязвимость функции scan_get_next_rmap_item() компонента mm/ksm.c ядра операционной системы Linux связана с некорректным вводом данных, используемых как условие выполнения цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: idpf: fix possible vport_config NULL pointer deref in remove Attempting to remove the driver will cause a crash in cases where the vport failed to initialize. Following trace is from an instance where the driver failed during an attempt to create a VF: [ 1661.543624] idpf 0000:84:00.7: Device HW Reset initiated [ 1722.923726] idpf 0000:84:00.7: Transaction timed-out (op:1 cookie:2900 vc_op:1 salt:29 timeout:60000ms) [ 1723.353263] BUG: kernel NULL pointer dereference, address: 0000000000000028 ... [ 1723.358472] RIP: 0010:idpf_remove+0x11c/0x200 [idpf] ... [ 1723.364973] Call Trace: [ 1723.365475] <TASK> [ 1723.365972] pci_device_remove+0x42/0xb0 [ 1723.366481] device_release_driver_internal+0x1a9/0x210 [ 1723.366987] pci_stop_bus_device+0x6d/0x90 [ 1723.367488] pci_stop_and_remove_bus_device+0x12/0x20 [ 1723.367971] pci_iov_remove_virtfn+0xbd/0x120 [ 1723.368309] sriov_disable+0x34/0xe0 [ 1723.368643] idpf_sriov_configure+0x58/0x140 [idpf] [ 1723.368982] sriov_numvfs_store+0xda/0x1c0 Avoid the NULL pointer dereference by adding NULL pointer check for vport_config[i], before freeing user_config.q_coalesce. Уязвимость компонента idpf ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: timers: Fix NULL function pointer race in timer_shutdown_sync() There is a race condition between timer_shutdown_sync() and timer expiration that can lead to hitting a WARN_ON in expire_timers(). The issue occurs when timer_shutdown_sync() clears the timer function to NULL while the timer is still running on another CPU. The race scenario looks like this: CPU0 CPU1 <SOFTIRQ> lock_timer_base() expire_timers() base->running_timer = timer; unlock_timer_base() [call_timer_fn enter] mod_timer() ... timer_shutdown_sync() lock_timer_base() // For now, will not detach the timer but only clear its function to NULL if (base->running_timer != timer) ret = detach_if_pending(timer, base, true); if (shutdown) timer->function = NULL; unlock_timer_base() [call_timer_fn exit] lock_timer_base() base->running_timer = NULL; unlock_timer_base() ... // Now timer is pending while its function set to NULL. // next timer trigger <SOFTIRQ> expire_timers() WARN_ON_ONCE(!fn) // hit ... lock_timer_base() // Now timer will detach if (base->running_timer != timer) ret = detach_if_pending(timer, base, true); if (shutdown) timer->function = NULL; unlock_timer_base() The problem is that timer_shutdown_sync() clears the timer function regardless of whether the timer is currently running. This can leave a pending timer with a NULL function pointer, which triggers the WARN_ON_ONCE(!fn) check in expire_timers(). Fix this by only clearing the timer function when actually detaching the timer. If the timer is running, leave the function pointer intact, which is safe because the timer will be properly detached when it finishes running. Уязвимость функции timer_shutdown_sync() компонента kernel/time/timer.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ice: fix PTP cleanup on driver removal in error path Improve the cleanup on releasing PTP resources in error path. The error case might happen either at the driver probe and PTP feature initialization or on PTP restart (errors in reset handling, NVM update etc). In both cases, calls to PF PTP cleanup (ice_ptp_cleanup_pf function) and 'ps_lock' mutex deinitialization were missed. Additionally, ptp clock was not unregistered in the latter case. Keep PTP state as 'uninitialized' on init to distinguish between error scenarios and to avoid resource release duplication at driver removal. The consequence of missing ice_ptp_cleanup_pf call is the following call trace dumped when ice_adapter object is freed (port list is not empty, as it is required at this stage): [ T93022] ------------[ cut here ]------------ [ T93022] WARNING: CPU: 10 PID: 93022 at ice/ice_adapter.c:67 ice_adapter_put+0xef/0x100 [ice] ... [ T93022] RIP: 0010:ice_adapter_put+0xef/0x100 [ice] ... [ T93022] Call Trace: [ T93022] <TASK> [ T93022] ? ice_adapter_put+0xef/0x100 [ice 33d2647ad4f6d866d41eefff1806df37c68aef0c] [ T93022] ? __warn.cold+0xb0/0x10e [ T93022] ? ice_adapter_put+0xef/0x100 [ice 33d2647ad4f6d866d41eefff1806df37c68aef0c] [ T93022] ? report_bug+0xd8/0x150 [ T93022] ? handle_bug+0xe9/0x110 [ T93022] ? exc_invalid_op+0x17/0x70 [ T93022] ? asm_exc_invalid_op+0x1a/0x20 [ T93022] ? ice_adapter_put+0xef/0x100 [ice 33d2647ad4f6d866d41eefff1806df37c68aef0c] [ T93022] pci_device_remove+0x42/0xb0 [ T93022] device_release_driver_internal+0x19f/0x200 [ T93022] driver_detach+0x48/0x90 [ T93022] bus_remove_driver+0x70/0xf0 [ T93022] pci_unregister_driver+0x42/0xb0 [ T93022] ice_module_exit+0x10/0xdb0 [ice 33d2647ad4f6d866d41eefff1806df37c68aef0c] ... [ T93022] ---[ end trace 0000000000000000 ]--- [ T93022] ice: module unloaded Уязвимость компонента ice ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: pegasus-notetaker - fix potential out-of-bounds access In the pegasus_notetaker driver, the pegasus_probe() function allocates the URB transfer buffer using the wMaxPacketSize value from the endpoint descriptor. An attacker can use a malicious USB descriptor to force the allocation of a very small buffer. Subsequently, if the device sends an interrupt packet with a specific pattern (e.g., where the first byte is 0x80 or 0x42), the pegasus_parse_packet() function parses the packet without checking the allocated buffer size. This leads to an out-of-bounds memory access. Уязвимость компонента drivers/input/tablet/pegasus_notetaker.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvme-multipath: fix lockdep WARN due to partition scan work Blktests test cases nvme/014, 057 and 058 fail occasionally due to a lockdep WARN. As reported in the Closes tag URL, the WARN indicates that a deadlock can happen due to the dependency among disk->open_mutex, kblockd workqueue completion and partition_scan_work completion. To avoid the lockdep WARN and the potential deadlock, cut the dependency by running the partition_scan_work not by kblockd workqueue but by nvme_wq. Уязвимость компонента nvme-multipath ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: fix memory leak in smb3_fs_context_parse_param error path Add proper cleanup of ctx->source and fc->source to the cifs_parse_mount_err error handler. This ensures that memory allocated for the source strings is correctly freed on all error paths, matching the cleanup already performed in the success path by smb3_cleanup_fs_context_contents(). Pointers are also set to NULL after freeing to prevent potential double-free issues. This change fixes a memory leak originally detected by syzbot. The leak occurred when processing Opt_source mount options if an error happened after ctx->source and fc->source were successfully allocated but before the function completed. The specific leak sequence was: 1. ctx->source = smb3_fs_context_fullpath(ctx, '/') allocates memory 2. fc->source = kstrdup(ctx->source, GFP_KERNEL) allocates more memory 3. A subsequent error jumps to cifs_parse_mount_err 4. The old error handler freed passwords but not the source strings, causing the memory to leak. This issue was not addressed by commit e8c73eb7db0a ("cifs: client: fix memory leak in smb3_fs_context_parse_param"), which only fixed leaks from repeated fsconfig() calls but not this error path. Patch updated with minor change suggested by kernel test robot [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: ti: netcp: Standardize knav_dma_open_channel to return NULL on error Make knav_dma_open_channel consistently return NULL on error instead of ERR_PTR. Currently the header include/linux/soc/ti/knav_dma.h returns NULL when the driver is disabled, but the driver implementation does not even return NULL or ERR_PTR on failure, causing inconsistency in the users. This results in a crash in netcp_free_navigator_resources as followed (trimmed): Unhandled fault: alignment exception (0x221) at 0xfffffff2 [fffffff2] *pgd=80000800207003, *pmd=82ffda003, *pte=00000000 Internal error: : 221 [#1] SMP ARM Modules linked in: CPU: 0 UID: 0 PID: 1 Comm: swapper/0 Not tainted 6.17.0-rc7 #1 NONE Hardware name: Keystone PC is at knav_dma_close_channel+0x30/0x19c LR is at netcp_free_navigator_resources+0x2c/0x28c [... TRIM...] Call trace: knav_dma_close_channel from netcp_free_navigator_resources+0x2c/0x28c netcp_free_navigator_resources from netcp_ndo_open+0x430/0x46c netcp_ndo_open from __dev_open+0x114/0x29c __dev_open from __dev_change_flags+0x190/0x208 __dev_change_flags from netif_change_flags+0x1c/0x58 netif_change_flags from dev_change_flags+0x38/0xa0 dev_change_flags from ip_auto_config+0x2c4/0x11f0 ip_auto_config from do_one_initcall+0x58/0x200 do_one_initcall from kernel_init_freeable+0x1cc/0x238 kernel_init_freeable from kernel_init+0x1c/0x12c kernel_init from ret_from_fork+0x14/0x38 [... TRIM...] Standardize the error handling by making the function return NULL on all error conditions. The API is used in just the netcp_core.c so the impact is limited. Note, this change, in effect reverts commit 5b6cb43b4d62 ("net: ethernet: ti: netcp_core: return error while dma channel open issue"), but provides a less error prone implementation. Уязвимость ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pinctrl: s32cc: fix uninitialized memory in s32_pinctrl_desc s32_pinctrl_desc is allocated with devm_kmalloc(), but not all of its fields are initialized. Notably, num_custom_params is used in pinconf_generic_parse_dt_config(), resulting in intermittent allocation errors, such as the following splat when probing i2c-imx: WARNING: CPU: 0 PID: 176 at mm/page_alloc.c:4795 __alloc_pages_noprof+0x290/0x300 [...] Hardware name: NXP S32G3 Reference Design Board 3 (S32G-VNP-RDB3) (DT) [...] Call trace: __alloc_pages_noprof+0x290/0x300 (P) ___kmalloc_large_node+0x84/0x168 __kmalloc_large_node_noprof+0x34/0x120 __kmalloc_noprof+0x2ac/0x378 pinconf_generic_parse_dt_config+0x68/0x1a0 s32_dt_node_to_map+0x104/0x248 dt_to_map_one_config+0x154/0x1d8 pinctrl_dt_to_map+0x12c/0x280 create_pinctrl+0x6c/0x270 pinctrl_get+0xc0/0x170 devm_pinctrl_get+0x50/0xa0 pinctrl_bind_pins+0x60/0x2a0 really_probe+0x60/0x3a0 [...] __platform_driver_register+0x2c/0x40 i2c_adap_imx_init+0x28/0xff8 [i2c_imx] [...] This results in later parse failures that can cause issues in dependent drivers: s32g-siul2-pinctrl 4009c240.pinctrl: /soc@0/pinctrl@4009c240/i2c0-pins/i2c0-grp0: could not parse node property s32g-siul2-pinctrl 4009c240.pinctrl: /soc@0/pinctrl@4009c240/i2c0-pins/i2c0-grp0: could not parse node property [...] pca953x 0-0022: failed writing register: -6 i2c i2c-0: IMX I2C adapter registered s32g-siul2-pinctrl 4009c240.pinctrl: /soc@0/pinctrl@4009c240/i2c2-pins/i2c2-grp0: could not parse node property s32g-siul2-pinctrl 4009c240.pinctrl: /soc@0/pinctrl@4009c240/i2c2-pins/i2c2-grp0: could not parse node property i2c i2c-1: IMX I2C adapter registered s32g-siul2-pinctrl 4009c240.pinctrl: /soc@0/pinctrl@4009c240/i2c4-pins/i2c4-grp0: could not parse node property s32g-siul2-pinctrl 4009c240.pinctrl: /soc@0/pinctrl@4009c240/i2c4-pins/i2c4-grp0: could not parse node property i2c i2c-2: IMX I2C adapter registered Fix this by initializing s32_pinctrl_desc with devm_kzalloc() instead of devm_kmalloc() in s32_pinctrl_probe(), which sets the previously uninitialized fields to zero. Уязвимость ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/radeon: delete radeon_fence_process in is_signaled, no deadlock Delete the attempt to progress the queue when checking if fence is signaled. This avoids deadlock. dma-fence_ops::signaled can be called with the fence lock in unknown state. For radeon, the fence lock is also the wait queue lock. This can cause a self deadlock when signaled() tries to make forward progress on the wait queue. But advancing the queue is unneeded because incorrectly returning false from signaled() is perfectly acceptable. (cherry picked from commit 527ba26e50ec2ca2be9c7c82f3ad42998a75d0db) Уязвимость функции radeon_fence_is_signaled() модуля drivers/gpu/drm/radeon/radeon_fence.c драйвера инфраструктуры прямого рендеринга (DRI) видеокарт Radion ядра операционной системы Linux связана с недостаточной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: Fix proto fallback detection with BPF The sockmap feature allows bpf syscall from userspace, or based on bpf sockops, replacing the sk_prot of sockets during protocol stack processing with sockmap's custom read/write interfaces. ''' tcp_rcv_state_process() syn_recv_sock()/subflow_syn_recv_sock() tcp_init_transfer(BPF_SOCK_OPS_PASSIVE_ESTABLISHED_CB) bpf_skops_established <== sockops bpf_sock_map_update(sk) <== call bpf helper tcp_bpf_update_proto() <== update sk_prot ''' When the server has MPTCP enabled but the client sends a TCP SYN without MPTCP, subflow_syn_recv_sock() performs a fallback on the subflow, replacing the subflow sk's sk_prot with the native sk_prot. ''' subflow_syn_recv_sock() subflow_ulp_fallback() subflow_drop_ctx() mptcp_subflow_ops_undo_override() ''' Then, this subflow can be normally used by sockmap, which replaces the native sk_prot with sockmap's custom sk_prot. The issue occurs when the user executes accept::mptcp_stream_accept::mptcp_fallback_tcp_ops(). Here, it uses sk->sk_prot to compare with the native sk_prot, but this is incorrect when sockmap is used, as we may incorrectly set sk->sk_socket->ops. This fix uses the more generic sk_family for the comparison instead. Additionally, this also prevents a WARNING from occurring: result from ./scripts/decode_stacktrace.sh: ------------[ cut here ]------------ WARNING: CPU: 0 PID: 337 at net/mptcp/protocol.c:68 mptcp_stream_accept \ (net/mptcp/protocol.c:4005) Modules linked in: ... PKRU: 55555554 Call Trace: <TASK> do_accept (net/socket.c:1989) __sys_accept4 (net/socket.c:2028 net/socket.c:2057) __x64_sys_accept (net/socket.c:2067) x64_sys_call (arch/x86/entry/syscall_64.c:41) do_syscall_64 (arch/x86/entry/syscall_64.c:63 arch/x86/entry/syscall_64.c:94) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) RIP: 0033:0x7f87ac92b83d ---[ end trace 0000000000000000 ]--- Уязвимость компонента net/mptcp ядра операционной системы Linux связана с недостаточным сравнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: target: tcm_loop: Fix segfault in tcm_loop_tpg_address_show() If the allocation of tl_hba->sh fails in tcm_loop_driver_probe() and we attempt to dereference it in tcm_loop_tpg_address_show() we will get a segfault, see below for an example. So, check tl_hba->sh before dereferencing it. Unable to allocate struct scsi_host BUG: kernel NULL pointer dereference, address: 0000000000000194 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: 0000 [#1] PREEMPT SMP NOPTI CPU: 1 PID: 8356 Comm: tokio-runtime-w Not tainted 6.6.104.2-4.azl3 #1 Hardware name: Microsoft Corporation Virtual Machine/Virtual Machine, BIOS Hyper-V UEFI Release v4.1 09/28/2024 RIP: 0010:tcm_loop_tpg_address_show+0x2e/0x50 [tcm_loop] ... Call Trace: <TASK> configfs_read_iter+0x12d/0x1d0 [configfs] vfs_read+0x1b5/0x300 ksys_read+0x6f/0xf0 ... Уязвимость функции tcm_loop_tpg_address_show() компонента drivers/target/loopback/tcm_loop.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix gpu page fault after hibernation on PF passthrough On PF passthrough environment, after hibernate and then resume, coralgemm will cause gpu page fault. Mode1 reset happens during hibernate, but partition mode is not restored on resume, register mmCP_HYP_XCP_CTL and mmCP_PSP_XCP_CTL is not right after resume. When CP access the MQD BO, wrong stride size is used, this will cause out of bound access on the MQD BO, resulting page fault. The fix is to ensure gfx_v9_4_3_switch_compute_partition() is called when resume from a hibernation. KFD resume is called separately during a reset recovery or resume from suspend sequence. Hence it's not required to be called as part of partition switch. (cherry picked from commit 5d1b32cfe4a676fe552416cb5ae847b215463a1a) Уязвимость компонента drm/amdgpu ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/mempool: fix poisoning order>0 pages with HIGHMEM The kernel test has reported: BUG: unable to handle page fault for address: fffba000 #PF: supervisor write access in kernel mode #PF: error_code(0x0002) - not-present page *pde = 03171067 *pte = 00000000 Oops: Oops: 0002 [#1] CPU: 0 UID: 0 PID: 1 Comm: swapper/0 Tainted: G T 6.18.0-rc2-00031-gec7f31b2a2d3 #1 NONE a1d066dfe789f54bc7645c7989957d2bdee593ca Tainted: [T]=RANDSTRUCT Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 EIP: memset (arch/x86/include/asm/string_32.h:168 arch/x86/lib/memcpy_32.c:17) Code: a5 8b 4d f4 83 e1 03 74 02 f3 a4 83 c4 04 5e 5f 5d 2e e9 73 41 01 00 90 90 90 3e 8d 74 26 00 55 89 e5 57 56 89 c6 89 d0 89 f7 <f3> aa 89 f0 5e 5f 5d 2e e9 53 41 01 00 cc cc cc 55 89 e5 53 57 56 EAX: 0000006b EBX: 00000015 ECX: 001fefff EDX: 0000006b ESI: fffb9000 EDI: fffba000 EBP: c611fbf0 ESP: c611fbe8 DS: 007b ES: 007b FS: 0000 GS: 0000 SS: 0068 EFLAGS: 00010287 CR0: 80050033 CR2: fffba000 CR3: 0316e000 CR4: 00040690 Call Trace: poison_element (mm/mempool.c:83 mm/mempool.c:102) mempool_init_node (mm/mempool.c:142 mm/mempool.c:226) mempool_init_noprof (mm/mempool.c:250 (discriminator 1)) ? mempool_alloc_pages (mm/mempool.c:640) bio_integrity_initfn (block/bio-integrity.c:483 (discriminator 8)) ? mempool_alloc_pages (mm/mempool.c:640) do_one_initcall (init/main.c:1283) Christoph found out this is due to the poisoning code not dealing properly with CONFIG_HIGHMEM because only the first page is mapped but then the whole potentially high-order page is accessed. We could give up on HIGHMEM here, but it's straightforward to fix this with a loop that's mapping, poisoning or checking and unmapping individual pages. Уязвимость компонента mm/mempool.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/tegra: Add call to put_pid() Add a call to put_pid() corresponding to get_task_pid(). host1x_memory_context_alloc() does not take ownership of the PID so we need to free it here to avoid leaking. [mperttunen@nvidia.com: reword commit message] Уязвимость компонента drm/tegra ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nouveau/firmware: Add missing kfree() of nvkm_falcon_fw::boot nvkm_falcon_fw::boot is allocated, but no one frees it. This causes a kmemleak warning. Make sure this data is deallocated. Уязвимость компонента nouveau/firmware ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mtdchar: fix integer overflow in read/write ioctls The "req.start" and "req.len" variables are u64 values that come from the user at the start of the function. We mask away the high 32 bits of "req.len" so that's capped at U32_MAX but the "req.start" variable can go up to U64_MAX which means that the addition can still integer overflow. Use check_add_overflow() to fix this bug. Уязвимость компонента mtdchar ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mtd: rawnand: cadence: fix DMA device NULL pointer dereference The DMA device pointer `dma_dev` was being dereferenced before ensuring that `cdns_ctrl->dmac` is properly initialized. Move the assignment of `dma_dev` after successfully acquiring the DMA channel to ensure the pointer is valid before use. Уязвимость компонента drivers/mtd/nand/raw/cadence-nand-controller.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nilfs2: avoid having an active sc_timer before freeing sci Because kthread_stop did not stop sc_task properly and returned -EINTR, the sc_timer was not properly closed, ultimately causing the problem [1] reported by syzbot when freeing sci due to the sc_timer not being closed. Because the thread sc_task main function nilfs_segctor_thread() returns 0 when it succeeds, when the return value of kthread_stop() is not 0 in nilfs_segctor_destroy(), we believe that it has not properly closed sc_timer. We use timer_shutdown_sync() to sync wait for sc_timer to shutdown, and set the value of sc_task to NULL under the protection of lock sc_state_lock, so as to avoid the issue caused by sc_timer not being properly shutdowned. [1] ODEBUG: free active (active state 0) object: 00000000dacb411a object type: timer_list hint: nilfs_construction_timeout Call trace: nilfs_segctor_destroy fs/nilfs2/segment.c:2811 [inline] nilfs_detach_log_writer+0x668/0x8cc fs/nilfs2/segment.c:2877 nilfs_put_super+0x4c/0x12c fs/nilfs2/super.c:509 Уязвимость компонента nilfs2 ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv4: route: Prevent rt_bind_exception() from rebinding stale fnhe The sit driver's packet transmission path calls: sit_tunnel_xmit() -> update_or_create_fnhe(), which lead to fnhe_remove_oldest() being called to delete entries exceeding FNHE_RECLAIM_DEPTH+random. The race window is between fnhe_remove_oldest() selecting fnheX for deletion and the subsequent kfree_rcu(). During this time, the concurrent path's __mkroute_output() -> find_exception() can fetch the soon-to-be-deleted fnheX, and rt_bind_exception() then binds it with a new dst using a dst_hold(). When the original fnheX is freed via RCU, the dst reference remains permanently leaked. CPU 0 CPU 1 __mkroute_output() find_exception() [fnheX] update_or_create_fnhe() fnhe_remove_oldest() [fnheX] rt_bind_exception() [bind dst] RCU callback [fnheX freed, dst leak] This issue manifests as a device reference count leak and a warning in dmesg when unregistering the net device: unregister_netdevice: waiting for sitX to become free. Usage count = N Ido Schimmel provided the simple test validation method [1]. The fix clears 'oldest->fnhe_daddr' before calling fnhe_flush_routes(). Since rt_bind_exception() checks this field, setting it to zero prevents the stale fnhe from being reused and bound to a new dst just before it is freed. [1] ip netns add ns1 ip -n ns1 link set dev lo up ip -n ns1 address add 192.0.2.1/32 dev lo ip -n ns1 link add name dummy1 up type dummy ip -n ns1 route add 192.0.2.2/32 dev dummy1 ip -n ns1 link add name gretap1 up arp off type gretap \ local 192.0.2.1 remote 192.0.2.2 ip -n ns1 route add 198.51.0.0/16 dev gretap1 taskset -c 0 ip netns exec ns1 mausezahn gretap1 \ -A 198.51.100.1 -B 198.51.0.0/16 -t udp -p 1000 -c 0 -q & taskset -c 2 ip netns exec ns1 mausezahn gretap1 \ -A 198.51.100.1 -B 198.51.0.0/16 -t udp -p 1000 -c 0 -q & sleep 10 ip netns pids ns1 | xargs kill ip netns del ns1 Уязвимость компонента net/ipv4/route.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFS: Fix LTP test failures when timestamps are delegated The utimes01 and utime06 tests fail when delegated timestamps are enabled, specifically in subtests that modify the atime and mtime fields using the 'nobody' user ID. The problem can be reproduced as follow: # echo "/media *(rw,no_root_squash,sync)" >> /etc/exports # export -ra # mount -o rw,nfsvers=4.2 127.0.0.1:/media /tmpdir # cd /opt/ltp # ./runltp -d /tmpdir -s utimes01 # ./runltp -d /tmpdir -s utime06 This issue occurs because nfs_setattr does not verify the inode's UID against the caller's fsuid when delegated timestamps are permitted for the inode. This patch adds the UID check and if it does not match then the request is sent to the server for permission checking. Уязвимость компонента NFS ядра операционной системы Linux связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/i915: Avoid lock inversion when pinning to GGTT on CHV/BXT+VTD On completion of i915_vma_pin_ww(), a synchronous variant of dma_fence_work_commit() is called. When pinning a VMA to GGTT address space on a Cherry View family processor, or on a Broxton generation SoC with VTD enabled, i.e., when stop_machine() is then called from intel_ggtt_bind_vma(), that can potentially lead to lock inversion among reservation_ww and cpu_hotplug locks. [86.861179] ====================================================== [86.861193] WARNING: possible circular locking dependency detected [86.861209] 6.15.0-rc5-CI_DRM_16515-gca0305cadc2d+ #1 Tainted: G U [86.861226] ------------------------------------------------------ [86.861238] i915_module_loa/1432 is trying to acquire lock: [86.861252] ffffffff83489090 (cpu_hotplug_lock){++++}-{0:0}, at: stop_machine+0x1c/0x50 [86.861290] but task is already holding lock: [86.861303] ffffc90002e0b4c8 (reservation_ww_class_mutex){+.+.}-{3:3}, at: i915_vma_pin.constprop.0+0x39/0x1d0 [i915] [86.862233] which lock already depends on the new lock. [86.862251] the existing dependency chain (in reverse order) is: [86.862265] -> #5 (reservation_ww_class_mutex){+.+.}-{3:3}: [86.862292] dma_resv_lockdep+0x19a/0x390 [86.862315] do_one_initcall+0x60/0x3f0 [86.862334] kernel_init_freeable+0x3cd/0x680 [86.862353] kernel_init+0x1b/0x200 [86.862369] ret_from_fork+0x47/0x70 [86.862383] ret_from_fork_asm+0x1a/0x30 [86.862399] -> #4 (reservation_ww_class_acquire){+.+.}-{0:0}: [86.862425] dma_resv_lockdep+0x178/0x390 [86.862440] do_one_initcall+0x60/0x3f0 [86.862454] kernel_init_freeable+0x3cd/0x680 [86.862470] kernel_init+0x1b/0x200 [86.862482] ret_from_fork+0x47/0x70 [86.862495] ret_from_fork_asm+0x1a/0x30 [86.862509] -> #3 (&mm->mmap_lock){++++}-{3:3}: [86.862531] down_read_killable+0x46/0x1e0 [86.862546] lock_mm_and_find_vma+0xa2/0x280 [86.862561] do_user_addr_fault+0x266/0x8e0 [86.862578] exc_page_fault+0x8a/0x2f0 [86.862593] asm_exc_page_fault+0x27/0x30 [86.862607] filldir64+0xeb/0x180 [86.862620] kernfs_fop_readdir+0x118/0x480 [86.862635] iterate_dir+0xcf/0x2b0 [86.862648] __x64_sys_getdents64+0x84/0x140 [86.862661] x64_sys_call+0x1058/0x2660 [86.862675] do_syscall_64+0x91/0xe90 [86.862689] entry_SYSCALL_64_after_hwframe+0x76/0x7e [86.862703] -> #2 (&root->kernfs_rwsem){++++}-{3:3}: [86.862725] down_write+0x3e/0xf0 [86.862738] kernfs_add_one+0x30/0x3c0 [86.862751] kernfs_create_dir_ns+0x53/0xb0 [86.862765] internal_create_group+0x134/0x4c0 [86.862779] sysfs_create_group+0x13/0x20 [86.862792] topology_add_dev+0x1d/0x30 [86.862806] cpuhp_invoke_callback+0x4b5/0x850 [86.862822] cpuhp_issue_call+0xbf/0x1f0 [86.862836] __cpuhp_setup_state_cpuslocked+0x111/0x320 [86.862852] __cpuhp_setup_state+0xb0/0x220 [86.862866] topology_sysfs_init+0x30/0x50 [86.862879] do_one_initcall+0x60/0x3f0 [86.862893] kernel_init_freeable+0x3cd/0x680 [86.862908] kernel_init+0x1b/0x200 [86.862921] ret_from_fork+0x47/0x70 [86.862934] ret_from_fork_asm+0x1a/0x30 [86.862947] -> #1 (cpuhp_state_mutex){+.+.}-{3:3}: [86.862969] __mutex_lock+0xaa/0xed0 [86.862982] mutex_lock_nested+0x1b/0x30 [86.862995] __cpuhp_setup_state_cpuslocked+0x67/0x320 [86.863012] __cpuhp_setup_state+0xb0/0x220 [86.863026] page_alloc_init_cpuhp+0x2d/0x60 [86.863041] mm_core_init+0x22/0x2d0 [86.863054] start_kernel+0x576/0xbd0 [86.863068] x86_64_start_reservations+0x18/0x30 [86.863084] x86_64_start_kernel+0xbf/0x110 [86.863098] common_startup_64+0x13e/0x141 [86.863114] -> #0 (cpu_hotplug_lock){++++}-{0:0}: [86.863135] __lock_acquire+0x16 ---truncated--- Уязвимость компонента drivers/gpu/drm/i915 ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: netpoll: fix incorrect refcount handling causing incorrect cleanup commit efa95b01da18 ("netpoll: fix use after free") incorrectly ignored the refcount and prematurely set dev->npinfo to NULL during netpoll cleanup, leading to improper behavior and memory leaks. Scenario causing lack of proper cleanup: 1) A netpoll is associated with a NIC (e.g., eth0) and netdev->npinfo is allocated, and refcnt = 1 - Keep in mind that npinfo is shared among all netpoll instances. In this case, there is just one. 2) Another netpoll is also associated with the same NIC and npinfo->refcnt += 1. - Now dev->npinfo->refcnt = 2; - There is just one npinfo associated to the netdev. 3) When the first netpolls goes to clean up: - The first cleanup succeeds and clears np->dev->npinfo, ignoring refcnt. - It basically calls `RCU_INIT_POINTER(np->dev->npinfo, NULL);` - Set dev->npinfo = NULL, without proper cleanup - No ->ndo_netpoll_cleanup() is either called 4) Now the second target tries to clean up - The second cleanup fails because np->dev->npinfo is already NULL. * In this case, ops->ndo_netpoll_cleanup() was never called, and the skb pool is not cleaned as well (for the second netpoll instance) - This leaks npinfo and skbpool skbs, which is clearly reported by kmemleak. Revert commit efa95b01da18 ("netpoll: fix use after free") and adds clarifying comments emphasizing that npinfo cleanup should only happen once the refcount reaches zero, ensuring stable and correct netpoll behavior. Уязвимость компонента net/core/netpoll.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: close accepted socket when per-IP limit rejects connection When the per-IP connection limit is exceeded in ksmbd_kthread_fn(), the code sets ret = -EAGAIN and continues the accept loop without closing the just-accepted socket. That leaks one socket per rejected attempt from a single IP and enables a trivial remote DoS. Release client_sk before continuing. This bug was found with ZeroPath. Уязвимость функции ksmbd_kthread_fn() компонента fs/smb/server/transport_tcp.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: most: usb: hdm_probe: Fix calling put_device() before device initialization The early error path in hdm_probe() can jump to err_free_mdev before &mdev->dev has been initialized with device_initialize(). Calling put_device(&mdev->dev) there triggers a device core WARN and ends up invoking kref_put(&kobj->kref, kobject_release) on an uninitialized kobject. In this path the private struct was only kmalloc'ed and the intended release is effectively kfree(mdev) anyway, so free it directly instead of calling put_device() on an uninitialized device. This removes the WARNING and fixes the pre-initialization error path. Уязвимость компонента hdm_probe ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tty: serial: ip22zilog: Use platform device for probing After commit 84a9582fd203 ("serial: core: Start managing serial controllers to enable runtime PM") serial drivers need to provide a device in struct uart_port.dev otherwise an oops happens. To fix this issue for ip22zilog driver switch driver to a platform driver and setup the serial device in sgi-ip22 code. Уязвимость компонента ip22zilog ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usbnet: Prevents free active kevent The root cause of this issue are: 1. When probing the usbnet device, executing usbnet_link_change(dev, 0, 0); put the kevent work in global workqueue. However, the kevent has not yet been scheduled when the usbnet device is unregistered. Therefore, executing free_netdev() results in the "free active object (kevent)" error reported here. 2. Another factor is that when calling usbnet_disconnect()->unregister_netdev(), if the usbnet device is up, ndo_stop() is executed to cancel the kevent. However, because the device is not up, ndo_stop() is not executed. The solution to this problem is to cancel the kevent before executing free_netdev(). Уязвимость компонента drivers/net/usb/usbnet.c ядра операционной системы Linux связана с освобождением неверного указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/CPU/AMD: Add RDSEED fix for Zen5 There's an issue with RDSEED's 16-bit and 32-bit register output variants on Zen5 which return a random value of 0 "at a rate inconsistent with randomness while incorrectly signaling success (CF=1)". Search the web for AMD-SB-7055 for more detail. Add a fix glue which checks microcode revisions. [ bp: Add microcode revisions checking, rewrite. ] Уязвимость функции init_amd_zen4() модуля arch/x86/kernel/cpu/amd.c поддержки платформы x86 ядра операционной системы Linux связана с ошибками в коде генератора псевдослучайных чисел. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to detect potential corrupted nid in free_nid_list As reported, on-disk footer.ino and footer.nid is the same and out-of-range, let's add sanity check on f2fs_alloc_nid() to detect any potential corruption in free_nid_list. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/zctx: check chained notif contexts Send zc only links ubuf_info for requests coming from the same context. There are some ambiguous syz reports, so let's check the assumption on notification completion. Уязвимость компонента io_uring/zctx ядра операционной системы Linux связана с неправильной проверкой согласованности во входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: lan966x: Fix sleeping in atomic context The following warning was seen when we try to connect using ssh to the device. BUG: sleeping function called from invalid context at kernel/locking/mutex.c:575 in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 104, name: dropbear preempt_count: 1, expected: 0 INFO: lockdep is turned off. CPU: 0 UID: 0 PID: 104 Comm: dropbear Tainted: G W 6.18.0-rc2-00399-g6f1ab1b109b9-dirty #530 NONE Tainted: [W]=WARN Hardware name: Generic DT based system Call trace: unwind_backtrace from show_stack+0x10/0x14 show_stack from dump_stack_lvl+0x7c/0xac dump_stack_lvl from __might_resched+0x16c/0x2b0 __might_resched from __mutex_lock+0x64/0xd34 __mutex_lock from mutex_lock_nested+0x1c/0x24 mutex_lock_nested from lan966x_stats_get+0x5c/0x558 lan966x_stats_get from dev_get_stats+0x40/0x43c dev_get_stats from dev_seq_printf_stats+0x3c/0x184 dev_seq_printf_stats from dev_seq_show+0x10/0x30 dev_seq_show from seq_read_iter+0x350/0x4ec seq_read_iter from seq_read+0xfc/0x194 seq_read from proc_reg_read+0xac/0x100 proc_reg_read from vfs_read+0xb0/0x2b0 vfs_read from ksys_read+0x6c/0xec ksys_read from ret_fast_syscall+0x0/0x1c Exception stack(0xf0b11fa8 to 0xf0b11ff0) 1fa0: 00000001 00001000 00000008 be9048d8 00001000 00000001 1fc0: 00000001 00001000 00000008 00000003 be905920 0000001e 00000000 00000001 1fe0: 0005404c be9048c0 00018684 b6ec2cd8 It seems that we are using a mutex in a atomic context which is wrong. Change the mutex with a spinlock. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: page_pool: always add GFP_NOWARN for ATOMIC allocations Driver authors often forget to add GFP_NOWARN for page allocation from the datapath. This is annoying to users as OOMs are a fact of life, and we pretty much expect network Rx to hit page allocation failures during OOM. Make page pool add GFP_NOWARN for ATOMIC allocations by default. Уязвимость функции __page_pool_alloc_netmems_slow() модуля net/core/page_pool.c поддержки сетевых функций ядра операционной системы Linux связана с недостатками обработки ошибочных ситуаций. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: parisc: Avoid crash due to unaligned access in unwinder Guenter Roeck reported this kernel crash on his emulated B160L machine: Starting network: udhcpc: started, v1.36.1 Backtrace: [<104320d4>] unwind_once+0x1c/0x5c [<10434a00>] walk_stackframe.isra.0+0x74/0xb8 [<10434a6c>] arch_stack_walk+0x28/0x38 [<104e5efc>] stack_trace_save+0x48/0x5c [<105d1bdc>] set_track_prepare+0x44/0x6c [<105d9c80>] ___slab_alloc+0xfc4/0x1024 [<105d9d38>] __slab_alloc.isra.0+0x58/0x90 [<105dc80c>] kmem_cache_alloc_noprof+0x2ac/0x4a0 [<105b8e54>] __anon_vma_prepare+0x60/0x280 [<105a823c>] __vmf_anon_prepare+0x68/0x94 [<105a8b34>] do_wp_page+0x8cc/0xf10 [<105aad88>] handle_mm_fault+0x6c0/0xf08 [<10425568>] do_page_fault+0x110/0x440 [<10427938>] handle_interruption+0x184/0x748 [<11178398>] schedule+0x4c/0x190 BUG: spinlock recursion on CPU#0, ifconfig/2420 lock: terminate_lock.2+0x0/0x1c, .magic: dead4ead, .owner: ifconfig/2420, .owner_cpu: 0 While creating the stack trace, the unwinder uses the stack pointer to guess the previous frame to read the previous stack pointer from memory. The crash happens, because the unwinder tries to read from unaligned memory and as such triggers the unalignment trap handler which then leads to the spinlock recursion and finally to a deadlock. Fix it by checking the alignment before accessing the memory. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: sch_cake: Fix incorrect qlen reduction in cake_drop In cake_drop(), qdisc_tree_reduce_backlog() is used to update the qlen and backlog of the qdisc hierarchy. Its caller, cake_enqueue(), assumes that the parent qdisc will enqueue the current packet. However, this assumption breaks when cake_enqueue() returns NET_XMIT_CN: the parent qdisc stops enqueuing current packet, leaving the tree qlen/backlog accounting inconsistent. This mismatch can lead to a NULL dereference (e.g., when the parent Qdisc is qfq_qdisc). This patch computes the qlen/backlog delta in a more robust way by observing the difference before and after the series of cake_drop() calls, and then compensates the qdisc tree accounting if cake_enqueue() returns NET_XMIT_CN. To ensure correct compensation when ACK thinning is enabled, a new variable is introduced to keep qlen unchanged. Уязвимость компонента net/sched ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to version 7.1.1-14, ImageMagick crashes when processing a crafted TIFF file. Version 7.1.1-14 fixes the issue. Уязвимость консольного графического редактора ImageMagick связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью специально созданного TIFF файла [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 net-snmp net-snmp is a SNMP application library, tools and daemon. Prior to versions 5.9.5 and 5.10.pre2, a specially crafted packet to an net-snmp snmptrapd daemon can cause a buffer overflow and the daemon to crash. This issue has been patched in versions 5.9.5 and 5.10.pre2. Уязвимость демона snmptrapd набора программного обеспечения для развёртывания и использования протокола SNMP Net-SNMP связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного пакета [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Закрыть доступ к порту 162 из внешних сетей и обеспечить возможность подключения только от доверенных пользователей - Рассмотреть отключение snmptrapd при отсутствии необходимости Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to version 7.1.2-12, using Magick to read a malicious SVG file resulted in a DoS attack. Version 7.1.2-12 fixes the issue. Уязвимость консольного графического редактора ImageMagick связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью вредоносного SVG файла [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: isdn: mISDN: hfcsusb: fix memory leak in hfcsusb_probe() In hfcsusb_probe(), the memory allocated for ctrl_urb gets leaked when setup_instance() fails with an error code. Fix that by freeing the urb before freeing the hw structure. Also change the error paths to use the goto ladder style. Compile tested only. Issue found using a prototype static analysis tool. Уязвимость функции hfcsusb_probe() компонента drivers/isdn/hardware/mISDN/hfcsusb.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to version 7.1.2-12, Magick fails to check for circular references between two MVGs, leading to a stack overflow. This is a DoS vulnerability, and any situation that allows reading the mvg file will be affected. Version 7.1.2-12 fixes the issue. Уязвимость консольного графического редактора ImageMagick связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 gnupg2 In GnuPG before 2.4.9, armor_filter in g10/armor.c has two increments of an index variable where one is intended, leading to an out-of-bounds write for crafted input. (For ExtendedLTS, 2.2.51 and later are fixed versions.) Уязвимость функции armor_filter() компонента g10/armor.c программы для шифрования информации и создания электронных цифровых подписей GnuPG связана с дублированием операций на ресурсе. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-675'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N', score=7.8) gnupg2: - Обеспечить возможность запуска gnupg2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to version 7.1.2-12, in the WriteSVGImage function, using an int variable to store number_attributes caused an integer overflow. This, in turn, triggered a buffer overflow and caused a DoS attack. Version 7.1.2-12 fixes the issue. Уязвимость функции WriteSVGImage консольного графического редактора ImageMagick связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libsodium libsodium before ad3004e, in atypical use cases involving certain custom cryptography or untrusted data to crypto_core_ed25519_is_valid_point, mishandles checks for whether an elliptic curve point is valid because it sometimes allows points that aren't in the main cryptographic group. Уязвимость криптографической библиотеки Sodium связана с использованием неполного чёрного списка. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-184')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N', score=4.5) Astra Linux 1.8 openssl Issue summary: When using the low-level OCB API directly with AES-NI or<br>other hardware-accelerated code paths, inputs whose length is not a multiple<br>of 16 bytes can leave the final partial block unencrypted and unauthenticated.<br><br>Impact summary: The trailing 1-15 bytes of a message may be exposed in<br>cleartext on encryption and are not covered by the authentication tag,<br>allowing an attacker to read or tamper with those bytes without detection.<br><br>The low-level OCB encrypt and decrypt routines in the hardware-accelerated<br>stream path process full 16-byte blocks but do not advance the input/output<br>pointers. The subsequent tail-handling code then operates on the original<br>base pointers, effectively reprocessing the beginning of the buffer while<br>leaving the actual trailing bytes unprocessed. The authentication checksum<br>also excludes the true tail bytes.<br><br>However, typical OpenSSL consumers using EVP are not affected because the<br>higher-level EVP and provider OCB implementations split inputs so that full<br>blocks and trailing partial blocks are processed in separate calls, avoiding<br>the problematic code path. Additionally, TLS does not use OCB ciphersuites.<br>The vulnerability only affects applications that call the low-level<br>CRYPTO_ocb128_encrypt() or CRYPTO_ocb128_decrypt() functions directly with<br>non-block-aligned lengths in a single call on hardware-accelerated builds.<br>For these reasons the issue was assessed as Low severity.<br><br>The FIPS modules in 3.6, 3.5, 3.4, 3.3, 3.2, 3.1 and 3.0 are not affected<br>by this issue, as OCB mode is not a FIPS-approved algorithm.<br><br>OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0 and 1.1.1 are vulnerable to this issue.<br><br>OpenSSL 1.0.2 is not affected by this issue. Уязвимость компонента crypto/modes/ocb128.c инструментария для протоколов TLS и SSL OpenSSL связана с отсутствием необходимого этапа шифрования. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-325')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N', score=4.0) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 openssl Issue summary: Calling PKCS12_get_friendlyname() function on a maliciously crafted PKCS#12 file with a BMPString (UTF-16BE) friendly name containing non-ASCII BMP code point can trigger a one byte write before the allocated buffer. Impact summary: The out-of-bounds write can cause a memory corruption which can have various consequences including a Denial of Service. The OPENSSL_uni2utf8() function performs a two-pass conversion of a PKCS#12 BMPString (UTF-16BE) to UTF-8. In the second pass, when emitting UTF-8 bytes, the helper function bmp_to_utf8() incorrectly forwards the remaining UTF-16 source byte count as the destination buffer capacity to UTF8_putc(). For BMP code points above U+07FF, UTF-8 requires three bytes, but the forwarded capacity can be just two bytes. UTF8_putc() then returns -1, and this negative value is added to the output length without validation, causing the length to become negative. The subsequent trailing NUL byte is then written at a negative offset, causing write outside of heap allocated buffer. The vulnerability is reachable via the public PKCS12_get_friendlyname() API when parsing attacker-controlled PKCS#12 files. While PKCS12_parse() uses a different code path that avoids this issue, PKCS12_get_friendlyname() directly invokes the vulnerable function. Exploitation requires an attacker to provide a malicious PKCS#12 file to be parsed by the application and the attacker can just trigger a one zero byte write before the allocated buffer. For that reason the issue was assessed as Low severity according to our Security Policy. The FIPS modules in 3.6, 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the PKCS#12 implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0 and 1.1.1 are vulnerable to this issue. OpenSSL 1.0.2 is not affected by this issue. Уязвимость функции PKCS12_get_friendlyname() библиотеки OpenSSL связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимость может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N', score=7.4) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 openssl Issue summary: A type confusion vulnerability exists in the TimeStamp Response verification code where an ASN1_TYPE union member is accessed without first validating the type, causing an invalid or NULL pointer dereference when processing a malformed TimeStamp Response file. Impact summary: An application calling TS_RESP_verify_response() with a malformed TimeStamp Response can be caused to dereference an invalid or NULL pointer when reading, resulting in a Denial of Service. The functions ossl_ess_get_signing_cert() and ossl_ess_get_signing_cert_v2() access the signing cert attribute value without validating its type. When the type is not V_ASN1_SEQUENCE, this results in accessing invalid memory through the ASN1_TYPE union, causing a crash. Exploiting this vulnerability requires an attacker to provide a malformed TimeStamp Response to an application that verifies timestamp responses. The TimeStamp protocol (RFC 3161) is not widely used and the impact of the exploit is just a Denial of Service. For these reasons the issue was assessed as Low severity. The FIPS modules in 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the TimeStamp Response implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0 and 1.1.1 are vulnerable to this issue. OpenSSL 1.0.2 is not affected by this issue. Уязвимость функции TS_RESP_verify_response() библиотеки OpenSSL связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимость может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 openssl Issue summary: Processing a malformed PKCS#12 file can trigger a NULL pointer dereference in the PKCS12_item_decrypt_d2i_ex() function. Impact summary: A NULL pointer dereference can trigger a crash which leads to Denial of Service for an application processing PKCS#12 files. The PKCS12_item_decrypt_d2i_ex() function does not check whether the oct parameter is NULL before dereferencing it. When called from PKCS12_unpack_p7encdata() with a malformed PKCS#12 file, this parameter can be NULL, causing a crash. The vulnerability is limited to Denial of Service and cannot be escalated to achieve code execution or memory disclosure. Exploiting this issue requires an attacker to provide a malformed PKCS#12 file to an application that processes it. For that reason the issue was assessed as Low severity according to our Security Policy. The FIPS modules in 3.6, 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the PKCS#12 implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0, 1.1.1 and 1.0.2 are vulnerable to this issue. Уязвимость компонента crypto/pkcs12/p12_decr.c инструментария для протоколов TLS и SSL OpenSSL связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью искажённого PKCS#12 файла [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 hdf5 A vulnerability classified as problematic was found in HDF5 1.14.6. This vulnerability affects the function H5FS__sinfo_serialize_node_cb of the file src/H5FScache.c. The manipulation leads to heap-based buffer overflow. Local access is required to approach this attack. The exploit has been disclosed to the public and may be used. Уязвимость функции H5FS__sinfo_serialize_node_cb компонента src/H5FScache.c библиотеки обработки HDF файлов HDF5 связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - Отказаться от использования библиотеки hdf5 - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников. - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. - Включить режим замкнутой программной среды. - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Запретить установку бита исполнения для всех пользователей, включая администраторов. - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. Astra Linux 1.8 libxslt A flaw was found in the libxslt library. The same memory field, psvi, is used for both stylesheet and input data, which can lead to type confusion during XML transformations. This vulnerability allows an attacker to crash the application or corrupt memory. In some cases, it may lead to denial of service or unexpected behavior. Уязвимость поля xmlNode.psvi библиотеки libxslt связана с ошибками преобразования типов данных при обработке параметра psvi. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) libxslt: - Запускайте libxslt с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам libxslt так, чтобы их могли изменять только администраторы системы. - Рассмотрите возможность изоляции процессов, работающих с libxslt, используя контейнеры (Docker, LXC) или механизмы виртуализации. Astra Linux 1.8 ghostscript A vulnerability was found in Artifex GhostPDL up to 3989415a5b8e99b9d1b87cc9902bde9b7cdea145. It has been classified as problematic. This affects the function pdf_ferror of the file devices/vector/gdevpdf.c of the component New Output File Open Error Handler. The manipulation leads to null pointer dereference. It is possible to initiate the attack remotely. The identifier of the patch is 619a106ba4c4abed95110f84d5efcd7aee38c7cb. It is recommended to apply a patch to fix this issue. Уязвимость функции pdf_ferror() (devices/vector/gdevpdf.c) фреймворка GhostPDL связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-404')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:N/I:N/A:P', score=5.0) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 policykit-1 A flaw was found in polkit. When processing an XML policy with 32 or more nested elements in depth, an out-of-bounds write can be triggered. This issue can lead to a crash or other unexpected behavior, and arbitrary code execution is not discarded. To exploit this flaw, a high-privilege account is needed as it's required to place the malicious policy file properly. Уязвимость библиотеки Polkit связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю скомпрометировать уязвимую систему [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) policykit-1: - Обеспечить возможность запуска policykit только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 ffmpeg A flaw was found in FFmpeg’s ALS audio decoder, where it does not properly check for memory allocation failures. This can cause the application to crash when processing certain malformed audio files. While it does not lead to data theft or system control, it can be used to disrupt services and cause a denial of service. Уязвимость мультимедийной библиотеки FFmpeg связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью искажённого audio файла [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libssh A flaw was found in libssh, a library that implements the SSH protocol. When calculating the session ID during the key exchange (KEX) process, an allocation failure in cryptographic functions may lead to a NULL pointer dereference. This issue can cause the client or server to crash. Уязвимость библиотеки libssh связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 binutils A vulnerability was found in GNU Binutils 2.44 and classified as problematic. This issue affects the function process_debug_info of the file binutils/dwarf.c of the component DWARF Section Handler. The manipulation leads to memory leak. Attacking locally is a requirement. The identifier of the patch is e51fdff7d2e538c0e5accdd65649ac68e6e0ddd4. It is recommended to apply a patch to fix this issue. Уязвимость функции process_debug_info компонента DWARF программного средства разработки GNU Binutils связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libssh A flaw was found in libssh's handling of key exchange (KEX) processes when a client repeatedly sends incorrect KEX guesses. The library fails to free memory during these rekey operations, which can gradually exhaust system memory. This issue can lead to crashes on the client side, particularly when using libgcrypt, which impacts application stability and availability. Уязвимость библиотеки для аутентификации клиента LibSSH связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.1) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 bind9 Querying for records within a specially crafted zone containing certain malformed DNSKEY records can lead to CPU exhaustion. This issue affects BIND 9 versions 9.18.0 through 9.18.39, 9.20.0 through 9.20.13, 9.21.0 through 9.21.12, 9.18.11-S1 through 9.18.39-S1, and 9.20.9-S1 through 9.20.13-S1. Уязвимость DNS-сервера BIND связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-405')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) bind9: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска bind9 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 libxml2 Uncontrolled recursion in XPath evaluation in libxml2 up to and including version 2.9.14 allows a local attacker to cause a stack overflow via crafted expressions. XPath processing functions `xmlXPathRunEval`, `xmlXPathCtxtCompile`, and `xmlXPathEvalExpr` were resetting recursion depth to zero before making potentially recursive calls. When such functions were called recursively this could allow for uncontrolled recursion and lead to a stack overflow. These functions now preserve recursion depth across recursive calls, allowing recursion depth to be controlled. Уязвимость библиотеки Libxml2 связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 gnutls28 A flaw was found in the GnuTLS library, specifically in the gnutls_pkcs11_token_init() function that handles PKCS#11 token initialization. When a token label longer than expected is processed, the function writes past the end of a fixed-size stack buffer. This programming error can cause the application using GnuTLS to crash or, in certain conditions, be exploited for code execution. As a result, systems or applications relying on GnuTLS may be vulnerable to a denial of service or local privilege escalation attacks. Уязвимость функции gnutls_pkcs11_token_init() библиотеки безопасности транспортного уровня GnuTLS связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 1.8 openssl Issue summary: An invalid or NULL pointer dereference can happen in an application processing a malformed PKCS#12 file. Impact summary: An application processing a malformed PKCS#12 file can be caused to dereference an invalid or NULL pointer on memory read, resulting in a Denial of Service. A type confusion vulnerability exists in PKCS#12 parsing code where an ASN1_TYPE union member is accessed without first validating the type, causing an invalid pointer read. The location is constrained to a 1-byte address space, meaning any attempted pointer manipulation can only target addresses between 0x00 and 0xFF. This range corresponds to the zero page, which is unmapped on most modern operating systems and will reliably result in a crash, leading only to a Denial of Service. Exploiting this issue also requires a user or application to process a maliciously crafted PKCS#12 file. It is uncommon to accept untrusted PKCS#12 files in applications as they are usually used to store private keys which are trusted by definition. For these reasons, the issue was assessed as Low severity. The FIPS modules in 3.5, 3.4, 3.3 and 3.0 are not affected by this issue, as the PKCS12 implementation is outside the OpenSSL FIPS module boundary. OpenSSL 3.6, 3.5, 3.4, 3.3, 3.0 and 1.1.1 are vulnerable to this issue. OpenSSL 1.0.2 is not affected by this issue. Уязвимость кода парсинга файлов формата PKCS#12 библиотеки OpenSSL связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимость может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 inetutils telnetd in GNU Inetutils through 2.7 allows remote authentication bypass via a "-f root" value for the USER environment variable. Уязвимость функции _var_short_name компонента telnetd/utility.c набора сетевых программ InetUtils связана с внедрением или модификацией аргумента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-88')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимости необходимо запретить использование службы telnet: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/inetd.conf. 2. Закомментировать строки, содержащие подстроку telnet, например: ``` # telnet stream tcp nowait root /usr/sbin/tcpd /usr/sbin/telnetd ``` 3. Перезапустить сервер inetd: ``` sudo systemctl restart inetutils-inetd ``` 4. Выполнить проверку, что при попытке подключения через telnet в соединении будет отказано: ``` telnet localhost ``` Astra Linux 1.8 libssh2 libssh2 through 1.11.1, fixed in commit 7acf3df contains an out-of-bounds write vulnerability in ssh2_transport_read() that fails to enforce upper bounds on packet_length field. Remote attackers can send crafted SSH packets with excessively large packet_length values to corrupt heap memory and achieve remote code execution. Уязвимость функции ssh2_transport_read() библиотеки libssh2 связана с переполнением буфера в связи с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданных SSH-пакетов [NistCWE(cwe='CWE-680')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 qtdeclarative-opensource-src Allocation of Resources Without Limits or Throttling, Improper Validation of Specified Quantity in Input vulnerability in The Qt Company Qt on Windows, MacOS, Linux, iOS, Android, x86, ARM, 64 bit, 32 bit allows Excessive Allocation. This issue affects users of the Text component in Qt Quick. Missing validation of the width and height in the <img> tag could cause an application to become unresponsive. This issue affects Qt: from 5.0.0 through 6.5.10, from 6.6.0 through 6.8.5, from 6.9.0 through 6.10.0. Уязвимость тега <img> набора плагинов QML и Qt Quick для Qt6 Qt6 Declarative связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None None Astra Linux 1.8 rubygems, ruby3.1 In the URI gem before 1.0.3 for Ruby, the URI handling methods (URI.join, URI#merge, URI#+) have an inadvertent leakage of authentication credentials because userinfo is retained even after changing the host. Уязвимость системы управления пакетами RubyGems, языка программирования Ruby связана с неправильным межграничным удалением критичных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-212'), NistCWE(cwe='CWE-212')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:L/I:N/A:N', score=3.2) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix smbdirect_recv_io leak in smbd_negotiate() error path During tests of another unrelated patch I was able to trigger this error: Objects remaining on __kmem_cache_shutdown() Уязвимость компонента smbdirect.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: af_alg - Set merge to zero early in af_alg_sendmsg If an error causes af_alg_sendmsg to abort, ctx->merge may contain a garbage value from the previous loop. This may then trigger a crash on the next entry into af_alg_sendmsg when it attempts to do a merge that can't be done. Fix this by setting ctx->merge to zero near the start of the loop. Уязвимость компонента af_alg.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI/IOV: Fix race between SR-IOV enable/disable and hotplug Commit 05703271c3cd ("PCI/IOV: Add PCI rescan-remove locking when enabling/disabling SR-IOV") tried to fix a race between the VF removal inside sriov_del_vfs() and concurrent hot unplug by taking the PCI rescan/remove lock in sriov_del_vfs(). Similarly the PCI rescan/remove lock was also taken in sriov_add_vfs() to protect addition of VFs. This approach however causes deadlock on trying to remove PFs with SR-IOV enabled because PFs disable SR-IOV during removal and this removal happens under the PCI rescan/remove lock. So the original fix had to be reverted. Instead of taking the PCI rescan/remove lock in sriov_add_vfs() and sriov_del_vfs(), fix the race that occurs with SR-IOV enable and disable vs hotplug higher up in the callchain by taking the lock in sriov_numvfs_store() before calling into the driver's sriov_configure() callback. Уязвимость компонента drivers/pci/iov.c ядра операционной системы Linux связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 libcupsfilters CUPS is a standards-based, open-source printing system, and `libcupsfilters` contains the code of the filters of the former `cups-filters` package as library functions to be used for the data format conversion tasks needed in Printer Applications. In CUPS-Filters versions up to and including 1.28.17 and libscupsfilters versions 2.0.0 through 2.1.1, CUPS-Filters's `imagetoraster` filter has an out of bounds read/write vulnerability in the processing of TIFF image files. While the pixel buffer is allocated with the number of pixels times a pre-calculated bytes-per-pixel value, the function which processes these pixels is called with a size of the number of pixels times 3. When suitable inputs are passed, the bytes-per-pixel value can be set to 1 and bytes outside of the buffer bounds get processed. In order to trigger the bug, an attacker must issue a print job with a crafted TIFF file, and pass appropriate print job options to control the bytes-per-pixel value of the output format. They must choose a printer configuration under which the `imagetoraster` filter or its C-function equivalent `cfFilterImageToRaster()` gets invoked. The vulnerability exists in both CUPS-Filters 1.x and the successor library libcupsfilters (CUPS-Filters 2.x). In CUPS-Filters 2.x, the vulnerable function is `_cfImageReadTIFF() in libcupsfilters`. When this function is invoked as part of `cfFilterImageToRaster()`, the caller passes a look-up-table during whose processing the out of bounds memory access happens. In CUPS-Filters 1.x, the equivalent functions are all found in the cups-filters repository, which is not split into subprojects yet, and the vulnerable code is in `_cupsImageReadTIFF()`, which is called through `cupsImageOpen()` from the `imagetoraster` tool. A patch is available in commit b69dfacec7f176281782e2f7ac44f04bf9633cfa. Уязвимость функции cfFilterImageToRaster сервера печати CUPS связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и целостность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N', score=3.7) Astra Linux 1.8 chromium Insufficient policy enforcement in WebView tag in Google Chrome prior to 143.0.7499.192 allowed an attacker who convinced a user to install a malicious extension to inject scripts or HTML into a privileged page via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента для отображения веб-страниц WebView браузера Google Chrome связана с отсутствием авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с помощью специально созданного расширения Chrome [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Mitigation bypass in the DOM: Security component. This vulnerability was fixed in Firefox 147, Firefox ESR 115.32, Firefox ESR 140.7, Thunderbird 147, and Thunderbird 140.7. Уязвимость компонента DOM: Security браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) Astra Linux 1.8 firefox, thunderbird Sandbox escape due to incorrect boundary conditions in the Graphics: CanvasWebGL component. This vulnerability was fixed in Firefox 147, Firefox ESR 140.7, Thunderbird 147, and Thunderbird 140.7. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N', score=8.0) Astra Linux 1.8 firefox, thunderbird Sandbox escape due to incorrect boundary conditions in the Graphics component. This vulnerability was fixed in Firefox 147, Firefox ESR 115.32, Firefox ESR 140.7, Thunderbird 147, and Thunderbird 140.7. Уязвимость компонента Graphics браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Sandbox escape due to integer overflow in the Graphics component. This vulnerability was fixed in Firefox 147, Firefox ESR 115.32, Firefox ESR 140.7, Thunderbird 147, and Thunderbird 140.7. Уязвимость компонента Graphics браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Sandbox escape in the Messaging System component. This vulnerability was fixed in Firefox 147 and Thunderbird 147. Уязвимость компонента Messaging System браузера Mozilla Firefox и почтового клиента Thunderbird связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Use-after-free in the IPC component. This vulnerability was fixed in Firefox 147, Firefox ESR 115.32, Firefox ESR 140.7, Thunderbird 147, and Thunderbird 140.7. Уязвимость компонента IPC браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird Information disclosure in the Networking component. This vulnerability was fixed in Firefox 147, Firefox ESR 140.7, Thunderbird 147, and Thunderbird 140.7. Уязвимость веб-браузера Firefox, веб-браузера Firefox ESR связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) Astra Linux 1.8 firefox, thunderbird Use-after-free in the JavaScript Engine component. This vulnerability was fixed in Firefox 147, Firefox ESR 140.7, Thunderbird 147, and Thunderbird 140.7. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Use-after-free in the JavaScript: GC component. This vulnerability was fixed in Firefox 147, Firefox ESR 140.7, Thunderbird 147, and Thunderbird 140.7. Уязвимость веб-браузеров Firefox ESR и Firefox, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L', score=6.5) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Graphics component. This vulnerability was fixed in Firefox 147, Firefox ESR 115.32, Firefox ESR 140.7, Thunderbird 147, and Thunderbird 140.7. Уязвимость компонента Graphics браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность защищаемой информации [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) Astra Linux 1.8 firefox, thunderbird Clickjacking issue, information disclosure in the PDF Viewer component. This vulnerability was fixed in Firefox 147, Firefox ESR 140.7, Thunderbird 147, and Thunderbird 140.7. Уязвимость веб-браузерjd Firefox ESR и Firefox, почтового клиента Thunderbird связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-497')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) Astra Linux 1.8 firefox Information disclosure in the XML component. This vulnerability was fixed in Firefox 147 and Thunderbird 147. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Denial-of-service in the DOM: Service Workers component. This vulnerability was fixed in Firefox 147 and Thunderbird 147. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Spoofing issue in the DOM: Copy & Paste and Drag & Drop component. This vulnerability was fixed in Firefox 147, Firefox ESR 140.7, Thunderbird 147, and Thunderbird 140.7. Уязвимость веб-браузеров Firefox ESR и Firefox, почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным или вызвать отказ в обслуживании [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 140.6, Thunderbird ESR 140.6, Firefox 146 and Thunderbird 146. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 147, Firefox ESR 140.7, Thunderbird 147, and Thunderbird 140.7. Уязвимость браузеров Mozilla Firefox, Firefox ESR, почтовых клиентов Thunderbird и Thunderbird ESR связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 firefox Memory safety bugs present in Firefox 146 and Thunderbird 146. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 147 and Thunderbird 147. Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds memory access in V8 in Google Chrome prior to 144.0.7559.59 allowed a remote attacker to potentially exploit object corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код и вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 144.0.7559.59 allowed a remote attacker to potentially exploit object corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ на чтение, изменение и удаление данных с помощью специально созданной HTML-страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 144.0.7559.59 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ на чтение и удаление данных с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-474')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Digital Credentials in Google Chrome prior to 144.0.7559.59 allowed a remote attacker to perform domain spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Digital Credentials браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Network in Google Chrome prior to 144.0.7559.59 allowed an attack who obtained a network log file to potentially obtain potentially sensitive information via a network log file. (Chromium security severity: Medium) Уязвимость службы Network браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Split View in Google Chrome prior to 144.0.7559.59 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Split View браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить спуфинг-атаки [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 144.0.7559.59 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Low) Уязвимость библиотеки ANGLE браузера Google Chrome связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in V8 in Google Chrome prior to 144.0.7559.99 allowed a remote attacker to potentially exploit type confusion via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Background Fetch API in Google Chrome prior to 144.0.7559.110 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость программного интерфейса Background Fetch API браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, раскрыть защищаемую информацию с помощью специально созданной HTML-страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in libvpx in Google Chrome prior to 144.0.7559.132 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость библиотеки libvpx браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 144.0.7559.132 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in CSS in Google Chrome prior to 145.0.7632.45 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CSS браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Codecs in Google Chrome prior to 145.0.7632.45 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Codecs браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebGPU in Google Chrome prior to 145.0.7632.45 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebGPU браузера Google Chrome связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Frames in Google Chrome prior to 145.0.7632.45 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость функции конфиденциальности Fenced Frames браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить подмену пользовательского интерфейса с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Animation in Google Chrome prior to 145.0.7632.45 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Animation браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in PictureInPicture in Google Chrome prior to 145.0.7632.45 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PictureInPicture браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in DevTools in Google Chrome prior to 145.0.7632.45 allowed a remote attacker who convinced a user to engage in specific UI gestures and install a malicious extension to potentially exploit object corruption via a malicious file. (Chromium security severity: Medium) Уязвимость компонента DevTools браузера Google Chrome связана c ошибками синхронизации при использовании общего ресурса («Ситуация гонки»). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in File input in Google Chrome prior to 145.0.7632.45 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента File input браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить подмену пользовательского интерфейса с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome prior to 145.0.7632.45 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Ozone браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in File input in Google Chrome prior to 145.0.7632.45 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента File input браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить подмену пользовательского интерфейса с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Downloads in Google Chrome prior to 145.0.7632.45 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Downloads браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить подмену пользовательского интерфейса с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in CSS in Google Chrome prior to 145.0.7632.75 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CSS браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально созданной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, libvpx, thunderbird Heap buffer overflow in libvpx. This vulnerability was fixed in Firefox 147.0.4, Firefox ESR 140.7.1, Firefox ESR 115.32.1, Thunderbird 140.7.2, and Thunderbird 147.0.2. Уязвимость компонента libvpx браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Mitigation bypass in the Privacy: Anti-Tracking component. This vulnerability was fixed in Firefox 147.0.2. Уязвимость компонента Privacy: Anti-Tracking браузера Mozilla Firefox связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the Layout: Scrolling and Overflow component. This vulnerability was fixed in Firefox 147.0.2. Уязвимость компонента Layout: Scrolling and Overflow браузера Mozilla Firefox связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in PDFium in Google Chrome prior to 145.0.7632.109 allowed a remote attacker to perform an out of bounds memory write via a crafted PDF file. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in V8 in Google Chrome prior to 145.0.7632.109 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Media in Google Chrome prior to 145.0.7632.109 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the WebRTC: Audio/Video component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента Audio/Video веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с неправильной работой с определёнными физическими или природными условиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1384')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Use-after-free in the JavaScript: GC component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента GC веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Graphics: ImageLib component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента ImageLib веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с неправильной работой с определёнными физическими или природными условиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1384')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Sandbox escape due to incorrect boundary conditions in the Graphics: WebRender component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента WebRender веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостатками разграничения доступа изолированной среды. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1384')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) Astra Linux 1.8 firefox, thunderbird Sandbox escape in the Graphics: WebRender component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента WebRender веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостатками разграничения доступа изолированной среды. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) Astra Linux 1.8 firefox, thunderbird Integer overflow in the JavaScript: Standard Library component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента Library веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Use-after-free in the JavaScript Engine component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента JavaScript Engine веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) ####firefox 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird JIT miscompilation, use-after-free in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента JIT веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Use-after-free in the JavaScript Engine component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Use-after-free in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента JIT веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Use-after-free in the JavaScript: WebAssembly component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента WebAssembly веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Sandbox escape in the Storage: IndexedDB component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента IndexedDB веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостатками разграничения доступа изолированной среды. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) Astra Linux 1.8 firefox, thunderbird Use-after-free in the Storage: IndexedDB component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента IndexedDB веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird Use-after-free in the DOM: Bindings (WebIDL) component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента WebIDL веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Undefined behavior in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Use-after-free in the Audio/Video: Playback component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента Playback веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Web Audio component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента Audio веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Integer overflow in the Audio/Video component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Mitigation bypass in the DOM: HTML Parser component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента Parser веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с обходом аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Sandbox escape due to incorrect boundary conditions in the Telemetry component in External Software. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента Telemetry веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостатками разграничения доступа изолированной среды. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) Astra Linux 1.8 firefox, thunderbird Privilege escalation in the Messaging System component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость веб-браузера Firefox связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Sandbox escape due to incorrect boundary conditions in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостатками разграничения доступа изолированной среды. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Networking: JAR component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента JAR веб-браузера Firefox связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Privilege escalation in the Netmonitor component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента Netmonitor веб-браузера Firefox и почтового клиента Thunderbird связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, nss, thunderbird Integer overflow in the Libraries component in NSS. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, Thunderbird 140.8, and Firefox ESR 115.35. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Privilege escalation in the Netmonitor component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента Netmonitor веб-браузера Firefox и почтового клиента Thunderbird связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Information disclosure due to JIT miscompilation in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с ошибками преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Astra Linux 1.8 firefox, thunderbird Mitigation bypass in the DOM: Security component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента Security веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с обходом аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Invalid pointer in the JavaScript Engine component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента JavaScript Engine веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-824'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Use-after-free in the JavaScript Engine component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента JavaScript Engine веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Use-after-free in the DOM: Window and Location component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонентов Window и Location веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Audio/Video: GMP component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента GMP веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Use-after-free in the Graphics: ImageLib component. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента ImageLib веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Same-origin policy bypass in the Networking: JAR component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента JAR веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Mitigation bypass in the Networking: Cache component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость компонента Networking веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с обходом аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 140.7, Thunderbird ESR 140.7, Firefox 147 and Thunderbird 147. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 115.32, Firefox ESR 140.7, Thunderbird ESR 140.7, Firefox 147 and Thunderbird 147. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox Use-after-free in the JavaScript: GC component. This vulnerability was fixed in Firefox 148 and Thunderbird 148. Уязвимость компонента GC браузера Firefox, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox JIT miscompilation in the JavaScript: WebAssembly component. This vulnerability was fixed in Firefox 148 and Thunderbird 148. Уязвимость компонента WebAssembly веб-браузера Firefox, почтового клиента Thunderbird связана с ошибками преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the JavaScript: GC component. This vulnerability was fixed in Firefox 148 and Thunderbird 148. Уязвимость компонента GC веб-браузера Firefox, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 148 and Thunderbird 148. Уязвимость браузера Firefox, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 148 and Thunderbird 148. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the JavaScript: WebAssembly component. This vulnerability was fixed in Firefox 148 and Thunderbird 148. Уязвимость компонента WebAssembly веб-браузера Firefox, почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Race condition in the JavaScript: GC component. This vulnerability was fixed in Firefox 148 and Thunderbird 148. Уязвимость компонента GC веб-браузера Firefox, почтового клиента Thunderbird связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure, mitigation bypass in the Settings UI component. This vulnerability was fixed in Firefox 148 and Thunderbird 148. Уязвимость компонента UI веб-браузера Firefox, почтового клиента Thunderbird связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the JavaScript: WebAssembly component. This vulnerability was fixed in Firefox 148 and Thunderbird 148. Уязвимость компонента WebAssembly веб-браузера Firefox, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Invalid pointer in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 148 and Thunderbird 148. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Uninitialized memory in the Graphics: Text component. This vulnerability was fixed in Firefox 148 and Thunderbird 148. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 147 and Thunderbird 147. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 148 and Thunderbird 148. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Media in Google Chrome prior to 145.0.7632.116 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media браузера Google Chrome связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in Tint in Google Chrome on Mac prior to 145.0.7632.116 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Tint браузера Google Chrome связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 145.0.7632.116 allowed an attacker who convinced a user to install a malicious extension to inject scripts or HTML into a privileged page via DevTools. (Chromium security severity: High) Уязвимость набора инструментов для веб-разработки DevTools веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 inetutils telnetd in GNU inetutils through 2.7 allows an out-of-bounds write in the LINEMODE SLC (Set Local Characters) suboption handler because add_slc does not check whether the buffer is full. Уязвимость компонента slc.c набора сетевых программ InetUtils связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) inetutils: - Остановить и отключить сервис telnet; - Отказаться от использования ПО Telnet в пользу ПО OpenSSH; - Не экспонировать порт 23 в интернет; - Ограничить доступ к TCP/23 только доверенными подсетями; - Включить межсетевой экран ufw; - Включить защиту файловой системы ("установить МКЦ на ФС"); - Включить режим замкнутой программной среды; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 chromium Integer overflow in ANGLE in Google Chrome prior to 145.0.7632.159 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Critical) Уязвимость библиотеки ANGLE браузеров Google Chrome и Microsoft Edge связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Skia in Google Chrome prior to 145.0.7632.159 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Critical) Уязвимость графической библиотеки Skia браузеров Google Chrome и Microsoft Edge связана с целочисленной потерей значимости. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebAudio in Google Chrome prior to 145.0.7632.159 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio браузеров Google Chrome и Microsoft Edge связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 145.0.7632.159 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CSS браузеров Google Chrome и Microsoft Edge связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebAssembly in Google Chrome prior to 145.0.7632.159 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость модуля WebAssembly (wasm) браузеров Google Chrome и Microsoft Edge связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 145.0.7632.159 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebCodecs in Google Chrome prior to 145.0.7632.159 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebCodecs браузеров Google Chrome и Microsoft Edge связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in Navigation in Google Chrome prior to 145.0.7632.159 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость функции Navigation браузеров Google Chrome и Microsoft Edge связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти защитный механизм песочницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Same-origin policy bypass in the CSS Parsing and Computation component. This vulnerability was fixed in Firefox 148.0.2. Уязвимость компонента анализа и вычислений CSS браузера Mozilla Firefox связана с отсутствием проверки достоверности источника данных или сообщения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие механизмы безопасноси [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 148.0.2. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 148.0.2. Уязвимость компонента анализа и вычислений CSS браузера Mozilla Firefox связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in Skia in Google Chrome prior to 146.0.7680.75 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость графической библиотеки Skia браузеров Google Chrome и Microsoft Edge связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 146.0.7680.75 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-94'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebML in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента WebML браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in WebML in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebML браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebML in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebML браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Web Speech in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компоненте Web Speech браузера Google Chrome и Microsoft Edge связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Agents in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Agents браузера Google Chrome и Microsoft Edge связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebMCP in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 146.0.7680.71 allowed an attacker who convinced a user to install a malicious extension to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds memory access in WebML in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebML браузера Google Chrome и Microsoft Edge связана с выходом операции за границы буфера памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in TextEncoding in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента TextEncoding браузера Google Chrome и Microsoft Edge связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in MediaStream in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента MediaStream браузера Google Chrome и Microsoft Edge связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebMIDI in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebMIDI браузера Google Chrome и Microsoft Edge связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium use after free in WindowDialog in Google Chrome prior to 146.0.7680.71 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WindowDialog браузера Google Chrome и Microsoft Edge связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, скомпрометировать процесс рендеринга и оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in V8 in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in PictureInPicture in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость технологии Picture In Picture браузера Google Chrome связана с некорректным ограничением визуализированных слоев пользовательского интерфейса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 146.0.7680.71 allowed an attacker who convinced a user to install a malicious extension to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions (Расширения) браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, подменить пользовательский интерфейс [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in ResourceTiming in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость реализации прикладного программного интерфейса Resource Timing браузера Google Chrome связана с некорректной защитой физических сторонних каналов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Skia in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Medium) Уязвимость графической библиотеки Skia браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in ChromeDriver in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ChromeDriver браузера Google Chrome для Android связана с использованием недоверенного файла междоменной политики. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in WebAppInstalls in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонентаWebAppInstalls браузера Google Chrome связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, подменить пользовательский интерфейс с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Clipboard in Google Chrome prior to 146.0.7680.71 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость браузера Google Chrome связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения безопасности с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in PDF in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to bypass navigation restrictions via a crafted PDF file. (Chromium security severity: Low) Уязвимость браузера Google Chrome связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения навигации с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools браузера Google Chrome связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения безопасности с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools браузера Google Chrome связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения безопасности с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in PictureInPicture in Google Chrome prior to 146.0.7680.71 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость технологии Picture In Picture браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/i915: Grab intel_display from the encoder to avoid potential oopsies Grab the intel_display from 'encoder' rather than 'state' in the encoder hooks to avoid the massive footgun that is intel_sanitize_encoder(), which passes NULL as the 'state' argument to encoder .disable() and .post_disable(). TODO: figure out how to actually fix intel_sanitize_encoder()... [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: don't use btrfs_set_item_key_safe on RAID stripe-extents Don't use btrfs_set_item_key_safe() to modify the keys in the RAID stripe-tree, as this can lead to corruption of the tree, which is caught by the checks in btrfs_set_item_key_safe(): BTRFS info (device nvme1n1): leaf 49168384 gen 15 total ptrs 194 free space 8329 owner 12 BTRFS info (device nvme1n1): refs 2 lock_owner 1030 current 1030 [ snip ] item 105 key (354549760 230 20480) itemoff 14587 itemsize 16 stride 0 devid 5 physical 67502080 item 106 key (354631680 230 4096) itemoff 14571 itemsize 16 stride 0 devid 1 physical 88559616 item 107 key (354631680 230 32768) itemoff 14555 itemsize 16 stride 0 devid 1 physical 88555520 item 108 key (354717696 230 28672) itemoff 14539 itemsize 16 stride 0 devid 2 physical 67604480 [ snip ] BTRFS critical (device nvme1n1): slot 106 key (354631680 230 32768) new key (354635776 230 4096) ------------[ cut here ]------------ kernel BUG at fs/btrfs/ctree.c:2602! Oops: invalid opcode: 0000 [#1] PREEMPT SMP PTI CPU: 1 UID: 0 PID: 1055 Comm: fsstress Not tainted 6.13.0-rc1+ #1464 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.2-3-gd478f380-rebuilt.opensuse.org 04/01/2014 RIP: 0010:btrfs_set_item_key_safe+0xf7/0x270 Code: <snip> RSP: 0018:ffffc90001337ab0 EFLAGS: 00010287 RAX: 0000000000000000 RBX: ffff8881115fd000 RCX: 0000000000000000 RDX: 0000000000000001 RSI: 0000000000000001 RDI: 00000000ffffffff RBP: ffff888110ed6f50 R08: 00000000ffffefff R09: ffffffff8244c500 R10: 00000000ffffefff R11: 00000000ffffffff R12: ffff888100586000 R13: 00000000000000c9 R14: ffffc90001337b1f R15: ffff888110f23b58 FS: 00007f7d75c72740(0000) GS:ffff88813bd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fa811652c60 CR3: 0000000111398001 CR4: 0000000000370eb0 Call Trace: <TASK> ? __die_body.cold+0x14/0x1a ? die+0x2e/0x50 ? do_trap+0xca/0x110 ? do_error_trap+0x65/0x80 ? btrfs_set_item_key_safe+0xf7/0x270 ? exc_invalid_op+0x50/0x70 ? btrfs_set_item_key_safe+0xf7/0x270 ? asm_exc_invalid_op+0x1a/0x20 ? btrfs_set_item_key_safe+0xf7/0x270 btrfs_partially_delete_raid_extent+0xc4/0xe0 btrfs_delete_raid_extent+0x227/0x240 __btrfs_free_extent.isra.0+0x57f/0x9c0 ? exc_coproc_segment_overrun+0x40/0x40 __btrfs_run_delayed_refs+0x2fa/0xe80 btrfs_run_delayed_refs+0x81/0xe0 btrfs_commit_transaction+0x2dd/0xbe0 ? preempt_count_add+0x52/0xb0 btrfs_sync_file+0x375/0x4c0 do_fsync+0x39/0x70 __x64_sys_fsync+0x13/0x20 do_syscall_64+0x54/0x110 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f7d7550ef90 Code: <snip> RSP: 002b:00007ffd70237248 EFLAGS: 00000202 ORIG_RAX: 000000000000004a RAX: ffffffffffffffda RBX: 0000000000000004 RCX: 00007f7d7550ef90 RDX: 000000000000013a RSI: 000000000040eb28 RDI: 0000000000000004 RBP: 000000000000001b R08: 0000000000000078 R09: 00007ffd7023725c R10: 00007f7d75400390 R11: 0000000000000202 R12: 028f5c28f5c28f5c R13: 8f5c28f5c28f5c29 R14: 000000000040b520 R15: 00007f7d75c726c8 </TASK> While the root cause of the tree order corruption isn't clear, using btrfs_duplicate_item() to copy the item and then adjusting both the key and the per-device physical addresses is a safe way to counter this problem. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dsa: sja1105: fix kasan out-of-bounds warning in sja1105_table_delete_entry() There are actually 2 problems: - deleting the last element doesn't require the memmove of elements [i + 1, end) over it. Actually, element i+1 is out of bounds. - The memmove itself should move size - i - 1 elements, because the last element is out of bounds. The out-of-bounds element still remains out of bounds after being accessed, so the problem is only that we touch it, not that it becomes in active use. But I suppose it can lead to issues if the out-of-bounds element is part of an unmapped page. Уязвимость компонента drivers/net/dsa/sja1105/sja1105_static_config.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix out-of-bound read in ext4_xattr_inode_dec_ref_all() There's issue as follows: BUG: KASAN: use-after-free in ext4_xattr_inode_dec_ref_all+0x6ff/0x790 Read of size 4 at addr ffff88807b003000 by task syz-executor.0/15172 CPU: 3 PID: 15172 Comm: syz-executor.0 Call Trace: __dump_stack lib/dump_stack.c:82 [inline] dump_stack+0xbe/0xfd lib/dump_stack.c:123 print_address_description.constprop.0+0x1e/0x280 mm/kasan/report.c:400 __kasan_report.cold+0x6c/0x84 mm/kasan/report.c:560 kasan_report+0x3a/0x50 mm/kasan/report.c:585 ext4_xattr_inode_dec_ref_all+0x6ff/0x790 fs/ext4/xattr.c:1137 ext4_xattr_delete_inode+0x4c7/0xda0 fs/ext4/xattr.c:2896 ext4_evict_inode+0xb3b/0x1670 fs/ext4/inode.c:323 evict+0x39f/0x880 fs/inode.c:622 iput_final fs/inode.c:1746 [inline] iput fs/inode.c:1772 [inline] iput+0x525/0x6c0 fs/inode.c:1758 ext4_orphan_cleanup fs/ext4/super.c:3298 [inline] ext4_fill_super+0x8c57/0xba40 fs/ext4/super.c:5300 mount_bdev+0x355/0x410 fs/super.c:1446 legacy_get_tree+0xfe/0x220 fs/fs_context.c:611 vfs_get_tree+0x8d/0x2f0 fs/super.c:1576 do_new_mount fs/namespace.c:2983 [inline] path_mount+0x119a/0x1ad0 fs/namespace.c:3316 do_mount+0xfc/0x110 fs/namespace.c:3329 __do_sys_mount fs/namespace.c:3540 [inline] __se_sys_mount+0x219/0x2e0 fs/namespace.c:3514 do_syscall_64+0x33/0x40 arch/x86/entry/common.c:46 entry_SYSCALL_64_after_hwframe+0x67/0xd1 Memory state around the buggy address: ffff88807b002f00: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ffff88807b002f80: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 >ffff88807b003000: ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ^ ffff88807b003080: ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ffff88807b003100: ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff ff Above issue happens as ext4_xattr_delete_inode() isn't check xattr is valid if xattr is in inode. To solve above issue call xattr_check_inode() check if xattr if valid in inode. In fact, we can directly verify in ext4_iget_extra_inode(), so that there is no divergent verification. Уязвимость компонента ext4/inode.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: Clear affinity hint before calling ath11k_pcic_free_irq() in error path If a shared IRQ is used by the driver due to platform limitation, then the IRQ affinity hint is set right after the allocation of IRQ vectors in ath11k_pci_alloc_msi(). This does no harm unless one of the functions requesting the IRQ fails and attempt to free the IRQ. This results in the below warning: WARNING: CPU: 7 PID: 349 at kernel/irq/manage.c:1929 free_irq+0x278/0x29c Call trace: free_irq+0x278/0x29c ath11k_pcic_free_irq+0x70/0x10c [ath11k] ath11k_pci_probe+0x800/0x820 [ath11k_pci] local_pci_probe+0x40/0xbc The warning is due to not clearing the affinity hint before freeing the IRQs. So to fix this issue, clear the IRQ affinity hint before calling ath11k_pcic_free_irq() in the error path. The affinity will be cleared once again further down the error path due to code organization, but that does no harm. Tested-on: QCA6390 hw2.0 PCI WLAN.HST.1.0.1-05266-QCAHSTSWPLZ_V2_TO_X86-1 [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: um: work around sched_yield not yielding in time-travel mode sched_yield by a userspace may not actually cause scheduling in time-travel mode as no time has passed. In the case seen it appears to be a badly implemented userspace spinlock in ASAN. Unfortunately, with time-travel it causes an extreme slowdown or even deadlock depending on the kernel configuration (CONFIG_UML_MAX_USERSPACE_ITERATIONS). Work around it by accounting time to the process whenever it executes a sched_yield syscall. [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rxrpc: Fix irq-disabled in local_bh_enable() The rxrpc_assess_MTU_size() function calls down into the IP layer to find out the MTU size for a route. When accepting an incoming call, this is called from rxrpc_new_incoming_call() which holds interrupts disabled across the code that calls down to it. Unfortunately, the IP layer uses local_bh_enable() which, config dependent, throws a warning if IRQs are enabled: WARNING: CPU: 1 PID: 5544 at kernel/softirq.c:387 __local_bh_enable_ip+0x43/0xd0 ... RIP: 0010:__local_bh_enable_ip+0x43/0xd0 ... Call Trace: <TASK> rt_cache_route+0x7e/0xa0 rt_set_nexthop.isra.0+0x3b3/0x3f0 __mkroute_output+0x43a/0x460 ip_route_output_key_hash+0xf7/0x140 ip_route_output_flow+0x1b/0x90 rxrpc_assess_MTU_size.isra.0+0x2a0/0x590 rxrpc_new_incoming_peer+0x46/0x120 rxrpc_alloc_incoming_call+0x1b1/0x400 rxrpc_new_incoming_call+0x1da/0x5e0 rxrpc_input_packet+0x827/0x900 rxrpc_io_thread+0x403/0xb60 kthread+0x2f7/0x310 ret_from_fork+0x2a/0x230 ret_from_fork_asm+0x1a/0x30 ... hardirqs last enabled at (23): _raw_spin_unlock_irq+0x24/0x50 hardirqs last disabled at (24): _raw_read_lock_irq+0x17/0x70 softirqs last enabled at (0): copy_process+0xc61/0x2730 softirqs last disabled at (25): rt_add_uncached_list+0x3c/0x90 Fix this by moving the call to rxrpc_assess_MTU_size() out of rxrpc_init_peer() and further up the stack where it can be done without interrupts disabled. It shouldn't be a problem for rxrpc_new_incoming_call() to do it after the locks are dropped as pmtud is going to be performed by the I/O thread - and we're in the I/O thread at this point. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/kbuf: fix signedness in this_len calculation When importing and using buffers, buf->len is considered unsigned. However, buf->len is converted to signed int when committing. This can lead to unexpected behavior if the buffer is large enough to be interpreted as a negative value. Make min_t calculation unsigned. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hsr: hold rcu and dev lock for hsr_get_port_ndev hsr_get_port_ndev calls hsr_for_each_port, which need to hold rcu lock. On the other hand, before return the port device, we need to hold the device reference to avoid UaF in the caller function. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: Fix possible UAFs This attemps to fix possible UAFs caused by struct mgmt_pending being freed while still being processed like in the following trace, in order to fix mgmt_pending_valid is introduce and use to check if the mgmt_pending hasn't been removed from the pending list, on the complete callbacks it is used to check and in addtion remove the cmd from the list while holding mgmt_pending_lock to avoid TOCTOU problems since if the cmd is left on the list it can still be accessed and freed. BUG: KASAN: slab-use-after-free in mgmt_add_adv_patterns_monitor_sync+0x35/0x50 net/bluetooth/mgmt.c:5223 Read of size 8 at addr ffff8880709d4dc0 by task kworker/u11:0/55 CPU: 0 UID: 0 PID: 55 Comm: kworker/u11:0 Not tainted 6.16.4 #2 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.10.2-1ubuntu1 04/01/2014 Workqueue: hci0 hci_cmd_sync_work Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x240 mm/kasan/report.c:482 kasan_report+0x118/0x150 mm/kasan/report.c:595 mgmt_add_adv_patterns_monitor_sync+0x35/0x50 net/bluetooth/mgmt.c:5223 hci_cmd_sync_work+0x210/0x3a0 net/bluetooth/hci_sync.c:332 process_one_work kernel/workqueue.c:3238 [inline] process_scheduled_works+0xade/0x17b0 kernel/workqueue.c:3321 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3402 kthread+0x711/0x8a0 kernel/kthread.c:464 ret_from_fork+0x3fc/0x770 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 home/kwqcheii/source/fuzzing/kernel/kasan/linux-6.16.4/arch/x86/entry/entry_64.S:245 </TASK> Allocated by task 12210: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0x93/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __kmalloc_cache_noprof+0x230/0x3d0 mm/slub.c:4364 kmalloc_noprof include/linux/slab.h:905 [inline] kzalloc_noprof include/linux/slab.h:1039 [inline] mgmt_pending_new+0x65/0x1e0 net/bluetooth/mgmt_util.c:269 mgmt_pending_add+0x35/0x140 net/bluetooth/mgmt_util.c:296 __add_adv_patterns_monitor+0x130/0x200 net/bluetooth/mgmt.c:5247 add_adv_patterns_monitor+0x214/0x360 net/bluetooth/mgmt.c:5364 hci_mgmt_cmd+0x9c9/0xef0 net/bluetooth/hci_sock.c:1719 hci_sock_sendmsg+0x6ca/0xef0 net/bluetooth/hci_sock.c:1839 sock_sendmsg_nosec net/socket.c:714 [inline] __sock_sendmsg+0x219/0x270 net/socket.c:729 sock_write_iter+0x258/0x330 net/socket.c:1133 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x5c9/0xb30 fs/read_write.c:686 ksys_write+0x145/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 12221: kasan_save_stack mm/kasan/common.c:47 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:68 kasan_save_free_info+0x46/0x50 mm/kasan/generic.c:576 poison_slab_object mm/kasan/common.c:247 [inline] __kasan_slab_free+0x62/0x70 mm/kasan/common.c:264 kasan_slab_free include/linux/kasan.h:233 [inline] slab_free_hook mm/slub.c:2381 [inline] slab_free mm/slub.c:4648 [inline] kfree+0x18e/0x440 mm/slub.c:4847 mgmt_pending_free net/bluetooth/mgmt_util.c:311 [inline] mgmt_pending_foreach+0x30d/0x380 net/bluetooth/mgmt_util.c:257 __mgmt_power_off+0x169/0x350 net/bluetooth/mgmt.c:9444 hci_dev_close_sync+0x754/0x1330 net/bluetooth/hci_sync.c:5290 hci_dev_do_close net/bluetooth/hci_core.c:501 [inline] hci_dev_close+0x108/0x200 net/bluetooth/hci_core.c:526 sock_do_ioctl+0xd9/0x300 net/socket.c:1192 sock_ioctl+0x576/0x790 net/socket.c:1313 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl+0xf9/0x170 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xf ---truncated--- [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid overflow while left shift operation Should cast type of folio->index from pgoff_t to loff_t to avoid overflow while left shift operation. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: hda: Fix missing pointer check in hda_component_manager_init function The __component_match_add function may assign the 'matchptr' pointer the value ERR_PTR(-ENOMEM), which will subsequently be dereferenced. The call stack leading to the error looks like this: hda_component_manager_init |-> component_match_add |-> component_match_add_release |-> __component_match_add ( ... ,**matchptr, ... ) |-> *matchptr = ERR_PTR(-ENOMEM); // assign |-> component_master_add_with_match( ... match) |-> component_match_realloc(match, match->num); // dereference Add IS_ERR() check to prevent the crash. Found by Linux Verification Center (linuxtesting.org) with SVACE. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/msm: Fix pgtable prealloc error path The following splat was reported: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000010 Mem abort info: ESR = 0x0000000096000004 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x04: level 0 translation fault Data abort info: ISV = 0, ISS = 0x00000004, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 user pgtable: 4k pages, 48-bit VAs, pgdp=00000008d0fd8000 [0000000000000010] pgd=0000000000000000, p4d=0000000000000000 Internal error: Oops: 0000000096000004 [#1] SMP CPU: 5 UID: 1000 PID: 149076 Comm: Xwayland Tainted: G S 6.16.0-rc2-00809-g0b6974bb4134-dirty #367 PREEMPT Tainted: [S]=CPU_OUT_OF_SPEC Hardware name: Qualcomm Technologies, Inc. SM8650 HDK (DT) pstate: 83400005 (Nzcv daif +PAN -UAO +TCO +DIT -SSBS BTYPE=--) pc : build_detached_freelist+0x28/0x224 lr : kmem_cache_free_bulk.part.0+0x38/0x244 sp : ffff000a508c7a20 x29: ffff000a508c7a20 x28: ffff000a508c7d50 x27: ffffc4e49d16f350 x26: 0000000000000058 x25: 00000000fffffffc x24: 0000000000000000 x23: ffff00098c4e1450 x22: 00000000fffffffc x21: 0000000000000000 x20: ffff000a508c7af8 x19: 0000000000000002 x18: 00000000000003e8 x17: ffff000809523850 x16: ffff000809523820 x15: 0000000000401640 x14: ffff000809371140 x13: 0000000000000130 x12: ffff0008b5711e30 x11: 00000000001058fa x10: 0000000000000a80 x9 : ffff000a508c7940 x8 : ffff000809371ba0 x7 : 781fffe033087fff x6 : 0000000000000000 x5 : ffff0008003cd000 x4 : 781fffe033083fff x3 : ffff000a508c7af8 x2 : fffffdffc0000000 x1 : 0001000000000000 x0 : ffff0008001a6a00 Call trace: build_detached_freelist+0x28/0x224 (P) kmem_cache_free_bulk.part.0+0x38/0x244 kmem_cache_free_bulk+0x10/0x1c msm_iommu_pagetable_prealloc_cleanup+0x3c/0xd0 msm_vma_job_free+0x30/0x240 msm_ioctl_vm_bind+0x1d0/0x9a0 drm_ioctl_kernel+0x84/0x104 drm_ioctl+0x358/0x4d4 __arm64_sys_ioctl+0x8c/0xe0 invoke_syscall+0x44/0x100 el0_svc_common.constprop.0+0x3c/0xe0 do_el0_svc+0x18/0x20 el0_svc+0x30/0x100 el0t_64_sync_handler+0x104/0x130 el0t_64_sync+0x170/0x174 Code: aa0203f5 b26287e2 f2dfbfe2 aa0303f4 (f8737ab6) ---[ end trace 0000000000000000 ]--- Since msm_vma_job_free() is called directly from the ioctl, this looks like an error path cleanup issue. Which I think results from prealloc_cleanup() called without a preceding successful prealloc_allocate() call. So handle that case better. Patchwork: https://patchwork.freedesktop.org/patch/678677/ [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: devlink: rate: Unset parent pointer in devl_rate_nodes_destroy The function devl_rate_nodes_destroy is documented to "Unset parent for all rate objects". However, it was only calling the driver-specific `rate_leaf_parent_set` or `rate_node_parent_set` ops and decrementing the parent's refcount, without actually setting the `devlink_rate->parent` pointer to NULL. This leaves a dangling pointer in the `devlink_rate` struct, which cause refcount error in netdevsim[1] and mlx5[2]. In addition, this is inconsistent with the behavior of `devlink_nl_rate_parent_node_set`, where the parent pointer is correctly cleared. This patch fixes the issue by explicitly setting `devlink_rate->parent` to NULL after notifying the driver, thus fulfilling the function's documented behavior for all rate objects. [1] repro steps: echo 1 > /sys/bus/netdevsim/new_device devlink dev eswitch set netdevsim/netdevsim1 mode switchdev echo 1 > /sys/bus/netdevsim/devices/netdevsim1/sriov_numvfs devlink port function rate add netdevsim/netdevsim1/test_node devlink port function rate set netdevsim/netdevsim1/128 parent test_node echo 1 > /sys/bus/netdevsim/del_device dmesg: refcount_t: decrement hit 0; leaking memory. WARNING: CPU: 8 PID: 1530 at lib/refcount.c:31 refcount_warn_saturate+0x42/0xe0 CPU: 8 UID: 0 PID: 1530 Comm: bash Not tainted 6.18.0-rc4+ #1 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:refcount_warn_saturate+0x42/0xe0 Call Trace: <TASK> devl_rate_leaf_destroy+0x8d/0x90 __nsim_dev_port_del+0x6c/0x70 [netdevsim] nsim_dev_reload_destroy+0x11c/0x140 [netdevsim] nsim_drv_remove+0x2b/0xb0 [netdevsim] device_release_driver_internal+0x194/0x1f0 bus_remove_device+0xc6/0x130 device_del+0x159/0x3c0 device_unregister+0x1a/0x60 del_device_store+0x111/0x170 [netdevsim] kernfs_fop_write_iter+0x12e/0x1e0 vfs_write+0x215/0x3d0 ksys_write+0x5f/0xd0 do_syscall_64+0x55/0x10f0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 [2] devlink dev eswitch set pci/0000:08:00.0 mode switchdev devlink port add pci/0000:08:00.0 flavour pcisf pfnum 0 sfnum 1000 devlink port function rate add pci/0000:08:00.0/group1 devlink port function rate set pci/0000:08:00.0/32768 parent group1 modprobe -r mlx5_ib mlx5_fwctl mlx5_core dmesg: refcount_t: decrement hit 0; leaking memory. WARNING: CPU: 7 PID: 16151 at lib/refcount.c:31 refcount_warn_saturate+0x42/0xe0 CPU: 7 UID: 0 PID: 16151 Comm: bash Not tainted 6.17.0-rc7_for_upstream_min_debug_2025_10_02_12_44 #1 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 RIP: 0010:refcount_warn_saturate+0x42/0xe0 Call Trace: <TASK> devl_rate_leaf_destroy+0x8d/0x90 mlx5_esw_offloads_devlink_port_unregister+0x33/0x60 [mlx5_core] mlx5_esw_offloads_unload_rep+0x3f/0x50 [mlx5_core] mlx5_eswitch_unload_sf_vport+0x40/0x90 [mlx5_core] mlx5_sf_esw_event+0xc4/0x120 [mlx5_core] notifier_call_chain+0x33/0xa0 blocking_notifier_call_chain+0x3b/0x50 mlx5_eswitch_disable_locked+0x50/0x110 [mlx5_core] mlx5_eswitch_disable+0x63/0x90 [mlx5_core] mlx5_unload+0x1d/0x170 [mlx5_core] mlx5_uninit_one+0xa2/0x130 [mlx5_core] remove_one+0x78/0xd0 [mlx5_core] pci_device_remove+0x39/0xa0 device_release_driver_internal+0x194/0x1f0 unbind_store+0x99/0xa0 kernfs_fop_write_iter+0x12e/0x1e0 vfs_write+0x215/0x3d0 ksys_write+0x5f/0xd0 do_syscall_64+0x53/0x1f0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость компонента net/devlink/rate.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iomap: allocate s_dio_done_wq for async reads as well Since commit 222f2c7c6d14 ("iomap: always run error completions in user context"), read error completions are deferred to s_dio_done_wq. This means the workqueue also needs to be allocated for async reads. Уязвимость функции __iomap_dio_rw() модуля fs/iomap/direct-io.c файловой системы ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_conncount: fix leaked ct in error paths There are some situations where ct might be leaked as error paths are skipping the refcounted check and return immediately. In order to solve it make sure that the check is always called. Уязвимость компонента net/netfilter/nf_conncount.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: virtio_net: Fix misalignment bug in struct virtnet_info Use the new TRAILING_OVERLAP() helper to fix a misalignment bug along with the following warning: drivers/net/virtio_net.c:429:46: warning: structure containing a flexible array member is not at the end of another structure [-Wflex-array-member-not-at-end] This helper creates a union between a flexible-array member (FAM) and a set of members that would otherwise follow it (in this case `u8 rss_hash_key_data[VIRTIO_NET_RSS_MAX_KEY_SIZE];`). This overlays the trailing members (rss_hash_key_data) onto the FAM (hash_key_data) while keeping the FAM and the start of MEMBERS aligned. The static_assert() ensures this alignment remains. Notice that due to tail padding in flexible `struct virtio_net_rss_config_trailer`, `rss_trailer.hash_key_data` (at offset 83 in struct virtnet_info) and `rss_hash_key_data` (at offset 84 in struct virtnet_info) are misaligned by one byte. See below: struct virtio_net_rss_config_trailer { __le16 max_tx_vq; /* 0 2 */ __u8 hash_key_length; /* 2 1 */ __u8 hash_key_data[]; /* 3 0 */ /* size: 4, cachelines: 1, members: 3 */ /* padding: 1 */ /* last cacheline: 4 bytes */ }; struct virtnet_info { ... struct virtio_net_rss_config_trailer rss_trailer; /* 80 4 */ /* XXX last struct has 1 byte of padding */ u8 rss_hash_key_data[40]; /* 84 40 */ ... /* size: 832, cachelines: 13, members: 48 */ /* sum members: 801, holes: 8, sum holes: 31 */ /* paddings: 2, sum paddings: 5 */ }; After changes, those members are correctly aligned at offset 795: struct virtnet_info { ... union { struct virtio_net_rss_config_trailer rss_trailer; /* 792 4 */ struct { unsigned char __offset_to_hash_key_data[3]; /* 792 3 */ u8 rss_hash_key_data[40]; /* 795 40 */ }; /* 792 43 */ }; /* 792 44 */ ... /* size: 840, cachelines: 14, members: 47 */ /* sum members: 801, holes: 8, sum holes: 35 */ /* padding: 4 */ /* paddings: 1, sum paddings: 4 */ /* last cacheline: 8 bytes */ }; As a result, the RSS key passed to the device is shifted by 1 byte: the last byte is cut off, and instead a (possibly uninitialized) byte is added at the beginning. As a last note `struct virtio_net_rss_config_hdr *rss_hdr;` is also moved to the end, since it seems those three members should stick around together. :) [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: Fix ECMP sibling count mismatch when clearing RTF_ADDRCONF syzbot reported a kernel BUG in fib6_add_rt2node() when adding an IPv6 route. [0] Commit f72514b3c569 ("ipv6: clear RA flags when adding a static route") introduced logic to clear RTF_ADDRCONF from existing routes when a static route with the same nexthop is added. However, this causes a problem when the existing route has a gateway. When RTF_ADDRCONF is cleared from a route that has a gateway, that route becomes eligible for ECMP, i.e. rt6_qualify_for_ecmp() returns true. The issue is that this route was never added to the fib6_siblings list. This leads to a mismatch between the following counts: - The sibling count computed by iterating fib6_next chain, which includes the newly ECMP-eligible route - The actual siblings in fib6_siblings list, which does not include that route When a subsequent ECMP route is added, fib6_add_rt2node() hits BUG_ON(sibling->fib6_nsiblings != rt->fib6_nsiblings) because the counts don't match. Fix this by only clearing RTF_ADDRCONF when the existing route does not have a gateway. Routes without a gateway cannot qualify for ECMP anyway (rt6_qualify_for_ecmp() requires fib_nh_gw_family), so clearing RTF_ADDRCONF on them is safe and matches the original intent of the commit. [0]: kernel BUG at net/ipv6/ip6_fib.c:1217! Oops: invalid opcode: 0000 [#1] SMP KASAN PTI CPU: 0 UID: 0 PID: 6010 Comm: syz.0.17 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/25/2025 RIP: 0010:fib6_add_rt2node+0x3433/0x3470 net/ipv6/ip6_fib.c:1217 [...] Call Trace: <TASK> fib6_add+0x8da/0x18a0 net/ipv6/ip6_fib.c:1532 __ip6_ins_rt net/ipv6/route.c:1351 [inline] ip6_route_add+0xde/0x1b0 net/ipv6/route.c:3946 ipv6_route_ioctl+0x35c/0x480 net/ipv6/route.c:4571 inet6_ioctl+0x219/0x280 net/ipv6/af_inet6.c:577 sock_do_ioctl+0xdc/0x300 net/socket.c:1245 sock_ioctl+0x576/0x790 net/socket.c:1366 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:583 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: tegra210-quad: Protect curr_xfer in tegra_qspi_combined_seq_xfer The curr_xfer field is read by the IRQ handler without holding the lock to check if a transfer is in progress. When clearing curr_xfer in the combined sequence transfer loop, protect it with the spinlock to prevent a race with the interrupt handler. Protect the curr_xfer clearing at the exit path of tegra_qspi_combined_seq_xfer() with the spinlock to prevent a race with the interrupt handler that reads this field. Without this protection, the IRQ handler could read a partially updated curr_xfer value, leading to NULL pointer dereference or use-after-free. Уязвимость компонента drivers/spi/spi-tegra210-quad.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dpaa2-switch: Fix interrupt storm after receiving bad if_id in IRQ handler Commit 31a7a0bbeb00 ("dpaa2-switch: add bounds check for if_id in IRQ handler") introduces a range check for if_id to avoid an out-of-bounds access. If an out-of-bounds if_id is detected, the interrupt status is not cleared. This may result in an interrupt storm. Clear the interrupt status after detecting an out-of-bounds if_id to avoid the problem. Found by an experimental AI code review agent at Google. Уязвимость функции dpaa2_switch_irq0_handler_thread() модуля drivers/net/ethernet/freescale/dpaa2/dpaa2-switch.c драйвера сетевых адаптеров ethernet freescale ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 inetutils telnetd in GNU inetutils through 2.7 allows privilege escalation that can be exploited by abusing systemd service credentials support added to the login(1) implementation of util-linux in release 2.40. This is related to client control over the CREDENTIALS_DIRECTORY environment variable, and requires an unprivileged local user to create a login.noauth file. Уязвимость сервера telnetd пакета сетевых программ inetutils связана с включением функций из недостоверной контролируемой области. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии до уровня root [NistCWE(cwe='CWE-829')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) inetutils: - Остановить и отключить сервис telnet; - Отказаться от использования ПО Telnet в пользу ПО OpenSSH; - Не экспонировать порт 23 в интернет; - Ограничить доступ к TCP/23 только доверенными подсетями; - Включить межсетевой экран ufw; - Включить защиту файловой системы ("установить МКЦ на ФС"); - Включить режим замкнутой программной среды; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: algif_aead - Revert to operating out-of-place This mostly reverts commit 72548b093ee3 except for the copying of the associated data. There is no benefit in operating in-place in algif_aead since the source and destination come from different mappings. Get rid of all the complexity added for in-place operation and just copy the AD directly. Уязвимость компонента algif_aead ядра операционной системы Linux связана с неправильным перемещением ресурса между областями. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-669'), NistCWE(cwe='CWE-1288')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) ###### Нейтрализация угрозы эксплуатации уязвимости в ядре системы Для устранения угрозы эксплуатации уязвимости CVE-2026-31431 необходимо запретить загрузку модуля algif_aead.ko в ядро системы. Чтобы проверить, загружен ли модуль algif_aead.ko в ядро системы, выполнить одну из команд: `lsmod | grep algif_aead` или `kmod list | grep algif_aead` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то выполнить действия, описанные ниже. 1. Отключить и выгрузить модуль: `sudo rmmod algif_aead` 2. Запретить загрузку модуля algif_aead.ko: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-algif-aead.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install algif_aead /bin/true` - сохранить файл; 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` 4. Выполнить перезагрузку. Если требуется разрешить загрузку модуля algif_aead.ko в ядро системы, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. ###### Нейтрализация угрозы эксплуатации уязвимости в контейнерах Чтобы устранить угрозу эксплуатации уязвимости CVE-2026-31431 необходимо запретить использование системного вызова socket(), если его первым аргументом является AF_ALG (числовой идентификатор 38). Для этого необходимо создать Seccomp-профиль — файл в формате JSON следующего содержания: ```JSON { "defaultAction": "SCMP_ACT_ALLOW", "syscalls": [ { "names": ["socket"], "action": "SCMP_ACT_ERRNO", "args": [{"index": 0, "value": 38, "op": "SCMP_CMP_EQ"}] } ] } ``` Созданный Seccomp-профиль необходимо подключать при запуске контейнера с помощью параметра: ``` --security-opt seccomp=/path/to/seccomp/profile.json ``` Пример: ``` docker run --security-opt seccomp=/etc/docker/seccomp/my-secure-profile.json astra-image ``` или ``` podman run --security-opt seccomp=/etc/docker/seccomp/my-secure-profile.json astra-image ``` **Примечание**. Podman по умолчанию использует системный Seccomp-профиль, который хранится в файле /usr/share/containers/seccomp.json. Если требуется устранить угрозу эксплуатации уязвимости для всех контейнеров, то в этом файле необходимо установить запрет на использование системного вызова socket() с аргументом AF_ALG. ###### Дополнительные настройки В целях минимизации возможности реализации потенциальных угроз безопасности через эксплуатацию уязвимостей, рекомендуется применять следующие механизмы и средства подсистемы безопасности PARSEC: - мандатный контроль целостности (МКЦ), включая режим МКЦ на файловой системе; - замкнутая программная среда; - регламентный контроль целостности Another File Integrity Checker; - для непривилегированных пользователей активировать блокировку интерпретаторов, в том числе, если возможно — блокировку интерпретатора bash. Порядок использования перечисленных выше механизмов и средств подсистемы безопасности PARSEC представлен в документе «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1». При включенном МКЦ для повышения эффективности защиты рекомендуется отменить присвоение атрибута silev для всех исполняемых файлов. По умолчанию, в Astra Linux данный атрибут присвоен файлам /usr/bin/passwd и /usr/bin/sumac. **Примечание**. Атрибут silev применяется в Astra Linux, начиная с обновления X.7.2. **ВНИМАНИЕ!** Если для файла /usr/bin/passwd отменить присвоение атрибута silev, то непривилегированному пользователю не будет доступна смена пароля. Только администратор системы с высоким уровнем целостности сможет менять пароли пользователям. Если для файла /usr/bin/sumac отменить присвоение атрибута silev, то будет запрещено запускать процессы с другой классификационной меткой с помощью инструмента sumac. **ВНИМАНИЕ!** После установки обновления, в котором устранена уязвимость CVE-2026-31431, необходимо присвоить атрибут silev файлам /usr/bin/passwd и /usr/bin/sumac. Astra Linux 1.8 inetutils telnet in GNU inetutils through 2.7 allows servers to read arbitrary environment variables from clients via NEW_ENVIRON SEND USERVAR. Уязвимость сервера telnetd пакета сетевых программ inetutils связана с отсутствием проверки корректности принимаемых запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-669')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N', score=3.4) inetutils: - Остановить и отключить сервис telnet; - Отказаться от использования ПО Telnet в пользу ПО OpenSSH; - Не экспонировать порт 23 в интернет; - Ограничить доступ к TCP/23 только доверенными подсетями; - Включить межсетевой экран ufw; - Включить защиту файловой системы ("установить МКЦ на ФС"); - Включить режим замкнутой программной среды; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 packagekit PackageKit is a a D-Bus abstraction layer that allows the user to manage packages in a secure way using a cross-distro, cross-architecture API. PackageKit between and including versions 1.0.2 and 1.3.4 is vulnerable to a time-of-check time-of-use (TOCTOU) race condition on transaction flags that allows unprivileged users to install packages as root and thus leads to a local privilege escalation. This is patched in version 1.3.5. A local unprivileged user can install arbitrary RPM packages as root, including executing RPM scriptlets, without authentication. The vulnerability is a TOCTOU race condition on `transaction->cached_transaction_flags` combined with a silent state-machine guard that discards illegal backward transitions while leaving corrupted flags in place. Three bugs exist in `src/pk-transaction.c`: 1. Unconditional flag overwrite (line 4036): `InstallFiles()` writes caller-supplied flags to `transaction->cached_transaction_flags` without checking whether the transaction has already been authorized/started. A second call blindly overwrites the flags even while the transaction is RUNNING. 2. Silent state-transition rejection (lines 873–882): `pk_transaction_set_state()` silently discards backward state transitions (e.g. `RUNNING` → `WAITING_FOR_AUTH`) but the flag overwrite at step 1 already happened. The transaction continues running with corrupted flags. 3. Late flag read at execution time (lines 2273–2277): The scheduler's idle callback reads cached_transaction_flags at dispatch time, not at authorization time. If flags were overwritten between authorization and execution, the backend sees the attacker's flags. Уязвимость компонента src/pk-transaction.c пакетного менеджера PackageKit связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367'), NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимости запретите запуск службы packagekit. Для этого необходимо выполнить следующие команды: ```bash sudo systemctl stop packagekit.service sudo systemctl mask packagekit.service``` Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm: fix deferred split queue races during migration migrate_folio_move() records the deferred split queue state from src and replays it on dst. Replaying it after remove_migration_ptes(src, dst, 0) makes dst visible before it is requeued, so a concurrent rmap-removal path can mark dst partially mapped and trip the WARN in deferred_split_folio(). Move the requeue before remove_migration_ptes() so dst is back on the deferred split queue before it becomes visible again. Because migration still holds dst locked at that point, teach deferred_split_scan() to requeue a folio when folio_trylock() fails. Otherwise a fully mapped underused folio can be dequeued by the shrinker and silently lost from split_queue. [ziy@nvidia.com: move the comment] [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: caiaq: fix usb_dev refcount leak on probe failure create_card() takes a reference on the USB device with usb_get_dev() and stores the matching usb_put_dev() in card_free(), which is installed as the snd_card's ->private_free destructor. However, ->private_free is only assigned near the end of init_card(), after several failure points (usb_set_interface(), EP type checks, usb_submit_urb(), the EP1_CMD_GET_DEVICE_INFO exchange, and its timeout). When any of those fail, init_card() returns an error to snd_probe(), which calls snd_card_free(card). Because ->private_free is still NULL, card_free() never runs, the usb_get_dev() reference is not dropped, and the struct usb_device leaks along with its descriptor allocations and device_private. syzbot reproduces this with a malformed UAC3 device whose only valid altsetting is 0; init_card()'s usb_set_interface(usb_dev, 0, 1) call fails with -EIO and triggers the leak. Move the ->private_free assignment into create_card(), immediately after usb_get_dev(), so that every error path reaching snd_card_free() balances the reference. card_free()'s callees (snd_usb_caiaq_input_free, free_urbs, kfree) already tolerate the partially-initialized state because the chip private area is zero-initialized by snd_card_new(). [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rxrpc: Fix rxkad crypto unalignment handling Fix handling of a packet with a misaligned crypto length. Also handle non-ENOMEM errors from decryption by aborting. Further, remove the WARN_ON_ONCE() so that it can't be remotely triggered (a trace line can still be emitted). [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: ulpi: fix memory leak on ulpi_register() error paths Commit 01af542392b5 ("usb: ulpi: fix double free in ulpi_register_interface() error path") removed kfree(ulpi) from ulpi_register_interface() to fix a double-free when device_register() fails. But when ulpi_of_register() or ulpi_read_id() fail before device_register() is called, the ulpi allocation is leaked. Add kfree(ulpi) on both error paths to properly clean up the allocation. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Fix potential ADE in loongson_gpu_fixup_dma_hang() The switch case in loongson_gpu_fixup_dma_hang() may not DC2 or DC3, and readl(crtc_reg) will access with random address, because the "device" is from "base+PCI_DEVICE_ID", "base" is from "pdev->devfn+1". This is wrong when my platform inserts a discrete GPU: lspci -tv -[0000:00]-+-00.0 Loongson Technology LLC Hyper Transport Bridge Controller ... +-06.0 Loongson Technology LLC LG100 GPU +-06.2 Loongson Technology LLC Device 7a37 ... Add a default switch case to fix the panic as below: Kernel ade access[#1]: CPU: 0 PID: 1 Comm: swapper/0 Not tainted 6.6.136-loong64-desktop-hwe+ #4 pc 90000000017e5534 ra 90000000017e54c0 tp 90000001002f8000 sp 90000001002fb6c0 a0 80000efe00003100 a1 0000000000003100 a2 0000000000000000 a3 0000000000000002 a4 90000001002fb6b4 a5 900000087cdb58fd a6 90000000027af000 a7 0000000000000001 t0 00000000000085b9 t1 000000000000ffff t2 0000000000000000 t3 0000000000000000 t4 fffffffffffffffd t5 00000000fffb6d9c t6 0000000000083b00 t7 00000000000070c0 t8 900000087cdb4d94 u0 900000087cdb58fd s9 90000001002fb826 s0 90000000031c12c8 s1 7fffffffffffff00 s2 90000000031c12d0 s3 0000000000002710 s4 0000000000000000 s5 0000000000000000 s6 9000000100053000 s7 7fffffffffffff00 s8 90000000030d4000 ra: 90000000017e54c0 loongson_gpu_fixup_dma_hang+0x40/0x210 ERA: 90000000017e5534 loongson_gpu_fixup_dma_hang+0xb4/0x210 CRMD: 000000b0 (PLV0 -IE -DA +PG DACF=CC DACM=CC -WE) PRMD: 00000004 (PPLV0 +PIE -PWE) EUEN: 00000000 (-FPE -SXE -ASXE -BTE) ECFG: 00071c1d (LIE=0,2-4,10-12 VS=7) ESTAT: 00480000 [ADEM] (IS= ECode=8 EsubCode=1) BADV: 7fffffffffffff00 PRID: 0014d000 (Loongson-64bit, Loongson-3A6000-HV) Modules linked in: Process swapper/0 (pid: 1, threadinfo=(____ptrval____), task=(____ptrval____)) Stack : 0000000000000006 90000001002fb778 90000001002fb704 0000000000000007 0000000016a65700 90000000017e5690 000000000000ffff ffffffffffffffff 900000000209f7c0 9000000100053000 900000000209f7a8 9000000000eebc08 0000000000000000 0000000000000000 0000000000000006 90000001002fb778 90000001000530b8 90000000027af000 0000000000000000 9000000100054000 9000000100053000 9000000000ebb70c 9000000100004c00 9000000004000001 90000001002fb7e4 bae765461f31cb12 0000000000000000 0000000000000000 0000000000000006 90000000027af000 0000000000000030 90000000027af000 900000087cd6f800 9000000100053000 0000000000000000 9000000000ebc560 7a2500147cdaf720 bae765461f31cb12 0000000000000001 0000000000000030 ... Call Trace: [<90000000017e5534>] loongson_gpu_fixup_dma_hang+0xb4/0x210 [<9000000000eebc08>] pci_fixup_device+0x108/0x280 [<9000000000ebb70c>] pci_setup_device+0x24c/0x690 [<9000000000ebc560>] pci_scan_single_device+0xe0/0x140 [<9000000000ebc684>] pci_scan_slot+0xc4/0x280 [<9000000000ebdd00>] pci_scan_child_bus_extend+0x60/0x3f0 [<9000000000f5bc94>] acpi_pci_root_create+0x2b4/0x420 [<90000000017e5e74>] pci_acpi_scan_root+0x2d4/0x440 [<9000000000f5b02c>] acpi_pci_root_add+0x21c/0x3a0 [<9000000000f4ee54>] acpi_bus_attach+0x1a4/0x3c0 [<90000000010e200c>] device_for_each_child+0x6c/0xe0 [<9000000000f4bbf4>] acpi_dev_for_each_child+0x44/0x70 [<9000000000f4ef40>] acpi_bus_attach+0x290/0x3c0 [<90000000010e200c>] device_for_each_child+0x6c/0xe0 [<9000000000f4bbf4>] acpi_dev_for_each_child+0x44/0x70 [<9000000000f4ef40>] acpi_bus_attach+0x290/0x3c0 [<9000000000f5211c>] acpi_bus_scan+0x6c/0x280 [<900000000189c028>] acpi_scan_init+0x194/0x310 [<900000000189bc6c>] acpi_init+0xcc/0x140 [<9000000000220cdc>] do_one_initcall+0x4c/0x310 [<90000000018618fc>] kernel_init_freeable+0x258/0x2d4 [<900000000184326c>] kernel_init+0x28/0x13c [<9000000000222008>] ret_from_kernel_thread+0xc/0xa4 [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: openvswitch: vport: fix self-deadlock on release of tunnel ports vports are used concurrently and protected by RCU, so netdev_put() must happen after the RCU grace period. So, either in an RCU call or after the synchronize_net(). The rtnl_delete_link() must happen under RTNL and so can't be executed in RCU context. Calling synchronize_net() while holding RTNL is not a good idea for performance and system stability under load in general, so calling netdev_put() in RCU call is the right solution here. However, when the device is deleted, rtnl_unlock() will call netdev_run_todo() and block until all the references are gone. In the current code this means that we never reach the call_rcu() and the vport is never freed and the reference is never released, causing a self-deadlock on device removal. Fix that by moving the rcu_call() before the rtnl_unlock(), so the scheduled RCU callback will be executed when synchronize_net() is called from the rtnl_unlock()->netdev_run_todo() while the RTNL itself is already released. [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: airoha: fix BQL imbalance in TX path Fix a possible BQL imbalance in airoha_dev_xmit(), where inflight packets are accounted only for the AIROHA_NUM_TX_RING netdev TX queues. The queue index is computed as: qid = skb_get_queue_mapping(skb) % ARRAY_SIZE(qdma->q_tx) txq = netdev_get_tx_queue(dev, qid); However, airoha_qdma_tx_napi_poll() accounts completions across all netdev TX queues (num_tx_queues), leading to inconsistent BQL accounting. Also reset all netdev TX queues in the ndo_stop callback. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mmc: dw_mmc-rockchip: Add missing private data for very old controllers The really old controllers (rk2928, rk3066, rk3188) do not support UHS speeds at all, and thus never handled phase data. For that reason it never had a parse_dt callback and no driver private data at all. Commit ff6f0286c896 ("mmc: dw_mmc-rockchip: Add memory clock auto-gating support") makes the private data sort of mandatory, because the init function checks whether phases are configured internally or through the clock controller. This results in the old SoCs then experiencing NULL-pointer dereferences when they try to access that private-data struct. While we could have if (priv) conditionals in all places, it's way less cluttery to just give the old types their private-data struct. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: batman-adv: tp_meter: fix tp_vars reference leak in receiver shutdown The receiver shutdown timer handler, batadv_tp_receiver_shutdown(), is responsible for releasing the tp_vars reference it holds. However, the existing logic for coordinating this release with batadv_tp_stop_all() was flawed. timer_shutdown_sync() guarantees the timer will not fire again after it returns, but it returns non-zero only when the timer was pending at the time of the call. If the timer had already expired (and batadv_tp_stop_all() would unsucessfully try to rearm itself), batadv_tp_stop_all() skips its batadv_tp_vars_put(), and batadv_tp_receiver_shutdown() fails to put its own reference as well. Fix this by introducing a new atomic variable receiving that is set to 1 when the receiver is initialized and cleared atomically with atomic_xchg() by whichever side claims it first. Only the side that observes the transition from 1 to 0 is responsible for releasing the tp_vars timer reference, eliminating the uncertainty. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mld: don't dereference a pointer before NULL checking it In iwl_mld_remove_link, the link->fw_id is saved at the beginning of the function so we have it after we freed the link. But the link pointer can be NULL, and is not checked when the fw_id is stored. Fix it by simply freeing the link at the end of the function. fFixes: 0e66a39f4f0e ("wifi: iwlwifi: fix potential use after free in iwl_mld_remove_link()") [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: fix UAF in bt_accept_dequeue() bt_accept_get() takes a temporary reference before dropping the accept queue lock. bt_accept_dequeue() currently drops that reference before bt_accept_unlink(), leaving only the queue reference. bt_accept_unlink() drops the queue reference. The subsequent sock_hold() therefore accesses freed memory if it was the final reference, as observed by KASAN during listening L2CAP socket cleanup. Retain the temporary queue-walk reference through unlink and hand it to the caller on success. Drop it explicitly on the closed and not-yet-connected paths. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: L2CAP: Fix UAF in channel timeout by holding conn ref l2cap_chan_timeout() runs asynchronously and accesses chan->conn. If the connection is torn down while the timer is running or pending, chan->conn can be freed, leading to a use-after-free when the timer worker attempts to lock conn->lock: | BUG: KASAN: slab-use-after-free in instrument_atomic_read_write include/linux/instrumented.h:112 [inline] | BUG: KASAN: slab-use-after-free in atomic_long_try_cmpxchg_acquire include/linux/atomic/atomic-instrumented.h:4456 [inline] | BUG: KASAN: slab-use-after-free in __mutex_trylock_fast kernel/locking/mutex.c:161 [inline] | BUG: KASAN: slab-use-after-free in mutex_lock+0x4f/0xa0 kernel/locking/mutex.c:318 | Write of size 8 at addr ffff8881298d9550 by task kworker/2:1/83 | | CPU: 2 UID: 0 PID: 83 Comm: kworker/2:1 Not tainted 7.1.0-rc6-next-20260601-dirty #6 PREEMPT(full) | Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-debian-1.17.0-1 04/01/2014 | Workqueue: events l2cap_chan_timeout | Call Trace: | <TASK> | instrument_atomic_read_write include/linux/instrumented.h:112 [inline] | atomic_long_try_cmpxchg_acquire include/linux/atomic/atomic-instrumented.h:4456 [inline] | __mutex_trylock_fast kernel/locking/mutex.c:161 [inline] | mutex_lock+0x4f/0xa0 kernel/locking/mutex.c:318 | l2cap_chan_timeout+0x5d/0x1b0 net/bluetooth/l2cap_core.c:422 | process_one_work kernel/workqueue.c:3326 [inline] | process_scheduled_works+0x7c8/0xfb0 kernel/workqueue.c:3409 | worker_thread+0x8a9/0xcf0 kernel/workqueue.c:3490 | kthread+0x346/0x430 kernel/kthread.c:436 | ret_from_fork+0x1a3/0x470 arch/x86/kernel/process.c:158 | ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 | </TASK> | | Allocated by task 320: | l2cap_conn_add+0xa7/0x820 net/bluetooth/l2cap_core.c:7075 | l2cap_connect_cfm+0xdb/0xd70 net/bluetooth/l2cap_core.c:7452 | hci_connect_cfm include/net/bluetooth/hci_core.h:2139 [inline] | hci_remote_features_evt+0x52f/0x9f0 net/bluetooth/hci_event.c:3760 | hci_event_func net/bluetooth/hci_event.c:7796 [inline] | hci_event_packet+0x561/0xa70 net/bluetooth/hci_event.c:7847 | hci_rx_work+0x370/0x890 net/bluetooth/hci_core.c:4040 | process_one_work kernel/workqueue.c:3326 [inline] | process_scheduled_works+0x7c8/0xfb0 kernel/workqueue.c:3409 | worker_thread+0x8a9/0xcf0 kernel/workqueue.c:3490 | kthread+0x346/0x430 kernel/kthread.c:436 | ret_from_fork+0x1a3/0x470 arch/x86/kernel/process.c:158 | ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 | | Freed by task 322: | hci_disconn_cfm include/net/bluetooth/hci_core.h:2154 [inline] | hci_conn_hash_flush+0x101/0x1f0 net/bluetooth/hci_conn.c:2736 | hci_dev_close_sync+0x889/0xde0 net/bluetooth/hci_sync.c:5405 | hci_dev_do_close net/bluetooth/hci_core.c:502 [inline] | hci_unregister_dev+0x1f7/0x370 net/bluetooth/hci_core.c:2679 | vhci_release+0x12a/0x180 drivers/bluetooth/hci_vhci.c:690 | __fput+0x369/0x890 fs/file_table.c:510 | task_work_run+0x160/0x1d0 kernel/task_work.c:233 | get_signal+0xf5b/0x1120 kernel/signal.c:2810 | arch_do_signal_or_restart+0x4d/0x600 arch/x86/kernel/signal.c:337 | __exit_to_user_mode_loop kernel/entry/common.c:64 [inline] | exit_to_user_mode_loop+0x85/0x510 kernel/entry/common.c:98 | do_syscall_64+0x263/0x3d0 arch/x86/entry/syscall_64.c:100 | entry_SYSCALL_64_after_hwframe+0x77/0x7f | | The buggy address belongs to the object at ffff8881298d9400 | which belongs to the cache kmalloc-512 of size 512 | The buggy address is located 336 bytes inside of | freed 512-byte region [ffff8881298d9400, ffff8881298d9600) Fix it by having chan->conn hold a reference to l2cap_conn (via l2cap_conn_get) when the channel is added to the connection, and releasing it in the channel destructor. This ensures the l2cap_conn remains alive as long as the channel exists. A new FLAG_DEL channel flag is introduced to indicate that the ch ---truncated--- [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_uart: clear HCI_UART_SENDING when write_work is canceled HCI_UART_SENDING bit in tx_state means write_work is pending and blocks queueing it again. Currently this bit is not cleared when canceling the work in hci_uart_close(), which blocks future writes when device is reopened later if write_work was pending. Fix by clearing HCI_UART_SENDING when canceling the work. Also make clearing of tx_skb safe by using disable_work_sync + enable_work instead of just cancel_work_sync. hci_uart_flush() purges the proto tx queue so we can cancel the pending write_work there, instead of doing it just in hci_uart_close(). Re-enable and possibly requeue the work after queue flush. [] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: atm: ueagle-atm: reject descriptors that confuse probe and disconnect uea_probe() distinguishes a pre-firmware device from a post-firmware one using the USB id (UEA_IS_PREFIRM()), and stores a different object as the interface data in each case: a 'struct completion' for a pre-firmware device (to be waited on in .disconnect()), or a 'struct usbatm_data' for a post-firmware one. uea_disconnect() instead tells the two apart by the number of interfaces of the active configuration (a pre-firmware device exposes a single interface, ADI930 has 2 and eagle has 3), and casts the interface data accordingly. Because the two handlers use different criteria, a crafted device that advertises a pre-firmware id together with a multi-interface descriptor (or a post-firmware id with a single interface) makes them disagree: the small 'struct completion' stored by uea_probe() is then passed to usbatm_usb_disconnect(), which casts it to 'struct usbatm_data' and takes instance->serialize, reading past the end of the allocation: BUG: KASAN: slab-out-of-bounds in __mutex_lock+0x152a/0x1b80 Read of size 8 at addr ffff8880470e2c60 by task kworker/1:2/982 ... __mutex_lock+0x152a/0x1b80 usbatm_usb_disconnect+0x70/0x820 uea_disconnect+0x133/0x2c0 usb_unbind_interface+0x1dd/0x9e0 ... which belongs to the cache kmalloc-96 of size 96 The buggy address is located 0 bytes to the right of allocated 96-byte region [ffff8880470e2c00, ffff8880470e2c60) Reject such inconsistent descriptors in uea_probe() so that both handlers always make the same pre/post-firmware decision. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gpu: host1x: Fix use-after-free in host1x_bo_clear_cached_mappings __host1x_bo_unpin() drops the last reference to the mapping and frees it, so we can't dereference mapping afterwards. The cache itself outlives the mapping, so use the cache local variable instead. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: serial: 8250_mid: Fix NULL function pointer dereference on DNV/ICX-D/SNR platforms Commit b1b4efea05a5 ("serial: 8250_mid: Disable DMA for selected platforms") replaced the dnv_board setup and exit callbacks with PTR_IF(false, ...), which evaluates to NULL. However, the three call sites in mid8250_probe() and mid8250_remove() unconditionally dereference these function pointers without NULL checks, causing a NULL pointer dereference (kernel oops) on any Denverton (DNV), Ice Lake Xeon D (ICX-D/CDF), or Snowridge (SNR) platform. Fix this by adding the missing NULL checks before calling the setup and exit callbacks. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: SOF: topology: validate vendor array size before parsing sof_parse_token_sets() reads array->size while iterating over topology private data. The loop condition only checks that some data remains, so a malformed topology with a truncated trailing vendor array can make the parser read the size field before a full vendor-array header is available. Validate that the remaining private data contains a complete snd_soc_tplg_vendor_array header before reading array->size. The declared array size check also needs to remain signed. asize is an int, but sizeof(*array) has type size_t, so comparing them directly promotes negative asize values to unsigned and lets them pass the check, as reported in the stable review thread reference below. Cast sizeof(*array) to int when validating the declared array size. This rejects negative, zero and otherwise too-small sizes before the parser dispatches to the tuple-specific code. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix busy dentry warning on unmount after DIO Commit c68337442f03 ("cifs: Fix busy dentry used after unmounting") fixed the issue in cifs where deferred close of a file led to a dentry reference count not being released in umount, by flushing deferredclose_wq in cifs_kill_sb() to solve it. However, the cifs DIO path suffers from the same busy-dentry problem caused by a delayed dentry reference-count release: [dio] [cifsd] [close + umount] netfs_unbuffered_write_iter_locked ... cifs_demultiplex_thread netfs_unbuffered_write cifs_issue_write netfs_wait_for_in_progress_stream [1] ... netfs_write_subrequest_terminated netfs_subreq_clear_in_progress netfs_wake_collector // wake [1] netfs_put_subrequest netfs_put_request queue_work(system_dfl_wq, xxx) [2] // dio write return cifs_close _cifsFileInfo_put // cfile->count 2->1 --cfile->count [3] // umount cifs_kill_sb kill_anon_super // warning triggered! shrink_dcache_for_umount [4] [system_dfl_wq] [5] netfs_free_request ... _cifsFileInfo_put // cfile->count 1->0 --cfile->count queue_work(fileinfo_put_wq, xxx) [fileinfo_put_wq] [6] cifsFileInfo_put_work cifsFileInfo_put_final dput If the umount path is triggered before [5], it results warning: BUG: Dentry 00000000eab1f070{i=9a917b66ae404fec,n=test} still in use (1) [unmount of cifs cifs] The existing per-inode ictx->io_count wait in cifs_evict_inode() does not help: it lives in the inode eviction path, which runs after shrink_dcache_for_umount() has already warned about the busy dentries. Fix it by adding a per-superblock outstanding-rreq counter that is incremented in cifs_init_request() and decremented in cifs_free_request(). In cifs_kill_sb(), before kill_anon_super(), wait for this counter to reach 0 - which guarantees that all cleanup_work for this sb have run and thus all relevant cfile puts are queued on fileinfo_put_wq or serverclose_wq. Then drain the workqueue so the dentry refs are dropped. This is a targeted wait, not a flush of the system-wide system_dfl_wq. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free of fp->owner.name in durable handle owner check Two concurrent SMB2 durable reconnects (DH2C/DHnC) on the same persistent_id race the fp->owner.name compare-read in ksmbd_vfs_compare_durable_owner() against the kfree() in ksmbd_reopen_durable_fd()'s reopen-success path. fp->owner.name is a standalone kstrdup() buffer whose lifetime is independent of the fp refcount, and the two sites share no lock: the compare reads the buffer while the reopen frees it, so the strcmp() can dereference freed memory. Commit 7ce4fc40018d ("ksmbd: fix durable reconnect double-bind race in ksmbd_reopen_durable_fd") made the fp->conn claim atomic under global_ft.lock (closing the owner.name double-free and the ksmbd_file write-UAF), but the compare-read versus reopen-free pair was left unserialized. BUG: KASAN: slab-use-after-free in strcmp+0x2c/0x80 Read of size 1 by task kworker strcmp ksmbd_vfs_compare_durable_owner smb2_check_durable_oplock smb2_open Freed by task kworker: kfree ksmbd_reopen_durable_fd smb2_open Allocated by task kworker: kstrdup session_fd_check smb2_session_logoff The buggy address belongs to the cache kmalloc-8 Serialize both sides of the race with fp->f_lock. The global durable file-table lock still protects the durable reconnect claim, but fp->owner.name is per-open state and does not need to block unrelated durable table lookups or reconnects. The teardown is left at its existing location after the reopen-success point so that an __open_id() rollback still retains owner.name for a later legitimate reconnect to verify. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hwmon: (pmbus) Fix passing events to regulator core Sashiko reports: Commit 754bd2b4a084 ("hwmon: (pmbus/core) Protect regulator operations with mutex") introduced a worker to batch regulator events over time using atomic_or(). The delayed worker then passes the combined bitmask unmodified to regulator_notifier_call_chain(). The core regulator subsystem's regulator_handle_critical() function evaluates the event parameter using a strict switch statement. If multiple distinct faults occur before the worker runs (e.g., REGULATOR_EVENT_UNDER_VOLTAGE | REGULATOR_EVENT_OVER_CURRENT), the combined bitmask fails to match any case. This leaves the reason as NULL and completely bypasses the critical hw_protection_trigger(). Fix the problem by passing events bit by bit to the regulator event handler. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/i915: clear CRTC color blob pointers after dropping refs intel_crtc_put_color_blobs() drops the CRTC color blob references, but leaves the corresponding pointers unchanged. This can matter in intel_crtc_prepare_cleared_state(), which frees the old CRTC hw state before calling intel_dp_tunnel_atomic_clear_stream_bw(). The latter can fail while looking up the DP tunnel group state, for example with -EDEADLK. If that happens, the function returns without completing the cleared state preparation. The failed atomic state will then be cleared by the atomic core and intel_crtc_free_hw_state() can be called again for the same state, dropping the same blob references again. Clear the blob pointers after dropping the references so repeated cleanup of the same CRTC hw state is safe. (cherry picked from commit d5005addb5f68e8a0edce249506757bdc9e3d8c8) [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: Fix dev use-after-free in xfrm async resumption xfrm async resumption hold skb->dev refcnt until after transport_finish. However, xfrm_rcv_cb may modify skb->dev to tunnel dev without taking device reference, such as vti_rcv_cb. The subsequent async resumption will decrement the tunnel device's reference count, which lead to uaf of tunnel dev and refcnt leak of orig dev as below: unregister_netdevice: waiting for vti1 to become free. Usage count = -2 Stash the original skb->dev to fix refcnt imbalance. The new skb->dev set by xfrm_rcv_cb can race with device teardown. Extend rcu protection over xfrm_rcv_cb and transport_finish to prevent races. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: add bounds check to run_get_highest_vcn() run_get_highest_vcn() parses a packed NTFS mapping-pairs buffer without any length bound, relying solely on a 0x00 terminator to stop. A crafted $LogFile UpdateMappingPairs record whose embedded attribute contains mapping-pairs runs without a terminator causes the function to read past the slab allocation, triggering a KASAN slab-out-of-bounds read on mount. The sibling function run_unpack() received an analogous bounds-check in commit b62567bca474 ("ntfs3: add buffer boundary checks to run_unpack()"), but run_get_highest_vcn() was missed. Take a run_buf_size parameter and reject any run header whose payload would extend past the buffer end, mirroring the pattern used by run_unpack(). The caller in fslog.c passes the remaining attribute bytes after the mapping-pairs offset. KASAN report (on mainline v7.1 merge window HEAD): BUG: KASAN: slab-out-of-bounds in run_get_highest_vcn+0x3c0/0x410 Read of size 1 at addr ffff88800e2d5400 by task mount/72 Call Trace: run_get_highest_vcn+0x3c0/0x410 do_action.isra.0+0x3ba8/0x7b50 log_replay+0x9ddd/0x10200 ntfs_loadlog_and_replay+0x4ad/0x610 ntfs_fill_super+0x214a/0x4540 [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: mt7925: validate skb length in testmode query In mt7925_tm_query(), the response skb from mt76_mcu_send_and_get_msg() is used in a memcpy without validating its length: memcpy(evt_resp, skb->data + 8, MT7925_EVT_RSP_LEN); where MT7925_EVT_RSP_LEN is 512. If the firmware returns a response shorter than 520 bytes (8 + 512), this reads beyond the skb data buffer. The over-read data is then returned to userspace via nla_put() in mt7925_testmode_dump(). Add a length check before the memcpy to ensure the skb contains sufficient data. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rxrpc: rxrpc_verify_data ensure rx_dec_buffer alloc rxrpc_recvmsg_data() calls rxrpc_verify_data() whenever the rxrpc_call.rx_dec_buffer is unallocated and assumes that upon successful return that rx_dec_buffer must be allocated. However, rxrpc_verify_data() does not request an allocation if the rxrpc_skb_priv.len is zero. In addition, failure to allocate rx_dec_buffer will result in a call to skb_copy_bits() with a NULL destination which can trigger a NULL pointer dereference. To prevent these issues rxrpc_verify_data() is modified to always attempt to allocate the rxrpc_call.rx_dec_buffer if it is NULL. This issue was identified with assistance of a private sashiko instance. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: timer: Clear SNDRV_TIMER_IFLG_DEAD once the close completes snd_timer_close_locked() marks an instance with SNDRV_TIMER_IFLG_DEAD and returns early when the flag is already set, but the flag is never cleared again. A completed close ends in remove_slave_links(), which leaves timeri->timer NULL, so a second close is already harmless through the timer == NULL path; the early return can only be reached by an instance that was opened again in between. For such an instance the close unlinks nothing, so snd_timer_instance_free() frees an object that is still on timer->open_list_head, still on snd_timer_master_list if it was opened with a slave key, still owns any adopted slaves, and still holds its timer and module references. snd_seq_timer_open() reopens an instance exactly like that: it retries its fallback open on the same object after a failure that has already run snd_timer_close_locked() internally. An unprivileged user with access to /dev/snd/timer and /dev/snd/seq can force that failure, since snd_timer_check_master() returns -EBUSY when a pending slave matches the new master's (slave_class, slave_id) key and the target timer has reached max_instances, and SNDRV_TIMER_IOCTL_SELECT with dev_class = SNDRV_TIMER_CLASS_SLAVE keeps the caller-supplied dev_sclass, so a sequencer queue's key can be forged. The freed instance is afterwards dereferenced by any further snd_timer_open() on that timer, by snd_timer_check_slave(), and by /proc/asound/timers, which faults on the stale ti->owner pointer. The flag only has to be visible while the close is in progress, which is all its other users need. Clear it in remove_slave_links(), under the same timer->lock that sets it, once the instance is off every list. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: core: Fix OOB read in hid_get_report for numbered reports When a caller passes a size of 0 to hid_report_raw_event() for a numbered report, the function originally called hid_get_report() before performing any size validation. Inside hid_get_report(), if the report is numbered (report_enum->numbered is true), it unconditionally dereferences data[0] to extract the report ID. With a size of 0, this results in an out-of-bounds read or kernel panic. Fix this by moving the numbered report size validation check before the call to hid_get_report(), ensuring that size is at least 1 before dereferencing the data pointer. [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_conntrack_expect: use conntrack GC to reap expectations This patch replaces the timer API by GC worker approach for expectations, as it already happened in many other subsystems. Use the existing conntrack GC worker to iterate over the local list of expectations in the master conntrack to reap expired expectations. Check IPS_HELPER_BIT to run GC for expectations, set it on for nft_ct expectation which nevers sets it. Hold the expectation spinlock while iterating over the master conntrack expectation list to synchronize with nf_ct_remove_expectations(). This also performs runtime packet path garbage collection through the expectation insertion and lookup functions while walking over one of the chains of the global expectation hashtables. Unconfirmed conntrack entries are skipped since ct->ext can be reallocated and dying are skipped since those will be gone soon. Set on IPS_HELPER_BIT if the helper ct extension is added, then the new GC worker does not need to bump the ct refcount to check if the ct->ext helper is available. This removes the extra bump on the refcount for expectation timers, this allows to remove several nf_ct_expect_put() calls after the unlink, after this update only refcount remains at 1 while on the expectation hashes. This patch implicitly addresses a race with the existing timer API allowing an expectation to access a stale exp->master pointer which has been already released when expectation removal loses races with an expiring timer, ie. timer_del() reporting false. Add a new NF_CT_EXPECT_DEAD flag to reap this expectation via GC. This is needed by nf_conntrack_unexpect_related() which is called in error paths to invalidate newly created expectations that has been added into the hashes. These expectactions cannot be inmediately released as GC or nf_ct_remove_expectations() could race to make it. On expectation insert, the runtime GC reaps stale expectations before checking the expectation limit set by policy. Set current timestamp in nf_ct_expect_alloc(), then add the expectation policy timeout (or custom timeout specified added on top of this) to specify the expectation lifetime. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Revert "drm/amdgpu: fix aperture mapping leak" devres teardown is LIFO. The aperture devres node was registered after the DRM device node, so devres_release_all() unmaps the aperture before the DRM device release callback fires amdgpu_device_fini_sw(). IP sw_fini callbacks (e.g. vcn_v4_0_sw_fini) write to fw_shared through a pointer derived from aper_base_kaddr, causing a kernel page fault on probe failure / rollback: BUG: unable to handle page fault ... PMD 0 RIP: vcn_v4_0_sw_fini+0x7b/0x170 [amdgpu] Call Trace: amdgpu_device_fini_sw amdgpu_driver_release_kms devm_drm_dev_init_release devres_release_all This reverts commit d871e99879cb5fd1fa798b006b4888887e63a17a. (cherry picked from commit 336e0cd576817ac64a4b394ca2b3680029f3e37f) [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fuse: fix race between interrupt and resend After commit f8fce75fedf7 ("fuse: clear intr_entry in fuse_resend and fuse_remove_pending_req") the WARN_ON(!list_empty(&req->intr_entry)) in fuse_request_free() still triggers due to the following race: In request_wait_answer() if (test_bit(FR_SENT, &req->flags)) -> returns true In fuse_chan_resend() clear_bit(FR_SENT, &req->flags) In request_wait_answer() queue_interrupt(req) Fix by: - move clearing FR_SENT inside fpq->lock - move setting FR_PENDING inside fiq->lock - recheck FR_SENT after acquiring fiq->lock in fuse_dev_queue_interrupt() [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: isotp: fix timer drain order, wakeup handling and tx_gen ordering This patch is a follow-up to commit cf070fe33bfb ("can: isotp: serialize TX state transitions under so->rx_lock") which addresses following sashiko-bot findings: - isotp_sendmsg(): drain so->txfrtimer first so a stale callback can't re-arm echotimer after the claim - isotp_release(): wake so->wait after forcing ISOTP_SHUTDOWN so a sleeping sendmsg() claim isn't stranded - isotp_sendmsg(): have both wait_event_interruptible() calls in isotp_sendmsg() also wake on ISOTP_SHUTDOWN and do not return claim to IDLE to avoid corrupting a concurrent isotp_release() process. - isotp_sendmsg(): handle potential claim of a new transfer when the wait_event_interruptible() call returns in CAN_ISOTP_WAIT_TX_DONE mode. Don't touch timers and states of the new transfer if a new thread incremented so->tx_gen before getting the lock at err_event_drop. - isotp_sendmsg(): handle a stuck can_send() and omit timer and state changes if a new transfer was claimed. wait_tx_done() returns the error recorded in so->tx_result[], tagged with the caller's own generation. - isotp_tx_timeout(): on a claimed timeout, record the ECOMM error for the timed-out transfer's own generation in so->tx_result[]; sk->sk_err is raised unconditionally, same as every other error path here. - isotp_tx_gen_done()/isotp_tx_timeout(): always read tx.state (acquire) before tx_gen - the reverse order let a weakly ordered CPU pair a fresh tx.state with a stale tx_gen/tx_result slot. - isotp_sendmsg(): wait_tx_done: drain sk_err via sock_error() once we have read the result from so->tx_result[], so an already-reported error doesn't stay latched for a later poll()/SO_ERROR. Also align the remaining lock-free so->tx.state/rx.state/cfecho accesses and use skb->hash as unique loopback echo frame indicator. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in oplock break notification smb2_oplock_break_noti() reads opinfo->conn without any lock and dereferences it after two allocations which may sleep. When the durable handle owning the oplock is disconnected, session_fd_check() clears opinfo->conn and drops its conn reference under ci->m_lock, and the last ksmbd_conn_put() frees the connection. A break triggered by another connection that races with the teardown can then resurrect the freed connection: ksmbd_conn_get() is a plain atomic_inc, and the queued break work later dereferences the stale conn via ksmbd_conn_write(), a use-after-free reachable by any authenticated client holding a durable batch oplock. Thread the caller's inode into the notification path instead of taking a new reference on it. Every caller of oplock_break() already holds a live ksmbd_file (or an explicit ksmbd_inode_lookup_lock() reference, in the parent lease break paths) on the inode that owns the break target's oplock list, so ci cannot be freed during the call, and its lock can be taken without dereferencing opinfo->o_fp, which a concurrent close may free. Select and pin the connection under ci->m_lock, the same lock session_fd_check() and ksmbd_reopen_durable_fd() use to update opinfo->conn, so a concurrent detach either loses the race to the clear or keeps the connection alive until the notification work releases it. Transfer the reference to the work item and release it on allocation failures. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: use cifs_invalidate_cache() in cifs_do_truncate() for O_TRUNC cifs_do_truncate() is invoked from cifs_open() without i_rwsem, so it cannot use cifs_resize_file_locked() to perform a proper fscache cookie resize. Instead, add cifs_invalidate_cache() after cifs_setsize(). cifs_invalidate_cache() calls fscache_invalidate(), which works without holding i_rwsem: it unconditionally increments inval_counter and sets FSCACHE_COOKIE_NO_DATA_TO_READ, ensuring that stale cached data is not served once the cookie is later activated by fscache_use_cookie(). Truncation to zero leaves no valid cached data, making invalidation the correct semantic here. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: device property: fix infinite loop in fwnode_for_each_child_node() When iterate over children of a fwnode that has a secondary fwnode, fwnode_get_next_child_node() can enter an infinite loop if the secondary fwnode has more than one child. Parent Child (Primary fwnode) FWa: {FWa1, FWa2, FWa3} (Secondary fwnode) FWb: {FWb1, FWb2} In this case: ┌─> fwnode_get_next_child_node(FWa, FWa1) │ - fwnode_call_ptr_op(FWa, get_next_child_node, FWa1) returns FWa2 │ │ ... │ │ fwnode_get_next_child_node(FWa, FWa3) │ - fwnode_call_ptr_op(FWa, get_next_child_node, FWa3) returns NULL │ - fwnode_call_ptr_op(FWb, get_next_child_node, FWa3) returns FWb1 │ │ fwnode_get_next_child_node(FWa, FWb1) │ - fwnode_call_ptr_op(FWa, get_next_child_node, FWb1) returns FWa1 └────┘ This cause fwnode_for_each_child_node() to loop indefinitely, reapeatedly output {FWa1, FWa2, FWa3, FWb1, FWa1, ...}. The root cause is that when the current child (FWb1) belongs to the secondary fwnode, calling get_next_child_node() on the parimary fwnode incorrectly returns the first child (FWa1) again instead of NULL. Fix this by dynamically checking the parent fwnode of the current child before calling get_next_child_node(). This approach follows the pattern established in commit b5b41ab6b0c1 ("device property: Check fwnode->secondary in fwnode_graph_get_next_endpoint()"). [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs: fix user path of nested backing files backing_file_open() derives the path to be stored in the new backing file from user_file->f_path. This is incorrect when user_file itself is a backing file, which is the case for nested stacking filesystems, e.g. overlayfs mounts where the lowerdir of one overlayfs is the merged directory of another. Since commit def3ae83da02 ("fs: store real path instead of fake path in backing file f_path") the f_path of a backing file holds the real path of the intermediate layer, not the path that the user opened. Commit 924577e4f6ca ("ovl: Fix nested backing file paths") fixed this for such configurations by passing file_user_path() from ovl_open_realfile(). However, commit 6af36aeb147a ("lsm: add backing_file LSM hooks") changed the first argument of backing_file_open() from the user path back to the user file and derived the path from user_file->f_path again, silently re-introducing the problem. As a result, files mapped through a nested overlayfs show the wrong path in /proc/<pid>/maps and in perf/ftrace mmap records. For example, with two nested overlayfs mounts: mkdir -p /ovl/{lower,upper,work,merged} /ovl/nested echo hello > /ovl/lower/foo mount -t overlay overlay \ -o lowerdir=/ovl/lower,upperdir=/ovl/upper,workdir=/ovl/work \ /ovl/merged # at least two lowerdirs are needed when upperdir is nonexistent mount -t overlay overlay \ -o lowerdir=/ovl/merged:/ovl/lower /ovl/nested mapping /ovl/nested/foo shows a disconnected path instead of the user path: # readlink /proc/self/fd/3 /ovl/nested/foo # grep foo /proc/self/maps 7f6e2c100000-7f6e2c101000 r--s 00000000 00:24 15813027 /foo The bogus path is derived from the f_path of the intermediate backing file, whose mount is a private clone that d_path() cannot resolve. Fix this by using file_user_path(), which returns the outermost user-visible path for backing files and falls back to &user_file->f_path for regular files. This restores the behavior of commit 924577e4f6ca ("ovl: Fix nested backing file paths") for overlayfs and also fixes the same problem for the other backing_file_open() callers, fuse passthrough and erofs ishare, when their user file is itself a backing file. backing_tmpfile_open() has the same pattern but is not affected: it is only called by ovl_create_tmpfile() for the upper layer, and another overlayfs is rejected as upperdir by the DCACHE_OP_REAL check in ovl_mount_dir_check(), so its user_file can never be a backing file. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu/vcn: fix integer overflow in dec_msg buffer count check If the supplied msg[2] (num_buffers) is 0x3FFFFFFF, the expression 6 + num_buffers * 4 wraps to 2 and the bounds check passes, letting the parser loop far past the end of the message BO. Triggering it additionally requires a ~4GiB mapping so that msg[1] survives the earlier "header does not fit in BO" check. Rewrite the test in division form, which is overflow-free by construction. Also update the message to reflect that msg is invalid. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: cec: core: Fix kmemleak due to missed rc_free_device() call The commit dccc0c3ddf8f ("media: rc: fix race between unregister and urb/irq callbacks") removed the implicit call to rc_free_device() from rc_unregister_device(). However, the commit missed to remove the NULL assignment of adap->rc that is now causing rc_free_device() to never be called on an allocated rc device. kmemleak reports following after e.g. dw-hdmi unbind: unreferenced object 0xffff00010ac10000 (size 4096): comm "kworker/u16:1", pid 39, jiffies 4294897739 hex dump (first 32 bytes): 20 23 4b 0a 01 00 ff ff 08 00 c1 0a 01 00 ff ff #K............. 08 00 c1 0a 01 00 ff ff 00 00 00 00 00 00 00 00 ................ backtrace (crc e11baccc): kmemleak_alloc+0x38/0x44 __kmalloc_cache_noprof+0x4a8/0x5e0 rc_allocate_device+0x48/0x2a0 cec_allocate_adapter+0x3ac/0x800 dw_hdmi_cec_probe+0x264/0x634 platform_probe+0xc0/0x188 really_probe+0x4a4/0x8e0 __driver_probe_device+0x2f8/0x440 driver_probe_device+0x60/0x160 __device_attach_driver+0x1a0/0x2a0 bus_for_each_drv+0x100/0x1a0 __device_attach+0x174/0x350 device_initial_probe+0x90/0xb0 bus_probe_device+0x4c/0x120 device_add+0xdec/0x116c platform_device_add+0x354/0x598 Remove the assignment of adap->rc to NULL to let cec_delete_adapter() free the allocated rc device after last user of the cec device exits to fix the kmemleak. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Fix acpi_package_ids[] array overflow With LoongArch virt machine, a typical setting is one core per socket, there will max 256 sockets (packages) on one VM. With PPTT acpi table, array acpi_package_ids[] will be overflowed. Here change the array size of acpi_package_ids[] with the max value of MAX_PACKAGES and KVM_MAX_VCPUS. [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: sch_teql: restore skb->dev on the slave failure path teql_master_xmit() sets skb->dev = slave before calling the slave's ndo_start_xmit(), but never restores it when that transmit fails. The skb then walks on to the next slave still pointing at the previous one. If a later slave has no resolved neighbour, teql_resolve() hands the skb to neigh_event_send(), which queues it on that neighbour's arp_queue with the stale skb->dev. skb->dev holds no reference, so deleting the previous slave frees the net_device while the skb is still queued. Whatever runs next on that skb - arp_error_report() on timeout, or neigh_direct_output() -> dev_queue_xmit() once the neighbour resolves - causes a UAF like the one below: BUG: KASAN: slab-use-after-free in __icmp_send (net/ipv4/icmp.c:914 (discriminator 2)) Read of size 4 at addr ffff888106e100b0 by task flood_packet/527 CPU: 0 UID: 0 PID: 527 Comm: flood_packet Not tainted 7.2.0-rc6-g594d90519502 #1 PREEMPT(lazy) Hardware name: QEMU Ubuntu 24.04 PC v2 (i440FX + PIIX, arch_caps fix, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 Call Trace: <IRQ> dump_stack_lvl (lib/dump_stack.c:94 lib/dump_stack.c:120) print_report (mm/kasan/report.c:378 mm/kasan/report.c:482) ? __pfx__raw_spin_lock_irqsave (./include/asm-generic/qrwlock.h:122 (discriminator 4)) ? __icmp_send (net/ipv4/icmp.c:914 (discriminator 2)) kasan_report (mm/kasan/report.c:595) ? __icmp_send (net/ipv4/icmp.c:914 (discriminator 2)) __icmp_send (net/ipv4/icmp.c:914 (discriminator 2)) [...] ipv4_link_failure (net/ipv4/route.c:1251 net/ipv4/route.c:1258) ? __pfx_ipv4_link_failure (./include/linux/skbuff.h:4327) ? _raw_write_lock (./include/linux/instrumented.h:55 ./include/linux/atomic/atomic-instrumented.h:1301 ./include/asm-generic/qrwlock.h:98 ./include/linux/rwlock_api_smp.h:230 kernel/locking/spinlock.c:304) ? __pfx__raw_write_lock (kernel/locking/spinlock.c:175) arp_error_report (./include/net/dst.h:438 net/ipv4/arp.c:296) neigh_invalidate (net/core/neighbour.c:1077) neigh_timer_handler (net/core/neighbour.c:1169) [...] Allocated by task 505: kasan_save_stack (mm/kasan/common.c:57) kasan_save_track (mm/kasan/common.c:78) __kasan_kmalloc (mm/kasan/common.c:398 mm/kasan/common.c:415) __kvmalloc_node_noprof (./include/linux/kasan.h:263 mm/slub.c:5334 mm/slub.c:6905) alloc_netdev_mqs (net/core/dev.c:12055 (discriminator 2)) rtnl_create_link (net/core/rtnetlink.c:3721) rtnl_newlink (net/core/rtnetlink.c:3903 net/core/rtnetlink.c:4044 net/core/rtnetlink.c:4159) rtnetlink_rcv_msg (net/core/rtnetlink.c:7076) [...] Freed by task 536: kasan_save_stack (mm/kasan/common.c:57) kasan_save_track (mm/kasan/common.c:78) kasan_save_free_info (mm/kasan/generic.c:584) __kasan_slab_free (mm/kasan/common.c:253 mm/kasan/common.c:285) kfree (./include/linux/kasan.h:235 mm/slub.c:2677 mm/slub.c:6377 mm/slub.c:6692) device_release (drivers/base/core.c:2636) kobject_put (lib/kobject.c:689 lib/kobject.c:720 ./include/linux/kref.h:65 lib/kobject.c:737) netdev_run_todo (net/core/dev.c:11756) rtnl_dellink (net/core/rtnetlink.c:157 ./include/linux/rtnetlink.h:135 net/core/rtnetlink.c:3651) rtnetlink_rcv_msg (net/core/rtnetlink.c:7076) [...] Fix this by restoring skb->dev to the master at the end of each slave's iteration. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: L2CAP: fix race l2cap_sock_cleanup_listen() vs. put_chan For L2CAP sockets without owning sk->sk_socket, reading l2cap_pi(sk)->chan may race against concurrent l2cap_sock_kill() -> l2cap_sock_put_chan(). This excludes simultaneous proto_ops callbacks, but access in l2cap_sock_cleanup_listen() has unsafe lockless read. [Task 1] [Task 2 (hdev->workqueue)] l2cap_sock_release(parent) l2cap_disconn_cfm l2cap_sock_cleanup_listen l2cap_conn_del bt_accept_dequeue l2cap_chan_del lock_sock(sk) l2cap_sock_teardown_cb bt_accept_unlink bt_sk(sk)->parent = NULL release_sock(sk) ----------------> lock_sock(sk) parent = /* NULL */ lock_sock(sk) <--------------------- release_sock(sk) sock_set_flag(sk, SOCK_ZAPPED) l2cap_sock_close_cb l2cap_sock_kill(sk) l2cap_sock_put_chan chan = READ l2cap_pi(sk)->chan l2cap_pi(sk)->chan = NULL l2cap_chan_hold_unless_zero l2cap_put_chan(chan) kref_get_unless_zero(&chan->ref) Task 1 may observe NULL which causes null-ptr-deref. Fix the race by taking lock_sock() in l2cap_sock_kill() to synchronize with l2cap_sock_cleanup_listen(). hold_unless_zero() is not needed here, l2cap_pi(sk)->chan owns reference if it is non-NULL. Clarify code comments vs. locking. [] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: L2CAP: reject accept queue add unless BT_LISTEN New sk should not be added to parent socket accept queue after last l2cap_sock_cleanup_listen() has run in l2cap_sock_teardown_cb() and state set to BT_CLOSED, as that can result to UAF on dereferencing the dangling parent reference. l2cap_sock_new_connection_cb() may race with parent l2cap_chan teardown, due to chan->state accessed without consistent locking: [Task 1] [Task 2] l2cap_sock_release(parent) l2cap_connect l2cap_sock_shutdown pchan = l2cap_global_chan_by_psm l2cap_chan_lock(pchan) l2cap_chan_close l2cap_sock_teardown_cb pchan->state = BT_CLOSED l2cap_chan_unlock(pchan) ------> l2cap_chan_lock(pchan) l2cap_new_connection l2cap_sock_new_connection_cb l2cap_chan_lock(pchan) <-------- l2cap_chan_unlock(pchan) l2cap_sock_kill(parent) /* bt_sk(sk)->parent dangling */ Fix by adding check for sk_state == BT_LISTEN after acquiring sk lock in l2cap_sock_new_connection_cb(). Add lock_sock() around sk_state writes where missing, to avoid data races. Although the data races on pchan->state should be fixed too, this defensive sk_state check probably makes sense in any case. [] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: L2CAP: access chan->conn safely in get/setsockopt Since commit b66774b48dd9 ("Bluetooth: L2CAP: Fix UAF in channel timeout by holding conn ref") l2cap_chan::conn has held reference and remains non-NULL also after the corresponding hci_conn is deleted. In this state accessing various fields eg. hci_conn::hdev is invalid, which leads to KASAN crash in l2cap_sock_setsockopt() access of conn->hcon->hdev. Check l2cap_chan::conn.hcon corresponds to an alive hci_conn before trying to use it in l2cap_sock.c. Hold l2cap_chan_lock() in getsockopt/setsockopt to ensure it stays alive, and to avoid data races in l2cap_chan fields. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: validate ipc response length before dereferencing its fields ipc_validate_msg() computes the expected message size by reading length fields out of the response buffer supplied by the userspace ksmbd daemon (payload_sz, session_key_len, ngroups, ...). Those fields are read before the buffer is verified to be large enough to contain the struct they belong to, so a short response makes the read land past the end of the allocation. handle_response() sizes entry->response purely from the netlink attribute length (nla_len()) and only guards the leading handle read, so the daemon can install a response as small as the kmalloc-8 object seen below. When ipc_msg_send_request() then calls ipc_validate_msg() for a KSMBD_EVENT_RPC_REQUEST, the cast to struct ksmbd_rpc_command reads resp->payload_sz at offset 8 of an 8-byte allocation: [ 3697.841381] ================================================================== [ 3697.844099] BUG: KASAN: slab-out-of-bounds in ipc_msg_send_request+0x763/0x800 [ 3697.846604] Read of size 4 at addr ffff888105f95910 by task kworker/4:3/20682 [ 3697.849061] [ 3697.849801] CPU: 4 UID: 0 PID: 20682 Comm: kworker/4:3 Not tainted 7.2.0-rc3-next-20260717-virtme #117 PREEMPT(lazy) [ 3697.850077] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-debian-1.17.0-1 04/01/2014 [ 3697.850303] Workqueue: ksmbd-io handle_ksmbd_work [ 3697.850592] Call Trace: [ 3697.850794] <TASK> [ 3697.850952] __dump_stack+0x21/0x60 [ 3697.851239] dump_stack_lvl+0xc2/0x100 [ 3697.851528] print_address_description+0x77/0x200 [ 3697.851816] ? ipc_msg_send_request+0x763/0x800 [ 3697.852024] print_report+0x58/0x70 [ 3697.852316] kasan_report+0x117/0x150 [ 3697.852585] ? down_write+0x146/0x1f0 [ 3697.852809] ? ipc_msg_send_request+0x763/0x800 [ 3697.853082] ipc_msg_send_request+0x763/0x800 [ 3697.853385] ? __pfx_ipc_msg_send_request+0x10/0x10 [ 3697.853604] ? kasan_unpoison+0x48/0x70 [ 3697.853936] ? __pfx___up_read+0x10/0x10 [ 3697.854221] ksmbd_rpc_ioctl+0x380/0x520 [ 3697.854542] ? __pfx_ksmbd_rpc_ioctl+0x10/0x10 [ 3697.854757] ? kasan_unpoison+0x48/0x70 [ 3697.854962] ? copy_from_kernel_nofault+0x32c/0x4e0 [ 3697.855166] ? kasan_unpoison+0x48/0x70 [ 3697.855416] fsctl_pipe_transceive+0x139/0x7a0 [ 3697.855705] ? __pfx_copy_from_kernel_nofault+0x10/0x10 [ 3697.855937] ? __pfx_fsctl_pipe_transceive+0x10/0x10 [ 3697.856388] ? __sanitizer_cov_trace_switch+0x7b/0x140 [ 3697.856620] smb2_ioctl+0x1141/0x3420 [ 3697.856994] ? __pfx_smb2_ioctl+0x10/0x10 [ 3697.857182] ? get_smb2_cmd_val+0xe3/0x1c0 [ 3697.857655] handle_ksmbd_work+0x9ad/0x15e0 [ 3697.858034] ? __pfx_handle_ksmbd_work+0x10/0x10 [ 3697.858251] ? lock_release+0xf7/0x360 [ 3697.858466] ? process_scheduled_works+0x954/0x1600 [ 3697.858698] ? process_scheduled_works+0x954/0x1600 [ 3697.858905] process_scheduled_works+0xc22/0x1600 [ 3697.859368] ? __pfx_process_scheduled_works+0x10/0x10 [ 3697.859637] ? __pfx_assign_work+0x10/0x10 [ 3697.859896] ? lock_is_held_type+0x7b/0x110 [ 3697.860146] worker_thread+0x975/0xee0 [ 3697.860524] ? __pfx_do_raw_spin_lock+0x10/0x10 [ 3697.860830] ? __kthread_parkme+0x21e/0x260 [ 3697.861105] kthread+0x3a6/0x490 [ 3697.861423] ? __pfx_worker_thread+0x10/0x10 [ 3697.861643] ? __pfx_kthread+0x10/0x10 [ 3697.861878] ret_from_fork+0x55a/0xa20 [ 3697.862194] ? __pfx_ret_from_fork+0x10/0x10 [ 3697.862480] ? __pfx_kthread+0x10/0x10 [ 3697.862714] ret_from_fork_asm+0x1a/0x30 [ 3697.862965] </TASK> [ 3697.863039] [ 3697.938882] Allocated by task 20761: [ 3697.940257] kasan_save_track+0x3e/0x80 [ 3697.941782] __kasan_kmalloc+0x72/0x90 [ 3697.943228] __kvmalloc_node_noprof+0x3e9/0x6a0 [ 3697.944948] handle_generic_event+0x59b/0x750 [ 3697.946592] genl_family_rcv_msg_doit+0x3d6/0x560 [ 3697.946977] genl_rcv_msg+0x67c/0x900 [ 3697.947224] netlink_rcv_skb+0x286/0x580 [ 3697.947488] genl_rcv+0x2d/0x80 [ 3 ---truncated--- [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix deadlock in complain-mode change_hat The use of change_hat when in complain mode can cause a deadlock when the hat doesn't exist and a new learning profile is created for the missing profile. This is because change_hat() has taken the lock to search the hat list and creating the new learning profile needs to take the lock to add it to the list. From the bug report: Originally found in 7.0.0 in LTS ubuntu 26.04 with pam_apparmor + su in complain mode set to change hats. Then verified in newest available vanilla kernel I've compiled to see if still present: 7.2-rc7 vanilla -> affected checked also some other kernels: 6.18.44 vanilla -> affected 6.12.95 with debian patches -> unaffected On systems without bug (for example 6.12.95 debian) it just prints: aa_change_hat rc=0 On systems with bug, the executable always hangs, prints nothing and becomes unkillable. (And once stuck this way, it will cause any further hat changes to also cause the changing process to get stuck) Then in syslog you can find hint about cause: kernel: INFO: task hat:3409 blocked for more than 483 seconds. kernel: Not tainted 7.2.0-rc7 #1 kernel: "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. kernel: task:hat state:D stack:0 pid:3409 tgid:3409 ppid:2605 task_flags:0x400000 flags:0x00080800 kernel: Call Trace: kernel: <TASK> kernel: __schedule+0x48f/0xfe0 kernel: schedule+0x27/0xa0 kernel: schedule_preempt_disabled+0x15/0x30 kernel: __mutex_lock.constprop.0+0x569/0xa10 kernel: aa_new_learning_profile+0x15f/0x210 kernel: build_change_hat+0x19f/0x3b0 kernel: change_hat.isra.0+0x5dd/0xd60 kernel: aa_change_hat+0x2f3/0x710 kernel: aa_setprocattr_changehat+0x121/0x1f0 kernel: do_setattr+0x28c/0x340 kernel: apparmor_setselfattr+0x20/0x50 kernel: security_setselfattr+0xf6/0x110 kernel: __x64_sys_lsm_set_self_attr+0x53/0x90 kernel: do_syscall_64+0xdd/0x5e0 kernel: ? __mod_memcg_lruvec_state+0xfd/0x260 kernel: ? lruvec_stat_mod_folio+0x8d/0xd0 kernel: ? __folio_mod_stat+0x2d/0x90 kernel: ? map_anon_folio_pte_nopf+0xd1/0x1f0 kernel: ? do_anonymous_page+0x184/0xa10 kernel: ? __handle_mm_fault+0x805/0x870 kernel: ? count_memcg_events+0xef/0x230 kernel: ? handle_mm_fault+0x1f0/0x2f0 kernel: ? do_user_addr_fault+0x2bb/0x7b0 kernel: ? do_syscall_64+0x94/0x5e0 kernel: ? exc_page_fault+0x75/0x160 kernel: entry_SYSCALL_64_after_hwframe+0x76/0x7e kernel: RIP: 0033:0x7f815e134c8d kernel: RSP: 002b:00007fff6df94ea8 EFLAGS: 00000246 ORIG_RAX: 00000000000001cc kernel: RAX: ffffffffffffffda RBX: 0000556d8c81d040 RCX: 00007f815e134c8d kernel: RDX: 0000000000000046 RSI: 0000556d8c81d040 RDI: 0000000000000064 kernel: RBP: 00007fff6df94ef0 R08: 00007f815e212ac8 R09: 000000000000000c kernel: R10: 0000000000000000 R11: 0000000000000246 R12: 0000556d8c81d010 kernel: R13: 0000000000000026 R14: 0000000000000046 R15: 0000000000000064 kernel: </TASK> kernel: INFO: task hat:3409 is blocked on a mutex likely owned by task hat:3409. To fix the issue, lift the locking out of the core of aa_new_learning_profile(), introduce a wrapper function that takes the lock where needed, and have build_change_hat() call the core function that no longer takes the lock. In addition fix 4 other issues introduced by commit 32e92764d6f8d ("apparmor: grab ns lock and refresh when looking up changehat child profiles") - aa_get_profile_rcu() was replaced-by: aa_get_profile without the accompanying rcu_dereference_protected() - an extra aa_get_label(label) was introduced at the start of change_hat() without an accompanying aa_put_label() causing a reference count leak. - a reference count leak was introduced in the label_is_stale(label) case, where the newest profile would be leaked instead of the label passed to the function. - a potential UAF when the lookup walks up the tree with new_ns != ns the new label refere ---truncated--- [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: seq: Don't leak the extension cell pointer in the bounce payload The bounce_error_event() embeds the failed event in the bounce payload by pointing data.ext.ptr at it. When that event is a queued variable-length event, its own data.ext.ptr holds the address of its first extension cell, put there by snd_seq_event_dup(). The payload goes out verbatim through snd_seq_expand_var_event(), so the address reaches userspace. That is the same address commit 705dd6dcbc0e ("ALSA: seq: Clear variable event pointer on read") removed from the event header. The read path still clears it there, just above the call that expands the payload. Embed a sanitised copy instead, treated exactly as snd_seq_read() treats the header. A stack copy is enough because delivery is synchronous and snd_seq_event_dup() copies before returning. An unprivileged client reaches this by setting SNDRV_SEQ_FILTER_BOUNCE, queueing a variable-length event to a port that does not exist and reading the bounce back. Eight bytes on 64-bit, from its own pool. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfc: nci: fix double completion race in nci_data_exchange_complete nci_close_device() and nci_rx_work can both call nci_data_exchange_complete() concurrently. After commit 4527025d440ce8 ("nfc: nci: fix circular locking dependency in nci_close_device") moved flush_workqueue(ndev->rx_wq) after mutex_unlock(&ndev->req_lock), rx_work is no longer serialized with the explicit completion call in the close path. Both callers read the non-NULL callback pointer and invoke rawsock_data_exchange_complete(), which calls sock_put() -- but only one sock_hold() was taken, so the second sock_put() underflows the refcount and frees the socket while it is still in use. Replace the bare clear_bit(NCI_DATA_EXCHANGE) with test_and_clear_bit() so that only the first caller proceeds to invoke the callback. [] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: always wait for ordered extents to avoid OE races [BUG] Syzbot reported a bug that there can be conflicting OEs for the same range: BTRFS critical (device loop4): panic in insert_ordered_extent:264: overlapping ordered extents, existing oe file_offset 16384 num_bytes 430080 flags 0x1089, new oe file_offset 16384 num_bytes 430080 flags 0x80 (errno=-17 Object alrea[ 179.162726][ T6897] BTRFS critical (device loop4): panic in insert_ordered_extent:264: overlapping ordered extents, existing oe file_offset 16384 num_bytes 430080 flags 0x1089, new oe file_offset 16384 num_bytes 430080 flags 0x80 (errno=-17 Object already exists) ------------[ cut here ]------------ kernel BUG at fs/btrfs/ordered-data.c:264! Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 05/09/2026 RIP: 0010:btrfs_alloc_ordered_extent+0x943/0xad0 Call Trace: <TASK> cow_file_range+0x744/0x12a0 fallback_to_cow+0x5ea/0xa00 run_delalloc_nocow+0x110c/0x17a0 btrfs_run_delalloc_range+0xbe4/0x1c20 writepage_delalloc+0x104d/0x1ba0 btrfs_writepages+0x1667/0x28b0 do_writepages+0x338/0x560 filemap_fdatawrite_range+0x1f2/0x300 btrfs_fdatawrite_range+0x54/0xf0 btrfs_direct_write+0x6a0/0xc30 btrfs_do_write_iter+0x329/0x790 do_iter_readv_writev+0x624/0x8d0 vfs_writev+0x34c/0x990 __se_sys_pwritev2+0x17a/0x2a0 do_syscall_64+0x174/0x580 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> ---[ end trace 0000000000000000 ]--- [CAUSE] Since commit ff66fe666233 ("btrfs: fix incorrect buffered IO fallback for append direct writes"), if the direct IO finished short, we will revert the isize back to the original one, so that append writes can be respected during the buffered fallback. Normally we rely on lock_and_cleanup_extent_if_need() function during buffered writeback to wait for any existing ordered extents. But that ordered extent waiting only happens if the start_pos is inside the isize. Since we have reverted the isize during failed direct IO, we will not wait for any ordered extents. This means we can have a race where the direct IO OE is still in the tree, finished but not yet removed, then we're inserting the OE for the buffered write, causing the above crash. [FIX] Make the OE wait to be unconditional, to handle the reverted isize situation. And since lock_and_cleanup_extent_if_need() now either lock the extents or return -EAGAIN, also remove the branches that handles no-extent-locked cases, and rename it to remove the "_if_need" suffix. The following micro benchmark shows the runtime difference for btrfs_buffered_write(), doing `xfs_io -f -c "pwrite 0 1m"` workload, all values are the average runtime in nano seconds. function runtime | before | after -----------------------------------+-------------+--------------- lock_and_cleanup_extent_if_need() | 58.2 | 183.0 btrfs_buffered_write() | 2115.6 | 2973.3 The overall runtime of btrfs_buffered_write() is still pretty tiny (still less than 3 micro seconds), I'd say the extra cost is still acceptable. An alternative to fix this problem is to wait ordered extents during iomap_end() where the isize revert is done. But that solution will break nowait requirement, as if a nowait direct IO finished short, we have to wait for the OEs unconditionally or the next append buffered IO can still hit the same problem. So here we have to move the wait cost to buffered write, but at least the code is slightly more streamline. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: locking/rtmutex: Skip remove_waiter() when waiter is not enqueued syzbot triggered the following splat in remove_waiter() via FUTEX_CMP_REQUEUE_PI: KASAN: null-ptr-deref in range [0x0000000000000a88-0x0000000000000a8f] class_raw_spinlock_constructor remove_waiter+0x159/0x1200 kernel/locking/rtmutex.c:1561 rt_mutex_start_proxy_lock+0x103/0x120 futex_requeue+0x10e4/0x20d0 __x64_sys_futex+0x34f/0x4d0 task_blocks_on_rt_mutex() does not arm the waiter upon deadlock detection, leaving waiter->task nil, where 3bfdc63936dd ("rtmutex: Use waiter::task instead of current in remove_waiter()") made this fatal. Furthermore, rt_mutex_start_proxy_lock() should not be calling into remove_waiter() upon a successfully grabbing the rtmutex. 1a1fb985f2e2 ("futex: Handle early deadlock return correctly"), moved the remove_waiter() out of __rt_mutex_start_proxy_lock() (where 'ret' was only ever 0 or < 0) into the wrapper. Tighten this check to account for try_to_take_rt_mutex(). [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: PCM: Fix wait queue list corruption in snd_pcm_drain() on linked streams snd_pcm_drain() uses init_waitqueue_entry which does not clear entry.prev/next, and add_wait_queue with a conditional remove_wait_queue that is skipped when to_check is no longer in the group after concurrent UNLINK. The orphaned wait entry remains on the unlinked substream sleep queue. On the next drain iteration, add_wait_queue adds the entry to a new queue while still linked on the old one, corrupting both lists. A subsequent wake_up dereferences NULL at the func pointer (mapped from the spinlock at offset 0 of the misinterpreted wait_queue_head_t), causing a kernel panic. Replace init_waitqueue_entry/add_wait_queue/conditional remove_wait_queue with init_wait_entry/prepare_to_wait/ finish_wait. init_wait_entry clears prev/next via INIT_LIST_HEAD on each iteration and sets autoremove_wake_function which auto-removes the entry on wake-up. finish_wait safely handles both the already-removed and still-queued cases. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix out-of-bounds read in smb_check_perm_dacl() The permission-check ACE walk in smb_check_perm_dacl() validates the ACE header size and caps sid.num_subauth at SID_MAX_SUB_AUTHORITIES, but it never checks that ace->size is actually large enough to contain num_subauth sub-authorities before compare_sids() dereferences them. CIFS_SID_BASE_SIZE covers the SID header up to but excluding the sub_auth[] array, and offsetof(struct smb_ace, sid) is the ACE header, so the existing guards only guarantee the 8-byte SID base, i.e. zero sub-authorities. compare_sids() then reads ace->sid.sub_auth[i] for i < min(local_sid->num_subauth, ace->sid.num_subauth). The local comparison SIDs (sid_everyone, sid_unix_NFS_mode, and the id_to_sid() result) always have at least one sub-authority, and an attacker controls the ACE revision and authority bytes (which lie within the in-bounds SID base), so they can match one of those SIDs and force the sub_auth read. A crafted ACE with size == 16 and num_subauth >= 1 placed at the tail of the security descriptor therefore causes a heap out-of-bounds read of up to SID_MAX_SUB_AUTHORITIES * sizeof(__le32) bytes past the pntsd allocation. The security descriptor is loaded by ksmbd_vfs_get_sd_xattr() into a buffer sized exactly to the on-disk data (kzalloc(sd_size) in ndr_decode_v4_ntacl()), so the read lands past the allocation. The malformed descriptor can be stored verbatim via SMB2_SET_INFO (the DACL is not normalised before being written to the security.NTACL xattr) and the read fires on a subsequent SMB2_CREATE access check, making this reachable by an authenticated client on a share that uses ACL xattrs. Add the missing num_subauth-versus-ace_size check, mirroring the identical guards already present in the sibling parsers parse_dacl() and smb_inherit_dacl(). [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix incorrect FI_NO_EXTENT handling in __destroy_extent_node() When __destroy_extent_node() sets the inode flag FI_NO_EXTENT, it does not reset the length of the largest extent to 0 and update the inode folio. Since modifications to the extent tree are disallowed afterward, the cached largest extent may become stale. This can trigger the following error in xfstests generic/388: F2FS-fs (dm-0): sanity_check_extent_cache: inode (ino=1761) extent info [220057, 57, 6] is incorrect, run fsck to fix In the f2fs_drop_inode path, __destroy_extent_node() does not need to guarantee that et->node_cnt is 0, because concurrency with writeback is expected in this path, and writeback may update the extent cache. This patch reverts commit ed78aeebef05 ("f2fs: fix node_cnt race between extent node destroy and writeback"), and remove the unnecessary zero check of et->node_cnt. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: OOB read regression in smb_check_perm_dacl() ACE-walk loops Commit d07b26f39246 ("ksmbd: require minimum ACE size in smb_check_perm_dacl()") introduced a transposed bounds check: if (offsetof(struct smb_ace, sid) + aces_size < CIFS_SID_BASE_SIZE) Since offsetof(..sid) is 8 and CIFS_SID_BASE_SIZE is 8, this evaluates to `aces_size < 0`. Because `aces_size` is always non-negative, this check becomes dead code and never breaks the loop. Worse, that commit removed the old 4-byte guard, meaning the loop now reads `ace->size` (offset 2) even when `aces_size` is 0-3 bytes. This re-opens a 2-byte heap out-of-bounds (OOB) read past the pntsd allocation during subsequent SMB2_CREATE operations. Fix this by properly transposing the comparison to require at least 16 bytes (8-byte offset + 8-byte SID base), matching the correct form used in smb_inherit_dacl(). [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: Fix busy dentry used after unmounting Since commit 340cea84f691c ("cifs: open files should not hold ref on superblock"), cifs file only holds the dentry ref_cnt, the cifs file close work(cfile->deferred) could be executed after unmounting, which will trigger a warning in generic_shutdown_super: BUG: Dentry 00000000a14a6845{i=c,n=file} still in use (1) [unmount of cifs cifs] The detailed processs is: process A process B kworker fd = open(PATH) vfs_open file->__f_path = *path // dentry->d_lockref.count = 1 cifs_open cifs_new_fileinfo cfile->dentry = dget(dentry) // dentry->d_lockref.count = 2 close(fd) __fput cifs_close queue_delayed_work(deferredclose_wq, cfile->deferred) dput(dentry) // dentry->d_lockref.count = 1 smb2_deferred_work_close _cifsFileInfo_put list_del(&cifs_file->flist) umount cleanup_mnt deactivate_super cifs_kill_sb cifs_close_all_deferred_files_sb cifs_close_all_deferred_files // cannot find cfile, skip _cifsFileInfo_put kill_anon_super generic_shutdown_super shrink_dcache_for_umount umount_check WARN ! // dentry->d_lockref.count = 1 cifsFileInfo_put_final dput(cifs_file->dentry) // dentry->d_lockref.count = 0 Fix it by flushing 'deferredclose_wq' before calling kill_anon_super. Fetch a reproducer in https://bugzilla.kernel.org/show_bug.cgi?id=221548. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: capture fast-RX rate before mesh reuses skb->cb ieee80211_invoke_fast_rx() reads RX status through IEEE80211_SKB_RXCB(skb), which aliases the same skb->cb storage that ieee80211_rx_mesh_data() reuses as IEEE80211_TX_INFO. In the unicast forward path, mesh_data does: info = IEEE80211_SKB_CB(fwd_skb); memset(info, 0, sizeof(*info)); on the same skb the caller still names via rx->skb, then either queues the skb for TX (success) or kfree_skb()'s it (no-route) before returning RX_QUEUED. The caller's RX_QUEUED arm then calls sta_stats_encode_rate(status) on memory that is either zeroed (success path) or freed (no-route path). The latter is KASAN slab-use-after-free in ieee80211_prepare_and_rx_handle. Fix by encoding the rate from status before invoking ieee80211_rx_mesh_data(), so the RX_QUEUED arm consumes a value captured while status was still backed by valid memory. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix SID memory leak in set_posix_acl_entries_dacl() on overflow Commit 299f962c0b02 ("ksmbd: use check_add_overflow() to prevent u16 DACL size overflow") added check_add_overflow() guards that break out of the ACE-building loops in set_posix_acl_entries_dacl() when the accumulated DACL size would wrap past 65535. However, each iteration allocates a struct smb_sid via kmalloc_obj() at the top of the loop and relies on the kfree(sid) call at the end of the loop body (the 'pass_same_sid' label in the first loop, and the explicit kfree at the tail of the second loop) to release it. The newly introduced 'break' statements bypass those kfree() calls, leaking the sid buffer every time an overflow is detected. A malicious or malformed file with enough POSIX ACL entries to trip the overflow check will leak one or more struct smb_sid allocations on every request that touches the file's DACL, providing a trivial kernel memory exhaustion vector. Free sid before breaking out of the loops to plug the leak. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: tracepoints: fix sleep while in atomic context in btrfs_sync_file() The trace event btrfs_sync_file() is called in an atomic context (all trace events are) and its call to dput(), which is needed due to the call to dget_parent(), can sleep, triggering a kernel splat. This can be reproduced by enabling the trace event and running btrfs/056 from fstests for example. The splat shown in dmesg is the following: [53.919] BUG: sleeping function called from invalid context at fs/dcache.c:970 [53.947] in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 32773, name: xfs_io [53.988] preempt_count: 2, expected: 0 [53.967] RCU nest depth: 0, expected: 0 [53.943] Preemption disabled at: [53.944] [<0000000000000000>] 0x0 [54.078] CPU: 0 UID: 0 PID: 32773 Comm: xfs_io Tainted: G W 7.1.0-rc1-btrfs-next-232+ #1 PREEMPT(full) [54.070] Tainted: [W]=WARN [54.071] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.2-0-gea1b7a073390-prebuilt.qemu.org 04/01/2014 [54.072] Call Trace: [54.074] <TASK> [54.076] dump_stack_lvl+0x56/0x80 [54.079] __might_resched.cold+0xd6/0x10f [54.072] dput.part.0+0x24/0x110 [54.078] trace_event_raw_event_btrfs_sync_file+0x75/0x140 [btrfs] [54.089] btrfs_sync_file+0x1ed/0x530 [btrfs] [54.087] ? __handle_mm_fault+0x8ae/0xed0 [54.089] btrfs_do_write_iter+0x172/0x210 [btrfs] [54.091] vfs_write+0x21f/0x450 [54.094] __x64_sys_pwrite64+0x8d/0xc0 [54.096] ? do_user_addr_fault+0x20c/0x670 [54.099] do_syscall_64+0x60/0xf20 [54.092] ? clear_bhb_loop+0x60/0xb0 [54.094] entry_SYSCALL_64_after_hwframe+0x76/0x7e So stop using dget_parent() and dput() and access the parent dentry directly as dentry->d_parent. This is also what ext4 is doing in its equivalent trace event ext4_sync_file_enter(). [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: rc: igorplugusb: fix control request setup packet Commit eac69475b01f ("media: rc: igorplugusb: heed coherency rules") changed the control request storage from an embedded struct to an allocated pointer so it can obey DMA coherency rules. However, the driver still passes &ir->request to usb_fill_control_urb(). That points the URB setup packet at the pointer field itself rather than at the allocated struct usb_ctrlrequest. USB core then interprets pointer bytes as the setup packet. This can produce an invalid bRequestType and trigger the control direction warning reported by syzbot: usb 2-1: BOGUS control dir, pipe 80003580 doesn't match bRequestType 0 Pass ir->request itself as the setup packet. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: MIPS: smp: report dying CPU to RCU in stop_this_cpu() smp_send_stop() parks all secondary CPUs in stop_this_cpu(). The function marks the CPU offline for the scheduler via set_cpu_online(false) but never informs RCU, so RCU keeps expecting a quiescent state from CPUs that are now spinning forever with interrupts disabled. As long as nothing waits for an RCU grace period after smp_send_stop() this is harmless, which is why it went unnoticed. Since commit 91840be8f710 ("irq_work: Fix use-after-free in irq_work_single() on PREEMPT_RT") however, irq_work_sync() calls synchronize_rcu() on architectures without an irq_work self-IPI, i.e. where arch_irq_work_has_interrupt() returns false. That is the asm-generic default used by MIPS. Any irq_work_sync() issued in the reboot/shutdown path after smp_send_stop() then blocks on a grace period that can never complete, hanging the reboot: WARNING: CPU: 0 PID: 15 at kernel/irq_work.c:144 irq_work_queue_on ... rcu: INFO: rcu_sched detected stalls on CPUs/tasks: rcu: Offline CPU 1 blocking current GP. rcu: Offline CPU 2 blocking current GP. rcu: Offline CPU 3 blocking current GP. This issue was noticed on several Realtek MIPS switch SoCs (MIPS interAptiv) and came up during kernel bump downstream in OpenWrt from 6.18.33 to 6.18.34, after the backport of the patch to the 6.18 stable branch. The patch also has been backported all the way back to 6.1. Call rcutree_report_cpu_dead() once interrupts are disabled, mirroring the generic CPU-hotplug offline path, so RCU stops waiting on the parked CPUs and grace periods can still complete. MIPS shuts down all CPUs here without going through the CPU-hotplug mechanism, so this report is not otherwise issued. Reporting a dying CPU to RCU outside the regular hotplug offline path is not unprecedented: arm64 does the same in cpu_die_early(). There it is an exception for a CPU that was coming online and is aborting bringup, rather than the default shutdown action as on MIPS. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Report dying CPU to RCU in stop_this_cpu() This is a port of MIPS commit 9f3f3bdc6d9dac1 ("MIPS: smp: report dying CPU to RCU in stop_this_cpu()"). smp_send_stop() parks all secondary CPUs in stop_this_cpu(). And the function marks the CPU offline for the scheduler via set_cpu_online(false) but never informs RCU, so RCU keeps expecting a quiescent state from CPUs that are now spinning forever with interrupts disabled. As long as nothing waits for an RCU grace period after smp_send_stop() this is harmless, which is why it went unnoticed. However, since commit 91840be8f710370 ("irq_work: Fix use-after-free in irq_work_single() on PREEMPT_RT"), irq_work_sync() calls synchronize_rcu() on architectures without an irq_work self-IPI, i.e. where arch_irq_work_has_interrupt() returns false. Any irq_work_sync() issued in the reboot/shutdown/halt path after smp_send_stop() then blocks on a grace period that can never complete, hanging the reboot: WARNING: CPU: 0 PID: 15 at kernel/irq_work.c:144 irq_work_queue_on ... rcu: INFO: rcu_sched detected stalls on CPUs/tasks: rcu: Offline CPU 1 blocking current GP. rcu: Offline CPU 2 blocking current GP. rcu: Offline CPU 3 blocking current GP. This issue needs some hacks to reproduce, and it was not noticed on LoongArch because arch_irq_work_has_interrupt() usually returns true. Call rcutree_report_cpu_dead() once interrupts are disabled, mirroring the generic CPU-hotplug offline path, so RCU stops waiting on the parked CPUs and grace periods can still complete. LoongArch shuts down all CPUs here without going through the CPU-hotplug mechanism, so this report is not otherwise issued. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mld: validate sta_mask before ffs() in BA session handlers Three BA session handlers use ffs(ba_data->sta_mask) - 1 to derive a station ID without checking that sta_mask is non-zero. When sta_mask is zero, ffs() returns 0 and the subtraction wraps to 0xFFFFFFFF, causing an out-of-bounds access on fw_id_to_link_sta[]. Add WARN_ON_ONCE(!ba_data->sta_mask) guards before each ffs() call, consistent with the existing check in iwl_mld_ampdu_rx_start(). [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: mtk-jpeg: cancel workqueue on release for supported platforms only Since a recent fix the mtk_jpeg_release function cancels any pending or running work present in the driver workqueue using cancel_work_sync function. Currently, only the multicore based variants use this workqueue and they have the jpeg_worker platform data field initialized with a workqueue callback function. For the others, this field value remain NULL by default. The cancel_work_sync function is unconditionally called in mtk_jpeg_release function, even for the variants that do not use the workqueue. This call generates a WARN_ON print in __flush_work because the workqueue callback function presence check fails in __flush_work function (used by cancel_work_sync). So, to avoid these warnings, call cancel_work_sync only if a workqueue callback is defined in platform data. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free of a deferred file_lock on SMB2_CLOSE then SMB2_CANCEL Commit f580d27e8928 ("ksmbd: fix use-after-free of a deferred file_lock on double SMB2_CANCEL") made smb2_cancel() skip a work whose state is KSMBD_WORK_CANCELLED, so its cancel_fn cannot be fired a second time. But KSMBD_WORK has three states (ACTIVE, CANCELLED, CLOSED), and the same freeing producer path is reached for CLOSED too: SMB2_CLOSE on the locking handle -> set_close_state_blocked_works() sets the deferred work's state to KSMBD_WORK_CLOSED and wakes the smb2_lock() worker. The worker takes the non-ACTIVE early-exit, locks_free_lock()s the file_lock and, because the state is not KSMBD_WORK_CANCELLED, takes the STATUS_RANGE_NOT_LOCKED branch with "goto out2" -- which, like the cancelled branch, skips release_async_work(). The work stays on conn->async_requests with a live cancel_fn = smb2_remove_blocked_lock pointing at the freed file_lock. A subsequent SMB2_CANCEL for the same AsyncId then passes the KSMBD_WORK_CANCELLED-only guard (its state is KSMBD_WORK_CLOSED), so smb2_cancel() fires cancel_fn again over the freed file_lock -- the same use-after-free fixed, via SMB2_CLOSE instead of a first SMB2_CANCEL: BUG: KASAN: slab-use-after-free in __locks_delete_block __locks_delete_block locks_delete_block ksmbd_vfs_posix_lock_unblock smb2_remove_blocked_lock smb2_cancel <- 2nd SMB2_CANCEL fires cancel_fn handle_ksmbd_work Allocated by ...: locks_alloc_lock <- smb2_lock Freed by ...: locks_free_lock <- smb2_lock (non-ACTIVE early-exit) ... cache file_lock_cache of size 192 Reproduced on mainline 7.1-rc7 (which already contains f580d27e8928) with KASAN by an authenticated SMB client; the double-SMB2_CANCEL control is silent on that kernel, so the splat is attributable to the CLOSE trigger. Only an ACTIVE deferred work may have its cancel_fn fired: both terminal states (CANCELLED and CLOSED) reach the smb2_lock() early-exit that frees the file_lock and skips release_async_work(). Guard on KSMBD_WORK_ACTIVE so any non-active work is skipped. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: move policy_bydst RCU sync from per-netns .exit to .pre_exit The struct pernet_operations docstring in include/net/net_namespace.h explicitly warns against blocking RCU primitives in .exit handlers: Exit methods using blocking RCU primitives, such as synchronize_rcu(), should be implemented via exit_batch. [...] Please, avoid synchronize_rcu() at all, where it's possible. Note that a combination of pre_exit() and exit() can be used, since a synchronize_rcu() is guaranteed between the calls. xfrm_policy_fini() violates this: it calls synchronize_rcu() before freeing the policy_bydst hash tables (so no RCU reader is mid- traversal at free time), but runs from xfrm_net_ops.exit -- once per namespace -- so a cleanup_net() of N namespaces pays N full RCU grace periods serially. Use the documented pre_exit/exit split. Move the policy flush (and the workqueue drains it depends on) into a new .pre_exit handler; xfrm_policy_fini() then runs in .exit and frees the hash tables after the synchronize_rcu_expedited() that cleanup_net() guarantees between the two phases. Providing O(1) RCU grace periods per batch instead of O(N). Observed on Linux 6.18 with a workload doing unshare(CLONE_NEWNET) at ~13/sec sustained: cleanup_net() and the netns_wq rescuer kthread both stuck in xfrm_policy_fini()'s synchronize_rcu(), >300k struct net accumulated in the cleanup queue, Percpu in /proc/meminfo climbed to 130+ GB on 256-CPU hosts, and memcg OOMs followed. setup_net and __put_net counts were balanced, ruling out a refcount leak. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: restore DACL size on check_add_overflow() to avoid malformed ACL check_add_overflow() unconditionally writes the truncated sum into *d even on overflow, per its contract in include/linux/overflow.h. The four check_add_overflow() guards in set_posix_acl_entries_dacl() and set_ntacl_dacl() break out of the ACE-building loops on overflow, but the truncated *size is then consumed downstream at the end of set_ntacl_dacl(): pndacl->size = cpu_to_le16(le16_to_cpu(pndacl->size) + size); This produces an on-wire NT ACL whose pndacl->size under-reports the bytes actually written by the preceding fill_ace_for_sid()/memcpy() calls, yielding a malformed ACL that can trigger out-of-bounds reads when re-parsed by clients or ksmbd itself. Restore *size to its pre-addition value on each overflow branch (via `*size -= ace_sz` / `size -= nt_ace_size`) so that after the break, *size once again holds the cumulative size of the successfully-written ACEs. The committed ACL is then truncated-but-self-consistent rather than malformed. The ksmbd DACL builders are the only check_add_overflow() sites found where an overflow path breaks out of a loop and the destination value is consumed afterward. The other nearby break-style cases either return -EINVAL on overflow (transport_ipc.c) or break without consuming the overflowed destination value afterward (buildid.c). [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: convert pmsr_free_wk to wiphy_work to fix deadlock When a netlink socket that owns a PMSR session is closed, cfg80211_release_pmsr() clears the request's nl_portid and queues pmsr_free_wk to call cfg80211_pmsr_process_abort() asynchronously. If the interface tears down concurrently, cfg80211_pmsr_wdev_down() is called under wiphy_lock and calls cancel_work_sync(&pmsr_free_wk) to wait for any running work. The work function acquires wiphy_lock via guard(wiphy) before calling process_abort. This is a deadlock: wdev_down holds wiphy_lock and blocks inside cancel_work_sync(); pmsr_free_wk blocks trying to acquire that same wiphy_lock. Neither thread can proceed. The same deadlock is reachable from cfg80211_leave_locked(), which calls cfg80211_pmsr_wdev_down() for all interface types under wiphy_lock. Fix this by converting pmsr_free_wk from a plain work_struct to a wiphy_work. The wiphy_work dispatcher holds wiphy_lock when running work items, so the explicit guard(wiphy) in the work function is no longer needed. wiphy_work_cancel() can be called safely while holding wiphy_lock - since wiphy_lock prevents the work from running concurrently, wiphy_work_cancel() never blocks, eliminating the deadlock. Remove the cancel_work_sync() for pmsr_free_wk from the NETDEV_GOING_DOWN handler. cfg80211_leave(), called unconditionally just before it, already cancels any pending work under wiphy_lock via wiphy_work_cancel() inside cfg80211_pmsr_wdev_down(). [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm-log: fix a bitset_size overflow on 32bit machines Commit c20e36b7631d ("dm log: fix out-of-bounds write due to region_count overflow") made sure that region_count could fit in an unsigned int. But the bitmap memory isn't allocated based on region_count. It uses bitset_size (a size_t variable). The first step of calculating bitset_size is to set it to region_count, rounded up to a multiple of BITS_PER_LONG. If region_size is less than BITS_PER_LONG smaller than UINT_MAX, it will get rounded up to 2^32. On a 32bit architecture, this will make bitset_size wrap around to 0 and fail, despite region_count being valid. Since bitset_size gets divided by 8, it can hold any valid region_count. It just needs a special case to handle the rollover. If it is 0, the value rolled over, and bitset size should be set to the number of bytes needed to hold 2^32 bits. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: afs: Fix lack of locking around modifications of net->cells_dyn_ino Fix the lack of locking around modifications of net->cells_dyn_ino by taking net->cells_lock exclusively. This also requires to cell to be removed from net->cells_dyn_ino in afs_destroy_cell_work() rather than in afs_cell_destroy() as the latter runs in RCU cleanup context and sleeping locks cannot be taken there. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix circular locking dependency in ocfs2_dio_end_io_write A circular locking dependency involves INODE_ALLOC_SYSTEM_INODE, EXTENT_ALLOC_SYSTEM_INODE, and ORPHAN_DIR_SYSTEM_INODE. 1. ocfs2_mknod() acquires INODE_ALLOC then EXTENT_ALLOC. 2. ocfs2_dio_end_io_write() acquires EXTENT_ALLOC for unwritten extents, then ORPHAN_DIR via ocfs2_del_inode_from_orphan() while still holding EXTENT_ALLOC. 3. ocfs2_wipe_inode() acquires ORPHAN_DIR then INODE_ALLOC via ocfs2_remove_inode. Break the cycle in ocfs2_dio_end_io_write() by freeing the allocation contexts (releasing EXTENT_ALLOC) before acquiring ORPHAN_DIR. WARNING: possible circular locking dependency detected ------------------------------------------------------ is trying to acquire lock: ffff8881e78b33a0 (&ocfs2_sysfile_lock_key[INODE_ALLOC_SYSTEM_INODE]){+.+.}-{4:4}, at: ocfs2_evict_inode+0x1539/0x43b0 fs/ocfs2/inode.c:1299 but task is already holding lock: ffff8881e78b4fa0 (&ocfs2_sysfile_lock_key[ORPHAN_DIR_SYSTEM_INODE]){+.+.}-{4:4}, at: ocfs2_evict_inode+0xe97/0x43b0 fs/ocfs2/inode.c:1299 the existing dependency chain (in reverse order) is: -> #2 (&ocfs2_sysfile_lock_key[ORPHAN_DIR_SYSTEM_INODE]){+.+.}-{4:4}: inode_lock include/linux/fs.h:1029 [inline] ocfs2_del_inode_from_orphan+0x12e/0x7a0 fs/ocfs2/namei.c:2728 ocfs2_dio_end_io+0xf9c/0x1370 fs/ocfs2/aops.c:2418 dio_complete+0x25b/0x790 fs/direct-io.c:281 -> #1 (&ocfs2_sysfile_lock_key[EXTENT_ALLOC_SYSTEM_INODE]){+.+.}-{4:4}: inode_lock include/linux/fs.h:1029 [inline] ocfs2_reserve_suballoc_bits+0x16d/0x4840 fs/ocfs2/suballoc.c:882 ocfs2_reserve_new_metadata_blocks+0x415/0x9a0 fs/ocfs2/suballoc.c:1078 ocfs2_mknod+0x10f3/0x2260 fs/ocfs2/namei.c:351 -> #0 (&ocfs2_sysfile_lock_key[INODE_ALLOC_SYSTEM_INODE]){+.+.}-{4:4}: __lock_acquire+0x15a5/0x2cf0 kernel/locking/lockdep.c:5237 lock_acquire+0x106/0x350 kernel/locking/lockdep.c:5868 down_write+0x96/0x200 kernel/locking/rwsem.c:1625 inode_lock include/linux/fs.h:1029 [inline] ocfs2_remove_inode fs/ocfs2/inode.c:733 [inline] ocfs2_wipe_inode fs/ocfs2/inode.c:896 [inline] ocfs2_delete_inode fs/ocfs2/inode.c:1157 [inline] ocfs2_evict_inode+0x1539/0x43b0 fs/ocfs2/inode.c:1299 Chain exists of: &ocfs2_sysfile_lock_key[INODE_ALLOC_SYSTEM_INODE] --> &ocfs2_sysfile_lock_key[EXTENT_ALLOC_SYSTEM_INODE] --> &ocfs2_sysfile_lock_key[ORPHAN_DIR_SYSTEM_INODE] Possible unsafe locking scenario: CPU0 CPU1 ---- ---- lock(&ocfs2_sysfile_lock_key[ORPHAN_DIR_SYSTEM_INODE]); lock(&ocfs2_sysfile_lock_key[EXTENT_ALLOC_SYSTEM_INODE]); lock(&ocfs2_sysfile_lock_key[ORPHAN_DIR_SYSTEM_INODE]); lock(&ocfs2_sysfile_lock_key[INODE_ALLOC_SYSTEM_INODE]); *** DEADLOCK *** [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/xattr: missing fdput() in fremovexattr error path In the Linux kernel, the fremovexattr() syscall calls fdget() to acquire a file reference but returns early without calling fdput() when strncpy_from_user() fails on the name argument. In multi-threaded processes where fdget() takes the slow path, this permanently leaks one file reference per call, pinning the struct file and associated kernel objects in memory. An unprivileged local user can exploit this to cause kernel memory exhaustion. The issue was inadvertently fixed by commit a71874379ec8 ("xattr: switch to CLASS(fd)"). Уязвимость компонента fs/xattr ядра операционной системы Linux связана с неконтролируемым расходом памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bridge: mcast: Fix use-after-free during router port configuration The bridge maintains a global list of ports behind which a multicast router resides. The list is consulted during forwarding to ensure multicast packets are forwarded to these ports even if the ports are not member in the matching MDB entry. When per-VLAN multicast snooping is enabled, the per-port multicast context is disabled on each port and the port is removed from the global router port list: # ip link add name br1 up type bridge vlan_filtering 1 mcast_snooping 1 # ip link add name dummy1 up master br1 type dummy # ip link set dev dummy1 type bridge_slave mcast_router 2 $ bridge -d mdb show | grep router router ports on br1: dummy1 # ip link set dev br1 type bridge mcast_vlan_snooping 1 $ bridge -d mdb show | grep router However, the port can be re-added to the global list even when per-VLAN multicast snooping is enabled: # ip link set dev dummy1 type bridge_slave mcast_router 0 # ip link set dev dummy1 type bridge_slave mcast_router 2 $ bridge -d mdb show | grep router router ports on br1: dummy1 Since commit 4b30ae9adb04 ("net: bridge: mcast: re-implement br_multicast_{enable, disable}_port functions"), when per-VLAN multicast snooping is enabled, multicast disablement on a port will disable the per-{port, VLAN} multicast contexts and not the per-port one. As a result, a port will remain in the global router port list even after it is deleted. This will lead to a use-after-free [1] when the list is traversed (when adding a new port to the list, for example): # ip link del dev dummy1 # ip link add name dummy2 up master br1 type dummy # ip link set dev dummy2 type bridge_slave mcast_router 2 Similarly, stale entries can also be found in the per-VLAN router port list. When per-VLAN multicast snooping is disabled, the per-{port, VLAN} contexts are disabled on each port and the port is removed from the per-VLAN router port list: # ip link add name br1 up type bridge vlan_filtering 1 mcast_snooping 1 mcast_vlan_snooping 1 # ip link add name dummy1 up master br1 type dummy # bridge vlan add vid 2 dev dummy1 # bridge vlan global set vid 2 dev br1 mcast_snooping 1 # bridge vlan set vid 2 dev dummy1 mcast_router 2 $ bridge vlan global show dev br1 vid 2 | grep router router ports: dummy1 # ip link set dev br1 type bridge mcast_vlan_snooping 0 $ bridge vlan global show dev br1 vid 2 | grep router However, the port can be re-added to the per-VLAN list even when per-VLAN multicast snooping is disabled: # bridge vlan set vid 2 dev dummy1 mcast_router 0 # bridge vlan set vid 2 dev dummy1 mcast_router 2 $ bridge vlan global show dev br1 vid 2 | grep router router ports: dummy1 When the VLAN is deleted from the port, the per-{port, VLAN} multicast context will not be disabled since multicast snooping is not enabled on the VLAN. As a result, the port will remain in the per-VLAN router port list even after it is no longer member in the VLAN. This will lead to a use-after-free [2] when the list is traversed (when adding a new port to the list, for example): # ip link add name dummy2 up master br1 type dummy # bridge vlan add vid 2 dev dummy2 # bridge vlan del vid 2 dev dummy1 # bridge vlan set vid 2 dev dummy2 mcast_router 2 Fix these issues by removing the port from the relevant (global or per-VLAN) router port list in br_multicast_port_ctx_deinit(). The function is invoked during port deletion with the per-port multicast context and during VLAN deletion with the per-{port, VLAN} multicast context. Note that deleting the multicast router timer is not enough as it only takes care of the temporary multicast router states (1 or 3) and not the permanent one (2). [1] BUG: KASAN: slab-out-of-bounds in br_multicast_add_router.part.0+0x3f1/0x560 Write of size 8 at addr ffff888004a67328 by task ip/384 [...] Call Trace: <TASK> dump_stack ---truncated--- Уязвимость функции br_multicast_port_ctx_init() в модуле net/bridge/br_multicast.c реализации сетевых функций ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bridge.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bridge в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bridge ``` или ``` kmod list | grep bridge ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bridge ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install bridge /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: authencesn - reject too-short AAD (assoclen<8) to match ESP/ESN spec authencesn assumes an ESP/ESN-formatted AAD. When assoclen is shorter than the minimum expected length, crypto_authenc_esn_decrypt() can advance past the end of the destination scatterlist and trigger a NULL pointer dereference in scatterwalk_map_and_copy(), leading to a kernel panic (DoS). Add a minimum AAD length check to fail fast on invalid inputs. Уязвимость компонента authenc ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля authenc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль authenc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep authenc ``` или ``` kmod list | grep authenc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod authenc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install authenc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: Enforce that teql can only be used as root qdisc Design intent of teql is that it is only supposed to be used as root qdisc. We need to check for that constraint. Although not important, I will describe the scenario that unearthed this issue for the curious. GangMin Kim <km.kim1503@gmail.com> managed to concot a scenario as follows: ROOT qdisc 1:0 (QFQ) ├── class 1:1 (weight=15, lmax=16384) netem with delay 6.4s └── class 1:2 (weight=1, lmax=1514) teql GangMin sends a packet which is enqueued to 1:1 (netem). Any invocation of dequeue by QFQ from this class will not return a packet until after 6.4s. In the meantime, a second packet is sent and it lands on 1:2. teql's enqueue will return success and this will activate class 1:2. Main issue is that teql only updates the parent visible qlen (sch->q.qlen) at dequeue. Since QFQ will only call dequeue if peek succeeds (and teql's peek always returns NULL), dequeue will never be called and thus the qlen will remain as 0. With that in mind, when GangMin updates 1:2's lmax value, the qfq_change_class calls qfq_deact_rm_from_agg. Since the child qdisc's qlen was not incremented, qfq fails to deactivate the class, but still frees its pointers from the aggregate. So when the first packet is rescheduled after 6.4 seconds (netem's delay), a dangling pointer is accessed causing GangMin's causing a UAF. Уязвимость компонента sch_teql ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_teql.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_teql в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_teql ``` или ``` kmod list | grep sch_teql ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_teql ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install sch_teql /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: fix inverted genmask check in nft_map_catchall_activate() nft_map_catchall_activate() has an inverted element activity check compared to its non-catchall counterpart nft_mapelem_activate() and compared to what is logically required. nft_map_catchall_activate() is called from the abort path to re-activate catchall map elements that were deactivated during a failed transaction. It should skip elements that are already active (they don't need re-activation) and process elements that are inactive (they need to be restored). Instead, the current code does the opposite: it skips inactive elements and processes active ones. Compare the non-catchall activate callback, which is correct: nft_mapelem_activate(): if (nft_set_elem_active(ext, iter->genmask)) return 0; /* skip active, process inactive */ With the buggy catchall version: nft_map_catchall_activate(): if (!nft_set_elem_active(ext, genmask)) continue; /* skip inactive, process active */ The consequence is that when a DELSET operation is aborted, nft_setelem_data_activate() is never called for the catchall element. For NFT_GOTO verdict elements, this means nft_data_hold() is never called to restore the chain->use reference count. Each abort cycle permanently decrements chain->use. Once chain->use reaches zero, DELCHAIN succeeds and frees the chain while catchall verdict elements still reference it, resulting in a use-after-free. This is exploitable for local privilege escalation from an unprivileged user via user namespaces + nftables on distributions that enable CONFIG_USER_NS and CONFIG_NF_TABLES. Fix by removing the negation so the check matches nft_mapelem_activate(): skip active elements, process inactive ones. Уязвимость функции nft_map_catchall_activate() компонента nf_tables ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-672')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nf_tables.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_tables в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_tables ``` или ``` kmod list | grep nf_tables ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_tables ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nf_tables /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: macvlan: fix error recovery in macvlan_common_newlink() valis provided a nice repro to crash the kernel: ip link add p1 type veth peer p2 ip link set address 00:00:00:00:00:20 dev p1 ip link set up dev p1 ip link set up dev p2 ip link add mv0 link p2 type macvlan mode source ip link add invalid% link p2 type macvlan mode source macaddr add 00:00:00:00:00:20 ping -c1 -I p1 1.2.3.4 He also gave a very detailed analysis: <quote valis> The issue is triggered when a new macvlan link is created with MACVLAN_MODE_SOURCE mode and MACVLAN_MACADDR_ADD (or MACVLAN_MACADDR_SET) parameter, lower device already has a macvlan port and register_netdevice() called from macvlan_common_newlink() fails (e.g. because of the invalid link name). In this case macvlan_hash_add_source is called from macvlan_change_sources() / macvlan_common_newlink(): This adds a reference to vlan to the port's vlan_source_hash using macvlan_source_entry. vlan is a pointer to the priv data of the link that is being created. When register_netdevice() fails, the error is returned from macvlan_newlink() to rtnl_newlink_create(): if (ops->newlink) err = ops->newlink(dev, &params, extack); else err = register_netdevice(dev); if (err < 0) { free_netdev(dev); goto out; } and free_netdev() is called, causing a kvfree() on the struct net_device that is still referenced in the source entry attached to the lower device's macvlan port. Now all packets sent on the macvlan port with a matching source mac address will trigger a use-after-free in macvlan_forward_source(). </quote valis> With all that, my fix is to make sure we call macvlan_flush_sources() regardless of @create value whenever "goto destroy_macvlan_port;" path is taken. Many thanks to valis for following up on this issue. Уязвимость компонента drivers/net/macvlan.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2026-23209 необходимо запретить загрузку модуля macvlan.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль macvlan в ядро Linux, необходимо выполнить одну из команд: `lsmod | grep macvlan` или `kmod list | grep macvlan` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: `sudo rmmod macvlan` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: `install macvlan /bin/true` 5. Обновить параметры загрузки командой: `sudo update-initramfs -uk all` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: fix use-after-free in nf_tables_addchain() nf_tables_addchain() publishes the chain to table->chains via list_add_tail_rcu() (in nft_chain_add()) before registering hooks. If nf_tables_register_hook() then fails, the error path calls nft_chain_del() (list_del_rcu()) followed by nf_tables_chain_destroy() with no RCU grace period in between. This creates two use-after-free conditions: 1) Control-plane: nf_tables_dump_chains() traverses table->chains under rcu_read_lock(). A concurrent dump can still be walking the chain when the error path frees it. 2) Packet path: for NFPROTO_INET, nf_register_net_hook() briefly installs the IPv4 hook before IPv6 registration fails. Packets entering nft_do_chain() via the transient IPv4 hook can still be dereferencing chain->blob_gen_X when the error path frees the chain. Add synchronize_rcu() between nft_chain_del() and the chain destroy so that all RCU readers -- both dump threads and in-flight packet evaluation -- have finished before the chain is freed. Уязвимость компонента net/netfilter/nf_tables_api.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nf_tables.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_tables в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_tables ``` или ``` kmod list | grep nf_tables ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_tables ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nf_tables /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: xt_IDLETIMER: reject rev0 reuse of ALARM timer labels IDLETIMER revision 0 rules reuse existing timers by label and always call mod_timer() on timer->timer. If the label was created first by revision 1 with XT_IDLETIMER_ALARM, the object uses alarm timer semantics and timer->timer is never initialized. Reusing that object from revision 0 causes mod_timer() on an uninitialized timer_list, triggering debugobjects warnings and possible panic when panic_on_warn=1. Fix this by rejecting revision 0 rule insertion when an existing timer with the same label is of ALARM type. Уязвимость компонента net/netfilter/xt_IDLETIMER.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля xt_IDLETIMER.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль xt_IDLETIMER в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep xt_IDLETIMER ``` или ``` kmod list | grep xt_IDLETIMER ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod xt_IDLETIMER ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install xt_IDLETIMER /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: always walk all pending catchall elements During transaction processing we might have more than one catchall element: 1 live catchall element and 1 pending element that is coming as part of the new batch. If the map holding the catchall elements is also going away, its required to toggle all catchall elements and not just the first viable candidate. Otherwise, we get: WARNING: ./include/net/netfilter/nf_tables.h:1281 at nft_data_release+0xb7/0xe0 [nf_tables], CPU#2: nft/1404 RIP: 0010:nft_data_release+0xb7/0xe0 [nf_tables] [..] __nft_set_elem_destroy+0x106/0x380 [nf_tables] nf_tables_abort_release+0x348/0x8d0 [nf_tables] nf_tables_abort+0xcf2/0x3ac0 [nf_tables] nfnetlink_rcv_batch+0x9c9/0x20e0 [..] Уязвимость компонента net/netfilter/nf_tables_api.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nf_tables.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_tables в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_tables ``` или ``` kmod list | grep nf_tables ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_tables ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nf_tables /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_set_pipapo: split gc into unlink and reclaim phase Yiming Qian reports Use-after-free in the pipapo set type: Under a large number of expired elements, commit-time GC can run for a very long time in a non-preemptible context, triggering soft lockup warnings and RCU stall reports (local denial of service). We must split GC in an unlink and a reclaim phase. We cannot queue elements for freeing until pointers have been swapped. Expired elements are still exposed to both the packet path and userspace dumpers via the live copy of the data structure. call_rcu() does not protect us: dump operations or element lookups starting after call_rcu has fired can still observe the free'd element, unless the commit phase has made enough progress to swap the clone and live pointers before any new reader has picked up the old version. This a similar approach as done recently for the rbtree backend in commit 35f83a75529a ("netfilter: nft_set_rbtree: don't gc elements on insert"). Уязвимость компонента netfilter ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: release flowtable after rcu grace period on error Call synchronize_rcu() after unregistering the hooks from error path, since a hook that already refers to this flowtable can be already registered, exposing this flowtable to packet path and nfnetlink_hook control plane. This error path is rare, it should only happen by reaching the maximum number hooks or by failing to set up to hardware offload, just call synchronize_rcu(). There is a check for already used device hooks by different flowtable that could result in EEXIST at this late stage. The hook parser can be updated to perform this check earlier to this error path really becomes rarely exercised. Uncovered by KASAN reported as use-after-free from nfnetlink_hook path when dumping hooks. Уязвимость компонента net/netfilter/nf_tables_api.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nf_tables.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_tables в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_tables ``` или ``` kmod list | grep nf_tables ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_tables ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nf_tables /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: af_unix: Give up GC if MSG_PEEK intervened. Igor Ushakov reported that GC purged the receive queue of an alive socket due to a race with MSG_PEEK with a nice repro. This is the exact same issue previously fixed by commit cbcf01128d0a ("af_unix: fix garbage collect vs MSG_PEEK"). After GC was replaced with the current algorithm, the cited commit removed the locking dance in unix_peek_fds() and reintroduced the same issue. The problem is that MSG_PEEK bumps a file refcount without interacting with GC. Consider an SCC containing sk-A and sk-B, where sk-A is close()d but can be recv()ed via sk-B. The bad thing happens if sk-A is recv()ed with MSG_PEEK from sk-B and sk-B is close()d while GC is checking unix_vertex_dead() for sk-A and sk-B. GC thread User thread --------- ----------- unix_vertex_dead(sk-A) -> true <------. \ `------ recv(sk-B, MSG_PEEK) invalidate !! -> sk-A's file refcount : 1 -> 2 close(sk-B) -> sk-B's file refcount : 2 -> 1 unix_vertex_dead(sk-B) -> true Initially, sk-A's file refcount is 1 by the inflight fd in sk-B recvq. GC thinks sk-A is dead because the file refcount is the same as the number of its inflight fds. However, sk-A's file refcount is bumped silently by MSG_PEEK, which invalidates the previous evaluation. At this moment, sk-B's file refcount is 2; one by the open fd, and one by the inflight fd in sk-A. The subsequent close() releases one refcount by the former. Finally, GC incorrectly concludes that both sk-A and sk-B are dead. One option is to restore the locking dance in unix_peek_fds(), but we can resolve this more elegantly thanks to the new algorithm. The point is that the issue does not occur without the subsequent close() and we actually do not need to synchronise MSG_PEEK with the dead SCC detection. When the issue occurs, close() and GC touch the same file refcount. If GC sees the refcount being decremented by close(), it can just give up garbage-collecting the SCC. Therefore, we only need to signal the race during MSG_PEEK with a proper memory barrier to make it visible to the GC. Let's use seqcount_t to notify GC when MSG_PEEK occurs and let it defer the SCC to the next run. This way no locking is needed on the MSG_PEEK side, and we can avoid imposing a penalty on every MSG_PEEK unnecessarily. Note that we can retry within unix_scc_dead() if MSG_PEEK is detected, but we do not do so to avoid hung task splat from abusive MSG_PEEK calls. Уязвимость компонента af_unix ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: ipset: drop logically empty buckets in mtype_del mtype_del() counts empty slots below n->pos in k, but it only drops the bucket when both n->pos and k are zero. This misses buckets whose live entries have all been removed while n->pos still points past deleted slots. Treat a bucket as empty when all positions below n->pos are unused and release it directly instead of shrinking it further. Уязвимость компонента net/netfilter/ipset ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ip_set.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль ip_set в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ip_set ``` или ``` kmod list | grep ip_set ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ip_set ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install ip_set /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 exim4 In Exim before 4.99.2, when utf8 operators are enabled, there is an out-of-bounds read if large UTF-8 trailing characters are present (malformed UTF-8 header data). Information might be divulged within an error message produced during handling of an unrelated e-mail message. Уязвимость почтового сервера Exim связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N', score=3.7) exim4: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска exim4 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 exim4 In Exim before 4.99.2, when the SPA authentication driver is used with an adversarial SPA resource, there can be an out-of-bounds write that crashes the connection instance, or erroneous data processing that divulges data from uninitialized heap memory. Уязвимость почтового сервера Exim связана с отсутствием инициализации ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-909')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L', score=4.8) exim4: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска exim4 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: esp: avoid in-place decrypt on shared skb frags MSG_SPLICE_PAGES can attach pages from a pipe directly to an skb. TCP marks such skbs with SKBFL_SHARED_FRAG after skb_splice_from_iter(), so later paths that may modify packet data can first make a private copy. The IPv4/IPv6 datagram append paths did not set this flag when splicing pages into UDP skbs. That leaves an ESP-in-UDP packet made from shared pipe pages looking like an ordinary uncloned nonlinear skb. ESP input then takes the no-COW fast path for uncloned skbs without a frag_list and decrypts in place over data that is not owned privately by the skb. Mark IPv4/IPv6 datagram splice frags with SKBFL_SHARED_FRAG, matching TCP. Also make ESP input fall back to skb_cow_data() when the flag is present, so ESP does not decrypt externally backed frags in place. Private nonlinear skb frags still use the existing fast path. This intentionally does not change ESP output. In esp_output_head(), the path that appends the ESP trailer to existing skb tailroom without calling skb_cow_data() is not reachable for nonlinear skbs: skb_tailroom() returns zero when skb->data_len is nonzero, while ESP tailen is positive. Thus ESP output will either use the separate destination-frag path or fall back to skb_cow_data(). Уязвимость компонентов xfrm ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии до уровня root [NistCWE(cwe='CWE-123'), NistCWE(cwe='CWE-123')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) ###### Нейтрализация угрозы эксплуатации уязвимости в ядре системы Для устранения угрозы эксплуатации уязвимостей CVE-2026-43284, CVE-2026-43500 (Dirty Frag) необходимо запретить загрузку модулей esp4.ko, esp6.ko, rxrpc.ko в ядро системы. **ВНИМАНИЕ**! Запрет загрузки модулей esp4.ko и esp6.ko может привести к неработоспособности IPsec-соединений, в том числе VPN-подключений на базе strongSwan, Libreswan или иных решений, использующих IPsec ESP. Запрет загрузки модуля rxrpc.ko может привести к неработоспособности внутриядерного клиента kAFS, который реализует поддержку распределенной файловой системы AFS. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули esp4.ko, esp6.ko, rxrpc.ko в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep esp4; lsmod | grep esp6; lsmod | grep rxrpc ``` или ``` kmod list | grep esp4; kmod list | grep esp6; kmod list | grep rxrpc ``` Если модули не загружены, то в результате выполнения команды будет пустой вывод. Если хотя бы один из перечисленных модулей загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля esp4.ko: ``` sudo rmmod esp4 ``` - команда для выгрузки модуля esp6.ko: ``` sudo rmmod esp6 ``` - команда для выгрузки модуля rxrpc.ko: ``` sudo rmmod rxrpc ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-algif-aead.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строки: ``` install esp4 /bin/true install esp6 /bin/true install rxrpc /bin/true ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` 4. Выполнить очистку кеша страниц оперативной памяти: ``` sudo sh -c "echo 3 > /proc/sys/vm/drop_caches" ``` 5. Выполнить перезагрузку (необязательно). Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. ###### Дополнительные настройки В целях минимизации возможности реализации потенциальных угроз безопасности через эксплуатацию уязвимостей, рекомендуется применять следующие механизмы и средства подсистемы безопасности PARSEC: - мандатный контроль целостности (МКЦ), включая режим МКЦ на файловой системе; - замкнутая программная среда; - регламентный контроль целостности Another File Integrity Checker; - для непривилегированных пользователей: - активировать блокировку интерпретаторов, в том числе, если возможно — блокировку интерпретатора bash; - активировать запрет установки бита исполнения. **Примечание**. Запрет установки бита исполнения включается автоматически при включении блокировки интерпретаторов. Порядок использования перечисленных выше механизмов и средств подсистемы безопасности PARSEC представлен в документе «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1». Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/rds: reset op_nents when zerocopy page pin fails When iov_iter_get_pages2() fails in rds_message_zcopy_from_user(), the pinned pages are released with put_page(), and rm->data.op_mmp_znotifier is cleared. But we fail to properly clear rm->data.op_nents. Later when rds_message_purge() is called from rds_sendmsg() the cleanup loop iterates over the incorrectly non zero number of op_nents and frees them again. Fix this by properly resetting op_nents when it should be in rds_message_zcopy_from_user(). Уязвимость реализации сетевого протокола RDS ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии и вызвать отказ в обслуживании [NistCWE(cwe='CWE-1341')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости CVE-2026-43494 (PinTheft) необходимо запретить загрузку модулей rds_tcp.ko, rds.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули rds_tcp.ko, rds.ko в ядро системы, для этого выполнить одну из команд: `lsmod | grep rds_tcp; lsmod | grep rds` или `kmod list | grep rds_tcp; kmod list | grep rds` Если модули не загружены, то в результате выполнения команды будет пустой вывод. Если хотя бы один из перечисленных модулей загружен, то отключить и выгрузить модуль: - команда для выгрузки модуля rds_tcp.ko: `sudo rmmod rds_tcp` - команда для выгрузки модуля rds.ko: `sudo rmmod rds` 2. Запретить загрузку модулей rds_tcp.ko, rds.ko: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-pintheft.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строки: ``` install rds_tcp /bin/false install rds /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` 4. Выполнить очистку кеша страниц оперативной памяти: `sudo sh -c "echo 3 > /proc/sys/vm/drop_caches"` 5. Выполнить перезагрузку (необязательно). Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. **Дополнительные настройки** В целях минимизации возможности реализации потенциальных угроз безопасности через эксплуатацию уязвимостей, рекомендуется применять следующие механизмы и средства подсистемы безопасности PARSEC: - мандатный контроль целостности (МКЦ), включая режим МКЦ на файловой системе; - замкнутая программная среда; - регламентный контроль целостности Another File Integrity Checker; - для непривилегированных пользователей: - активировать блокировку интерпретаторов, в том числе, если возможно — блокировку интерпретатора bash; - активировать запрет установки бита исполнения. Примечание. Запрет установки бита исполнения включается автоматически при включении блокировки интерпретаторов. Порядок использования перечисленных выше механизмов и средств подсистемы безопасности PARSEC представлен в документе «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1». При включенном МКЦ для повышения эффективности защиты рекомендуется отменить присвоение атрибута silev для всех исполняемых файлов. По умолчанию, в Astra Linux данный атрибут присвоен файлам /usr/bin/passwd и /usr/bin/sumac. Примечание. Атрибут silev применяется в Astra Linux начиная с обновления х.7.2. **ВНИМАНИЕ!** Если для файла /usr/bin/passwd отменить присвоение атрибута silev, то непривилегированному пользователю не будет доступна смена пароля. Только администратор системы с высоким уровнем целостности сможет менять пароли пользователям. Если для файла /usr/bin/sumac отменить присвоение атрибута silev, то будет запрещено запускать процессы с другой классификационной меткой с помощью инструмента sumac. **ВНИМАНИЕ!** После установки обновления, в котором устранена уязвимость PinTheft, необходимо присвоить атрибут silev файлам /usr/bin/passwd и /usr/bin/sumac. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rxrpc: Also unshare DATA/RESPONSE packets when paged frags are present The DATA-packet handler in rxrpc_input_call_event() and the RESPONSE handler in rxrpc_verify_response() copy the skb to a linear one before calling into the security ops only when skb_cloned() is true. An skb that is not cloned but still carries externally-owned paged fragments (e.g. SKBFL_SHARED_FRAG set by splice() into a UDP socket via __ip_append_data, or a chained skb_has_frag_list()) falls through to the in-place decryption path, which binds the frag pages directly into the AEAD/skcipher SGL via skb_to_sgvec(). Extend the gate to also unshare when skb_has_frag_list() or skb_has_shared_frag() is true. This catches the splice-loopback vector and other externally-shared frag sources while preserving the zero-copy fast path for skbs whose frags are kernel-private (e.g. NIC page_pool RX, GRO). The OOM/trace handling already in place is reused. Уязвимость модуля RxRPC ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-123')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) ###### Нейтрализация угрозы эксплуатации уязвимости в ядре системы Для устранения угрозы эксплуатации уязвимостей CVE-2026-43284, CVE-2026-43500 (Dirty Frag) необходимо запретить загрузку модулей esp4.ko, esp6.ko, rxrpc.ko в ядро системы. **ВНИМАНИЕ**! Запрет загрузки модулей esp4.ko и esp6.ko может привести к неработоспособности IPsec-соединений, в том числе VPN-подключений на базе strongSwan, Libreswan или иных решений, использующих IPsec ESP. Запрет загрузки модуля rxrpc.ko может привести к неработоспособности внутриядерного клиента kAFS, который реализует поддержку распределенной файловой системы AFS. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули esp4.ko, esp6.ko, rxrpc.ko в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep esp4; lsmod | grep esp6; lsmod | grep rxrpc ``` или ``` kmod list | grep esp4; kmod list | grep esp6; kmod list | grep rxrpc ``` Если модули не загружены, то в результате выполнения команды будет пустой вывод. Если хотя бы один из перечисленных модулей загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля esp4.ko: ``` sudo rmmod esp4 ``` - команда для выгрузки модуля esp6.ko: ``` sudo rmmod esp6 ``` - команда для выгрузки модуля rxrpc.ko: ``` sudo rmmod rxrpc ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-algif-aead.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строки: ``` install esp4 /bin/true install esp6 /bin/true install rxrpc /bin/true ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` 4. Выполнить очистку кеша страниц оперативной памяти: ``` sudo sh -c "echo 3 > /proc/sys/vm/drop_caches" ``` 5. Выполнить перезагрузку (необязательно). Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. ###### Дополнительные настройки В целях минимизации возможности реализации потенциальных угроз безопасности через эксплуатацию уязвимостей, рекомендуется применять следующие механизмы и средства подсистемы безопасности PARSEC: - мандатный контроль целостности (МКЦ), включая режим МКЦ на файловой системе; - замкнутая программная среда; - регламентный контроль целостности Another File Integrity Checker; - для непривилегированных пользователей: - активировать блокировку интерпретаторов, в том числе, если возможно — блокировку интерпретатора bash; - активировать запрет установки бита исполнения. **Примечание**. Запрет установки бита исполнения включается автоматически при включении блокировки интерпретаторов. Порядок использования перечисленных выше механизмов и средств подсистемы безопасности PARSEC представлен в документе «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1». Astra Linux 1.8 exim4 Exim before 4.99.3, in certain GnuTLS configurations, has a remotely reachable use-after-free in the BDAT body parsing path. It is triggered when a client sends a TLS close_notify mid-body during a CHUNKING transfer, followed by a final cleartext byte on the same TCP connection. This can lead to heap corruption. An unauthenticated network attacker exploiting this vulnerability could execute arbitrary code. Уязвимость почтового сервера Exim связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска exim4 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: skbuff: preserve shared-frag marker during coalescing skb_try_coalesce() can attach paged frags from @from to @to. If @from has SKBFL_SHARED_FRAG set, the resulting @to skb can contain the same externally-owned or page-cache-backed frags, but the shared-frag marker is currently lost. That breaks the invariant relied on by later in-place writers. In particular, ESP input checks skb_has_shared_frag() before deciding whether an uncloned nonlinear skb can skip skb_cow_data(). If TCP receive coalescing has moved shared frags into an unmarked skb, ESP can see skb_has_shared_frag() as false and decrypt in place over page-cache backed frags. Propagate SKBFL_SHARED_FRAG when skb_try_coalesce() transfers paged frags. The tailroom copy path does not need the marker because it copies bytes into @to's linear data rather than transferring frag descriptors. Уязвимость функции skb_try_coalesce() ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-123')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) ###### Нейтрализация угрозы эксплуатации уязвимости в ядре системы Для устранения угрозы эксплуатации CVE-2026-46300 (Fragnesia) необходимо запретить загрузку модулей esp4.ko, esp6.ko, rxrpc.ko в ядро системы. **ВНИМАНИЕ**! Запрет загрузки модулей esp4.ko и esp6.ko может привести к неработоспособности IPsec-соединений, в том числе VPN-подключений на базе strongSwan, Libreswan или иных решений, использующих IPsec ESP. Запрет загрузки модуля rxrpc.ko может привести к неработоспособности внутриядерного клиента kAFS, который реализует поддержку распределенной файловой системы AFS. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули esp4.ko, esp6.ko, rxrpc.ko в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep esp4; lsmod | grep esp6; lsmod | grep rxrpc ``` или ``` kmod list | grep esp4; kmod list | grep esp6; kmod list | grep rxrpc ``` Если модули не загружены, то в результате выполнения команды будет пустой вывод. Если хотя бы один из перечисленных модулей загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля esp4.ko: ``` sudo rmmod esp4 ``` - команда для выгрузки модуля esp6.ko: ``` sudo rmmod esp6 ``` - команда для выгрузки модуля rxrpc.ko: ``` sudo rmmod rxrpc ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-algif-aead.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строки: ``` install esp4 /bin/true install esp6 /bin/true install rxrpc /bin/true ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` 4. Выполнить очистку кеша страниц оперативной памяти: ``` sudo sh -c "echo 3 > /proc/sys/vm/drop_caches" ``` 5. Выполнить перезагрузку (необязательно). Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. ###### Дополнительные настройки В целях минимизации возможности реализации потенциальных угроз безопасности через эксплуатацию уязвимостей, рекомендуется применять следующие механизмы и средства подсистемы безопасности PARSEC: - мандатный контроль целостности (МКЦ), включая режим МКЦ на файловой системе; - замкнутая программная среда; - регламентный контроль целостности Another File Integrity Checker; - для непривилегированных пользователей: - активировать блокировку интерпретаторов, в том числе, если возможно — блокировку интерпретатора bash; - активировать запрет установки бита исполнения. **Примечание**. Запрет установки бита исполнения включается автоматически при включении блокировки интерпретаторов. Порядок использования перечисленных выше механизмов и средств подсистемы безопасности PARSEC представлен в документе «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1». При включенном МКЦ для повышения эффективности защиты рекомендуется отменить присвоение атрибута silev для всех исполняемых файлов. По умолчанию, в Astra Linux данный атрибут присвоен файлам /usr/bin/passwd и /usr/bin/sumac. **Примечание.** Атрибут silev применяется в Astra Linux начиная с обновления х.7.2. **ВНИМАНИЕ!** Если для файла /usr/bin/passwd отменить присвоение атрибута silev, то непривилегированному пользователю не будет доступна смена пароля. Только администратор системы с высоким уровнем целостности сможет менять пароли пользователям. Если для файла /usr/bin/sumac отменить присвоение атрибута silev, то будет запрещено запускать процессы с другой классификационной меткой с помощью инструмента sumac. **ВНИМАНИЕ!** После установки обновления, в котором устранена уязвимость CVE-2026-46300, необходимо присвоить атрибут silev файлам /usr/bin/passwd и /usr/bin/sumac. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ptrace: slightly saner 'get_dumpable()' logic The 'dumpability' of a task is fundamentally about the memory image of the task - the concept comes from whether it can core dump or not - and makes no sense when you don't have an associated mm. And almost all users do in fact use it only for the case where the task has a mm pointer. But we have one odd special case: ptrace_may_access() uses 'dumpable' to check various other things entirely independently of the MM (typically explicitly using flags like PTRACE_MODE_READ_FSCREDS). Including for threads that no longer have a VM (and maybe never did, like most kernel threads). It's not what this flag was designed for, but it is what it is. The ptrace code does check that the uid/gid matches, so you do have to be uid-0 to see kernel thread details, but this means that the traditional "drop capabilities" model doesn't make any difference for this all. Make it all make a *bit* more sense by saying that if you don't have a MM pointer, we'll use a cached "last dumpability" flag if the thread ever had a MM (it will be zero for kernel threads since it is never set), and require a proper CAP_SYS_PTRACE capability to override. Уязвимость функции get_dumpable() ядра операционной системы Linux связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-269'), NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=7.1) 1. Для проверки актуальности уязвимости просмотрите значение параметра kernel.yama.ptrace_scope: ``` cat /proc/sys/kernel/yama/ptrace_scope ``` Если значение параметра kernel.yama.ptrace_scope равно 2 или 3, то уязвимость не актуальна. В противном случае - значение параметра kernel.yama.ptrace_scope равно 0 или 1 - уязвимость актуальна. 2. При любом значении параметра kernel.yama.ptrace_scope рекомендуется включить механизм astra-ptrace-lock. От имени администратора системы с высоким уровнем целостности выполните в терминале следующую команду: ``` sudo astra-ptrace-lock enable ``` 3. Перезагрузите ОС. 4. Проверить корректное состояние после включения механизма: ``` sudo astra-ptrace-lock status ``` Результатом команды должно быть "АКТИВНО". ``` sudo astra-ptrace-lock is-enabled ``` Результатом команды должно быть "ВКЛЮЧЕНО". Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf: Fix __perf_event_overflow() vs perf_remove_from_context() race Make sure that __perf_event_overflow() runs with IRQs disabled for all possible callchains. Specifically the software events can end up running it with only preemption disabled. This opens up a race vs perf_event_exit_event() and friends that will go and free various things the overflow path expects to be present, like the BPF program. Уязвимость компонента perf ядра операционной системы Linux связана с истечением срока действия ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл etc/sysctl.conf и добавить или отредактировать строку с kernel.perf_event_paranoid: ``` kernel.perf_event_paranoid = 3 ``` 2. Выполнить ``` sudo sysctl -p ``` 3. Перезагрузить систему. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: skb: fix cross-cache free of KFENCE-allocated skb head SKB_SMALL_HEAD_CACHE_SIZE is intentionally set to a non-power-of-2 value (e.g. 704 on x86_64) to avoid collisions with generic kmalloc bucket sizes. This ensures that skb_kfree_head() can reliably use skb_end_offset to distinguish skb heads allocated from skb_small_head_cache vs. generic kmalloc caches. However, when KFENCE is enabled, kfence_ksize() returns the exact requested allocation size instead of the slab bucket size. If a caller (e.g. bpf_test_init) allocates skb head data via kzalloc() and the requested size happens to equal SKB_SMALL_HEAD_CACHE_SIZE, then slab_build_skb() -> ksize() returns that exact value. After subtracting skb_shared_info overhead, skb_end_offset ends up matching SKB_SMALL_HEAD_HEADROOM, causing skb_kfree_head() to incorrectly free the object to skb_small_head_cache instead of back to the original kmalloc cache, resulting in a slab cross-cache free: kmem_cache_free(skbuff_small_head): Wrong slab cache. Expected skbuff_small_head but got kmalloc-1k Fix this by always calling kfree(head) in skb_kfree_head(). This keeps the free path generic and avoids allocator-specific misclassification for KFENCE objects. Уязвимость модуля net/core/skbuff.c ядра операционной системы Linux связана с освобождением неверного указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды; - Использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: eventpoll: defer struct eventpoll free to RCU grace period In certain situations, ep_free() in eventpoll.c will kfree the epi->ep eventpoll struct while it still being used by another concurrent thread. Defer the kfree() to an RCU callback to prevent UAF. Уязвимость функции ep_free() компонента eventpoll.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для нейтрализации угрозы эксплуатации уязвимости CVE-2026-43074 нужно включить параметр dmesg_restrict: ``` echo "kernel.dmesg_restrict = 1" | sudo tee -a /etc/sysctl.conf ``` Перезагрузите систему. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bonding: fix type confusion in bond_setup_by_slave() kernel BUG at net/core/skbuff.c:2306! Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI RIP: 0010:pskb_expand_head+0xa08/0xfe0 net/core/skbuff.c:2306 RSP: 0018:ffffc90004aff760 EFLAGS: 00010293 RAX: 0000000000000000 RBX: ffff88807e3c8780 RCX: ffffffff89593e0e RDX: ffff88807b7c4900 RSI: ffffffff89594747 RDI: ffff88807b7c4900 RBP: 0000000000000820 R08: 0000000000000005 R09: 0000000000000000 R10: 00000000961a63e0 R11: 0000000000000000 R12: ffff88807e3c8780 R13: 00000000961a6560 R14: dffffc0000000000 R15: 00000000961a63e0 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fe1a0ed8df0 CR3: 000000002d816000 CR4: 00000000003526f0 Call Trace: <TASK> ipgre_header+0xdd/0x540 net/ipv4/ip_gre.c:900 dev_hard_header include/linux/netdevice.h:3439 [inline] packet_snd net/packet/af_packet.c:3028 [inline] packet_sendmsg+0x3ae5/0x53c0 net/packet/af_packet.c:3108 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg net/socket.c:742 [inline] ____sys_sendmsg+0xa54/0xc30 net/socket.c:2592 ___sys_sendmsg+0x190/0x1e0 net/socket.c:2646 __sys_sendmsg+0x170/0x220 net/socket.c:2678 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0x106/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fe1a0e6c1a9 When a non-Ethernet device (e.g. GRE tunnel) is enslaved to a bond, bond_setup_by_slave() directly copies the slave's header_ops to the bond device: bond_dev->header_ops = slave_dev->header_ops; This causes a type confusion when dev_hard_header() is later called on the bond device. Functions like ipgre_header(), ip6gre_header(),all use netdev_priv(dev) to access their device-specific private data. When called with the bond device, netdev_priv() returns the bond's private data (struct bonding) instead of the expected type (e.g. struct ip_tunnel), leading to garbage values being read and kernel crashes. Fix this by introducing bond_header_ops with wrapper functions that delegate to the active slave's header_ops using the slave's own device. This ensures netdev_priv() in the slave's header functions always receives the correct device. The fix is placed in the bonding driver rather than individual device drivers, as the root cause is bond blindly inheriting header_ops from the slave without considering that these callbacks expect a specific netdev_priv() layout. The type confusion can be observed by adding a printk in ipgre_header() and running the following commands: ip link add dummy0 type dummy ip addr add 10.0.0.1/24 dev dummy0 ip link set dummy0 up ip link add gre1 type gre local 10.0.0.1 ip link add bond1 type bond mode active-backup ip link set gre1 master bond1 ip link set gre1 up ip link set bond1 up ip addr add fe80::1/64 dev bond1 Уязвимость функции bond_setup_by_slave() компонента bonding driver ядра операционных систем Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bonding.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль bonding в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep bonding ``` или ``` kmod list | grep bonding ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля <название_модуля>.ko: ``` sudo rmmod bonding ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-your_module.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install bonding /bin/false ``` - сохранить файл. - 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: rpl: reserve mac_len headroom when recompressed SRH grows ipv6_rpl_srh_rcv() decompresses an RFC 6554 Source Routing Header, swaps the next segment into ipv6_hdr->daddr, recompresses, then pulls the old header and pushes the new one plus the IPv6 header back. The recompressed header can be larger than the received one when the swap reduces the common-prefix length the segments share with daddr (CmprI=0, CmprE>0, seg[0][0] != daddr[0] gives the maximum +8 bytes). pskb_expand_head() was gated on segments_left == 0, so on earlier segments the push consumed unchecked headroom. Once skb_push() leaves fewer than skb->mac_len bytes in front of data, skb_mac_header_rebuild()'s call to: skb_set_mac_header(skb, -skb->mac_len); will store (data - head) - mac_len into the u16 mac_header field, which wraps to ~65530, and the following memmove() writes mac_len bytes ~64KiB past skb->head. A single AF_INET6/SOCK_RAW/IPV6_HDRINCL packet over lo with a two segment type-3 SRH (CmprI=0, CmprE=15) reaches headroom 8 after one pass; KASAN reports a 14-byte OOB write in ipv6_rthdr_rcv. Fix this by expanding the head whenever the remaining room is less than the push size plus mac_len, and request that much extra so the rebuilt MAC header fits afterwards. Уязвимость функции ipv6_rpl_srh_rcv компонента RFC 6554 Source Routing Header Handler ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для устранения угрозы эксплуатации уязвимости необходимо установить sysctl параметр rpl_seg_enabled в 0 для всех сетевых интерфейсов. Для временного решения выполните следующие команды: ``` sudo sysctl -w net.ipv6.conf.all.rpl_seg_enabled=0 sudo sysctl -w net.ipv6.conf.default.rpl_seg_enabled=0 ``` Изменения будут применены сразу и сохранятся до следующей перезагрузки системы. Чтобы sysctl параметр rpl_seg_enabled устанавливался в 0 после загрузки системы, необходимо выполнить действия, описанные ниже. 1. Создать файл с настройками ядра командой: ``` echo "net.ipv6.conf.all.rpl_seg_enabled = 0" | sudo tee /etc/sysctl.d/99-rpl-disable.conf echo "net.ipv6.conf.default.rpl_seg_enabled = 0" | sudo tee -a /etc/sysctl.d/99-rpl-disable.conf ``` Примечание. Настройки, которые хранятся в файле /etc/sysctl.d/99-rpl-disable.conf, будут применяться при каждой загрузке системы. 2. Применить настройки ядра, которые хранятся в файле /etc/sysctl.d/99-rpl-disable.conf: ``` sudo sysctl -p /etc/sysctl.d/99-rpl-disable.conf ``` Проверить, что настройки ядра применяются после перезагрузки системы. Для этого выполнить действия, описанные ниже. 1. Перезагрузить систему: ``` sudo reboot ``` 2. Вывести значение параметра net.ipv6.conf.all.rpl_seg_enabled: ``` sudo sysctl net.ipv6.conf.all.rpl_seg_enabled ``` Ожидаемый вывод после выполнения команды: net.ipv6.conf.all.rpl_seg_enabled = 0 Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: skbuff: propagate shared-frag marker through frag-transfer helpers Two frag-transfer helpers (__pskb_copy_fclone() and skb_shift()) fail to propagate the SKBFL_SHARED_FRAG bit in skb_shinfo()->flags when moving frags from source to destination. __pskb_copy_fclone() defers the rest of the shinfo metadata to skb_copy_header() after copying frag descriptors, but that helper only carries over gso_{size,segs, type} and never touches skb_shinfo()->flags; skb_shift() moves frag descriptors directly and leaves flags untouched. As a result, the destination skb keeps a reference to the same externally-owned or page-cache-backed pages while reporting skb_has_shared_frag() as false. The mismatch is harmful in any in-place writer that uses skb_has_shared_frag() to decide whether shared pages must be detoured through skb_cow_data(). ESP input is one such writer (esp4.c, esp6.c), and a single nft 'dup to <local>' rule -- or any other nf_dup_ipv4() / xt_TEE caller -- is enough to land a pskb_copy()'d skb in esp_input() with the marker stripped, letting an unprivileged user write into the page cache of a root-owned read-only file via authencesn-ESN stray writes. Set SKBFL_SHARED_FRAG on the destination whenever frag descriptors were actually moved from the source. skb_copy() and skb_copy_expand() share skb_copy_header() too but linearize all paged data into freshly allocated head storage and emerge with nr_frags == 0, so skb_has_shared_frag() returns false on its own; they need no change. The same omission exists in skb_gro_receive() and skb_gro_receive_list(). The former moves the incoming skb's frag descriptors into the accumulator's last sub-skb via two paths (a direct frag-move loop and the head_frag + memcpy path); the latter chains the incoming skb whole onto p's frag_list. Downstream skb_segment() reads only skb_shinfo(p)->flags, and skb_segment_list() reuses each sub-skb's shinfo as the nskb -- both p and lp must carry the marker. The same omission also exists in tcp_clone_payload(), which builds an MTU probe skb by moving frag descriptors from skbs on sk_write_queue into a freshly allocated nskb. The helper falls into the same family and warrants the same fix for consistency; no TCP TX-side in-place writer is currently known to reach a user page through this gap, but a future consumer depending on the marker would regress silently. The same omission exists in skb_segment(): the per-iteration flag merge takes only head_skb's flag, and the inner switch that rebinds frag_skb to list_skb on head_skb-frags exhaustion does not fold the new frag_skb's flag into nskb. Fold frag_skb's flag at both sites so segments drawing frags from frag_list members carry the marker. Уязвимость сетевого компонента skbuff ядра операционных систем Linux связана с недостаточным контролем ресурса в период его существования. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-664')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) ###### Нейтрализация угрозы эксплуатации уязвимости в ядре системы Для устранения угрозы эксплуатации CVE-2026-46300 (Fragnesia) необходимо запретить загрузку модулей esp4.ko, esp6.ko, rxrpc.ko в ядро системы. **ВНИМАНИЕ**! Запрет загрузки модулей esp4.ko и esp6.ko может привести к неработоспособности IPsec-соединений, в том числе VPN-подключений на базе strongSwan, Libreswan или иных решений, использующих IPsec ESP. Запрет загрузки модуля rxrpc.ko может привести к неработоспособности внутриядерного клиента kAFS, который реализует поддержку распределенной файловой системы AFS. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули esp4.ko, esp6.ko, rxrpc.ko в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep esp4; lsmod | grep esp6; lsmod | grep rxrpc ``` или ``` kmod list | grep esp4; kmod list | grep esp6; kmod list | grep rxrpc ``` Если модули не загружены, то в результате выполнения команды будет пустой вывод. Если хотя бы один из перечисленных модулей загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля esp4.ko: ``` sudo rmmod esp4 ``` - команда для выгрузки модуля esp6.ko: ``` sudo rmmod esp6 ``` - команда для выгрузки модуля rxrpc.ko: ``` sudo rmmod rxrpc ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-dirtyclone.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строки: ``` install esp4 /bin/true install esp6 /bin/true install rxrpc /bin/true ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` 4. Выполнить очистку кеша страниц оперативной памяти: ``` sudo sh -c "echo 3 > /proc/sys/vm/drop_caches" ``` 5. Выполнить перезагрузку (необязательно). Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. ###### Дополнительные настройки В целях минимизации возможности реализации потенциальных угроз безопасности через эксплуатацию уязвимостей, рекомендуется применять следующие механизмы и средства подсистемы безопасности PARSEC: - мандатный контроль целостности (МКЦ), включая режим МКЦ на файловой системе; - замкнутая программная среда; - регламентный контроль целостности Another File Integrity Checker; - для непривилегированных пользователей: - активировать блокировку интерпретаторов, в том числе, если возможно — блокировку интерпретатора bash; - активировать запрет установки бита исполнения. **Примечание**. Запрет установки бита исполнения включается автоматически при включении блокировки интерпретаторов. Порядок использования перечисленных выше механизмов и средств подсистемы безопасности PARSEC представлен в документе «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1». При включенном МКЦ для повышения эффективности защиты рекомендуется отменить присвоение атрибута silev для всех исполняемых файлов. По умолчанию, в Astra Linux данный атрибут присвоен файлам /usr/bin/passwd и /usr/bin/sumac. **Примечание.** Атрибут silev применяется в Astra Linux начиная с обновления х.7.2. **ВНИМАНИЕ!** Если для файла /usr/bin/passwd отменить присвоение атрибута silev, то непривилегированному пользователю не будет доступна смена пароля. Только администратор системы с высоким уровнем целостности сможет менять пароли пользователям. Если для файла /usr/bin/sumac отменить присвоение атрибута silev, то будет запрещено запускать процессы с другой классификационной меткой с помощью инструмента sumac. **ВНИМАНИЕ!** После установки обновления, в котором устранена уязвимость CVE-2026-46300, необходимо присвоить атрибут silev файлам /usr/bin/passwd и /usr/bin/sumac. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: reject userspace cifs.spnego descriptions cifs.spnego key descriptions contain authority-bearing fields such as pid, uid, creduid, and upcall_target that cifs.upcall treats as kernel-originating inputs. However, userspace can also create keys of this type through request_key(2) or add_key(2), allowing those fields to be supplied without CIFS origin. Only accept cifs.spnego descriptions while CIFS is using its private spnego_cred to request the key. Уязвимость функции cifs_get_spnego_key() инструмента cifs.upcall пакета cifs-utils ядра операционных систем Linux связана с отсутствием аутентификации для критичной функции. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии до уровня root и выполнить произвольный код [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=7.1) Для нейтрализации угрозы эксплуатации уязвимости CVE-2026-46243 (CIFSwitch) необходимо применить один из приведенных способов. h3. 1 способ 1. Существующий метод эксплуатации уязвимости полагается на возможность создания непривилегированными пользователями пространств имен. Решением проблемы является отключение данной возможности для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: От имени администратора системы с высоким уровнем целостности выполнить команду ``` sysctl -w kernel.unprivileged_userns_clone=0 ``` 2. Для того, чтобы настройка всегда применялась после перезагрузки ОС, выполните команды ``` echo "kernel.unprivileged_userns_clone=0" > /etc/sysctl.d/userns.conf sysctl -p /etc/sysctl.d/userns.conf ``` 3. Выполнить перезагрузку ОС 4. Убедиться в том, что настройка применилась: ``` cat /etc/sysctl.d/userns.conf ``` h3. 2 способ От имени администратора системы с высоким уровнем целостности отредактировать файл конфигурации */etc/request-key.d/cifs.spnego.conf* таким образом, чтобы не вызывался обработчик cifs.upcall. Для этого, если в файле уже существует правило cifs.spnego, то отредактируйте его следующим образом: ``` create cifs.spnego * * /usr/sbin/keyctl negate %k 30 %S ``` Если правило cifs.spnego отсутствует в файле, то добавьте его: ``` create cifs.spnego * * /usr/sbin/keyctl negate %k 30 %S ``` Astra Linux 1.8 qtimageformats-opensource-src A buffer overflow in Nomacs v3.15.0 allows attackers to cause a denial of service (DoS) via a crafted MNG file. Уязвимость кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного MNG файла [NistCWE(cwe='CWE-120')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 libstb In Libsixel prior to and including v1.10.3, a NULL pointer dereference in the stb_image.h component of libsixel allows attackers to cause a denial of service (DOS) via a crafted PICT file. Уязвимость компонента stb_image.h библиотек для C/C++ Libstb, реализации кодировщика/декодера SIXEL Libsixel связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного PICT файла [NistCWE(cwe='CWE-476')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 wpa In hostapd 2.10 and earlier, the PKEX code remains active even after a successful PKEX association. An attacker that successfully bootstrapped public keys with another entity using PKEX in the past, will be able to subvert a future bootstrapping by passively observing public keys, re-using the encrypting element Qi and subtracting it from the captured message M (X = M - Qi). This will result in the public ephemeral key X; the only element required to subvert the PKEX association. Уязвимость клиента защищённого доступа Wi-Fi WPA Supplicant связана с повторным использованием контрольного слова. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-323')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) wpa: - Отключить по возможности беспроводные системы передачи данных (WiFi, Bluetooth) - При необходимости использования WiFi - использовать для защиты данных сети VPN - Использовать ПО wpa только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО wpa только доверенными пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать ПО wpa с минимально необходимыми правами доступа - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды. Astra Linux 1.8 qbittorrent All versions of the qBittorrent client through 4.5.5 use default credentials when the web user interface is enabled. The administrator is not forced to change the default credentials. As of 4.5.5, this issue has not been fixed. A remote attacker can use the default credentials to authenticate and execute arbitrary operating system commands using the "external program" feature in the web user interface. This was reportedly exploited in the wild in March 2023. Уязвимость кросс-платформенный BitTorrent клиента qBittorrent связана с использованием учетных данных по умолчанию, когда веб-интерфейс пользователя включен. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды [NistCWE(cwe='CWE-1392'), NistCWE(cwe='CWE-798')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 taglib TagLib before 2.0 allows a segmentation violation and application crash during tag writing via a crafted WAV file in which an id3 chunk is the only valid chunk. Уязвимость библиотеки для работы с аудиометаданными TagLib связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально созданного WAV файла [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) taglib: - При использовании ПО taglib выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Revert "net/mlx5: Block entering switchdev mode with ns inconsistency" This reverts commit 662404b24a4c4d839839ed25e3097571f5938b9b. The revert is required due to the suspicion it is not good for anything and cause crash. Уязвимость компонента drivers/net/ethernet/mellanox/mlx5/core/eswitch_offloads.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: blk-cgroup: Reinit blkg_iostat_set after clearing in blkcg_reset_stats() When blkg_alloc() is called to allocate a blkcg_gq structure with the associated blkg_iostat_set's, there are 2 fields within blkg_iostat_set that requires proper initialization - blkg & sync. The former field was introduced by commit 3b8cc6298724 ("blk-cgroup: Optimize blkcg_rstat_flush()") while the later one was introduced by commit f73316482977 ("blk-cgroup: reimplement basic IO stats using cgroup rstat"). Unfortunately those fields in the blkg_iostat_set's are not properly re-initialized when they are cleared in v1's blkcg_reset_stats(). This can lead to a kernel panic due to NULL pointer access of the blkg pointer. The missing initialization of sync is less problematic and can be a problem in a debug kernel due to missing lockdep initialization. Fix these problems by re-initializing them after memory clearing. Уязвимость функции blkcg_reset_stats() ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clk: mediatek: fix of_iomap memory leak Smatch reports: drivers/clk/mediatek/clk-mtk.c:583 mtk_clk_simple_probe() warn: 'base' from of_iomap() not released on lines: 496. This problem was also found in linux-next. In mtk_clk_simple_probe(), base is not released when handling errors if clk_data is not existed, which may cause a leak. So free_base should be added here to release base. Уязвимость компонента drivers/clk/mediatek/clk-mtk.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 freeipa A flaw was found in the FreeIPA API audit, where it sends the whole FreeIPA command line to journalctl. As a consequence, during the FreeIPA installation process, it inadvertently leaks the administrative user credentials, including the administrator password, to the journal database. In the worst-case scenario, where the journal log is centralized, users with access to it can have improper access to the FreeIPA administrator credentials. Уязвимость программного обеспечения централизованного управления идентификацией FreeIPA связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-497')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) freeipa: - Настройте правила брандмауэра для разрешения только необходимых портов - Разрешите доступ только с доверенных IP-адресов - Настройте FreeIPA для использования SSL/TLS для шифрования всех сетевых коммуникаций - Используйте доверенные сертификаты - Предоставляйте пользователям только те права, которые им необходимы для выполнения их задач - Настройте ограничения на количество попыток входа и используйте CAPTCHA - Настройте правила HBAC для управления доступом к хостам на основе ролей и групп пользователей - Запускать ПО freeipa в изолированной программной среде - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 gdcm An out-of-bounds read vulnerability exists in the RAWCodec::DecodeBytes functionality of Mathieu Malaterre Grassroot DICOM 3.0.23. A specially crafted DICOM file can lead to an out-of-bounds read. An attacker can provide a malicious file to trigger this vulnerability. Уязвимость инструмента для работы с изображениями DICOM Grassroots DiCoM связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданного DICOM файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L', score=6.5) gdcm: - При использовании ПО gdcm выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО gdcm в пользу ПО dcmtk - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: set correct id, uid and cruid for multiuser automounts When uid, gid and cruid are not specified, we need to dynamically set them into the filesystem context used for automounting otherwise they'll end up reusing the values from the parent mount. Уязвимость компонента smb ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L', score=8.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 hdf5 HDF5 through 1.14.3 contains a stack buffer overflow in H5R__decode_heap, resulting in the corruption of the instruction pointer and causing denial of service or potential code execution. Уязвимость функции H5R__decode_heap() библиотеки HDF5 связана с переполнением буфера на основе стека. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 has a heap-based buffer over-read in H5VM_memcpyvv in H5VM.c (called from H5D__compact_readvv in H5Dcompact.c). Уязвимость функции H5VM_memcpyvv() в файле H5VM.c библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 may attempt to dereference uninitialized values in h5tools_str_sprint in tools/lib/h5tools_str.c (called from h5tools_dump_simple_data in tools/lib/h5tools_dump.c). Уязвимость функции h5tools_str_sprint() в файле h5tools_str.c библиотеки HDF5 связана доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=5.7) hdf5: - Отказаться от использования библиотеки hdf5 - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запретить установку бита исполнения для всех пользователей, включая администраторов - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 may use an uninitialized value in H5A__attr_release_table in H5Aint.c. Уязвимость функции H5A__attr_release_table() в файле H5Aint.c библиотеки HDF5 связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 has a heap-based buffer overflow in H5T__conv_struct_opt in H5Tconv.c. Уязвимость функции H5T__conv_struct_opt() в файле H5Tconv.c библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 vte2.91 GNOME VTE before 0.76.3 allows an attacker to cause a denial of service (memory consumption) via a window resize escape sequence, a related issue to CVE-2000-0476. Уязвимость библиотеки для эмуляции терминала VTE связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) Astra Linux 1.8 edk2 EDK2 contains a vulnerability in BIOS where an attacker may cause “Exposure of Sensitive Information to an Unauthorized Actor” by local access. Successful exploitation of this vulnerability will lead to possible information disclosure or escalation of privilege and impact Confidentiality. Уязвимость среды с открытым исходным кодом для разработки UEFI EDK2 связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии и получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-200')] None None edk2: - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. Astra Linux 1.8 orc Stack-based buffer overflow vulnerability exists in orcparse.c of ORC versions prior to 0.4.39. If a developer is tricked to process a specially crafted file with the affected ORC compiler, an arbitrary code may be executed on the developer's build environment. This may lead to compromise of developer machines or CI build environments. Уязвимость файла orcparse.c библиотеки для компиляции и выполнения программ, которые работают с массивами данных GStreamer ORC связана с переполнением буфера на основе стека. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H', score=6.7) orc: - При использовании ПО orc выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) editorconfig-core: - Удалить ПО editorconfig-core, если оно не используется и не является зависимостью других пакетов - При использовании ПО editorconfig-core выполнять обработку данных, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gfs2: Fix NULL pointer dereference in gfs2_log_flush In gfs2_jindex_free(), set sdp->sd_jdesc to NULL under the log flush lock to provide exclusion against gfs2_log_flush(). In gfs2_log_flush(), check if sdp->sd_jdesc is non-NULL before dereferencing it. Otherwise, we could run into a NULL pointer dereference when outstanding glock work races with an unmount (glock_work_func -> run_queue -> do_xmote -> inode_go_sync -> gfs2_log_flush). Уязвимость функции gfs2_jindex_free() модуля fs/gfs2/super.c файловой системы GFS2 ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 grub2 A flaw was found in grub2. A specially crafted JPEG file can cause the JPEG parser of grub2 to incorrectly check the bounds of its internal buffers, resulting in an out-of-bounds write. The possibility of overwriting sensitive information to bypass secure boot protections is not discarded. Уязвимость конфигурационного файла Grub связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного JPEG файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A flaw was found in grub2 where the grub_extcmd_dispatcher() function calls grub_arg_list_alloc() to allocate memory for the grub's argument list. However, it fails to check in case the memory allocation fails. Once the allocation fails, a NULL point will be processed by the parse_option() function, leading grub to crash or, in some rare scenarios, corrupt the IVT data. Уязвимость функции grub_extcmd_dispatcher() загрузчика операционных систем Grub2 связана с некорректной проверкой возвращаемого значения функции. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-252')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:H', score=5.2) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 When reading the language .mo file in grub_mofile_open(), grub2 fails to verify an integer overflow when allocating its internal buffer. A crafted .mo file may lead the buffer size calculation to overflow, leading to out-of-bound reads and writes. This flaw allows an attacker to leak sensitive data or overwrite critical data, possibly circumventing secure boot protections. Уязвимость функции grub_mofile_open() файла .mo загрузчика операционных систем Grub2 связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю обойти существующие ограничения безопасности и раскрыть защищаемую информацию [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A flaw was found in grub2. The calculation of the translation buffer when reading a language .mo file in grub_gettext_getstr_from_position() may overflow, leading to a Out-of-bound write. This issue can be leveraged by an attacker to overwrite grub2's sensitive heap data, eventually leading to the circumvention of secure boot protections. Уязвимость компонента gettext загрузчика операционных систем Grub связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A stack overflow flaw was found when reading a BFS file system. A crafted BFS filesystem may lead to an uncontrolled loop, causing grub2 to crash. Уязвимость файловой системы BFS связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.1) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 An integer overflow flaw was found in the BFS file system driver in grub2. When reading a file with an indirect extent map, grub2 fails to validate the number of extent entries to be read. A crafted or corrupted BFS filesystem may cause an integer overflow during the file reading, leading to a heap of bounds read. As a consequence, sensitive data may be leaked, or grub2 will crash. Уязвимость файловой системы BFS загрузчика операционных систем Grub2 связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:H', score=6.0) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A flaw was found in grub2. When reading tar files, grub2 allocates an internal buffer for the file name. However, it fails to properly verify the allocation against possible integer overflows. It's possible to cause the allocation length to overflow with a crafted tar file, leading to a heap out-of-bounds write. This flaw eventually allows an attacker to circumvent secure boot protections. Уязвимость компонента tar Handler загрузчика операционных систем Grub2 связана с записью за границами буфера памяти. Эксплуатация уязвимости может позволить нарушителю обойти механизм безопасной загрузки [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A flaw was found in grub2. When reading a symbolic link's name from a UFS filesystem, grub2 fails to validate the string length taken as an input. The lack of validation may lead to a heap out-of-bounds write, causing data integrity issues and eventually allowing an attacker to circumvent secure boot protections. Уязвимость файловой системы UFS загрузчика операционных систем Grub2 связана с записью за границами буфера памяти. Эксплуатация уязвимости может позволить нарушителю обойти механизм безопасной загрузки [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.7) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A flaw was found in grub2. When failing to mount an HFS+ grub, the hfsplus filesystem driver doesn't properly set an ERRNO value. This issue may lead to a NULL pointer access. Уязвимость драйвера файловой системы hfsplus загрузчика операционных систем Grub2 связана с некорректным манипулированием счётчиком ссылок на ресурс. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-911')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fscache: delete fscache_cookie_lru_timer when fscache exits to avoid UAF The fscache_cookie_lru_timer is initialized when the fscache module is inserted, but is not deleted when the fscache module is removed. If timer_reduce() is called before removing the fscache module, the fscache_cookie_lru_timer will be added to the timer list of the current cpu. Afterwards, a use-after-free will be triggered in the softIRQ after removing the fscache module, as follows: ================================================================== BUG: unable to handle page fault for address: fffffbfff803c9e9 PF: supervisor read access in kernel mode PF: error_code(0x0000) - not-present page PGD 21ffea067 P4D 21ffea067 PUD 21ffe6067 PMD 110a7c067 PTE 0 Oops: Oops: 0000 [#1] PREEMPT SMP KASAN PTI CPU: 1 UID: 0 PID: 0 Comm: swapper/1 Tainted: G W 6.11.0-rc3 #855 Tainted: [W]=WARN RIP: 0010:__run_timer_base.part.0+0x254/0x8a0 Call Trace: <IRQ> tmigr_handle_remote_up+0x627/0x810 __walk_groups.isra.0+0x47/0x140 tmigr_handle_remote+0x1fa/0x2f0 handle_softirqs+0x180/0x590 irq_exit_rcu+0x84/0xb0 sysvec_apic_timer_interrupt+0x6e/0x90 </IRQ> <TASK> asm_sysvec_apic_timer_interrupt+0x1a/0x20 RIP: 0010:default_idle+0xf/0x20 default_idle_call+0x38/0x60 do_idle+0x2b5/0x300 cpu_startup_entry+0x54/0x60 start_secondary+0x20d/0x280 common_startup_64+0x13e/0x148 </TASK> Modules linked in: [last unloaded: netfs] ================================================================== Therefore delete fscache_cookie_lru_timer when removing the fscahe module. Уязвимость функции fscache_exit() в модуле fs/netfs/fscache_main.c файловой системы netfs ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: filesystems without casefold feature cannot be mounted with siphash When mounting the ext4 filesystem, if the default hash version is set to DX_HASH_SIPHASH but the casefold feature is not set, exit the mounting. Уязвимость компонента fs/ext4 ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 qbittorrent qBittorrent before 5.0.1 proceeds with use of https URLs even after certificate validation errors. Уязвимость кросс-платформенный BitTorrent клиента qBittorrent связана с неправильным подтверждением подлинности сертификата SSL/TLS. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить атаку типа "человек посередине" [NistCWE(cwe='CWE-295'), NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: set ATTR_CTIME flags when setting mtime David reported that the new warning from setattr_copy_mgtime is coming like the following. [ 113.215316] ------------[ cut here ]------------ [ 113.215974] WARNING: CPU: 1 PID: 31 at fs/attr.c:300 setattr_copy+0x1ee/0x200 [ 113.219192] CPU: 1 UID: 0 PID: 31 Comm: kworker/1:1 Not tainted 6.13.0-rc1+ #234 [ 113.220127] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.2-3-gd478f380-rebuilt.opensuse.org 04/01/2014 [ 113.221530] Workqueue: ksmbd-io handle_ksmbd_work [ksmbd] [ 113.222220] RIP: 0010:setattr_copy+0x1ee/0x200 [ 113.222833] Code: 24 28 49 8b 44 24 30 48 89 53 58 89 43 6c 5b 41 5c 41 5d 41 5e 41 5f 5d c3 cc cc cc cc 48 89 df e8 77 d6 ff ff e9 cd fe ff ff <0f> 0b e9 be fe ff ff 66 0 [ 113.225110] RSP: 0018:ffffaf218010fb68 EFLAGS: 00010202 [ 113.225765] RAX: 0000000000000120 RBX: ffffa446815f8568 RCX: 0000000000000003 [ 113.226667] RDX: ffffaf218010fd38 RSI: ffffa446815f8568 RDI: ffffffff94eb03a0 [ 113.227531] RBP: ffffaf218010fb90 R08: 0000001a251e217d R09: 00000000675259fa [ 113.228426] R10: 0000000002ba8a6d R11: ffffa4468196c7a8 R12: ffffaf218010fd38 [ 113.229304] R13: 0000000000000120 R14: ffffffff94eb03a0 R15: 0000000000000000 [ 113.230210] FS: 0000000000000000(0000) GS:ffffa44739d00000(0000) knlGS:0000000000000000 [ 113.231215] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 113.232055] CR2: 00007efe0053d27e CR3: 000000000331a000 CR4: 00000000000006b0 [ 113.232926] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 113.233812] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [ 113.234797] Call Trace: [ 113.235116] <TASK> [ 113.235393] ? __warn+0x73/0xd0 [ 113.235802] ? setattr_copy+0x1ee/0x200 [ 113.236299] ? report_bug+0xf3/0x1e0 [ 113.236757] ? handle_bug+0x4d/0x90 [ 113.237202] ? exc_invalid_op+0x13/0x60 [ 113.237689] ? asm_exc_invalid_op+0x16/0x20 [ 113.238185] ? setattr_copy+0x1ee/0x200 [ 113.238692] btrfs_setattr+0x80/0x820 [btrfs] [ 113.239285] ? get_stack_info_noinstr+0x12/0xf0 [ 113.239857] ? __module_address+0x22/0xa0 [ 113.240368] ? handle_ksmbd_work+0x6e/0x460 [ksmbd] [ 113.240993] ? __module_text_address+0x9/0x50 [ 113.241545] ? __module_address+0x22/0xa0 [ 113.242033] ? unwind_next_frame+0x10e/0x920 [ 113.242600] ? __pfx_stack_trace_consume_entry+0x10/0x10 [ 113.243268] notify_change+0x2c2/0x4e0 [ 113.243746] ? stack_depot_save_flags+0x27/0x730 [ 113.244339] ? set_file_basic_info+0x130/0x2b0 [ksmbd] [ 113.244993] set_file_basic_info+0x130/0x2b0 [ksmbd] [ 113.245613] ? process_scheduled_works+0xbe/0x310 [ 113.246181] ? worker_thread+0x100/0x240 [ 113.246696] ? kthread+0xc8/0x100 [ 113.247126] ? ret_from_fork+0x2b/0x40 [ 113.247606] ? ret_from_fork_asm+0x1a/0x30 [ 113.248132] smb2_set_info+0x63f/0xa70 [ksmbd] ksmbd is trying to set the atime and mtime via notify_change without also setting the ctime. so This patch add ATTR_CTIME flags when setting mtime to avoid a warning. Уязвимость компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: add srng->lock for ath11k_hal_srng_* in monitor mode ath11k_hal_srng_* should be used with srng->lock to protect srng data. For ath11k_dp_rx_mon_dest_process() and ath11k_dp_full_mon_process_rx(), they use ath11k_hal_srng_* for many times but never call srng->lock. So when running (full) monitor mode, warning will occur: RIP: 0010:ath11k_hal_srng_dst_peek+0x18/0x30 [ath11k] Call Trace: ? ath11k_hal_srng_dst_peek+0x18/0x30 [ath11k] ath11k_dp_rx_process_mon_status+0xc45/0x1190 [ath11k] ? idr_alloc_u32+0x97/0xd0 ath11k_dp_rx_process_mon_rings+0x32a/0x550 [ath11k] ath11k_dp_service_srng+0x289/0x5a0 [ath11k] ath11k_pcic_ext_grp_napi_poll+0x30/0xd0 [ath11k] __napi_poll+0x30/0x1f0 net_rx_action+0x198/0x320 __do_softirq+0xdd/0x319 So add srng->lock for them to avoid such warnings. Inorder to fetch the srng->lock, should change srng's definition from 'void' to 'struct hal_srng'. And initialize them elsewhere to prevent one line of code from being too long. This is consistent with other ring process functions, such as ath11k_dp_process_rx(). Tested-on: WCN6855 hw2.0 PCI WLAN.HSP.1.1-03125-QCAHSPSWPL_V1_V2_SILICONZ_LITE-3.6510.30 Tested-on: QCN9074 hw1.0 PCI WLAN.HK.2.7.0.1-01744-QCAHKSWPL_SILICONZ-1 [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: fix RCU stall while reaping monitor destination ring While processing the monitor destination ring, MSDUs are reaped from the link descriptor based on the corresponding buf_id. However, sometimes the driver cannot obtain a valid buffer corresponding to the buf_id received from the hardware. This causes an infinite loop in the destination processing, resulting in a kernel crash. kernel log: ath11k_pci 0000:58:00.0: data msdu_pop: invalid buf_id 309 ath11k_pci 0000:58:00.0: data dp_rx_monitor_link_desc_return failed ath11k_pci 0000:58:00.0: data msdu_pop: invalid buf_id 309 ath11k_pci 0000:58:00.0: data dp_rx_monitor_link_desc_return failed Fix this by skipping the problematic buf_id and reaping the next entry, replacing the break with the next MSDU processing. Tested-on: WCN6855 hw2.0 PCI WLAN.HSP.1.1-03125-QCAHSPSWPL_V1_V2_SILICONZ_LITE-3.6510.30 Tested-on: QCN9074 hw1.0 PCI WLAN.HK.2.7.0.1-01744-QCAHKSWPL_SILICONZ-1 [NistCWE(cwe='CWE-835'), NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 network-manager A flaw was found in NetworkManager. When a system running NetworkManager with DEBUG logs enabled and an interface eth1 configured with LLDP enabled, a malicious user could inject a malformed LLDP packet. NetworkManager would crash, leading to a denial of service. Уязвимость программного обеспечения управления сетевыми соединениями NetworkManager связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) Astra Linux 1.8 gdcm An out-of-bounds write vulnerability exists in the Grassroots DICOM library (GDCM). The issue is triggered during parsing of a malformed DICOM file containing encapsulated PixelData fragments (compressed image data stored as multiple fragments). This vulnerability leads to a segmentation fault caused by an out-of-bounds memory access due to unsigned integer underflow in buffer indexing. It is exploitable via file input, simply opening a crafted malicious DICOM file is sufficient to trigger the crash, resulting in a denial-of-service condition. Уязвимость инструмента для работы с изображениями DICOM Grassroots DiCoM связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью искажённого DICOM файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:H', score=6.6) gdcm: - При использовании ПО gdcm выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО gdcm в пользу ПО dcmtk - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 unbound NLnet Labs Unbound up to and including version 1.24.1 is vulnerable to possible domain hijack attacks. Promiscuous NS RRSets that complement positive DNS replies in the authority section can be used to trick resolvers to update their delegation information for the zone. Usually these RRSets are used to update the resolver's knowledge of the zone's name servers. A malicious actor can exploit the possible poisonous effect by injecting NS RRSets (and possibly their respective address records) in a reply. This could be done for example by trying to spoof a packet or fragmentation attacks. Unbound would then proceed to update the NS RRSet data it already has since the new data has enough trust for it, i.e., in-zone data for the delegation point. Unbound 1.24.1 includes a fix that scrubs unsolicited NS RRSets (and their respective address records) from replies mitigating the possible poison effect. Unbound 1.24.2 includes an additional fix that scrubs unsolicited NS RRSets (and their respective address records) from YXDOMAIN and non-referral nodata replies, further mitigating the possible poison effect. Уязвимость DNS-сервера unbound связана с загрузкой внешних ненадёжных данных вместе с надёжными данными. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-349')] None None unbound: - включить и настроить межсетевой экран ufw для фильтрации трафика; - запускайте unbound с минимально необходимыми привилегиями; - обеспечить возможность запуска ПО unbound только доверенными, обладающими соответствующими привилегиями пользователями ОС; - активировать и настроить профили пользователей для работы в режиме Киоск-2. Astra Linux 1.8 python3.11 When folding a long comment in an email header containing exclusively unfoldable characters, the parenthesis would not be preserved. This could be used for injecting headers into email messages where addresses are user-controlled and not sanitized. Уязвимость интерпретатора языка программирования Python связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-93')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 python3.11 When building nested elements using xml.dom.minidom methods such as appendChild() that have a dependency on _clear_id_cache() the algorithm is quadratic. Availability can be impacted when building excessively nested documents. Уязвимость функций appendChild() и _clear_id_cache() интерпретатора языка программирования Python (CPython) связана с алгоритмической сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-407')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libsoup3 A flaw was found in the asynchronous message queue handling of the libsoup library, widely used by GNOME and WebKit-based applications to manage HTTP/2 communications. When network operations are aborted at specific timing intervals, an internal message queue item may be freed twice due to missing state synchronization. This leads to a use-after-free memory access, potentially crashing the affected application. Attackers could exploit this behavior remotely by triggering specific HTTP/2 read and cancel sequences, resulting in a denial-of-service condition. Уязвимость библиотеки доступа к HTTP серверам LibSoup связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) libsoup3: - Обеспечить возможность использования библиотеки llibsoup3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 postgresql-15 Missing authorization in PostgreSQL CREATE STATISTICS command allows a table owner to achieve denial of service against other CREATE STATISTICS users by creating in any schema. A later CREATE STATISTICS for the same name, from a user having the CREATE privilege, would then fail. Versions before PostgreSQL 18.1, 17.7, 16.11, 15.15, 14.20, and 13.23 are affected. Уязвимость функции CREATE STATISTICS системы управления базами данных PostgreSQL связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.1) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 postgresql-15 Integer wraparound in multiple PostgreSQL libpq client library functions allows an application input provider or network peer to cause libpq to undersize an allocation and write out-of-bounds by hundreds of megabytes. This results in a segmentation fault for the application using libpq. Versions before PostgreSQL 18.1, 17.7, 16.11, 15.15, 14.20, and 13.23 are affected. Уязвимость библиотеки libpq системы управления базами данных PostgreSQL связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 libtasn1-6 Stack-based buffer overflow in libtasn1 version: v4.20.0. The function fails to validate the size of input data resulting in a buffer overflow in asn1_expend_octet_string. Уязвимость ASN.1 библиотеки Libtasn1 связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) libtasn1-6: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libtasn1-6 исключительно группой root. Astra Linux 1.8 python3.11 The "tarfile" module would still apply normalization of AREGTYPE (\x00) blocks to DIRTYPE, even while processing a multi-block member such as GNUTYPE_LONGNAME or GNUTYPE_LONGLINK. This could result in a crafted tar archive being misinterpreted by the tarfile module compared to other implementations. Уязвимость интерпретатора языка программирования Python связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N', score=3.3) - Удалить ПО python, pypy если они не используются и не являются зависимостями других пакетов - По возможности отказаться от использования модуля tarfile - При использовании ПО python, pypy выполнять обработку файлов, полученных из только доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 python3.11 When reading an HTTP response from a server, if no read amount is specified, the default behavior will be to use Content-Length. This allows a malicious server to cause the client to read large amounts of data into memory, potentially causing OOM or other DoS. Уязвимость компонента Lib/http/client.py интерпретатора языка программирования Python связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 python3.11 When loading a plist file, the plistlib module reads data in size specified by the file itself, meaning a malicious file can cause OOM and DoS issues Уязвимость модуля plistlib интерпретатора языка программирования Python связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 curl When doing multi-threaded LDAPS transfers (LDAP over TLS) with libcurl, changing TLS options in one thread would inadvertently change them globally and therefore possibly also affect other concurrently setup transfers. Disabling certificate verification for a specific transfer could unintentionally disable the feature for other threads as well. Уязвимость библиотеки libcurl программного средства для взаимодействия с серверами cURL связана с неправильным подтверждением подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-567')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N', score=6.3) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 glib2.0 A flaw was found in GLib (Gnome Lib). This vulnerability allows a remote attacker to cause heap corruption, leading to a denial of service or potential code execution via a buffer-underflow in the GVariant parser when processing maliciously crafted input strings. Уязвимость набора библиотек GLib связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=5.6) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 1.8 gimp GIMP PNM File Parsing Integer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of PNM files. The issue results from the lack of proper validation of user-supplied data, which can result in an integer overflow before allocating a buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28273. Уязвимость функции pnm_load_raw() компонента file-pnm.c графического редактора GIMP связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 gimp GIMP JP2 File Parsing Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of JP2 files. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28248. Уязвимость функции load_image() компонента plug-ins/common/file-jp2.c графического редактора GIMP связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 dcmtk A vulnerability was detected in OFFIS DCMTK up to 3.6.9. Affected by this issue is the function DcmByteString::makeDicomByteString of the file dcmdata/libsrc/dcbytstr.cc of the component dcmdata. The manipulation results in memory corruption. The attack can be launched remotely. Upgrading to version 3.7.0 can resolve this issue. The patch is identified as 4c0e5c10079392c594d6a7abd95dd78ac0aa556a. You should upgrade the affected component. Уязвимость функции DcmByteString::makeDicomByteString компонента dcmdata/libsrc/dcbytstr.cc библиотеки для работы с форматом DICOM DCMTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:L/Au:S/C:P/I:P/A:P', score=6.5) NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=6.3) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 dcmtk A flaw has been found in OFFIS DCMTK up to 3.6.9. The impacted element is the function DcmQueryRetrieveIndexDatabaseHandle::startFindRequest/DcmQueryRetrieveIndexDatabaseHandle::startMoveRequest in the library dcmqrdb/libsrc/dcmqrdbi.cc of the component dcmqrscp. This manipulation causes null pointer dereference. The attack requires local access. Upgrading to version 3.7.0 is sufficient to resolve this issue. Patch name: ffb1a4a37d2c876e3feeb31df4930f2aed7fa030. You should upgrade the affected component. Уязвимость компонента dcmqrdb/libsrc/dcmqrdbi.cc библиотеки для работы с форматом DICOM DCMTK связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-404')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 qemu A flaw was found in the virtio-crypto device of QEMU. A malicious guest operating system can exploit a missing length limit in the AKCIPHER path, leading to uncontrolled memory allocation. This can result in a denial of service (DoS) on the host system by causing the QEMU process to terminate unexpectedly. Уязвимость эмулятора аппаратного обеспечения QEMU связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gimp GIMP PSP File Parsing Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of PSP files. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28232. Уязвимость компонента plug-ins/common/file-psp.c графического редактора GIMP связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 curl When doing SSH-based transfers using either SCP or SFTP, and setting the known_hosts file, libcurl could still mistakenly accept connecting to hosts *not present* in the specified file if they were added as recognized in the libssh *global* known_hosts file. Уязвимость компонента libssh.c программного средства для взаимодействия с серверами CURL связана с отсутствием проверки хостовых данных сертификата. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-297'), NistCWE(cwe='CWE-297')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 glibc Calling wordexp with WRDE_REUSE in conjunction with WRDE_APPEND in the GNU C Library version 2.0 to version 2.42 may cause the interface to return uninitialized memory in the we_wordv member, which on subsequent calls to wordfree may abort the process. Уязвимость компонентов posix системной библиотеки GNU C Library связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) При использовании функции wordexp библиотеки glibc необходимо обеспечить, чтобы в нее не передавались одновременно флаги WRDE_REUSE и WRDE_APPEND. Astra Linux 1.8 python3.11 User-controlled data URLs parsed by urllib.request.DataHandler allow injecting headers through newlines in the data URL mediatype. Уязвимость компонента urllib.request.DataHandler интерпретатора языка программирования Python связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-93')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 python3.11 The imaplib module, when passed a user-controlled command, can have additional commands injected using newlines. Mitigation rejects commands containing control characters. Уязвимость модуля imaplib интерпретатора языка программирования Python связана с непринятием мер по чистке данных на управляющем уровне. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-77')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 python3.11 The poplib module, when passed a user-controlled command, can have additional commands injected using newlines. Mitigation rejects commands containing control characters. Уязвимость модуля poplib интерпретатора языка программирования Python связана с непринятием мер по чистке данных на управляющем уровне. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-77')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 opencolorio A vulnerability was found in AcademySoftwareFoundation OpenColorIO up to 2.5.0. This issue affects the function ConvertToRegularExpression of the file src/OpenColorIO/FileRules.cpp. Performing a manipulation results in out-of-bounds read. The attack needs to be approached locally. The exploit has been made public and could be used. The patch is named ebdbb75123c9d5f4643e041314e2bc988a13f20d. To fix this issue, it is recommended to deploy a patch. The fix was added to the 2.5.1 milestone. Уязвимость функции ConvertToRegularExpression компонента src/OpenColorIO/FileRules.cpp фреймворка для управления цветом OpenColorIO связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:N/I:N/A:P', score=1.7) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) - При использовании ПО opencolorio выполнять обработку данных, полученных только из доверенных источников - Обеспечить возможность запуска ПО opencolorio только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: Remove RTNL dance for SIOCBRADDIF and SIOCBRDELIF. SIOCBRDELIF is passed to dev_ioctl() first and later forwarded to br_ioctl_call(), which causes unnecessary RTNL dance and the splat below [0] under RTNL pressure. Let's say Thread A is trying to detach a device from a bridge and Thread B is trying to remove the bridge. In dev_ioctl(), Thread A bumps the bridge device's refcnt by netdev_hold() and releases RTNL because the following br_ioctl_call() also re-acquires RTNL. In the race window, Thread B could acquire RTNL and try to remove the bridge device. Then, rtnl_unlock() by Thread B will release RTNL and wait for netdev_put() by Thread A. Thread A, however, must hold RTNL after the unlock in dev_ifsioc(), which may take long under RTNL pressure, resulting in the splat by Thread B. Thread A (SIOCBRDELIF) Thread B (SIOCBRDELBR) ---------------------- ---------------------- sock_ioctl sock_ioctl `- sock_do_ioctl `- br_ioctl_call `- dev_ioctl `- br_ioctl_stub |- rtnl_lock | |- dev_ifsioc ' ' |- dev = __dev_get_by_name(...) |- netdev_hold(dev, ...) . / |- rtnl_unlock ------. | | |- br_ioctl_call `---> |- rtnl_lock Race | | `- br_ioctl_stub |- br_del_bridge Window | | | |- dev = __dev_get_by_name(...) | | | May take long | `- br_dev_delete(dev, ...) | | | under RTNL pressure | `- unregister_netdevice_queue(dev, ...) | | | | `- rtnl_unlock \ | |- rtnl_lock <-' `- netdev_run_todo | |- ... `- netdev_run_todo | `- rtnl_unlock |- __rtnl_unlock | |- netdev_wait_allrefs_any |- netdev_put(dev, ...) <----------------' Wait refcnt decrement and log splat below To avoid blocking SIOCBRDELBR unnecessarily, let's not call dev_ioctl() for SIOCBRADDIF and SIOCBRDELIF. In the dev_ioctl() path, we do the following: 1. Copy struct ifreq by get_user_ifreq in sock_do_ioctl() 2. Check CAP_NET_ADMIN in dev_ioctl() 3. Call dev_load() in dev_ioctl() 4. Fetch the master dev from ifr.ifr_name in dev_ifsioc() 3. can be done by request_module() in br_ioctl_call(), so we move 1., 2., and 4. to br_ioctl_stub(). Note that 2. is also checked later in add_del_if(), but it's better performed before RTNL. SIOCBRADDIF and SIOCBRDELIF have been processed in dev_ioctl() since the pre-git era, and there seems to be no specific reason to process them there. [0]: unregister_netdevice: waiting for wpan3 to become free. Usage count = 2 ref_tracker: wpan3@ffff8880662d8608 has 1/1 users at __netdev_tracker_alloc include/linux/netdevice.h:4282 [inline] netdev_hold include/linux/netdevice.h:4311 [inline] dev_ifsioc+0xc6a/0x1160 net/core/dev_ioctl.c:624 dev_ioctl+0x255/0x10c0 net/core/dev_ioctl.c:826 sock_do_ioctl+0x1ca/0x260 net/socket.c:1213 sock_ioctl+0x23a/0x6c0 net/socket.c:1318 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl fs/ioctl.c:892 [inline] __x64_sys_ioctl+0x1a4/0x210 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcb/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонентов net ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 graphicsmagick ReadJXLImage in JXL in GraphicsMagick before 1.3.46 lacks image dimension resource limits. Уязвимость функции ReadJXLImage() графического редактора GraphicsMagick связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:L', score=4.3) graphicsmagick: - Использовать ПО graphicsmagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО graphicsmagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО graphicsmagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Отказаться от использования ПО graphicsmagick в пользу ПО imagemagick Astra Linux 1.8 graphicsmagick GraphicsMagick before 8e56520 has a heap-based buffer over-read in ReadJXLImage in coders/jxl.c, related to an ImportViewPixelArea call. Уязвимость компонента coders/jxl.c кроссплатформенной библиотеки для работы с графикой GraphicsMagick связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=4.0) graphicsmagick: - Использовать ПО graphicsmagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО graphicsmagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО graphicsmagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Отказаться от использования ПО graphicsmagick в пользу ПО imagemagick Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched/rt: Fix race in push_rt_task Overview ======== When a CPU chooses to call push_rt_task and picks a task to push to another CPU's runqueue then it will call find_lock_lowest_rq method which would take a double lock on both CPUs' runqueues. If one of the locks aren't readily available, it may lead to dropping the current runqueue lock and reacquiring both the locks at once. During this window it is possible that the task is already migrated and is running on some other CPU. These cases are already handled. However, if the task is migrated and has already been executed and another CPU is now trying to wake it up (ttwu) such that it is queued again on the runqeue (on_rq is 1) and also if the task was run by the same CPU, then the current checks will pass even though the task was migrated out and is no longer in the pushable tasks list. Crashes ======= This bug resulted in quite a few flavors of crashes triggering kernel panics with various crash signatures such as assert failures, page faults, null pointer dereferences, and queue corruption errors all coming from scheduler itself. Some of the crashes: -> kernel BUG at kernel/sched/rt.c:1616! BUG_ON(idx >= MAX_RT_PRIO) Call Trace: ? __die_body+0x1a/0x60 ? die+0x2a/0x50 ? do_trap+0x85/0x100 ? pick_next_task_rt+0x6e/0x1d0 ? do_error_trap+0x64/0xa0 ? pick_next_task_rt+0x6e/0x1d0 ? exc_invalid_op+0x4c/0x60 ? pick_next_task_rt+0x6e/0x1d0 ? asm_exc_invalid_op+0x12/0x20 ? pick_next_task_rt+0x6e/0x1d0 __schedule+0x5cb/0x790 ? update_ts_time_stats+0x55/0x70 schedule_idle+0x1e/0x40 do_idle+0x15e/0x200 cpu_startup_entry+0x19/0x20 start_secondary+0x117/0x160 secondary_startup_64_no_verify+0xb0/0xbb -> BUG: kernel NULL pointer dereference, address: 00000000000000c0 Call Trace: ? __die_body+0x1a/0x60 ? no_context+0x183/0x350 ? __warn+0x8a/0xe0 ? exc_page_fault+0x3d6/0x520 ? asm_exc_page_fault+0x1e/0x30 ? pick_next_task_rt+0xb5/0x1d0 ? pick_next_task_rt+0x8c/0x1d0 __schedule+0x583/0x7e0 ? update_ts_time_stats+0x55/0x70 schedule_idle+0x1e/0x40 do_idle+0x15e/0x200 cpu_startup_entry+0x19/0x20 start_secondary+0x117/0x160 secondary_startup_64_no_verify+0xb0/0xbb -> BUG: unable to handle page fault for address: ffff9464daea5900 kernel BUG at kernel/sched/rt.c:1861! BUG_ON(rq->cpu != task_cpu(p)) -> kernel BUG at kernel/sched/rt.c:1055! BUG_ON(!rq->nr_running) Call Trace: ? __die_body+0x1a/0x60 ? die+0x2a/0x50 ? do_trap+0x85/0x100 ? dequeue_top_rt_rq+0xa2/0xb0 ? do_error_trap+0x64/0xa0 ? dequeue_top_rt_rq+0xa2/0xb0 ? exc_invalid_op+0x4c/0x60 ? dequeue_top_rt_rq+0xa2/0xb0 ? asm_exc_invalid_op+0x12/0x20 ? dequeue_top_rt_rq+0xa2/0xb0 dequeue_rt_entity+0x1f/0x70 dequeue_task_rt+0x2d/0x70 __schedule+0x1a8/0x7e0 ? blk_finish_plug+0x25/0x40 schedule+0x3c/0xb0 futex_wait_queue_me+0xb6/0x120 futex_wait+0xd9/0x240 do_futex+0x344/0xa90 ? get_mm_exe_file+0x30/0x60 ? audit_exe_compare+0x58/0x70 ? audit_filter_rules.constprop.26+0x65e/0x1220 __x64_sys_futex+0x148/0x1f0 do_syscall_64+0x30/0x80 entry_SYSCALL_64_after_hwframe+0x62/0xc7 -> BUG: unable to handle page fault for address: ffff8cf3608bc2c0 Call Trace: ? __die_body+0x1a/0x60 ? no_context+0x183/0x350 ? spurious_kernel_fault+0x171/0x1c0 ? exc_page_fault+0x3b6/0x520 ? plist_check_list+0x15/0x40 ? plist_check_list+0x2e/0x40 ? asm_exc_page_fault+0x1e/0x30 ? _cond_resched+0x15/0x30 ? futex_wait_queue_me+0xc8/0x120 ? futex_wait+0xd9/0x240 ? try_to_wake_up+0x1b8/0x490 ? futex_wake+0x78/0x160 ? do_futex+0xcd/0xa90 ? plist_check_list+0x15/0x40 ? plist_check_list+0x2e/0x40 ? plist_del+0x6a/0xd0 ? plist_check_list+0x15/0x40 ? plist_check_list+0x2e/0x40 ? dequeue_pushable_task+0x20/0x70 ? __schedule+0x382/0x7e0 ? asm_sysvec_reschedule_i ---truncated--- [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Reject narrower access to pointer ctx fields The following BPF program, simplified from a syzkaller repro, causes a kernel warning: r0 = *(u8 *)(r1 + 169); exit; With pointer field sk being at offset 168 in __sk_buff. This access is detected as a narrower read in bpf_skb_is_valid_access because it doesn't match offsetof(struct __sk_buff, sk). It is therefore allowed and later proceeds to bpf_convert_ctx_access. Note that for the "is_narrower_load" case in the convert_ctx_accesses(), the insn->off is aligned, so the cnt may not be 0 because it matches the offsetof(struct __sk_buff, sk) in the bpf_convert_ctx_access. However, the target_size stays 0 and the verifier errors with a kernel warning: verifier bug: error during ctx access conversion(1) This patch fixes that to return a proper "invalid bpf_context access off=X size=Y" error on the load instruction. The same issue affects multiple other fields in context structures that allow narrow access. Some other non-affected fields (for sk_msg, sk_lookup, and sockopt) were also changed to use bpf_ctx_range_ptr for consistency. Note this syzkaller crash was reported in the "Closes" link below, which used to be about a different bug, fixed in commit fce7bd8e385a ("bpf/verifier: Handle BPF_LOAD_ACQ instructions in insn_def_regno()"). Because syzbot somehow confused the two bugs, the new crash and repro didn't get reported to the mailing list. Уязвимость функции bpf_skb_is_valid_access() в модуле net/core/filter.c поддержки интерпретатора BPF ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tcp_metrics: use dst_dev_net_rcu() Replace three dst_dev() with a lockdep enabled helper. [] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix slab-out-of-bounds read in hfsplus_uni2asc() BUG: KASAN: slab-out-of-bounds in hfsplus_uni2asc+0xa71/0xb90 fs/hfsplus/unicode.c:186 Read of size 2 at addr ffff8880289ef218 by task syz.6.248/14290 CPU: 0 UID: 0 PID: 14290 Comm: syz.6.248 Not tainted 6.16.4 #1 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1b0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x5f0 mm/kasan/report.c:482 kasan_report+0xca/0x100 mm/kasan/report.c:595 hfsplus_uni2asc+0xa71/0xb90 fs/hfsplus/unicode.c:186 hfsplus_listxattr+0x5b6/0xbd0 fs/hfsplus/xattr.c:738 vfs_listxattr+0xbe/0x140 fs/xattr.c:493 listxattr+0xee/0x190 fs/xattr.c:924 filename_listxattr fs/xattr.c:958 [inline] path_listxattrat+0x143/0x360 fs/xattr.c:988 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcb/0x4c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fe0e9fae16d Code: 02 b8 ff ff ff ff c3 66 0f 1f 44 00 00 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007fe0eae67f98 EFLAGS: 00000246 ORIG_RAX: 00000000000000c3 RAX: ffffffffffffffda RBX: 00007fe0ea205fa0 RCX: 00007fe0e9fae16d RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000200000000000 RBP: 00007fe0ea0480f0 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 00007fe0ea206038 R14: 00007fe0ea205fa0 R15: 00007fe0eae48000 </TASK> Allocated by task 14290: kasan_save_stack+0x24/0x50 mm/kasan/common.c:47 kasan_save_track+0x14/0x30 mm/kasan/common.c:68 poison_kmalloc_redzone mm/kasan/common.c:377 [inline] __kasan_kmalloc+0xaa/0xb0 mm/kasan/common.c:394 kasan_kmalloc include/linux/kasan.h:260 [inline] __do_kmalloc_node mm/slub.c:4333 [inline] __kmalloc_noprof+0x219/0x540 mm/slub.c:4345 kmalloc_noprof include/linux/slab.h:909 [inline] hfsplus_find_init+0x95/0x1f0 fs/hfsplus/bfind.c:21 hfsplus_listxattr+0x331/0xbd0 fs/hfsplus/xattr.c:697 vfs_listxattr+0xbe/0x140 fs/xattr.c:493 listxattr+0xee/0x190 fs/xattr.c:924 filename_listxattr fs/xattr.c:958 [inline] path_listxattrat+0x143/0x360 fs/xattr.c:988 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcb/0x4c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f When hfsplus_uni2asc is called from hfsplus_listxattr, it actually passes in a struct hfsplus_attr_unistr*. The size of the corresponding structure is different from that of hfsplus_unistr, so the previous fix (94458781aee6) is insufficient. The pointer on the unicode buffer is still going beyond the allocated memory. This patch introduces two warpper functions hfsplus_uni2asc_xattr_str and hfsplus_uni2asc_str to process two unicode buffers, struct hfsplus_attr_unistr* and struct hfsplus_unistr* respectively. When ustrlen value is bigger than the allocated memory size, the ustrlen value is limited to an safe size. Уязвимость функции hfsplus_uni2asc() ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tls: Use __sk_dst_get() and dst_dev_rcu() in get_netdev_for_sock(). get_netdev_for_sock() is called during setsockopt(), so not under RCU. Using sk_dst_get(sk)->dev could trigger UAF. Let's use __sk_dst_get() and dst_dev_rcu(). Note that the only ->ndo_sk_get_lower_dev() user is bond_sk_get_lower_dev(), which uses RCU. Уязвимость функции get_netdev_for_sock() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usbnet: Fix using smp_processor_id() in preemptible code warnings Syzbot reported the following warning: BUG: using smp_processor_id() in preemptible [00000000] code: dhcpcd/2879 caller is usbnet_skb_return+0x74/0x490 drivers/net/usb/usbnet.c:331 CPU: 1 UID: 0 PID: 2879 Comm: dhcpcd Not tainted 6.15.0-rc4-syzkaller-00098-g615dca38c2ea #0 PREEMPT(voluntary) Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x16c/0x1f0 lib/dump_stack.c:120 check_preemption_disabled+0xd0/0xe0 lib/smp_processor_id.c:49 usbnet_skb_return+0x74/0x490 drivers/net/usb/usbnet.c:331 usbnet_resume_rx+0x4b/0x170 drivers/net/usb/usbnet.c:708 usbnet_change_mtu+0x1be/0x220 drivers/net/usb/usbnet.c:417 __dev_set_mtu net/core/dev.c:9443 [inline] netif_set_mtu_ext+0x369/0x5c0 net/core/dev.c:9496 netif_set_mtu+0xb0/0x160 net/core/dev.c:9520 dev_set_mtu+0xae/0x170 net/core/dev_api.c:247 dev_ifsioc+0xa31/0x18d0 net/core/dev_ioctl.c:572 dev_ioctl+0x223/0x10e0 net/core/dev_ioctl.c:821 sock_do_ioctl+0x19d/0x280 net/socket.c:1204 sock_ioctl+0x42f/0x6a0 net/socket.c:1311 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:906 [inline] __se_sys_ioctl fs/ioctl.c:892 [inline] __x64_sys_ioctl+0x190/0x200 fs/ioctl.c:892 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0x260 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f For historical and portability reasons, the netif_rx() is usually run in the softirq or interrupt context, this commit therefore add local_bh_disable/enable() protection in the usbnet_resume_rx(). Уязвимость функции usbnet_resume_rx() модуля drivers/net/usb/usbnet.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: use dst_dev_rcu() in sk_setup_caps() Use RCU to protect accesses to dst->dev from sk_setup_caps() and sk_dst_gso_max_size(). Also use dst_dev_rcu() in ip6_dst_mtu_maybe_forward(), and ip_dst_mtu_maybe_forward(). ip4_dst_hoplimit() can use dst_dev_net_rcu(). [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: delete x->tunnel as we delete x The ipcomp fallback tunnels currently get deleted (from the various lists and hashtables) as the last user state that needed that fallback is destroyed (not deleted). If a reference to that user state still exists, the fallback state will remain on the hashtables/lists, triggering the WARN in xfrm_state_fini. Because of those remaining references, the fix in commit f75a2804da39 ("xfrm: destroy xfrm_state synchronously on net exit path") is not complete. We recently fixed one such situation in TCP due to defered freeing of skbs (commit 9b6412e6979f ("tcp: drop secpath at the same time as we currently drop dst")). This can also happen due to IP reassembly: skbs with a secpath remain on the reassembly queue until netns destruction. If we can't guarantee that the queues are flushed by the time xfrm_state_fini runs, there may still be references to a (user) xfrm_state, preventing the timely deletion of the corresponding fallback state. Instead of chasing each instance of skbs holding a secpath one by one, this patch fixes the issue directly within xfrm, by deleting the fallback state as soon as the last user state depending on it has been deleted. Destruction will still happen when the final reference is dropped. A separate lockdep class for the fallback state is required since we're going to lock x->tunnel while x is locked. Уязвимость функции xfrm_state_delete_tunnel() модуля net/xfrm/xfrm_state.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/panthor: Flush shmem writes before mapping buffers CPU-uncached The shmem layer zeroes out the new pages using cached mappings, and if we don't CPU-flush we might leave dirty cachelines behind, leading to potential data leaks and/or asynchronous buffer corruption when dirty cachelines are evicted. Уязвимость компонента drivers/gpu/drm/panthor ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md/raid10: wait barrier before returning discard request with REQ_NOWAIT raid10_handle_discard should wait barrier before returning a discard bio which has REQ_NOWAIT. And there is no need to print warning calltrace if a discard bio has REQ_NOWAIT flag. Quality engineer usually checks dmesg and reports error if dmesg has warning/error calltrace. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: storage: sddr55: Reject out-of-bound new_pba Discovered by Atuin - Automated Vulnerability Discovery Engine. new_pba comes from the status packet returned after each write. A bogus device could report values beyond the block count derived from info->capacity, letting the driver walk off the end of pba_to_lba[] and corrupt heap memory. Reject PBAs that exceed the computed block count and fail the transfer so we avoid touching out-of-range mapping entries. Уязвимость функции sddr55_write_data() модуля drivers/usb/storage/sddr55.c драйвера устройств шины USB ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.6, iOS 18.6 and iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6, watchOS 11.6. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 18.6, iOS 18.6 and iPadOS 18.6, macOS Sequoia 15.6, tvOS 18.6, visionOS 2.6, watchOS 11.6. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 26.1, iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, visionOS 26.1, watchOS 26.1. Processing maliciously crafted web content may lead to an unexpected Safari crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 26.2, iOS 18.7.2 and iPadOS 18.7.2, iOS 26.2 and iPadOS 26.2, macOS Tahoe 26.2, visionOS 26.2, watchOS 26.2. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 containerd-app The html.Parse function in golang.org/x/net/html has quadratic parsing complexity when processing certain inputs, which can lead to denial of service (DoS) if an attacker provides specially crafted HTML content. Уязвимость пакета golang-x-net языка программирования Golang связана с недостаточным контролем ресурса в период его существования. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) containerd-app: - Не использовать недоверенные и ненадежные образы контейнеров - Обеспечить возможность импорта образов контейнеров только доверенным пользователям ОС - Активировать режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС Astra Linux 1.8 python-urllib3 urllib3 is a user-friendly HTTP client library for Python. Prior to 2.5.0, it is possible to disable redirects for all requests by instantiating a PoolManager and specifying retries in a way that disable redirects. By default, requests and botocore users are not affected. An application attempting to mitigate SSRF or open redirect vulnerabilities by disabling redirects at the PoolManager level will remain vulnerable. This issue has been patched in version 2.5.0. Уязвимость HTTP библиотеки Urllib3 языка программирования Python связана с переадресацией URL на ненадежный сайт. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перенаправлять пользователей на произвольный URL-адрес [NistCWE(cwe='CWE-601')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.3) Отключайте перенаправление на уровне request(), а не на уровне PoolManager(). Astra Linux 1.8 exiv2 Exiv2 is a C++ library and a command-line utility to read, write, delete and modify Exif, IPTC, XMP and ICC image metadata. An out-of-bounds read was found in Exiv2 versions 0.28.5 and earlier. The out-of-bounds read is triggered when Exiv2 is used to write metadata into a crafted image file. An attacker could potentially exploit the vulnerability to cause a denial of service by crashing Exiv2, if they can trick the victim into running Exiv2 on a crafted image file. Note that this bug is only triggered when writing the metadata, which is a less frequently used Exiv2 operation than reading the metadata. The bug is fixed in version 0.28.6. Уязвимость команд библиотеки для управления метаданными медиафайлов Exiv2 связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) exiv2: - Использовать ПО exiv2 только на низком или отдельно выделенном уровне целостности - При использовании ПО Exiv2 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска По Exiv2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 qbittorrent qBittorrent before 5.1.2 does not prevent access to a local file that is referenced in a link URL. This affects rsswidget.cpp and searchjobwidget.cpp. Уязвимость кросс-платформенный BitTorrent клиента qBittorrent связана с отсутствием проверки корректности принимаемых запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальной информации [NistCWE(cwe='CWE-669')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:N/A:N', score=4.0) Astra Linux 1.8 grub2 A vulnerability has been identified in the GRUB2 bootloader's network module that poses an immediate Denial of Service (DoS) risk. This flaw is a Use-after-Free issue, caused because the net_set_vlan command is not properly unregistered when the network module is unloaded from memory. An attacker who can execute this command can force the system to access memory locations that are no longer valid. Successful exploitation leads directly to system instability, which can result in a complete crash and halt system availability Уязвимость компонента grub-core/net/net.c конфигурационного файла Grub связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=4.9) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A use-after-free vulnerability has been identified in the GNU GRUB (Grand Unified Bootloader). The flaw occurs because the file-closing process incorrectly retains a memory pointer, leaving an invalid reference to a file system structure. An attacker could exploit this vulnerability to cause grub to crash, leading to a Denial of Service. Possible data integrity or confidentiality compromise is not discarded. Уязвимость загрузчика операционных систем Grub2 связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании и получить несанкционированный доступ к системе [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=4.9) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 nodejs A flaw in Node.js's buffer allocation logic can expose uninitialized memory when allocations are interrupted, when using the `vm` module with the timeout option. Under specific timing conditions, buffers allocated with `Buffer.alloc` and other `TypedArray` instances like `Uint8Array` may contain leftover data from previous operations, allowing in-process secrets like tokens or passwords to leak or causing data corruption. While exploitation typically requires precise timing or in-process code execution, it can become remotely exploitable when untrusted input influences workload and timeouts, leading to potential confidentiality and integrity impact. Уязвимость программной платформы Node.js связана с ошибками межграничного удаления критичных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и целостность защищаемой информации [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-497')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:L', score=7.1) nodejs: - При использовании ПО NodeJS выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте NodeJS-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 qtimageformats-opensource-src When loading a specifically crafted ICNS format image file in QImage then it will trigger a crash.  This issue affects Qt from versions 6.3.0 through 6.5.9, from 6.6.0 through 6.8.4, 6.9.0. This is fixed in 6.5.10, 6.8.5 and 6.9.1. Уязвимость компонента qicnshandler.cpp кроссплатформенного фреймворка для разработки программного обеспечения Qt, набора плагинов для Qt6 для поддержки различных форматов изображений Qt6 Image Formats связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 containerd-app The html.Parse function in golang.org/x/net/html has an infinite parsing loop when processing certain inputs, which can lead to denial of service (DoS) if an attacker provides specially crafted HTML content. Уязвимость пакета golang-x-net языка программирования Golang связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) containerd-app: - Не использовать недоверенные и ненадежные образы контейнеров - Обеспечить возможность импорта образов контейнеров только доверенным пользователям ОС - Активировать режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС Astra Linux 1.8 mapserver MapServer is a system for developing web-based GIS applications. Prior to 8.4.1, the XML Filter Query directive PropertyName is vulnerably to Boolean-based SQL injection. It seems like expression checking is bypassed by introducing double quote characters in the PropertyName. Allowing to manipulate backend database queries. This vulnerability is fixed in 8.4.1. Уязвимость серверной геоинформационной системы MapServer связана с непринятием мер по защите структуры SQL-запроса при обработке параметра PropertyName. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-89')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 nodejs A malformed `HTTP/2 HEADERS` frame with oversized, invalid `HPACK` data can cause Node.js to crash by triggering an unhandled `TLSSocket` error `ECONNRESET`. Instead of safely closing the connection, the process crashes, enabling a remote denial of service. This primarily affects applications that do not attach explicit error handlers to secure sockets, for example: ``` server.on('secureConnection', socket => { socket.on('error', err => { console.log(err) }) }) ``` Уязвимость программной платформы Node.js связана с ошибкой обработки исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-248')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) nodejs: - При использовании ПО NodeJS выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте NodeJS-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 unbound A multi-vendor cache poisoning vulnerability named 'Rebirthday Attack' has been discovered in caching resolvers that support EDNS Client Subnet (ECS). Unbound is also vulnerable when compiled with ECS support, i.e., '--enable-subnet', AND configured to send ECS information along with queries to upstream name servers, i.e., at least one of the 'send-client-subnet', 'client-subnet-zone' or 'client-subnet-always-forward' options is used. Resolvers supporting ECS need to segregate outgoing queries to accommodate for different outgoing ECS information. This re-opens up resolvers to a birthday paradox attack (Rebirthday Attack) that tries to match the DNS transaction ID in order to cache non-ECS poisonous replies. Уязвимость DNS-сервера Unbound связана с загрузкой внешних ненадёжных данных вместе с надёжными данными. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, осуществлять атаки отравления кэша [NistCWE(cwe='CWE-349')] None None - Включить и настроить межсетевой экран ufw для фильтрации трафика; - Обеспечить возможность запуска ПО unbound только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать ПО unbound только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 gimp A flaw was found in GIMP. An integer overflow vulnerability exists in the GIMP "Despeckle" plug-in. The issue occurs due to unchecked multiplication of image dimensions, such as width, height, and bytes-per-pixel (img_bpp), which can result in allocating insufficient memory and subsequently performing out-of-bounds writes. This issue could lead to heap corruption, a potential denial of service (DoS), or arbitrary code execution in certain scenarios. Уязвимость компонента Despeckle Plugin графического редактора GIMP связана с выходом за границы буфера памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:H', score=6.1) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 python3.11 If the value passed to os.path.expandvars() is user-controlled a performance degradation is possible when expanding environment variables. Уязвимость функции os.path.expandvars() интерпретатора языка программирования Python связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libde265 strukturag libde265 commit d9fea9d wa discovered to contain a segmentation fault via the component decoder_context::compute_framedrop_table(). Уязвимость реализации видеокодека h.265 Libde265 связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) libde265: - Отказаться от использования библиотеки libde265 - При использовании ПО, использующего библиотеку libde265, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libde265, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 ruby3.1 URI is a module providing classes to handle Uniform Resource Identifiers. In versions 0.12.4 and earlier (bundled in Ruby 3.2 series) 0.13.2 and earlier (bundled in Ruby 3.3 series), 1.0.3 and earlier (bundled in Ruby 3.4 series), when using the + operator to combine URIs, sensitive information like passwords from the original URI can be leaked, violating RFC3986 and making applications vulnerable to credential exposure. This is a a bypass for the fix to CVE-2025-27221 that can expose user credentials. This issue has been fixed in versions 0.12.5, 0.13.3 and 1.0.4. Уязвимость модуля URI языка программирования Ruby, системы управления пакетами RubyGems связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 grub2 A vulnerability has been identified in the GRUB (Grand Unified Bootloader) component. This flaw occurs because the bootloader mishandles string conversion when reading information from a USB device, allowing an attacker to exploit inconsistent length values. A local attacker can connect a maliciously configured USB device during the boot sequence to trigger this issue. A successful exploitation may lead GRUB to crash, leading to a Denial of Service. Data corruption may be also possible, although given the complexity of the exploit the impact is most likely limited. Уязвимость загрузчика операционных систем Grub2 связана с неверным расчетом размера буфера при обработке получаемых пакетов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=4.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A Use-After-Free vulnerability has been discovered in GRUB's gettext module. This flaw stems from a programming error where the gettext command remains registered in memory after its module is unloaded. An attacker can exploit this condition by invoking the orphaned command, causing the application to access a memory location that is no longer valid. An attacker could exploit this vulnerability to cause grub to crash, leading to a Denial of Service. Possible data integrity or confidentiality compromise is not discarded. Уязвимость модуля gettext загрузчика операционных систем Grub2 связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A vulnerability has been identified in the GRUB2 bootloader's normal command that poses an immediate Denial of Service (DoS) risk. This flaw is a Use-after-Free issue, caused because the normal command is not properly unregistered when the module is unloaded. An attacker who can execute this command can force the system to access memory locations that are no longer valid. Successful exploitation leads directly to system instability, which can result in a complete crash and halt system availability. Impact on the data integrity and confidentiality is also not discarded. Уязвимость загрузчика операционных систем Grub2 связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=4.9) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 grub2 A vulnerability in the GRUB2 bootloader has been identified in the normal module. This flaw, a memory Use After Free issue, occurs because the normal_exit command is not properly unregistered when its related module is unloaded. An attacker can exploit this condition by invoking the command after the module has been removed, causing the system to improperly access a previously freed memory location. This leads to a system crash or possible impacts in data confidentiality and integrity. Уязвимость функции normal_exit() загрузчика операционных систем Grub2 связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=4.9) grub2: - Установить "взломостойкий" пароль на загрузчик Grub - Обеспечить возможность запуска grub2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 docker.io-app Docker Compose trusts the path information embedded in remote OCI compose artifacts. When a layer includes the annotations com.docker.compose.extends or com.docker.compose.envfile, Compose joins the attacker‑supplied value from com.docker.compose.file/com.docker.compose.envfile with its local cache directory and writes the file there. This affects any platform or workflow that resolves remote OCI compose artifacts, Docker Desktop, standalone Compose binaries on Linux, CI/CD runners, cloud dev environments is affected. An attacker can escape the cache directory and overwrite arbitrary files on the machine running docker compose, even if the user only runs read‑only commands such as docker compose config or docker compose ps. This issue is fixed in v2.40.2. Уязвимость инструмента для управления многоконтейнерными приложениями Docker Compose связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перезаписать произвольные файлы [NistCWE(cwe='CWE-22')] None None - Использовать Docker для работы в непривилегированном (rootless) режиме - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование файла Unix-сокета /var/run/docker.sock внутри контейнеров для всех пользователей - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске Docker-контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске Docker-контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске Docker-контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` docker run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` docker run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - Создавайте отдельные сети для контейнеров, используемых в одном контексте, чтобы изолировать их от других контейнеров и ограничить сетевой доступ только до необходимых сервисов. Для создания пользовательской сети используется следующая команда команда: ` docker network create <network_name> ` Далее, для подключения контейнера к созданной сети используется следующая команда: ` docker run --network=<network_name> --rm <image_name> ` - Поддерживайте образы контейнеров в актуальном состоянии - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gpsd gpsd before commit dc966aa contains a heap-based out-of-bounds write vulnerability in the drivers/driver_nmea2000.c file. The hnd_129540 function, which handles NMEA2000 PGN 129540 (GNSS Satellites in View) packets, fails to validate the user-supplied satellite count against the size of the skyview array (184 elements). This allows an attacker to write beyond the bounds of the array by providing a satellite count up to 255, leading to memory corruption, Denial of Service (DoS), and potentially arbitrary code execution. Уязвимость компонента drivers/driver_nmea2000.c демона отслеживания приемников GPS GPSd связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-1285')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) gpsd: - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash Astra Linux 1.8 gpsd An integer underflow vulnerability exists in the `nextstate()` function in `gpsd/packet.c` of gpsd versions prior to commit `ffa1d6f40bca0b035fc7f5e563160ebb67199da7`. When parsing a NAVCOM packet, the payload length is calculated using `lexer->length = (size_t)c - 4` without checking if the input byte `c` is less than 4. This results in an unsigned integer underflow, setting `lexer->length` to a very large value (near `SIZE_MAX`). The parser then enters a loop attempting to consume this massive number of bytes, causing 100% CPU utilization and a Denial of Service (DoS) condition. Уязвимость функции nextstate() компонента gpsd/packet.c демона отслеживания приемников GPS GPSd связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-191'), NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) gpsd: - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash Astra Linux 1.8 capstone Capstone is a disassembly framework. In versions 6.0.0-Alpha5 and prior, Skipdata length is not bounds-checked, so a user-provided skipdata callback can make cs_disasm/cs_disasm_iter memcpy more than 24 bytes into cs_insn.bytes, causing a heap buffer overflow in the disassembly path. Commit cbef767ab33b82166d263895f24084b75b316df3 fixes the issue. Уязвимость функций cs_disasm(), cs_disasm_iter() компонента cs.c дизассемблера Capstone связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L', score=4.8) Astra Linux 1.8 capstone Capstone is a disassembly framework. In versions 6.0.0-Alpha5 and prior, an unchecked vsnprintf return in SStream_concat lets a malicious cs_opt_mem.vsnprintf drive SStream’s index negative or past the end, leading to a stack buffer underflow/overflow when the next write occurs. Commit 2c7797182a1618be12017d7d41e0b6581d5d529e fixes the issue. Уязвимость дизассемблера Capstone связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L', score=4.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_ct: add seqadj extension for natted connections Sequence adjustment may be required for FTP traffic with PASV/EPSV modes. due to need to re-write packet payload (IP, port) on the ftp control connection. This can require changes to the TCP length and expected seq / ack_seq. The easiest way to reproduce this issue is with PASV mode. Example ruleset: table inet ftp_nat { ct helper ftp_helper { type "ftp" protocol tcp l3proto inet } chain prerouting { type filter hook prerouting priority 0; policy accept; tcp dport 21 ct state new ct helper set "ftp_helper" } } table ip nat { chain prerouting { type nat hook prerouting priority -100; policy accept; tcp dport 21 dnat ip prefix to ip daddr map { 192.168.100.1 : 192.168.13.2/32 } } chain postrouting { type nat hook postrouting priority 100 ; policy accept; tcp sport 21 snat ip prefix to ip saddr map { 192.168.13.2 : 192.168.100.1/32 } } } Note that the ftp helper gets assigned *after* the dnat setup. The inverse (nat after helper assign) is handled by an existing check in nf_nat_setup_info() and will not show the problem. Topoloy: +-------------------+ +----------------------------------+ | FTP: 192.168.13.2 | <-> | NAT: 192.168.13.3, 192.168.100.1 | +-------------------+ +----------------------------------+ | +-----------------------+ | Client: 192.168.100.2 | +-----------------------+ ftp nat changes do not work as expected in this case: Connected to 192.168.100.1. [..] ftp> epsv EPSV/EPRT on IPv4 off. ftp> ls 227 Entering passive mode (192,168,100,1,209,129). 421 Service not available, remote server has closed connection. Kernel logs: Missing nfct_seqadj_ext_add() setup call WARNING: CPU: 1 PID: 0 at net/netfilter/nf_conntrack_seqadj.c:41 [..] __nf_nat_mangle_tcp_packet+0x100/0x160 [nf_nat] nf_nat_ftp+0x142/0x280 [nf_nat_ftp] help+0x4d1/0x880 [nf_conntrack_ftp] nf_confirm+0x122/0x2e0 [nf_conntrack] nf_hook_slow+0x3c/0xb0 .. Fix this by adding the required extension when a conntrack helper is assigned to a connection that has a nat binding. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: staging: rtl8723bs: fix out-of-bounds read in OnBeacon ESR IE parsing The Extended Supported Rates (ESR) IE handling in OnBeacon accessed *(p + 1 + ielen) and *(p + 2 + ielen) without verifying that these offsets lie within the received frame buffer. A malformed beacon with an ESR IE positioned at the end of the buffer could cause an out-of-bounds read, potentially triggering a kernel panic. Add a boundary check to ensure that the ESR IE body and the subsequent bytes are within the limits of the frame before attempting to access them. This prevents OOB reads caused by malformed beacon frames. Уязвимость функции OnBeacon() модуля drivers/staging/rtl8723bs/core/rtw_mlme_ext.c поддержки дополнительных устройств ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: staging: rtl8723bs: fix stack buffer overflow in OnAssocReq IE parsing The Supported Rates IE length from an incoming Association Request frame was used directly as the memcpy() length when copying into a fixed-size 16-byte stack buffer (supportRate). A malicious station can advertise an IE length larger than 16 bytes, causing a stack buffer overflow. Clamp ie_len to the buffer size before copying the Supported Rates IE, and correct the bounds check when merging Extended Supported Rates to prevent a second potential overflow. This prevents kernel stack corruption triggered by malformed association requests. Уязвимость функции OnAssocReq() ядра операционной системы Linux связана с переполнением буфера на основе стека. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: staging: rtl8723bs: fix out-of-bounds read in rtw_get_ie() parser The Information Element (IE) parser rtw_get_ie() trusted the length byte of each IE without validating that the IE body (len bytes after the 2-byte header) fits inside the remaining frame buffer. A malformed frame can advertise an IE length larger than the available data, causing the parser to increment its pointer beyond the buffer end. This results in out-of-bounds reads or, depending on the pattern, an infinite loop. Fix by validating that (offset + 2 + len) does not exceed the limit before accepting the IE or advancing to the next element. This prevents OOB reads and ensures the parser terminates safely on malformed frames. Уязвимость функции rtw_get_ie() модуля drivers/staging/rtl8723bs/core/rtw_ieee80211.c поддержки дополнительных устройств ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: check device's attached status in compat ioctls Syzbot identified an issue [1] that crashes kernel, seemingly due to unexistent callback dev->get_valid_routes(). By all means, this should not occur as said callback must always be set to get_zero_valid_routes() in __comedi_device_postconfig(). As the crash seems to appear exclusively in i386 kernels, at least, judging from [1] reports, the blame lies with compat versions of standard IOCTL handlers. Several of them are modified and do not use comedi_unlocked_ioctl(). While functionality of these ioctls essentially copy their original versions, they do not have required sanity check for device's attached status. This, in turn, leads to a possibility of calling select IOCTLs on a device that has not been properly setup, even via COMEDI_DEVCONFIG. Doing so on unconfigured devices means that several crucial steps are missed, for instance, specifying dev->get_valid_routes() callback. Fix this somewhat crudely by ensuring device's attached status before performing any ioctls, improving logic consistency between modern and compat functions. [1] Syzbot report: BUG: kernel NULL pointer dereference, address: 0000000000000000 ... CR2: ffffffffffffffd6 CR3: 000000006c717000 CR4: 0000000000352ef0 Call Trace: <TASK> get_valid_routes drivers/comedi/comedi_fops.c:1322 [inline] parse_insn+0x78c/0x1970 drivers/comedi/comedi_fops.c:1401 do_insnlist_ioctl+0x272/0x700 drivers/comedi/comedi_fops.c:1594 compat_insnlist drivers/comedi/comedi_fops.c:3208 [inline] comedi_compat_ioctl+0x810/0x990 drivers/comedi/comedi_fops.c:3273 __do_compat_sys_ioctl fs/ioctl.c:695 [inline] __se_compat_sys_ioctl fs/ioctl.c:638 [inline] __ia32_compat_sys_ioctl+0x242/0x370 fs/ioctl.c:638 do_syscall_32_irqs_on arch/x86/entry/syscall_32.c:83 [inline] ... Уязвимость компонента drivers/comedi ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: multiq3: sanitize config options in multiq3_attach() Syzbot identified an issue [1] in multiq3_attach() that induces a task timeout due to open() or COMEDI_DEVCONFIG ioctl operations, specifically, in the case of multiq3 driver. This problem arose when syzkaller managed to craft weird configuration options used to specify the number of channels in encoder subdevice. If a particularly great number is passed to s->n_chan in multiq3_attach() via it->options[2], then multiple calls to multiq3_encoder_reset() at the end of driver-specific attach() method will be running for minutes, thus blocking tasks and affected devices as well. While this issue is most likely not too dangerous for real-life devices, it still makes sense to sanitize configuration inputs. Enable a sensible limit on the number of encoder chips (4 chips max, each with 2 channels) to stop this behaviour from manifesting. [1] Syzbot crash: INFO: task syz.2.19:6067 blocked for more than 143 seconds. ... Call Trace: <TASK> context_switch kernel/sched/core.c:5254 [inline] __schedule+0x17c4/0x4d60 kernel/sched/core.c:6862 __schedule_loop kernel/sched/core.c:6944 [inline] schedule+0x165/0x360 kernel/sched/core.c:6959 schedule_preempt_disabled+0x13/0x30 kernel/sched/core.c:7016 __mutex_lock_common kernel/locking/mutex.c:676 [inline] __mutex_lock+0x7e6/0x1350 kernel/locking/mutex.c:760 comedi_open+0xc0/0x590 drivers/comedi/comedi_fops.c:2868 chrdev_open+0x4cc/0x5e0 fs/char_dev.c:414 do_dentry_open+0x953/0x13f0 fs/open.c:965 vfs_open+0x3b/0x340 fs/open.c:1097 ... Уязвимость функции multiq3_attach() модуля drivers/comedi/drivers/multiq3.c поддержки устройств сбора данных ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: SVM: Don't skip unrelated instruction if INT3/INTO is replaced When re-injecting a soft interrupt from an INT3, INT0, or (select) INTn instruction, discard the exception and retry the instruction if the code stream is changed (e.g. by a different vCPU) between when the CPU executes the instruction and when KVM decodes the instruction to get the next RIP. As effectively predicted by commit 6ef88d6e36c2 ("KVM: SVM: Re-inject INT3/INTO instead of retrying the instruction"), failure to verify that the correct INTn instruction was decoded can effectively clobber guest state due to decoding the wrong instruction and thus specifying the wrong next RIP. The bug most often manifests as "Oops: int3" panics on static branch checks in Linux guests. Enabling or disabling a static branch in Linux uses the kernel's "text poke" code patching mechanism. To modify code while other CPUs may be executing that code, Linux (temporarily) replaces the first byte of the original instruction with an int3 (opcode 0xcc), then patches in the new code stream except for the first byte, and finally replaces the int3 with the first byte of the new code stream. If a CPU hits the int3, i.e. executes the code while it's being modified, then the guest kernel must look up the RIP to determine how to handle the #BP, e.g. by emulating the new instruction. If the RIP is incorrect, then this lookup fails and the guest kernel panics. The bug reproduces almost instantly by hacking the guest kernel to repeatedly check a static branch[1] while running a drgn script[2] on the host to constantly swap out the memory containing the guest's TSS. [1]: https://gist.github.com/osandov/44d17c51c28c0ac998ea0334edf90b5a [2]: https://gist.github.com/osandov/10e45e45afa29b11e0c7209247afc00b Уязвимость компонента SVM ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: add i_data_sem protection in ext4_destroy_inline_data_nolock() Fix a race between inline data destruction and block mapping. The function ext4_destroy_inline_data_nolock() changes the inode data layout by clearing EXT4_INODE_INLINE_DATA and setting EXT4_INODE_EXTENTS. At the same time, another thread may execute ext4_map_blocks(), which tests EXT4_INODE_EXTENTS to decide whether to call ext4_ext_map_blocks() or ext4_ind_map_blocks(). Without i_data_sem protection, ext4_ind_map_blocks() may receive inode with EXT4_INODE_EXTENTS flag and triggering assert. kernel BUG at fs/ext4/indirect.c:546! EXT4-fs (loop2): unmounting filesystem. invalid opcode: 0000 [#1] PREEMPT SMP KASAN NOPTI Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.12.0-1 04/01/2014 RIP: 0010:ext4_ind_map_blocks.cold+0x2b/0x5a fs/ext4/indirect.c:546 Call Trace: <TASK> ext4_map_blocks+0xb9b/0x16f0 fs/ext4/inode.c:681 _ext4_get_block+0x242/0x590 fs/ext4/inode.c:822 ext4_block_write_begin+0x48b/0x12c0 fs/ext4/inode.c:1124 ext4_write_begin+0x598/0xef0 fs/ext4/inode.c:1255 ext4_da_write_begin+0x21e/0x9c0 fs/ext4/inode.c:3000 generic_perform_write+0x259/0x5d0 mm/filemap.c:3846 ext4_buffered_write_iter+0x15b/0x470 fs/ext4/file.c:285 ext4_file_write_iter+0x8e0/0x17f0 fs/ext4/file.c:679 call_write_iter include/linux/fs.h:2271 [inline] do_iter_readv_writev+0x212/0x3c0 fs/read_write.c:735 do_iter_write+0x186/0x710 fs/read_write.c:861 vfs_iter_write+0x70/0xa0 fs/read_write.c:902 iter_file_splice_write+0x73b/0xc90 fs/splice.c:685 do_splice_from fs/splice.c:763 [inline] direct_splice_actor+0x10f/0x170 fs/splice.c:950 splice_direct_to_actor+0x33a/0xa10 fs/splice.c:896 do_splice_direct+0x1a9/0x280 fs/splice.c:1002 do_sendfile+0xb13/0x12c0 fs/read_write.c:1255 __do_sys_sendfile64 fs/read_write.c:1323 [inline] __se_sys_sendfile64 fs/read_write.c:1309 [inline] __x64_sys_sendfile64+0x1cf/0x210 fs/read_write.c:1309 do_syscall_x64 arch/x86/entry/common.c:51 [inline] do_syscall_64+0x35/0x80 arch/x86/entry/common.c:81 entry_SYSCALL_64_after_hwframe+0x6e/0xd8 Уязвимость функции ext4_destroy_inline_data_nolock() модуля fs/ext4/inline.c файловой системы Ext4 ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных (классическое переполнение буфера). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: ipc: fix use-after-free in ipc_msg_send_request ipc_msg_send_request() waits for a generic netlink reply using an ipc_msg_table_entry on the stack. The generic netlink handler (handle_generic_event()/handle_response()) fills entry->response under ipc_msg_table_lock, but ipc_msg_send_request() used to validate and free entry->response without holding the same lock. Under high concurrency this allows a race where handle_response() is copying data into entry->response while ipc_msg_send_request() has just freed it, leading to a slab-use-after-free reported by KASAN in handle_generic_event(): BUG: KASAN: slab-use-after-free in handle_generic_event+0x3c4/0x5f0 [ksmbd] Write of size 12 at addr ffff888198ee6e20 by task pool/109349 ... Freed by task: kvfree ipc_msg_send_request [ksmbd] ksmbd_rpc_open -> ksmbd_session_rpc_open [ksmbd] Fix by: - Taking ipc_msg_table_lock in ipc_msg_send_request() while validating entry->response, freeing it when invalid, and removing the entry from ipc_msg_table. - Returning the final entry->response pointer to the caller only after the hash entry is removed under the lock. - Returning NULL in the error path, preserving the original API semantics. This makes all accesses to entry->response consistent with handle_response(), which already updates and fills the response buffer under ipc_msg_table_lock, and closes the race that allowed the UAF. Уязвимость функции ipc_msg_send_request() ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Уязвимость затрагивает модуль ksmbd.ko в ядра Linux. 1. Чтобы проверить, загружен ли модуль ksmbd в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ksmbd ``` или ``` kmod list | grep ksmbd ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, но не используется, то его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ksmbd ``` В случае, если модуль ksmbd используется, перейдите к шагу 7. 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install ksmbd /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: refresh inline data size before write operations The cached ei->i_inline_size can become stale between the initial size check and when ext4_update_inline_data()/ext4_create_inline_data() use it. Although ext4_get_max_inline_size() reads the correct value at the time of the check, concurrent xattr operations can modify i_inline_size before ext4_write_lock_xattr() is acquired. This causes ext4_update_inline_data() and ext4_create_inline_data() to work with stale capacity values, leading to a BUG_ON() crash in ext4_write_inline_data(): kernel BUG at fs/ext4/inline.c:1331! BUG_ON(pos + len > EXT4_I(inode)->i_inline_size); The race window: 1. ext4_get_max_inline_size() reads i_inline_size = 60 (correct) 2. Size check passes for 50-byte write 3. [Another thread adds xattr, i_inline_size changes to 40] 4. ext4_write_lock_xattr() acquires lock 5. ext4_update_inline_data() uses stale i_inline_size = 60 6. Attempts to write 50 bytes but only 40 bytes actually available 7. BUG_ON() triggers Fix this by recalculating i_inline_size via ext4_find_inline_data_nolock() immediately after acquiring xattr_sem. This ensures ext4_update_inline_data() and ext4_create_inline_data() work with current values that are protected from concurrent modifications. This is similar to commit a54c4613dac1 ("ext4: fix race writing to an inline_data file while its xattrs are changing") which fixed i_inline_off staleness. This patch addresses the related i_inline_size staleness issue. Уязвимость функции ext4_prepare_inline_data() модуля fs/ext4/inline.c файловой системы Ext4 ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvme: fix admin request_queue lifetime The namespaces can access the controller's admin request_queue, and stale references on the namespaces may exist after tearing down the controller. Ensure the admin request_queue is active by moving the controller's 'put' to after all controller references have been released to ensure no one is can access the request_queue. This fixes a reported use-after-free bug: BUG: KASAN: slab-use-after-free in blk_queue_enter+0x41c/0x4a0 Read of size 8 at addr ffff88c0a53819f8 by task nvme/3287 CPU: 67 UID: 0 PID: 3287 Comm: nvme Tainted: G E 6.13.2-ga1582f1a031e #15 Tainted: [E]=UNSIGNED_MODULE Hardware name: Jabil /EGS 2S MB1, BIOS 1.00 06/18/2025 Call Trace: <TASK> dump_stack_lvl+0x4f/0x60 print_report+0xc4/0x620 ? _raw_spin_lock_irqsave+0x70/0xb0 ? _raw_read_unlock_irqrestore+0x30/0x30 ? blk_queue_enter+0x41c/0x4a0 kasan_report+0xab/0xe0 ? blk_queue_enter+0x41c/0x4a0 blk_queue_enter+0x41c/0x4a0 ? __irq_work_queue_local+0x75/0x1d0 ? blk_queue_start_drain+0x70/0x70 ? irq_work_queue+0x18/0x20 ? vprintk_emit.part.0+0x1cc/0x350 ? wake_up_klogd_work_func+0x60/0x60 blk_mq_alloc_request+0x2b7/0x6b0 ? __blk_mq_alloc_requests+0x1060/0x1060 ? __switch_to+0x5b7/0x1060 nvme_submit_user_cmd+0xa9/0x330 nvme_user_cmd.isra.0+0x240/0x3f0 ? force_sigsegv+0xe0/0xe0 ? nvme_user_cmd64+0x400/0x400 ? vfs_fileattr_set+0x9b0/0x9b0 ? cgroup_update_frozen_flag+0x24/0x1c0 ? cgroup_leave_frozen+0x204/0x330 ? nvme_ioctl+0x7c/0x2c0 blkdev_ioctl+0x1a8/0x4d0 ? blkdev_common_ioctl+0x1930/0x1930 ? fdget+0x54/0x380 __x64_sys_ioctl+0x129/0x190 do_syscall_64+0x5b/0x160 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x7f765f703b0b Code: ff ff ff 85 c0 79 9b 49 c7 c4 ff ff ff ff 5b 5d 4c 89 e0 41 5c c3 66 0f 1f 84 00 00 00 00 00 f3 0f 1e fa b8 10 00 00 00 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d dd 52 0f 00 f7 d8 64 89 01 48 RSP: 002b:00007ffe2cefe808 EFLAGS: 00000202 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 00007ffe2cefe860 RCX: 00007f765f703b0b RDX: 00007ffe2cefe860 RSI: 00000000c0484e41 RDI: 0000000000000003 RBP: 0000000000000000 R08: 0000000000000003 R09: 0000000000000000 R10: 00007f765f611d50 R11: 0000000000000202 R12: 0000000000000003 R13: 00000000c0484e41 R14: 0000000000000001 R15: 00007ffe2cefea60 </TASK> [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bfs: Reconstruct file type when loading from disk syzbot is reporting that S_IFMT bits of inode->i_mode can become bogus when the S_IFMT bits of the 32bits "mode" field loaded from disk are corrupted or when the 32bits "attributes" field loaded from disk are corrupted. A documentation says that BFS uses only lower 9 bits of the "mode" field. But I can't find an explicit explanation that the unused upper 23 bits (especially, the S_IFMT bits) are initialized with 0. Therefore, ignore the S_IFMT bits of the "mode" field loaded from disk. Also, verify that the value of the "attributes" field loaded from disk is either BFS_VREG or BFS_VDIR (because BFS supports only regular files and the root directory). Уязвимость функции bfs_iget() модуля fs/bfs/inode.c файловой системы ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: udc: fix use-after-free in usb_gadget_state_work A race condition during gadget teardown can lead to a use-after-free in usb_gadget_state_work(), as reported by KASAN: BUG: KASAN: invalid-access in sysfs_notify+0x2c/0xd0 Workqueue: events usb_gadget_state_work The fundamental race occurs because a concurrent event (e.g., an interrupt) can call usb_gadget_set_state() and schedule gadget->work at any time during the cleanup process in usb_del_gadget(). Commit 399a45e5237c ("usb: gadget: core: flush gadget workqueue after device removal") attempted to fix this by moving flush_work() to after device_del(). However, this does not fully solve the race, as a new work item can still be scheduled *after* flush_work() completes but before the gadget's memory is freed, leading to the same use-after-free. This patch fixes the race condition robustly by introducing a 'teardown' flag and a 'state_lock' spinlock to the usb_gadget struct. The flag is set during cleanup in usb_del_gadget() *before* calling flush_work() to prevent any new work from being scheduled once cleanup has commenced. The scheduling site, usb_gadget_set_state(), now checks this flag under the lock before queueing the work, thus safely closing the race window. Уязвимость функции usb_gadget_state_work() компонента /drivers/usb/gadget/udc/core.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libceph: replace BUG_ON with bounds check for map->max_osd OSD indexes come from untrusted network packets. Boundary checks are added to validate these against map->max_osd. [ idryomov: drop BUG_ON in ceph_get_primary_affinity(), minor cosmetic edits ] Уязвимость ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libceph: prevent potential out-of-bounds writes in handle_auth_session_key() The len field originates from untrusted network packets. Boundary checks have been added to prevent potential out-of-bounds writes when decrypting the connection secret or processing service tickets. [ idryomov: changelog ] Уязвимость функции handle_auth_session_key() модуля net/ceph/auth_x.c реализации сетевых функций ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля libceph.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль libceph в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep libceph ``` или ``` kmod list | grep libceph ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod libceph ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install libceph /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libceph: fix potential use-after-free in have_mon_and_osd_map() The wait loop in __ceph_open_session() can race with the client receiving a new monmap or osdmap shortly after the initial map is received. Both ceph_monc_handle_map() and handle_one_map() install a new map immediately after freeing the old one kfree(monc->monmap); monc->monmap = monmap; ceph_osdmap_destroy(osdc->osdmap); osdc->osdmap = newmap; under client->monc.mutex and client->osdc.lock respectively, but because neither is taken in have_mon_and_osd_map() it's possible for client->monc.monmap->epoch and client->osdc.osdmap->epoch arms in client->monc.monmap && client->monc.monmap->epoch && client->osdc.osdmap && client->osdc.osdmap->epoch; condition to dereference an already freed map. This happens to be reproducible with generic/395 and generic/397 with KASAN enabled: BUG: KASAN: slab-use-after-free in have_mon_and_osd_map+0x56/0x70 Read of size 4 at addr ffff88811012d810 by task mount.ceph/13305 CPU: 2 UID: 0 PID: 13305 Comm: mount.ceph Not tainted 6.14.0-rc2-build2+ #1266 ... Call Trace: <TASK> have_mon_and_osd_map+0x56/0x70 ceph_open_session+0x182/0x290 ceph_get_tree+0x333/0x680 vfs_get_tree+0x49/0x180 do_new_mount+0x1a3/0x2d0 path_mount+0x6dd/0x730 do_mount+0x99/0xe0 __do_sys_mount+0x141/0x180 do_syscall_64+0x9f/0x100 entry_SYSCALL_64_after_hwframe+0x76/0x7e </TASK> Allocated by task 13305: ceph_osdmap_alloc+0x16/0x130 ceph_osdc_init+0x27a/0x4c0 ceph_create_client+0x153/0x190 create_fs_client+0x50/0x2a0 ceph_get_tree+0xff/0x680 vfs_get_tree+0x49/0x180 do_new_mount+0x1a3/0x2d0 path_mount+0x6dd/0x730 do_mount+0x99/0xe0 __do_sys_mount+0x141/0x180 do_syscall_64+0x9f/0x100 entry_SYSCALL_64_after_hwframe+0x76/0x7e Freed by task 9475: kfree+0x212/0x290 handle_one_map+0x23c/0x3b0 ceph_osdc_handle_map+0x3c9/0x590 mon_dispatch+0x655/0x6f0 ceph_con_process_message+0xc3/0xe0 ceph_con_v1_try_read+0x614/0x760 ceph_con_workfn+0x2de/0x650 process_one_work+0x486/0x7c0 process_scheduled_works+0x73/0x90 worker_thread+0x1c8/0x2a0 kthread+0x2ec/0x300 ret_from_fork+0x24/0x40 ret_from_fork_asm+0x1a/0x30 Rewrite the wait loop to check the above condition directly with client->monc.mutex and client->osdc.lock taken as appropriate. While at it, improve the timeout handling (previously mount_timeout could be exceeded in case wait_event_interruptible_timeout() slept more than once) and access client->auth_err under client->monc.mutex to match how it's set in finish_auth(). monmap_show() and osdmap_show() now take the respective lock before accessing the map as well. Уязвимость функции have_mon_and_osd_map() компонента net/ceph/ceph_common.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Check NULL before accessing [WHAT] IGT kms_cursor_legacy's long-nonblocking-modeset-vs-cursor-atomic fails with NULL pointer dereference. This can be reproduced with both an eDP panel and a DP monitors connected. BUG: kernel NULL pointer dereference, address: 0000000000000000 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 13 UID: 0 PID: 2960 Comm: kms_cursor_lega Not tainted 6.16.0-99-custom #8 PREEMPT(voluntary) Hardware name: AMD ........ RIP: 0010:dc_stream_get_scanoutpos+0x34/0x130 [amdgpu] Code: 57 4d 89 c7 41 56 49 89 ce 41 55 49 89 d5 41 54 49 89 fc 53 48 83 ec 18 48 8b 87 a0 64 00 00 48 89 75 d0 48 c7 c6 e0 41 30 c2 <48> 8b 38 48 8b 9f 68 06 00 00 e8 8d d7 fd ff 31 c0 48 81 c3 e0 02 RSP: 0018:ffffd0f3c2bd7608 EFLAGS: 00010292 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffffd0f3c2bd7668 RDX: ffffd0f3c2bd7664 RSI: ffffffffc23041e0 RDI: ffff8b32494b8000 RBP: ffffd0f3c2bd7648 R08: ffffd0f3c2bd766c R09: ffffd0f3c2bd7760 R10: ffffd0f3c2bd7820 R11: 0000000000000000 R12: ffff8b32494b8000 R13: ffffd0f3c2bd7664 R14: ffffd0f3c2bd7668 R15: ffffd0f3c2bd766c FS: 000071f631b68700(0000) GS:ffff8b399f114000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 00000001b8105000 CR4: 0000000000f50ef0 PKRU: 55555554 Call Trace: <TASK> dm_crtc_get_scanoutpos+0xd7/0x180 [amdgpu] amdgpu_display_get_crtc_scanoutpos+0x86/0x1c0 [amdgpu] ? __pfx_amdgpu_crtc_get_scanout_position+0x10/0x10[amdgpu] amdgpu_crtc_get_scanout_position+0x27/0x50 [amdgpu] drm_crtc_vblank_helper_get_vblank_timestamp_internal+0xf7/0x400 drm_crtc_vblank_helper_get_vblank_timestamp+0x1c/0x30 drm_crtc_get_last_vbltimestamp+0x55/0x90 drm_crtc_next_vblank_start+0x45/0xa0 drm_atomic_helper_wait_for_fences+0x81/0x1f0 ... (cherry picked from commit 621e55f1919640acab25383362b96e65f2baea3c) Уязвимость функции dc_stream_get_scanoutpos() модуля drivers/gpu/drm/amd/display/dc/core/dc_stream.c драйвера инфраструктуры прямого рендеринга (DRI) видеокарт AMD ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: Fix race condition between concurrent dwc3_remove_requests() call paths This patch addresses a race condition caused by unsynchronized execution of multiple call paths invoking `dwc3_remove_requests()`, leading to premature freeing of USB requests and subsequent crashes. Three distinct execution paths interact with `dwc3_remove_requests()`: Path 1: Triggered via `dwc3_gadget_reset_interrupt()` during USB reset handling. The call stack includes: - `dwc3_ep0_reset_state()` - `dwc3_ep0_stall_and_restart()` - `dwc3_ep0_out_start()` - `dwc3_remove_requests()` - `dwc3_gadget_del_and_unmap_request()` Path 2: Also initiated from `dwc3_gadget_reset_interrupt()`, but through `dwc3_stop_active_transfers()`. The call stack includes: - `dwc3_stop_active_transfers()` - `dwc3_remove_requests()` - `dwc3_gadget_del_and_unmap_request()` Path 3: Occurs independently during `adb root` execution, which triggers USB function unbind and bind operations. The sequence includes: - `gserial_disconnect()` - `usb_ep_disable()` - `dwc3_gadget_ep_disable()` - `dwc3_remove_requests()` with `-ESHUTDOWN` status Path 3 operates asynchronously and lacks synchronization with Paths 1 and 2. When Path 3 completes, it disables endpoints and frees 'out' requests. If Paths 1 or 2 are still processing these requests, accessing freed memory leads to a crash due to use-after-free conditions. To fix this added check for request completion and skip processing if already completed and added the request status for ep0 while queue. Уязвимость компонента drivers/usb/dwc3 ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: storage: Fix memory leak in USB bulk transport A kernel memory leak was identified by the 'ioctl_sg01' test from Linux Test Project (LTP). The following bytes were mainly observed: 0x53425355. When USB storage devices incorrectly skip the data phase with status data, the code extracts/validates the CSW from the sg buffer, but fails to clear it afterwards. This leaves status protocol data in srb's transfer buffer, such as the US_BULK_CS_SIGN 'USBS' signature observed here. Thus, this can lead to USB protocols leaks to user space through SCSI generic (/dev/sg*) interfaces, such as the one seen here when the LTP test requested 512 KiB. Fix the leak by zeroing the CSW data in srb's transfer buffer immediately after the validation of devices that skip data phase. Note: Differently from CVE-2018-1000204, which fixed a big leak by zero- ing pages at allocation time, this leak occurs after allocation, when USB protocol data is written to already-allocated sg pages. Уязвимость компонента drivers/usb/storage ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_eem: Fix memory leak in eem_unwrap The existing code did not handle the failure case of usb_ep_queue in the command path, potentially leading to memory leaks. Improve error handling to free all allocated resources on usb_ep_queue failure. This patch continues to use goto logic for error handling, as the existing error handling is complex and not easily adaptable to auto-cleanup helpers. kmemleak results: unreferenced object 0xffffff895a512300 (size 240): backtrace: slab_post_alloc_hook+0xbc/0x3a4 kmem_cache_alloc+0x1b4/0x358 skb_clone+0x90/0xd8 eem_unwrap+0x1cc/0x36c unreferenced object 0xffffff8a157f4000 (size 256): backtrace: slab_post_alloc_hook+0xbc/0x3a4 __kmem_cache_alloc_node+0x1b4/0x2dc kmalloc_trace+0x48/0x140 dwc3_gadget_ep_alloc_request+0x58/0x11c usb_ep_alloc_request+0x40/0xe4 eem_unwrap+0x204/0x36c unreferenced object 0xffffff8aadbaac00 (size 128): backtrace: slab_post_alloc_hook+0xbc/0x3a4 __kmem_cache_alloc_node+0x1b4/0x2dc __kmalloc+0x64/0x1a8 eem_unwrap+0x218/0x36c unreferenced object 0xffffff89ccef3500 (size 64): backtrace: slab_post_alloc_hook+0xbc/0x3a4 __kmem_cache_alloc_node+0x1b4/0x2dc kmalloc_trace+0x48/0x140 eem_unwrap+0x238/0x36c Уязвимость функции eem_unwrap() компонента drivers/usb/gadget/function/f_eem.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: most: usb: fix double free on late probe failure The MOST subsystem has a non-standard registration function which frees the interface on registration failures and on deregistration. This unsurprisingly leads to bugs in the MOST drivers, and a couple of recent changes turned a reference underflow and use-after-free in the USB driver into several double free and a use-after-free on late probe failures. Уязвимость компонента drivers/most/most_usb.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/memfd: fix information leak in hugetlb folios When allocating hugetlb folios for memfd, three initialization steps are missing: 1. Folios are not zeroed, leading to kernel memory disclosure to userspace 2. Folios are not marked uptodate before adding to page cache 3. hugetlb_fault_mutex is not taken before hugetlb_add_to_page_cache() The memfd allocation path bypasses the normal page fault handler (hugetlb_no_page) which would handle all of these initialization steps. This is problematic especially for udmabuf use cases where folios are pinned and directly accessed by userspace via DMA. Fix by matching the initialization pattern used in hugetlb_no_page(): - Zero the folio using folio_zero_user() which is optimized for huge pages - Mark it uptodate with folio_mark_uptodate() - Take hugetlb_fault_mutex before adding to page cache to prevent races The folio_zero_user() change also fixes a potential security issue where uninitialized kernel memory could be disclosed to userspace through read() or mmap() operations on the memfd. Уязвимость компонента mm/memfd.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/huge_memory: fix NULL pointer deference when splitting folio Commit c010d47f107f ("mm: thp: split huge page to any lower order pages") introduced an early check on the folio's order via mapping->flags before proceeding with the split work. This check introduced a bug: for shmem folios in the swap cache and truncated folios, the mapping pointer can be NULL. Accessing mapping->flags in this state leads directly to a NULL pointer dereference. This commit fixes the issue by moving the check for mapping != NULL before any attempt to access mapping->flags. Уязвимость компонента mm/huge_memory.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix memory leak in cifs_construct_tcon() When having a multiuser mount with domain= specified and using cifscreds, cifs_set_cifscreds() will end up setting @ctx->domainname, so it needs to be freed before leaving cifs_construct_tcon(). This fixes the following memory leak reported by kmemleak: mount.cifs //srv/share /mnt -o domain=ZELDA,multiuser,... su - testuser cifscreds add -d ZELDA -u testuser ... ls /mnt/1 ... umount /mnt echo scan > /sys/kernel/debug/kmemleak cat /sys/kernel/debug/kmemleak unreferenced object 0xffff8881203c3f08 (size 8): comm "ls", pid 5060, jiffies 4307222943 hex dump (first 8 bytes): 5a 45 4c 44 41 00 cc cc ZELDA... backtrace (crc d109a8cf): __kmalloc_node_track_caller_noprof+0x572/0x710 kstrdup+0x3a/0x70 cifs_sb_tlink+0x1209/0x1770 [cifs] cifs_get_fattr+0xe1/0xf50 [cifs] cifs_get_inode_info+0xb5/0x240 [cifs] cifs_revalidate_dentry_attr+0x2d1/0x470 [cifs] cifs_getattr+0x28e/0x450 [cifs] vfs_getattr_nosec+0x126/0x180 vfs_statx+0xf6/0x220 do_statx+0xab/0x110 __x64_sys_statx+0xd5/0x130 do_syscall_64+0xbb/0x380 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции cifs_construct_tcon() компонента fs/smb/client/connect.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ceph: fix crash in process_v2_sparse_read() for encrypted directories The crash in process_v2_sparse_read() for fscrypt-encrypted directories has been reported. Issue takes place for Ceph msgr2 protocol in secure mode. It can be reproduced by the steps: sudo mount -t ceph :/ /mnt/cephfs/ -o name=admin,fs=cephfs,ms_mode=secure (1) mkdir /mnt/cephfs/fscrypt-test-3 (2) cp area_decrypted.tar /mnt/cephfs/fscrypt-test-3 (3) fscrypt encrypt --source=raw_key --key=./my.key /mnt/cephfs/fscrypt-test-3 (4) fscrypt lock /mnt/cephfs/fscrypt-test-3 (5) fscrypt unlock --key=my.key /mnt/cephfs/fscrypt-test-3 (6) cat /mnt/cephfs/fscrypt-test-3/area_decrypted.tar (7) Issue has been triggered [ 408.072247] ------------[ cut here ]------------ [ 408.072251] WARNING: CPU: 1 PID: 392 at net/ceph/messenger_v2.c:865 ceph_con_v2_try_read+0x4b39/0x72f0 [ 408.072267] Modules linked in: intel_rapl_msr intel_rapl_common intel_uncore_frequency_common intel_pmc_core pmt_telemetry pmt_discovery pmt_class intel_pmc_ssram_telemetry intel_vsec kvm_intel joydev kvm irqbypass polyval_clmulni ghash_clmulni_intel aesni_intel rapl input_leds psmouse serio_raw i2c_piix4 vga16fb bochs vgastate i2c_smbus floppy mac_hid qemu_fw_cfg pata_acpi sch_fq_codel rbd msr parport_pc ppdev lp parport efi_pstore [ 408.072304] CPU: 1 UID: 0 PID: 392 Comm: kworker/1:3 Not tainted 6.17.0-rc7+ [ 408.072307] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.17.0-5.fc42 04/01/2014 [ 408.072310] Workqueue: ceph-msgr ceph_con_workfn [ 408.072314] RIP: 0010:ceph_con_v2_try_read+0x4b39/0x72f0 [ 408.072317] Code: c7 c1 20 f0 d4 ae 50 31 d2 48 c7 c6 60 27 d5 ae 48 c7 c7 f8 8e 6f b0 68 60 38 d5 ae e8 00 47 61 fe 48 83 c4 18 e9 ac fc ff ff <0f> 0b e9 06 fe ff ff 4c 8b 9d 98 fd ff ff 0f 84 64 e7 ff ff 89 85 [ 408.072319] RSP: 0018:ffff88811c3e7a30 EFLAGS: 00010246 [ 408.072322] RAX: ffffed1024874c6f RBX: ffffea00042c2b40 RCX: 0000000000000f38 [ 408.072324] RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 [ 408.072325] RBP: ffff88811c3e7ca8 R08: 0000000000000000 R09: 00000000000000c8 [ 408.072326] R10: 00000000000000c8 R11: 0000000000000000 R12: 00000000000000c8 [ 408.072327] R13: dffffc0000000000 R14: ffff8881243a6030 R15: 0000000000003000 [ 408.072329] FS: 0000000000000000(0000) GS:ffff88823eadf000(0000) knlGS:0000000000000000 [ 408.072331] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 408.072332] CR2: 000000c0003c6000 CR3: 000000010c106005 CR4: 0000000000772ef0 [ 408.072336] PKRU: 55555554 [ 408.072337] Call Trace: [ 408.072338] <TASK> [ 408.072340] ? sched_clock_noinstr+0x9/0x10 [ 408.072344] ? __pfx_ceph_con_v2_try_read+0x10/0x10 [ 408.072347] ? _raw_spin_unlock+0xe/0x40 [ 408.072349] ? finish_task_switch.isra.0+0x15d/0x830 [ 408.072353] ? __kasan_check_write+0x14/0x30 [ 408.072357] ? mutex_lock+0x84/0xe0 [ 408.072359] ? __pfx_mutex_lock+0x10/0x10 [ 408.072361] ceph_con_workfn+0x27e/0x10e0 [ 408.072364] ? metric_delayed_work+0x311/0x2c50 [ 408.072367] process_one_work+0x611/0xe20 [ 408.072371] ? __kasan_check_write+0x14/0x30 [ 408.072373] worker_thread+0x7e3/0x1580 [ 408.072375] ? __pfx__raw_spin_lock_irqsave+0x10/0x10 [ 408.072378] ? __pfx_worker_thread+0x10/0x10 [ 408.072381] kthread+0x381/0x7a0 [ 408.072383] ? __pfx__raw_spin_lock_irq+0x10/0x10 [ 408.072385] ? __pfx_kthread+0x10/0x10 [ 408.072387] ? __kasan_check_write+0x14/0x30 [ 408.072389] ? recalc_sigpending+0x160/0x220 [ 408.072392] ? _raw_spin_unlock_irq+0xe/0x50 [ 408.072394] ? calculate_sigpending+0x78/0xb0 [ 408.072395] ? __pfx_kthread+0x10/0x10 [ 408.072397] ret_from_fork+0x2b6/0x380 [ 408.072400] ? __pfx_kthread+0x10/0x10 [ 408.072402] ret_from_fork_asm+0x1a/0x30 [ 408.072406] </TASK> [ 408.072407] ---[ end trace 0000000000000000 ]--- [ 408.072418] Oops: general protection fault, probably for non-canonical address 0xdffffc00000000 ---truncated--- Уязвимость функции process_v2_sparse_read() компонента net/ceph/messenger_v2.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btusb: mediatek: Avoid btusb_mtk_claim_iso_intf() NULL deref In btusb_mtk_setup(), we set `btmtk_data->isopkt_intf` to: usb_ifnum_to_if(data->udev, MTK_ISO_IFNUM) That function can return NULL in some cases. Even when it returns NULL, though, we still go on to call btusb_mtk_claim_iso_intf(). As of commit e9087e828827 ("Bluetooth: btusb: mediatek: Add locks for usb_driver_claim_interface()"), calling btusb_mtk_claim_iso_intf() when `btmtk_data->isopkt_intf` is NULL will cause a crash because we'll end up passing a bad pointer to device_lock(). Prior to that commit we'd pass the NULL pointer directly to usb_driver_claim_interface() which would detect it and return an error, which was handled. Resolve the crash in btusb_mtk_claim_iso_intf() by adding a NULL check at the start of the function. This makes the code handle a NULL `btmtk_data->isopkt_intf` the same way it did before the problematic commit (just with a slight change to the error message printed). Уязвимость функции btusb_mtk_claim_iso_intf() компонента drivers/bluetooth/btusb.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: atlantic: fix fragment overflow handling in RX path The atlantic driver can receive packets with more than MAX_SKB_FRAGS (17) fragments when handling large multi-descriptor packets. This causes an out-of-bounds write in skb_add_rx_frag_netmem() leading to kernel panic. The issue occurs because the driver doesn't check the total number of fragments before calling skb_add_rx_frag(). When a packet requires more than MAX_SKB_FRAGS fragments, the fragment index exceeds the array bounds. Fix by assuming there will be an extra frag if buff->len > AQ_CFG_RX_HDR_SIZE, then all fragments are accounted for. And reusing the existing check to prevent the overflow earlier in the code path. This crash occurred in production with an Aquantia AQC113 10G NIC. Stack trace from production environment: ``` RIP: 0010:skb_add_rx_frag_netmem+0x29/0xd0 Code: 90 f3 0f 1e fa 0f 1f 44 00 00 48 89 f8 41 89 ca 48 89 d7 48 63 ce 8b 90 c0 00 00 00 48 c1 e1 04 48 01 ca 48 03 90 c8 00 00 00 <48> 89 7a 30 44 89 52 3c 44 89 42 38 40 f6 c7 01 75 74 48 89 fa 83 RSP: 0018:ffffa9bec02a8d50 EFLAGS: 00010287 RAX: ffff925b22e80a00 RBX: ffff925ad38d2700 RCX: fffffffe0a0c8000 RDX: ffff9258ea95bac0 RSI: ffff925ae0a0c800 RDI: 0000000000037a40 RBP: 0000000000000024 R08: 0000000000000000 R09: 0000000000000021 R10: 0000000000000848 R11: 0000000000000000 R12: ffffa9bec02a8e24 R13: ffff925ad8615570 R14: 0000000000000000 R15: ffff925b22e80a00 FS: 0000000000000000(0000) GS:ffff925e47880000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffff9258ea95baf0 CR3: 0000000166022004 CR4: 0000000000f72ef0 PKRU: 55555554 Call Trace: <IRQ> aq_ring_rx_clean+0x175/0xe60 [atlantic] ? aq_ring_rx_clean+0x14d/0xe60 [atlantic] ? aq_ring_tx_clean+0xdf/0x190 [atlantic] ? kmem_cache_free+0x348/0x450 ? aq_vec_poll+0x81/0x1d0 [atlantic] ? __napi_poll+0x28/0x1c0 ? net_rx_action+0x337/0x420 ``` Changes in v4: - Add Fixes: tag to satisfy patch validation requirements. Changes in v3: - Fix by assuming there will be an extra frag if buff->len > AQ_CFG_RX_HDR_SIZE, then all fragments are accounted for. Уязвимость компонента drivers/net/ethernet/aquantia/atlantic ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: sxgbe: fix potential NULL dereference in sxgbe_rx() Currently, when skb is null, the driver prints an error and then dereferences skb on the next line. To fix this, let's add a 'break' after the error message to switch to sxgbe_rx_refill(), which is similar to the approach taken by the other drivers in this particular case, e.g. calxeda with xgmac_rx(). Found during a code review. Уязвимость функции sxgbe_rx() компонента drivers/net/ethernet/samsung/sxgbe/sxgbe_main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86: intel: punit_ipc: fix memory corruption This passes the address of the pointer "&punit_ipcdev" when the intent was to pass the pointer itself "punit_ipcdev" (without the ampersand). This means that the: complete(&ipcdev->cmd_complete); in intel_punit_ioc() will write to a wrong memory address corrupting it. Уязвимость компонента drivers/platform/x86/intel/punit_ipc.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_sock: Prevent race in socket write iter and sock bind There is a potential race condition between sock bind and socket write iter. bind may free the same cmd via mgmt_pending before write iter sends the cmd, just as syzbot reported in UAF[1]. Here we use hci_dev_lock to synchronize the two, thereby avoiding the UAF mentioned in [1]. [1] syzbot reported: BUG: KASAN: slab-use-after-free in mgmt_pending_remove+0x3b/0x210 net/bluetooth/mgmt_util.c:316 Read of size 8 at addr ffff888077164818 by task syz.0.17/5989 Call Trace: mgmt_pending_remove+0x3b/0x210 net/bluetooth/mgmt_util.c:316 set_link_security+0x5c2/0x710 net/bluetooth/mgmt.c:1918 hci_mgmt_cmd+0x9c9/0xef0 net/bluetooth/hci_sock.c:1719 hci_sock_sendmsg+0x6ca/0xef0 net/bluetooth/hci_sock.c:1839 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg+0x21c/0x270 net/socket.c:742 sock_write_iter+0x279/0x360 net/socket.c:1195 Allocated by task 5989: mgmt_pending_add+0x35/0x140 net/bluetooth/mgmt_util.c:296 set_link_security+0x557/0x710 net/bluetooth/mgmt.c:1910 hci_mgmt_cmd+0x9c9/0xef0 net/bluetooth/hci_sock.c:1719 hci_sock_sendmsg+0x6ca/0xef0 net/bluetooth/hci_sock.c:1839 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg+0x21c/0x270 net/socket.c:742 sock_write_iter+0x279/0x360 net/socket.c:1195 Freed by task 5991: mgmt_pending_free net/bluetooth/mgmt_util.c:311 [inline] mgmt_pending_foreach+0x30d/0x380 net/bluetooth/mgmt_util.c:257 mgmt_index_removed+0x112/0x2f0 net/bluetooth/mgmt.c:9477 hci_sock_bind+0xbe9/0x1000 net/bluetooth/hci_sock.c:1314 Уязвимость компонента net/bluetooth/hci_sock.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btusb: mediatek: Fix kernel crash when releasing mtk iso interface When performing reset tests and encountering abnormal card drop issues that lead to a kernel crash, it is necessary to perform a null check before releasing resources to avoid attempting to release a null pointer. <4>[ 29.158070] Hardware name: Google Quigon sku196612/196613 board (DT) <4>[ 29.158076] Workqueue: hci0 hci_cmd_sync_work [bluetooth] <4>[ 29.158154] pstate: 20400009 (nzCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) <4>[ 29.158162] pc : klist_remove+0x90/0x158 <4>[ 29.158174] lr : klist_remove+0x88/0x158 <4>[ 29.158180] sp : ffffffc0846b3c00 <4>[ 29.158185] pmr_save: 000000e0 <4>[ 29.158188] x29: ffffffc0846b3c30 x28: ffffff80cd31f880 x27: ffffff80c1bdc058 <4>[ 29.158199] x26: dead000000000100 x25: ffffffdbdc624ea3 x24: ffffff80c1bdc4c0 <4>[ 29.158209] x23: ffffffdbdc62a3e6 x22: ffffff80c6c07000 x21: ffffffdbdc829290 <4>[ 29.158219] x20: 0000000000000000 x19: ffffff80cd3e0648 x18: 000000031ec97781 <4>[ 29.158229] x17: ffffff80c1bdc4a8 x16: ffffffdc10576548 x15: ffffff80c1180428 <4>[ 29.158238] x14: 0000000000000000 x13: 000000000000e380 x12: 0000000000000018 <4>[ 29.158248] x11: ffffff80c2a7fd10 x10: 0000000000000000 x9 : 0000000100000000 <4>[ 29.158257] x8 : 0000000000000000 x7 : 7f7f7f7f7f7f7f7f x6 : 2d7223ff6364626d <4>[ 29.158266] x5 : 0000008000000000 x4 : 0000000000000020 x3 : 2e7325006465636e <4>[ 29.158275] x2 : ffffffdc11afeff8 x1 : 0000000000000000 x0 : ffffffdc11be4d0c <4>[ 29.158285] Call trace: <4>[ 29.158290] klist_remove+0x90/0x158 <4>[ 29.158298] device_release_driver_internal+0x20c/0x268 <4>[ 29.158308] device_release_driver+0x1c/0x30 <4>[ 29.158316] usb_driver_release_interface+0x70/0x88 <4>[ 29.158325] btusb_mtk_release_iso_intf+0x68/0xd8 [btusb (HASH:e8b6 5)] <4>[ 29.158347] btusb_mtk_reset+0x5c/0x480 [btusb (HASH:e8b6 5)] <4>[ 29.158361] hci_cmd_sync_work+0x10c/0x188 [bluetooth (HASH:a4fa 6)] <4>[ 29.158430] process_scheduled_works+0x258/0x4e8 <4>[ 29.158441] worker_thread+0x300/0x428 <4>[ 29.158448] kthread+0x108/0x1d0 <4>[ 29.158455] ret_from_fork+0x10/0x20 <0>[ 29.158467] Code: 91343000 940139d1 f9400268 927ff914 (f9401297) <4>[ 29.158474] ---[ end trace 0000000000000000 ]--- <0>[ 29.167129] Kernel panic - not syncing: Oops: Fatal exception <2>[ 29.167144] SMP: stopping secondary CPUs <4>[ 29.167158] ------------[ cut here ]------------ Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: gs_usb: gs_usb_xmit_callback(): fix handling of failed transmitted URBs The driver lacks the cleanup of failed transfers of URBs. This reduces the number of available URBs per error by 1. This leads to reduced performance and ultimately to a complete stop of the transmission. If the sending of a bulk URB fails do proper cleanup: - increase netdev stats - mark the echo_sbk as free - free the driver's context and do accounting - wake the send queue Уязвимость функции gs_usb_xmit_callback() компонента drivers/net/can/usb/gs_usb.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: kvaser_usb: leaf: Fix potential infinite loop in command parsers The `kvaser_usb_leaf_wait_cmd()` and `kvaser_usb_leaf_read_bulk_callback` functions contain logic to zero-length commands. These commands are used to align data to the USB endpoint's wMaxPacketSize boundary. The driver attempts to skip these placeholders by aligning the buffer position `pos` to the next packet boundary using `round_up()` function. However, if zero-length command is found exactly on a packet boundary (i.e., `pos` is a multiple of wMaxPacketSize, including 0), `round_up` function will return the unchanged value of `pos`. This prevents `pos` to be increased, causing an infinite loop in the parsing logic. This patch fixes this in the function by using `pos + 1` instead. This ensures that even if `pos` is on a boundary, the calculation is based on `pos + 1`, forcing `round_up()` to always return the next aligned boundary. Уязвимость функций kvaser_usb_leaf_wait_cmd(), kvaser_usb_leaf_read_bulk_callback() компонента drivers/net/can/usb/kvaser_usb/kvaser_usb_leaf.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: imm: Fix use-after-free bug caused by unfinished delayed work The delayed work item 'imm_tq' is initialized in imm_attach() and scheduled via imm_queuecommand() for processing SCSI commands. When the IMM parallel port SCSI host adapter is detached through imm_detach(), the imm_struct device instance is deallocated. However, the delayed work might still be pending or executing when imm_detach() is called, leading to use-after-free bugs when the work function imm_interrupt() accesses the already freed imm_struct memory. The race condition can occur as follows: CPU 0(detach thread) | CPU 1 | imm_queuecommand() | imm_queuecommand_lck() imm_detach() | schedule_delayed_work() kfree(dev) //FREE | imm_interrupt() | dev = container_of(...) //USE dev-> //USE Add disable_delayed_work_sync() in imm_detach() to guarantee proper cancellation of the delayed work item before imm_struct is deallocated. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: renesas_usbhs: Fix synchronous external abort on unbind A synchronous external abort occurs on the Renesas RZ/G3S SoC if unbind is executed after the configuration sequence described above: modprobe usb_f_ecm modprobe libcomposite modprobe configfs cd /sys/kernel/config/usb_gadget mkdir -p g1 cd g1 echo "0x1d6b" > idVendor echo "0x0104" > idProduct mkdir -p strings/0x409 echo "0123456789" > strings/0x409/serialnumber echo "Renesas." > strings/0x409/manufacturer echo "Ethernet Gadget" > strings/0x409/product mkdir -p functions/ecm.usb0 mkdir -p configs/c.1 mkdir -p configs/c.1/strings/0x409 echo "ECM" > configs/c.1/strings/0x409/configuration if [ ! -L configs/c.1/ecm.usb0 ]; then ln -s functions/ecm.usb0 configs/c.1 fi echo 11e20000.usb > UDC echo 11e20000.usb > /sys/bus/platform/drivers/renesas_usbhs/unbind The displayed trace is as follows: Internal error: synchronous external abort: 0000000096000010 [#1] SMP CPU: 0 UID: 0 PID: 188 Comm: sh Tainted: G M 6.17.0-rc7-next-20250922-00010-g41050493b2bd #55 PREEMPT Tainted: [M]=MACHINE_CHECK Hardware name: Renesas SMARC EVK version 2 based on r9a08g045s33 (DT) pstate: 604000c5 (nZCv daIF +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : usbhs_sys_function_pullup+0x10/0x40 [renesas_usbhs] lr : usbhsg_update_pullup+0x3c/0x68 [renesas_usbhs] sp : ffff8000838b3920 x29: ffff8000838b3920 x28: ffff00000d585780 x27: 0000000000000000 x26: 0000000000000000 x25: 0000000000000000 x24: ffff00000c3e3810 x23: ffff00000d5e5c80 x22: ffff00000d5e5d40 x21: 0000000000000000 x20: 0000000000000000 x19: ffff00000d5e5c80 x18: 0000000000000020 x17: 2e30303230316531 x16: 312d7968703a7968 x15: 3d454d414e5f4344 x14: 000000000000002c x13: 0000000000000000 x12: 0000000000000000 x11: ffff00000f358f38 x10: ffff00000f358db0 x9 : ffff00000b41f418 x8 : 0101010101010101 x7 : 7f7f7f7f7f7f7f7f x6 : fefefeff6364626d x5 : 8080808000000000 x4 : 000000004b5ccb9d x3 : 0000000000000000 x2 : 0000000000000000 x1 : ffff800083790000 x0 : ffff00000d5e5c80 Call trace: usbhs_sys_function_pullup+0x10/0x40 [renesas_usbhs] (P) usbhsg_pullup+0x4c/0x7c [renesas_usbhs] usb_gadget_disconnect_locked+0x48/0xd4 gadget_unbind_driver+0x44/0x114 device_remove+0x4c/0x80 device_release_driver_internal+0x1c8/0x224 device_release_driver+0x18/0x24 bus_remove_device+0xcc/0x10c device_del+0x14c/0x404 usb_del_gadget+0x88/0xc0 usb_del_gadget_udc+0x18/0x30 usbhs_mod_gadget_remove+0x24/0x44 [renesas_usbhs] usbhs_mod_remove+0x20/0x30 [renesas_usbhs] usbhs_remove+0x98/0xdc [renesas_usbhs] platform_remove+0x20/0x30 device_remove+0x4c/0x80 device_release_driver_internal+0x1c8/0x224 device_driver_detach+0x18/0x24 unbind_store+0xb4/0xb8 drv_attr_store+0x24/0x38 sysfs_kf_write+0x7c/0x94 kernfs_fop_write_iter+0x128/0x1b8 vfs_write+0x2ac/0x350 ksys_write+0x68/0xfc __arm64_sys_write+0x1c/0x28 invoke_syscall+0x48/0x110 el0_svc_common.constprop.0+0xc0/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x34/0xf0 el0t_64_sync_handler+0xa0/0xe4 el0t_64_sync+0x198/0x19c Code: 7100003f 1a9f07e1 531c6c22 f9400001 (79400021) ---[ end trace 0000000000000000 ]--- note: sh[188] exited with irqs disabled note: sh[188] exited with preempt_count 1 The issue occurs because usbhs_sys_function_pullup(), which accesses the IP registers, is executed after the USBHS clocks have been disabled. The problem is reproducible on the Renesas RZ/G3S SoC starting with the addition of module stop in the clock enable/disable APIs. With module stop functionality enabled, a bus error is expected if a master accesses a module whose clock has been stopped and module stop activated. Disable the IP clocks at the end of remove. Уязвимость компонента drivers/usb/renesas_usbhs ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: firmware: stratix10-svc: fix bug in saving controller data Fix the incorrect usage of platform_set_drvdata and dev_set_drvdata. They both are of the same data and overrides each other. This resulted in the rmmod of the svc driver to fail and throw a kernel panic for kthread_stop and fifo free. Уязвимость компонента drivers/firmware/stratix10-svc.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: Fix WARN_ON in tracing_buffers_mmap_close for split VMAs When a VMA is split (e.g., by partial munmap or MAP_FIXED), the kernel calls vm_ops->close on each portion. For trace buffer mappings, this results in ring_buffer_unmap() being called multiple times while ring_buffer_map() was only called once. This causes ring_buffer_unmap() to return -ENODEV on subsequent calls because user_mapped is already 0, triggering a WARN_ON. Trace buffer mappings cannot support partial mappings because the ring buffer structure requires the complete buffer including the meta page. Fix this by adding a may_split callback that returns -EINVAL to prevent VMA splits entirely. Уязвимость компонента kernel/trace ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: accel: bmc150: Fix irq assumption regression The code in bmc150-accel-core.c unconditionally calls bmc150_accel_set_interrupt() in the iio_buffer_setup_ops, such as on the runtime PM resume path giving a kernel splat like this if the device has no interrupts: Unable to handle kernel NULL pointer dereference at virtual address 00000001 when read PC is at bmc150_accel_set_interrupt+0x98/0x194 LR is at __pm_runtime_resume+0x5c/0x64 (...) Call trace: bmc150_accel_set_interrupt from bmc150_accel_buffer_postenable+0x40/0x108 bmc150_accel_buffer_postenable from __iio_update_buffers+0xbe0/0xcbc __iio_update_buffers from enable_store+0x84/0xc8 enable_store from kernfs_fop_write_iter+0x154/0x1b4 This bug seems to have been in the driver since the beginning, but it only manifests recently, I do not know why. Store the IRQ number in the state struct, as this is a common pattern in other drivers, then use this to determine if we have IRQ support or not. Уязвимость компонента drivers/iio/accel ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: uas: fix urb unmapping issue when the uas device is remove during ongoing data transfer When a UAS device is unplugged during data transfer, there is a probability of a system panic occurring. The root cause is an access to an invalid memory address during URB callback handling. Specifically, this happens when the dma_direct_unmap_sg() function is called within the usb_hcd_unmap_urb_for_dma() interface, but the sg->dma_address field is 0 and the sg data structure has already been freed. The SCSI driver sends transfer commands by invoking uas_queuecommand_lck() in uas.c, using the uas_submit_urbs() function to submit requests to USB. Within the uas_submit_urbs() implementation, three URBs (sense_urb, data_urb, and cmd_urb) are sequentially submitted. Device removal may occur at any point during uas_submit_urbs execution, which may result in URB submission failure. However, some URBs might have been successfully submitted before the failure, and uas_submit_urbs will return the -ENODEV error code in this case. The current error handling directly calls scsi_done(). In the SCSI driver, this eventually triggers scsi_complete() to invoke scsi_end_request() for releasing the sgtable. The successfully submitted URBs, when being unlinked to giveback, call usb_hcd_unmap_urb_for_dma() in hcd.c, leading to exceptions during sg unmapping operations since the sg data structure has already been freed. This patch modifies the error condition check in the uas_submit_urbs() function. When a UAS device is removed but one or more URBs have already been successfully submitted to USB, it avoids immediately invoking scsi_done() and save the cmnd to devinfo->cmnd array. If the successfully submitted URBs is completed before devinfo->resetting being set, then the scsi_done() function will be called within uas_try_complete() after all pending URB operations are finalized. Otherwise, the scsi_done() function will be called within uas_zap_pending(), which is executed after usb_kill_anchored_urbs(). The error handling only takes effect when uas_queuecommand_lck() calls uas_submit_urbs() and returns the error value -ENODEV . In this case, the device is disconnected, and the flow proceeds to uas_disconnect(), where uas_zap_pending() is invoked to call uas_try_complete(). Уязвимость компонента drivers/usb/storage/uas.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: c6xdigio: Fix invalid PNP driver unregistration The Comedi low-level driver "c6xdigio" seems to be for a parallel port connected device. When the Comedi core calls the driver's Comedi "attach" handler `c6xdigio_attach()` to configure a Comedi to use this driver, it tries to enable the parallel port PNP resources by registering a PNP driver with `pnp_register_driver()`, but ignores the return value. (The `struct pnp_driver` it uses has only the `name` and `id_table` members filled in.) The driver's Comedi "detach" handler `c6xdigio_detach()` unconditionally unregisters the PNP driver with `pnp_unregister_driver()`. It is possible for `c6xdigio_attach()` to return an error before it calls `pnp_register_driver()` and it is possible for the call to `pnp_register_driver()` to return an error (that is ignored). In both cases, the driver should not be calling `pnp_unregister_driver()` as it does in `c6xdigio_detach()`. (Note that `c6xdigio_detach()` will be called by the Comedi core if `c6xdigio_attach()` returns an error, or if the Comedi core decides to detach the Comedi device from the driver for some other reason.) The unconditional call to `pnp_unregister_driver()` without a previous successful call to `pnp_register_driver()` will cause `driver_unregister()` to issue a warning "Unexpected driver unregister!". This was detected by Syzbot [1]. Also, the PNP driver registration and unregistration should be done at module init and exit time, respectively, not when attaching or detaching Comedi devices to the driver. (There might be more than one Comedi device being attached to the driver, although that is unlikely.) Change the driver to do the PNP driver registration at module init time, and the unregistration at module exit time. Since `c6xdigio_detach()` now only calls `comedi_legacy_detach()`, remove the function and change the Comedi driver "detach" handler to `comedi_legacy_detach`. ------------------------------------------- [1] Syzbot sample crash report: Unexpected driver unregister! WARNING: CPU: 0 PID: 5970 at drivers/base/driver.c:273 driver_unregister drivers/base/driver.c:273 [inline] WARNING: CPU: 0 PID: 5970 at drivers/base/driver.c:273 driver_unregister+0x90/0xb0 drivers/base/driver.c:270 Modules linked in: CPU: 0 UID: 0 PID: 5970 Comm: syz.0.17 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/02/2025 RIP: 0010:driver_unregister drivers/base/driver.c:273 [inline] RIP: 0010:driver_unregister+0x90/0xb0 drivers/base/driver.c:270 Code: 48 89 ef e8 c2 e6 82 fc 48 89 df e8 3a 93 ff ff 5b 5d e9 c3 6d d9 fb e8 be 6d d9 fb 90 48 c7 c7 e0 f8 1f 8c e8 51 a2 97 fb 90 <0f> 0b 90 90 5b 5d e9 a5 6d d9 fb e8 e0 f4 41 fc eb 94 e8 d9 f4 41 RSP: 0018:ffffc9000373f9a0 EFLAGS: 00010282 RAX: 0000000000000000 RBX: ffffffff8ff24720 RCX: ffffffff817b6ee8 RDX: ffff88807c932480 RSI: ffffffff817b6ef5 RDI: 0000000000000001 RBP: 0000000000000000 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000001 R12: ffffffff8ff24660 R13: dffffc0000000000 R14: 0000000000000000 R15: ffff88814cca0000 FS: 000055556dab1500(0000) GS:ffff8881249d9000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055f77f285cd0 CR3: 000000007d871000 CR4: 00000000003526f0 Call Trace: <TASK> comedi_device_detach_locked+0x12f/0xa50 drivers/comedi/drivers.c:207 comedi_device_detach+0x67/0xb0 drivers/comedi/drivers.c:215 comedi_device_attach+0x43d/0x900 drivers/comedi/drivers.c:1011 do_devconfig_ioctl+0x1b1/0x710 drivers/comedi/comedi_fops.c:872 comedi_unlocked_ioctl+0x165d/0x2f00 drivers/comedi/comedi_fops.c:2178 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] __se_sys_ioctl fs/ioctl.c:583 [inline] __x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:583 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_sys ---truncated--- Уязвимость компонента drivers/comedi/drivers/c6xdigio.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched_ext: Fix possible deadlock in the deferred_irq_workfn() For PREEMPT_RT=y kernels, the deferred_irq_workfn() is executed in the per-cpu irq_work/* task context and not disable-irq, if the rq returned by container_of() is current CPU's rq, the following scenarios may occur: lock(&rq->__lock); <Interrupt> lock(&rq->__lock); This commit use IRQ_WORK_INIT_HARD() to replace init_irq_work() to initialize rq->scx.deferred_irq_work, make the deferred_irq_workfn() is always invoked in hard-irq context. Уязвимость компонента kernel/sched/ext.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: comedi: pcl818: fix null-ptr-deref in pcl818_ai_cancel() Syzbot identified an issue [1] in pcl818_ai_cancel(), which stems from the fact that in case of early device detach via pcl818_detach(), subdevice dev->read_subdev may not have initialized its pointer to &struct comedi_async as intended. Thus, any such dereferencing of &s->async->cmd will lead to general protection fault and kernel crash. Mitigate this problem by removing a call to pcl818_ai_cancel() from pcl818_detach() altogether. This way, if the subdevice setups its support for async commands, everything async-related will be handled via subdevice's own ->cancel() function in comedi_device_detach_locked() even before pcl818_detach(). If no support for asynchronous commands is provided, there is no need to cancel anything either. [1] Syzbot crash: Oops: general protection fault, probably for non-canonical address 0xdffffc0000000005: 0000 [#1] SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000028-0x000000000000002f] CPU: 1 UID: 0 PID: 6050 Comm: syz.0.18 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 08/18/2025 RIP: 0010:pcl818_ai_cancel+0x69/0x3f0 drivers/comedi/drivers/pcl818.c:762 ... Call Trace: <TASK> pcl818_detach+0x66/0xd0 drivers/comedi/drivers/pcl818.c:1115 comedi_device_detach_locked+0x178/0x750 drivers/comedi/drivers.c:207 do_devconfig_ioctl drivers/comedi/comedi_fops.c:848 [inline] comedi_unlocked_ioctl+0xcde/0x1020 drivers/comedi/comedi_fops.c:2178 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] ... Уязвимость функции pcl818_detach() модуля drivers/comedi/drivers/pcl818.c поддержки устройств сбора данных ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: locking/spinlock/debug: Fix data-race in do_raw_write_lock KCSAN reports: BUG: KCSAN: data-race in do_raw_write_lock / do_raw_write_lock write (marked) to 0xffff800009cf504c of 4 bytes by task 1102 on cpu 1: do_raw_write_lock+0x120/0x204 _raw_write_lock_irq do_exit call_usermodehelper_exec_async ret_from_fork read to 0xffff800009cf504c of 4 bytes by task 1103 on cpu 0: do_raw_write_lock+0x88/0x204 _raw_write_lock_irq do_exit call_usermodehelper_exec_async ret_from_fork value changed: 0xffffffff -> 0x00000001 Reported by Kernel Concurrency Sanitizer on: CPU: 0 PID: 1103 Comm: kworker/u4:1 6.1.111 Commit 1a365e822372 ("locking/spinlock/debug: Fix various data races") has adressed most of these races, but seems to be not consistent/not complete. >From do_raw_write_lock() only debug_write_lock_after() part has been converted to WRITE_ONCE(), but not debug_write_lock_before() part. Do it now. Уязвимость функции do_raw_write_lock() компонента kernel/locking/spinlock_debug.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jbd2: avoid bug_on in jbd2_journal_get_create_access() when file system corrupted There's issue when file system corrupted: ------------[ cut here ]------------ kernel BUG at fs/jbd2/transaction.c:1289! Oops: invalid opcode: 0000 [#1] SMP KASAN PTI CPU: 5 UID: 0 PID: 2031 Comm: mkdir Not tainted 6.18.0-rc1-next RIP: 0010:jbd2_journal_get_create_access+0x3b6/0x4d0 RSP: 0018:ffff888117aafa30 EFLAGS: 00010202 RAX: 0000000000000000 RBX: ffff88811a86b000 RCX: ffffffff89a63534 RDX: 1ffff110200ec602 RSI: 0000000000000004 RDI: ffff888100763010 RBP: ffff888100763000 R08: 0000000000000001 R09: ffff888100763028 R10: 0000000000000003 R11: 0000000000000000 R12: 0000000000000000 R13: ffff88812c432000 R14: ffff88812c608000 R15: ffff888120bfc000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f91d6970c99 CR3: 00000001159c4000 CR4: 00000000000006f0 Call Trace: <TASK> __ext4_journal_get_create_access+0x42/0x170 ext4_getblk+0x319/0x6f0 ext4_bread+0x11/0x100 ext4_append+0x1e6/0x4a0 ext4_init_new_dir+0x145/0x1d0 ext4_mkdir+0x326/0x920 vfs_mkdir+0x45c/0x740 do_mkdirat+0x234/0x2f0 __x64_sys_mkdir+0xd6/0x120 do_syscall_64+0x5f/0xfa0 entry_SYSCALL_64_after_hwframe+0x76/0x7e The above issue occurs with us in errors=continue mode when accompanied by storage failures. There have been many inconsistencies in the file system data. In the case of file system data inconsistency, for example, if the block bitmap of a referenced block is not set, it can lead to the situation where a block being committed is allocated and used again. As a result, the following condition will not be satisfied then trigger BUG_ON. Of course, it is entirely possible to construct a problematic image that can trigger this BUG_ON through specific operations. In fact, I have constructed such an image and easily reproduced this issue. Therefore, J_ASSERT() holds true only under ideal conditions, but it may not necessarily be satisfied in exceptional scenarios. Using J_ASSERT() directly in abnormal situations would cause the system to crash, which is clearly not what we want. So here we directly trigger a JBD abort instead of immediately invoking BUG_ON. Уязвимость функции jbd2_journal_get_create_access() компонента fs/jbd2/transaction.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: dsa: microchip: Don't free uninitialized ksz_irq If something goes wrong at setup, ksz_irq_free() can be called on uninitialized ksz_irq (for example when ksz_ptp_irq_setup() fails). It leads to freeing uninitialized IRQ numbers and/or domains. Use dsa_switch_for_each_user_port_continue_reverse() in the error path to iterate only over the fully initialized ports. Уязвимость компонента drivers/net/dsa ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: atm/fore200e: Fix possible data race in fore200e_open() Protect access to fore200e->available_cell_rate with rate_mtx lock in the error handling path of fore200e_open() to prevent a data race. The field fore200e->available_cell_rate is a shared resource used to track available bandwidth. It is concurrently accessed by fore200e_open(), fore200e_close(), and fore200e_change_qos(). In fore200e_open(), the lock rate_mtx is correctly held when subtracting vcc->qos.txtp.max_pcr from available_cell_rate to reserve bandwidth. However, if the subsequent call to fore200e_activate_vcin() fails, the function restores the reserved bandwidth by adding back to available_cell_rate without holding the lock. This introduces a race condition because available_cell_rate is a global device resource shared across all VCCs. If the error path in fore200e_open() executes concurrently with operations like fore200e_close() or fore200e_change_qos() on other VCCs, a read-modify-write race occurs. Specifically, the error path reads the rate without the lock. If another CPU acquires the lock and modifies the rate (e.g., releasing bandwidth in fore200e_close()) between this read and the subsequent write, the error path will overwrite the concurrent update with a stale value. This results in incorrect bandwidth accounting. Уязвимость функции fore200e_open() компонента drivers/atm/fore200e.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: team: Move team device type change at the end of team_port_add Attempting to add a port device that is already up will expectedly fail, but not before modifying the team device header_ops. In the case of the syzbot reproducer the gre0 device is already in state UP when it attempts to add it as a port device of team0, this fails but before that header_ops->create of team0 is changed from eth_header to ipgre_header in the call to team_dev_type_check_change. Later when we end up in ipgre_header() struct ip_tunnel* points to nonsense as the private data of the device still holds a struct team. Example sequence of iproute2 commands to reproduce the hang/BUG(): ip link add dev team0 type team ip link add dev gre0 type gre ip link set dev gre0 up ip link set dev gre0 master team0 ip link set dev team0 up ping -I team0 1.1.1.1 Move team_dev_type_check_change down where all other checks have passed as it changes the dev type with no way to restore it in case one of the checks that follow it fail. Also make sure to preserve the origial mtu assignment: - If port_dev is not the same type as dev, dev takes mtu from port_dev - If port_dev is the same type as dev, port_dev takes mtu from dev This is done by adding a conditional before the call to dev_set_mtu to prevent it from assigning port_dev->mtu = dev->mtu and instead letting team_dev_type_check_change assign dev->mtu = port_dev->mtu. The conditional is needed because the patch moves the call to team_dev_type_check_change past dev_set_mtu. Testing: - team device driver in-tree selftests - Add/remove various devices as slaves of team device - syzbot Уязвимость компонента drivers/net/team ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: veth: reduce XDP no_direct return section to fix race As explain in commit fa349e396e48 ("veth: Fix race with AF_XDP exposing old or uninitialized descriptors") for veth there is a chance after napi_complete_done() that another CPU can manage start another NAPI instance running veth_pool(). For NAPI this is correctly handled as the napi_schedule_prep() check will prevent multiple instances from getting scheduled, but for the remaining code in veth_pool() this can run concurrent with the newly started NAPI instance. The problem/race is that xdp_clear_return_frame_no_direct() isn't designed to be nested. Prior to commit 401cb7dae813 ("net: Reference bpf_redirect_info via task_struct on PREEMPT_RT.") the temporary BPF net context bpf_redirect_info was stored per CPU, where this wasn't an issue. Since this commit the BPF context is stored in 'current' task_struct. When running veth in threaded-NAPI mode, then the kthread becomes the storage area. Now a race exists between two concurrent veth_pool() function calls one exiting NAPI and one running new NAPI, both using the same BPF net context. Race is when another CPU gets within the xdp_set_return_frame_no_direct() section before exiting veth_pool() calls the clear-function xdp_clear_return_frame_no_direct(). Уязвимость ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: gs_usb: gs_usb_receive_bulk_callback(): check actual_length before accessing data The URB received in gs_usb_receive_bulk_callback() contains a struct gs_host_frame. The length of the data after the header depends on the gs_host_frame hf::flags and the active device features (e.g. time stamping). Introduce a new function gs_usb_get_minimum_length() and check that we have at least received the required amount of data before accessing it. Only copy the data to that skb that has actually been received. [mkl: rename gs_usb_get_minimum_length() -> +gs_usb_get_minimum_rx_length()] [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: gs_usb: gs_usb_receive_bulk_callback(): check actual_length before accessing header The driver expects to receive a struct gs_host_frame in gs_usb_receive_bulk_callback(). Use struct_group to describe the header of the struct gs_host_frame and check that we have at least received the header before accessing any members of it. To resubmit the URB, do not dereference the pointer chain "dev->parent->hf_size_rx" but use "parent->hf_size_rx" instead. Since "urb->context" contains "parent", it is always defined, while "dev" is not defined if the URB it too short. Уязвимость компонента drivers/net/can/usb/gs_usb.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: wavefront: Fix integer overflow in sample size validation The wavefront_send_sample() function has an integer overflow issue when validating sample size. The header->size field is u32 but gets cast to int for comparison with dev->freemem Fix by using unsigned comparison to avoid integer overflow. Уязвимость функции wavefront_send_sample () модуля sound/isa/wavefront/wavefront_synth.c звуковой подсистемы ядра операционной системы Linux связана с целочисленным переполнением или циклическим сдвигом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: hda: cs35l41: Fix NULL pointer dereference in cs35l41_hda_read_acpi() The acpi_get_first_physical_node() function can return NULL, in which case the get_device() function also returns NULL, but this value is then dereferenced without checking,so add a check to prevent a crash. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции cs35l41_hda_read_acpi() модуля sound/hda/codecs/side-codecs/cs35l41_hda.c звуковой подсистемы ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: dice: fix buffer overflow in detect_stream_formats() The function detect_stream_formats() reads the stream_count value directly from a FireWire device without validating it. This can lead to out-of-bounds writes when a malicious device provides a stream_count value greater than MAX_STREAMS. Fix by applying the same validation to both TX and RX stream counts in detect_stream_formats(). Уязвимость функции detect_stream_formats() модуля sound/firewire/dice/dice-extension.c звуковой подсистемы ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: firewire-motu: fix buffer overflow in hwdep read for DSP events The DSP event handling code in hwdep_read() could write more bytes to the user buffer than requested, when a user provides a buffer smaller than the event header size (8 bytes). Fix by using min_t() to clamp the copy size, This ensures we never copy more than the user requested. Уязвимость функции hwdep_read() модуля sound/firewire/motu/motu-hwdep.c звуковой подсистемы ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных (классическое переполнение буфера). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: block: fix memory leak in __blkdev_issue_zero_pages Move the fatal signal check before bio_alloc() to prevent a memory leak when BLKDEV_ZERO_KILLABLE is set and a fatal signal is pending. Previously, the bio was allocated before checking for a fatal signal. If a signal was pending, the code would break out of the loop without freeing or chaining the just-allocated bio, causing a memory leak. This matches the pattern already used in __blkdev_issue_write_zeroes() where the signal check precedes the allocation. Уязвимость функции __blkdev_issue_zero_pages() модуля block/blk-lib.c поддержки блочного уровня ядра операционной системы Linux связана с неправильным освобождением памяти («утечка памяти»). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFSv4/pNFS: Clear NFS_INO_LAYOUTCOMMIT in pnfs_mark_layout_stateid_invalid Fixes a crash when layout is null during this call stack: write_inode -> nfs4_write_inode -> pnfs_layoutcommit_inode pnfs_set_layoutcommit relies on the lseg refcount to keep the layout around. Need to clear NFS_INO_LAYOUTCOMMIT otherwise we might attempt to reference a null layout. Уязвимость функции pnfs_mark_layout_stateid_invalid() модуля fs/nfs/pnfs.c поддержки клиентов NFS ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: exfat: fix refcount leak in exfat_find Fix refcount leaks in `exfat_find` related to `exfat_get_dentry_set`. Function `exfat_get_dentry_set` would increase the reference counter of `es->bh` on success. Therefore, `exfat_put_dentry_set` must be called after `exfat_get_dentry_set` to ensure refcount consistency. This patch relocate two checks to avoid possible leaks. Уязвимость функции exfat_find() модуля fs/exfat/namei.c файловой системы exFAT ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: ch341: fix out-of-bounds memory access in ch341_transfer_one Discovered by Atuin - Automated Vulnerability Discovery Engine. The 'len' variable is calculated as 'min(32, trans->len + 1)', which includes the 1-byte command header. When copying data from 'trans->tx_buf' to 'ch341->tx_buf + 1', using 'len' as the length is incorrect because: 1. It causes an out-of-bounds read from 'trans->tx_buf' (which has size 'trans->len', i.e., 'len - 1' in this context). 2. It can cause an out-of-bounds write to 'ch341->tx_buf' if 'len' is CH341_PACKET_LENGTH (32). Writing 32 bytes to ch341->tx_buf + 1 overflows the buffer. Fix this by copying 'len - 1' bytes. Уязвимость функции ch341_transfer_one() модуля drivers/spi/spi-ch341.c драйвера устройств SPI ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: regulator: core: Protect regulator_supply_alias_list with regulator_list_mutex regulator_supply_alias_list was accessed without any locking in regulator_supply_alias(), regulator_register_supply_alias(), and regulator_unregister_supply_alias(). Concurrent registration, unregistration and lookups can race, leading to: 1 use-after-free if an alias entry is removed while being read, 2 duplicate entries when two threads register the same alias, 3 inconsistent alias mappings observed by consumers. Protect all traversals, insertions and deletions on regulator_supply_alias_list with the existing regulator_list_mutex. Уязвимость компонента drivers/regulator/core.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gfs2: Prevent recursive memory reclaim Function new_inode() returns a new inode with inode->i_mapping->gfp_mask set to GFP_HIGHUSER_MOVABLE. This value includes the __GFP_FS flag, so allocations in that address space can recurse into filesystem memory reclaim. We don't want that to happen because it can consume a significant amount of stack memory. Worse than that is that it can also deadlock: for example, in several places, gfs2_unstuff_dinode() is called inside filesystem transactions. This calls filemap_grab_folio(), which can allocate a new folio, which can trigger memory reclaim. If memory reclaim recurses into the filesystem and starts another transaction, a deadlock will ensue. To fix these kinds of problems, prevent memory reclaim from recursing into filesystem code by making sure that the gfp_mask of inode address spaces doesn't include __GFP_FS. The "meta" and resource group address spaces were already using GFP_NOFS as their gfp_mask (which doesn't include __GFP_FS). The default value of GFP_HIGHUSER_MOVABLE is less restrictive than GFP_NOFS, though. To avoid being overly limiting, use the default value and only knock off the __GFP_FS flag. I'm not sure if this will actually make a difference, but it also shouldn't hurt. This patch is loosely based on commit ad22c7a043c2 ("xfs: prevent stack overflows from page cache allocation"). Fixes xfstest generic/273. Уязвимость компонента fs/gfs2 ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix racy bitfield write in btrfs_clear_space_info_full() From the memory-barriers.txt document regarding memory barrier ordering guarantees: (*) These guarantees do not apply to bitfields, because compilers often generate code to modify these using non-atomic read-modify-write sequences. Do not attempt to use bitfields to synchronize parallel algorithms. (*) Even in cases where bitfields are protected by locks, all fields in a given bitfield must be protected by one lock. If two fields in a given bitfield are protected by different locks, the compiler's non-atomic read-modify-write sequences can cause an update to one field to corrupt the value of an adjacent field. btrfs_space_info has a bitfield sharing an underlying word consisting of the fields full, chunk_alloc, and flush: struct btrfs_space_info { struct btrfs_fs_info * fs_info; /* 0 8 */ struct btrfs_space_info * parent; /* 8 8 */ ... int clamp; /* 172 4 */ unsigned int full:1; /* 176: 0 4 */ unsigned int chunk_alloc:1; /* 176: 1 4 */ unsigned int flush:1; /* 176: 2 4 */ ... Therefore, to be safe from parallel read-modify-writes losing a write to one of the bitfield members protected by a lock, all writes to all the bitfields must use the lock. They almost universally do, except for btrfs_clear_space_info_full() which iterates over the space_infos and writes out found->full = 0 without a lock. Imagine that we have one thread completing a transaction in which we finished deleting a block_group and are thus calling btrfs_clear_space_info_full() while simultaneously the data reclaim ticket infrastructure is running do_async_reclaim_data_space(): T1 T2 btrfs_commit_transaction btrfs_clear_space_info_full data_sinfo->full = 0 READ: full:0, chunk_alloc:0, flush:1 do_async_reclaim_data_space(data_sinfo) spin_lock(&space_info->lock); if(list_empty(tickets)) space_info->flush = 0; READ: full: 0, chunk_alloc:0, flush:1 MOD/WRITE: full: 0, chunk_alloc:0, flush:0 spin_unlock(&space_info->lock); return; MOD/WRITE: full:0, chunk_alloc:0, flush:1 and now data_sinfo->flush is 1 but the reclaim worker has exited. This breaks the invariant that flush is 0 iff there is no work queued or running. Once this invariant is violated, future allocations that go into __reserve_bytes() will add tickets to space_info->tickets but will see space_info->flush is set to 1 and not queue the work. After this, they will block forever on the resulting ticket, as it is now impossible to kick the worker again. I also confirmed by looking at the assembly of the affected kernel that it is doing RMW operations. For example, to set the flush (3rd) bit to 0, the assembly is: andb $0xfb,0x60(%rbx) and similarly for setting the full (1st) bit to 0: andb $0xfe,-0x20(%rax) So I think this is really a bug on practical systems. I have observed a number of systems in this exact state, but am currently unable to reproduce it. Rather than leaving this footgun lying around for the future, take advantage of the fact that there is room in the struct anyway, and that it is already quite large and simply change the three bitfield members to bools. This avoids writes to space_info->full having any effect on ---truncated--- Уязвимость функции btrfs_clear_space_info_full() модуля btrfs ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: erofs: limit the level of fs stacking for file-backed mounts Otherwise, it could cause potential kernel stack overflow (e.g., EROFS mounting itself). Уязвимость функции erofs_fc_fill_super() модуля fs/erofs/super.c файловой системы EROFS (Enhanced ReadOnly File System) ядра операционной системы Linux связана с переполнением буфера на основе стека. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtl818x: rtl8187: Fix potential buffer underflow in rtl8187_rx_cb() The rtl8187_rx_cb() calculates the rx descriptor header address by subtracting its size from the skb tail pointer. However, it does not validate if the received packet (skb->len from urb->actual_length) is large enough to contain this header. If a truncated packet is received, this will lead to a buffer underflow, reading memory before the start of the skb data area, and causing a kernel panic. Add length checks for both rtl8187 and rtl8187b descriptor headers before attempting to access them, dropping the packet cleanly if the check fails. Уязвимость функции rtl8187_rx_cb() модуля drivers/net/wireless/realtek/rtl818x/rtl8187/dev.c драйвера адаптеров беспроводной связи Realtek ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Check skb->transport_header is set in bpf_skb_check_mtu The bpf_skb_check_mtu helper needs to use skb->transport_header when the BPF_MTU_CHK_SEGS flag is used: bpf_skb_check_mtu(skb, ifindex, &mtu_len, 0, BPF_MTU_CHK_SEGS) The transport_header is not always set. There is a WARN_ON_ONCE report when CONFIG_DEBUG_NET is enabled + skb->gso_size is set + bpf_prog_test_run is used: WARNING: CPU: 1 PID: 2216 at ./include/linux/skbuff.h:3071 skb_gso_validate_network_len bpf_skb_check_mtu bpf_prog_3920e25740a41171_tc_chk_segs_flag # A test in the next patch bpf_test_run bpf_prog_test_run_skb For a normal ingress skb (not test_run), skb_reset_transport_header is performed but there is plan to avoid setting it as described in commit 2170a1f09148 ("net: no longer reset transport_header in __netif_receive_skb_core()"). This patch fixes the bpf helper by checking skb_transport_header_was_set(). The check is done just before skb->transport_header is used, to avoid breaking the existing bpf prog. The WARN_ON_ONCE is limited to bpf_prog_test_run, so targeting bpf-next. Уязвимость ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ocfs2: relax BUG() to ocfs2_error() in __ocfs2_move_extent() In '__ocfs2_move_extent()', relax 'BUG()' to 'ocfs2_error()' just to avoid crashing the whole kernel due to a filesystem corruption. Уязвимость функции __ocfs2_move_extent() модуля fs/ocfs2/move_extents.c файловой системы OCFS2 ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Initialize allocated memory before use KMSAN reports: Multiple uninitialized values detected: - KMSAN: uninit-value in ntfs_read_hdr (3) - KMSAN: uninit-value in bcmp (3) Memory is allocated by __getname(), which is a wrapper for kmem_cache_alloc(). This memory is used before being properly cleared. Change kmem_cache_alloc() to kmem_cache_zalloc() to properly allocate and clear memory before use. Уязвимость компонента fs/ntfs3 ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=8.2) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nbd: defer config unlock in nbd_genl_connect There is one use-after-free warning when running NBD_CMD_CONNECT and NBD_CLEAR_SOCK: nbd_genl_connect nbd_alloc_and_init_config // config_refs=1 nbd_start_device // config_refs=2 set NBD_RT_HAS_CONFIG_REF open nbd // config_refs=3 recv_work done // config_refs=2 NBD_CLEAR_SOCK // config_refs=1 close nbd // config_refs=0 refcount_inc -> uaf ------------[ cut here ]------------ refcount_t: addition on 0; use-after-free. WARNING: CPU: 24 PID: 1014 at lib/refcount.c:25 refcount_warn_saturate+0x12e/0x290 nbd_genl_connect+0x16d0/0x1ab0 genl_family_rcv_msg_doit+0x1f3/0x310 genl_rcv_msg+0x44a/0x790 The issue can be easily reproduced by adding a small delay before refcount_inc(&nbd->config_refs) in nbd_genl_connect(): mutex_unlock(&nbd->config_lock); if (!ret) { set_bit(NBD_RT_HAS_CONFIG_REF, &config->runtime_flags); + printk("before sleep\n"); + mdelay(5 * 1000); + printk("after sleep\n"); refcount_inc(&nbd->config_refs); nbd_connect_reply(info, nbd->index); } Уязвимость функции nbd_genl_connect() модуля drivers/block/nbd.c драйвера блочных устройств ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: macintosh/mac_hid: fix race condition in mac_hid_toggle_emumouse The following warning appears when running syzkaller, and this issue also exists in the mainline code. ------------[ cut here ]------------ list_add double add: new=ffffffffa57eee28, prev=ffffffffa57eee28, next=ffffffffa5e63100. WARNING: CPU: 0 PID: 1491 at lib/list_debug.c:35 __list_add_valid_or_report+0xf7/0x130 Modules linked in: CPU: 0 PID: 1491 Comm: syz.1.28 Not tainted 6.6.0+ #3 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:__list_add_valid_or_report+0xf7/0x130 RSP: 0018:ff1100010dfb7b78 EFLAGS: 00010282 RAX: 0000000000000000 RBX: ffffffffa57eee18 RCX: ffffffff97fc9817 RDX: 0000000000040000 RSI: ffa0000002383000 RDI: 0000000000000001 RBP: ffffffffa57eee28 R08: 0000000000000001 R09: ffe21c0021bf6f2c R10: 0000000000000001 R11: 6464615f7473696c R12: ffffffffa5e63100 R13: ffffffffa57eee28 R14: ffffffffa57eee28 R15: ff1100010dfb7d48 FS: 00007fb14398b640(0000) GS:ff11000119600000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 000000010d096005 CR4: 0000000000773ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 80000000 Call Trace: <TASK> input_register_handler+0xb3/0x210 mac_hid_start_emulation+0x1c5/0x290 mac_hid_toggle_emumouse+0x20a/0x240 proc_sys_call_handler+0x4c2/0x6e0 new_sync_write+0x1b1/0x2d0 vfs_write+0x709/0x950 ksys_write+0x12a/0x250 do_syscall_64+0x5a/0x110 entry_SYSCALL_64_after_hwframe+0x78/0xe2 The WARNING occurs when two processes concurrently write to the mac-hid emulation sysctl, causing a race condition in mac_hid_toggle_emumouse(). Both processes read old_val=0, then both try to register the input handler, leading to a double list_add of the same handler. CPU0 CPU1 ------------------------- ------------------------- vfs_write() //write 1 vfs_write() //write 1 proc_sys_write() proc_sys_write() mac_hid_toggle_emumouse() mac_hid_toggle_emumouse() old_val = *valp // old_val=0 old_val = *valp // old_val=0 mutex_lock_killable() proc_dointvec() // *valp=1 mac_hid_start_emulation() input_register_handler() mutex_unlock() mutex_lock_killable() proc_dointvec() mac_hid_start_emulation() input_register_handler() //Trigger Warning mutex_unlock() Fix this by moving the old_val read inside the mutex lock region. Уязвимость функции mac_hid_toggle_emumouse() модуля drivers/macintosh/mac_hid.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: smartpqi: Fix device resources accessed after device removal Correct possible race conditions during device removal. Previously, a scheduled work item to reset a LUN could still execute after the device was removed, leading to use-after-free and other resource access issues. This race condition occurs because the abort handler may schedule a LUN reset concurrently with device removal via sdev_destroy(), leading to use-after-free and improper access to freed resources. - Check in the device reset handler if the device is still present in the controller's SCSI device list before running; if not, the reset is skipped. - Cancel any pending TMF work that has not started in sdev_destroy(). - Ensure device freeing in sdev_destroy() is done while holding the LUN reset mutex to avoid races with ongoing resets. Уязвимость компонента drivers/scsi/smartpqi/smartpqi_init.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nbd: defer config put in recv_work There is one uaf issue in recv_work when running NBD_CLEAR_SOCK and NBD_CMD_RECONFIGURE: nbd_genl_connect // conf_ref=2 (connect and recv_work A) nbd_open // conf_ref=3 recv_work A done // conf_ref=2 NBD_CLEAR_SOCK // conf_ref=1 nbd_genl_reconfigure // conf_ref=2 (trigger recv_work B) close nbd // conf_ref=1 recv_work B config_put // conf_ref=0 atomic_dec(&config->recv_threads); -> UAF Or only running NBD_CLEAR_SOCK: nbd_genl_connect // conf_ref=2 nbd_open // conf_ref=3 NBD_CLEAR_SOCK // conf_ref=2 close nbd nbd_release config_put // conf_ref=1 recv_work config_put // conf_ref=0 atomic_dec(&config->recv_threads); -> UAF Commit 87aac3a80af5 ("nbd: call nbd_config_put() before notifying the waiter") moved nbd_config_put() to run before waking up the waiter in recv_work, in order to ensure that nbd_start_device_ioctl() would not be woken up while nbd->task_recv was still uncleared. However, in nbd_start_device_ioctl(), after being woken up it explicitly calls flush_workqueue() to make sure all current works are finished. Therefore, there is no need to move the config put ahead of the wakeup. Move nbd_config_put() to the end of recv_work, so that the reference is held for the whole lifetime of the worker thread. This makes sure the config cannot be freed while recv_work is still running, even if clear + reconfigure interleave. In addition, we don't need to worry about recv_work dropping the last nbd_put (which causes deadlock): path A (netlink with NBD_CFLAG_DESTROY_ON_DISCONNECT): connect // nbd_refs=1 (trigger recv_work) open nbd // nbd_refs=2 NBD_CLEAR_SOCK close nbd nbd_release nbd_disconnect_and_put flush_workqueue // recv_work done nbd_config_put nbd_put // nbd_refs=1 nbd_put // nbd_refs=0 queue_work path B (netlink without NBD_CFLAG_DESTROY_ON_DISCONNECT): connect // nbd_refs=2 (trigger recv_work) open nbd // nbd_refs=3 NBD_CLEAR_SOCK // conf_refs=2 close nbd nbd_release nbd_config_put // conf_refs=1 nbd_put // nbd_refs=2 recv_work done // conf_refs=0, nbd_refs=1 rmmod // nbd_refs=0 Depends-on: e2daec488c57 ("nbd: Fix hungtask when nbd_config_put") Уязвимость функции recv_work() модуля drivers/block/nbd.c драйвера блочных устройств ядра операционной системы Linux связана с возникновением взаимной блокировки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md: fix rcu protection in md_wakeup_thread We attempted to use RCU to protect the pointer 'thread', but directly passed the value when calling md_wakeup_thread(). This means that the RCU pointer has been acquired before rcu_read_lock(), which renders rcu_read_lock() ineffective and could lead to a use-after-free. Уязвимость компонента drivers/md ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix stackmap overflow check in __bpf_get_stackid() Syzkaller reported a KASAN slab-out-of-bounds write in __bpf_get_stackid() when copying stack trace data. The issue occurs when the perf trace contains more stack entries than the stack map bucket can hold, leading to an out-of-bounds write in the bucket's data array. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: Fix null deref on srq->rq.queue after resize failure A NULL pointer dereference can occur in rxe_srq_chk_attr() when ibv_modify_srq() is invoked twice in succession under certain error conditions. The first call may fail in rxe_queue_resize(), which leads rxe_srq_from_attr() to set srq->rq.queue = NULL. The second call then triggers a crash (null deref) when accessing srq->rq.queue->buf->index_mask. Call Trace: <TASK> rxe_modify_srq+0x170/0x480 [rdma_rxe] ? __pfx_rxe_modify_srq+0x10/0x10 [rdma_rxe] ? uverbs_try_lock_object+0x4f/0xa0 [ib_uverbs] ? rdma_lookup_get_uobject+0x1f0/0x380 [ib_uverbs] ib_uverbs_modify_srq+0x204/0x290 [ib_uverbs] ? __pfx_ib_uverbs_modify_srq+0x10/0x10 [ib_uverbs] ? tryinc_node_nr_active+0xe6/0x150 ? uverbs_fill_udata+0xed/0x4f0 [ib_uverbs] ib_uverbs_handler_UVERBS_METHOD_INVOKE_WRITE+0x2c0/0x470 [ib_uverbs] ? __pfx_ib_uverbs_handler_UVERBS_METHOD_INVOKE_WRITE+0x10/0x10 [ib_uverbs] ? uverbs_fill_udata+0xed/0x4f0 [ib_uverbs] ib_uverbs_run_method+0x55a/0x6e0 [ib_uverbs] ? __pfx_ib_uverbs_handler_UVERBS_METHOD_INVOKE_WRITE+0x10/0x10 [ib_uverbs] ib_uverbs_cmd_verbs+0x54d/0x800 [ib_uverbs] ? __pfx_ib_uverbs_cmd_verbs+0x10/0x10 [ib_uverbs] ? __pfx___raw_spin_lock_irqsave+0x10/0x10 ? __pfx_do_vfs_ioctl+0x10/0x10 ? ioctl_has_perm.constprop.0.isra.0+0x2c7/0x4c0 ? __pfx_ioctl_has_perm.constprop.0.isra.0+0x10/0x10 ib_uverbs_ioctl+0x13e/0x220 [ib_uverbs] ? __pfx_ib_uverbs_ioctl+0x10/0x10 [ib_uverbs] __x64_sys_ioctl+0x138/0x1c0 do_syscall_64+0x82/0x250 ? fdget_pos+0x58/0x4c0 ? ksys_write+0xf3/0x1c0 ? __pfx_ksys_write+0x10/0x10 ? do_syscall_64+0xc8/0x250 ? __pfx_vm_mmap_pgoff+0x10/0x10 ? fget+0x173/0x230 ? fput+0x2a/0x80 ? ksys_mmap_pgoff+0x224/0x4c0 ? do_syscall_64+0xc8/0x250 ? do_user_addr_fault+0x37b/0xfe0 ? clear_bhb_loop+0x50/0xa0 ? clear_bhb_loop+0x50/0xa0 ? clear_bhb_loop+0x50/0xa0 entry_SYSCALL_64_after_hwframe+0x76/0x7e [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath11k: fix peer HE MCS assignment In ath11k_wmi_send_peer_assoc_cmd(), peer's transmit MCS is sent to firmware as receive MCS while peer's receive MCS sent as transmit MCS, which goes against firmwire's definition. While connecting to a misbehaved AP that advertises 0xffff (meaning not supported) for 160 MHz transmit MCS map, firmware crashes due to 0xffff is assigned to he_mcs->rx_mcs_set field. Ext Tag: HE Capabilities [...] Supported HE-MCS and NSS Set [...] Rx and Tx MCS Maps 160 MHz [...] Tx HE-MCS Map 160 MHz: 0xffff Swap the assignment to fix this issue. As the HE rate control mask is meant to limit our own transmit MCS, it needs to go via he_mcs->rx_mcs_set field. With the aforementioned swapping done, change is needed as well to apply it to the peer's receive MCS. Tested-on: WCN6855 hw2.1 PCI WLAN.HSP.1.1-03125-QCAHSPSWPL_V1_V2_SILICONZ_LITE-3.6510.41 Tested-on: QCN9274 hw2.0 PCI WLAN.WBE.1.4.1-00199-QCAHKSWPL_SILICONZ-1 Уязвимость функции ath11k_wmi_send_peer_assoc_cmd() ядра операционной системы Linux связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 libheif libheif is an HEIF and AVIF file format decoder and encoder. Prior to version 1.21.0, a crafted HEIF that exercises the overlay image item path triggers a heap buffer over-read in `HeifPixelImage::overlay()`. The function computes a negative row length (likely from an unclipped overlay rectangle or invalid offsets), which then underflows when converted to `size_t` and is passed to `memcpy`, causing a very large read past the end of the source plane and a crash. Version 1.21.0 contains a patch. As a workaround, avoid decoding images using `iovl` overlay boxes. Уязвимость функции HeifPixelImage::overlay() библиотеки libheif связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 xrdp xrdp is an open source RDP server. xrdp before v0.10.5 contains an unauthenticated stack-based buffer overflow vulnerability. The issue stems from improper bounds checking when processing user domain information during the connection sequence. If exploited, the vulnerability could allow remote attackers to execute arbitrary code on the target system. The vulnerability allows an attacker to overwrite the stack buffer and the return address, which could theoretically be used to redirect the execution flow. The impact of this vulnerability is lessened if a compiler flag has been used to build the xrdp executable with stack canary protection. If this is the case, a second vulnerability would need to be used to leak the stack canary value. Upgrade to version 0.10.5 to receive a patch. Additionally, do not rely on stack canary protection on production systems. Уязвимость сервера XRDP связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) xrdp: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: asymmetric_keys - prevent overflow in asymmetric_key_generate_id Use check_add_overflow() to guard against potential integer overflows when adding the binary blob lengths and the size of an asymmetric_key_id structure and return ERR_PTR(-EOVERFLOW) accordingly. This prevents a possible buffer overflow when copying data from potentially malicious X.509 certificate fields that can be arbitrarily large, such as ASN.1 INTEGER serial numbers, issuer names, etc. Уязвимость функции asymmetric_key_generate_id() модуля crypto/asymmetric_keys/asymmetric_type.c криптографической подсистемы ядра операционной системы Linux связана с целочисленным переполнением или циклическим сдвигом. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Do not let BPF test infra emit invalid GSO types to stack Yinhao et al. reported that their fuzzer tool was able to trigger a skb_warn_bad_offload() from netif_skb_features() -> gso_features_check(). When a BPF program - triggered via BPF test infra - pushes the packet to the loopback device via bpf_clone_redirect() then mentioned offload warning can be seen. GSO-related features are then rightfully disabled. We get into this situation due to convert___skb_to_skb() setting gso_segs and gso_size but not gso_type. Technically, it makes sense that this warning triggers since the GSO properties are malformed due to the gso_type. Potentially, the gso_type could be marked non-trustworthy through setting it at least to SKB_GSO_DODGY without any other specific assumptions, but that also feels wrong given we should not go further into the GSO engine in the first place. The checks were added in 121d57af308d ("gso: validate gso_type in GSO handlers") because there were malicious (syzbot) senders that combine a protocol with a non-matching gso_type. If we would want to drop such packets, gso_features_check() currently only returns feature flags via netif_skb_features(), so one location for potentially dropping such skbs could be validate_xmit_unreadable_skb(), but then otoh it would be an additional check in the fast-path for a very corner case. Given bpf_clone_redirect() is the only place where BPF test infra could emit such packets, lets reject them right there. Уязвимость компонента bpf ядра операционной системы Linux связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ntfs3: Fix uninit buffer allocated by __getname() Fix uninit errors caused after buffer allocation given to 'de'; by initializing the buffer with zeroes. The fix was found by using KMSAN. Уязвимость функции ntfs_link_inode() модуля fs/ntfs3/inode.c файловой системы NTFS 3 ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ntfs3: fix uninit memory after failed mi_read in mi_format_new Fix a KMSAN un-init bug found by syzkaller. ntfs_get_bh() expects a buffer from sb_getblk(), that buffer may not be uptodate. We do not bring the buffer uptodate before setting it as uptodate. If the buffer were to not be uptodate, it could mean adding a buffer with un-init data to the mi record. Attempting to load that record will trigger KMSAN. Avoid this by setting the buffer as uptodate, if it’s not already, by overwriting it. Уязвимость функции ntfs_get_bh() модуля fs/ntfs3/fsntfs.c файловой системы NTFS 3 ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Уязвимость затрагивает модуль ntfs3 в ядра Linux. 1. Чтобы проверить, загружен ли модуль ntfs3 в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ntfs3 ``` или ``` kmod list | grep ntfs3 ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, но не используется, то его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ntfs3 ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install ntfs3 /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gpu: host1x: Fix race in syncpt alloc/free Fix race condition between host1x_syncpt_alloc() and host1x_syncpt_put() by using kref_put_mutex() instead of kref_put() + manual mutex locking. This ensures no thread can acquire the syncpt_mutex after the refcount drops to zero but before syncpt_release acquires it. This prevents races where syncpoints could be allocated while still being cleaned up from a previous release. Remove explicit mutex locking in syncpt_release as kref_put_mutex() handles this atomically. Уязвимость компонента drivers/gpu/host1x ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smack: fix bug: unprivileged task can create labels If an unprivileged task is allowed to relabel itself (/smack/relabel-self is not empty), it can freely create new labels by writing their names into own /proc/PID/attr/smack/current This occurs because do_setattr() imports the provided label in advance, before checking "relabel-self" list. This change ensures that the "relabel-self" list is checked before importing the label. Уязвимость ядра операционной системы Linux связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ima: Handle error code returned by ima_filter_rule_match() In ima_match_rules(), if ima_filter_rule_match() returns -ENOENT due to the rule being NULL, the function incorrectly skips the 'if (!rc)' check and sets 'result = true'. The LSM rule is considered a match, causing extra files to be measured by IMA. This issue can be reproduced in the following scenario: After unloading the SELinux policy module via 'semodule -d', if an IMA measurement is triggered before ima_lsm_rules is updated, in ima_match_rules(), the first call to ima_filter_rule_match() returns -ESTALE. This causes the code to enter the 'if (rc == -ESTALE && !rule_reinitialized)' block, perform ima_lsm_copy_rule() and retry. In ima_lsm_copy_rule(), since the SELinux module has been removed, the rule becomes NULL, and the second call to ima_filter_rule_match() returns -ENOENT. This bypasses the 'if (!rc)' check and results in a false match. Call trace: selinux_audit_rule_match+0x310/0x3b8 security_audit_rule_match+0x60/0xa0 ima_match_rules+0x2e4/0x4a0 ima_match_policy+0x9c/0x1e8 ima_get_action+0x48/0x60 process_measurement+0xf8/0xa98 ima_bprm_check+0x98/0xd8 security_bprm_check+0x5c/0x78 search_binary_handler+0x6c/0x318 exec_binprm+0x58/0x1b8 bprm_execve+0xb8/0x130 do_execveat_common.isra.0+0x1a8/0x258 __arm64_sys_execve+0x48/0x68 invoke_syscall+0x50/0x128 el0_svc_common.constprop.0+0xc8/0xf0 do_el0_svc+0x24/0x38 el0_svc+0x44/0x200 el0t_64_sync_handler+0x100/0x130 el0t_64_sync+0x3c8/0x3d0 Fix this by changing 'if (!rc)' to 'if (rc <= 0)' to ensure that error codes like -ENOENT do not bypass the check and accidentally result in a successful match. Уязвимость функции ima_match_rules() модуля security/integrity/ima/ima_policy.c подсистемы обеспечения безопасности ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Fix improper freeing of purex item In qla2xxx_process_purls_iocb(), an item is allocated via qla27xx_copy_multiple_pkt(), which internally calls qla24xx_alloc_purex_item(). The qla24xx_alloc_purex_item() function may return a pre-allocated item from a per-adapter pool for small allocations, instead of dynamically allocating memory with kzalloc(). An error handling path in qla2xxx_process_purls_iocb() incorrectly uses kfree() to release the item. If the item was from the pre-allocated pool, calling kfree() on it is a bug that can lead to memory corruption. Fix this by using the correct deallocation function, qla24xx_free_purex_item(), which properly handles both dynamically allocated and pre-allocated items. Уязвимость функции qla2xxx_process_purls_iocb() модуля drivers/scsi/qla2xxx/qla_nvme.c драйвера устройств SCSI ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix invalid prog->stats access when update_effective_progs fails Syzkaller triggers an invalid memory access issue following fault injection in update_effective_progs. The issue can be described as follows: __cgroup_bpf_detach update_effective_progs compute_effective_progs bpf_prog_array_alloc <-- fault inject purge_effective_progs /* change to dummy_bpf_prog */ array->items[index] = &dummy_bpf_prog.prog ---softirq start--- __do_softirq ... __cgroup_bpf_run_filter_skb __bpf_prog_run_save_cb bpf_prog_run stats = this_cpu_ptr(prog->stats) /* invalid memory access */ flags = u64_stats_update_begin_irqsave(&stats->syncp) ---softirq end--- static_branch_dec(&cgroup_bpf_enabled_key[atype]) The reason is that fault injection caused update_effective_progs to fail and then changed the original prog into dummy_bpf_prog.prog in purge_effective_progs. Then a softirq came, and accessing the members of dummy_bpf_prog.prog in the softirq triggers invalid mem access. To fix it, skip updating stats when stats is NULL. Уязвимость компонента bpf ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Free special fields when update [lru_,]percpu_hash maps As [lru_,]percpu_hash maps support BPF_KPTR_{REF,PERCPU}, missing calls to 'bpf_obj_free_fields()' in 'pcpu_copy_value()' could cause the memory referenced by BPF_KPTR_{REF,PERCPU} fields to be held until the map gets freed. Fix this by calling 'bpf_obj_free_fields()' after 'copy_map_value[,_long]()' in 'pcpu_copy_value()'. Уязвимость компонента bpf ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: tegra210-quad: Fix timeout handling When the CPU that the QSPI interrupt handler runs on (typically CPU 0) is excessively busy, it can lead to rare cases of the IRQ thread not running before the transfer timeout is reached. While handling the timeouts, any pending transfers are cleaned up and the message that they correspond to is marked as failed, which leaves the curr_xfer field pointing at stale memory. To avoid this, clear curr_xfer to NULL upon timeout and check for this condition when the IRQ thread is finally run. While at it, also make sure to clear interrupts on failure so that new interrupts can be run. A better, more involved, fix would move the interrupt clearing into a hard IRQ handler. Ideally we would also want to signal that the IRQ thread no longer needs to be run after the timeout is hit to avoid the extra check for a valid transfer. Уязвимость компонента drivers/spi/spi-tegra210-quad.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/panthor: Fix UAF on kernel BO VA nodes If the MMU is down, panthor_vm_unmap_range() might return an error. We expect the page table to be updated still, and if the MMU is blocked, the rest of the GPU should be blocked too, so no risk of accessing physical memory returned to the system (which the current code doesn't cover for anyway). Proceed with the rest of the cleanup instead of bailing out and leaving the va_node inserted in the drm_mm, which leads to UAF when other adjacent nodes are removed from the drm_mm tree. Уязвимость компонента drivers/gpu/drm/panthor ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/panthor: Fix UAF race between device unplug and FW event processing The function panthor_fw_unplug() will free the FW memory sections. The problem is that there could still be pending FW events which are yet not handled at this point. process_fw_events_work() can in this case try to access said freed memory. Simply call disable_work_sync() to both drain and prevent future invocation of process_fw_events_work(). Уязвимость функции panthor_sched_unplug() модуля drivers/gpu/drm/panthor/panthor_sched.c драйвера Panthor (поддержка DRM для графических процессоров на базе ARM Mali CSF) ядра операционной системы Linux связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: accel/ivpu: Fix race condition when unbinding BOs Fix 'Memory manager not clean during takedown' warning that occurs when ivpu_gem_bo_free() removes the BO from the BOs list before it gets unmapped. Then file_priv_unbind() triggers a warning in drm_mm_takedown() during context teardown. Protect the unmapping sequence with bo_list_lock to ensure the BO is always fully unmapped when removed from the list. This ensures the BO is either fully unmapped at context teardown time or present on the list and unmapped by file_priv_unbind(). Уязвимость функции ivpu_gem_bo_free() модуля drivers/accel/ivpu/ivpu_gem.c драйвера нейронного процессора Intel NPU ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: firewire-motu: add bounds check in put_user loop for DSP events In the DSP event handling code, a put_user() loop copies event data. When the user buffer size is not aligned to 4 bytes, it could overwrite beyond the buffer boundary. Fix by adding a bounds check before put_user(). Уязвимость функции put_user() ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: block: Use RCU in blk_mq_[un]quiesce_tagset() instead of set->tag_list_lock blk_mq_{add,del}_queue_tag_set() functions add and remove queues from tagset, the functions make sure that tagset and queues are marked as shared when two or more queues are attached to the same tagset. Initially a tagset starts as unshared and when the number of added queues reaches two, blk_mq_add_queue_tag_set() marks it as shared along with all the queues attached to it. When the number of attached queues drops to 1 blk_mq_del_queue_tag_set() need to mark both the tagset and the remaining queues as unshared. Both functions need to freeze current queues in tagset before setting on unsetting BLK_MQ_F_TAG_QUEUE_SHARED flag. While doing so, both functions hold set->tag_list_lock mutex, which makes sense as we do not want queues to be added or deleted in the process. This used to work fine until commit 98d81f0df70c ("nvme: use blk_mq_[un]quiesce_tagset") made the nvme driver quiesce tagset instead of quiscing individual queues. blk_mq_quiesce_tagset() does the job and quiesce the queues in set->tag_list while holding set->tag_list_lock also. This results in deadlock between two threads with these stacktraces: __schedule+0x47c/0xbb0 ? timerqueue_add+0x66/0xb0 schedule+0x1c/0xa0 schedule_preempt_disabled+0xa/0x10 __mutex_lock.constprop.0+0x271/0x600 blk_mq_quiesce_tagset+0x25/0xc0 nvme_dev_disable+0x9c/0x250 nvme_timeout+0x1fc/0x520 blk_mq_handle_expired+0x5c/0x90 bt_iter+0x7e/0x90 blk_mq_queue_tag_busy_iter+0x27e/0x550 ? __blk_mq_complete_request_remote+0x10/0x10 ? __blk_mq_complete_request_remote+0x10/0x10 ? __call_rcu_common.constprop.0+0x1c0/0x210 blk_mq_timeout_work+0x12d/0x170 process_one_work+0x12e/0x2d0 worker_thread+0x288/0x3a0 ? rescuer_thread+0x480/0x480 kthread+0xb8/0xe0 ? kthread_park+0x80/0x80 ret_from_fork+0x2d/0x50 ? kthread_park+0x80/0x80 ret_from_fork_asm+0x11/0x20 __schedule+0x47c/0xbb0 ? xas_find+0x161/0x1a0 schedule+0x1c/0xa0 blk_mq_freeze_queue_wait+0x3d/0x70 ? destroy_sched_domains_rcu+0x30/0x30 blk_mq_update_tag_set_shared+0x44/0x80 blk_mq_exit_queue+0x141/0x150 del_gendisk+0x25a/0x2d0 nvme_ns_remove+0xc9/0x170 nvme_remove_namespaces+0xc7/0x100 nvme_remove+0x62/0x150 pci_device_remove+0x23/0x60 device_release_driver_internal+0x159/0x200 unbind_store+0x99/0xa0 kernfs_fop_write_iter+0x112/0x1e0 vfs_write+0x2b1/0x3d0 ksys_write+0x4e/0xb0 do_syscall_64+0x5b/0x160 entry_SYSCALL_64_after_hwframe+0x4b/0x53 The top stacktrace is showing nvme_timeout() called to handle nvme command timeout. timeout handler is trying to disable the controller and as a first step, it needs to blk_mq_quiesce_tagset() to tell blk-mq not to call queue callback handlers. The thread is stuck waiting for set->tag_list_lock as it tries to walk the queues in set->tag_list. The lock is held by the second thread in the bottom stack which is waiting for one of queues to be frozen. The queue usage counter will drop to zero after nvme_timeout() finishes, and this will not happen because the thread will wait for this mutex forever. Given that [un]quiescing queue is an operation that does not need to sleep, update blk_mq_[un]quiesce_tagset() to use RCU instead of taking set->tag_list_lock, update blk_mq_{add,del}_queue_tag_set() to use RCU safe list operations. Also, delete INIT_LIST_HEAD(&q->tag_set_list) in blk_mq_del_queue_tag_set() because we can not re-initialize it while the list is being traversed under RCU. The deleted queue will not be added/deleted to/from a tagset and it will be freed in blk_free_queue() after the end of RCU grace period. Уязвимость функции blk_mq_{add,del}_queue_tag_set() ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/vgem-fence: Fix potential deadlock on release A timer that expires a vgem fence automatically in 10 seconds is now released with timer_delete_sync() from fence->ops.release() called on last dma_fence_put(). In some scenarios, it can run in IRQ context, which is not safe unless TIMER_IRQSAFE is used. One potentially risky scenario was demonstrated in Intel DRM CI trybot, BAT run on machine bat-adlp-6, while working on new IGT subtests syncobj_timeline@stress-* as user space replacements of some problematic test cases of a dma-fence-chain selftest [1]. [117.004338] ================================ [117.004340] WARNING: inconsistent lock state [117.004342] 6.17.0-rc7-CI_DRM_17270-g7644974e648c+ #1 Tainted: G S U [117.004346] -------------------------------- [117.004347] inconsistent {HARDIRQ-ON-W} -> {IN-HARDIRQ-W} usage. [117.004349] swapper/0/0 [HC1[1]:SC1[1]:HE0:SE0] takes: [117.004352] ffff888138f86aa8 ((&fence->timer)){?.-.}-{0:0}, at: __timer_delete_sync+0x4b/0x190 [117.004361] {HARDIRQ-ON-W} state was registered at: [117.004363] lock_acquire+0xc4/0x2e0 [117.004366] call_timer_fn+0x80/0x2a0 [117.004368] __run_timers+0x231/0x310 [117.004370] run_timer_softirq+0x76/0xe0 [117.004372] handle_softirqs+0xd4/0x4d0 [117.004375] __irq_exit_rcu+0x13f/0x160 [117.004377] irq_exit_rcu+0xe/0x20 [117.004379] sysvec_apic_timer_interrupt+0xa0/0xc0 [117.004382] asm_sysvec_apic_timer_interrupt+0x1b/0x20 [117.004385] cpuidle_enter_state+0x12b/0x8a0 [117.004388] cpuidle_enter+0x2e/0x50 [117.004393] call_cpuidle+0x22/0x60 [117.004395] do_idle+0x1fd/0x260 [117.004398] cpu_startup_entry+0x29/0x30 [117.004401] start_secondary+0x12d/0x160 [117.004404] common_startup_64+0x13e/0x141 [117.004407] irq event stamp: 2282669 [117.004409] hardirqs last enabled at (2282668): [<ffffffff8289db71>] _raw_spin_unlock_irqrestore+0x51/0x80 [117.004414] hardirqs last disabled at (2282669): [<ffffffff82882021>] sysvec_irq_work+0x11/0xc0 [117.004419] softirqs last enabled at (2254702): [<ffffffff8289fd00>] __do_softirq+0x10/0x18 [117.004423] softirqs last disabled at (2254725): [<ffffffff813d4ddf>] __irq_exit_rcu+0x13f/0x160 [117.004426] other info that might help us debug this: [117.004429] Possible unsafe locking scenario: [117.004432] CPU0 [117.004433] ---- [117.004434] lock((&fence->timer)); [117.004436] <Interrupt> [117.004438] lock((&fence->timer)); [117.004440] *** DEADLOCK *** [117.004443] 1 lock held by swapper/0/0: [117.004445] #0: ffffc90000003d50 ((&fence->timer)){?.-.}-{0:0}, at: call_timer_fn+0x7a/0x2a0 [117.004450] stack backtrace: [117.004453] CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Tainted: G S U 6.17.0-rc7-CI_DRM_17270-g7644974e648c+ #1 PREEMPT(voluntary) [117.004455] Tainted: [S]=CPU_OUT_OF_SPEC, [U]=USER [117.004455] Hardware name: Intel Corporation Alder Lake Client Platform/AlderLake-P DDR4 RVP, BIOS RPLPFWI1.R00.4035.A00.2301200723 01/20/2023 [117.004456] Call Trace: [117.004456] <IRQ> [117.004457] dump_stack_lvl+0x91/0xf0 [117.004460] dump_stack+0x10/0x20 [117.004461] print_usage_bug.part.0+0x260/0x360 [117.004463] mark_lock+0x76e/0x9c0 [117.004465] ? register_lock_class+0x48/0x4a0 [117.004467] __lock_acquire+0xbc3/0x2860 [117.004469] lock_acquire+0xc4/0x2e0 [117.004470] ? __timer_delete_sync+0x4b/0x190 [117.004472] ? __timer_delete_sync+0x4b/0x190 [117.004473] __timer_delete_sync+0x68/0x190 [117.004474] ? __timer_delete_sync+0x4b/0x190 [117.004475] timer_delete_sync+0x10/0x20 [117.004476] vgem_fence_release+0x19/0x30 [vgem] [117.004478] dma_fence_release+0xc1/0x3b0 [117.004480] ? dma_fence_release+0xa1/0x3b0 [117.004481] dma_fence_chain_release+0xe7/0x130 [117.004483] dma_fence_release+0xc1/0x3b0 [117.004484] ? _raw_spin_unlock_irqrestore+0x27/0x80 [117.004485] dma_fence_chain_irq_work+0x59/0x80 [117.004487] irq_work_single+0x75/0xa0 [117.004490] irq_work_r ---truncated--- Уязвимость функции timer_delete_sync() ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: backlight: led-bl: Add devlink to supplier LEDs LED Backlight is a consumer of one or multiple LED class devices, but devlink is currently unable to create correct supplier-producer links when the supplier is a class device. It creates instead a link where the supplier is the parent of the expected device. One consequence is that removal order is not correctly enforced. Issues happen for example with the following sections in a device tree overlay: // An LED driver chip pca9632@62 { compatible = "nxp,pca9632"; reg = <0x62>; // ... addon_led_pwm: led-pwm@3 { reg = <3>; label = "addon:led:pwm"; }; }; backlight-addon { compatible = "led-backlight"; leds = <&addon_led_pwm>; brightness-levels = <255>; default-brightness-level = <255>; }; In this example, the devlink should be created between the backlight-addon (consumer) and the pca9632@62 (supplier). Instead it is created between the backlight-addon (consumer) and the parent of the pca9632@62, which is typically the I2C bus adapter. On removal of the above overlay, the LED driver can be removed before the backlight device, resulting in: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000010 ... Call trace: led_put+0xe0/0x140 devm_led_release+0x6c/0x98 Another way to reproduce the bug without any device tree overlays is unbinding the LED class device (pca9632@62) before unbinding the consumer (backlight-addon): echo 11-0062 >/sys/bus/i2c/drivers/leds-pca963x/unbind echo ...backlight-dock >/sys/bus/platform/drivers/led-backlight/unbind Fix by adding a devlink between the consuming led-backlight device and the supplying LED device, as other drivers and subsystems do as well. Уязвимость компонента devlink ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtl818x: Fix potential memory leaks in rtl8180_init_rx_ring() In rtl8180_init_rx_ring(), memory is allocated for skb packets and DMA allocations in a loop. When an allocation fails, the previously successful allocations are not freed on exit. Fix that by jumping to err_free_rings label on error, which calls rtl8180_free_rx_ring() to free the allocations. Remove the free of rx_ring in rtl8180_init_rx_ring() error path, and set the freed priv->rx_buf entry to null, to avoid double free. Уязвимость функции rtl8180_init_rx_ring() ядра операционной системы Linux связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: starfive - Correctly handle return of sg_nents_for_len The return value of sg_nents_for_len was assigned to an unsigned long in starfive_hash_digest, causing negative error codes to be converted to large positive integers. Add error checking for sg_nents_for_len and return immediately on failure to prevent potential buffer overflows. Уязвимость функции starfive_hash_digest() ядра операционной системы Linux связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFS: Automounted filesystems should inherit ro,noexec,nodev,sync flags When a filesystem is being automounted, it needs to preserve the user-set superblock mount options, such as the "ro" flag. Уязвимость компонента NFS ядра операционной системы Linux связана с некорректным присваиванием привилегий. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mt76: mt7615: Fix memory leak in mt7615_mcu_wtbl_sta_add() In mt7615_mcu_wtbl_sta_add(), an skb sskb is allocated. If the subsequent call to mt76_connac_mcu_alloc_wtbl_req() fails, the function returns an error without freeing sskb, leading to a memory leak. Fix this by calling dev_kfree_skb() on sskb in the error handling path to ensure it is properly released. Уязвимость функции mt7615_mcu_wtbl_sta_add() ядра операционной системы Linux связана с возможной утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: irqchip/mchp-eic: Fix error code in mchp_eic_domain_alloc() If irq_domain_translate_twocell() sets "hwirq" to >= MCHP_EIC_NIRQ (2) then it results in an out of bounds access. The code checks for invalid values, but doesn't set the error code. Return -EINVAL in that case, instead of returning success. Уязвимость функции mchp_eic_domain_alloc() ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfsplus: Verify inode mode when loading from disk syzbot is reporting that S_IFMT bits of inode->i_mode can become bogus when the S_IFMT bits of the 16bits "mode" field loaded from disk are corrupted. According to [1], the permissions field was treated as reserved in Mac OS 8 and 9. According to [2], the reserved field was explicitly initialized with 0, and that field must remain 0 as long as reserved. Therefore, when the "mode" field is not 0 (i.e. no longer reserved), the file must be S_IFDIR if dir == 1, and the file must be one of S_IFREG/S_IFLNK/S_IFCHR/ S_IFBLK/S_IFIFO/S_IFSOCK if dir == 0. Уязвимость пакета для работы с файловой системой HFS+ hfsplus ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или раскрыть защищаемую информацию [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix return value of f2fs_recover_fsync_data() With below scripts, it will trigger panic in f2fs: mkfs.f2fs -f /dev/vdd mount /dev/vdd /mnt/f2fs touch /mnt/f2fs/foo sync echo 111 >> /mnt/f2fs/foo f2fs_io fsync /mnt/f2fs/foo f2fs_io shutdown 2 /mnt/f2fs umount /mnt/f2fs mount -o ro,norecovery /dev/vdd /mnt/f2fs or mount -o ro,disable_roll_forward /dev/vdd /mnt/f2fs F2FS-fs (vdd): f2fs_recover_fsync_data: recovery fsync data, check_only: 0 F2FS-fs (vdd): Mounted with checkpoint version = 7f5c361f F2FS-fs (vdd): Stopped filesystem due to reason: 0 F2FS-fs (vdd): f2fs_recover_fsync_data: recovery fsync data, check_only: 1 Filesystem f2fs get_tree() didn't set fc->root, returned 1 ------------[ cut here ]------------ kernel BUG at fs/super.c:1761! Oops: invalid opcode: 0000 [#1] SMP PTI CPU: 3 UID: 0 PID: 722 Comm: mount Not tainted 6.18.0-rc2+ #721 PREEMPT(voluntary) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:vfs_get_tree.cold+0x18/0x1a Call Trace: <TASK> fc_mount+0x13/0xa0 path_mount+0x34e/0xc50 __x64_sys_mount+0x121/0x150 do_syscall_64+0x84/0x800 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7fa6cc126cfe The root cause is we missed to handle error number returned from f2fs_recover_fsync_data() when mounting image w/ ro,norecovery or ro,disable_roll_forward mount option, result in returning a positive error number to vfs_get_tree(), fix it. Уязвимость функции f2fs_recover_fsync_data() модуля fs/f2fs/super.c поддержки файловой системы F2FS ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Fix XDP_TX path For XDP_TX action in bnxt_rx_xdp(), clearing of the event flags is not correct. __bnxt_poll_work() -> bnxt_rx_pkt() -> bnxt_rx_xdp() may be looping within NAPI and some event flags may be set in earlier iterations. In particular, if BNXT_TX_EVENT is set earlier indicating some XDP_TX packets are ready and pending, it will be cleared if it is XDP_TX action again. Normally, we will set BNXT_TX_EVENT again when we successfully call __bnxt_xmit_xdp(). But if the TX ring has no more room, the flag will not be set. This will cause the TX producer to be ahead but the driver will not hit the TX doorbell. For multi-buf XDP_TX, there is no need to clear the event flags and set BNXT_AGG_EVENT. The BNXT_AGG_EVENT flag should have been set earlier in bnxt_rx_pkt(). The visible symptom of this is that the RX ring associated with the TX XDP ring will eventually become empty and all packets will be dropped. Because this condition will cause the driver to not refill the RX ring seeing that the TX ring has forever pending XDP_TX packets. The fix is to only clear BNXT_RX_EVENT when we have successfully called __bnxt_xmit_xdp(). Уязвимость функции bnxt_rx_xdp() компонента drivers/net/ethernet/broadcom/bnxt/bnxt_xdp.c драйвера для сетевых адаптеров Broadcom bnxt_en ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix kernel BUG in ocfs2_find_victim_chain syzbot reported a kernel BUG in ocfs2_find_victim_chain() because the `cl_next_free_rec` field of the allocation chain list (next free slot in the chain list) is 0, triggring the BUG_ON(!cl->cl_next_free_rec) condition in ocfs2_find_victim_chain() and panicking the kernel. To fix this, an if condition is introduced in ocfs2_claim_suballoc_bits(), just before calling ocfs2_find_victim_chain(), the code block in it being executed when either of the following conditions is true: 1. `cl_next_free_rec` is equal to 0, indicating that there are no free chains in the allocation chain list 2. `cl_next_free_rec` is greater than `cl_count` (the total number of chains in the allocation chain list) Either of them being true is indicative of the fact that there are no chains left for usage. This is addressed using ocfs2_error(), which prints the error log for debugging purposes, rather than panicking the kernel. Уязвимость функции ocfs2_find_victim_chain() компонента fs/ocfs2/suballoc.c поддержки файловой системы OCFS2 ядра операционной системы Linux связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid updating compression context during writeback Bai, Shuangpeng <sjb7183@psu.edu> reported a bug as below: Oops: divide error: 0000 [#1] SMP KASAN PTI CPU: 0 UID: 0 PID: 11441 Comm: syz.0.46 Not tainted 6.17.0 #1 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:f2fs_all_cluster_page_ready+0x106/0x550 fs/f2fs/compress.c:857 Call Trace: <TASK> f2fs_write_cache_pages fs/f2fs/data.c:3078 [inline] __f2fs_write_data_pages fs/f2fs/data.c:3290 [inline] f2fs_write_data_pages+0x1c19/0x3600 fs/f2fs/data.c:3317 do_writepages+0x38e/0x640 mm/page-writeback.c:2634 filemap_fdatawrite_wbc mm/filemap.c:386 [inline] __filemap_fdatawrite_range mm/filemap.c:419 [inline] file_write_and_wait_range+0x2ba/0x3e0 mm/filemap.c:794 f2fs_do_sync_file+0x6e6/0x1b00 fs/f2fs/file.c:294 generic_write_sync include/linux/fs.h:3043 [inline] f2fs_file_write_iter+0x76e/0x2700 fs/f2fs/file.c:5259 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x7e9/0xe00 fs/read_write.c:686 ksys_write+0x19d/0x2d0 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xf7/0x470 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f The bug was triggered w/ below race condition: fsync setattr ioctl - f2fs_do_sync_file - file_write_and_wait_range - f2fs_write_cache_pages : inode is non-compressed : cc.cluster_size = F2FS_I(inode)->i_cluster_size = 0 - tag_pages_for_writeback - f2fs_setattr - truncate_setsize - f2fs_truncate - f2fs_fileattr_set - f2fs_setflags_common - set_compress_context : F2FS_I(inode)->i_cluster_size = 4 : set_inode_flag(inode, FI_COMPRESSED_FILE) - f2fs_compressed_file : return true - f2fs_all_cluster_page_ready : "pgidx % cc->cluster_size" trigger dividing 0 issue Let's change as below to fix this issue: - introduce a new atomic type variable .writeback in structure f2fs_inode_info to track the number of threads which calling f2fs_write_cache_pages(). - use .i_sem lock to protect .writeback update. - check .writeback before update compression context in f2fs_setflags_common() to avoid race w/ ->writepages. Уязвимость функции функции f2fs_write_cache_pages() модуля fs/f2fs/data.c поддержки файловой системы F2FS ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: fsl-cpm: Check length parity before switching to 16 bit mode Commit fc96ec826bce ("spi: fsl-cpm: Use 16 bit mode for large transfers with even size") failed to make sure that the size is really even before switching to 16 bit mode. Until recently the problem went unnoticed because kernfs uses a pre-allocated bounce buffer of size PAGE_SIZE for reading EEPROM. But commit 8ad6249c51d0 ("eeprom: at25: convert to spi-mem API") introduced an additional dynamically allocated bounce buffer whose size is exactly the size of the transfer, leading to a buffer overrun in the fsl-cpm driver when that size is odd. Add the missing length parity verification and remain in 8 bit mode when the length is not even. Уязвимость модуля drivers/spi/spi-fsl-spi.c драйвера процессора коммуникаций Freescale (CPM) ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfsplus: fix missing hfs_bnode_get() in __hfs_bnode_create When sync() and link() are called concurrently, both threads may enter hfs_bnode_find() without finding the node in the hash table and proceed to create it. Thread A: hfsplus_write_inode() -> hfsplus_write_system_inode() -> hfs_btree_write() -> hfs_bnode_find(tree, 0) -> __hfs_bnode_create(tree, 0) Thread B: hfsplus_create_cat() -> hfs_brec_insert() -> hfs_bnode_split() -> hfs_bmap_alloc() -> hfs_bnode_find(tree, 0) -> __hfs_bnode_create(tree, 0) In this case, thread A creates the bnode, sets refcnt=1, and hashes it. Thread B also tries to create the same bnode, notices it has already been inserted, drops its own instance, and uses the hashed one without getting the node. ``` node2 = hfs_bnode_findhash(tree, cnid); if (!node2) { <- Thread A hash = hfs_bnode_hash(cnid); node->next_hash = tree->node_hash[hash]; tree->node_hash[hash] = node; tree->node_hash_cnt++; } else { <- Thread B spin_unlock(&tree->hash_lock); kfree(node); wait_event(node2->lock_wq, !test_bit(HFS_BNODE_NEW, &node2->flags)); return node2; } ``` However, hfs_bnode_find() requires each call to take a reference. Here both threads end up setting refcnt=1. When they later put the node, this triggers: BUG_ON(!atomic_read(&node->refcnt)) In this scenario, Thread B in fact finds the node in the hash table rather than creating a new one, and thus must take a reference. Fix this by calling hfs_bnode_get() when reusing a bnode newly created by another thread to ensure the refcount is updated correctly. A similar bug was fixed in HFS long ago in commit a9dc087fd3c4 ("fix missing hfs_bnode_get() in __hfs_bnode_create") but the same issue remained in HFS+ until now. Уязвимость функции hfs_bnode_get() модуля fs/hfsplus/bnode.c набора инструментов в Linux для работы с файловой системой HFS+ hfsplus ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/handshake: duplicate handshake cancellations leak socket When a handshake request is cancelled it is removed from the handshake_net->hn_requests list, but it is still present in the handshake_rhashtbl until it is destroyed. If a second cancellation request arrives for the same handshake request, then remove_pending() will return false... and assuming HANDSHAKE_F_REQ_COMPLETED isn't set in req->hr_flags, we'll continue processing through the out_true label, where we put another reference on the sock and a refcount underflow occurs. This can happen for example if a handshake times out - particularly if the SUNRPC client sends the AUTH_TLS probe to the server but doesn't follow it up with the ClientHello due to a problem with tlshd. When the timeout is hit on the server, the server will send a FIN, which triggers a cancellation request via xs_reset_transport(). When the timeout is hit on the client, another cancellation request happens via xs_tls_handshake_sync(). Add a test_and_set_bit(HANDSHAKE_F_REQ_COMPLETED) in the pending cancel path so duplicate cancels can be detected. Уязвимость функции remove_pending() компонента net/handshake реализации механизма установления сеанса безопасности транспортного уровня ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/hsr: fix NULL pointer dereference in prp_get_untagged_frame() prp_get_untagged_frame() calls __pskb_copy() to create frame->skb_std but doesn't check if the allocation failed. If __pskb_copy() returns NULL, skb_clone() is called with a NULL pointer, causing a crash: Oops: general protection fault, probably for non-canonical address 0xdffffc000000000f: 0000 [#1] SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000078-0x000000000000007f] CPU: 0 UID: 0 PID: 5625 Comm: syz.1.18 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:skb_clone+0xd7/0x3a0 net/core/skbuff.c:2041 Code: 03 42 80 3c 20 00 74 08 4c 89 f7 e8 23 29 05 f9 49 83 3e 00 0f 85 a0 01 00 00 e8 94 dd 9d f8 48 8d 6b 7e 49 89 ee 49 c1 ee 03 <43> 0f b6 04 26 84 c0 0f 85 d1 01 00 00 44 0f b6 7d 00 41 83 e7 0c RSP: 0018:ffffc9000d00f200 EFLAGS: 00010207 RAX: ffffffff892235a1 RBX: 0000000000000000 RCX: ffff88803372a480 RDX: 0000000000000000 RSI: 0000000000000820 RDI: 0000000000000000 RBP: 000000000000007e R08: ffffffff8f7d0f77 R09: 1ffffffff1efa1ee R10: dffffc0000000000 R11: fffffbfff1efa1ef R12: dffffc0000000000 R13: 0000000000000820 R14: 000000000000000f R15: ffff88805144cc00 FS: 0000555557f6d500(0000) GS:ffff88808d72f000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000555581d35808 CR3: 000000005040e000 CR4: 0000000000352ef0 Call Trace: <TASK> hsr_forward_do net/hsr/hsr_forward.c:-1 [inline] hsr_forward_skb+0x1013/0x2860 net/hsr/hsr_forward.c:741 hsr_handle_frame+0x6ce/0xa70 net/hsr/hsr_slave.c:84 __netif_receive_skb_core+0x10b9/0x4380 net/core/dev.c:5966 __netif_receive_skb_one_core net/core/dev.c:6077 [inline] __netif_receive_skb+0x72/0x380 net/core/dev.c:6192 netif_receive_skb_internal net/core/dev.c:6278 [inline] netif_receive_skb+0x1cb/0x790 net/core/dev.c:6337 tun_rx_batched+0x1b9/0x730 drivers/net/tun.c:1485 tun_get_user+0x2b65/0x3e90 drivers/net/tun.c:1953 tun_chr_write_iter+0x113/0x200 drivers/net/tun.c:1999 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x5c9/0xb30 fs/read_write.c:686 ksys_write+0x145/0x250 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f0449f8e1ff Code: 89 54 24 18 48 89 74 24 10 89 7c 24 08 e8 f9 92 02 00 48 8b 54 24 18 48 8b 74 24 10 41 89 c0 8b 7c 24 08 b8 01 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 31 44 89 c7 48 89 44 24 08 e8 4c 93 02 00 48 RSP: 002b:00007ffd7ad94c90 EFLAGS: 00000293 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 00007f044a1e5fa0 RCX: 00007f0449f8e1ff RDX: 000000000000003e RSI: 0000200000000500 RDI: 00000000000000c8 RBP: 00007ffd7ad94d20 R08: 0000000000000000 R09: 0000000000000000 R10: 000000000000003e R11: 0000000000000293 R12: 0000000000000001 R13: 00007f044a1e5fa0 R14: 00007f044a1e5fa0 R15: 0000000000000003 </TASK> Add a NULL check immediately after __pskb_copy() to handle allocation failures gracefully. Уязвимость функции prp_get_untagged_frame() модуля net/hsr реализации протокола бесшовного резервирования высокой доступности (HSR) ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Input: ti_am335x_tsc - fix off-by-one error in wire_order validation The current validation 'wire_order[i] > ARRAY_SIZE(config_pins)' allows wire_order[i] to equal ARRAY_SIZE(config_pins), which causes out-of-bounds access when used as index in 'config_pins[wire_order[i]]'. Since config_pins has 4 elements (indices 0-3), the valid range for wire_order should be 0-3. Fix the off-by-one error by using >= instead of > in the validation check. Уязвимость компонента drivers/input/touchscreen/ti_am335x_tsc.c драйвера для интерфейса сенсорного экрана (TSC) ti_am33x_tsc ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или раскрыть защищаемую информацию [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: don't log conflicting inode if it's a dir moved in the current transaction We can't log a conflicting inode if it's a directory and it was moved from one parent directory to another parent directory in the current transaction, as this can result an attempt to have a directory with two hard links during log replay, one for the old parent directory and another for the new parent directory. The following scenario triggers that issue: 1) We have directories "dir1" and "dir2" created in a past transaction. Directory "dir1" has inode A as its parent directory; 2) We move "dir1" to some other directory; 3) We create a file with the name "dir1" in directory inode A; 4) We fsync the new file. This results in logging the inode of the new file and the inode for the directory "dir1" that was previously moved in the current transaction. So the log tree has the INODE_REF item for the new location of "dir1"; 5) We move the new file to some other directory. This results in updating the log tree to included the new INODE_REF for the new location of the file and removes the INODE_REF for the old location. This happens during the rename when we call btrfs_log_new_name(); 6) We fsync the file, and that persists the log tree changes done in the previous step (btrfs_log_new_name() only updates the log tree in memory); 7) We have a power failure; 8) Next time the fs is mounted, log replay happens and when processing the inode for directory "dir1" we find a new INODE_REF and add that link, but we don't remove the old link of the inode since we have not logged the old parent directory of the directory inode "dir1". As a result after log replay finishes when we trigger writeback of the subvolume tree's extent buffers, the tree check will detect that we have a directory a hard link count of 2 and we get a mount failure. The errors and stack traces reported in dmesg/syslog are like this: [ 3845.729764] BTRFS info (device dm-0): start tree-log replay [ 3845.730304] page: refcount:3 mapcount:0 mapping:000000005c8a3027 index:0x1d00 pfn:0x11510c [ 3845.731236] memcg:ffff9264c02f4e00 [ 3845.731751] aops:btree_aops [btrfs] ino:1 [ 3845.732300] flags: 0x17fffc00000400a(uptodate|private|writeback|node=0|zone=2|lastcpupid=0x1ffff) [ 3845.733346] raw: 017fffc00000400a 0000000000000000 dead000000000122 ffff9264d978aea8 [ 3845.734265] raw: 0000000000001d00 ffff92650e6d4738 00000003ffffffff ffff9264c02f4e00 [ 3845.735305] page dumped because: eb page dump [ 3845.735981] BTRFS critical (device dm-0): corrupt leaf: root=5 block=30408704 slot=6 ino=257, invalid nlink: has 2 expect no more than 1 for dir [ 3845.737786] BTRFS info (device dm-0): leaf 30408704 gen 10 total ptrs 17 free space 14881 owner 5 [ 3845.737789] BTRFS info (device dm-0): refs 4 lock_owner 0 current 30701 [ 3845.737792] item 0 key (256 INODE_ITEM 0) itemoff 16123 itemsize 160 [ 3845.737794] inode generation 3 transid 9 size 16 nbytes 16384 [ 3845.737795] block group 0 mode 40755 links 1 uid 0 gid 0 [ 3845.737797] rdev 0 sequence 2 flags 0x0 [ 3845.737798] atime 1764259517.0 [ 3845.737800] ctime 1764259517.572889464 [ 3845.737801] mtime 1764259517.572889464 [ 3845.737802] otime 1764259517.0 [ 3845.737803] item 1 key (256 INODE_REF 256) itemoff 16111 itemsize 12 [ 3845.737805] index 0 name_len 2 [ 3845.737807] item 2 key (256 DIR_ITEM 2363071922) itemoff 16077 itemsize 34 [ 3845.737808] location key (257 1 0) type 2 [ 3845.737810] transid 9 data_len 0 name_len 4 [ 3845.737811] item 3 key (256 DIR_ITEM 2676584006) itemoff 16043 itemsize 34 [ 3845.737813] location key (258 1 0) type 2 [ 3845.737814] transid 9 data_len 0 name_len 4 [ 3845.737815] item 4 key (256 DIR_INDEX 2) itemoff 16009 itemsize 34 [ 3845.737816] location key (257 1 0) type 2 [ ---truncated--- Уязвимость функции btrfs_log_new_name() ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched/deadline: only set free_cpus for online runqueues Commit 16b269436b72 ("sched/deadline: Modify cpudl::free_cpus to reflect rd->online") introduced the cpudl_set/clear_freecpu functions to allow the cpu_dl::free_cpus mask to be manipulated by the deadline scheduler class rq_on/offline callbacks so the mask would also reflect this state. Commit 9659e1eeee28 ("sched/deadline: Remove cpu_active_mask from cpudl_find()") removed the check of the cpu_active_mask to save some processing on the premise that the cpudl::free_cpus mask already reflected the runqueue online state. Unfortunately, there are cases where it is possible for the cpudl_clear function to set the free_cpus bit for a CPU when the deadline runqueue is offline. When this occurs while a CPU is connected to the default root domain the flag may retain the bad state after the CPU has been unplugged. Later, a different CPU that is transitioning through the default root domain may push a deadline task to the powered down CPU when cpudl_find sees its free_cpus bit is set. If this happens the task will not have the opportunity to run. One example is outlined here: https://lore.kernel.org/lkml/20250110233010.2339521-1-opendmb@gmail.com Another occurs when the last deadline task is migrated from a CPU that has an offlined runqueue. The dequeue_task member of the deadline scheduler class will eventually call cpudl_clear and set the free_cpus bit for the CPU. This commit modifies the cpudl_clear function to be aware of the online state of the deadline runqueue so that the free_cpus mask can be updated appropriately. It is no longer necessary to manage the mask outside of the cpudl_set/clear functions so the cpudl_set/clear_freecpu functions are removed. In addition, since the free_cpus mask is now only updated under the cpudl lock the code was changed to use the non-atomic __cpumask functions. Уязвимость модулей kernel/sched/cpudeadline.c, kernel/sched/cpudeadline.h, kernel/sched/deadline.c ядра операционной системы Linux связана с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: phy: fsl-usb: Fix use-after-free in delayed work during device removal The delayed work item otg_event is initialized in fsl_otg_conf() and scheduled under two conditions: 1. When a host controller binds to the OTG controller. 2. When the USB ID pin state changes (cable insertion/removal). A race condition occurs when the device is removed via fsl_otg_remove(): the fsl_otg instance may be freed while the delayed work is still pending or executing. This leads to use-after-free when the work function fsl_otg_event() accesses the already freed memory. The problematic scenario: (detach thread) | (delayed work) fsl_otg_remove() | kfree(fsl_otg_dev) //FREE| fsl_otg_event() | og = container_of(...) //USE | og-> //USE Fix this by calling disable_delayed_work_sync() in fsl_otg_remove() before deallocating the fsl_otg structure. This ensures the delayed work is properly canceled and completes execution prior to memory deallocation. This bug was identified through static analysis. Уязвимость функции fsl_otg_remove() модуля drivers/usb/phy/phy-fsl-usb.c ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: target: Reset t_task_cdb pointer in error case If allocation of cmd->t_task_cdb fails, it remains NULL but is later dereferenced in the 'err' path. In case of error, reset NULL t_task_cdb value to point at the default fixed-size buffer. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость модуля drivers/target/target_core_transport.c драйвера поддержки устройств SCSI ядра операционной системы Linux связана с ошибками разыменования указателя t_task_cdb. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-mixer: us16x08: validate meter packet indices get_meter_levels_from_urb() parses the 64-byte meter packets sent by the device and fills the per-channel arrays meter_level[], comp_level[] and master_level[] in struct snd_us16x08_meter_store. Currently the function derives the channel index directly from the meter packet (MUB2(meter_urb, s) - 1) and uses it to index those arrays without validating the range. If the packet contains a negative or out-of-range channel number, the driver may write past the end of these arrays. Introduce a local channel variable and validate it before updating the arrays. We reject negative indices, limit meter_level[] and comp_level[] to SND_US16X08_MAX_CHANNELS, and guard master_level[] updates with ARRAY_SIZE(master_level). Уязвимость функции get_meter_levels_from_urb() модуля sound/usb/mixer_us16x08.c ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfs: fix a UAF problem in xattr repair The xchk_setup_xattr_buf function can allocate a new value buffer, which means that any reference to ab->value before the call could become a dangling pointer. Fix this by moving an assignment to after the buffer setup. Уязвимость функции xchk_setup_xattr_buf() модуля fs/xfs/scrub/attr_repair.c ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: openvswitch: fix middle attribute validation in push_nsh() action The push_nsh() action structure looks like this: OVS_ACTION_ATTR_PUSH_NSH(OVS_KEY_ATTR_NSH(OVS_NSH_KEY_ATTR_BASE,...)) The outermost OVS_ACTION_ATTR_PUSH_NSH attribute is OK'ed by the nla_for_each_nested() inside __ovs_nla_copy_actions(). The innermost OVS_NSH_KEY_ATTR_BASE/MD1/MD2 are OK'ed by the nla_for_each_nested() inside nsh_key_put_from_nlattr(). But nothing checks if the attribute in the middle is OK. We don't even check that this attribute is the OVS_KEY_ATTR_NSH. We just do a double unwrap with a pair of nla_data() calls - first time directly while calling validate_push_nsh() and the second time as part of the nla_for_each_nested() macro, which isn't safe, potentially causing invalid memory access if the size of this attribute is incorrect. The failure may not be noticed during validation due to larger netlink buffer, but cause trouble later during action execution where the buffer is allocated exactly to the size: BUG: KASAN: slab-out-of-bounds in nsh_hdr_from_nlattr+0x1dd/0x6a0 [openvswitch] Read of size 184 at addr ffff88816459a634 by task a.out/22624 CPU: 8 UID: 0 PID: 22624 6.18.0-rc7+ #115 PREEMPT(voluntary) Call Trace: <TASK> dump_stack_lvl+0x51/0x70 print_address_description.constprop.0+0x2c/0x390 kasan_report+0xdd/0x110 kasan_check_range+0x35/0x1b0 __asan_memcpy+0x20/0x60 nsh_hdr_from_nlattr+0x1dd/0x6a0 [openvswitch] push_nsh+0x82/0x120 [openvswitch] do_execute_actions+0x1405/0x2840 [openvswitch] ovs_execute_actions+0xd5/0x3b0 [openvswitch] ovs_packet_cmd_execute+0x949/0xdb0 [openvswitch] genl_family_rcv_msg_doit+0x1d6/0x2b0 genl_family_rcv_msg+0x336/0x580 genl_rcv_msg+0x9f/0x130 netlink_rcv_skb+0x11f/0x370 genl_rcv+0x24/0x40 netlink_unicast+0x73e/0xaa0 netlink_sendmsg+0x744/0xbf0 __sys_sendto+0x3d6/0x450 do_syscall_64+0x79/0x2c0 entry_SYSCALL_64_after_hwframe+0x76/0x7e </TASK> Let's add some checks that the attribute is properly sized and it's the only one attribute inside the action. Technically, there is no real reason for OVS_KEY_ATTR_NSH to be there, as we know that we're pushing an NSH header already, it just creates extra nesting, but that's how uAPI works today. So, keeping as it is. Уязвимость функции push_nsh() ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: skip lock-range check on equal size to avoid size==0 underflow When size equals the current i_size (including 0), the code used to call check_lock_range(filp, i_size, size - 1, WRITE), which computes `size - 1` and can underflow for size==0. Skip the equal case. Уязвимость функции check_lock_range() модуля fs/smb/server/vfs.c ядра операционной системы Linux с некорректной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netrom: Fix memory leak in nr_sendmsg() syzbot reported a memory leak [1]. When function sock_alloc_send_skb() return NULL in nr_output(), the original skb is not freed, which was allocated in nr_sendmsg(). Fix this by freeing it before return. [1] BUG: memory leak unreferenced object 0xffff888129f35500 (size 240): comm "syz.0.17", pid 6119, jiffies 4294944652 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 00 00 00 00 00 00 00 00 00 10 52 28 81 88 ff ff ..........R(.... backtrace (crc 1456a3e4): kmemleak_alloc_recursive include/linux/kmemleak.h:44 [inline] slab_post_alloc_hook mm/slub.c:4983 [inline] slab_alloc_node mm/slub.c:5288 [inline] kmem_cache_alloc_node_noprof+0x36f/0x5e0 mm/slub.c:5340 __alloc_skb+0x203/0x240 net/core/skbuff.c:660 alloc_skb include/linux/skbuff.h:1383 [inline] alloc_skb_with_frags+0x69/0x3f0 net/core/skbuff.c:6671 sock_alloc_send_pskb+0x379/0x3e0 net/core/sock.c:2965 sock_alloc_send_skb include/net/sock.h:1859 [inline] nr_sendmsg+0x287/0x450 net/netrom/af_netrom.c:1105 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg net/socket.c:742 [inline] sock_write_iter+0x293/0x2a0 net/socket.c:1195 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x45d/0x710 fs/read_write.c:686 ksys_write+0x143/0x170 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xa4/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции nr_sendmsg() модуля net/netrom/nr_out.c ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fsnotify: do not generate ACCESS/MODIFY events on child for special files inotify/fanotify do not allow users with no read access to a file to subscribe to events (e.g. IN_ACCESS/IN_MODIFY), but they do allow the same user to subscribe for watching events on children when the user has access to the parent directory (e.g. /dev). Users with no read access to a file but with read access to its parent directory can still stat the file and see if it was accessed/modified via atime/mtime change. The same is not true for special files (e.g. /dev/null). Users will not generally observe atime/mtime changes when other users read/write to special files, only when someone sets atime/mtime via utimensat(). Align fsnotify events with this stat behavior and do not generate ACCESS/MODIFY events to parent watchers on read/write of special files. The events are still generated to parent watchers on utimensat(). This closes some side-channels that could be possibly used for information exfiltration [1]. [1] https://snee.la/pdf/pubs/file-notification-attacks.pdf Уязвимость модуля fs/notify/fsnotify.c ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tpm2-sessions: Fix out of range indexing in name_size 'name_size' does not have any range checks, and it just directly indexes with TPM_ALG_ID, which could lead into memory corruption at worst. Address the issue by only processing known values and returning -EINVAL for unrecognized values. Make also 'tpm_buf_append_name' and 'tpm_buf_fill_hmac_session' fallible so that errors are detected before causing any spurious TPM traffic. End also the authorization session on failure in both of the functions, as the session state would be then by definition corrupted. Уязвимость функции name_size() ядра операционной системы Linux связана с некорректным индексированием массива. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iomap: adjust read range correctly for non-block-aligned positions iomap_adjust_read_range() assumes that the position and length passed in are block-aligned. This is not always the case however, as shown in the syzbot generated case for erofs. This causes too many bytes to be skipped for uptodate blocks, which results in returning the incorrect position and length to read in. If all the blocks are uptodate, this underflows length and returns a position beyond the folio. Fix the calculation to also take into account the block offset when calculating how many bytes can be skipped for uptodate blocks. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ethtool: Avoid overflowing userspace buffer on stats query The ethtool -S command operates across three ioctl calls: ETHTOOL_GSSET_INFO for the size, ETHTOOL_GSTRINGS for the names, and ETHTOOL_GSTATS for the values. If the number of stats changes between these calls (e.g., due to device reconfiguration), userspace's buffer allocation will be incorrect, potentially leading to buffer overflow. Drivers are generally expected to maintain stable stat counts, but some drivers (e.g., mlx5, bnx2x, bna, ksz884x) use dynamic counters, making this scenario possible. Some drivers try to handle this internally: - bnad_get_ethtool_stats() returns early in case stats.n_stats is not equal to the driver's stats count. - micrel/ksz884x also makes sure not to write anything beyond stats.n_stats and overflow the buffer. However, both use stats.n_stats which is already assigned with the value returned from get_sset_count(), hence won't solve the issue described here. Change ethtool_get_strings(), ethtool_get_stats(), ethtool_get_phy_stats() to not return anything in case of a mismatch between userspace's size and get_sset_size(), to prevent buffer overflow. The returned n_stats value will be equal to zero, to reflect that nothing has been returned. This could result in one of two cases when using upstream ethtool, depending on when the size change is detected: 1. When detected in ethtool_get_strings(): # ethtool -S eth2 no stats available 2. When detected in get stats, all stats will be reported as zero. Both cases are presumably transient, and a subsequent ethtool call should succeed. Other than the overflow avoidance, these two cases are very evident (no output/cleared stats), which is arguably better than presenting incorrect/shifted stats. I also considered returning an error instead of a "silent" response, but that seems more destructive towards userspace apps. Notes: - This patch does not claim to fix the inherent race, it only makes sure that we do not overflow the userspace buffer, and makes for a more predictable behavior. - RTNL lock is held during each ioctl, the race window exists between the separate ioctl calls when the lock is released. - Userspace ethtool always fills stats.n_stats, but it is likely that these stats ioctls are implemented in other userspace applications which might not fill it. The added code checks that it's not zero, to prevent any regressions. Уязвимость функции bnad_get_ethtool_stats() ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid updating zero-sized extent in extent cache As syzbot reported: F2FS-fs (loop0): __update_extent_tree_range: extent len is zero, type: 0, extent [0, 0, 0], age [0, 0] ------------[ cut here ]------------ kernel BUG at fs/f2fs/extent_cache.c:678! Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI CPU: 0 UID: 0 PID: 5336 Comm: syz.0.0 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:__update_extent_tree_range+0x13bc/0x1500 fs/f2fs/extent_cache.c:678 Call Trace: <TASK> f2fs_update_read_extent_cache_range+0x192/0x3e0 fs/f2fs/extent_cache.c:1085 f2fs_do_zero_range fs/f2fs/file.c:1657 [inline] f2fs_zero_range+0x10c1/0x1580 fs/f2fs/file.c:1737 f2fs_fallocate+0x583/0x990 fs/f2fs/file.c:2030 vfs_fallocate+0x669/0x7e0 fs/open.c:342 ioctl_preallocate fs/ioctl.c:289 [inline] file_ioctl+0x611/0x780 fs/ioctl.c:-1 do_vfs_ioctl+0xb33/0x1430 fs/ioctl.c:576 __do_sys_ioctl fs/ioctl.c:595 [inline] __se_sys_ioctl+0x82/0x170 fs/ioctl.c:583 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xfa/0x3b0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f07bc58eec9 In error path of f2fs_zero_range(), it may add a zero-sized extent into extent cache, it should be avoided. Уязвимость функции f2fs_zero_range() ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: char: applicom: fix NULL pointer dereference in ac_ioctl Discovered by Atuin - Automated Vulnerability Discovery Engine. In ac_ioctl, the validation of IndexCard and the check for a valid RamIO pointer are skipped when cmd is 6. However, the function unconditionally executes readb(apbs[IndexCard].RamIO + VERS) at the end. If cmd is 6, IndexCard may reference a board that does not exist (where RamIO is NULL), leading to a NULL pointer dereference. Fix this by skipping the readb access when cmd is 6, as this command is a global information query and does not target a specific board context. Уязвимость функции ac_ioctl() ядра операционной системы Linux связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf/x86/amd: Check event before enable to avoid GPF On AMD machines cpuc->events[idx] can become NULL in a subtle race condition with NMI->throttle->x86_pmu_stop(). Check event for NULL in amd_pmu_enable_all() before enable to avoid a GPF. This appears to be an AMD only issue. Syzkaller reported a GPF in amd_pmu_enable_all. INFO: NMI handler (perf_event_nmi_handler) took too long to run: 13.143 msecs Oops: general protection fault, probably for non-canonical address 0xdffffc0000000034: 0000 PREEMPT SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x00000000000001a0-0x00000000000001a7] CPU: 0 UID: 0 PID: 328415 Comm: repro_36674776 Not tainted 6.12.0-rc1-syzk RIP: 0010:x86_pmu_enable_event (arch/x86/events/perf_event.h:1195 arch/x86/events/core.c:1430) RSP: 0018:ffff888118009d60 EFLAGS: 00010012 RAX: dffffc0000000000 RBX: 0000000000000000 RCX: 0000000000000000 RDX: 0000000000000034 RSI: 0000000000000000 RDI: 00000000000001a0 RBP: 0000000000000001 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000000 R12: 0000000000000002 R13: ffff88811802a440 R14: ffff88811802a240 R15: ffff8881132d8601 FS: 00007f097dfaa700(0000) GS:ffff888118000000(0000) GS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000200001c0 CR3: 0000000103d56000 CR4: 00000000000006f0 Call Trace: <IRQ> amd_pmu_enable_all (arch/x86/events/amd/core.c:760 (discriminator 2)) x86_pmu_enable (arch/x86/events/core.c:1360) event_sched_out (kernel/events/core.c:1191 kernel/events/core.c:1186 kernel/events/core.c:2346) __perf_remove_from_context (kernel/events/core.c:2435) event_function (kernel/events/core.c:259) remote_function (kernel/events/core.c:92 (discriminator 1) kernel/events/core.c:72 (discriminator 1)) __flush_smp_call_function_queue (./arch/x86/include/asm/jump_label.h:27 ./include/linux/jump_label.h:207 ./include/trace/events/csd.h:64 kernel/smp.c:135 kernel/smp.c:540) __sysvec_call_function_single (./arch/x86/include/asm/jump_label.h:27 ./include/linux/jump_label.h:207 ./arch/x86/include/asm/trace/irq_vectors.h:99 arch/x86/kernel/smp.c:272) sysvec_call_function_single (arch/x86/kernel/smp.c:266 (discriminator 47) arch/x86/kernel/smp.c:266 (discriminator 47)) </IRQ> Уязвимость функции x86_pmu_stop() ядра операционной системы Linux связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: caif: fix integer underflow in cffrml_receive() The cffrml_receive() function extracts a length field from the packet header and, when FCS is disabled, subtracts 2 from this length without validating that len >= 2. If an attacker sends a malicious packet with a length field of 0 or 1 to an interface with FCS disabled, the subtraction causes an integer underflow. This can lead to memory exhaustion and kernel instability, potential information disclosure if padding contains uninitialized kernel memory. Fix this by validating that len >= 2 before performing the subtraction. Уязвимость функции cffrml_receive() ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=8.1) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mlxsw: spectrum_mr: Fix use-after-free when updating multicast route stats Cited commit added a dedicated mutex (instead of RTNL) to protect the multicast route list, so that it will not change while the driver periodically traverses it in order to update the kernel about multicast route stats that were queried from the device. One instance of list entry deletion (during route replace) was missed and it can result in a use-after-free [1]. Fix by acquiring the mutex before deleting the entry from the list and releasing it afterwards. [1] BUG: KASAN: slab-use-after-free in mlxsw_sp_mr_stats_update+0x4a5/0x540 drivers/net/ethernet/mellanox/mlxsw/spectrum_mr.c:1006 [mlxsw_spectrum] Read of size 8 at addr ffff8881523c2fa8 by task kworker/2:5/22043 CPU: 2 UID: 0 PID: 22043 Comm: kworker/2:5 Not tainted 6.18.0-rc1-custom-g1a3d6d7cd014 #1 PREEMPT(full) Hardware name: Mellanox Technologies Ltd. MSN2010/SA002610, BIOS 5.6.5 08/24/2017 Workqueue: mlxsw_core mlxsw_sp_mr_stats_update [mlxsw_spectrum] Call Trace: <TASK> dump_stack_lvl+0xba/0x110 print_report+0x174/0x4f5 kasan_report+0xdf/0x110 mlxsw_sp_mr_stats_update+0x4a5/0x540 drivers/net/ethernet/mellanox/mlxsw/spectrum_mr.c:1006 [mlxsw_spectrum] process_one_work+0x9cc/0x18e0 worker_thread+0x5df/0xe40 kthread+0x3b8/0x730 ret_from_fork+0x3e9/0x560 ret_from_fork_asm+0x1a/0x30 </TASK> Allocated by task 29933: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x8f/0xa0 mlxsw_sp_mr_route_add+0xd8/0x4770 [mlxsw_spectrum] mlxsw_sp_router_fibmr_event_work+0x371/0xad0 drivers/net/ethernet/mellanox/mlxsw/spectrum_router.c:7965 [mlxsw_spectrum] process_one_work+0x9cc/0x18e0 worker_thread+0x5df/0xe40 kthread+0x3b8/0x730 ret_from_fork+0x3e9/0x560 ret_from_fork_asm+0x1a/0x30 Freed by task 29933: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_save_free_info+0x3b/0x70 __kasan_slab_free+0x43/0x70 kfree+0x14e/0x700 mlxsw_sp_mr_route_add+0x2dea/0x4770 drivers/net/ethernet/mellanox/mlxsw/spectrum_mr.c:444 [mlxsw_spectrum] mlxsw_sp_router_fibmr_event_work+0x371/0xad0 drivers/net/ethernet/mellanox/mlxsw/spectrum_router.c:7965 [mlxsw_spectrum] process_one_work+0x9cc/0x18e0 worker_thread+0x5df/0xe40 kthread+0x3b8/0x730 ret_from_fork+0x3e9/0x560 ret_from_fork_asm+0x1a/0x30 Уязвимость функции spectrum_mr() ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mlxsw: spectrum_router: Fix neighbour use-after-free We sometimes observe use-after-free when dereferencing a neighbour [1]. The problem seems to be that the driver stores a pointer to the neighbour, but without holding a reference on it. A reference is only taken when the neighbour is used by a nexthop. Fix by simplifying the reference counting scheme. Always take a reference when storing a neighbour pointer in a neighbour entry. Avoid taking a referencing when the neighbour is used by a nexthop as the neighbour entry associated with the nexthop already holds a reference. Tested by running the test that uncovered the problem over 300 times. Without this patch the problem was reproduced after a handful of iterations. [1] BUG: KASAN: slab-use-after-free in mlxsw_sp_neigh_entry_update+0x2d4/0x310 Read of size 8 at addr ffff88817f8e3420 by task ip/3929 CPU: 3 UID: 0 PID: 3929 Comm: ip Not tainted 6.18.0-rc4-virtme-g36b21a067510 #3 PREEMPT(full) Hardware name: Nvidia SN5600/VMOD0013, BIOS 5.13 05/31/2023 Call Trace: <TASK> dump_stack_lvl+0x6f/0xa0 print_address_description.constprop.0+0x6e/0x300 print_report+0xfc/0x1fb kasan_report+0xe4/0x110 mlxsw_sp_neigh_entry_update+0x2d4/0x310 mlxsw_sp_router_rif_gone_sync+0x35f/0x510 mlxsw_sp_rif_destroy+0x1ea/0x730 mlxsw_sp_inetaddr_port_vlan_event+0xa1/0x1b0 __mlxsw_sp_inetaddr_lag_event+0xcc/0x130 __mlxsw_sp_inetaddr_event+0xf5/0x3c0 mlxsw_sp_router_netdevice_event+0x1015/0x1580 notifier_call_chain+0xcc/0x150 call_netdevice_notifiers_info+0x7e/0x100 __netdev_upper_dev_unlink+0x10b/0x210 netdev_upper_dev_unlink+0x79/0xa0 vrf_del_slave+0x18/0x50 do_set_master+0x146/0x7d0 do_setlink.isra.0+0x9a0/0x2880 rtnl_newlink+0x637/0xb20 rtnetlink_rcv_msg+0x6fe/0xb90 netlink_rcv_skb+0x123/0x380 netlink_unicast+0x4a3/0x770 netlink_sendmsg+0x75b/0xc90 __sock_sendmsg+0xbe/0x160 ____sys_sendmsg+0x5b2/0x7d0 ___sys_sendmsg+0xfd/0x180 __sys_sendmsg+0x124/0x1c0 do_syscall_64+0xbb/0xfd0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 [...] Allocated by task 109: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x7b/0x90 __kmalloc_noprof+0x2c1/0x790 neigh_alloc+0x6af/0x8f0 ___neigh_create+0x63/0xe90 mlxsw_sp_nexthop_neigh_init+0x430/0x7e0 mlxsw_sp_nexthop_type_init+0x212/0x960 mlxsw_sp_nexthop6_group_info_init.constprop.0+0x81f/0x1280 mlxsw_sp_nexthop6_group_get+0x392/0x6a0 mlxsw_sp_fib6_entry_create+0x46a/0xfd0 mlxsw_sp_router_fib6_replace+0x1ed/0x5f0 mlxsw_sp_router_fib6_event_work+0x10a/0x2a0 process_one_work+0xd57/0x1390 worker_thread+0x4d6/0xd40 kthread+0x355/0x5b0 ret_from_fork+0x1d4/0x270 ret_from_fork_asm+0x11/0x20 Freed by task 154: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_save_free_info+0x3b/0x60 __kasan_slab_free+0x43/0x70 kmem_cache_free_bulk.part.0+0x1eb/0x5e0 kvfree_rcu_bulk+0x1f2/0x260 kfree_rcu_work+0x130/0x1b0 process_one_work+0xd57/0x1390 worker_thread+0x4d6/0xd40 kthread+0x355/0x5b0 ret_from_fork+0x1d4/0x270 ret_from_fork_asm+0x11/0x20 Last potentially related work creation: kasan_save_stack+0x30/0x50 kasan_record_aux_stack+0x8c/0xa0 kvfree_call_rcu+0x93/0x5b0 mlxsw_sp_router_neigh_event_work+0x67d/0x860 process_one_work+0xd57/0x1390 worker_thread+0x4d6/0xd40 kthread+0x355/0x5b0 ret_from_fork+0x1d4/0x270 ret_from_fork_asm+0x11/0x20 Уязвимость компонента drivers/net/ethernet/mellanox/mlxsw/spectrum_router.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe: Limit num_syncs to prevent oversized allocations The exec and vm_bind ioctl allow userspace to specify an arbitrary num_syncs value. Without bounds checking, a very large num_syncs can force an excessively large allocation, leading to kernel warnings from the page allocator as below. Introduce DRM_XE_MAX_SYNCS (set to 1024) and reject any request exceeding this limit. " ------------[ cut here ]------------ WARNING: CPU: 0 PID: 1217 at mm/page_alloc.c:5124 __alloc_frozen_pages_noprof+0x2f8/0x2180 mm/page_alloc.c:5124 ... Call Trace: <TASK> alloc_pages_mpol+0xe4/0x330 mm/mempolicy.c:2416 ___kmalloc_large_node+0xd8/0x110 mm/slub.c:4317 __kmalloc_large_node_noprof+0x18/0xe0 mm/slub.c:4348 __do_kmalloc_node mm/slub.c:4364 [inline] __kmalloc_noprof+0x3d4/0x4b0 mm/slub.c:4388 kmalloc_noprof include/linux/slab.h:909 [inline] kmalloc_array_noprof include/linux/slab.h:948 [inline] xe_exec_ioctl+0xa47/0x1e70 drivers/gpu/drm/xe/xe_exec.c:158 drm_ioctl_kernel+0x1f1/0x3e0 drivers/gpu/drm/drm_ioctl.c:797 drm_ioctl+0x5e7/0xc50 drivers/gpu/drm/drm_ioctl.c:894 xe_drm_ioctl+0x10b/0x170 drivers/gpu/drm/xe/xe_device.c:224 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:598 [inline] __se_sys_ioctl fs/ioctl.c:584 [inline] __x64_sys_ioctl+0x18b/0x210 fs/ioctl.c:584 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xbb/0x380 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f ... " v2: Add "Reported-by" and Cc stable kernels. v3: Change XE_MAX_SYNCS from 64 to 1024. (Matt & Ashutosh) v4: s/XE_MAX_SYNCS/DRM_XE_MAX_SYNCS/ (Matt) v5: Do the check at the top of the exec func. (Matt) (cherry picked from commit b07bac9bd708ec468cd1b8a5fe70ae2ac9b0a11c) Уязвимость модулей drivers/gpu/drm/xe/xe_exec.c, drivers/gpu/drm/xe/xe_vm.c и include/uapi/drm/xe_drm.h ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFSD: NFSv4 file creation neglects setting ACL An NFSv4 client that sets an ACL with a named principal during file creation retrieves the ACL afterwards, and finds that it is only a default ACL (based on the mode bits) and not the ACL that was requested during file creation. This violates RFC 8881 section 6.4.1.3: "the ACL attribute is set as given". The issue occurs in nfsd_create_setattr(), which calls nfsd_attrs_valid() to determine whether to call nfsd_setattr(). However, nfsd_attrs_valid() checks only for iattr changes and security labels, but not POSIX ACLs. When only an ACL is present, the function returns false, nfsd_setattr() is skipped, and the POSIX ACL is never applied to the inode. Subsequently, when the client retrieves the ACL, the server finds no POSIX ACL on the inode and returns one generated from the file's mode bits rather than returning the originally-specified ACL. Уязвимость функции nfsd_create_setattr() ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=8.0) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/chrome: cros_ec_ishtp: Fix UAF after unbinding driver After unbinding the driver, another kthread `cros_ec_console_log_work` is still accessing the device, resulting an UAF and crash. The driver doesn't unregister the EC device in .remove() which should shutdown sub-devices synchronously. Fix it. Уязвимость компонента drivers/platform/chrome/cros_ec_ishtp.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None Для устранения угрозы эксплуатации уязвимости CVE-2025-68804 необходимо запретить загрузку модуля `cros_ec_ishtp.ko` в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль `cros_ec_ishtp` в ядро системы, для этого выполнить одну из команд: `lsmod | grep cros_ec_ishtp` или `kmod list | grep cros_ec_ishtp` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля `cros_ec_ishtp.ko`: `sudo rmmod cros_ec_ishtp` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл `/etc/modprobe.d/blacklist.local.conf` или файл `/etc/modprobe.d/disable-cros_ec_ishtp.conf`. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install cros_ec_ishtp /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix buffer validation by including null terminator size in EA length The smb2_set_ea function, which handles Extended Attributes (EA), was performing buffer validation checks that incorrectly omitted the size of the null terminating character (+1 byte) for EA Name. This patch fixes the issue by explicitly adding '+ 1' to EaNameLength where the null terminator is expected to be present in the buffer, ensuring the validation accurately reflects the total required buffer size. Уязвимость функции smb2_set_ea() компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Для устранения угрозы эксплуатации уязвимости CVE-2025-68806 необходимо запретить загрузку модуля ksmbd.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль ksmbd в ядро системы, для этого выполнить одну из команд: `lsmod | grep ksmbd` или `kmod list | grep ksmbd` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля ksmbd: `sudo rmmod ksmbd` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-ksmbd.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install ksmbd /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: vidtv: initialize local pointers upon transfer of memory ownership vidtv_channel_si_init() creates a temporary list (program, service, event) and ownership of the memory itself is transferred to the PAT/SDT/EIT tables through vidtv_psi_pat_program_assign(), vidtv_psi_sdt_service_assign(), vidtv_psi_eit_event_assign(). The problem here is that the local pointer where the memory ownership transfer was completed is not initialized to NULL. This causes the vidtv_psi_pmt_create_sec_for_each_pat_entry() function to fail, and in the flow that jumps to free_eit, the memory that was freed by vidtv_psi_*_table_destroy() can be accessed again by vidtv_psi_*_event_destroy() due to the uninitialized local pointer, so it is freed once again. Therefore, to prevent use-after-free and double-free vulnerability, local pointers must be initialized to NULL when transferring memory ownership. Уязвимость функции vidtv_channel_si_init() компонента drivers/media/test-drivers/vidtv/vidtv_channel.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: vfs: fix race on m_flags in vfs_cache ksmbd maintains delete-on-close and pending-delete state in ksmbd_inode->m_flags. In vfs_cache.c this field is accessed under inconsistent locking: some paths read and modify m_flags under ci->m_lock while others do so without taking the lock at all. Examples: - ksmbd_query_inode_status() and __ksmbd_inode_close() use ci->m_lock when checking or updating m_flags. - ksmbd_inode_pending_delete(), ksmbd_set_inode_pending_delete(), ksmbd_clear_inode_pending_delete() and ksmbd_fd_set_delete_on_close() used to read and modify m_flags without ci->m_lock. This creates a potential data race on m_flags when multiple threads open, close and delete the same file concurrently. In the worst case delete-on-close and pending-delete bits can be lost or observed in an inconsistent state, leading to confusing delete semantics (files that stay on disk after delete-on-close, or files that disappear while still in use). Fix it by: - Making ksmbd_query_inode_status() look at m_flags under ci->m_lock after dropping inode_hash_lock. - Adding ci->m_lock protection to all helpers that read or modify m_flags (ksmbd_inode_pending_delete(), ksmbd_set_inode_pending_delete(), ksmbd_clear_inode_pending_delete(), ksmbd_fd_set_delete_on_close()). - Keeping the existing ci->m_lock protection in __ksmbd_inode_close(), and moving the actual unlink/xattr removal outside the lock. This unifies the locking around m_flags and removes the data race while preserving the existing delete-on-close behaviour. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: Disallow toggling KVM_MEM_GUEST_MEMFD on an existing memslot Reject attempts to disable KVM_MEM_GUEST_MEMFD on a memslot that was initially created with a guest_memfd binding, as KVM doesn't support toggling KVM_MEM_GUEST_MEMFD on existing memslots. KVM prevents enabling KVM_MEM_GUEST_MEMFD, but doesn't prevent clearing the flag. Failure to reject the new memslot results in a use-after-free due to KVM not unbinding from the guest_memfd instance. Unbinding on a FLAGS_ONLY change is easy enough, and can/will be done as a hardening measure (in anticipation of KVM supporting dirty logging on guest_memfd at some point), but fixing the use-after-free would only address the immediate symptom. ================================================================== BUG: KASAN: slab-use-after-free in kvm_gmem_release+0x362/0x400 [kvm] Write of size 8 at addr ffff8881111ae908 by task repro/745 CPU: 7 UID: 1000 PID: 745 Comm: repro Not tainted 6.18.0-rc6-115d5de2eef3-next-kasan #3 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 0.0.0 02/06/2015 Call Trace: <TASK> dump_stack_lvl+0x51/0x60 print_report+0xcb/0x5c0 kasan_report+0xb4/0xe0 kvm_gmem_release+0x362/0x400 [kvm] __fput+0x2fa/0x9d0 task_work_run+0x12c/0x200 do_exit+0x6ae/0x2100 do_group_exit+0xa8/0x230 __x64_sys_exit_group+0x3a/0x50 x64_sys_call+0x737/0x740 do_syscall_64+0x5b/0x900 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x7f581f2eac31 </TASK> Allocated by task 745 on cpu 6 at 9.746971s: kasan_save_stack+0x20/0x40 kasan_save_track+0x13/0x50 __kasan_kmalloc+0x77/0x90 kvm_set_memory_region.part.0+0x652/0x1110 [kvm] kvm_vm_ioctl+0x14b0/0x3290 [kvm] __x64_sys_ioctl+0x129/0x1a0 do_syscall_64+0x5b/0x900 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Freed by task 745 on cpu 6 at 9.747467s: kasan_save_stack+0x20/0x40 kasan_save_track+0x13/0x50 __kasan_save_free_info+0x37/0x50 __kasan_slab_free+0x3b/0x60 kfree+0xf5/0x440 kvm_set_memslot+0x3c2/0x1160 [kvm] kvm_set_memory_region.part.0+0x86a/0x1110 [kvm] kvm_vm_ioctl+0x14b0/0x3290 [kvm] __x64_sys_ioctl+0x129/0x1a0 do_syscall_64+0x5b/0x900 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Уязвимость компонента kvm ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: svcrdma: use rc_pageoff for memcpy byte offset svc_rdma_copy_inline_range added rc_curpage (page index) to the page base instead of the byte offset rc_pageoff. Use rc_pageoff so copies land within the current page. Found by ZeroPath (https://zeropath.com) Уязвимость ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipvs: fix ipv4 null-ptr-deref in route error path The IPv4 code path in __ip_vs_get_out_rt() calls dst_link_failure() without ensuring skb->dev is set, leading to a NULL pointer dereference in fib_compute_spec_dst() when ipv4_link_failure() attempts to send ICMP destination unreachable messages. The issue emerged after commit ed0de45a1008 ("ipv4: recompile ip options in ipv4_link_failure") started calling __ip_options_compile() from ipv4_link_failure(). This code path eventually calls fib_compute_spec_dst() which dereferences skb->dev. An attempt was made to fix the NULL skb->dev dereference in commit 0113d9c9d1cc ("ipv4: fix null-deref in ipv4_link_failure"), but it only addressed the immediate dev_net(skb->dev) dereference by using a fallback device. The fix was incomplete because fib_compute_spec_dst() later in the call chain still accesses skb->dev directly, which remains NULL when IPVS calls dst_link_failure(). The crash occurs when: 1. IPVS processes a packet in NAT mode with a misconfigured destination 2. Route lookup fails in __ip_vs_get_out_rt() before establishing a route 3. The error path calls dst_link_failure(skb) with skb->dev == NULL 4. ipv4_link_failure() → ipv4_send_dest_unreach() → __ip_options_compile() → fib_compute_spec_dst() 5. fib_compute_spec_dst() dereferences NULL skb->dev Apply the same fix used for IPv6 in commit 326bf17ea5d4 ("ipvs: fix ipv6 route unreach panic"): set skb->dev from skb_dst(skb)->dev before calling dst_link_failure(). KASAN: null-ptr-deref in range [0x0000000000000328-0x000000000000032f] CPU: 1 PID: 12732 Comm: syz.1.3469 Not tainted 6.6.114 #2 RIP: 0010:__in_dev_get_rcu include/linux/inetdevice.h:233 RIP: 0010:fib_compute_spec_dst+0x17a/0x9f0 net/ipv4/fib_frontend.c:285 Call Trace: <TASK> spec_dst_fill net/ipv4/ip_options.c:232 spec_dst_fill net/ipv4/ip_options.c:229 __ip_options_compile+0x13a1/0x17d0 net/ipv4/ip_options.c:330 ipv4_send_dest_unreach net/ipv4/route.c:1252 ipv4_link_failure+0x702/0xb80 net/ipv4/route.c:1265 dst_link_failure include/net/dst.h:437 __ip_vs_get_out_rt+0x15fd/0x19e0 net/netfilter/ipvs/ip_vs_xmit.c:412 ip_vs_nat_xmit+0x1d8/0xc80 net/netfilter/ipvs/ip_vs_xmit.c:764 Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring: fix filename leak in __io_openat_prep() __io_openat_prep() allocates a struct filename using getname(). However, for the condition of the file being installed in the fixed file table as well as having O_CLOEXEC flag set, the function returns early. At that point, the request doesn't have REQ_F_NEED_CLEANUP flag set. Due to this, the memory for the newly allocated struct filename is not cleaned up, causing a memory leak. Fix this by setting the REQ_F_NEED_CLEANUP for the request just after the successful getname() call, so that when the request is torn down, the filename will be cleaned up, along with other resources needing cleanup. Уязвимость компонента io_uring ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: ets: Remove drr class from the active list if it changes to strict Whenever a user issues an ets qdisc change command, transforming a drr class into a strict one, the ets code isn't checking whether that class was in the active list and removing it. This means that, if a user changes a strict class (which was in the active list) back to a drr one, that class will be added twice to the active list [1]. Doing so with the following commands: tc qdisc add dev lo root handle 1: ets bands 2 strict 1 tc qdisc add dev lo parent 1:2 handle 20: \ tbf rate 8bit burst 100b latency 1s tc filter add dev lo parent 1: basic classid 1:2 ping -c1 -W0.01 -s 56 127.0.0.1 tc qdisc change dev lo root handle 1: ets bands 2 strict 2 tc qdisc change dev lo root handle 1: ets bands 2 strict 1 ping -c1 -W0.01 -s 56 127.0.0.1 Will trigger the following splat with list debug turned on: [ 59.279014][ T365] ------------[ cut here ]------------ [ 59.279452][ T365] list_add double add: new=ffff88801d60e350, prev=ffff88801d60e350, next=ffff88801d60e2c0. [ 59.280153][ T365] WARNING: CPU: 3 PID: 365 at lib/list_debug.c:35 __list_add_valid_or_report+0x17f/0x220 [ 59.280860][ T365] Modules linked in: [ 59.281165][ T365] CPU: 3 UID: 0 PID: 365 Comm: tc Not tainted 6.18.0-rc7-00105-g7e9f13163c13-dirty #239 PREEMPT(voluntary) [ 59.281977][ T365] Hardware name: Bochs Bochs, BIOS Bochs 01/01/2011 [ 59.282391][ T365] RIP: 0010:__list_add_valid_or_report+0x17f/0x220 [ 59.282842][ T365] Code: 89 c6 e8 d4 b7 0d ff 90 0f 0b 90 90 31 c0 e9 31 ff ff ff 90 48 c7 c7 e0 a0 22 9f 48 89 f2 48 89 c1 4c 89 c6 e8 b2 b7 0d ff 90 <0f> 0b 90 90 31 c0 e9 0f ff ff ff 48 89 f7 48 89 44 24 10 4c 89 44 ... [ 59.288812][ T365] Call Trace: [ 59.289056][ T365] <TASK> [ 59.289224][ T365] ? srso_alias_return_thunk+0x5/0xfbef5 [ 59.289546][ T365] ets_qdisc_change+0xd2b/0x1e80 [ 59.289891][ T365] ? __lock_acquire+0x7e7/0x1be0 [ 59.290223][ T365] ? __pfx_ets_qdisc_change+0x10/0x10 [ 59.290546][ T365] ? srso_alias_return_thunk+0x5/0xfbef5 [ 59.290898][ T365] ? __mutex_trylock_common+0xda/0x240 [ 59.291228][ T365] ? __pfx___mutex_trylock_common+0x10/0x10 [ 59.291655][ T365] ? srso_alias_return_thunk+0x5/0xfbef5 [ 59.291993][ T365] ? srso_alias_return_thunk+0x5/0xfbef5 [ 59.292313][ T365] ? trace_contention_end+0xc8/0x110 [ 59.292656][ T365] ? srso_alias_return_thunk+0x5/0xfbef5 [ 59.293022][ T365] ? srso_alias_return_thunk+0x5/0xfbef5 [ 59.293351][ T365] tc_modify_qdisc+0x63a/0x1cf0 Fix this by always checking and removing an ets class from the active list when changing it to strict. [1] https://git.kernel.org/pub/scm/linux/kernel/git/netdev/net.git/tree/net/sched/sch_ets.c?id=ce052b9402e461a9aded599f5b47e76bc727f7de#n663 Уязвимость компонента net/sched ядра операционной системы Linux связана с операциями с ресурсом после истечения срока его действия или освобождения. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: fw_tracer, Validate format string parameters Add validation for format string parameters in the firmware tracer to prevent potential security vulnerabilities and crashes from malformed format strings received from firmware. The firmware tracer receives format strings from the device firmware and uses them to format trace messages. Without proper validation, bad firmware could provide format strings with invalid format specifiers (e.g., %s, %p, %n) that could lead to crashes, or other undefined behavior. Add mlx5_tracer_validate_params() to validate that all format specifiers in trace strings are limited to safe integer/hex formats (%x, %d, %i, %u, %llx, %lx, etc.). Reject strings containing other format types that could be used to access arbitrary memory or cause crashes. Invalid format strings are added to the trace output for visibility with "BAD_FORMAT: " prefix. Уязвимость компонента net/mlx5 ядра операционной системы Linux связана с недостаточной обработкой форматной строки. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix use-after-free in ksmbd_tree_connect_put under concurrency Under high concurrency, A tree-connection object (tcon) is freed on a disconnect path while another path still holds a reference and later executes *_put()/write on it. Уязвимость компонента ksmbd ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: Revert "scsi: qla2xxx: Perform lockless command completion in abort path" This reverts commit 0367076b0817d5c75dfb83001ce7ce5c64d803a9. The commit being reverted added code to __qla2x00_abort_all_cmds() to call sp->done() without holding a spinlock. But unlike the older code below it, this new code failed to check sp->cmd_type and just assumed TYPE_SRB, which results in a jump to an invalid pointer in target-mode with TYPE_TGT_CMD: qla2xxx [0000:65:00.0]-d034:8: qla24xx_do_nack_work create sess success 0000000009f7a79b qla2xxx [0000:65:00.0]-5003:8: ISP System Error - mbx1=1ff5h mbx2=10h mbx3=0h mbx4=0h mbx5=191h mbx6=0h mbx7=0h. qla2xxx [0000:65:00.0]-d01e:8: -> fwdump no buffer qla2xxx [0000:65:00.0]-f03a:8: qla_target(0): System error async event 0x8002 occurred qla2xxx [0000:65:00.0]-00af:8: Performing ISP error recovery - ha=0000000058183fda. BUG: kernel NULL pointer dereference, address: 0000000000000000 PF: supervisor instruction fetch in kernel mode PF: error_code(0x0010) - not-present page PGD 0 P4D 0 Oops: 0010 [#1] SMP CPU: 2 PID: 9446 Comm: qla2xxx_8_dpc Tainted: G O 6.1.133 #1 Hardware name: Supermicro Super Server/X11SPL-F, BIOS 4.2 12/15/2023 RIP: 0010:0x0 Code: Unable to access opcode bytes at 0xffffffffffffffd6. RSP: 0018:ffffc90001f93dc8 EFLAGS: 00010206 RAX: 0000000000000282 RBX: 0000000000000355 RCX: ffff88810d16a000 RDX: ffff88810dbadaa8 RSI: 0000000000080000 RDI: ffff888169dc38c0 RBP: ffff888169dc38c0 R08: 0000000000000001 R09: 0000000000000045 R10: ffffffffa034bdf0 R11: 0000000000000000 R12: ffff88810800bb40 R13: 0000000000001aa8 R14: ffff888100136610 R15: ffff8881070f7400 FS: 0000000000000000(0000) GS:ffff88bf80080000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffffffffffffd6 CR3: 000000010c8ff006 CR4: 00000000003706e0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? __die+0x4d/0x8b ? page_fault_oops+0x91/0x180 ? trace_buffer_unlock_commit_regs+0x38/0x1a0 ? exc_page_fault+0x391/0x5e0 ? asm_exc_page_fault+0x22/0x30 __qla2x00_abort_all_cmds+0xcb/0x3e0 [qla2xxx_scst] qla2x00_abort_all_cmds+0x50/0x70 [qla2xxx_scst] qla2x00_abort_isp_cleanup+0x3b7/0x4b0 [qla2xxx_scst] qla2x00_abort_isp+0xfd/0x860 [qla2xxx_scst] qla2x00_do_dpc+0x581/0xa40 [qla2xxx_scst] kthread+0xa8/0xd0 </TASK> Then commit 4475afa2646d ("scsi: qla2xxx: Complete command early within lock") added the spinlock back, because not having the lock caused a race and a crash. But qla2x00_abort_srb() in the switch below already checks for qla2x00_chip_is_down() and handles it the same way, so the code above the switch is now redundant and still buggy in target-mode. Remove it. Уязвимость компонента scsi ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: dvb-usb: dtv5100: fix out-of-bounds in dtv5100_i2c_msg() rlen value is a user-controlled value, but dtv5100_i2c_msg() does not check the size of the rlen value. Therefore, if it is set to a value larger than sizeof(st->data), an out-of-bounds vuln occurs for st->data. Therefore, we need to add proper range checking to prevent this vuln. Уязвимость компонента media ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: xattr: fix null pointer deref in ext4_raw_inode() If ext4_get_inode_loc() fails (e.g. if it returns -EFSCORRUPTED), iloc.bh will remain set to NULL. Since ext4_xattr_inode_dec_ref_all() lacks error checking, this will lead to a null pointer dereference in ext4_raw_inode(), called right after ext4_get_inode_loc(). Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента ext4 ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fuse: fix readahead reclaim deadlock Commit e26ee4efbc79 ("fuse: allocate ff->release_args only if release is needed") skips allocating ff->release_args if the server does not implement open. However in doing so, fuse_prepare_release() now skips grabbing the reference on the inode, which makes it possible for an inode to be evicted from the dcache while there are inflight readahead requests. This causes a deadlock if the server triggers reclaim while servicing the readahead request and reclaim attempts to evict the inode of the file being read ahead. Since the folio is locked during readahead, when reclaim evicts the fuse inode and fuse_evict_inode() attempts to remove all folios associated with the inode from the page cache (truncate_inode_pages_range()), reclaim will block forever waiting for the lock since readahead cannot relinquish the lock because it is itself blocked in reclaim: >>> stack_trace(1504735) folio_wait_bit_common (mm/filemap.c:1308:4) folio_lock (./include/linux/pagemap.h:1052:3) truncate_inode_pages_range (mm/truncate.c:336:10) fuse_evict_inode (fs/fuse/inode.c:161:2) evict (fs/inode.c:704:3) dentry_unlink_inode (fs/dcache.c:412:3) __dentry_kill (fs/dcache.c:615:3) shrink_kill (fs/dcache.c:1060:12) shrink_dentry_list (fs/dcache.c:1087:3) prune_dcache_sb (fs/dcache.c:1168:2) super_cache_scan (fs/super.c:221:10) do_shrink_slab (mm/shrinker.c:435:9) shrink_slab (mm/shrinker.c:626:10) shrink_node (mm/vmscan.c:5951:2) shrink_zones (mm/vmscan.c:6195:3) do_try_to_free_pages (mm/vmscan.c:6257:3) do_swap_page (mm/memory.c:4136:11) handle_pte_fault (mm/memory.c:5562:10) handle_mm_fault (mm/memory.c:5870:9) do_user_addr_fault (arch/x86/mm/fault.c:1338:10) handle_page_fault (arch/x86/mm/fault.c:1481:3) exc_page_fault (arch/x86/mm/fault.c:1539:2) asm_exc_page_fault+0x22/0x27 Fix this deadlock by allocating ff->release_args and grabbing the reference on the inode when preparing the file for release even if the server does not implement open. The inode reference will be dropped when the last reference on the fuse file is dropped (see fuse_file_put() -> fuse_release_end()). Уязвимость ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Input: alps - fix use-after-free bugs caused by dev3_register_work The dev3_register_work delayed work item is initialized within alps_reconnect() and scheduled upon receipt of the first bare PS/2 packet from an external PS/2 device connected to the ALPS touchpad. During device detachment, the original implementation calls flush_workqueue() in psmouse_disconnect() to ensure completion of dev3_register_work. However, the flush_workqueue() in psmouse_disconnect() only blocks and waits for work items that were already queued to the workqueue prior to its invocation. Any work items submitted after flush_workqueue() is called are not included in the set of tasks that the flush operation awaits. This means that after flush_workqueue() has finished executing, the dev3_register_work could still be scheduled. Although the psmouse state is set to PSMOUSE_CMD_MODE in psmouse_disconnect(), the scheduling of dev3_register_work remains unaffected. The race condition can occur as follows: CPU 0 (cleanup path) | CPU 1 (delayed work) psmouse_disconnect() | psmouse_set_state() | flush_workqueue() | alps_report_bare_ps2_packet() alps_disconnect() | psmouse_queue_work() kfree(priv); // FREE | alps_register_bare_ps2_mouse() | priv = container_of(work...); // USE | priv->dev3 // USE Add disable_delayed_work_sync() in alps_disconnect() to ensure that dev3_register_work is properly canceled and prevented from executing after the alps_data structure has been deallocated. This bug is identified by static analysis. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ublk: fix deadlock when reading partition table When one process(such as udev) opens ublk block device (e.g., to read the partition table via bdev_open()), a deadlock[1] can occur: 1. bdev_open() grabs disk->open_mutex 2. The process issues read I/O to ublk backend to read partition table 3. In __ublk_complete_rq(), blk_update_request() or blk_mq_end_request() runs bio->bi_end_io() callbacks 4. If this triggers fput() on file descriptor of ublk block device, the work may be deferred to current task's task work (see fput() implementation) 5. This eventually calls blkdev_release() from the same context 6. blkdev_release() tries to grab disk->open_mutex again 7. Deadlock: same task waiting for a mutex it already holds The fix is to run blk_update_request() and blk_mq_end_request() with bottom halves disabled. This forces blkdev_release() to run in kernel work-queue context instead of current task work context, and allows ublk server to make forward progress, and avoids the deadlock. [axboe: rewrite comment in ublk] [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 python3.11 Python-Markdown version 3.8 contain a vulnerability where malformed HTML-like sequences can cause html.parser.HTMLParser to raise an unhandled AssertionError during Markdown parsing. Because Python-Markdown does not catch this exception, any application that processes attacker-controlled Markdown may crash. This enables remote, unauthenticated Denial of Service in web applications, documentation systems, CI/CD pipelines, and any service that renders untrusted Markdown. The issue was acknowledged by the vendor and fixed in version 3.8.1. This issue causes a remote Denial of Service in any application parsing untrusted Markdown, and can lead to Information Disclosure through uncaught exceptions. Уязвимость компонента Lib/html/parser.py интерпретатора языка программирования Python связана с недостатком использования функции assert(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью искажённой HTML страницы [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 python-apt NULL pointer dereference in TagSection.keys() in python-apt on APT-based Linux systems allows a local attacker to cause a denial of service (process crash) via a crafted deb822 file with a malformed non-UTF-8 key. Уязвимость функции TagSection.keys() компонента tag.cc модуля для установки пакетов Python APT связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально созданного deb822 файла [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 glib2.0 A flaw was found in glib. An integer overflow during temporary file creation leads to an out-of-bounds memory access, allowing an attacker to potentially perform path traversal or access private temporary file content by creating symbolic links. This vulnerability allows a local attacker to manipulate file paths and access unauthorized data. The core issue stems from insufficient validation of file path lengths during temporary file operations. Уязвимость набора библиотек GLib связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N', score=3.7) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: hns3: using the num_tqps in the vf driver to apply for resources Currently, hdev->htqp is allocated using hdev->num_tqps, and kinfo->tqp is allocated using kinfo->num_tqps. However, kinfo->num_tqps is set to min(new_tqps, hdev->num_tqps); Therefore, kinfo->num_tqps may be smaller than hdev->num_tqps, which causes some hdev->htqp[i] to remain uninitialized in hclgevf_knic_setup(). Thus, this patch allocates hdev->htqp and kinfo->tqp using hdev->num_tqps, ensuring that the lengths of hdev->htqp and kinfo->tqp are consistent and that all elements are properly initialized. Уязвимость ядра операционной системы Linux связана с отсутствием инициализации ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid potential deadlock As Jiaming Zhang and syzbot reported, there is potential deadlock in f2fs as below: Chain exists of: &sbi->cp_rwsem --> fs_reclaim --> sb_internal#2 Possible unsafe locking scenario: CPU0 CPU1 ---- ---- rlock(sb_internal#2); lock(fs_reclaim); lock(sb_internal#2); rlock(&sbi->cp_rwsem); *** DEADLOCK *** 3 locks held by kswapd0/73: #0: ffffffff8e247a40 (fs_reclaim){+.+.}-{0:0}, at: balance_pgdat mm/vmscan.c:7015 [inline] #0: ffffffff8e247a40 (fs_reclaim){+.+.}-{0:0}, at: kswapd+0x951/0x2800 mm/vmscan.c:7389 #1: ffff8880118400e0 (&type->s_umount_key#50){.+.+}-{4:4}, at: super_trylock_shared fs/super.c:562 [inline] #1: ffff8880118400e0 (&type->s_umount_key#50){.+.+}-{4:4}, at: super_cache_scan+0x91/0x4b0 fs/super.c:197 #2: ffff888011840610 (sb_internal#2){.+.+}-{0:0}, at: f2fs_evict_inode+0x8d9/0x1b60 fs/f2fs/inode.c:890 stack backtrace: CPU: 0 UID: 0 PID: 73 Comm: kswapd0 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x189/0x250 lib/dump_stack.c:120 print_circular_bug+0x2ee/0x310 kernel/locking/lockdep.c:2043 check_noncircular+0x134/0x160 kernel/locking/lockdep.c:2175 check_prev_add kernel/locking/lockdep.c:3165 [inline] check_prevs_add kernel/locking/lockdep.c:3284 [inline] validate_chain+0xb9b/0x2140 kernel/locking/lockdep.c:3908 __lock_acquire+0xab9/0xd20 kernel/locking/lockdep.c:5237 lock_acquire+0x120/0x360 kernel/locking/lockdep.c:5868 down_read+0x46/0x2e0 kernel/locking/rwsem.c:1537 f2fs_down_read fs/f2fs/f2fs.h:2278 [inline] f2fs_lock_op fs/f2fs/f2fs.h:2357 [inline] f2fs_do_truncate_blocks+0x21c/0x10c0 fs/f2fs/file.c:791 f2fs_truncate_blocks+0x10a/0x300 fs/f2fs/file.c:867 f2fs_truncate+0x489/0x7c0 fs/f2fs/file.c:925 f2fs_evict_inode+0x9f2/0x1b60 fs/f2fs/inode.c:897 evict+0x504/0x9c0 fs/inode.c:810 f2fs_evict_inode+0x1dc/0x1b60 fs/f2fs/inode.c:853 evict+0x504/0x9c0 fs/inode.c:810 dispose_list fs/inode.c:852 [inline] prune_icache_sb+0x21b/0x2c0 fs/inode.c:1000 super_cache_scan+0x39b/0x4b0 fs/super.c:224 do_shrink_slab+0x6ef/0x1110 mm/shrinker.c:437 shrink_slab_memcg mm/shrinker.c:550 [inline] shrink_slab+0x7ef/0x10d0 mm/shrinker.c:628 shrink_one+0x28a/0x7c0 mm/vmscan.c:4955 shrink_many mm/vmscan.c:5016 [inline] lru_gen_shrink_node mm/vmscan.c:5094 [inline] shrink_node+0x315d/0x3780 mm/vmscan.c:6081 kswapd_shrink_node mm/vmscan.c:6941 [inline] balance_pgdat mm/vmscan.c:7124 [inline] kswapd+0x147c/0x2800 mm/vmscan.c:7389 kthread+0x70e/0x8a0 kernel/kthread.c:463 ret_from_fork+0x4bc/0x870 arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> The root cause is deadlock among four locks as below: kswapd - fs_reclaim --- Lock A - shrink_one - evict - f2fs_evict_inode - sb_start_intwrite --- Lock B - iput - evict - f2fs_evict_inode - sb_start_intwrite --- Lock B - f2fs_truncate - f2fs_truncate_blocks - f2fs_do_truncate_blocks - f2fs_lock_op --- Lock C ioctl - f2fs_ioc_commit_atomic_write - f2fs_lock_op --- Lock C - __f2fs_commit_atomic_write - __replace_atomic_write_block - f2fs_get_dnode_of_data - __get_node_folio - f2fs_check_nid_range - f2fs_handle_error - f2fs_record_errors - f2fs_down_write --- Lock D open - do_open - do_truncate - security_inode_need_killpriv - f2fs_getxattr - lookup_all_xattrs - f2fs_handle_error - f2fs_record_errors - f2fs_down_write --- Lock D - f2fs_commit_super - read_mapping_folio - filemap_alloc_folio_noprof - prepare_alloc_pages - fs_reclaim_acquire --- Lock A In order to a ---truncated--- [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: ets: Always remove class from active list before deleting in ets_qdisc_change zdi-disclosures@trendmicro.com says: The vulnerability is a race condition between `ets_qdisc_dequeue` and `ets_qdisc_change`. It leads to UAF on `struct Qdisc` object. Attacker requires the capability to create new user and network namespace in order to trigger the bug. See my additional commentary at the end of the analysis. Analysis: static int ets_qdisc_change(struct Qdisc *sch, struct nlattr *opt, struct netlink_ext_ack *extack) { ... // (1) this lock is preventing .change handler (`ets_qdisc_change`) //to race with .dequeue handler (`ets_qdisc_dequeue`) sch_tree_lock(sch); for (i = nbands; i < oldbands; i++) { if (i >= q->nstrict && q->classes[i].qdisc->q.qlen) list_del_init(&q->classes[i].alist); qdisc_purge_queue(q->classes[i].qdisc); } WRITE_ONCE(q->nbands, nbands); for (i = nstrict; i < q->nstrict; i++) { if (q->classes[i].qdisc->q.qlen) { // (2) the class is added to the q->active list_add_tail(&q->classes[i].alist, &q->active); q->classes[i].deficit = quanta[i]; } } WRITE_ONCE(q->nstrict, nstrict); memcpy(q->prio2band, priomap, sizeof(priomap)); for (i = 0; i < q->nbands; i++) WRITE_ONCE(q->classes[i].quantum, quanta[i]); for (i = oldbands; i < q->nbands; i++) { q->classes[i].qdisc = queues[i]; if (q->classes[i].qdisc != &noop_qdisc) qdisc_hash_add(q->classes[i].qdisc, true); } // (3) the qdisc is unlocked, now dequeue can be called in parallel // to the rest of .change handler sch_tree_unlock(sch); ets_offload_change(sch); for (i = q->nbands; i < oldbands; i++) { // (4) we're reducing the refcount for our class's qdisc and // freeing it qdisc_put(q->classes[i].qdisc); // (5) If we call .dequeue between (4) and (5), we will have // a strong UAF and we can control RIP q->classes[i].qdisc = NULL; WRITE_ONCE(q->classes[i].quantum, 0); q->classes[i].deficit = 0; gnet_stats_basic_sync_init(&q->classes[i].bstats); memset(&q->classes[i].qstats, 0, sizeof(q->classes[i].qstats)); } return 0; } Comment: This happens because some of the classes have their qdiscs assigned to NULL, but remain in the active list. This commit fixes this issue by always removing the class from the active list before deleting and freeing its associated qdisc Reproducer Steps (trimmed version of what was sent by zdi-disclosures@trendmicro.com) ``` DEV="${DEV:-lo}" ROOT_HANDLE="${ROOT_HANDLE:-1:}" BAND2_HANDLE="${BAND2_HANDLE:-20:}" # child under 1:2 PING_BYTES="${PING_BYTES:-48}" PING_COUNT="${PING_COUNT:-200000}" PING_DST="${PING_DST:-127.0.0.1}" SLOW_TBF_RATE="${SLOW_TBF_RATE:-8bit}" SLOW_TBF_BURST="${SLOW_TBF_BURST:-100b}" SLOW_TBF_LAT="${SLOW_TBF_LAT:-1s}" cleanup() { tc qdisc del dev "$DEV" root 2>/dev/null } trap cleanup EXIT ip link set "$DEV" up tc qdisc del dev "$DEV" root 2>/dev/null || true tc qdisc add dev "$DEV" root handle "$ROOT_HANDLE" ets bands 2 strict 2 tc qdisc add dev "$DEV" parent 1:2 handle "$BAND2_HANDLE" \ tbf rate "$SLOW_TBF_RATE" burst "$SLOW_TBF_BURST" latency "$SLOW_TBF_LAT" tc filter add dev "$DEV" parent 1: protocol all prio 1 u32 match u32 0 0 flowid 1:2 tc -s qdisc ls dev $DEV ping -I "$DEV" -f -c "$PING_COUNT" -s "$PING_BYTES" -W 0.001 "$PING_DST" \ >/dev/null 2>&1 & tc qdisc change dev "$DEV" root handle "$ROOT_HANDLE" ets bands 2 strict 0 tc qdisc change dev "$DEV" root handle "$ROOT_HANDLE" ets bands 2 strict 2 tc -s qdisc ls dev $DEV tc qdisc del dev "$DEV" parent ---truncated--- Уязвимость функции ets_qdisc_change() в модуле net/sched/sch_ets.c подсистемы управления трафиком net/sched ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ntfs: set dummy blocksize to read boot_block when mounting When mounting, sb->s_blocksize is used to read the boot_block without being defined or validated. Set a dummy blocksize before attempting to read the boot_block. The issue can be triggered with the following syz reproducer: mkdirat(0xffffffffffffff9c, &(0x7f0000000080)='./file1\x00', 0x0) r4 = openat$nullb(0xffffffffffffff9c, &(0x7f0000000040), 0x121403, 0x0) ioctl$FS_IOC_SETFLAGS(r4, 0x40081271, &(0x7f0000000980)=0x4000) mount(&(0x7f0000000140)=@nullb, &(0x7f0000000040)='./cgroup\x00', &(0x7f0000000000)='ntfs3\x00', 0x2208004, 0x0) syz_clone(0x88200200, 0x0, 0x0, 0x0, 0x0, 0x0) Here, the ioctl sets the bdev block size to 16384. During mount, get_tree_bdev_flags() calls sb_set_blocksize(sb, block_size(bdev)), but since block_size(bdev) > PAGE_SIZE, sb_set_blocksize() leaves sb->s_blocksize at zero. Later, ntfs_init_from_boot() attempts to read the boot_block while sb->s_blocksize is still zero, which triggers the bug. [almaz.alexandrovich@paragon-software.com: changed comment style, added return value handling] [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: svcrdma: bound check rq_pages index in inline path svc_rdma_copy_inline_range indexed rqstp->rq_pages[rc_curpage] without verifying rc_curpage stays within the allocated page array. Add guards before the first use and after advancing to a new page. Уязвимость функции svc_rdma_copy_inline_range() модуля net/sunrpc/xprtrdma/svc_rdma_rw.c реализации протокола RPC ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к защищаемой информации или вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: invalidate dentry cache on failed whiteout creation F2FS can mount filesystems with corrupted directory depth values that get runtime-clamped to MAX_DIR_HASH_DEPTH. When RENAME_WHITEOUT operations are performed on such directories, f2fs_rename performs directory modifications (updating target entry and deleting source entry) before attempting to add the whiteout entry via f2fs_add_link. If f2fs_add_link fails due to the corrupted directory structure, the function returns an error to VFS, but the partial directory modifications have already been committed to disk. VFS assumes the entire rename operation failed and does not update the dentry cache, leaving stale mappings. In the error path, VFS does not call d_move() to update the dentry cache. This results in new_dentry still pointing to the old inode (new_inode) which has already had its i_nlink decremented to zero. The stale cache causes subsequent operations to incorrectly reference the freed inode. This causes subsequent operations to use cached dentry information that no longer matches the on-disk state. When a second rename targets the same entry, VFS attempts to decrement i_nlink on the stale inode, which may already have i_nlink=0, triggering a WARNING in drop_nlink(). Example sequence: 1. First rename (RENAME_WHITEOUT): file2 → file1 - f2fs updates file1 entry on disk (points to inode 8) - f2fs deletes file2 entry on disk - f2fs_add_link(whiteout) fails (corrupted directory) - Returns error to VFS - VFS does not call d_move() due to error - VFS cache still has: file1 → inode 7 (stale!) - inode 7 has i_nlink=0 (already decremented) 2. Second rename: file3 → file1 - VFS uses stale cache: file1 → inode 7 - Tries to drop_nlink on inode 7 (i_nlink already 0) - WARNING in drop_nlink() Fix this by explicitly invalidating old_dentry and new_dentry when f2fs_add_link fails during whiteout creation. This forces VFS to refresh from disk on subsequent operations, ensuring cache consistency even when the rename partially succeeds. Reproducer: 1. Mount F2FS image with corrupted i_current_depth 2. renameat2(file2, file1, RENAME_WHITEOUT) 3. renameat2(file3, file1, 0) 4. System triggers WARNING in drop_nlink() Уязвимость компонента f2fs ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/mediatek: fix use-after-free on probe deferral The driver is dropping the references taken to the larb devices during probe after successful lookup as well as on errors. This can potentially lead to a use-after-free in case a larb device has not yet been bound to its driver so that the iommu driver probe defers. Fix this by keeping the references as expected while the iommu driver is bound. Уязвимость компонента iommu/mediatek ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: shmem: fix recovery on rename failures maple_tree insertions can fail if we are seriously short on memory; simple_offset_rename() does not recover well if it runs into that. The same goes for simple_offset_rename_exchange(). Moreover, shmem_whiteout() expects that if it succeeds, the caller will progress to d_move(), i.e. that shmem_rename2() won't fail past the successful call of shmem_whiteout(). Not hard to fix, fortunately - mtree_store() can't fail if the index we are trying to store into is already present in the tree as a singleton. For simple_offset_rename_exchange() that's enough - we just need to be careful about the order of operations. For simple_offset_rename() solution is to preinsert the target into the tree for new_dir; the rest can be done without any potentially failing operations. That preinsertion has to be done in shmem_rename2() rather than in simple_offset_rename() itself - otherwise we'd need to deal with the possibility of failure after successful shmem_whiteout(). Уязвимость модуля shmem ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=8.2) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Input: lkkbd - disable pending work before freeing device lkkbd_interrupt() schedules lk->tq via schedule_work(), and the work handler lkkbd_reinit() dereferences the lkkbd structure and its serio/input_dev fields. lkkbd_disconnect() and error paths in lkkbd_connect() free the lkkbd structure without preventing the reinit work from being queued again until serio_close() returns. This can allow the work handler to run after the structure has been freed, leading to a potential use-after-free. Use disable_work_sync() instead of cancel_work_sync() to ensure the reinit work cannot be re-queued, and call it both in lkkbd_disconnect() and in lkkbd_connect() error paths after serio_open(). Уязвимость функций lkkbd_connect(), lkkbd_disconnect() модуля drivers/input/keyboard/lkkbd.c драйвера клавиатуры ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: aic94xx: fix use-after-free in device removal path The asd_pci_remove() function fails to synchronize with pending tasklets before freeing the asd_ha structure, leading to a potential use-after-free vulnerability. When a device removal is triggered (via hot-unplug or module unload), race condition can occur. The fix adds tasklet_kill() before freeing the asd_ha structure, ensuring all scheduled tasklets complete before cleanup proceeds. Уязвимость компонента scsi ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe/oa: Limit num_syncs to prevent oversized allocations The OA open parameters did not validate num_syncs, allowing userspace to pass arbitrarily large values, potentially leading to excessive allocations. Add check to ensure that num_syncs does not exceed DRM_XE_MAX_SYNCS, returning -EINVAL when the limit is violated. v2: use XE_IOCTL_DBG() and drop duplicated check. (Ashutosh) (cherry picked from commit e057b2d2b8d815df3858a87dffafa2af37e5945b) Уязвимость функции xe_oa_set_no_preempt() модуля drivers/gpu/drm/xe/xe_oa.c драйвера инфраструктуры прямого рендеринга (DRI) ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tpm: Cap the number of PCR banks tpm2_get_pcr_allocation() does not cap any upper limit for the number of banks. Cap the limit to eight banks so that out of bounds values coming from external I/O cause on only limited harm. Уязвимость компонента tpm ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: powerpc/64s/slb: Fix SLB multihit issue during SLB preload On systems using the hash MMU, there is a software SLB preload cache that mirrors the entries loaded into the hardware SLB buffer. This preload cache is subject to periodic eviction — typically after every 256 context switches — to remove old entry. To optimize performance, the kernel skips switch_mmu_context() in switch_mm_irqs_off() when the prev and next mm_struct are the same. However, on hash MMU systems, this can lead to inconsistencies between the hardware SLB and the software preload cache. If an SLB entry for a process is evicted from the software cache on one CPU, and the same process later runs on another CPU without executing switch_mmu_context(), the hardware SLB may retain stale entries. If the kernel then attempts to reload that entry, it can trigger an SLB multi-hit error. The following timeline shows how stale SLB entries are created and can cause a multi-hit error when a process moves between CPUs without a MMU context switch. CPU 0 CPU 1 ----- ----- Process P exec swapper/1 load_elf_binary begin_new_exc activate_mm switch_mm_irqs_off switch_mmu_context switch_slb /* * This invalidates all * the entries in the HW * and setup the new HW * SLB entries as per the * preload cache. */ context_switch sched_migrate_task migrates process P to cpu-1 Process swapper/0 context switch (to process P) (uses mm_struct of Process P) switch_mm_irqs_off() switch_slb load_slb++ /* * load_slb becomes 0 here * and we evict an entry from * the preload cache with * preload_age(). We still * keep HW SLB and preload * cache in sync, that is * because all HW SLB entries * anyways gets evicted in * switch_slb during SLBIA. * We then only add those * entries back in HW SLB, * which are currently * present in preload_cache * (after eviction). */ load_elf_binary continues... setup_new_exec() slb_setup_new_exec() sched_switch event sched_migrate_task migrates process P to cpu-0 context_switch from swapper/0 to Process P switch_mm_irqs_off() /* * Since both prev and next mm struct are same we don't call * switch_mmu_context(). This will cause the HW SLB and SW preload * cache to go out of sync in preload_new_slb_context. Because there * was an SLB entry which was evicted from both HW and preload cache * on cpu-1. Now later in preload_new_slb_context(), when we will try * to add the same preload entry again, we will add this to the SW * preload cache and then will add it to the HW SLB. Since on cpu-0 * this entry was never invalidated, hence adding this entry to the HW * SLB will cause a SLB multi-hit error. */ load_elf_binary cont ---truncated--- Уязвимость компонента powerpc/64s/slb CPU ядра операционной системы Linux связана с состоянием гонки, связанным с переключением контекста. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: nfc: fix deadlock between nfc_unregister_device and rfkill_fop_write A deadlock can occur between nfc_unregister_device() and rfkill_fop_write() due to lock ordering inversion between device_lock and rfkill_global_mutex. The problematic lock order is: Thread A (rfkill_fop_write): rfkill_fop_write() mutex_lock(&rfkill_global_mutex) rfkill_set_block() nfc_rfkill_set_block() nfc_dev_down() device_lock(&dev->dev) <- waits for device_lock Thread B (nfc_unregister_device): nfc_unregister_device() device_lock(&dev->dev) rfkill_unregister() mutex_lock(&rfkill_global_mutex) <- waits for rfkill_global_mutex This creates a classic ABBA deadlock scenario. Fix this by moving rfkill_unregister() and rfkill_destroy() outside the device_lock critical section. Store the rfkill pointer in a local variable before releasing the lock, then call rfkill_unregister() after releasing device_lock. This change is safe because rfkill_fop_write() holds rfkill_global_mutex while calling the rfkill callbacks, and rfkill_unregister() also acquires rfkill_global_mutex before cleanup. Therefore, rfkill_unregister() will wait for any ongoing callback to complete before proceeding, and device_del() is only called after rfkill_unregister() returns, preventing any use-after-free. The similar lock ordering in nfc_register_device() (device_lock -> rfkill_global_mutex via rfkill_register) is safe because during registration the device is not yet in rfkill_list, so no concurrent rfkill operations can occur on this device. Уязвимость компонента net/nfc ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: fix a BUG in rt6_get_pcpu_route() under PREEMPT_RT On PREEMPT_RT kernels, after rt6_get_pcpu_route() returns NULL, the current task can be preempted. Another task running on the same CPU may then execute rt6_make_pcpu_route() and successfully install a pcpu_rt entry. When the first task resumes execution, its cmpxchg() in rt6_make_pcpu_route() will fail because rt6i_pcpu is no longer NULL, triggering the BUG_ON(prev). It's easy to reproduce it by adding mdelay() after rt6_get_pcpu_route(). Using preempt_disable/enable is not appropriate here because ip6_rt_pcpu_alloc() may sleep. Fix this by handling the cmpxchg() failure gracefully on PREEMPT_RT: free our allocation and return the existing pcpu_rt installed by another task. The BUG_ON is replaced by WARN_ON_ONCE for non-PREEMPT_RT kernels where such races should not occur. Уязвимость функции rt6_make_pcpu_route() модуля net/ipv6/route.c реализации протокола IPv6 ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: stm32: sai: fix OF node leak on probe The reference taken to the sync provider OF node when probing the platform device is currently only dropped if the set_sync() callback fails during DAI probe. Make sure to drop the reference on platform probe failures (e.g. probe deferral) and on driver unbind. This also avoids a potential use-after-free in case the DAI is ever reprobed without first rebinding the platform driver. Уязвимость компонента stm32 ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: btusb: revert use of devm_kzalloc in btusb This reverts commit 98921dbd00c4e ("Bluetooth: Use devm_kzalloc in btusb.c file"). In btusb_probe(), we use devm_kzalloc() to allocate the btusb data. This ties the lifetime of all the btusb data to the binding of a driver to one interface, INTF. In a driver that binds to other interfaces, ISOC and DIAG, this is an accident waiting to happen. The issue is revealed in btusb_disconnect(), where calling usb_driver_release_interface(&btusb_driver, data->intf) will have devm free the data that is also being used by the other interfaces of the driver that may not be released yet. To fix this, revert the use of devm and go back to freeing memory explicitly. Уязвимость модуля Bluetooth ядра операционной системы Linux связана с преждевременным освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/ttm: Avoid NULL pointer deref for evicted BOs It is possible for a BO to exist that is not currently associated with a resource, e.g. because it has been evicted. When devcoredump tries to read the contents of all BOs for dumping, we need to expect this as well -- in this case, ENODATA is recorded instead of the buffer contents. Уязвимость компонента drm/ttm ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/cm: Fix leaking the multicast GID table reference If the CM ID is destroyed while the CM event for multicast creating is still queued the cancel_work_sync() will prevent the work from running which also prevents destroying the ah_attr. This leaks a refcount and triggers a WARN: GID entry ref leak for dev syz1 index 2 ref=573 WARNING: CPU: 1 PID: 655 at drivers/infiniband/core/cache.c:809 release_gid_table drivers/infiniband/core/cache.c:806 [inline] WARNING: CPU: 1 PID: 655 at drivers/infiniband/core/cache.c:809 gid_table_release_one+0x284/0x3cc drivers/infiniband/core/cache.c:886 Destroy the ah_attr after canceling the work, it is safe to call this twice. Уязвимость компонента RDMA/cm ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: BUG() in pskb_expand_head() as part of calipso_skbuff_setattr() There exists a kernel oops caused by a BUG_ON(nhead < 0) at net/core/skbuff.c:2232 in pskb_expand_head(). This bug is triggered as part of the calipso_skbuff_setattr() routine when skb_cow() is passed headroom > INT_MAX (i.e. (int)(skb_headroom(skb) + len_delta) < 0). The root cause of the bug is due to an implicit integer cast in __skb_cow(). The check (headroom > skb_headroom(skb)) is meant to ensure that delta = headroom - skb_headroom(skb) is never negative, otherwise we will trigger a BUG_ON in pskb_expand_head(). However, if headroom > INT_MAX and delta <= -NET_SKB_PAD, the check passes, delta becomes negative, and pskb_expand_head() is passed a negative value for nhead. Fix the trigger condition in calipso_skbuff_setattr(). Avoid passing "negative" headroom sizes to skb_cow() within calipso_skbuff_setattr() by only using skb_cow() to grow headroom. PoC: Using `netlabelctl` tool: netlabelctl map del default netlabelctl calipso add pass doi:7 netlabelctl map add default address:0::1/128 protocol:calipso,7 Then run the following PoC: int fd = socket(AF_INET6, SOCK_DGRAM, IPPROTO_UDP); // setup msghdr int cmsg_size = 2; int cmsg_len = 0x60; struct msghdr msg; struct sockaddr_in6 dest_addr; struct cmsghdr * cmsg = (struct cmsghdr *) calloc(1, sizeof(struct cmsghdr) + cmsg_len); msg.msg_name = &dest_addr; msg.msg_namelen = sizeof(dest_addr); msg.msg_iov = NULL; msg.msg_iovlen = 0; msg.msg_control = cmsg; msg.msg_controllen = cmsg_len; msg.msg_flags = 0; // setup sockaddr dest_addr.sin6_family = AF_INET6; dest_addr.sin6_port = htons(31337); dest_addr.sin6_flowinfo = htonl(31337); dest_addr.sin6_addr = in6addr_loopback; dest_addr.sin6_scope_id = 31337; // setup cmsghdr cmsg->cmsg_len = cmsg_len; cmsg->cmsg_level = IPPROTO_IPV6; cmsg->cmsg_type = IPV6_HOPOPTS; char * hop_hdr = (char *)cmsg + sizeof(struct cmsghdr); hop_hdr[1] = 0x9; //set hop size - (0x9 + 1) * 8 = 80 sendmsg(fd, &msg, 0); Уязвимость функции calipso_skbuff_setattr() в модуле net/ipv6/calipso.c реализации протокола IPv6 ядра операционной системы Linux связана с целочисленным переполнением или циклическим сдвигом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: rose: fix invalid array index in rose_kill_by_device() rose_kill_by_device() collects sockets into a local array[] and then iterates over them to disconnect sockets bound to a device being brought down. The loop mistakenly indexes array[cnt] instead of array[i]. For cnt < ARRAY_SIZE(array), this reads an uninitialized entry; for cnt == ARRAY_SIZE(array), it is an out-of-bounds read. Either case can lead to an invalid socket pointer dereference and also leaks references taken via sock_hold(). Fix the index to use i. Уязвимость функции rose_kill_by_device() модуля net/rose/af_rose.c ядра операционной системы Linux связана с выходом за пределы выделенного на стеке буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iavf: fix off-by-one issues in iavf_config_rss_reg() There are off-by-one bugs when configuring RSS hash key and lookup table, causing out-of-bounds reads to memory [1] and out-of-bounds writes to device registers. Before commit 43a3d9ba34c9 ("i40evf: Allow PF driver to configure RSS"), the loop upper bounds were: i <= I40E_VFQF_{HKEY,HLUT}_MAX_INDEX which is safe since the value is the last valid index. That commit changed the bounds to: i <= adapter->rss_{key,lut}_size / 4 where `rss_{key,lut}_size / 4` is the number of dwords, so the last valid index is `(rss_{key,lut}_size / 4) - 1`. Therefore, using `<=` accesses one element past the end. Fix the issues by using `<` instead of `<=`, ensuring we do not exceed the bounds. [1] KASAN splat about rss_key_size off-by-one BUG: KASAN: slab-out-of-bounds in iavf_config_rss+0x619/0x800 Read of size 4 at addr ffff888102c50134 by task kworker/u8:6/63 CPU: 0 UID: 0 PID: 63 Comm: kworker/u8:6 Not tainted 6.18.0-rc2-enjuk-tnguy-00378-g3005f5b77652-dirty #156 PREEMPT(voluntary) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 Workqueue: iavf iavf_watchdog_task Call Trace: <TASK> dump_stack_lvl+0x6f/0xb0 print_report+0x170/0x4f3 kasan_report+0xe1/0x1a0 iavf_config_rss+0x619/0x800 iavf_watchdog_task+0x2be7/0x3230 process_one_work+0x7fd/0x1420 worker_thread+0x4d1/0xd40 kthread+0x344/0x660 ret_from_fork+0x249/0x320 ret_from_fork_asm+0x1a/0x30 </TASK> Allocated by task 63: kasan_save_stack+0x30/0x50 kasan_save_track+0x14/0x30 __kasan_kmalloc+0x7f/0x90 __kmalloc_noprof+0x246/0x6f0 iavf_watchdog_task+0x28fc/0x3230 process_one_work+0x7fd/0x1420 worker_thread+0x4d1/0xd40 kthread+0x344/0x660 ret_from_fork+0x249/0x320 ret_from_fork_asm+0x1a/0x30 The buggy address belongs to the object at ffff888102c50100 which belongs to the cache kmalloc-64 of size 64 The buggy address is located 0 bytes to the right of allocated 52-byte region [ffff888102c50100, ffff888102c50134) The buggy address belongs to the physical page: page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x102c50 flags: 0x200000000000000(node=0|zone=2) page_type: f5(slab) raw: 0200000000000000 ffff8881000418c0 dead000000000122 0000000000000000 raw: 0000000000000000 0000000080200020 00000000f5000000 0000000000000000 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff888102c50000: 00 00 00 00 00 00 00 fc fc fc fc fc fc fc fc fc ffff888102c50080: 00 00 00 00 00 00 00 fc fc fc fc fc fc fc fc fc >ffff888102c50100: 00 00 00 00 00 00 04 fc fc fc fc fc fc fc fc fc ^ ffff888102c50180: 00 00 00 00 00 00 00 00 fc fc fc fc fc fc fc fc ffff888102c50200: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc Уязвимость компонента iavf ядра операционной системы Linux связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: fallback earlier on simult connection Syzkaller reports a simult-connect race leading to inconsistent fallback status: WARNING: CPU: 3 PID: 33 at net/mptcp/subflow.c:1515 subflow_data_ready+0x40b/0x7c0 net/mptcp/subflow.c:1515 Modules linked in: CPU: 3 UID: 0 PID: 33 Comm: ksoftirqd/3 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:subflow_data_ready+0x40b/0x7c0 net/mptcp/subflow.c:1515 Code: 89 ee e8 78 61 3c f6 40 84 ed 75 21 e8 8e 66 3c f6 44 89 fe bf 07 00 00 00 e8 c1 61 3c f6 41 83 ff 07 74 09 e8 76 66 3c f6 90 <0f> 0b 90 e8 6d 66 3c f6 48 89 df e8 e5 ad ff ff 31 ff 89 c5 89 c6 RSP: 0018:ffffc900006cf338 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffff888031acd100 RCX: ffffffff8b7f2abf RDX: ffff88801e6ea440 RSI: ffffffff8b7f2aca RDI: 0000000000000005 RBP: 0000000000000000 R08: 0000000000000005 R09: 0000000000000007 R10: 0000000000000004 R11: 0000000000002c10 R12: ffff88802ba69900 R13: 1ffff920000d9e67 R14: ffff888046f81800 R15: 0000000000000004 FS: 0000000000000000(0000) GS:ffff8880d69bc000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000560fc0ca1670 CR3: 0000000032c3a000 CR4: 0000000000352ef0 Call Trace: <TASK> tcp_data_queue+0x13b0/0x4f90 net/ipv4/tcp_input.c:5197 tcp_rcv_state_process+0xfdf/0x4ec0 net/ipv4/tcp_input.c:6922 tcp_v6_do_rcv+0x492/0x1740 net/ipv6/tcp_ipv6.c:1672 tcp_v6_rcv+0x2976/0x41e0 net/ipv6/tcp_ipv6.c:1918 ip6_protocol_deliver_rcu+0x188/0x1520 net/ipv6/ip6_input.c:438 ip6_input_finish+0x1e4/0x4b0 net/ipv6/ip6_input.c:489 NF_HOOK include/linux/netfilter.h:318 [inline] NF_HOOK include/linux/netfilter.h:312 [inline] ip6_input+0x105/0x2f0 net/ipv6/ip6_input.c:500 dst_input include/net/dst.h:471 [inline] ip6_rcv_finish net/ipv6/ip6_input.c:79 [inline] NF_HOOK include/linux/netfilter.h:318 [inline] NF_HOOK include/linux/netfilter.h:312 [inline] ipv6_rcv+0x264/0x650 net/ipv6/ip6_input.c:311 __netif_receive_skb_one_core+0x12d/0x1e0 net/core/dev.c:5979 __netif_receive_skb+0x1d/0x160 net/core/dev.c:6092 process_backlog+0x442/0x15e0 net/core/dev.c:6444 __napi_poll.constprop.0+0xba/0x550 net/core/dev.c:7494 napi_poll net/core/dev.c:7557 [inline] net_rx_action+0xa9f/0xfe0 net/core/dev.c:7684 handle_softirqs+0x216/0x8e0 kernel/softirq.c:579 run_ksoftirqd kernel/softirq.c:968 [inline] run_ksoftirqd+0x3a/0x60 kernel/softirq.c:960 smpboot_thread_fn+0x3f7/0xae0 kernel/smpboot.c:160 kthread+0x3c2/0x780 kernel/kthread.c:463 ret_from_fork+0x5d7/0x6f0 arch/x86/kernel/process.c:148 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:245 </TASK> The TCP subflow can process the simult-connect syn-ack packet after transitioning to TCP_FIN1 state, bypassing the MPTCP fallback check, as the sk_state_change() callback is not invoked for * -> FIN_WAIT1 transitions. That will move the msk socket to an inconsistent status and the next incoming data will hit the reported splat. Close the race moving the simult-fallback check at the earliest possible stage - that is at syn-ack generation time. About the fixes tags: [2] was supposed to also fix this issue introduced by [3]. [1] is required as a dependence: it was not explicitly marked as a fix, but it is one and it has already been backported before [3]. In other words, this commit should be backported up to [3], including [2] and [1] if that's not already there. Уязвимость компонента net/mptcp/subflow.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: team: fix check for port enabled in team_queue_override_port_prio_changed() There has been a syzkaller bug reported recently with the following trace: list_del corruption, ffff888058bea080->prev is LIST_POISON2 (dead000000000122) ------------[ cut here ]------------ kernel BUG at lib/list_debug.c:59! Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI CPU: 3 UID: 0 PID: 21246 Comm: syz.0.2928 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2~bpo12+1 04/01/2014 RIP: 0010:__list_del_entry_valid_or_report+0x13e/0x200 lib/list_debug.c:59 Code: 48 c7 c7 e0 71 f0 8b e8 30 08 ef fc 90 0f 0b 48 89 ef e8 a5 02 55 fd 48 89 ea 48 89 de 48 c7 c7 40 72 f0 8b e8 13 08 ef fc 90 <0f> 0b 48 89 ef e8 88 02 55 fd 48 89 ea 48 b8 00 00 00 00 00 fc ff RSP: 0018:ffffc9000d49f370 EFLAGS: 00010286 RAX: 000000000000004e RBX: ffff888058bea080 RCX: ffffc9002817d000 RDX: 0000000000000000 RSI: ffffffff819becc6 RDI: 0000000000000005 RBP: dead000000000122 R08: 0000000000000005 R09: 0000000000000000 R10: 0000000080000000 R11: 0000000000000001 R12: ffff888039e9c230 R13: ffff888058bea088 R14: ffff888058bea080 R15: ffff888055461480 FS: 00007fbbcfe6f6c0(0000) GS:ffff8880d6d0a000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000110c3afcb0 CR3: 00000000382c7000 CR4: 0000000000352ef0 Call Trace: <TASK> __list_del_entry_valid include/linux/list.h:132 [inline] __list_del_entry include/linux/list.h:223 [inline] list_del_rcu include/linux/rculist.h:178 [inline] __team_queue_override_port_del drivers/net/team/team_core.c:826 [inline] __team_queue_override_port_del drivers/net/team/team_core.c:821 [inline] team_queue_override_port_prio_changed drivers/net/team/team_core.c:883 [inline] team_priority_option_set+0x171/0x2f0 drivers/net/team/team_core.c:1534 team_option_set drivers/net/team/team_core.c:376 [inline] team_nl_options_set_doit+0x8ae/0xe60 drivers/net/team/team_core.c:2653 genl_family_rcv_msg_doit+0x209/0x2f0 net/netlink/genetlink.c:1115 genl_family_rcv_msg net/netlink/genetlink.c:1195 [inline] genl_rcv_msg+0x55c/0x800 net/netlink/genetlink.c:1210 netlink_rcv_skb+0x158/0x420 net/netlink/af_netlink.c:2552 genl_rcv+0x28/0x40 net/netlink/genetlink.c:1219 netlink_unicast_kernel net/netlink/af_netlink.c:1320 [inline] netlink_unicast+0x5aa/0x870 net/netlink/af_netlink.c:1346 netlink_sendmsg+0x8c8/0xdd0 net/netlink/af_netlink.c:1896 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg net/socket.c:742 [inline] ____sys_sendmsg+0xa98/0xc70 net/socket.c:2630 ___sys_sendmsg+0x134/0x1d0 net/socket.c:2684 __sys_sendmsg+0x16d/0x220 net/socket.c:2716 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f The problem is in this flow: 1) Port is enabled, queue_id != 0, in qom_list 2) Port gets disabled -> team_port_disable() -> team_queue_override_port_del() -> del (removed from list) 3) Port is disabled, queue_id != 0, not in any list 4) Priority changes -> team_queue_override_port_prio_changed() -> checks: port disabled && queue_id != 0 -> calls del - hits the BUG as it is removed already To fix this, change the check in team_queue_override_port_prio_changed() so it returns early if port is not enabled. Уязвимость компонента team/team_core.c ядра операционной системы Linux связана с множественным освобождением одного и того же ресурса или дескриптора. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: e1000: fix OOB in e1000_tbi_should_accept() In e1000_tbi_should_accept() we read the last byte of the frame via 'data[length - 1]' to evaluate the TBI workaround. If the descriptor- reported length is zero or larger than the actual RX buffer size, this read goes out of bounds and can hit unrelated slab objects. The issue is observed from the NAPI receive path (e1000_clean_rx_irq): ================================================================== BUG: KASAN: slab-out-of-bounds in e1000_tbi_should_accept+0x610/0x790 Read of size 1 at addr ffff888014114e54 by task sshd/363 CPU: 0 PID: 363 Comm: sshd Not tainted 5.18.0-rc1 #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.12.0-59-gc9ba5276e321-prebuilt.qemu.org 04/01/2014 Call Trace: <IRQ> dump_stack_lvl+0x5a/0x74 print_address_description+0x7b/0x440 print_report+0x101/0x200 kasan_report+0xc1/0xf0 e1000_tbi_should_accept+0x610/0x790 e1000_clean_rx_irq+0xa8c/0x1110 e1000_clean+0xde2/0x3c10 __napi_poll+0x98/0x380 net_rx_action+0x491/0xa20 __do_softirq+0x2c9/0x61d do_softirq+0xd1/0x120 </IRQ> <TASK> __local_bh_enable_ip+0xfe/0x130 ip_finish_output2+0x7d5/0xb00 __ip_queue_xmit+0xe24/0x1ab0 __tcp_transmit_skb+0x1bcb/0x3340 tcp_write_xmit+0x175d/0x6bd0 __tcp_push_pending_frames+0x7b/0x280 tcp_sendmsg_locked+0x2e4f/0x32d0 tcp_sendmsg+0x24/0x40 sock_write_iter+0x322/0x430 vfs_write+0x56c/0xa60 ksys_write+0xd1/0x190 do_syscall_64+0x43/0x90 entry_SYSCALL_64_after_hwframe+0x44/0xae RIP: 0033:0x7f511b476b10 Code: 73 01 c3 48 8b 0d 88 d3 2b 00 f7 d8 64 89 01 48 83 c8 ff c3 66 0f 1f 44 00 00 83 3d f9 2b 2c 00 00 75 10 b8 01 00 00 00 0f 05 <48> 3d 01 f0 ff ff 73 31 c3 48 83 ec 08 e8 8e 9b 01 00 48 89 04 24 RSP: 002b:00007ffc9211d4e8 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 0000000000004024 RCX: 00007f511b476b10 RDX: 0000000000004024 RSI: 0000559a9385962c RDI: 0000000000000003 RBP: 0000559a9383a400 R08: fffffffffffffff0 R09: 0000000000004f00 R10: 0000000000000070 R11: 0000000000000246 R12: 0000000000000000 R13: 00007ffc9211d57f R14: 0000559a9347bde7 R15: 0000000000000003 </TASK> Allocated by task 1: __kasan_krealloc+0x131/0x1c0 krealloc+0x90/0xc0 add_sysfs_param+0xcb/0x8a0 kernel_add_sysfs_param+0x81/0xd4 param_sysfs_builtin+0x138/0x1a6 param_sysfs_init+0x57/0x5b do_one_initcall+0x104/0x250 do_initcall_level+0x102/0x132 do_initcalls+0x46/0x74 kernel_init_freeable+0x28f/0x393 kernel_init+0x14/0x1a0 ret_from_fork+0x22/0x30 The buggy address belongs to the object at ffff888014114000 which belongs to the cache kmalloc-2k of size 2048 The buggy address is located 1620 bytes to the right of 2048-byte region [ffff888014114000, ffff888014114800] The buggy address belongs to the physical page: page:ffffea0000504400 refcount:1 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x14110 head:ffffea0000504400 order:3 compound_mapcount:0 compound_pincount:0 flags: 0x100000000010200(slab|head|node=0|zone=1) raw: 0100000000010200 0000000000000000 dead000000000001 ffff888013442000 raw: 0000000000000000 0000000000080008 00000001ffffffff 0000000000000000 page dumped because: kasan: bad access detected ================================================================== This happens because the TBI check unconditionally dereferences the last byte without validating the reported length first: u8 last_byte = *(data + length - 1); Fix by rejecting the frame early if the length is zero, or if it exceeds adapter->rx_buffer_len. This preserves the TBI workaround semantics for valid frames and prevents touching memory beyond the RX buffer. Уязвимость компонента intel/e1000/e1000_main.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: asix: validate PHY address before use The ASIX driver reads the PHY address from the USB device via asix_read_phy_addr(). A malicious or faulty device can return an invalid address (>= PHY_MAX_ADDR), which causes a warning in mdiobus_get_phy(): addr 207 out of range WARNING: drivers/net/phy/mdio_bus.c:76 Validate the PHY address in asix_read_phy_addr() and remove the now-redundant check in ax88172a.c. Уязвимость компонента usb/asix_common.c ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: stmmac: fix the crash issue for zero copy XDP_TX action There is a crash issue when running zero copy XDP_TX action, the crash log is shown below. [ 216.122464] Unable to handle kernel paging request at virtual address fffeffff80000000 [ 216.187524] Internal error: Oops: 0000000096000144 [#1] SMP [ 216.301694] Call trace: [ 216.304130] dcache_clean_poc+0x20/0x38 (P) [ 216.308308] __dma_sync_single_for_device+0x1bc/0x1e0 [ 216.313351] stmmac_xdp_xmit_xdpf+0x354/0x400 [ 216.317701] __stmmac_xdp_run_prog+0x164/0x368 [ 216.322139] stmmac_napi_poll_rxtx+0xba8/0xf00 [ 216.326576] __napi_poll+0x40/0x218 [ 216.408054] Kernel panic - not syncing: Oops: Fatal exception in interrupt For XDP_TX action, the xdp_buff is converted to xdp_frame by xdp_convert_buff_to_frame(). The memory type of the resulting xdp_frame depends on the memory type of the xdp_buff. For page pool based xdp_buff it produces xdp_frame with memory type MEM_TYPE_PAGE_POOL. For zero copy XSK pool based xdp_buff it produces xdp_frame with memory type MEM_TYPE_PAGE_ORDER0. However, stmmac_xdp_xmit_back() does not check the memory type and always uses the page pool type, this leads to invalid mappings and causes the crash. Therefore, check the xdp_buff memory type in stmmac_xdp_xmit_back() to fix this issue. Уязвимость компонента stmmac/stmmac_main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/core: Check for the presence of LS_NLA_TYPE_DGID correctly The netlink response for RDMA_NL_LS_OP_IP_RESOLVE should always have a LS_NLA_TYPE_DGID attribute, it is invalid if it does not. Use the nl parsing logic properly and call nla_parse_deprecated() to fill the nlattrs array and then directly index that array to get the data for the DGID. Just fail if it is NULL. Remove the for loop searching for the nla, and squash the validation and parsing into one function. Fixes an uninitialized read from the stack triggered by userspace if it does not provide the DGID to a kernel initiated RDMA_NL_LS_OP_IP_RESOLVE query. BUG: KMSAN: uninit-value in hex_byte_pack include/linux/hex.h:13 [inline] BUG: KMSAN: uninit-value in ip6_string+0xef4/0x13a0 lib/vsprintf.c:1490 hex_byte_pack include/linux/hex.h:13 [inline] ip6_string+0xef4/0x13a0 lib/vsprintf.c:1490 ip6_addr_string+0x18a/0x3e0 lib/vsprintf.c:1509 ip_addr_string+0x245/0xee0 lib/vsprintf.c:1633 pointer+0xc09/0x1bd0 lib/vsprintf.c:2542 vsnprintf+0xf8a/0x1bd0 lib/vsprintf.c:2930 vprintk_store+0x3ae/0x1530 kernel/printk/printk.c:2279 vprintk_emit+0x307/0xcd0 kernel/printk/printk.c:2426 vprintk_default+0x3f/0x50 kernel/printk/printk.c:2465 vprintk+0x36/0x50 kernel/printk/printk_safe.c:82 _printk+0x17e/0x1b0 kernel/printk/printk.c:2475 ib_nl_process_good_ip_rsep drivers/infiniband/core/addr.c:128 [inline] ib_nl_handle_ip_res_resp+0x963/0x9d0 drivers/infiniband/core/addr.c:141 rdma_nl_rcv_msg drivers/infiniband/core/netlink.c:-1 [inline] rdma_nl_rcv_skb drivers/infiniband/core/netlink.c:239 [inline] rdma_nl_rcv+0xefa/0x11c0 drivers/infiniband/core/netlink.c:259 netlink_unicast_kernel net/netlink/af_netlink.c:1320 [inline] netlink_unicast+0xf04/0x12b0 net/netlink/af_netlink.c:1346 netlink_sendmsg+0x10b3/0x1250 net/netlink/af_netlink.c:1896 sock_sendmsg_nosec net/socket.c:714 [inline] __sock_sendmsg+0x333/0x3d0 net/socket.c:729 ____sys_sendmsg+0x7e0/0xd80 net/socket.c:2617 ___sys_sendmsg+0x271/0x3b0 net/socket.c:2671 __sys_sendmsg+0x1aa/0x300 net/socket.c:2703 __compat_sys_sendmsg net/compat.c:346 [inline] __do_compat_sys_sendmsg net/compat.c:353 [inline] __se_compat_sys_sendmsg net/compat.c:350 [inline] __ia32_compat_sys_sendmsg+0xa4/0x100 net/compat.c:350 ia32_sys_call+0x3f6c/0x4310 arch/x86/include/generated/asm/syscalls_32.h:371 do_syscall_32_irqs_on arch/x86/entry/syscall_32.c:83 [inline] __do_fast_syscall_32+0xb0/0x150 arch/x86/entry/syscall_32.c:306 do_fast_syscall_32+0x38/0x80 arch/x86/entry/syscall_32.c:331 do_SYSENTER_32+0x1f/0x30 arch/x86/entry/syscall_32.c:3 Уязвимость компонента RDMA/core ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv4: Fix reference count leak when using error routes with nexthop objects When a nexthop object is deleted, it is marked as dead and then fib_table_flush() is called to flush all the routes that are using the dead nexthop. The current logic in fib_table_flush() is to only flush error routes (e.g., blackhole) when it is called as part of network namespace dismantle (i.e., with flush_all=true). Therefore, error routes are not flushed when their nexthop object is deleted: # ip link add name dummy1 up type dummy # ip nexthop add id 1 dev dummy1 # ip route add 198.51.100.1/32 nhid 1 # ip route add blackhole 198.51.100.2/32 nhid 1 # ip nexthop del id 1 # ip route show blackhole 198.51.100.2 nhid 1 dev dummy1 As such, they keep holding a reference on the nexthop object which in turn holds a reference on the nexthop device, resulting in a reference count leak: # ip link del dev dummy1 [ 70.516258] unregister_netdevice: waiting for dummy1 to become free. Usage count = 2 Fix by flushing error routes when their nexthop is marked as dead. IPv6 does not suffer from this problem. Уязвимость компонента ipv4/fib_trie.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ip6_gre: make ip6gre_header() robust Over the years, syzbot found many ways to crash the kernel in ip6gre_header() [1]. This involves team or bonding drivers ability to dynamically change their dev->needed_headroom and/or dev->hard_header_len In this particular crash mld_newpack() allocated an skb with a too small reserve/headroom, and by the time mld_sendpack() was called, syzbot managed to attach an ip6gre device. [1] skbuff: skb_under_panic: text:ffffffff8a1d69a8 len:136 put:40 head:ffff888059bc7000 data:ffff888059bc6fe8 tail:0x70 end:0x6c0 dev:team0 ------------[ cut here ]------------ kernel BUG at net/core/skbuff.c:213 ! <TASK> skb_under_panic net/core/skbuff.c:223 [inline] skb_push+0xc3/0xe0 net/core/skbuff.c:2641 ip6gre_header+0xc8/0x790 net/ipv6/ip6_gre.c:1371 dev_hard_header include/linux/netdevice.h:3436 [inline] neigh_connected_output+0x286/0x460 net/core/neighbour.c:1618 neigh_output include/net/neighbour.h:556 [inline] ip6_finish_output2+0xfb3/0x1480 net/ipv6/ip6_output.c:136 __ip6_finish_output net/ipv6/ip6_output.c:-1 [inline] ip6_finish_output+0x234/0x7d0 net/ipv6/ip6_output.c:220 NF_HOOK_COND include/linux/netfilter.h:307 [inline] ip6_output+0x340/0x550 net/ipv6/ip6_output.c:247 NF_HOOK+0x9e/0x380 include/linux/netfilter.h:318 mld_sendpack+0x8d4/0xe60 net/ipv6/mcast.c:1855 mld_send_cr net/ipv6/mcast.c:2154 [inline] mld_ifc_work+0x83e/0xd60 net/ipv6/mcast.c:2693 Уязвимость компонента ipv6/ip6_gre.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe/oa: Fix potential UAF in xe_oa_add_config_ioctl() In xe_oa_add_config_ioctl(), we accessed oa_config->id after dropping metrics_lock. Since this lock protects the lifetime of oa_config, an attacker could guess the id and call xe_oa_remove_config_ioctl() with perfect timing, freeing oa_config before we dereference it, leading to a potential use-after-free. Fix this by caching the id in a local variable while holding the lock. v2: (Matt A) - Dropped mutex_unlock(&oa->metrics_lock) ordering change from xe_oa_remove_config_ioctl() (cherry picked from commit 28aeaed130e8e587fd1b73b6d66ca41ccc5a1a31) Уязвимость функции xe_oa_add_config_ioctl() модуля drivers/gpu/drm/xe/xe_oa.c драйвера инфраструктуры прямого рендеринга (DRI) ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtlwifi: 8192cu: fix tid out of range in rtl92cu_tx_fill_desc() TID getting from ieee80211_get_tid() might be out of range of array size of sta_entry->tids[], so check TID is less than MAX_TID_COUNT. Othwerwise, UBSAN warn: UBSAN: array-index-out-of-bounds in drivers/net/wireless/realtek/rtlwifi/rtl8192cu/trx.c:514:30 index 10 is out of range for type 'rtl_tid_data [9]' Уязвимость функции rtl92cu_tx_fill_desc() модуля drivers/net/wireless/realtek/rtlwifi/rtl8192cu/trx.c драйвера адаптеров беспроводной связи Realtek ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю получить доступ к защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=7.6) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86: hp-bioscfg: Fix out-of-bounds array access in ACPI package parsing The hp_populate_*_elements_from_package() functions in the hp-bioscfg driver contain out-of-bounds array access vulnerabilities. These functions parse ACPI packages into internal data structures using a for loop with index variable 'elem' that iterates through enum_obj/integer_obj/order_obj/password_obj/string_obj arrays. When processing multi-element fields like PREREQUISITES and ENUM_POSSIBLE_VALUES, these functions read multiple consecutive array elements using expressions like 'enum_obj[elem + reqs]' and 'enum_obj[elem + pos_values]' within nested loops. The bug is that the bounds check only validated elem, but did not consider the additional offset when accessing elem + reqs or elem + pos_values. The fix changes the bounds check to validate the actual accessed index. Уязвимость компонента hp-bioscfg ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scs: fix a wrong parameter in __scs_magic __scs_magic() needs a 'void *' variable, but a 'struct task_struct *' is given. 'task_scs(tsk)' is the starting address of the task's shadow call stack, and '__scs_magic(task_scs(tsk))' is the end address of the task's shadow call stack. Here should be '__scs_magic(task_scs(tsk))'. The user-visible effect of this bug is that when CONFIG_DEBUG_STACK_USAGE is enabled, the shadow call stack usage checking function (scs_check_usage) would scan an incorrect memory range. This could lead 1. **Inaccurate stack usage reporting**: The function would calculate wrong usage statistics for the shadow call stack, potentially showing incorrect value in kmsg. 2. **Potential kernel crash**: If the value of __scs_magic(tsk)is greater than that of __scs_magic(task_scs(tsk)), the for loop may access unmapped memory, potentially causing a kernel panic. However, this scenario is unlikely because task_struct is allocated via the slab allocator (which typically returns lower addresses), while the shadow call stack returned by task_scs(tsk) is allocated via vmalloc(which typically returns higher addresses). However, since this is purely a debugging feature (CONFIG_DEBUG_STACK_USAGE), normal production systems should be not unaffected. The bug only impacts developers and testers who are actively debugging stack usage with this configuration enabled. Уязвимость функции scs_check_usage() модуля kernel/scs.c ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Fix VM hard lockup after prolonged inactivity with periodic HV timer When advancing the target expiration for the guest's APIC timer in periodic mode, set the expiration to "now" if the target expiration is in the past (similar to what is done in update_target_expiration()). Blindly adding the period to the previous target expiration can result in KVM generating a practically unbounded number of hrtimer IRQs due to programming an expired timer over and over. In extreme scenarios, e.g. if userspace pauses/suspends a VM for an extended duration, this can even cause hard lockups in the host. Currently, the bug only affects Intel CPUs when using the hypervisor timer (HV timer), a.k.a. the VMX preemption timer. Unlike the software timer, a.k.a. hrtimer, which KVM keeps running even on exits to userspace, the HV timer only runs while the guest is active. As a result, if the vCPU does not run for an extended duration, there will be a huge gap between the target expiration and the current time the vCPU resumes running. Because the target expiration is incremented by only one period on each timer expiration, this leads to a series of timer expirations occurring rapidly after the vCPU/VM resumes. More critically, when the vCPU first triggers a periodic HV timer expiration after resuming, advancing the expiration by only one period will result in a target expiration in the past. As a result, the delta may be calculated as a negative value. When the delta is converted into an absolute value (tscdeadline is an unsigned u64), the resulting value can overflow what the HV timer is capable of programming. I.e. the large value will exceed the VMX Preemption Timer's maximum bit width of cpu_preemption_timer_multi + 32, and thus cause KVM to switch from the HV timer to the software timer (hrtimers). After switching to the software timer, periodic timer expiration callbacks may be executed consecutively within a single clock interrupt handler, because hrtimers honors KVM's request for an expiration in the past and immediately re-invokes KVM's callback after reprogramming. And because the interrupt handler runs with IRQs disabled, restarting KVM's hrtimer over and over until the target expiration is advanced to "now" can result in a hard lockup. E.g. the following hard lockup was triggered in the host when running a Windows VM (only relevant because it used the APIC timer in periodic mode) after resuming the VM from a long suspend (in the host). NMI watchdog: Watchdog detected hard LOCKUP on cpu 45 ... RIP: 0010:advance_periodic_target_expiration+0x4d/0x80 [kvm] ... RSP: 0018:ff4f88f5d98d8ef0 EFLAGS: 00000046 RAX: fff0103f91be678e RBX: fff0103f91be678e RCX: 00843a7d9e127bcc RDX: 0000000000000002 RSI: 0052ca4003697505 RDI: ff440d5bfbdbd500 RBP: ff440d5956f99200 R08: ff2ff2a42deb6a84 R09: 000000000002a6c0 R10: 0122d794016332b3 R11: 0000000000000000 R12: ff440db1af39cfc0 R13: ff440db1af39cfc0 R14: ffffffffc0d4a560 R15: ff440db1af39d0f8 FS: 00007f04a6ffd700(0000) GS:ff440db1af380000(0000) knlGS:000000e38a3b8000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000000d5651feff8 CR3: 000000684e038002 CR4: 0000000000773ee0 PKRU: 55555554 Call Trace: <IRQ> apic_timer_fn+0x31/0x50 [kvm] __hrtimer_run_queues+0x100/0x280 hrtimer_interrupt+0x100/0x210 ? ttwu_do_wakeup+0x19/0x160 smp_apic_timer_interrupt+0x6a/0x130 apic_timer_interrupt+0xf/0x20 </IRQ> Moreover, if the suspend duration of the virtual machine is not long enough to trigger a hard lockup in this scenario, since commit 98c25ead5eda ("KVM: VMX: Move preemption timer <=> hrtimer dance to common x86"), KVM will continue using the software timer until the guest reprograms the APIC timer in some way. Since the periodic timer does not require frequent APIC timer register programming, the guest may continue to use the software timer in ---truncated--- Уязвимость функции advance_periodic_target_expiration() модуля arch/x86/kvm/lapic.c подсистемы виртуализации на платформе x86 ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: use global inline_xattr_slab instead of per-sb slab cache As Hong Yun reported in mailing list: loop7: detected capacity change from 0 to 131072 ------------[ cut here ]------------ kmem_cache of name 'f2fs_xattr_entry-7:7' already exists WARNING: CPU: 0 PID: 24426 at mm/slab_common.c:110 kmem_cache_sanity_check mm/slab_common.c:109 [inline] WARNING: CPU: 0 PID: 24426 at mm/slab_common.c:110 __kmem_cache_create_args+0xa6/0x320 mm/slab_common.c:307 CPU: 0 UID: 0 PID: 24426 Comm: syz.7.1370 Not tainted 6.17.0-rc4 #1 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.13.0-1ubuntu1.1 04/01/2014 RIP: 0010:kmem_cache_sanity_check mm/slab_common.c:109 [inline] RIP: 0010:__kmem_cache_create_args+0xa6/0x320 mm/slab_common.c:307 Call Trace:  __kmem_cache_create include/linux/slab.h:353 [inline]  f2fs_kmem_cache_create fs/f2fs/f2fs.h:2943 [inline]  f2fs_init_xattr_caches+0xa5/0xe0 fs/f2fs/xattr.c:843  f2fs_fill_super+0x1645/0x2620 fs/f2fs/super.c:4918  get_tree_bdev_flags+0x1fb/0x260 fs/super.c:1692  vfs_get_tree+0x43/0x140 fs/super.c:1815  do_new_mount+0x201/0x550 fs/namespace.c:3808  do_mount fs/namespace.c:4136 [inline]  __do_sys_mount fs/namespace.c:4347 [inline]  __se_sys_mount+0x298/0x2f0 fs/namespace.c:4324  do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline]  do_syscall_64+0x8e/0x3a0 arch/x86/entry/syscall_64.c:94  entry_SYSCALL_64_after_hwframe+0x76/0x7e The bug can be reproduced w/ below scripts: - mount /dev/vdb /mnt1 - mount /dev/vdc /mnt2 - umount /mnt1 - mounnt /dev/vdb /mnt1 The reason is if we created two slab caches, named f2fs_xattr_entry-7:3 and f2fs_xattr_entry-7:7, and they have the same slab size. Actually, slab system will only create one slab cache core structure which has slab name of "f2fs_xattr_entry-7:3", and two slab caches share the same structure and cache address. So, if we destroy f2fs_xattr_entry-7:3 cache w/ cache address, it will decrease reference count of slab cache, rather than release slab cache entirely, since there is one more user has referenced the cache. Then, if we try to create slab cache w/ name "f2fs_xattr_entry-7:3" again, slab system will find that there is existed cache which has the same name and trigger the warning. Let's changes to use global inline_xattr_slab instead of per-sb slab cache for fixing. Уязвимость компонента f2fs ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: ensure node page reads complete before f2fs_put_super() finishes Xfstests generic/335, generic/336 sometimes crash with the following message: F2FS-fs (dm-0): detect filesystem reference count leak during umount, type: 9, count: 1 ------------[ cut here ]------------ kernel BUG at fs/f2fs/super.c:1939! Oops: invalid opcode: 0000 [#1] SMP NOPTI CPU: 1 UID: 0 PID: 609351 Comm: umount Tainted: G W 6.17.0-rc5-xfstests-g9dd1835ecda5 #1 PREEMPT(none) Tainted: [W]=WARN Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:f2fs_put_super+0x3b3/0x3c0 Call Trace: <TASK> generic_shutdown_super+0x7e/0x190 kill_block_super+0x1a/0x40 kill_f2fs_super+0x9d/0x190 deactivate_locked_super+0x30/0xb0 cleanup_mnt+0xba/0x150 task_work_run+0x5c/0xa0 exit_to_user_mode_loop+0xb7/0xc0 do_syscall_64+0x1ae/0x1c0 entry_SYSCALL_64_after_hwframe+0x76/0x7e </TASK> ---[ end trace 0000000000000000 ]--- It appears that sometimes it is possible that f2fs_put_super() is called before all node page reads are completed. Adding a call to f2fs_wait_on_all_pages() for F2FS_RD_NODE fixes the problem. Уязвимость функции f2fs_put_super() модуля fs/f2fs/super.c файловой системы F2FS ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: typec: ucsi: Handle incorrect num_connectors capability The UCSI spec states that the num_connectors field is 7 bits, and the 8th bit is reserved and should be set to zero. Some buggy FW has been known to set this bit, and it can lead to a system not booting. Flag that the FW is not behaving correctly, and auto-fix the value so that the system boots correctly. Found on Lenovo P1 G8 during Linux enablement program. The FW will be fixed, but seemed worth addressing in case it hit platforms that aren't officially Linux supported. Уязвимость функции ucsi_init() модуля drivers/usb/typec/ucsi/ucsi.c драйвера интерфейса разъема USB Type C (UCSI) ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: MIPS: ftrace: Fix memory corruption when kernel is located beyond 32 bits Since commit e424054000878 ("MIPS: Tracing: Reduce the overhead of dynamic Function Tracer"), the macro UASM_i_LA_mostly has been used, and this macro can generate more than 2 instructions. At the same time, the code in ftrace assumes that no more than 2 instructions can be generated, which is why it stores them in an int[2] array. However, as previously noted, the macro UASM_i_LA_mostly (and now UASM_i_LA) causes a buffer overflow when _mcount is beyond 32 bits. This leads to corruption of the variables located in the __read_mostly section. This corruption was observed because the variable __cpu_primary_thread_mask was corrupted, causing a hang very early during boot. This fix prevents the corruption by avoiding the generation of instructions if they could exceed 2 instructions in length. Fortunately, insn_la_mcount is only used if the instrumented code is located outside the kernel code section, so dynamic ftrace can still be used, albeit in a more limited scope. This is still preferable to corrupting memory and/or crashing the kernel. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hwmon: (w83791d) Convert macros to functions to avoid TOCTOU The macro FAN_FROM_REG evaluates its arguments multiple times. When used in lockless contexts involving shared driver data, this leads to Time-of-Check to Time-of-Use (TOCTOU) race conditions, potentially causing divide-by-zero errors. Convert the macro to a static function. This guarantees that arguments are evaluated only once (pass-by-value), preventing the race conditions. Additionally, in store_fan_div, move the calculation of the minimum limit inside the update lock. This ensures that the read-modify-write sequence operates on consistent data. Adhere to the principle of minimal changes by only converting macros that evaluate arguments multiple times and are used in lockless contexts. Уязвимость компонента hwmon/w83791d.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: hns3: add VLAN id validation before using Currently, the VLAN id may be used without validation when receive a VLAN configuration mailbox from VF. The length of vlan_del_fail_bmap is BITS_TO_LONGS(VLAN_N_VID). It may cause out-of-bounds memory access once the VLAN id is bigger than or equal to VLAN_N_VID. Therefore, VLAN id needs to be checked to ensure it is within the range of VLAN_N_VID. Уязвимость функции hclge_set_vlan_filter() модуля drivers/net/ethernet/hisilicon/hns3/hns3pf/hclge_main.c драйвера сетевых адаптеров Ethernet Hisilicon ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: af_alg - zero initialize memory allocated via sock_kmalloc Several crypto user API contexts and requests allocated with sock_kmalloc() were left uninitialized, relying on callers to set fields explicitly. This resulted in the use of uninitialized data in certain error paths or when new fields are added in the future. The ACVP patches also contain two user-space interface files: algif_kpp.c and algif_akcipher.c. These too rely on proper initialization of their context structures. A particular issue has been observed with the newly added 'inflight' variable introduced in af_alg_ctx by commit: 67b164a871af ("crypto: af_alg - Disallow multiple in-flight AIO requests") Because the context is not memset to zero after allocation, the inflight variable has contained garbage values. As a result, af_alg_alloc_areq() has incorrectly returned -EBUSY randomly when the garbage value was interpreted as true: https://github.com/gregkh/linux/blame/master/crypto/af_alg.c#L1209 The check directly tests ctx->inflight without explicitly comparing against true/false. Since inflight is only ever set to true or false later, an uninitialized value has triggered -EBUSY failures. Zero-initializing memory allocated with sock_kmalloc() ensures inflight and other fields start in a known state, removing random issues caused by uninitialized data. Уязвимость компонента crypto ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: via_wdt: fix critical boot hang due to unnamed resource allocation The VIA watchdog driver uses allocate_resource() to reserve a MMIO region for the watchdog control register. However, the allocated resource was not given a name, which causes the kernel resource tree to contain an entry marked as "<BAD>" under /proc/iomem on x86 platforms. During boot, this unnamed resource can lead to a critical hang because subsequent resource lookups and conflict checks fail to handle the invalid entry properly. Уязвимость функции wdt_probe() модуля drivers/watchdog/via_wdt.c поддержки сторожевого таймера ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libceph: make decode_pool() more resilient against corrupted osdmaps If the osdmap is (maliciously) corrupted such that the encoded length of ceph_pg_pool envelope is less than what is expected for a particular encoding version, out-of-bounds reads may ensue because the only bounds check that is there is based on that length value. This patch adds explicit bounds checks for each field that is decoded or skipped. Уязвимость функции decode_pool() модуля net/ceph/osdmap.c реализации сетевых функций ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ к защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ACPICA: Avoid walking the Namespace if start_node is NULL Although commit 0c9992315e73 ("ACPICA: Avoid walking the ACPI Namespace if it is not there") fixed the situation when both start_node and acpi_gbl_root_node are NULL, the Linux kernel mainline now still crashed on Honor Magicbook 14 Pro [1]. That happens due to the access to the member of parent_node in acpi_ns_get_next_node(). The NULL pointer dereference will always happen, no matter whether or not the start_node is equal to ACPI_ROOT_OBJECT, so move the check of start_node being NULL out of the if block. Unfortunately, all the attempts to contact Honor have failed, they refused to provide any technical support for Linux. The bad DSDT table's dump could be found on GitHub [2]. DMI: HONOR FMB-P/FMB-P-PCB, BIOS 1.13 05/08/2025 [ rjw: Subject adjustment, changelog edits ] Уязвимость функции acpi_ns_walk_namespace() модуля drivers/acpi/acpica/nswalk.c драйвера ACPI (расширенный интерфейс конфигурации и питания) ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: powerpc/kexec: Enable SMT before waking offline CPUs If SMT is disabled or a partial SMT state is enabled, when a new kernel image is loaded for kexec, on reboot the following warning is observed: kexec: Waking offline cpu 228. WARNING: CPU: 0 PID: 9062 at arch/powerpc/kexec/core_64.c:223 kexec_prepare_cpus+0x1b0/0x1bc [snip] NIP kexec_prepare_cpus+0x1b0/0x1bc LR kexec_prepare_cpus+0x1a0/0x1bc Call Trace: kexec_prepare_cpus+0x1a0/0x1bc (unreliable) default_machine_kexec+0x160/0x19c machine_kexec+0x80/0x88 kernel_kexec+0xd0/0x118 __do_sys_reboot+0x210/0x2c4 system_call_exception+0x124/0x320 system_call_vectored_common+0x15c/0x2ec This occurs as add_cpu() fails due to cpu_bootable() returning false for CPUs that fail the cpu_smt_thread_allowed() check or non primary threads if SMT is disabled. Fix the issue by enabling SMT and resetting the number of SMT threads to the number of threads per core, before attempting to wake up all present CPUs. Уязвимость компонента powerpc/kexec ядра операционной системы Linux связана с отсутствием инициализации ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: SUNRPC: svcauth_gss: avoid NULL deref on zero length gss_token in gss_read_proxy_verf A zero length gss_token results in pages == 0 and in_token->pages[0] is NULL. The code unconditionally evaluates page_address(in_token->pages[0]) for the initial memcpy, which can dereference NULL even when the copy length is 0. Guard the first memcpy so it only runs when length > 0. Уязвимость функции gss_read_proxy_verf() модуля net/sunrpc/auth_gss/svcauth_gss.c ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: parisc: Do not reprogram affinitiy on ASP chip The ASP chip is a very old variant of the GSP chip and is used e.g. in HP 730 workstations. When trying to reprogram the affinity it will crash with a HPMC as the relevant registers don't seem to be at the usual location. Let's avoid the crash by checking the sversion. Also note, that reprogramming isn't necessary either, as the HP730 is a just a single-CPU machine. Уязвимость функции gsc_set_affinity_irq() модуля drivers/parisc/gsc.c ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommufd/selftest: Check for overflow in IOMMU_TEST_OP_ADD_RESERVED syzkaller found it could overflow math in the test infrastructure and cause a WARN_ON by corrupting the reserved interval tree. This only effects test kernels with CONFIG_IOMMUFD_TEST. Validate the user input length in the test ioctl. Уязвимость компонентов iommufd/selftest ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: fix string copying in parse_apply_sb_mount_options() strscpy_pad() can't be used to copy a non-NUL-term string into a NUL-term string of possibly bigger size. Commit 0efc5990bca5 ("string.h: Introduce memtostr() and memtostr_pad()") provides additional information in that regard. So if this happens, the following warning is observed: strnlen: detected buffer overflow: 65 byte read of buffer size 64 WARNING: CPU: 0 PID: 28655 at lib/string_helpers.c:1032 __fortify_report+0x96/0xc0 lib/string_helpers.c:1032 Modules linked in: CPU: 0 UID: 0 PID: 28655 Comm: syz-executor.3 Not tainted 6.12.54-syzkaller-00144-g5f0270f1ba00 #0 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 RIP: 0010:__fortify_report+0x96/0xc0 lib/string_helpers.c:1032 Call Trace: <TASK> __fortify_panic+0x1f/0x30 lib/string_helpers.c:1039 strnlen include/linux/fortify-string.h:235 [inline] sized_strscpy include/linux/fortify-string.h:309 [inline] parse_apply_sb_mount_options fs/ext4/super.c:2504 [inline] __ext4_fill_super fs/ext4/super.c:5261 [inline] ext4_fill_super+0x3c35/0xad00 fs/ext4/super.c:5706 get_tree_bdev_flags+0x387/0x620 fs/super.c:1636 vfs_get_tree+0x93/0x380 fs/super.c:1814 do_new_mount fs/namespace.c:3553 [inline] path_mount+0x6ae/0x1f70 fs/namespace.c:3880 do_mount fs/namespace.c:3893 [inline] __do_sys_mount fs/namespace.c:4103 [inline] __se_sys_mount fs/namespace.c:4080 [inline] __x64_sys_mount+0x280/0x300 fs/namespace.c:4080 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0x64/0x140 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x76/0x7e Since userspace is expected to provide s_mount_opts field to be at most 63 characters long with the ending byte being NUL-term, use a 64-byte buffer which matches the size of s_mount_opts, so that strscpy_pad() does its job properly. Return with error if the user still managed to provide a non-NUL-term string here. Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость функции parse_apply_sb_mount_options() модуля fs/ext4/super.c файловой системы Ext4 ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных (классическое переполнение буфера). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: Do not register unsupported perf events Synthetic events currently do not have a function to register perf events. This leads to calling the tracepoint register functions with a NULL function pointer which triggers: ------------[ cut here ]------------ WARNING: kernel/tracepoint.c:175 at tracepoint_add_func+0x357/0x370, CPU#2: perf/2272 Modules linked in: kvm_intel kvm irqbypass CPU: 2 UID: 0 PID: 2272 Comm: perf Not tainted 6.18.0-ftest-11964-ge022764176fc-dirty #323 PREEMPTLAZY Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.17.0-debian-1.17.0-1 04/01/2014 RIP: 0010:tracepoint_add_func+0x357/0x370 Code: 28 9c e8 4c 0b f5 ff eb 0f 4c 89 f7 48 c7 c6 80 4d 28 9c e8 ab 89 f4 ff 31 c0 5b 41 5c 41 5d 41 5e 41 5f 5d c3 cc cc cc cc cc <0f> 0b 49 c7 c6 ea ff ff ff e9 ee fe ff ff 0f 0b e9 f9 fe ff ff 0f RSP: 0018:ffffabc0c44d3c40 EFLAGS: 00010246 RAX: 0000000000000001 RBX: ffff9380aa9e4060 RCX: 0000000000000000 RDX: 000000000000000a RSI: ffffffff9e1d4a98 RDI: ffff937fcf5fd6c8 RBP: 0000000000000001 R08: 0000000000000007 R09: ffff937fcf5fc780 R10: 0000000000000003 R11: ffffffff9c193910 R12: 000000000000000a R13: ffffffff9e1e5888 R14: 0000000000000000 R15: ffffabc0c44d3c78 FS: 00007f6202f5f340(0000) GS:ffff93819f00f000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055d3162281a8 CR3: 0000000106a56003 CR4: 0000000000172ef0 Call Trace: <TASK> tracepoint_probe_register+0x5d/0x90 synth_event_reg+0x3c/0x60 perf_trace_event_init+0x204/0x340 perf_trace_init+0x85/0xd0 perf_tp_event_init+0x2e/0x50 perf_try_init_event+0x6f/0x230 ? perf_event_alloc+0x4bb/0xdc0 perf_event_alloc+0x65a/0xdc0 __se_sys_perf_event_open+0x290/0x9f0 do_syscall_64+0x93/0x7b0 ? entry_SYSCALL_64_after_hwframe+0x76/0x7e ? trace_hardirqs_off+0x53/0xc0 entry_SYSCALL_64_after_hwframe+0x76/0x7e Instead, have the code return -ENODEV, which doesn't warn and has perf error out with: # perf record -e synthetic:futex_wait Error: The sys_perf_event_open() syscall returned with 19 (No such device) for event (synthetic:futex_wait). "dmesg | grep -i perf" may provide additional information. Ideally perf should support synthetic events, but for now just fix the warning. The support can come later. Уязвимость функции sys_perf_event_open() ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: avoid deadlock on fallback while reinjecting Jakub reported an MPTCP deadlock at fallback time: WARNING: possible recursive locking detected 6.18.0-rc7-virtme #1 Not tainted -------------------------------------------- mptcp_connect/20858 is trying to acquire lock: ff1100001da18b60 (&msk->fallback_lock){+.-.}-{3:3}, at: __mptcp_try_fallback+0xd8/0x280 but task is already holding lock: ff1100001da18b60 (&msk->fallback_lock){+.-.}-{3:3}, at: __mptcp_retrans+0x352/0xaa0 other info that might help us debug this: Possible unsafe locking scenario: CPU0 ---- lock(&msk->fallback_lock); lock(&msk->fallback_lock); *** DEADLOCK *** May be due to missing lock nesting notation 3 locks held by mptcp_connect/20858: #0: ff1100001da18290 (sk_lock-AF_INET){+.+.}-{0:0}, at: mptcp_sendmsg+0x114/0x1bc0 #1: ff1100001db40fd0 (k-sk_lock-AF_INET#2){+.+.}-{0:0}, at: __mptcp_retrans+0x2cb/0xaa0 #2: ff1100001da18b60 (&msk->fallback_lock){+.-.}-{3:3}, at: __mptcp_retrans+0x352/0xaa0 stack backtrace: CPU: 0 UID: 0 PID: 20858 Comm: mptcp_connect Not tainted 6.18.0-rc7-virtme #1 PREEMPT(full) Hardware name: Bochs, BIOS Bochs 01/01/2011 Call Trace: <TASK> dump_stack_lvl+0x6f/0xa0 print_deadlock_bug.cold+0xc0/0xcd validate_chain+0x2ff/0x5f0 __lock_acquire+0x34c/0x740 lock_acquire.part.0+0xbc/0x260 _raw_spin_lock_bh+0x38/0x50 __mptcp_try_fallback+0xd8/0x280 mptcp_sendmsg_frag+0x16c2/0x3050 __mptcp_retrans+0x421/0xaa0 mptcp_release_cb+0x5aa/0xa70 release_sock+0xab/0x1d0 mptcp_sendmsg+0xd5b/0x1bc0 sock_write_iter+0x281/0x4d0 new_sync_write+0x3c5/0x6f0 vfs_write+0x65e/0xbb0 ksys_write+0x17e/0x200 do_syscall_64+0xbb/0xfd0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x7fa5627cbc5e Code: 4d 89 d8 e8 14 bd 00 00 4c 8b 5d f8 41 8b 93 08 03 00 00 59 5e 48 83 f8 fc 74 11 c9 c3 0f 1f 80 00 00 00 00 48 8b 45 10 0f 05 <c9> c3 83 e2 39 83 fa 08 75 e7 e8 13 ff ff ff 0f 1f 00 f3 0f 1e fa RSP: 002b:00007fff1fe14700 EFLAGS: 00000202 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 0000000000000005 RCX: 00007fa5627cbc5e RDX: 0000000000001f9c RSI: 00007fff1fe16984 RDI: 0000000000000005 RBP: 00007fff1fe14710 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000202 R12: 00007fff1fe16920 R13: 0000000000002000 R14: 0000000000001f9c R15: 0000000000001f9c The packet scheduler could attempt a reinjection after receiving an MP_FAIL and before the infinite map has been transmitted, causing a deadlock since MPTCP needs to do the reinjection atomically from WRT fallback. Address the issue explicitly avoiding the reinjection in the critical scenario. Note that this is the only fallback critical section that could potentially send packets and hit the double-lock. Уязвимость функции __mptcp_retrans() модуля net/mptcp/protocol.c реализации протокола MPTCP ядра операционной системы Linux связана с возникновением взаимной блокировки. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: Discard Beacon frames to non-broadcast address Beacon frames are required to be sent to the broadcast address, see IEEE Std 802.11-2020, 11.1.3.1 ("The Address 1 field of the Beacon .. frame shall be set to the broadcast address"). A unicast Beacon frame might be used as a targeted attack to get one of the associated STAs to do something (e.g., using CSA to move it to another channel). As such, it is better have strict filtering for this on the received side and discard all Beacon frames that are sent to an unexpected address. This is even more important for cases where beacon protection is used. The current implementation in mac80211 is correctly discarding unicast Beacon frames if the Protected Frame bit in the Frame Control field is set to 0. However, if that bit is set to 1, the logic used for checking for configured BIGTK(s) does not actually work. If the driver does not have logic for dropping unicast Beacon frames with Protected Frame bit 1, these frames would be accepted in mac80211 processing as valid Beacon frames even though they are not protected. This would allow beacon protection to be bypassed. While the logic for checking beacon protection could be extended to cover this corner case, a more generic check for discard all Beacon frames based on A1=unicast address covers this without needing additional changes. Address all these issues by dropping received Beacon frames if they are sent to a non-broadcast address. Уязвимость компонента mac80211/rx.c ядра операционной системы Linux связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: BPF: Sign extend kfunc call arguments The kfunc calls are native calls so they should follow LoongArch calling conventions. Sign extend its arguments properly to avoid kernel panic. This is done by adding a new emit_abi_ext() helper. The emit_abi_ext() helper performs extension in place meaning a value already store in the target register (Note: this is different from the existing sign_extend() helper and thus we can't reuse it). [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/i915/gem: Zero-initialize the eb.vma array in i915_gem_do_execbuffer Initialize the eb.vma array with values of 0 when the eb structure is first set up. In particular, this sets the eb->vma[i].vma pointers to NULL, simplifying cleanup and getting rid of the bug described below. During the execution of eb_lookup_vmas(), the eb->vma array is successively filled up with struct eb_vma objects. This process includes calling eb_add_vma(), which might fail; however, even in the event of failure, eb->vma[i].vma is set for the currently processed buffer. If eb_add_vma() fails, eb_lookup_vmas() returns with an error, which prompts a call to eb_release_vmas() to clean up the mess. Since eb_lookup_vmas() might fail during processing any (possibly not first) buffer, eb_release_vmas() checks whether a buffer's vma is NULL to know at what point did the lookup function fail. In eb_lookup_vmas(), eb->vma[i].vma is set to NULL if either the helper function eb_lookup_vma() or eb_validate_vma() fails. eb->vma[i+1].vma is set to NULL in case i915_gem_object_userptr_submit_init() fails; the current one needs to be cleaned up by eb_release_vmas() at this point, so the next one is set. If eb_add_vma() fails, neither the current nor the next vma is set to NULL, which is a source of a NULL deref bug described in the issue linked in the Closes tag. When entering eb_lookup_vmas(), the vma pointers are set to the slab poison value, instead of NULL. This doesn't matter for the actual lookup, since it gets overwritten anyway, however the eb_release_vmas() function only recognizes NULL as the stopping value, hence the pointers are being set to NULL as they go in case of intermediate failure. This patch changes the approach to filling them all with NULL at the start instead, rather than handling that manually during failure. (cherry picked from commit 08889b706d4f0b8d2352b7ca29c2d8df4d0787cd) Уязвимость компонента drm/i915/gem ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: seqiv - Do not use req->iv after crypto_aead_encrypt As soon as crypto_aead_encrypt is called, the underlying request may be freed by an asynchronous completion. Thus dereferencing req->iv after it returns is invalid. Instead of checking req->iv against info, create a new variable unaligned_info and use it for that purpose instead. Уязвимость функции seqiv_aead_encrypt() модуля crypto/seqiv.c криптографической подсистемы ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smc91x: fix broken irq-context in PREEMPT_RT When smc91x.c is built with PREEMPT_RT, the following splat occurs in FVP_RevC: [ 13.055000] smc91x LNRO0003:00 eth0: link up, 10Mbps, half-duplex, lpa 0x0000 [ 13.062137] BUG: workqueue leaked atomic, lock or RCU: kworker/2:1[106] [ 13.062137] preempt=0x00000000 lock=0->0 RCU=0->1 workfn=mld_ifc_work [ 13.062266] C ** replaying previous printk message ** [ 13.062266] CPU: 2 UID: 0 PID: 106 Comm: kworker/2:1 Not tainted 6.18.0-dirty #179 PREEMPT_{RT,(full)} [ 13.062353] Hardware name: , BIOS [ 13.062382] Workqueue: mld mld_ifc_work [ 13.062469] Call trace: [ 13.062494] show_stack+0x24/0x40 (C) [ 13.062602] __dump_stack+0x28/0x48 [ 13.062710] dump_stack_lvl+0x7c/0xb0 [ 13.062818] dump_stack+0x18/0x34 [ 13.062926] process_scheduled_works+0x294/0x450 [ 13.063043] worker_thread+0x260/0x3d8 [ 13.063124] kthread+0x1c4/0x228 [ 13.063235] ret_from_fork+0x10/0x20 This happens because smc_special_trylock() disables IRQs even on PREEMPT_RT, but smc_special_unlock() does not restore IRQs on PREEMPT_RT. The reason is that smc_special_unlock() calls spin_unlock_irqrestore(), and rcu_read_unlock_bh() in __dev_queue_xmit() cannot invoke rcu_read_unlock() through __local_bh_enable_ip() when current->softirq_disable_cnt becomes zero. To address this issue, replace smc_special_trylock() with spin_trylock_irqsave(). Уязвимость компонента smsc/smc91x.c ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/irdma: avoid invalid read in irdma_net_event irdma_net_event() should not dereference anything from "neigh" (alias "ptr") until it has checked that the event is NETEVENT_NEIGH_UPDATE. Other events come with different structures pointed to by "ptr" and they may be smaller than struct neighbour. Move the read of neigh->dev under the NETEVENT_NEIGH_UPDATE case. The bug is mostly harmless, but it triggers KASAN on debug kernels: BUG: KASAN: stack-out-of-bounds in irdma_net_event+0x32e/0x3b0 [irdma] Read of size 8 at addr ffffc900075e07f0 by task kworker/27:2/542554 CPU: 27 PID: 542554 Comm: kworker/27:2 Kdump: loaded Not tainted 5.14.0-630.el9.x86_64+debug #1 Hardware name: [...] Workqueue: events rt6_probe_deferred Call Trace: <IRQ> dump_stack_lvl+0x60/0xb0 print_address_description.constprop.0+0x2c/0x3f0 print_report+0xb4/0x270 kasan_report+0x92/0xc0 irdma_net_event+0x32e/0x3b0 [irdma] notifier_call_chain+0x9e/0x180 atomic_notifier_call_chain+0x5c/0x110 rt6_do_redirect+0xb91/0x1080 tcp_v6_err+0xe9b/0x13e0 icmpv6_notify+0x2b2/0x630 ndisc_redirect_rcv+0x328/0x530 icmpv6_rcv+0xc16/0x1360 ip6_protocol_deliver_rcu+0xb84/0x12e0 ip6_input_finish+0x117/0x240 ip6_input+0xc4/0x370 ipv6_rcv+0x420/0x7d0 __netif_receive_skb_one_core+0x118/0x1b0 process_backlog+0xd1/0x5d0 __napi_poll.constprop.0+0xa3/0x440 net_rx_action+0x78a/0xba0 handle_softirqs+0x2d4/0x9c0 do_softirq+0xad/0xe0 </IRQ> Уязвимость функции irdma_net_event() модуля drivers/infiniband/hw/irdma/utils.c драйвера InfiniBand ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/page_alloc: change all pageblocks migrate type on coalescing When a page is freed it coalesces with a buddy into a higher order page while possible. When the buddy page migrate type differs, it is expected to be updated to match the one of the page being freed. However, only the first pageblock of the buddy page is updated, while the rest of the pageblocks are left unchanged. That causes warnings in later expand() and other code paths (like below), since an inconsistency between migration type of the list containing the page and the page-owned pageblocks migration types is introduced. [ 308.986589] ------------[ cut here ]------------ [ 308.987227] page type is 0, passed migratetype is 1 (nr=256) [ 308.987275] WARNING: CPU: 1 PID: 5224 at mm/page_alloc.c:812 expand+0x23c/0x270 [ 308.987293] Modules linked in: algif_hash(E) af_alg(E) nft_fib_inet(E) nft_fib_ipv4(E) nft_fib_ipv6(E) nft_fib(E) nft_reject_inet(E) nf_reject_ipv4(E) nf_reject_ipv6(E) nft_reject(E) nft_ct(E) nft_chain_nat(E) nf_nat(E) nf_conntrack(E) nf_defrag_ipv6(E) nf_defrag_ipv4(E) nf_tables(E) s390_trng(E) vfio_ccw(E) mdev(E) vfio_iommu_type1(E) vfio(E) sch_fq_codel(E) drm(E) i2c_core(E) drm_panel_orientation_quirks(E) loop(E) nfnetlink(E) vsock_loopback(E) vmw_vsock_virtio_transport_common(E) vsock(E) ctcm(E) fsm(E) diag288_wdt(E) watchdog(E) zfcp(E) scsi_transport_fc(E) ghash_s390(E) prng(E) aes_s390(E) des_generic(E) des_s390(E) libdes(E) sha3_512_s390(E) sha3_256_s390(E) sha_common(E) paes_s390(E) crypto_engine(E) pkey_cca(E) pkey_ep11(E) zcrypt(E) rng_core(E) pkey_pckmo(E) pkey(E) autofs4(E) [ 308.987439] Unloaded tainted modules: hmac_s390(E):2 [ 308.987650] CPU: 1 UID: 0 PID: 5224 Comm: mempig_verify Kdump: loaded Tainted: G E 6.18.0-gcc-bpf-debug #431 PREEMPT [ 308.987657] Tainted: [E]=UNSIGNED_MODULE [ 308.987661] Hardware name: IBM 3906 M04 704 (z/VM 7.3.0) [ 308.987666] Krnl PSW : 0404f00180000000 00000349976fa600 (expand+0x240/0x270) [ 308.987676] R:0 T:1 IO:0 EX:0 Key:0 M:1 W:0 P:0 AS:3 CC:3 PM:0 RI:0 EA:3 [ 308.987682] Krnl GPRS: 0000034980000004 0000000000000005 0000000000000030 000003499a0e6d88 [ 308.987688] 0000000000000005 0000034980000005 000002be803ac000 0000023efe6c8300 [ 308.987692] 0000000000000008 0000034998d57290 000002be00000100 0000023e00000008 [ 308.987696] 0000000000000000 0000000000000000 00000349976fa5fc 000002c99b1eb6f0 [ 308.987708] Krnl Code: 00000349976fa5f0: c020008a02f2 larl %r2,000003499883abd4 00000349976fa5f6: c0e5ffe3f4b5 brasl %r14,0000034997378f60 #00000349976fa5fc: af000000 mc 0,0 >00000349976fa600: a7f4ff4c brc 15,00000349976fa498 00000349976fa604: b9040026 lgr %r2,%r6 00000349976fa608: c0300088317f larl %r3,0000034998800906 00000349976fa60e: c0e5fffdb6e1 brasl %r14,00000349976b13d0 00000349976fa614: af000000 mc 0,0 [ 308.987734] Call Trace: [ 308.987738] [<00000349976fa600>] expand+0x240/0x270 [ 308.987744] ([<00000349976fa5fc>] expand+0x23c/0x270) [ 308.987749] [<00000349976ff95e>] rmqueue_bulk+0x71e/0x940 [ 308.987754] [<00000349976ffd7e>] __rmqueue_pcplist+0x1fe/0x2a0 [ 308.987759] [<0000034997700966>] rmqueue.isra.0+0xb46/0xf40 [ 308.987763] [<0000034997703ec8>] get_page_from_freelist+0x198/0x8d0 [ 308.987768] [<0000034997706fa8>] __alloc_frozen_pages_noprof+0x198/0x400 [ 308.987774] [<00000349977536f8>] alloc_pages_mpol+0xb8/0x220 [ 308.987781] [<0000034997753bf6>] folio_alloc_mpol_noprof+0x26/0xc0 [ 308.987786] [<0000034997753e4c>] vma_alloc_folio_noprof+0x6c/0xa0 [ 308.987791] [<0000034997775b22>] vma_alloc_anon_folio_pmd+0x42/0x240 [ 308.987799] [<000003499777bfea>] __do_huge_pmd_anonymous_page+0x3a/0x210 [ 308.987804] [<00000349976cb0 ---truncated--- Уязвимость компонентов mm/page_alloc ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md/raid5: fix possible null-pointer dereferences in raid5_store_group_thread_cnt() The variable mddev->private is first assigned to conf and then checked: conf = mddev->private; if (!conf) ... If conf is NULL, then mddev->private is also NULL. In this case, null-pointer dereferences can occur when calling raid5_quiesce(): raid5_quiesce(mddev, true); raid5_quiesce(mddev, false); since mddev->private is assigned to conf again in raid5_quiesce(), and conf is dereferenced in several places, for example: conf->quiesce = 0; wake_up(&conf->wait_for_quiescent); To fix this issue, the function should unlock mddev and return before invoking raid5_quiesce() when conf is NULL, following the existing pattern in raid5_change_consistency_policy(). Уязвимость функции raid5_store_group_thread_cnt() модуля drivers/md/raid5.c драйвера нескольких устройств (RAID и LVM) ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: adv7842: Avoid possible out-of-bounds array accesses in adv7842_cp_log_status() It's possible for cp_read() and hdmi_read() to return -EIO. Those values are further used as indexes for accessing arrays. Fix that by checking return values where it's needed. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции adv7842_cp_log_status() модуля drivers/media/i2c/adv7842.c драйвера мультимедийных устройств ядра операционной системы Linux связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: octeontx2-pf: fix "UBSAN: shift-out-of-bounds error" This patch ensures that the RX ring size (rx_pending) is not set below the permitted length. This avoids UBSAN shift-out-of-bounds errors when users passes small or zero ring sizes via ethtool -G. Уязвимость функции otx2_set_ringparam() модуля drivers/net/ethernet/marvell/octeontx2/nic/otx2_ethtool.c драйвера сетевых адаптеров Ethernet Marvell ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/msm/dpu: Add missing NULL pointer check for pingpong interface It is checked almost always in dpu_encoder_phys_wb_setup_ctl(), but in a single place the check is missing. Also use convenient locals instead of phys_enc->* where available. Patchwork: https://patchwork.freedesktop.org/patch/693860/ [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: mediatek: vcodec: Use spinlock for context list protection lock Previously a mutex was added to protect the encoder and decoder context lists from unexpected changes originating from the SCP IP block, causing the context pointer to go invalid, resulting in a NULL pointer dereference in the IPI handler. Turns out on the MT8173, the VPU IPI handler is called from hard IRQ context. This causes a big warning from the scheduler. This was first reported downstream on the ChromeOS kernels, but is also reproducible on mainline using Fluster with the FFmpeg v4l2m2m decoders. Even though the actual capture format is not supported, the affected code paths are triggered. Since this lock just protects the context list and operations on it are very fast, it should be OK to switch to a spinlock. Уязвимость компонента media ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clk: samsung: exynos-clkout: Assign .num before accessing .hws Commit f316cdff8d67 ("clk: Annotate struct clk_hw_onecell_data with __counted_by") annotated the hws member of 'struct clk_hw_onecell_data' with __counted_by, which informs the bounds sanitizer (UBSAN_BOUNDS) about the number of elements in .hws[], so that it can warn when .hws[] is accessed out of bounds. As noted in that change, the __counted_by member must be initialized with the number of elements before the first array access happens, otherwise there will be a warning from each access prior to the initialization because the number of elements is zero. This occurs in exynos_clkout_probe() due to .num being assigned after .hws[] has been accessed: UBSAN: array-index-out-of-bounds in drivers/clk/samsung/clk-exynos-clkout.c:178:18 index 0 is out of range for type 'clk_hw *[*]' Move the .num initialization to before the first access of .hws[], clearing up the warning. Уязвимость функции exynos_clkout_probe() модуля drivers/clk/samsung/clk-exynos-clkout.c драйвера контроллера тактовой частоты Samsung Exynos ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: ensure context reset on disconnect() After the blamed commit below, if the MPC subflow is already in TCP_CLOSE status or has fallback to TCP at mptcp_disconnect() time, mptcp_do_fastclose() skips setting the `send_fastclose flag` and the later __mptcp_close_ssk() does not reset anymore the related subflow context. Any later connection will be created with both the `request_mptcp` flag and the msk-level fallback status off (it is unconditionally cleared at MPTCP disconnect time), leading to a warning in subflow_data_ready(): WARNING: CPU: 26 PID: 8996 at net/mptcp/subflow.c:1519 subflow_data_ready (net/mptcp/subflow.c:1519 (discriminator 13)) Modules linked in: CPU: 26 UID: 0 PID: 8996 Comm: syz.22.39 Not tainted 6.18.0-rc7-05427-g11fc074f6c36 #1 PREEMPT(voluntary) Hardware name: Bochs Bochs, BIOS Bochs 01/01/2011 RIP: 0010:subflow_data_ready (net/mptcp/subflow.c:1519 (discriminator 13)) Code: 90 0f 0b 90 90 e9 04 fe ff ff e8 b7 1e f5 fe 89 ee bf 07 00 00 00 e8 db 19 f5 fe 83 fd 07 0f 84 35 ff ff ff e8 9d 1e f5 fe 90 <0f> 0b 90 e9 27 ff ff ff e8 8f 1e f5 fe 4c 89 e7 48 89 de e8 14 09 RSP: 0018:ffffc9002646fb30 EFLAGS: 00010293 RAX: 0000000000000000 RBX: ffff88813b218000 RCX: ffffffff825c8435 RDX: ffff8881300b3580 RSI: ffffffff825c8443 RDI: 0000000000000005 RBP: 000000000000000b R08: ffffffff825c8435 R09: 000000000000000b R10: 0000000000000005 R11: 0000000000000007 R12: ffff888131ac0000 R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 FS: 00007f88330af6c0(0000) GS:ffff888a93dd2000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f88330aefe8 CR3: 000000010ff59000 CR4: 0000000000350ef0 Call Trace: <TASK> tcp_data_ready (net/ipv4/tcp_input.c:5356) tcp_data_queue (net/ipv4/tcp_input.c:5445) tcp_rcv_state_process (net/ipv4/tcp_input.c:7165) tcp_v4_do_rcv (net/ipv4/tcp_ipv4.c:1955) __release_sock (include/net/sock.h:1158 (discriminator 6) net/core/sock.c:3180 (discriminator 6)) release_sock (net/core/sock.c:3737) mptcp_sendmsg (net/mptcp/protocol.c:1763 net/mptcp/protocol.c:1857) inet_sendmsg (net/ipv4/af_inet.c:853 (discriminator 7)) __sys_sendto (net/socket.c:727 (discriminator 15) net/socket.c:742 (discriminator 15) net/socket.c:2244 (discriminator 15)) __x64_sys_sendto (net/socket.c:2247) do_syscall_64 (arch/x86/entry/syscall_64.c:63 (discriminator 1) arch/x86/entry/syscall_64.c:94 (discriminator 1)) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) RIP: 0033:0x7f883326702d Address the issue setting an explicit `fastclosing` flag at fastclose time, and checking such flag after mptcp_do_fastclose(). Уязвимость компонентов mptcp ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KEYS: trusted: Fix a memory leak in tpm2_load_cmd 'tpm2_load_cmd' allocates a tempoary blob indirectly via 'tpm2_key_decode' but it is not freed in the failure paths. Address this by wrapping the blob into with a cleanup helper. Уязвимость функции tpm2_load_cmd() модуля security/keys/trusted-keys/trusted_tpm2.c компонента управления ключами ядра операционной системы Linux связана с неправильным освобождением памяти («утечка памяти»). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/handshake: restore destructor on submit failure handshake_req_submit() replaces sk->sk_destruct but never restores it when submission fails before the request is hashed. handshake_sk_destruct() then returns early and the original destructor never runs, leaking the socket. Restore sk_destruct on the error path. Уязвимость компонента net/handshake/request.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.3) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: Fix refcount leak when invalid session is found on session lookup When a session is found but its state is not SMB2_SESSION_VALID, It indicates that no valid session was found, but it is missing to decrement the reference count acquired by the session lookup, which results in a reference count leak. This patch fixes the issue by explicitly calling ksmbd_user_session_put to release the reference to the session. Уязвимость компонента server/mgmt/user_session.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: Fix memory and information leak in smb3_reconfigure() In smb3_reconfigure(), if smb3_sync_session_ctx_passwords() fails, the function returns immediately without freeing and erasing the newly allocated new_password and new_password2. This causes both a memory leak and a potential information leak. Fix this by calling kfree_sensitive() on both password buffers before returning in this error case. Уязвимость компонента fs/smb/client/fs_context.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: Fix memory leak in get_file_all_info() In get_file_all_info(), if vfs_getattr() fails, the function returns immediately without freeing the allocated filename, leading to a memory leak. Fix this by freeing the filename before returning in this error case. Уязвимость компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: rtl8150: fix memory leak on usb_submit_urb() failure In async_set_registers(), when usb_submit_urb() fails, the allocated async_req structure and URB are not freed, causing a memory leak. The completion callback async_set_reg_cb() is responsible for freeing these allocations, but it is only called after the URB is successfully submitted and completes (successfully or with error). If submission fails, the callback never runs and the memory is leaked. Fix this by freeing both the URB and the request structure in the error path when usb_submit_urb() fails. Уязвимость компонента usb/rtl8150.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gve: defer interrupt enabling until NAPI registration Currently, interrupts are automatically enabled immediately upon request. This allows interrupt to fire before the associated NAPI context is fully initialized and cause failures like below: [ 0.946369] Call Trace: [ 0.946369] <IRQ> [ 0.946369] __napi_poll+0x2a/0x1e0 [ 0.946369] net_rx_action+0x2f9/0x3f0 [ 0.946369] handle_softirqs+0xd6/0x2c0 [ 0.946369] ? handle_edge_irq+0xc1/0x1b0 [ 0.946369] __irq_exit_rcu+0xc3/0xe0 [ 0.946369] common_interrupt+0x81/0xa0 [ 0.946369] </IRQ> [ 0.946369] <TASK> [ 0.946369] asm_common_interrupt+0x22/0x40 [ 0.946369] RIP: 0010:pv_native_safe_halt+0xb/0x10 Use the `IRQF_NO_AUTOEN` flag when requesting interrupts to prevent auto enablement and explicitly enable the interrupt in NAPI initialization path (and disable it during NAPI teardown). This ensures that interrupt lifecycle is strictly coupled with readiness of NAPI context. Уязвимость компонентов gve ядра операционной системы Linux связана с отсутствием инициализации ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/core: always drop device refcount in ib_del_sub_device_and_put() Since nldev_deldev() (introduced by commit 060c642b2ab8 ("RDMA/nldev: Add support to add/delete a sub IB device through netlink") grabs a reference using ib_device_get_by_index() before calling ib_del_sub_device_and_put(), we need to drop that reference before returning -EOPNOTSUPP error. Уязвимость функции ib_del_sub_device_and_put() модуля drivers/infiniband/core/device.c драйвера InfiniBand ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: avoid chain re-validation if possible Hamza Mahfooz reports cpu soft lock-ups in nft_chain_validate(): watchdog: BUG: soft lockup - CPU#1 stuck for 27s! [iptables-nft-re:37547] [..] RIP: 0010:nft_chain_validate+0xcb/0x110 [nf_tables] [..] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_table_validate+0x6b/0xb0 [nf_tables] nf_tables_validate+0x8b/0xa0 [nf_tables] nf_tables_commit+0x1df/0x1eb0 [nf_tables] [..] Currently nf_tables will traverse the entire table (chain graph), starting from the entry points (base chains), exploring all possible paths (chain jumps). But there are cases where we could avoid revalidation. Consider: 1 input -> j2 -> j3 2 input -> j2 -> j3 3 input -> j1 -> j2 -> j3 Then the second rule does not need to revalidate j2, and, by extension j3, because this was already checked during validation of the first rule. We need to validate it only for rule 3. This is needed because chain loop detection also ensures we do not exceed the jump stack: Just because we know that j2 is cycle free, its last jump might now exceed the allowed stack size. We also need to update all reachable chains with the new largest observed call depth. Care has to be taken to revalidate even if the chain depth won't be an issue: chain validation also ensures that expressions are not called from invalid base chains. For example, the masquerade expression can only be called from NAT postrouting base chains. Therefore we also need to keep record of the base chain context (type, hooknum) and revalidate if the chain becomes reachable from a different hook location. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: tegra-adma: Fix use-after-free A use-after-free bug exists in the Tegra ADMA driver when audio streams are terminated, particularly during XRUN conditions. The issue occurs when the DMA buffer is freed by tegra_adma_terminate_all() before the vchan completion tasklet finishes accessing it. The race condition follows this sequence: 1. DMA transfer completes, triggering an interrupt that schedules the completion tasklet (tasklet has not executed yet) 2. Audio playback stops, calling tegra_adma_terminate_all() which frees the DMA buffer memory via kfree() 3. The scheduled tasklet finally executes, calling vchan_complete() which attempts to access the already-freed memory Since tasklets can execute at any time after being scheduled, there is no guarantee that the buffer will remain valid when vchan_complete() runs. Fix this by properly synchronizing the virtual channel completion: - Calling vchan_terminate_vdesc() in tegra_adma_stop() to mark the descriptors as terminated instead of freeing the descriptor. - Add the callback tegra_adma_synchronize() that calls vchan_synchronize() which kills any pending tasklets and frees any terminated descriptors. Crash logs: [ 337.427523] BUG: KASAN: use-after-free in vchan_complete+0x124/0x3b0 [ 337.427544] Read of size 8 at addr ffff000132055428 by task swapper/0/0 [ 337.427562] Call trace: [ 337.427564] dump_backtrace+0x0/0x320 [ 337.427571] show_stack+0x20/0x30 [ 337.427575] dump_stack_lvl+0x68/0x84 [ 337.427584] print_address_description.constprop.0+0x74/0x2b8 [ 337.427590] kasan_report+0x1f4/0x210 [ 337.427598] __asan_load8+0xa0/0xd0 [ 337.427603] vchan_complete+0x124/0x3b0 [ 337.427609] tasklet_action_common.constprop.0+0x190/0x1d0 [ 337.427617] tasklet_action+0x30/0x40 [ 337.427623] __do_softirq+0x1a0/0x5c4 [ 337.427628] irq_exit+0x110/0x140 [ 337.427633] handle_domain_irq+0xa4/0xe0 [ 337.427640] gic_handle_irq+0x64/0x160 [ 337.427644] call_on_irq_stack+0x20/0x4c [ 337.427649] do_interrupt_handler+0x7c/0x90 [ 337.427654] el1_interrupt+0x30/0x80 [ 337.427659] el1h_64_irq_handler+0x18/0x30 [ 337.427663] el1h_64_irq+0x7c/0x80 [ 337.427667] cpuidle_enter_state+0xe4/0x540 [ 337.427674] cpuidle_enter+0x54/0x80 [ 337.427679] do_idle+0x2e0/0x380 [ 337.427685] cpu_startup_entry+0x2c/0x70 [ 337.427690] rest_init+0x114/0x130 [ 337.427695] arch_call_rest_init+0x18/0x24 [ 337.427702] start_kernel+0x380/0x3b4 [ 337.427706] __primary_switched+0xc0/0xc8 Уязвимость функции tegra_adma_terminate_all() ядра операционной системы связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: idxd: fix device leaks on compat bind and unbind Make sure to drop the reference taken when looking up the idxd device as part of the compat bind and unbind sysfs interface. Уязвимость компонента dmaengine ядра операционной системы связана с ошибками освобождения памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: counter: interrupt-cnt: Drop IRQF_NO_THREAD flag An IRQ handler can either be IRQF_NO_THREAD or acquire spinlock_t, as CONFIG_PROVE_RAW_LOCK_NESTING warns: ============================= [ BUG: Invalid wait context ] 6.18.0-rc1+git... #1 ----------------------------- some-user-space-process/1251 is trying to lock: (&counter->events_list_lock){....}-{3:3}, at: counter_push_event [counter] other info that might help us debug this: context-{2:2} no locks held by some-user-space-process/.... stack backtrace: CPU: 0 UID: 0 PID: 1251 Comm: some-user-space-process 6.18.0-rc1+git... #1 PREEMPT Call trace: show_stack (C) dump_stack_lvl dump_stack __lock_acquire lock_acquire _raw_spin_lock_irqsave counter_push_event [counter] interrupt_cnt_isr [interrupt_cnt] __handle_irq_event_percpu handle_irq_event handle_simple_irq handle_irq_desc generic_handle_domain_irq gpio_irq_handler handle_irq_desc generic_handle_domain_irq gic_handle_irq call_on_irq_stack do_interrupt_handler el0_interrupt __el0_irq_handler_common el0t_64_irq_handler el0t_64_irq ... and Sebastian correctly points out. Remove IRQF_NO_THREAD as an alternative to switching to raw_spinlock_t, because the latter would limit all potential nested locks to raw_spinlock_t only. Уязвимость функции interrupt_cnt_probe() модуля drivers/counter/interrupt-cnt.c ядра операционной системы Linux связана с переполнением буфера на основе стека. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: j1939: make j1939_session_activate() fail if device is no longer registered syzbot is still reporting unregister_netdevice: waiting for vcan0 to become free. Usage count = 2 even after commit 93a27b5891b8 ("can: j1939: add missing calls in NETDEV_UNREGISTER notification handler") was added. A debug printk() patch found that j1939_session_activate() can succeed even after j1939_cancel_active_session() from j1939_netdev_notify(NETDEV_UNREGISTER) has completed. Since j1939_cancel_active_session() is processed with the session list lock held, checking ndev->reg_state in j1939_session_activate() with the session list lock held can reliably close the race window. Уязвимость функции j1939_session_activate() модуля net/can/j1939/transport.c поддержки сокетов j1939 шины CAN ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: always detect conflicting inodes when logging inode refs After rename exchanging (either with the rename exchange operation or regular renames in multiple non-atomic steps) two inodes and at least one of them is a directory, we can end up with a log tree that contains only of the inodes and after a power failure that can result in an attempt to delete the other inode when it should not because it was not deleted before the power failure. In some case that delete attempt fails when the target inode is a directory that contains a subvolume inside it, since the log replay code is not prepared to deal with directory entries that point to root items (only inode items). 1) We have directories "dir1" (inode A) and "dir2" (inode B) under the same parent directory; 2) We have a file (inode C) under directory "dir1" (inode A); 3) We have a subvolume inside directory "dir2" (inode B); 4) All these inodes were persisted in a past transaction and we are currently at transaction N; 5) We rename the file (inode C), so at btrfs_log_new_name() we update inode C's last_unlink_trans to N; 6) We get a rename exchange for "dir1" (inode A) and "dir2" (inode B), so after the exchange "dir1" is inode B and "dir2" is inode A. During the rename exchange we call btrfs_log_new_name() for inodes A and B, but because they are directories, we don't update their last_unlink_trans to N; 7) An fsync against the file (inode C) is done, and because its inode has a last_unlink_trans with a value of N we log its parent directory (inode A) (through btrfs_log_all_parents(), called from btrfs_log_inode_parent()). 8) So we end up with inode B not logged, which now has the old name of inode A. At copy_inode_items_to_log(), when logging inode A, we did not check if we had any conflicting inode to log because inode A has a generation lower than the current transaction (created in a past transaction); 9) After a power failure, when replaying the log tree, since we find that inode A has a new name that conflicts with the name of inode B in the fs tree, we attempt to delete inode B... this is wrong since that directory was never deleted before the power failure, and because there is a subvolume inside that directory, attempting to delete it will fail since replay_dir_deletes() and btrfs_unlink_inode() are not prepared to deal with dir items that point to roots instead of inodes. When that happens the mount fails and we get a stack trace like the following: [87.2314] BTRFS info (device dm-0): start tree-log replay [87.2318] BTRFS critical (device dm-0): failed to delete reference to subvol, root 5 inode 256 parent 259 [87.2332] ------------[ cut here ]------------ [87.2338] BTRFS: Transaction aborted (error -2) [87.2346] WARNING: CPU: 1 PID: 638968 at fs/btrfs/inode.c:4345 __btrfs_unlink_inode+0x416/0x440 [btrfs] [87.2368] Modules linked in: btrfs loop dm_thin_pool (...) [87.2470] CPU: 1 UID: 0 PID: 638968 Comm: mount Tainted: G W 6.18.0-rc7-btrfs-next-218+ #2 PREEMPT(full) [87.2489] Tainted: [W]=WARN [87.2494] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.2-0-gea1b7a073390-prebuilt.qemu.org 04/01/2014 [87.2514] RIP: 0010:__btrfs_unlink_inode+0x416/0x440 [btrfs] [87.2538] Code: c0 89 04 24 (...) [87.2568] RSP: 0018:ffffc0e741f4b9b8 EFLAGS: 00010286 [87.2574] RAX: 0000000000000000 RBX: ffff9d3ec8a6cf60 RCX: 0000000000000000 [87.2582] RDX: 0000000000000002 RSI: ffffffff84ab45a1 RDI: 00000000ffffffff [87.2591] RBP: ffff9d3ec8a6ef20 R08: 0000000000000000 R09: ffffc0e741f4b840 [87.2599] R10: ffff9d45dc1fffa8 R11: 0000000000000003 R12: ffff9d3ee26d77e0 [87.2608] R13: ffffc0e741f4ba98 R14: ffff9d4458040800 R15: ffff9d44b6b7ca10 [87.2618] FS: 00007f7b9603a840(0000) GS:ffff9d4658982000(0000) knlGS:0000000000000000 [87. ---truncated--- Уязвимость компонента btrfs/tree-log.c ядра операционной системы Linux связана с неправильной обработкой несогласованных специальных элементов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix NULL dereference on root when tracing inode eviction When evicting an inode the first thing we do is to setup tracing for it, which implies fetching the root's id. But in btrfs_evict_inode() the root might be NULL, as implied in the next check that we do in btrfs_evict_inode(). Hence, we either should set the ->root_objectid to 0 in case the root is NULL, or we move tracing setup after checking that the root is not NULL. Setting the rootid to 0 at least gives us the possibility to trace this call even in the case when the root is NULL, so that's the solution taken here. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: ti: dma-crossbar: fix device leak on am335x route allocation Make sure to drop the reference taken when looking up the crossbar platform device during am335x route allocation. Уязвимость функции ti_am335x_xbar_route_allocate() модуля drivers/dma/ti/dma-crossbar.c драйвера движка DMA ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: stm32: dmamux: fix device leak on route allocation Make sure to drop the reference taken when looking up the DMA mux platform device during route allocation. Note that holding a reference to a device does not prevent its driver data from going away so there is no point in keeping the reference. Уязвимость функции stm32_dmamux_route_allocate() модуля drivers/dma/stm32/stm32-dmamux.c драйвера движка DMA ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: lpc18xx-dmamux: fix device leak on route allocation Make sure to drop the reference taken when looking up the DMA mux platform device during route allocation. Note that holding a reference to a device does not prevent its driver data from going away so there is no point in keeping the reference. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: dw: dmamux: fix OF node leak on route allocation failure Make sure to drop the reference taken to the DMA master OF node also on late route allocation failures. Уязвимость функции rzn1_dmamux_route_allocate() модуля drivers/dma/dw/rzn1-dmamux.c драйвера движка DMA ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: bcm-sba-raid: fix device leak on probe Make sure to drop the reference taken when looking up the mailbox device during probe on probe failures and on driver unbind. Уязвимость компонента dma/bcm-sba-raid.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: at_hdmac: fix device leak on of_dma_xlate() Make sure to drop the reference taken when looking up the DMA platform device during of_dma_xlate() when releasing channel resources. Note that commit 3832b78b3ec2 ("dmaengine: at_hdmac: add missing put_device() call in at_dma_xlate()") fixed the leak in a couple of error paths but the reference is still leaking on successful allocation. Уязвимость компонента dma/at_hdmac.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: ac97: fix a double free in snd_ac97_controller_register() If ac97_add_adapter() fails, put_device() is the correct way to drop the device reference. kfree() is not required. Add kfree() if idr_alloc() fails and in ac97_adapter_release() to do the cleanup. Found by code review. Уязвимость компонента ac97/bus.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: phy: qcom-qusb2: Fix NULL pointer dereference on early suspend Enabling runtime PM before attaching the QPHY instance as driver data can lead to a NULL pointer dereference in runtime PM callbacks that expect valid driver data. There is a small window where the suspend callback may run after PM runtime enabling and before runtime forbid. This causes a sporadic crash during boot: ``` Unable to handle kernel NULL pointer dereference at virtual address 00000000000000a1 [...] CPU: 0 UID: 0 PID: 11 Comm: kworker/0:1 Not tainted 6.16.7+ #116 PREEMPT Workqueue: pm pm_runtime_work pstate: 20000005 (nzCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : qusb2_phy_runtime_suspend+0x14/0x1e0 [phy_qcom_qusb2] lr : pm_generic_runtime_suspend+0x2c/0x44 [...] ``` Attach the QPHY instance as driver data before enabling runtime PM to prevent NULL pointer dereference in runtime PM callbacks. Reorder pm_runtime_enable() and pm_runtime_forbid() to prevent a short window where an unnecessary runtime suspend can occur. Use the devres-managed version to ensure PM runtime is symmetrically disabled during driver removal for proper cleanup. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix deadlock in wait_current_trans() due to ignored transaction type When wait_current_trans() is called during start_transaction(), it currently waits for a blocked transaction without considering whether the given transaction type actually needs to wait for that particular transaction state. The btrfs_blocked_trans_types[] array already defines which transaction types should wait for which transaction states, but this check was missing in wait_current_trans(). This can lead to a deadlock scenario involving two transactions and pending ordered extents: 1. Transaction A is in TRANS_STATE_COMMIT_DOING state 2. A worker processing an ordered extent calls start_transaction() with TRANS_JOIN 3. join_transaction() returns -EBUSY because Transaction A is in TRANS_STATE_COMMIT_DOING 4. Transaction A moves to TRANS_STATE_UNBLOCKED and completes 5. A new Transaction B is created (TRANS_STATE_RUNNING) 6. The ordered extent from step 2 is added to Transaction B's pending ordered extents 7. Transaction B immediately starts commit by another task and enters TRANS_STATE_COMMIT_START 8. The worker finally reaches wait_current_trans(), sees Transaction B in TRANS_STATE_COMMIT_START (a blocked state), and waits unconditionally 9. However, TRANS_JOIN should NOT wait for TRANS_STATE_COMMIT_START according to btrfs_blocked_trans_types[] 10. Transaction B is waiting for pending ordered extents to complete 11. Deadlock: Transaction B waits for ordered extent, ordered extent waits for Transaction B This can be illustrated by the following call stacks: CPU0 CPU1 btrfs_finish_ordered_io() start_transaction(TRANS_JOIN) join_transaction() # -EBUSY (Transaction A is # TRANS_STATE_COMMIT_DOING) # Transaction A completes # Transaction B created # ordered extent added to # Transaction B's pending list btrfs_commit_transaction() # Transaction B enters # TRANS_STATE_COMMIT_START # waiting for pending ordered # extents wait_current_trans() # waits for Transaction B # (should not wait!) Task bstore_kv_sync in btrfs_commit_transaction waiting for ordered extents: __schedule+0x2e7/0x8a0 schedule+0x64/0xe0 btrfs_commit_transaction+0xbf7/0xda0 [btrfs] btrfs_sync_file+0x342/0x4d0 [btrfs] __x64_sys_fdatasync+0x4b/0x80 do_syscall_64+0x33/0x40 entry_SYSCALL_64_after_hwframe+0x44/0xa9 Task kworker in wait_current_trans waiting for transaction commit: Workqueue: btrfs-syno_nocow btrfs_work_helper [btrfs] __schedule+0x2e7/0x8a0 schedule+0x64/0xe0 wait_current_trans+0xb0/0x110 [btrfs] start_transaction+0x346/0x5b0 [btrfs] btrfs_finish_ordered_io.isra.0+0x49b/0x9c0 [btrfs] btrfs_work_helper+0xe8/0x350 [btrfs] process_one_work+0x1d3/0x3c0 worker_thread+0x4d/0x3e0 kthread+0x12d/0x150 ret_from_fork+0x1f/0x30 Fix this by passing the transaction type to wait_current_trans() and checking btrfs_blocked_trans_types[cur_trans->state] against the given type before deciding to wait. This ensures that transaction types which are allowed to join during certain blocked states will not unnecessarily wait and cause deadlocks. Уязвимость компонента btrfs/transaction.c ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: xilinx: xdma: Fix regmap max_register The max_register field is assigned the size of the register memory region instead of the offset of the last register. The result is that reading from the regmap via debugfs can cause a segmentation fault: tail /sys/kernel/debug/regmap/xdma.1.auto/registers Unable to handle kernel paging request at virtual address ffff800082f70000 Mem abort info: ESR = 0x0000000096000007 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x07: level 3 translation fault [...] Call trace: regmap_mmio_read32le+0x10/0x30 _regmap_bus_reg_read+0x74/0xc0 _regmap_read+0x68/0x198 regmap_read+0x54/0x88 regmap_read_debugfs+0x140/0x380 regmap_map_read_file+0x30/0x48 full_proxy_read+0x68/0xc8 vfs_read+0xcc/0x310 ksys_read+0x7c/0x120 __arm64_sys_read+0x24/0x40 invoke_syscall.constprop.0+0x64/0x108 do_el0_svc+0xb0/0xd8 el0_svc+0x38/0x130 el0t_64_sync_handler+0x120/0x138 el0t_64_sync+0x194/0x198 Code: aa1e03e9 d503201f f9400000 8b214000 (b9400000) ---[ end trace 0000000000000000 ]--- note: tail[1217] exited with irqs disabled note: tail[1217] exited with preempt_count 1 Segmentation fault Уязвимость компонента dma/xilinx/xdma-regs.h ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: phy: stm32-usphyc: Fix off by one in probe() The "index" variable is used as an index into the usbphyc->phys[] array which has usbphyc->nphys elements. So if it is equal to usbphyc->nphys then it is one element out of bounds. The "index" comes from the device tree so it's data that we trust and it's unlikely to be wrong, however it's obviously still worth fixing the bug. Change the > to >=. Уязвимость компонента phy/st/phy-stm32-usbphyc.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: w1: therm: Fix off-by-one buffer overflow in alarms_store The sysfs buffer passed to alarms_store() is allocated with 'size + 1' bytes and a NUL terminator is appended. However, the 'size' argument does not account for this extra byte. The original code then allocated 'size' bytes and used strcpy() to copy 'buf', which always writes one byte past the allocated buffer since strcpy() copies until the NUL terminator at index 'size'. Fix this by parsing the 'buf' parameter directly using simple_strtoll() without allocating any intermediate memory or string copying. This removes the overflow while simplifying the code. Уязвимость компонента slaves/w1_therm.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None Для устранения угрозы эксплуатации уязвимости CVE-2025-71197 необходимо запретить загрузку модуля w1_therm.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль w1_therm в ядро системы, для этого выполнить одну из команд: `lsmod | grep w1_therm` или `kmod list | grep w1_therm` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля w1_therm: `sudo rmmod w1_therm` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-w1_therm.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install w1_therm /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: imu: st_lsm6dsx: fix iio_chan_spec for sensors without event detection The st_lsm6dsx_acc_channels array of struct iio_chan_spec has a non-NULL event_spec field, indicating support for IIO events. However, event detection is not supported for all sensors, and if userspace tries to configure accelerometer wakeup events on a sensor device that does not support them (e.g. LSM6DS0), st_lsm6dsx_write_event() dereferences a NULL pointer when trying to write to the wakeup register. Define an additional struct iio_chan_spec array whose members have a NULL event_spec field, and use this array instead of st_lsm6dsx_acc_channels for sensors without event detection capability. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: adc: at91-sama5d2_adc: Fix potential use-after-free in sama5d2_adc driver at91_adc_interrupt can call at91_adc_touch_data_handler function to start the work by schedule_work(&st->touch_st.workq). If we remove the module which will call at91_adc_remove to make cleanup, it will free indio_dev through iio_device_unregister but quite a bit later. While the work mentioned above will be used. The sequence of operations that may lead to a UAF bug is as follows: CPU0 CPU1 | at91_adc_workq_handler at91_adc_remove | iio_device_unregister(indio_dev) | //free indio_dev a bit later | | iio_push_to_buffers(indio_dev) | //use indio_dev Fix it by ensuring that the work is canceled before proceeding with the cleanup in at91_adc_remove. Уязвимость компонента iio/adc/at91-sama5d2_adc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mmc: sdhci-of-dwcmshc: Prevent illegal clock reduction in HS200/HS400 mode When operating in HS200 or HS400 timing modes, reducing the clock frequency below 52MHz will lead to link broken as the Rockchip DWC MSHC controller requires maintaining a minimum clock of 52MHz in these modes. Add a check to prevent illegal clock reduction through debugfs: root@debian:/# echo 50000000 > /sys/kernel/debug/mmc0/clock root@debian:/# [ 30.090146] mmc0: running CQE recovery mmc0: cqhci: Failed to halt mmc0: cqhci: spurious TCN for tag 0 WARNING: drivers/mmc/host/cqhci-core.c:797 at cqhci_irq+0x254/0x818, CPU#1: kworker/1:0H/24 Modules linked in: CPU: 1 UID: 0 PID: 24 Comm: kworker/1:0H Not tainted 6.19.0-rc1-00001-g09db0998649d-dirty #204 PREEMPT Hardware name: Rockchip RK3588 EVB1 V10 Board (DT) Workqueue: kblockd blk_mq_run_work_fn pstate: 604000c9 (nZCv daIF +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : cqhci_irq+0x254/0x818 lr : cqhci_irq+0x254/0x818 ... Уязвимость компонента drivers/mmc/host/sdhci-of-dwcmshc.c ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb/server: fix refcount leak in parse_durable_handle_context() When the command is a replay operation and -ENOEXEC is returned, the refcount of ksmbd_file must be released. Уязвимость компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb/server: call ksmbd_session_rpc_close() on error path in create_smb2_pipe() When ksmbd_iov_pin_rsp() fails, we should call ksmbd_session_rpc_close(). Уязвимость компонента smb/server/smb2pdu.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: wlcore: ensure skb headroom before skb_push This avoids occasional skb_under_panic Oops from wl1271_tx_work. In this case, headroom is less than needed (typically 110 - 94 = 16 bytes). Уязвимость компонента wireless/ti/wlcore/tx.c ядра операционной системы Linux связана с нарушением начальной границы буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb/server: fix refcount leak in smb2_open() When ksmbd_vfs_getattr() fails, the reference count of ksmbd_file must be released. Уязвимость компонента fs/smb/server/smb2pdu.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: ocb: skip rx_no_sta when interface is not joined ieee80211_ocb_rx_no_sta() assumes a valid channel context, which is only present after JOIN_OCB. RX may run before JOIN_OCB is executed, in which case the OCB interface is not operational. Skip RX peer handling when the interface is not joined to avoid warnings in the RX path. Уязвимость компонента mac80211/ocb.c ядра операционной системы Linux связана с некорректной обработкой отсутствующего специального элемента. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md: suspend array while updating raid_disks via sysfs In raid1_reshape(), freeze_array() is called before modifying the r1bio memory pool (conf->r1bio_pool) and conf->raid_disks, and unfreeze_array() is called after the update is completed. However, freeze_array() only waits until nr_sync_pending and (nr_pending - nr_queued) of all buckets reaches zero. When an I/O error occurs, nr_queued is increased and the corresponding r1bio is queued to either retry_list or bio_end_io_list. As a result, freeze_array() may unblock before these r1bios are released. This can lead to a situation where conf->raid_disks and the mempool have already been updated while queued r1bios, allocated with the old raid_disks value, are later released. Consequently, free_r1bio() may access memory out of bounds in put_all_bios() and release r1bios of the wrong size to the new mempool, potentially causing issues with the mempool as well. Since only normal I/O might increase nr_queued while an I/O error occurs, suspending the array avoids this issue. Note: Updating raid_disks via ioctl SET_ARRAY_INFO already suspends the array. Therefore, we suspend the array when updating raid_disks via sysfs to avoid this issue too. [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:H', score=5.3) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw88: Fix alignment fault in rtw_core_enable_beacon() rtw_core_enable_beacon() reads 4 bytes from an address that is not a multiple of 4. This results in a crash on some systems. Do 1 byte reads/writes instead. Unable to handle kernel paging request at virtual address ffff8000827e0522 Mem abort info: ESR = 0x0000000096000021 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x21: alignment fault Data abort info: ISV = 0, ISS = 0x00000021, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 swapper pgtable: 4k pages, 48-bit VAs, pgdp=0000000005492000 [ffff8000827e0522] pgd=0000000000000000, p4d=10000001021d9403, pud=10000001021da403, pmd=100000011061c403, pte=00780000f3200f13 Internal error: Oops: 0000000096000021 [#1] SMP Modules linked in: [...] rtw88_8822ce rtw88_8822c rtw88_pci rtw88_core [...] CPU: 0 UID: 0 PID: 73 Comm: kworker/u32:2 Tainted: G W 6.17.9 #1-NixOS VOLUNTARY Tainted: [W]=WARN Hardware name: FriendlyElec NanoPC-T6 LTS (DT) Workqueue: phy0 rtw_c2h_work [rtw88_core] pstate: 60400009 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : rtw_pci_read32+0x18/0x40 [rtw88_pci] lr : rtw_core_enable_beacon+0xe0/0x148 [rtw88_core] sp : ffff800080cc3ca0 x29: ffff800080cc3ca0 x28: ffff0001031fc240 x27: ffff000102100828 x26: ffffd2cb7c9b4088 x25: ffff0001031fc2c0 x24: ffff000112fdef00 x23: ffff000112fdef18 x22: ffff000111c29970 x21: 0000000000000001 x20: 0000000000000001 x19: ffff000111c22040 x18: 0000000000000000 x17: 0000000000000000 x16: 0000000000000000 x15: 0000000000000000 x14: 0000000000000000 x13: 0000000000000000 x12: 0000000000000000 x11: 0000000000000000 x10: 0000000000000000 x9 : ffffd2cb6507c090 x8 : 0000000000000000 x7 : 0000000000000000 x6 : 0000000000000000 x5 : 0000000000000000 x4 : 0000000000000000 x3 : 0000000000000000 x2 : 0000000000007f10 x1 : 0000000000000522 x0 : ffff8000827e0522 Call trace: rtw_pci_read32+0x18/0x40 [rtw88_pci] (P) rtw_hw_scan_chan_switch+0x124/0x1a8 [rtw88_core] rtw_fw_c2h_cmd_handle+0x254/0x290 [rtw88_core] rtw_c2h_work+0x50/0x98 [rtw88_core] process_one_work+0x178/0x3f8 worker_thread+0x208/0x418 kthread+0x120/0x220 ret_from_fork+0x10/0x20 Code: d28fe202 8b020000 f9524400 8b214000 (b9400000) ---[ end trace 0000000000000000 ]--- Уязвимость компонента drivers/net/wireless/realtek/rtw88/main.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: iaa - Fix out-of-bounds index in find_empty_iaa_compression_mode The local variable 'i' is initialized with -EINVAL, but the for loop immediately overwrites it and -EINVAL is never returned. If no empty compression mode can be found, the function would return the out-of-bounds index IAA_COMP_MODES_MAX, which would cause an invalid array access in add_iaa_compression_mode(). Fix both issues by returning either a valid index or -EINVAL. Уязвимость компонента drivers/crypto/intel/iaa/iaa_crypto_main.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Free sp in error path to fix system crash System crash seen during load/unload test in a loop, [61110.449331] qla2xxx [0000:27:00.0]-0042:0: Disabled MSI-X. [61110.467494] ============================================================================= [61110.467498] BUG qla2xxx_srbs (Tainted: G OE -------- --- ): Objects remaining in qla2xxx_srbs on __kmem_cache_shutdown() [61110.467501] ----------------------------------------------------------------------------- [61110.467502] Slab 0x000000000ffc8162 objects=51 used=1 fp=0x00000000e25d3d85 flags=0x57ffffc0010200(slab|head|node=1|zone=2|lastcpupid=0x1fffff) [61110.467509] CPU: 53 PID: 455206 Comm: rmmod Kdump: loaded Tainted: G OE -------- --- 5.14.0-284.11.1.el9_2.x86_64 #1 [61110.467513] Hardware name: HPE ProLiant DL385 Gen10 Plus v2/ProLiant DL385 Gen10 Plus v2, BIOS A42 08/17/2023 [61110.467515] Call Trace: [61110.467516] <TASK> [61110.467519] dump_stack_lvl+0x34/0x48 [61110.467526] slab_err.cold+0x53/0x67 [61110.467534] __kmem_cache_shutdown+0x16e/0x320 [61110.467540] kmem_cache_destroy+0x51/0x160 [61110.467544] qla2x00_module_exit+0x93/0x99 [qla2xxx] [61110.467607] ? __do_sys_delete_module.constprop.0+0x178/0x280 [61110.467613] ? syscall_trace_enter.constprop.0+0x145/0x1d0 [61110.467616] ? do_syscall_64+0x5c/0x90 [61110.467619] ? exc_page_fault+0x62/0x150 [61110.467622] ? entry_SYSCALL_64_after_hwframe+0x63/0xcd [61110.467626] </TASK> [61110.467627] Disabling lock debugging due to kernel taint [61110.467635] Object 0x0000000026f7e6e6 @offset=16000 [61110.467639] ------------[ cut here ]------------ [61110.467639] kmem_cache_destroy qla2xxx_srbs: Slab cache still has objects when called from qla2x00_module_exit+0x93/0x99 [qla2xxx] [61110.467659] WARNING: CPU: 53 PID: 455206 at mm/slab_common.c:520 kmem_cache_destroy+0x14d/0x160 [61110.467718] CPU: 53 PID: 455206 Comm: rmmod Kdump: loaded Tainted: G B OE -------- --- 5.14.0-284.11.1.el9_2.x86_64 #1 [61110.467720] Hardware name: HPE ProLiant DL385 Gen10 Plus v2/ProLiant DL385 Gen10 Plus v2, BIOS A42 08/17/2023 [61110.467721] RIP: 0010:kmem_cache_destroy+0x14d/0x160 [61110.467724] Code: 99 7d 07 00 48 89 ef e8 e1 6a 07 00 eb b3 48 8b 55 60 48 8b 4c 24 20 48 c7 c6 70 fc 66 90 48 c7 c7 f8 ef a1 90 e8 e1 ed 7c 00 <0f> 0b eb 93 c3 cc cc cc cc 66 2e 0f 1f 84 00 00 00 00 00 55 48 89 [61110.467725] RSP: 0018:ffffa304e489fe80 EFLAGS: 00010282 [61110.467727] RAX: 0000000000000000 RBX: ffffffffc0d9a860 RCX: 0000000000000027 [61110.467729] RDX: ffff8fd5ff9598a8 RSI: 0000000000000001 RDI: ffff8fd5ff9598a0 [61110.467730] RBP: ffff8fb6aaf78700 R08: 0000000000000000 R09: 0000000100d863b7 [61110.467731] R10: ffffa304e489fd20 R11: ffffffff913bef48 R12: 0000000040002000 [61110.467731] R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 [61110.467733] FS: 00007f64c89fb740(0000) GS:ffff8fd5ff940000(0000) knlGS:0000000000000000 [61110.467734] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [61110.467735] CR2: 00007f0f02bfe000 CR3: 00000020ad6dc005 CR4: 0000000000770ee0 [61110.467736] PKRU: 55555554 [61110.467737] Call Trace: [61110.467738] <TASK> [61110.467739] qla2x00_module_exit+0x93/0x99 [qla2xxx] [61110.467755] ? __do_sys_delete_module.constprop.0+0x178/0x280 Free sp in the error path to fix the crash. Уязвимость компонента scsi/qla2xxx/qla_gs.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-772')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: endpoint: Avoid creating sub-groups asynchronously The asynchronous creation of sub-groups by a delayed work could lead to a NULL pointer dereference when the driver directory is removed before the work completes. The crash can be easily reproduced with the following commands: # cd /sys/kernel/config/pci_ep/functions/pci_epf_test # for i in {1..20}; do mkdir test && rmdir test; done BUG: kernel NULL pointer dereference, address: 0000000000000088 ... Call Trace: configfs_register_group+0x3d/0x190 pci_epf_cfs_work+0x41/0x110 process_one_work+0x18f/0x350 worker_thread+0x25a/0x3a0 Fix this issue by using configfs_add_default_group() API which does not have the deadlock problem as configfs_register_group() and does not require the delayed work handler. [mani: slightly reworded the description and added stable list] Уязвимость компонента pci/endpoint/pci-ep-cfs.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtl8xxxu: fix slab-out-of-bounds in rtl8xxxu_sta_add The driver does not set hw->sta_data_size, which causes mac80211 to allocate insufficient space for driver private station data in __sta_info_alloc(). When rtl8xxxu_sta_add() accesses members of struct rtl8xxxu_sta_info through sta->drv_priv, this results in a slab-out-of-bounds write. KASAN report on RISC-V (VisionFive 2) with RTL8192EU adapter: BUG: KASAN: slab-out-of-bounds in rtl8xxxu_sta_add+0x31c/0x346 Write of size 8 at addr ffffffd6d3e9ae88 by task kworker/u16:0/12 Set hw->sta_data_size to sizeof(struct rtl8xxxu_sta_info) during probe, similar to how hw->vif_data_size is configured. This ensures mac80211 allocates sufficient space for the driver's per-station private data. Tested on StarFive VisionFive 2 v1.2A board. Уязвимость компонента drivers/net/wireless/realtek/rtl8xxxu/core.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Delay module unload while fabric scan in progress System crash seen during load/unload test in a loop. [105954.384919] RBP: ffff914589838dc0 R08: 0000000000000000 R09: 0000000000000086 [105954.384920] R10: 000000000000000f R11: ffffa31240904be5 R12: ffff914605f868e0 [105954.384921] R13: ffff914605f86910 R14: 0000000000008010 R15: 00000000ddb7c000 [105954.384923] FS: 0000000000000000(0000) GS:ffff9163fec40000(0000) knlGS:0000000000000000 [105954.384925] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [105954.384926] CR2: 000055d31ce1d6a0 CR3: 0000000119f5e001 CR4: 0000000000770ee0 [105954.384928] PKRU: 55555554 [105954.384929] Call Trace: [105954.384931] <IRQ> [105954.384934] qla24xx_sp_unmap+0x1f3/0x2a0 [qla2xxx] [105954.384962] ? qla_async_scan_sp_done+0x114/0x1f0 [qla2xxx] [105954.384980] ? qla24xx_els_ct_entry+0x4de/0x760 [qla2xxx] [105954.384999] ? __wake_up_common+0x80/0x190 [105954.385004] ? qla24xx_process_response_queue+0xc2/0xaa0 [qla2xxx] [105954.385023] ? qla24xx_msix_rsp_q+0x44/0xb0 [qla2xxx] [105954.385040] ? __handle_irq_event_percpu+0x3d/0x190 [105954.385044] ? handle_irq_event+0x58/0xb0 [105954.385046] ? handle_edge_irq+0x93/0x240 [105954.385050] ? __common_interrupt+0x41/0xa0 [105954.385055] ? common_interrupt+0x3e/0xa0 [105954.385060] ? asm_common_interrupt+0x22/0x40 The root cause of this was that there was a free (dma_free_attrs) in the interrupt context. There was a device discovery/fabric scan in progress. A module unload was issued which set the UNLOADING flag. As part of the discovery, after receiving an interrupt a work queue was scheduled (which involved a work to be queued). Since the UNLOADING flag is set, the work item was not allocated and the mapped memory had to be freed. The free occurred in interrupt context leading to system crash. Delay the driver unload until the fabric scan is complete to avoid the crash. Уязвимость компонента scsi/qla2xxx/qla_os.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Validate sp before freeing associated memory System crash with the following signature [154563.214890] nvme nvme2: NVME-FC{1}: controller connect complete [154564.169363] qla2xxx [0000:b0:00.1]-3002:2: nvme: Sched: Set ZIO exchange threshold to 3. [154564.169405] qla2xxx [0000:b0:00.1]-ffffff:2: SET ZIO Activity exchange threshold to 5. [154565.539974] qla2xxx [0000:b0:00.1]-5013:2: RSCN database changed – 0078 0080 0000. [154565.545744] qla2xxx [0000:b0:00.1]-5013:2: RSCN database changed – 0078 00a0 0000. [154565.545857] qla2xxx [0000:b0:00.1]-11a2:2: FEC=enabled (data rate). [154565.552760] qla2xxx [0000:b0:00.1]-11a2:2: FEC=enabled (data rate). [154565.553079] BUG: kernel NULL pointer dereference, address: 00000000000000f8 [154565.553080] #PF: supervisor read access in kernel mode [154565.553082] #PF: error_code(0x0000) - not-present page [154565.553084] PGD 80000010488ab067 P4D 80000010488ab067 PUD 104978a067 PMD 0 [154565.553089] Oops: 0000 1 PREEMPT SMP PTI [154565.553092] CPU: 10 PID: 858 Comm: qla2xxx_2_dpc Kdump: loaded Tainted: G OE ------- --- 5.14.0-503.11.1.el9_5.x86_64 #1 [154565.553096] Hardware name: HPE Synergy 660 Gen10/Synergy 660 Gen10 Compute Module, BIOS I43 09/30/2024 [154565.553097] RIP: 0010:qla_fab_async_scan.part.0+0x40b/0x870 [qla2xxx] [154565.553141] Code: 00 00 e8 58 a3 ec d4 49 89 e9 ba 12 20 00 00 4c 89 e6 49 c7 c0 00 ee a8 c0 48 c7 c1 66 c0 a9 c0 bf 00 80 00 10 e8 15 69 00 00 <4c> 8b 8d f8 00 00 00 4d 85 c9 74 35 49 8b 84 24 00 19 00 00 48 8b [154565.553143] RSP: 0018:ffffb4dbc8aebdd0 EFLAGS: 00010286 [154565.553145] RAX: 0000000000000000 RBX: ffff8ec2cf0908d0 RCX: 0000000000000002 [154565.553147] RDX: 0000000000000000 RSI: ffffffffc0a9c896 RDI: ffffb4dbc8aebd47 [154565.553148] RBP: 0000000000000000 R08: ffffb4dbc8aebd45 R09: 0000000000ffff0a [154565.553150] R10: 0000000000000000 R11: 000000000000000f R12: ffff8ec2cf0908d0 [154565.553151] R13: ffff8ec2cf090900 R14: 0000000000000102 R15: ffff8ec2cf084000 [154565.553152] FS: 0000000000000000(0000) GS:ffff8ed27f800000(0000) knlGS:0000000000000000 [154565.553154] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [154565.553155] CR2: 00000000000000f8 CR3: 000000113ae0a005 CR4: 00000000007706f0 [154565.553157] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [154565.553158] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [154565.553159] PKRU: 55555554 [154565.553160] Call Trace: [154565.553162] <TASK> [154565.553165] ? show_trace_log_lvl+0x1c4/0x2df [154565.553172] ? show_trace_log_lvl+0x1c4/0x2df [154565.553177] ? qla_fab_async_scan.part.0+0x40b/0x870 [qla2xxx] [154565.553215] ? __die_body.cold+0x8/0xd [154565.553218] ? page_fault_oops+0x134/0x170 [154565.553223] ? snprintf+0x49/0x70 [154565.553229] ? exc_page_fault+0x62/0x150 [154565.553238] ? asm_exc_page_fault+0x22/0x30 Check for sp being non NULL before freeing any associated memory Уязвимость компонента scsi/qla2xxx/qla_gs.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nilfs2: Fix potential block overflow that cause system hang When a user executes the FITRIM command, an underflow can occur when calculating nblocks if end_block is too small. Since nblocks is of type sector_t, which is u64, a negative nblocks value will become a very large positive integer. This ultimately leads to the block layer function __blkdev_issue_discard() taking an excessively long time to process the bio chain, and the ns_segctor_sem lock remains held for a long period. This prevents other tasks from acquiring the ns_segctor_sem lock, resulting in the hang reported by syzbot in [1]. If the ending block is too small, typically if it is smaller than 4KiB range, depending on the usage of the segment 0, it may be possible to attempt a discard request beyond the device size causing the hang. Exiting successfully and assign the discarded size (0 in this case) to range->len. Although the start and len values in the user input range are too small, a conservative strategy is adopted here to safely ignore them, which is equivalent to a no-op; it will not perform any trimming and will not throw an error. [1] task:segctord state:D stack:28968 pid:6093 tgid:6093 ppid:2 task_flags:0x200040 flags:0x00080000 Call Trace: rwbase_write_lock+0x3dd/0x750 kernel/locking/rwbase_rt.c:272 nilfs_transaction_lock+0x253/0x4c0 fs/nilfs2/segment.c:357 nilfs_segctor_thread_construct fs/nilfs2/segment.c:2569 [inline] nilfs_segctor_thread+0x6ec/0xe00 fs/nilfs2/segment.c:2684 [ryusuke: corrected part of the commit message about the consequences] Уязвимость компонента nilfs2/sufile.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Fix bsg_done() causing double free Kernel panic observed on system, [5353358.825191] BUG: unable to handle page fault for address: ff5f5e897b024000 [5353358.825194] #PF: supervisor write access in kernel mode [5353358.825195] #PF: error_code(0x0002) - not-present page [5353358.825196] PGD 100006067 P4D 0 [5353358.825198] Oops: 0002 [#1] PREEMPT SMP NOPTI [5353358.825200] CPU: 5 PID: 2132085 Comm: qlafwupdate.sub Kdump: loaded Tainted: G W L ------- --- 5.14.0-503.34.1.el9_5.x86_64 #1 [5353358.825203] Hardware name: HPE ProLiant DL360 Gen11/ProLiant DL360 Gen11, BIOS 2.44 01/17/2025 [5353358.825204] RIP: 0010:memcpy_erms+0x6/0x10 [5353358.825211] RSP: 0018:ff591da8f4f6b710 EFLAGS: 00010246 [5353358.825212] RAX: ff5f5e897b024000 RBX: 0000000000007090 RCX: 0000000000001000 [5353358.825213] RDX: 0000000000001000 RSI: ff591da8f4fed090 RDI: ff5f5e897b024000 [5353358.825214] RBP: 0000000000010000 R08: ff5f5e897b024000 R09: 0000000000000000 [5353358.825215] R10: ff46cf8c40517000 R11: 0000000000000001 R12: 0000000000008090 [5353358.825216] R13: ff591da8f4f6b720 R14: 0000000000001000 R15: 0000000000000000 [5353358.825218] FS: 00007f1e88d47740(0000) GS:ff46cf935f940000(0000) knlGS:0000000000000000 [5353358.825219] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [5353358.825220] CR2: ff5f5e897b024000 CR3: 0000000231532004 CR4: 0000000000771ef0 [5353358.825221] PKRU: 55555554 [5353358.825222] Call Trace: [5353358.825223] <TASK> [5353358.825224] ? show_trace_log_lvl+0x1c4/0x2df [5353358.825229] ? show_trace_log_lvl+0x1c4/0x2df [5353358.825232] ? sg_copy_buffer+0xc8/0x110 [5353358.825236] ? __die_body.cold+0x8/0xd [5353358.825238] ? page_fault_oops+0x134/0x170 [5353358.825242] ? kernelmode_fixup_or_oops+0x84/0x110 [5353358.825244] ? exc_page_fault+0xa8/0x150 [5353358.825247] ? asm_exc_page_fault+0x22/0x30 [5353358.825252] ? memcpy_erms+0x6/0x10 [5353358.825253] sg_copy_buffer+0xc8/0x110 [5353358.825259] qla2x00_process_vendor_specific+0x652/0x1320 [qla2xxx] [5353358.825317] qla24xx_bsg_request+0x1b2/0x2d0 [qla2xxx] Most routines in qla_bsg.c call bsg_done() only for success cases. However a few invoke it for failure case as well leading to a double free. Validate before calling bsg_done(). Уязвимость компонента scsi/qla2xxx/qla_bsg.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: audit: add fchmodat2() to change attributes class fchmodat2(), introduced in version 6.6 is currently not in the change attribute class of audit. Calling fchmodat2() to change a file attribute in the same fashion than chmod() or fchmodat() will bypass audit rules such as: -w /tmp/test -p rwa -k test_rwa The current patch adds fchmodat2() to the change attributes class. Уязвимость компонента asm-generic/audit_change_attr.h odat() ядра операционной системы Linux связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs: ntfs3: fix infinite loop in attr_load_runs_range on inconsistent metadata We found an infinite loop bug in the ntfs3 file system that can lead to a Denial-of-Service (DoS) condition. A malformed NTFS image can cause an infinite loop when an attribute header indicates an empty run list, while directory entries reference it as containing actual data. In NTFS, setting evcn=-1 with svcn=0 is a valid way to represent an empty run list, and run_unpack() correctly handles this by checking if evcn + 1 equals svcn and returning early without parsing any run data. However, this creates a problem when there is metadata inconsistency, where the attribute header claims to be empty (evcn=-1) but the caller expects to read actual data. When run_unpack() immediately returns success upon seeing this condition, it leaves the runs_tree uninitialized with run->runs as a NULL. The calling function attr_load_runs_range() assumes that a successful return means that the runs were loaded and sets clen to 0, expecting the next run_lookup_entry() call to succeed. Because runs_tree remains uninitialized, run_lookup_entry() continues to fail, and the loop increments vcn by zero (vcn += 0), leading to an infinite loop. This patch adds a retry counter to detect when run_lookup_entry() fails consecutively after attr_load_runs_vcn(). If the run is still not found on the second attempt, it indicates corrupted metadata and returns -EINVAL, preventing the Denial-of-Service (DoS) vulnerability. Уязвимость компонента ntfs3/attrib.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью искажённого NTFS изображения [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs: ntfs3: check return value of indx_find to avoid infinite loop We found an infinite loop bug in the ntfs3 file system that can lead to a Denial-of-Service (DoS) condition. A malformed dentry in the ntfs3 filesystem can cause the kernel to hang during the lookup operations. By setting the HAS_SUB_NODE flag in an INDEX_ENTRY within a directory's INDEX_ALLOCATION block and manipulating the VCN pointer, an attacker can cause the indx_find() function to repeatedly read the same block, allocating 4 KB of memory each time. The kernel lacks VCN loop detection and depth limits, causing memory exhaustion and an OOM crash. This patch adds a return value check for fnd_push() to prevent a memory exhaustion vulnerability caused by infinite loops. When the index exceeds the size of the fnd->nodes array, fnd_push() returns -EINVAL. The indx_find() function checks this return value and stops processing, preventing further memory allocation. Уязвимость компонента ntfs3 ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs: ntfs3: fix infinite loop triggered by zero-sized ATTR_LIST We found an infinite loop bug in the ntfs3 file system that can lead to a Denial-of-Service (DoS) condition. A malformed NTFS image can cause an infinite loop when an ATTR_LIST attribute indicates a zero data size while the driver allocates memory for it. When ntfs_load_attr_list() processes a resident ATTR_LIST with data_size set to zero, it still allocates memory because of al_aligned(0). This creates an inconsistent state where ni->attr_list.size is zero, but ni->attr_list.le is non-null. This causes ni_enum_attr_ex to incorrectly assume that no attribute list exists and enumerates only the primary MFT record. When it finds ATTR_LIST, the code reloads it and restarts the enumeration, repeating indefinitely. The mount operation never completes, hanging the kernel thread. This patch adds validation to ensure that data_size is non-zero before memory allocation. When a zero-sized ATTR_LIST is detected, the function returns -EINVAL, preventing a DoS vulnerability. Уязвимость компонента ntfs3/attrlist.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью искажённого NTFS изображения [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix reservation leak in some error paths when inserting inline extent If we fail to allocate a path or join a transaction, we return from __cow_file_range_inline() without freeing the reserved qgroup data, resulting in a leak. Fix this by ensuring we call btrfs_qgroup_free_data() in such cases. Уязвимость функции __cow_file_range_inline() модуля fs/btrfs/inode.c ядра операционной системы Linux связана с отсутствием высвобождения ресурсов после окончания срока действия лицензии. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Enable exception fixup for specific ADE subcode This patch allows the LoongArch BPF JIT to handle recoverable memory access errors generated by BPF_PROBE_MEM* instructions. When a BPF program performs memory access operations, the instructions it executes may trigger ADEM exceptions. The kernel’s built-in BPF exception table mechanism (EX_TYPE_BPF) will generate corresponding exception fixup entries in the JIT compilation phase; however, the architecture-specific trap handling function needs to proactively call the common fixup routine to achieve exception recovery. do_ade(): fix EX_TYPE_BPF memory access exceptions for BPF programs, ensure safe execution. Relevant test cases: illegal address access tests in module_attach and subprogs_extable of selftests/bpf. Уязвимость модуля arch/loongarch/kernel/traps.c ядра операционной системы Linux связана с неправильным отключением или высвобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: most: core: fix resource leak in most_register_interface error paths The function most_register_interface() did not correctly release resources if it failed early (before registering the device). In these cases, it returned an error code immediately, leaking the memory allocated for the interface. Fix this by initializing the device early via device_initialize() and calling put_device() on all error paths. The most_register_interface() is expected to call put_device() on error which frees the resources allocated in the caller. The put_device() either calls release_mdev() or dim2_release(), depending on the caller. Switch to using device_add() instead of device_register() to handle the split initialization. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw88: Use devm_kmemdup() in rtw_set_supported_band() Simplify the code by using device managed memory allocations. This also fixes a memory leak in rtw_register_hw(). The supported bands were not freed in the error path. Copied from commit 145df52a8671 ("wifi: rtw89: Convert rtw89_core_set_supported_band to use devm_*"). [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rpmsg: core: fix race in driver_override_show() and use core helper The driver_override_show function reads the driver_override string without holding the device_lock. However, the store function modifies and frees the string while holding the device_lock. This creates a race condition where the string can be freed by the store function while being read by the show function, leading to a use-after-free. To fix this, replace the rpmsg_string_attr macro with explicit show and store functions. The new driver_override_store uses the standard driver_set_override helper. Since the introduction of driver_set_override, the comments in include/linux/rpmsg.h have stated that this helper must be used to set or clear driver_override, but the implementation was not updated until now. Because driver_set_override modifies and frees the string while holding the device_lock, the new driver_override_show now correctly holds the device_lock during the read operation to prevent the race. Additionally, since rpmsg_string_attr has only ever been used for driver_override, removing the macro simplifies the code. Уязвимость компонента rpmsg/rpmsg_core.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: SOF: ipc4-topology: Correct the allocation size for bytes controls The size of the data behind of scontrol->ipc_control_data for bytes controls is: [1] sizeof(struct sof_ipc4_control_data) + // kernel only struct [2] sizeof(struct sof_abi_hdr)) + payload The max_size specifies the size of [2] and it is coming from topology. Change the function to take this into account and allocate adequate amount of memory behind scontrol->ipc_control_data. With the change we will allocate [1] amount more memory to be able to hold the full size of data. Уязвимость компонента soc/sof/ipc4-topology.c ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: misc: bcm_vk: Fix possible null-pointer dereferences in bcm_vk_read() In the function bcm_vk_read(), the pointer entry is checked, indicating that it can be NULL. If entry is NULL and rc is set to -EMSGSIZE, the following code may cause null-pointer dereferences: struct vk_msg_blk tmp_msg = entry->to_h_msg[0]; set_msg_id(&tmp_msg, entry->usr_msg_id); tmp_msg.size = entry->to_h_blks - 1; To prevent these possible null-pointer dereferences, copy to_h_msg, usr_msg_id, and to_h_blks from iter into temporary variables, and return these temporary variables to the application instead of accessing them through a potentially NULL entry. Уязвимость компонента misc/bcm-vk/bcm_vk_msg.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: jfs: nlink overflow in jfs_rename If nlink is maximal for a directory (-1) and inside that directory you perform a rename for some child directory (not moving from the parent), then the nlink of the first directory is first incremented and later decremented. Normally this is fine, but when nlink = -1 this causes a wrap around to 0, and then drop_nlink issues a warning. After applying the patch syzbot no longer issues any warnings. I also ran some basic fs tests to look for any regressions. Уязвимость компонента jfs/namei.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix NULL pointer issue buffer funcs If SDMA block not enabled, buffer_funcs will not initialize, fix the null pointer issue if buffer_funcs not initialized. Уязвимость компонента gpu/drm/amd/amdgpu/amdgpu_device.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/buffer: add alert in try_to_free_buffers() for folios without buffers try_to_free_buffers() can be called on folios with no buffers attached when filemap_release_folio() is invoked on a folio belonging to a mapping with AS_RELEASE_ALWAYS set but no release_folio operation defined. In such cases, folio_needs_release() returns true because of the AS_RELEASE_ALWAYS flag, but the folio has no private buffer data. This causes try_to_free_buffers() to call drop_buffers() on a folio with no buffers, leading to a null pointer dereference. Adding a check in try_to_free_buffers() to return early if the folio has no buffers attached, with WARN_ON_ONCE() to alert about the misconfiguration. This provides defensive hardening. Уязвимость компонента fs/buffer ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rtw88: 8822b: Avoid WARNING in rtw8822b_config_trx_mode() rtw8822b_set_antenna() can be called from userspace when the chip is powered off. In that case a WARNING is triggered in rtw8822b_config_trx_mode() because trying to read the RF registers when the chip is powered off returns an unexpected value. Call rtw8822b_config_trx_mode() in rtw8822b_set_antenna() only when the chip is powered on. ------------[ cut here ]------------ write RF mode table fail WARNING: CPU: 0 PID: 7183 at rtw8822b.c:824 rtw8822b_config_trx_mode.constprop.0+0x835/0x840 [rtw88_8822b] CPU: 0 UID: 0 PID: 7183 Comm: iw Tainted: G W OE 6.17.5-arch1-1 #1 PREEMPT(full) 01c39fc421df2af799dd5e9180b572af860b40c1 Tainted: [W]=WARN, [O]=OOT_MODULE, [E]=UNSIGNED_MODULE Hardware name: LENOVO 82KR/LNVNB161216, BIOS HBCN18WW 08/27/2021 RIP: 0010:rtw8822b_config_trx_mode.constprop.0+0x835/0x840 [rtw88_8822b] Call Trace: <TASK> rtw8822b_set_antenna+0x57/0x70 [rtw88_8822b 370206f42e5890d8d5f48eb358b759efa37c422b] rtw_ops_set_antenna+0x50/0x80 [rtw88_core 711c8fb4f686162be4625b1d0b8e8c6a5ac850fb] ieee80211_set_antenna+0x60/0x100 [mac80211 f1845d85d2ecacf3b71867635a050ece90486cf3] nl80211_set_wiphy+0x384/0xe00 [cfg80211 296485ee85696d2150309a6d21a7fbca83d3dbda] ? netdev_run_todo+0x63/0x550 genl_family_rcv_msg_doit+0xfc/0x160 genl_rcv_msg+0x1aa/0x2b0 ? __pfx_nl80211_pre_doit+0x10/0x10 [cfg80211 296485ee85696d2150309a6d21a7fbca83d3dbda] ? __pfx_nl80211_set_wiphy+0x10/0x10 [cfg80211 296485ee85696d2150309a6d21a7fbca83d3dbda] ? __pfx_nl80211_post_doit+0x10/0x10 [cfg80211 296485ee85696d2150309a6d21a7fbca83d3dbda] ? __pfx_genl_rcv_msg+0x10/0x10 netlink_rcv_skb+0x59/0x110 genl_rcv+0x28/0x40 netlink_unicast+0x285/0x3c0 ? __alloc_skb+0xdb/0x1a0 netlink_sendmsg+0x20d/0x430 ____sys_sendmsg+0x39f/0x3d0 ? import_iovec+0x2f/0x40 ___sys_sendmsg+0x99/0xe0 ? refill_obj_stock+0x12e/0x240 __sys_sendmsg+0x8a/0xf0 do_syscall_64+0x81/0x970 ? do_syscall_64+0x81/0x970 ? ksys_read+0x73/0xf0 ? do_syscall_64+0x81/0x970 ? count_memcg_events+0xc2/0x190 ? handle_mm_fault+0x1d7/0x2d0 ? do_user_addr_fault+0x21a/0x690 ? exc_page_fault+0x7e/0x1a0 entry_SYSCALL_64_after_hwframe+0x76/0x7e </TASK> ---[ end trace 0000000000000000 ]--- Уязвимость компонента wireless/realtek/rtw88/rtw8822b.c ядра операционной системы Linux связана с неполным распознаванием внутреннего состояния. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Revert "arm64: zynqmp: Add an OP-TEE node to the device tree" This reverts commit 06d22ed6b6635b17551f386b50bb5aaff9b75fbe. OP-TEE logic in U-Boot automatically injects a reserved-memory node along with optee firmware node to kernel device tree. The injection logic is dependent on that there is no manually defined optee node. Having the node in zynqmp.dtsi effectively breaks OP-TEE's insertion of the reserved-memory node, causing memory access violations during runtime. Уязвимость компонента arm64/boot/dts/xilinx/zynqmp.dtsi ядра операционной системы Linux связана с отсутствием инициализации ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smack: /smack/doi: accept previously used values Writing to /smack/doi a value that has ever been written there in the past disables networking for non-ambient labels. E.g. # cat /smack/doi 3 # netlabelctl -p cipso list Configured CIPSO mappings (1) DOI value : 3 mapping type : PASS_THROUGH # netlabelctl -p map list Configured NetLabel domain mappings (3) domain: "_" (IPv4) protocol: UNLABELED domain: DEFAULT (IPv4) protocol: CIPSO, DOI = 3 domain: DEFAULT (IPv6) protocol: UNLABELED # cat /smack/ambient _ # cat /proc/$$/attr/smack/current _ # ping -c1 10.1.95.12 64 bytes from 10.1.95.12: icmp_seq=1 ttl=64 time=0.964 ms # echo foo >/proc/$$/attr/smack/current # ping -c1 10.1.95.12 64 bytes from 10.1.95.12: icmp_seq=1 ttl=64 time=0.956 ms unknown option 86 # echo 4 >/smack/doi # echo 3 >/smack/doi !> [ 214.050395] smk_cipso_doi:691 cipso add rc = -17 # echo 3 >/smack/doi !> [ 249.402261] smk_cipso_doi:678 remove rc = -2 !> [ 249.402261] smk_cipso_doi:691 cipso add rc = -17 # ping -c1 10.1.95.12 !!> ping: 10.1.95.12: Address family for hostname not supported # echo _ >/proc/$$/attr/smack/current # ping -c1 10.1.95.12 64 bytes from 10.1.95.12: icmp_seq=1 ttl=64 time=0.617 ms This happens because Smack keeps decommissioned DOIs, fails to re-add them, and consequently refuses to add the “default” domain map: # netlabelctl -p cipso list Configured CIPSO mappings (2) DOI value : 3 mapping type : PASS_THROUGH DOI value : 4 mapping type : PASS_THROUGH # netlabelctl -p map list Configured NetLabel domain mappings (2) domain: "_" (IPv4) protocol: UNLABELED !> (no ipv4 map for default domain here) domain: DEFAULT (IPv6) protocol: UNLABELED Fix by clearing decommissioned DOI definitions and serializing concurrent DOI updates with a new lock. Also: - allow /smack/doi to live unconfigured, since adding a map (netlbl_cfg_cipsov4_map_add) may fail. CIPSO_V4_DOI_UNKNOWN(0) indicates the unconfigured DOI - add new DOI before removing the old default map, so the old map remains if the add fails (2008-02-04, Casey Schaufler) Уязвимость компонента smack/smackfs.c ядра операционной системы Linux связана с неполным распознаванием внутреннего состояния. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/display/dp_mst: Add protection against 0 vcpi When releasing a timeslot there is a slight chance we may end up with the wrong payload mask due to overflow if the delayed_destroy_work ends up coming into play after a DP 2.1 monitor gets disconnected which causes vcpi to become 0 then we try to make the payload = ~BIT(vcpi - 1) which is a negative shift. VCPI id should never really be 0 hence skip changing the payload mask if VCPI is 0. Otherwise it leads to <7> [515.287237] xe 0000:03:00.0: [drm:drm_dp_mst_get_port_malloc [drm_display_helper]] port ffff888126ce9000 (3) <4> [515.287267] -----------[ cut here ]----------- <3> [515.287268] UBSAN: shift-out-of-bounds in ../drivers/gpu/drm/display/drm_dp_mst_topology.c:4575:36 <3> [515.287271] shift exponent -1 is negative <4> [515.287275] CPU: 7 UID: 0 PID: 3108 Comm: kworker/u64:33 Tainted: G S U 6.17.0-rc6-lgci-xe-xe-3795-3e79699fa1b216e92+ #1 PREEMPT(voluntary) <4> [515.287279] Tainted: [S]=CPU_OUT_OF_SPEC, [U]=USER <4> [515.287279] Hardware name: ASUS System Product Name/PRIME Z790-P WIFI, BIOS 1645 03/15/2024 <4> [515.287281] Workqueue: drm_dp_mst_wq drm_dp_delayed_destroy_work [drm_display_helper] <4> [515.287303] Call Trace: <4> [515.287304] <TASK> <4> [515.287306] dump_stack_lvl+0xc1/0xf0 <4> [515.287313] dump_stack+0x10/0x20 <4> [515.287316] __ubsan_handle_shift_out_of_bounds+0x133/0x2e0 <4> [515.287324] ? drm_atomic_get_private_obj_state+0x186/0x1d0 <4> [515.287333] drm_dp_atomic_release_time_slots.cold+0x17/0x3d [drm_display_helper] <4> [515.287355] mst_connector_atomic_check+0x159/0x180 [xe] <4> [515.287546] drm_atomic_helper_check_modeset+0x4d9/0xfa0 <4> [515.287550] ? __ww_mutex_lock.constprop.0+0x6f/0x1a60 <4> [515.287562] intel_atomic_check+0x119/0x2b80 [xe] <4> [515.287740] ? find_held_lock+0x31/0x90 <4> [515.287747] ? lock_release+0xce/0x2a0 <4> [515.287754] drm_atomic_check_only+0x6a2/0xb40 <4> [515.287758] ? drm_atomic_add_affected_connectors+0x12b/0x140 <4> [515.287765] drm_atomic_commit+0x6e/0xf0 <4> [515.287766] ? _pfx__drm_printfn_info+0x10/0x10 <4> [515.287774] drm_client_modeset_commit_atomic+0x25c/0x2b0 <4> [515.287794] drm_client_modeset_commit_locked+0x60/0x1b0 <4> [515.287795] ? mutex_lock_nested+0x1b/0x30 <4> [515.287801] drm_client_modeset_commit+0x26/0x50 <4> [515.287804] __drm_fb_helper_restore_fbdev_mode_unlocked+0xdc/0x110 <4> [515.287810] drm_fb_helper_hotplug_event+0x120/0x140 <4> [515.287814] drm_fbdev_client_hotplug+0x28/0xd0 <4> [515.287819] drm_client_hotplug+0x6c/0xf0 <4> [515.287824] drm_client_dev_hotplug+0x9e/0xd0 <4> [515.287829] drm_kms_helper_hotplug_event+0x1a/0x30 <4> [515.287834] drm_dp_delayed_destroy_work+0x3df/0x410 [drm_display_helper] <4> [515.287861] process_one_work+0x22b/0x6f0 <4> [515.287874] worker_thread+0x1e8/0x3d0 <4> [515.287879] ? __pfx_worker_thread+0x10/0x10 <4> [515.287882] kthread+0x11c/0x250 <4> [515.287886] ? __pfx_kthread+0x10/0x10 <4> [515.287890] ret_from_fork+0x2d7/0x310 <4> [515.287894] ? __pfx_kthread+0x10/0x10 <4> [515.287897] ret_from_fork_asm+0x1a/0x30 Уязвимость компонента drm/display/dp_mst ядра операционной системы Linux связана с неправильным побитовым смещением целого числа. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Initialize new folios before use KMSAN reports an uninitialized value in longest_match_std(), invoked from ntfs_compress_write(). When new folios are allocated without being marked uptodate and ni_read_frame() is skipped because the caller expects the frame to be completely overwritten, some reserved folios may remain only partially filled, leaving the rest memory uninitialized. Уязвимость компонента fs/ntfs3 ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N', score=8.2) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/panthor: Recover from panthor_gpu_flush_caches() failures We have seen a few cases where the whole memory subsystem is blocked and flush operations never complete. When that happens, we want to: - schedule a reset, so we can recover from this situation - in the reset path, we need to reset the pending_reqs so we can send new commands after the reset - if more panthor_gpu_flush_caches() operations are queued after the timeout, we skip them and return -EIO directly to avoid needless waits (the memory block won't miraculously work again) Note that we drop the WARN_ON()s because these hangs can be triggered with buggy GPU jobs created by the UMD, and there's no way we can prevent it. We do keep the error messages though. v2: - New patch v3: - Collect R-b - Explicitly mention the fact we dropped the WARN_ON()s in the commit message v4: - No changes Уязвимость компонента drm/panthor ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 python3.11 The 'zipfile' module would not check the validity of the ZIP64 End of Central Directory (EOCD) Locator record offset value would not be used to locate the ZIP64 EOCD record, instead the ZIP64 EOCD record would be assumed to be the previous record in the ZIP archive. This could be abused to create ZIP archives that are handled differently by the 'zipfile' module compared to other ZIP implementations. Remediation maintains this behavior, but checks that the offset specified in the ZIP64 EOCD Locator record matches the expected value. Уязвимость модуля zipfile интерпретатора языка программирования Python (CPython) связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-1285')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 dcmtk A vulnerability was identified in DCMTK up to 3.6.9. This affects an unknown function in the library dcmimage/include/dcmtk/dcmimage/diybrpxt.h of the component dcm2img. Such manipulation leads to memory corruption. Local access is required to approach this attack. The name of the patch is 7ad81d69b. It is best practice to apply a patch to resolve this issue. Уязвимость файла dcmimage/include/dcmtk/dcmimage/diybrpxt.h компонента dcm2img библиотеки для работы с форматом DICOM DCMTK связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:L/AC:L/Au:S/C:P/I:P/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L', score=5.3) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 qemu An off-by-one error was found in QEMU's KVM Xen guest support. A malicious guest could use this flaw to trigger out-of-bounds heap accesses in the QEMU process via the emulated Xen physdev hypercall interface, leading to a denial of service or potential memory corruption. Уязвимость эмулятора аппаратного обеспечения QEMU связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H', score=6.5) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 python3.11 When using http.cookies.Morsel, user-controlled cookie values and parameters can allow injecting HTTP headers into messages. Patch rejects all control characters within cookie names, values, and parameters. Уязвимость компонента http.cookies.Morsel интерпретатора языка программирования Python связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-93')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 gimp GIMP ICO File Parsing Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of ICO files. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28599. Уязвимость компонента ico-load.cграфического редактора GIMP связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 thunderbird When a user explicitly requested Thunderbird to decrypt an inline OpenPGP message that was embedded in a text section of an email that was formatted and styled with HTML and CSS, then the decrypted contents were rendered in a context in which the CSS styles from the outer messages were active. If the user had additionally allowed loading of the remote content referenced by the outer email message, and the email was crafted by the sender using a combination of CSS rules and fonts and animations, then it was possible to extract the secret contents of the email. This vulnerability was fixed in Thunderbird 147.0.1 and Thunderbird 140.7.1. Уязвимость почтового клиента Thunderbird связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 glibc Passing too large an alignment to the memalign suite of functions (memalign, posix_memalign, aligned_alloc) in the GNU C Library version 2.30 to 2.42 may result in an integer overflow, which could consequently result in a heap corruption. Note that the attacker must have control over both, the size as well as the alignment arguments of the memalign function to be able to exploit this. The size parameter must be close enough to PTRDIFF_MAX so as to overflow size_t along with the large alignment argument. This limits the malicious inputs for the alignment for memalign to the range [1<<62+ 1, 1<<63] and exactly 1<<63 for posix_memalign and aligned_alloc. Typically the alignment argument passed to such functions is a known constrained quantity (e.g. page size, block size, struct sizes) and is not attacker controlled, because of which this may not be easily exploitable in practice. An application bug could potentially result in the input alignment being too large, e.g. due to a different buffer overflow or integer overflow in the application or its dependent libraries, but that is again an uncommon usage pattern given typical sources of alignments. Уязвимость функций memalign, posix_memalign, aligned_alloc системной библиотеки GNU C Library связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) При использовании уязвимых функций memalign(), posix_memalign(), aligned_alloc(), valloc(), pvalloc() ПО glibc проверить, может ли аргумент `alignment` поступать и изменяться извне или из недоверенных источников. Если это так, то перед вызовом функций добавить проверку, что аргумент `alignment` является степенью двойки и не превышает максимального значения 65536. Astra Linux 1.8 python3.11 User-controlled header names and values containing newlines can allow injecting HTTP headers. Уязвимость интерпретатора языка программирования Python (CPython) связана с недостаточной нейтрализацией специальных элементов в запросе. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-74')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 glibc Calling getnetbyaddr or getnetbyaddr_r with a configured nsswitch.conf that specifies the library's DNS backend for networks and queries for a zero-valued network in the GNU C Library version 2.0 to version 2.42 can leak stack contents to the configured DNS resolver. Уязвимость системной библиотеки GNU C Library связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) 1. Используя полномочия администратора системы с высоким уровнем целостности отредактировать файл `/etc/nsswitch.conf`, изменив строку, отвечающую за поиск сетевой информации. Например, если текущая конфигурация выглядит как `networks: files dns`, то её следует изменить на `networks: files`. 2. При использовании функций getnetbyaddr() или getnetbyaddr_r() библиотеки glibc проверять, что в них не передаётся параметр net со значением 0. Astra Linux 1.8 libssh A malicious SCP server can send unexpected paths that could make the client application override local files outside of working directory. This could be misused to create malicious executable or configuration files and make the user execute them under specific consequences. This is the same issue as in OpenSSH, tracked as CVE-2019-6111. Уязвимость библиотеки libssh связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 libssh A flaw was found in libssh where it can attempt to open arbitrary files during configuration parsing. A local attacker can exploit this by providing a malicious configuration file or when the system is misconfigured. This vulnerability could lead to a Denial of Service (DoS) by causing the system to try and access dangerous files, such as block devices or large system files, which can disrupt normal operations. Уязвимость библиотеки libssh связана с некорректным внешним управлением именем или путем файла. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-73')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=3.3) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 libssh A flaw was found in libssh. The API function `ssh_get_hexa()` is vulnerable to a denial of service when processing zero-length input. This can be exploited remotely by an attacker during GSSAPI (Generic Security Service Application Program Interface) authentication if the server's logging verbosity is set to `SSH_LOG_PACKET (3)` or higher. Successful exploitation could lead to a self-Denial of Service of the per-connection daemon process. Уязвимость функции ssh_get_hexa() прикладного программного интерфейса библиотеки libssh связана с нарушением начальной границы буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-124')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=6.5) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 libssh A flaw was found in libssh. A remote attacker, by controlling client configuration files or known_hosts files, could craft specific hostnames that when processed by the `match_pattern()` function can lead to inefficient regular expression backtracking. This can cause timeouts and resource exhaustion, resulting in a Denial of Service (DoS) for the client. Уязвимость библиотеки libssh связана с использованием регулярного выражения с неэффективной вычислительной сложностью. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:N/I:N/A:L', score=2.2) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 libssh A flaw was found in libssh in which a malicious SFTP (SSH File Transfer Protocol) server can exploit this by sending a malformed 'longname' field within an `SSH_FXP_NAME` message during a file listing operation. This missing null check can lead to reading beyond allocated memory on the heap. This can cause unexpected behavior or lead to a denial of service (DoS) due to application crashes. Уязвимость библиотеки libssh связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 glib2.0 A flaw was found in glib. Missing validation of offset and count parameters in the g_buffered_input_stream_peek() function can lead to an integer overflow during length calculation. When specially crafted values are provided, this overflow results in an incorrect size being passed to memcpy(), triggering a buffer overflow. This can cause application crashes, leading to a Denial of Service (DoS). Уязвимость функции g_buffered_input_stream_peek() набора библиотек GLib связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=3.7) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 1.8 libxml2 A flaw was identified in the RelaxNG parser of libxml2 related to how external schema inclusions are handled. The parser does not enforce a limit on inclusion depth when resolving nested <include> directives. Specially crafted or overly complex schemas can cause excessive recursion during parsing. This may lead to stack exhaustion and application crashes, creating a denial-of-service risk. Уязвимость библиотеки Libxml2 связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=3.7) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libxml2 A flaw was found in libxml2, an XML parsing library. This uncontrolled recursion vulnerability occurs in the xmlCatalogXMLResolveURI function when an XML catalog contains a delegate URI entry that references itself. A remote attacker could exploit this configuration-dependent issue by providing a specially crafted XML catalog, leading to infinite recursion and call stack exhaustion. This ultimately results in a segmentation fault, causing a Denial of Service (DoS) by crashing affected applications. Уязвимость компонента catalog.c библиотеки Libxml2 связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libxml2 A flaw was found in the libxml2 library. This uncontrolled resource consumption vulnerability occurs when processing XML catalogs that contain repeated <nextCatalog> elements pointing to the same downstream catalog. A remote attacker can exploit this by supplying crafted catalogs, causing the parser to redundantly traverse catalog chains. This leads to excessive CPU consumption and degrades application availability, resulting in a denial-of-service condition. Уязвимость компонента catalog.c библиотеки Libxml2 связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) libxml2: - Удалить ПО libxml2, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxml2 в пользу ПО expat или libxmltok - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 protobuf A denial-of-service (DoS) vulnerability exists in google.protobuf.json_format.ParseDict() in Python, where the max_recursion_depth limit can be bypassed when parsing nested google.protobuf.Any messages. Due to missing recursion depth accounting inside the internal Any-handling logic, an attacker can supply deeply nested Any structures that bypass the intended recursion limit, eventually exhausting Python’s recursion stack and causing a RecursionError. Уязвимость протокола сериализации данных Protobuf связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызывать отказ в обслуживании [NistCWE(cwe='CWE-674'), NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) protobuf: - Использовать ПО protobuf только на низком или отдельно выделенном уровне целостности - При использовании ПО protobuf выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска protobuf только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды protobuf-c: - включить защиту файловой системы ("установить МКЦ на ФС"); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - по возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 python3.11 The email module, specifically the "BytesGenerator" class, didn’t properly quote newlines for email headers when serializing an email message allowing for header injection when an email is serialized. This is only applicable if using "LiteralHeader" writing headers that don't respect email folding rules, the new behavior will reject the incorrectly folded headers in "BytesGenerator". Уязвимость модуля email интерпретатора языка программирования Python связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-93')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 glib2.0 A flaw was found in the GLib Base64 encoding routine when processing very large input data. Due to incorrect use of integer types during length calculation, the library may miscalculate buffer boundaries. This can cause memory writes outside the allocated buffer. Applications that process untrusted or extremely large Base64 input using GLib may crash or behave unpredictably. Уязвимость функции g_base64_encode_close() компонента glib/gbase64.c набора библиотек GLib связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L', score=4.2) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 1.8 glib2.0 A flaw was found in Glib's content type parsing logic. This buffer underflow vulnerability occurs because the length of a header line is stored in a signed integer, which can lead to integer wraparound for very large inputs. This results in pointer underflow and out-of-bounds memory access. Exploitation requires a local user to install or process a specially crafted treemagic file, which can lead to local denial of service or application instability. Уязвимость функции parse_header() компонента gio/gcontenttype-fdo.c набора библиотек GLib связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-124')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:L', score=2.8) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 1.8 glib2.0 A flaw was found in GLib. An integer overflow vulnerability in its Unicode case conversion implementation can lead to memory corruption. By processing specially crafted and extremely large Unicode strings, an attacker could trigger an undersized memory allocation, resulting in out-of-bounds writes. This could cause applications utilizing GLib for string conversion to crash or become unstable. Уязвимость функции g_unichar_to_utf8() компонента gutf8.c набора библиотек GLib связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L', score=5.4) glib2.0: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов glib2.0 исключительно группой root. Astra Linux 1.8 libsoup3 A flaw was found in libsoup. An attacker who can control the input for the Content-Disposition header can inject CRLF (Carriage Return Line Feed) sequences into the header value. These sequences are then interpreted verbatim when the HTTP request or response is constructed, allowing arbitrary HTTP headers to be injected. This vulnerability can lead to HTTP header injection or HTTP response splitting without requiring authentication or user interaction. Уязвимость библиотеки доступа к HTTP серверам LibSoup связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, внедрять произвольные HTTP-заголовки [NistCWE(cwe='CWE-93')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N', score=5.8) libsoup3: - Обеспечить возможность использования библиотеки llibsoup3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 postgresql-15 Improper validation of type "oidvector" in PostgreSQL allows a database user to disclose a few bytes of server memory. We have not ruled out viability of attacks that arrange for presence of confidential information in disclosed bytes, but they seem unlikely. Versions before PostgreSQL 18.2, 17.8, 16.12, 15.16, and 14.21 are affected. Уязвимость функции обработки типов данных oidvector системы управления базами данных PostgreSQL связана с чтением за границами буфера памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть байты памяти сервера и получить доступ к конфиденциальной информации [NistCWE(cwe='CWE-1287')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=4.3) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 postgresql-15 Missing validation of type of input in PostgreSQL intarray extension selectivity estimator function allows an object creator to execute arbitrary code as the operating system user running the database. Versions before PostgreSQL 18.2, 17.8, 16.12, 15.16, and 14.21 are affected. Уязвимость функции оценки избирательности расширения Intarray системы управления базами данных PostgreSQL связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в контексте текущего пользователя [NistCWE(cwe='CWE-1287'), NistCWE(cwe='CWE-1287')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 postgresql-15 Heap buffer overflow in PostgreSQL pgcrypto allows a ciphertext provider to execute arbitrary code as the operating system user running the database. Versions before PostgreSQL 18.2, 17.8, 16.12, 15.16, and 14.21 are affected. Уязвимость компонента pgcrypto системы управления базами данных PostgreSQL связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 postgresql-15 Missing validation of multibyte character length in PostgreSQL text manipulation allows a database user to issue crafted queries that achieve a buffer overrun. That suffices to execute arbitrary code as the operating system user running the database. Versions before PostgreSQL 18.2, 17.8, 16.12, 15.16, and 14.21 are affected. Уязвимость системы управления базами данных PostgreSQL связана с неверным индексированием массива. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в контексте текущего пользователя с помощью специально созданных запросов [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-1285')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 gimp GIMP PGM File Parsing Uninitialized Memory Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of PGM files. The issue results from the lack of proper initialization of memory prior to accessing it. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28158. Уязвимость компонента file-pnm.c графического редактора GIMP связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 gimp GIMP XWD File Parsing Out-Of-Bounds Write Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of XWD files. The issue results from the lack of proper validation of user-supplied data, which can result in a write past the end of an allocated buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28265. Уязвимость компонента file-xwd.c графического редактора GIMP связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 gimp GIMP XWD File Parsing Out-Of-Bounds Write Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GIMP. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of XWD files. The issue results from the lack of proper validation of user-supplied data, which can result in a write past the end of an allocated buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28591. Уязвимость компонента file-xwd.c графического редактора GIMP связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 webkit2gtk This issue was addressed through improved state management. This issue is fixed in Safari 26.3, iOS 18.7.5 and iPadOS 18.7.5, iOS 26.3 and iPadOS 26.3, macOS Tahoe 26.3, visionOS 26.3. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 26.3, iOS 18.7.5 and iPadOS 18.7.5, iOS 26.3 and iPadOS 26.3, macOS Tahoe 26.3, tvOS 26.3, visionOS 26.3, watchOS 26.3. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 26.3, iOS 26.3 and iPadOS 26.3, macOS Tahoe 26.3, visionOS 26.3. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 26.3, iOS 18.7.5 and iPadOS 18.7.5, iOS 26.3 and iPadOS 26.3, macOS Tahoe 26.3, visionOS 26.3. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved memory handling. This issue is fixed in Safari 26.3, iOS 18.7.5 and iPadOS 18.7.5, iOS 26.3 and iPadOS 26.3, macOS Tahoe 26.3, visionOS 26.3. A remote attacker may be able to cause a denial-of-service. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk This issue was addressed through improved state management. This issue is fixed in Safari 26.3, iOS 26.3 and iPadOS 26.3, macOS Tahoe 26.3, visionOS 26.3. A website may be able to track users through Safari web extensions. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 python-urllib3 urllib3 is an HTTP client library for Python. urllib3's streaming API is designed for the efficient handling of large HTTP responses by reading the content in chunks, rather than loading the entire response body into memory at once. urllib3 can perform decoding or decompression based on the HTTP `Content-Encoding` header (e.g., `gzip`, `deflate`, `br`, or `zstd`). When using the streaming API, the library decompresses only the necessary bytes, enabling partial content consumption. Starting in version 1.22 and prior to version 2.6.3, for HTTP redirect responses, the library would read the entire response body to drain the connection and decompress the content unnecessarily. This decompression occurred even before any read methods were called, and configured read limits did not restrict the amount of decompressed data. As a result, there was no safeguard against decompression bombs. A malicious server could exploit this to trigger excessive resource consumption on the client. Applications and libraries are affected when they stream content from untrusted sources by setting `preload_content=False` when they do not disable redirects. Users should upgrade to at least urllib3 v2.6.3, in which the library does not decode content of redirect responses when `preload_content=False`. If upgrading is not immediately possible, disable redirects by setting `redirect=False` for requests to untrusted source. Уязвимость HTTP библиотеки для Python Urllib3 связана с некорректной обработкой сильно сжатых входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-409'), NistCWE(cwe='CWE-409')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python-urllib3: - Использовать ПО python-urllib3 только на низком или отдельно выделенном уровне целостности - При использовании ПО python-urllib3 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-urllib3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 nodejs A flaw in Node.js TLS error handling allows remote attackers to crash or exhaust resources of a TLS server when `pskCallback` or `ALPNCallback` are in use. Synchronous exceptions thrown during these callbacks bypass standard TLS error handling paths (tlsClientError and error), causing either immediate process termination or silent file descriptor leaks that eventually lead to denial of service. Because these callbacks process attacker-controlled input during the TLS handshake, a remote client can repeatedly trigger the issue. This vulnerability affects TLS servers using PSK or ALPN callbacks across Node.js versions where these callbacks throw without being safely wrapped. Уязвимость функций pskCallback() и ALPNCallback() программной платформы Node.js связана с некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) nodejs: - При использовании ПО NodeJS выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте NodeJS-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 gimp A flaw was found in GIMP. Heap-buffer-overflow vulnerability exists in the fread_pascal_string function when processing a specially crafted PSD (Photoshop Document) file. This occurs because the buffer allocated for a Pascal string is not properly null-terminated, leading to an out-of-bounds read when strlen() is subsequently called. Successfully exploiting this vulnerability can cause the application to crash, resulting in an application level Denial of Service. Уязвимость функции fread_pascal_string() файла plug-ins/file-psd/psd-util.c библиотеки для обработки изображений Gimp связана с ошибками при завершении строки или массива символом null. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-170')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:L', score=2.8) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 qemu A flaw was found in QEMU. A specially crafted VMDK image could trigger an out-of-bounds read vulnerability, potentially leading to a 12-byte leak of sensitive information or a denial of service condition (DoS). Уязвимость компонента block/vmdk.c эмулятора аппаратного обеспечения QEMU связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью специально созданного VMDK изображения [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L', score=5.1) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 harfbuzz HarfBuzz is a text shaping engine. Prior to version 12.3.0, a null pointer dereference vulnerability exists in the SubtableUnicodesCache::create function located in src/hb-ot-cmap-table.hh. The function fails to check if hb_malloc returns NULL before using placement new to construct an object at the returned pointer address. When hb_malloc fails to allocate memory (which can occur in low-memory conditions or when using custom allocators that simulate allocation failures), it returns NULL. The code then attempts to call the constructor on this null pointer using placement new syntax, resulting in undefined behavior and a Segmentation Fault. This issue has been patched in version 12.3.0. Уязвимость функции SubtableUnicodesCache::create() компонента src/hb-ot-cmap-table.hh библиотеки для преобразования текста HarfBuzz связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) - Запускать приложения, использующие HarfBuzz, в изолированной программной среде с применением инструмента Firejail - При использовании ПО HarfBuzz выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска HarfBuzz только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. From 1.6.51 to 1.6.53, there is a heap buffer over-read in the libpng simplified API function png_image_finish_read when processing interlaced 16-bit PNGs with 8-bit output format and non-minimal row stride. This is a regression introduced by the fix for CVE-2025-65018. This vulnerability is fixed in 1.6.54. Уязвимость функции png_image_read_direct_scaled() библиотеки libpng связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H', score=6.1) Astra Linux 1.8 gimp A flaw was found in GIMP's PSP (Paint Shop Pro) file parser. A remote attacker could exploit an integer overflow vulnerability in the read_creator_block() function by providing a specially crafted PSP image file. This vulnerability occurs when a 32-bit length value from the file is used for memory allocation without proper validation, leading to a heap overflow and an out-of-bounds write. Successful exploitation could result in an application level denial of service. Уязвимость компонента plug-ins/common/file-psp.c графического редактора GIMP связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании с помощью специально созданного PSP изображения [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.3) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 gimp A flaw was found in GIMP. An integer overflow vulnerability exists when processing ICO image files, specifically in the `ico_read_info` and `ico_read_icon` functions. This issue arises because a size calculation for image buffers can wrap around due to a 32-bit integer evaluation, allowing oversized image headers to bypass security checks. A remote attacker could exploit this by providing a specially crafted ICO file, leading to a buffer overflow and memory corruption, which may result in an application level denial of service. Уязвимость компонента plug-ins/file-ico/ico-load.c графического редактора GIMP связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного ICO файла [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) gimp: - При использовании ПО gimp выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gimp только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить защиту файловой системы ("установить МКЦ на ФС") Astra Linux 1.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. From 1.6.26 to 1.6.53, there is an integer truncation in the libpng simplified write API functions png_write_image_16bit and png_write_image_8bit causes heap buffer over-read when the caller provides a negative row stride (for bottom-up image layouts) or a stride exceeding 65535 bytes. The bug was introduced in libpng 1.6.26 (October 2016) by casts added to silence compiler warnings on 16-bit systems. This vulnerability is fixed in 1.6.54. Уязвимость функций png_write_image_16bit() и png_write_image_8bit() библиотеки для работы с растровой графикой в формате PNG Libpng связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=6.8) Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.20.1, a race condition between the RDPGFX dynamic virtual channel thread and the SDL render thread leads to a heap use-after-free. Specifically, an escaped pointer to sdl->primary (SDL_Surface) is accessed after it has been freed during RDPGFX ResetGraphics handling. This vulnerability is fixed in 3.20.1. Уязвимость клиента SDL3 RDP-клиента FreeRDP связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.20.1, a malicious RDP server can trigger a heap-buffer-overflow write in the FreeRDP client when processing Audio Input (AUDIN) format lists. audin_process_formats reuses callback->formats_count across multiple MSG_SNDIN_FORMATS PDUs and writes past the newly allocated formats array, causing memory corruption and a crash. This vulnerability is fixed in 3.20.1. Уязвимость функции audin_process_formats() RDP-клиента FreeRDP связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.20.1, RDPEAR’s NDR array reader does not perform bounds checking on the on‑wire element count and can write past the heap buffer allocated from hints, causing a heap buffer overflow in ndr_read_uint8Array. This vulnerability is fixed in 3.20.1. Уязвимость функции ndr_read_uint8Array() RDP-клиента FreeRDP связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.20.1, a heap-buffer-overflow occurs in drive read when a server-controlled read length is used to read file data into an IRP output stream buffer without a hard upper bound, allowing an oversized read to overwrite heap memory. This vulnerability is fixed in 3.20.1. Уязвимость функции drive_process_irp_read() RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.20.1, a heap out-of-bounds read occurs in the smartcard SetAttrib path when cbAttrLen does not match the actual NDR buffer length. This vulnerability is fixed in 3.20.1. Уязвимость функции smartcard_unpack_set_attrib_call() RDP-клиента FreeRDP связана с выходом операции за границы буфера в памяти в результате некорректной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.20.1, a race in the serial channel IRP thread tracking allows a heap use‑after‑free when one thread removes an entry from serial->IrpThreads while another reads it. This vulnerability is fixed in 3.20.1. Уязвимость функции create_irp_thread() RDP-клиента FreeRDP связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.20.1, a heap use-after-free occurs in irp_thread_func because the IRP is freed by irp->Complete() and then accessed again on the error path. This vulnerability is fixed in 3.20.1. Уязвимость функции irp_thread_func() RDP-клиента FreeRDP связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.20.1, global-buffer-overflow was observed in FreeRDP's Base64 decoding path. The root cause appears to be implementation-defined char signedness: on Arm/AArch64 builds, plain char is treated as unsigned, so the guard c <= 0 can be optimized into a simple c != 0 check. As a result, non-ASCII bytes (e.g., 0x80-0xFF) may bypass the intended range restriction and be used as an index into a global lookup table, causing out-of-bounds access. This vulnerability is fixed in 3.20.1. Уязвимость RDP-клиента FreeRDP связана с выходом операции за границы буфера в памяти в результате некорректного кодирования на основе стандарта Base64. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.20.1, the URBDRC client does not perform bounds checking on server‑supplied MSUSB_INTERFACE_DESCRIPTOR values and uses them as indices in libusb_udev_complete_msconfig_setup, causing an out‑of‑bounds read. This vulnerability is fixed in 3.20.1. Уязвимость клиента перенаправления USB-устройств URBDRC RDP-клиента FreeRDP связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 ruby-rack Rack is a modular Ruby web server interface. Prior to versions 2.2.22, 3.1.20, and 3.2.5, `Rack::Directory`’s path check used a string prefix match on the expanded path. A request like `/../root_example/` can escape the configured root if the target path starts with the root string, allowing directory listing outside the intended root. Versions 2.2.22, 3.1.20, and 3.2.5 fix the issue. Уязвимость модульного интерфейса между веб-серверами и веб-приложениями Rack связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-22'), NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) ruby-rack: - Запускайте приложения, использующие Ruby Rack, с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам и коду приложения так, чтобы их могли изменять только администраторы системы. - Убедитесь, что ваши веб-приложения, использующие Ruby Rack, корректно проверяют и санитизируют все входные данные, чтобы предотвратить атаки, такие как SQL-инъекции и XSS. - Настройте веб-сервер для использования HTTPS, чтобы защитить данные, передаваемые между клиентом и сервером. Astra Linux 1.8 python3.11 The import hook in CPython that handles legacy *.pyc files (SourcelessFileLoader) is incorrectly handled in FileLoader (a base class) and so does not use io.open_code() to read the .pyc files. sys.audit handlers for this audit event therefore do not fire. Уязвимость класса FileLoader интерпретатора языка программирования Python (CPython) связана с раскрытием информации в ошибочной области данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-668')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: sch_qfq: Fix NULL deref when deactivating inactive aggregate in qfq_reset `qfq_class->leaf_qdisc->q.qlen > 0` does not imply that the class itself is active. Two qfq_class objects may point to the same leaf_qdisc. This happens when: 1. one QFQ qdisc is attached to the dev as the root qdisc, and 2. another QFQ qdisc is temporarily referenced (e.g., via qdisc_get() / qdisc_put()) and is pending to be destroyed, as in function tc_new_tfilter. When packets are enqueued through the root QFQ qdisc, the shared leaf_qdisc->q.qlen increases. At the same time, the second QFQ qdisc triggers qdisc_put and qdisc_destroy: the qdisc enters qfq_reset() with its own q->q.qlen == 0, but its class's leaf qdisc->q.qlen > 0. Therefore, the qfq_reset would wrongly deactivate an inactive aggregate and trigger a null-deref in qfq_deactivate_agg: [ 0.903172] BUG: kernel NULL pointer dereference, address: 0000000000000000 [ 0.903571] #PF: supervisor write access in kernel mode [ 0.903860] #PF: error_code(0x0002) - not-present page [ 0.904177] PGD 10299b067 P4D 10299b067 PUD 10299c067 PMD 0 [ 0.904502] Oops: Oops: 0002 [#1] SMP NOPTI [ 0.904737] CPU: 0 UID: 0 PID: 135 Comm: exploit Not tainted 6.19.0-rc3+ #2 NONE [ 0.905157] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.17.0-0-gb52ca86e094d-prebuilt.qemu.org 04/01/2014 [ 0.905754] RIP: 0010:qfq_deactivate_agg (include/linux/list.h:992 (discriminator 2) include/linux/list.h:1006 (discriminator 2) net/sched/sch_qfq.c:1367 (discriminator 2) net/sched/sch_qfq.c:1393 (discriminator 2)) [ 0.906046] Code: 0f 84 4d 01 00 00 48 89 70 18 8b 4b 10 48 c7 c2 ff ff ff ff 48 8b 78 08 48 d3 e2 48 21 f2 48 2b 13 48 8b 30 48 d3 ea 8b 4b 18 0 Code starting with the faulting instruction =========================================== 0: 0f 84 4d 01 00 00 je 0x153 6: 48 89 70 18 mov %rsi,0x18(%rax) a: 8b 4b 10 mov 0x10(%rbx),%ecx d: 48 c7 c2 ff ff ff ff mov $0xffffffffffffffff,%rdx 14: 48 8b 78 08 mov 0x8(%rax),%rdi 18: 48 d3 e2 shl %cl,%rdx 1b: 48 21 f2 and %rsi,%rdx 1e: 48 2b 13 sub (%rbx),%rdx 21: 48 8b 30 mov (%rax),%rsi 24: 48 d3 ea shr %cl,%rdx 27: 8b 4b 18 mov 0x18(%rbx),%ecx ... [ 0.907095] RSP: 0018:ffffc900004a39a0 EFLAGS: 00010246 [ 0.907368] RAX: ffff8881043a0880 RBX: ffff888102953340 RCX: 0000000000000000 [ 0.907723] RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 [ 0.908100] RBP: ffff888102952180 R08: 0000000000000000 R09: 0000000000000000 [ 0.908451] R10: ffff8881043a0000 R11: 0000000000000000 R12: ffff888102952000 [ 0.908804] R13: ffff888102952180 R14: ffff8881043a0ad8 R15: ffff8881043a0880 [ 0.909179] FS: 000000002a1a0380(0000) GS:ffff888196d8d000(0000) knlGS:0000000000000000 [ 0.909572] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 0.909857] CR2: 0000000000000000 CR3: 0000000102993002 CR4: 0000000000772ef0 [ 0.910247] PKRU: 55555554 [ 0.910391] Call Trace: [ 0.910527] <TASK> [ 0.910638] qfq_reset_qdisc (net/sched/sch_qfq.c:357 net/sched/sch_qfq.c:1485) [ 0.910826] qdisc_reset (include/linux/skbuff.h:2195 include/linux/skbuff.h:2501 include/linux/skbuff.h:3424 include/linux/skbuff.h:3430 net/sched/sch_generic.c:1036) [ 0.911040] __qdisc_destroy (net/sched/sch_generic.c:1076) [ 0.911236] tc_new_tfilter (net/sched/cls_api.c:2447) [ 0.911447] rtnetlink_rcv_msg (net/core/rtnetlink.c:6958) [ 0.911663] ? __pfx_rtnetlink_rcv_msg (net/core/rtnetlink.c:6861) [ 0.911894] netlink_rcv_skb (net/netlink/af_netlink.c:2550) [ 0.912100] netlink_unicast (net/netlink/af_netlink.c:1319 net/netlink/af_netlink.c:1344) [ 0.912296] ? __alloc_skb (net/core/skbuff.c:706) [ 0.912484] netlink_sendmsg (net/netlink/af ---truncated--- Уязвимость функции qfq_reset_qdisc() в модуле net/sched/sch_qfq.c подсистемы управления трафиком net/sched ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: sock: fix hardened usercopy panic in sock_recv_errqueue skbuff_fclone_cache was created without defining a usercopy region, [1] unlike skbuff_head_cache which properly whitelists the cb[] field. [2] This causes a usercopy BUG() when CONFIG_HARDENED_USERCOPY is enabled and the kernel attempts to copy sk_buff.cb data to userspace via sock_recv_errqueue() -> put_cmsg(). The crash occurs when: 1. TCP allocates an skb using alloc_skb_fclone() (from skbuff_fclone_cache) [1] 2. The skb is cloned via skb_clone() using the pre-allocated fclone [3] 3. The cloned skb is queued to sk_error_queue for timestamp reporting 4. Userspace reads the error queue via recvmsg(MSG_ERRQUEUE) 5. sock_recv_errqueue() calls put_cmsg() to copy serr->ee from skb->cb [4] 6. __check_heap_object() fails because skbuff_fclone_cache has no usercopy whitelist [5] When cloned skbs allocated from skbuff_fclone_cache are used in the socket error queue, accessing the sock_exterr_skb structure in skb->cb via put_cmsg() triggers a usercopy hardening violation: [ 5.379589] usercopy: Kernel memory exposure attempt detected from SLUB object 'skbuff_fclone_cache' (offset 296, size 16)! [ 5.382796] kernel BUG at mm/usercopy.c:102! [ 5.383923] Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI [ 5.384903] CPU: 1 UID: 0 PID: 138 Comm: poc_put_cmsg Not tainted 6.12.57 #7 [ 5.384903] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.3-0-ga6ed6b701f0a-prebuilt.qemu.org 04/01/2014 [ 5.384903] RIP: 0010:usercopy_abort+0x6c/0x80 [ 5.384903] Code: 1a 86 51 48 c7 c2 40 15 1a 86 41 52 48 c7 c7 c0 15 1a 86 48 0f 45 d6 48 c7 c6 80 15 1a 86 48 89 c1 49 0f 45 f3 e8 84 27 88 ff <0f> 0b 490 [ 5.384903] RSP: 0018:ffffc900006f77a8 EFLAGS: 00010246 [ 5.384903] RAX: 000000000000006f RBX: ffff88800f0ad2a8 RCX: 1ffffffff0f72e74 [ 5.384903] RDX: 0000000000000000 RSI: 0000000000000004 RDI: ffffffff87b973a0 [ 5.384903] RBP: 0000000000000010 R08: 0000000000000000 R09: fffffbfff0f72e74 [ 5.384903] R10: 0000000000000003 R11: 79706f6372657375 R12: 0000000000000001 [ 5.384903] R13: ffff88800f0ad2b8 R14: ffffea00003c2b40 R15: ffffea00003c2b00 [ 5.384903] FS: 0000000011bc4380(0000) GS:ffff8880bf100000(0000) knlGS:0000000000000000 [ 5.384903] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 5.384903] CR2: 000056aa3b8e5fe4 CR3: 000000000ea26004 CR4: 0000000000770ef0 [ 5.384903] PKRU: 55555554 [ 5.384903] Call Trace: [ 5.384903] <TASK> [ 5.384903] __check_heap_object+0x9a/0xd0 [ 5.384903] __check_object_size+0x46c/0x690 [ 5.384903] put_cmsg+0x129/0x5e0 [ 5.384903] sock_recv_errqueue+0x22f/0x380 [ 5.384903] tls_sw_recvmsg+0x7ed/0x1960 [ 5.384903] ? srso_alias_return_thunk+0x5/0xfbef5 [ 5.384903] ? schedule+0x6d/0x270 [ 5.384903] ? srso_alias_return_thunk+0x5/0xfbef5 [ 5.384903] ? mutex_unlock+0x81/0xd0 [ 5.384903] ? __pfx_mutex_unlock+0x10/0x10 [ 5.384903] ? __pfx_tls_sw_recvmsg+0x10/0x10 [ 5.384903] ? _raw_spin_lock_irqsave+0x8f/0xf0 [ 5.384903] ? _raw_read_unlock_irqrestore+0x20/0x40 [ 5.384903] ? srso_alias_return_thunk+0x5/0xfbef5 The crash offset 296 corresponds to skb2->cb within skbuff_fclones: - sizeof(struct sk_buff) = 232 - offsetof(struct sk_buff, cb) = 40 - offset of skb2.cb in fclones = 232 + 40 = 272 - crash offset 296 = 272 + 24 (inside sock_exterr_skb.ee) This patch uses a local stack variable as a bounce buffer to avoid the hardened usercopy check failure. [1] https://elixir.bootlin.com/linux/v6.12.62/source/net/ipv4/tcp.c#L885 [2] https://elixir.bootlin.com/linux/v6.12.62/source/net/core/skbuff.c#L5104 [3] https://elixir.bootlin.com/linux/v6.12.62/source/net/core/skbuff.c#L5566 [4] https://elixir.bootlin.com/linux/v6.12.62/source/net/core/skbuff.c#L5491 [5] https://elixir.bootlin.com/linux/v6.12.62/source/mm/slub.c#L5719 Уязвимость компонента core/sock.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: avoid kernel-infoleak from struct iw_point struct iw_point has a 32bit hole on 64bit arches. struct iw_point { void __user *pointer; /* Pointer to the data (in user space) */ __u16 length; /* number of fields or size in bytes */ __u16 flags; /* Optional params */ }; Make sure to zero the structure to avoid disclosing 32bits of kernel data to user space. Уязвимость компонента wireless/wext-core.c ядра операционной системы Linux связана с отсутствием инициализации ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.3) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: fix memory leak in skb_segment_list for GRO packets When skb_segment_list() is called during packet forwarding, it handles packets that were aggregated by the GRO engine. Historically, the segmentation logic in skb_segment_list assumes that individual segments are split from a parent SKB and may need to carry their own socket memory accounting. Accordingly, the code transfers truesize from the parent to the newly created segments. Prior to commit ed4cccef64c1 ("gro: fix ownership transfer"), this truesize subtraction in skb_segment_list() was valid because fragments still carry a reference to the original socket. However, commit ed4cccef64c1 ("gro: fix ownership transfer") changed this behavior by ensuring that fraglist entries are explicitly orphaned (skb->sk = NULL) to prevent illegal orphaning later in the stack. This change meant that the entire socket memory charge remained with the head SKB, but the corresponding accounting logic in skb_segment_list() was never updated. As a result, the current code unconditionally adds each fragment's truesize to delta_truesize and subtracts it from the parent SKB. Since the fragments are no longer charged to the socket, this subtraction results in an effective under-count of memory when the head is freed. This causes sk_wmem_alloc to remain non-zero, preventing socket destruction and leading to a persistent memory leak. The leak can be observed via KMEMLEAK when tearing down the networking environment: unreferenced object 0xffff8881e6eb9100 (size 2048): comm "ping", pid 6720, jiffies 4295492526 backtrace: kmem_cache_alloc_noprof+0x5c6/0x800 sk_prot_alloc+0x5b/0x220 sk_alloc+0x35/0xa00 inet6_create.part.0+0x303/0x10d0 __sock_create+0x248/0x640 __sys_socket+0x11b/0x1d0 Since skb_segment_list() is exclusively used for SKB_GSO_FRAGLIST packets constructed by GRO, the truesize adjustment is removed. The call to skb_release_head_state() must be preserved. As documented in commit cf673ed0e057 ("net: fix fraglist segmentation reference count leak"), it is still required to correctly drop references to SKB extensions that may be overwritten during __copy_skb_header(). Уязвимость компонента core/skbuff.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfsd: provide locking for v4_end_grace Writing to v4_end_grace can race with server shutdown and result in memory being accessed after it was freed - reclaim_str_hashtbl in particularly. We cannot hold nfsd_mutex across the nfsd4_end_grace() call as that is held while client_tracking_op->init() is called and that can wait for an upcall to nfsdcltrack which can write to v4_end_grace, resulting in a deadlock. nfsd4_end_grace() is also called by the landromat work queue and this doesn't require locking as server shutdown will stop the work and wait for it before freeing anything that nfsd4_end_grace() might access. However, we must be sure that writing to v4_end_grace doesn't restart the work item after shutdown has already waited for it. For this we add a new flag protected with nn->client_lock. It is set only while it is safe to make client tracking calls, and v4_end_grace only schedules work while the flag is set with the spinlock held. So this patch adds a nfsd_net field "client_tracking_active" which is set as described. Another field "grace_end_forced", is set when v4_end_grace is written. After this is set, and providing client_tracking_active is set, the laundromat is scheduled. This "grace_end_forced" field bypasses other checks for whether the grace period has finished. This resolves a race which can result in use-after-free. Уязвимость компонента nfsd/netns.h ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: mscc: ocelot: Fix crash when adding interface under a lag Commit 15faa1f67ab4 ("lan966x: Fix crash when adding interface under a lag") fixed a similar issue in the lan966x driver caused by a NULL pointer dereference. The ocelot_set_aggr_pgids() function in the ocelot driver has similar logic and is susceptible to the same crash. This issue specifically affects the ocelot_vsc7514.c frontend, which leaves unused ports as NULL pointers. The felix_vsc9959.c frontend is unaffected as it uses the DSA framework which registers all ports. Fix this by checking if the port pointer is valid before accessing it. Уязвимость функции ocelot_set_aggr_pgids() модуля drivers/net/ethernet/mscc/ocelot.c драйвера сетевых адаптеров Microsemi ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libceph: prevent potential out-of-bounds reads in handle_auth_done() Perform an explicit bounds check on payload_len to avoid a possible out-of-bounds access in the callout. [ idryomov: changelog ] Уязвимость компонента ceph/messenger_v2.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfsd: check that server is running in unlock_filesystem If we are trying to unlock the filesystem via an administrative interface and nfsd isn't running, it crashes the server. This happens currently because nfsd4_revoke_states() access state structures (eg., conf_id_hashtbl) that has been freed as a part of the server shutdown. [ 59.465072] Call trace: [ 59.465308] nfsd4_revoke_states+0x1b4/0x898 [nfsd] (P) [ 59.465830] write_unlock_fs+0x258/0x440 [nfsd] [ 59.466278] nfsctl_transaction_write+0xb0/0x120 [nfsd] [ 59.466780] vfs_write+0x1f0/0x938 [ 59.467088] ksys_write+0xfc/0x1f8 [ 59.467395] __arm64_sys_write+0x74/0xb8 [ 59.467746] invoke_syscall.constprop.0+0xdc/0x1e8 [ 59.468177] do_el0_svc+0x154/0x1d8 [ 59.468489] el0_svc+0x40/0xe0 [ 59.468767] el0t_64_sync_handler+0xa0/0xe8 [ 59.469138] el0t_64_sync+0x1ac/0x1b0 Ensure this can't happen by taking the nfsd_mutex and checking that the server is still up, and then holding the mutex across the call to nfsd4_revoke_states(). Уязвимость компонентов nfsd ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libceph: replace overzealous BUG_ON in osdmap_apply_incremental() If the osdmap is (maliciously) corrupted such that the incremental osdmap epoch is different from what is expected, there is no need to BUG. Instead, just declare the incremental osdmap to be invalid. Уязвимость функции osdmap_apply_incremental() модуля net/ceph/osdmap.c ядра операционной системы Linux связана с неконтролируемым достижимым утверждением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libceph: make free_choose_arg_map() resilient to partial allocation free_choose_arg_map() may dereference a NULL pointer if its caller fails after a partial allocation. For example, in decode_choose_args(), if allocation of arg_map->args fails, execution jumps to the fail label and free_choose_arg_map() is called. Since arg_map->size is updated to a non-zero value before memory allocation, free_choose_arg_map() will iterate over arg_map->args and dereference a NULL pointer. To prevent this potential NULL pointer dereference and make free_choose_arg_map() more resilient, add checks for pointers before iterating. Уязвимость функции alloc_choose_arg_map() модуля net/ceph/osdmap.c реализации сетевых функций ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libceph: return the handler error from mon_handle_auth_done() Currently any error from ceph_auth_handle_reply_done() is propagated via finish_auth() but isn't returned from mon_handle_auth_done(). This results in higher layers learning that (despite the monitor considering us to be successfully authenticated) something went wrong in the authentication phase and reacting accordingly, but msgr2 still trying to proceed with establishing the session in the background. In the case of secure mode this can trigger a WARN in setup_crypto() and later lead to a NULL pointer dereference inside of prepare_auth_signature(). Уязвимость компонента ceph/mon_client.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix reference count leak in bpf_prog_test_run_xdp() syzbot is reporting unregister_netdevice: waiting for sit0 to become free. Usage count = 2 problem. A debug printk() patch found that a refcount is obtained at xdp_convert_md_to_buff() from bpf_prog_test_run_xdp(). According to commit ec94670fcb3b ("bpf: Support specifying ingress via xdp_md context in BPF_PROG_TEST_RUN"), the refcount obtained by xdp_convert_md_to_buff() will be released by xdp_convert_buff_to_md(). Therefore, we can consider that the error handling path introduced by commit 1c1949982524 ("bpf: introduce frags support to bpf_prog_test_run_xdp()") forgot to call xdp_convert_buff_to_md(). Уязвимость функции bpf_prog_test_run_xdp() в модуле net/bpf/test_run.c реализации сетевых функций ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Don't store mlx5e_priv in mlx5e_dev devlink priv mlx5e_priv is an unstable structure that can be memset(0) if profile attaching fails, mlx5e_priv in mlx5e_dev devlink private is used to reference the netdev and mdev associated with that struct. Instead, store netdev directly into mlx5e_dev and get mdev from the containing mlx5_adev aux device structure. This fixes a kernel oops in mlx5e_remove when switchdev mode fails due to change profile failure. $ devlink dev eswitch set pci/0000:00:03.0 mode switchdev Error: mlx5_core: Failed setting eswitch to offloads. dmesg: workqueue: Failed to create a rescuer kthread for wq "mlx5e": -EINTR mlx5_core 0012:03:00.1: mlx5e_netdev_init_profile:6214:(pid 37199): mlx5e_priv_init failed, err=-12 mlx5_core 0012:03:00.1 gpu3rdma1: mlx5e_netdev_change_profile: new profile init failed, -12 workqueue: Failed to create a rescuer kthread for wq "mlx5e": -EINTR mlx5_core 0012:03:00.1: mlx5e_netdev_init_profile:6214:(pid 37199): mlx5e_priv_init failed, err=-12 mlx5_core 0012:03:00.1 gpu3rdma1: mlx5e_netdev_change_profile: failed to rollback to orig profile, -12 $ devlink dev reload pci/0000:00:03.0 ==> oops BUG: kernel NULL pointer dereference, address: 0000000000000520 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 3 UID: 0 PID: 521 Comm: devlink Not tainted 6.18.0-rc5+ #117 PREEMPT(voluntary) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-2.fc40 04/01/2014 RIP: 0010:mlx5e_remove+0x68/0x130 RSP: 0018:ffffc900034838f0 EFLAGS: 00010246 RAX: ffff88810283c380 RBX: ffff888101874400 RCX: ffffffff826ffc45 RDX: 0000000000000000 RSI: 0000000000000001 RDI: 0000000000000000 RBP: ffff888102d789c0 R08: ffff8881007137f0 R09: ffff888100264e10 R10: ffffc90003483898 R11: ffffc900034838a0 R12: ffff888100d261a0 R13: ffff888100d261a0 R14: ffff8881018749a0 R15: ffff888101874400 FS: 00007f8565fea740(0000) GS:ffff88856a759000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000520 CR3: 000000010b11a004 CR4: 0000000000370ef0 Call Trace: <TASK> device_release_driver_internal+0x19c/0x200 bus_remove_device+0xc6/0x130 device_del+0x160/0x3d0 ? devl_param_driverinit_value_get+0x2d/0x90 mlx5_detach_device+0x89/0xe0 mlx5_unload_one_devl_locked+0x3a/0x70 mlx5_devlink_reload_down+0xc8/0x220 devlink_reload+0x7d/0x260 devlink_nl_reload_doit+0x45b/0x5a0 genl_family_rcv_msg_doit+0xe8/0x140 [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: can: j1939: j1939_xtp_rx_rts_session_active(): deactivate session upon receiving the second rts Since j1939_session_deactivate_activate_next() in j1939_tp_rxtimer() is called only when the timer is enabled, we need to call j1939_session_deactivate_activate_next() if we cancelled the timer. Otherwise, refcount for j1939_session leaks, which will later appear as | unregister_netdevice: waiting for vcan0 to become free. Usage count = 2. problem. Уязвимость функции j1939_xtp_rx_rts_session_active() ядра операционной системы связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvme-tcp: fix NULL pointer dereferences in nvmet_tcp_build_pdu_iovec Commit efa56305908b ("nvmet-tcp: Fix a kernel panic when host sends an invalid H2C PDU length") added ttag bounds checking and data_offset validation in nvmet_tcp_handle_h2c_data_pdu(), but it did not validate whether the command's data structures (cmd->req.sg and cmd->iov) have been properly initialized before processing H2C_DATA PDUs. The nvmet_tcp_build_pdu_iovec() function dereferences these pointers without NULL checks. This can be triggered by sending H2C_DATA PDU immediately after the ICREQ/ICRESP handshake, before sending a CONNECT command or NVMe write command. Attack vectors that trigger NULL pointer dereferences: 1. H2C_DATA PDU sent before CONNECT → both pointers NULL 2. H2C_DATA PDU for READ command → cmd->req.sg allocated, cmd->iov NULL 3. H2C_DATA PDU for uninitialized command slot → both pointers NULL The fix validates both cmd->req.sg and cmd->iov before calling nvmet_tcp_build_pdu_iovec(). Both checks are required because: - Uninitialized commands: both NULL - READ commands: cmd->req.sg allocated, cmd->iov NULL - WRITE commands: both allocated Уязвимость функции nvmet_tcp_handle_h2c_data_pdu() ядра операционной системы связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: sch_qfq: do not free existing class in qfq_change_class() Fixes qfq_change_class() error case. cl->qdisc and cl should only be freed if a new class and qdisc were allocated, or we risk various UAF. Уязвимость функции qfq_change_class() ядра операционной системы связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Fix crash on profile change rollback failure mlx5e_netdev_change_profile can fail to attach a new profile and can fail to rollback to old profile, in such case, we could end up with a dangling netdev with a fully reset netdev_priv. A retry to change profile, e.g. another attempt to call mlx5e_netdev_change_profile via switchdev mode change, will crash trying to access the now NULL priv->mdev. This fix allows mlx5e_netdev_change_profile() to handle previous failures and an empty priv, by not assuming priv is valid. Pass netdev and mdev to all flows requiring mlx5e_netdev_change_profile() and avoid passing priv. In mlx5e_netdev_change_profile() check if current priv is valid, and if not, just attach the new profile without trying to access the old one. This fixes the following oops, when enabling switchdev mode for the 2nd time after first time failure: ## Enabling switchdev mode first time: mlx5_core 0012:03:00.1: E-Switch: Supported tc chains and prios offload workqueue: Failed to create a rescuer kthread for wq "mlx5e": -EINTR mlx5_core 0012:03:00.1: mlx5e_netdev_init_profile:6214:(pid 37199): mlx5e_priv_init failed, err=-12 mlx5_core 0012:03:00.1 gpu3rdma1: mlx5e_netdev_change_profile: new profile init failed, -12 workqueue: Failed to create a rescuer kthread for wq "mlx5e": -EINTR mlx5_core 0012:03:00.1: mlx5e_netdev_init_profile:6214:(pid 37199): mlx5e_priv_init failed, err=-12 mlx5_core 0012:03:00.1 gpu3rdma1: mlx5e_netdev_change_profile: failed to rollback to orig profile, -12 ^^^^^^^^ mlx5_core 0000:00:03.0: E-Switch: Disable: mode(LEGACY), nvfs(0), necvfs(0), active vports(0) ## retry: Enabling switchdev mode 2nd time: mlx5_core 0000:00:03.0: E-Switch: Supported tc chains and prios offload BUG: kernel NULL pointer dereference, address: 0000000000000038 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 13 UID: 0 PID: 520 Comm: devlink Not tainted 6.18.0-rc4+ #91 PREEMPT(voluntary) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-2.fc40 04/01/2014 RIP: 0010:mlx5e_detach_netdev+0x3c/0x90 Code: 50 00 00 f0 80 4f 78 02 48 8b bf e8 07 00 00 48 85 ff 74 16 48 8b 73 78 48 d1 ee 83 e6 01 83 f6 01 40 0f b6 f6 e8 c4 42 00 00 <48> 8b 45 38 48 85 c0 74 08 48 89 df e8 cc 47 40 1e 48 8b bb f0 07 RSP: 0018:ffffc90000673890 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffff8881036a89c0 RCX: 0000000000000000 RDX: ffff888113f63800 RSI: ffffffff822fe720 RDI: 0000000000000000 RBP: 0000000000000000 R08: 0000000000002dcd R09: 0000000000000000 R10: ffffc900006738e8 R11: 00000000ffffffff R12: 0000000000000000 R13: 0000000000000000 R14: ffff8881036a89c0 R15: 0000000000000000 FS: 00007fdfb8384740(0000) GS:ffff88856a9d6000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000038 CR3: 0000000112ae0005 CR4: 0000000000370ef0 Call Trace: <TASK> mlx5e_netdev_change_profile+0x45/0xb0 mlx5e_vport_rep_load+0x27b/0x2d0 mlx5_esw_offloads_rep_load+0x72/0xf0 esw_offloads_enable+0x5d0/0x970 mlx5_eswitch_enable_locked+0x349/0x430 ? is_mp_supported+0x57/0xb0 mlx5_devlink_eswitch_mode_set+0x26b/0x430 devlink_nl_eswitch_set_doit+0x6f/0xf0 genl_family_rcv_msg_doit+0xe8/0x140 genl_rcv_msg+0x18b/0x290 ? __pfx_devlink_nl_pre_doit+0x10/0x10 ? __pfx_devlink_nl_eswitch_set_doit+0x10/0x10 ? __pfx_devlink_nl_post_doit+0x10/0x10 ? __pfx_genl_rcv_msg+0x10/0x10 netlink_rcv_skb+0x52/0x100 genl_rcv+0x28/0x40 netlink_unicast+0x282/0x3e0 ? __alloc_skb+0xd6/0x190 netlink_sendmsg+0x1f7/0x430 __sys_sendto+0x213/0x220 ? __sys_recvmsg+0x6a/0xd0 __x64_sys_sendto+0x24/0x30 do_syscall_64+0x50/0x1f0 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7fdfb8495047 [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: macvlan: fix possible UAF in macvlan_forward_source() Add RCU protection on (struct macvlan_source_entry)->vlan. Whenever macvlan_hash_del_source() is called, we must clear entry->vlan pointer before RCU grace period starts. This allows macvlan_forward_source() to skip over entries queued for freeing. Note that macvlan_dev are already RCU protected, as they are embedded in a standard netdev (netdev_priv(ndev)). https: //lore.kernel.org/netdev/695fb1e8.050a0220.1c677c.039f.GAE@google.com/T/#u Уязвимость функции macvlan_forward_source() ядра операционной системы связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости CVE-2026-23001 необходимо запретить загрузку модуля macvlan.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль macvlan в ядро системы, для этого выполнить одну из команд: `lsmod | grep macvlan` или `kmod list | grep macvlan` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля macvlan: `sudo rmmod macvlan` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-macvlan.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install macvlan /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: lib/buildid: use __kernel_read() for sleepable context Prevent a "BUG: unable to handle kernel NULL pointer dereference in filemap_read_folio". For the sleepable context, convert freader to use __kernel_read() instead of direct page cache access via read_cache_folio(). This simplifies the faultable code path by using the standard kernel file reading interface which handles all the complexity of reading file data. At the moment we are not changing the code for non-sleepable context which uses filemap_get_folio() and only succeeds if the target folios are already in memory and up-to-date. The reason is to keep the patch simple and easier to backport to stable kernels. Syzbot repro does not crash the kernel anymore and the selftests run successfully. In the follow up we will make __kernel_read() with IOCB_NOWAIT work for non-sleepable contexts. In addition, I would like to replace the secretmem check with a more generic approach and will add fstest for the buildid code. Уязвимость функции __kernel_read() ядра операционной системы связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ip6_tunnel: use skb_vlan_inet_prepare() in __ip6_tnl_rcv() Blamed commit did not take care of VLAN encapsulations as spotted by syzbot [1]. Use skb_vlan_inet_prepare() instead of pskb_inet_may_pull(). [1] BUG: KMSAN: uninit-value in __INET_ECN_decapsulate include/net/inet_ecn.h:253 [inline] BUG: KMSAN: uninit-value in INET_ECN_decapsulate include/net/inet_ecn.h:275 [inline] BUG: KMSAN: uninit-value in IP6_ECN_decapsulate+0x7a8/0x1fa0 include/net/inet_ecn.h:321 __INET_ECN_decapsulate include/net/inet_ecn.h:253 [inline] INET_ECN_decapsulate include/net/inet_ecn.h:275 [inline] IP6_ECN_decapsulate+0x7a8/0x1fa0 include/net/inet_ecn.h:321 ip6ip6_dscp_ecn_decapsulate+0x16f/0x1b0 net/ipv6/ip6_tunnel.c:729 __ip6_tnl_rcv+0xed9/0x1b50 net/ipv6/ip6_tunnel.c:860 ip6_tnl_rcv+0xc3/0x100 net/ipv6/ip6_tunnel.c:903 gre_rcv+0x1529/0x1b90 net/ipv6/ip6_gre.c:-1 ip6_protocol_deliver_rcu+0x1c89/0x2c60 net/ipv6/ip6_input.c:438 ip6_input_finish+0x1f4/0x4a0 net/ipv6/ip6_input.c:489 NF_HOOK include/linux/netfilter.h:318 [inline] ip6_input+0x9c/0x330 net/ipv6/ip6_input.c:500 ip6_mc_input+0x7ca/0xc10 net/ipv6/ip6_input.c:590 dst_input include/net/dst.h:474 [inline] ip6_rcv_finish+0x958/0x990 net/ipv6/ip6_input.c:79 NF_HOOK include/linux/netfilter.h:318 [inline] ipv6_rcv+0xf1/0x3c0 net/ipv6/ip6_input.c:311 __netif_receive_skb_one_core net/core/dev.c:6139 [inline] __netif_receive_skb+0x1df/0xac0 net/core/dev.c:6252 netif_receive_skb_internal net/core/dev.c:6338 [inline] netif_receive_skb+0x57/0x630 net/core/dev.c:6397 tun_rx_batched+0x1df/0x980 drivers/net/tun.c:1485 tun_get_user+0x5c0e/0x6c60 drivers/net/tun.c:1953 tun_chr_write_iter+0x3e9/0x5c0 drivers/net/tun.c:1999 new_sync_write fs/read_write.c:593 [inline] vfs_write+0xbe2/0x15d0 fs/read_write.c:686 ksys_write fs/read_write.c:738 [inline] __do_sys_write fs/read_write.c:749 [inline] __se_sys_write fs/read_write.c:746 [inline] __x64_sys_write+0x1fb/0x4d0 fs/read_write.c:746 x64_sys_call+0x30ab/0x3e70 arch/x86/include/generated/asm/syscalls_64.h:2 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd3/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Uninit was created at: slab_post_alloc_hook mm/slub.c:4960 [inline] slab_alloc_node mm/slub.c:5263 [inline] kmem_cache_alloc_node_noprof+0x9e7/0x17a0 mm/slub.c:5315 kmalloc_reserve+0x13c/0x4b0 net/core/skbuff.c:586 __alloc_skb+0x805/0x1040 net/core/skbuff.c:690 alloc_skb include/linux/skbuff.h:1383 [inline] alloc_skb_with_frags+0xc5/0xa60 net/core/skbuff.c:6712 sock_alloc_send_pskb+0xacc/0xc60 net/core/sock.c:2995 tun_alloc_skb drivers/net/tun.c:1461 [inline] tun_get_user+0x1142/0x6c60 drivers/net/tun.c:1794 tun_chr_write_iter+0x3e9/0x5c0 drivers/net/tun.c:1999 new_sync_write fs/read_write.c:593 [inline] vfs_write+0xbe2/0x15d0 fs/read_write.c:686 ksys_write fs/read_write.c:738 [inline] __do_sys_write fs/read_write.c:749 [inline] __se_sys_write fs/read_write.c:746 [inline] __x64_sys_write+0x1fb/0x4d0 fs/read_write.c:746 x64_sys_call+0x30ab/0x3e70 arch/x86/include/generated/asm/syscalls_64.h:2 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd3/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f CPU: 0 UID: 0 PID: 6465 Comm: syz.0.17 Not tainted syzkaller #0 PREEMPT(none) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/25/2025 Уязвимость функции skb_vlan_inet_prepare() ядра операционной системы связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/fpu: Clear XSTATE_BV[i] in guest XSAVE state whenever XFD[i]=1 When loading guest XSAVE state via KVM_SET_XSAVE, and when updating XFD in response to a guest WRMSR, clear XFD-disabled features in the saved (or to be restored) XSTATE_BV to ensure KVM doesn't attempt to load state for features that are disabled via the guest's XFD. Because the kernel executes XRSTOR with the guest's XFD, saving XSTATE_BV[i]=1 with XFD[i]=1 will cause XRSTOR to #NM and panic the kernel. E.g. if fpu_update_guest_xfd() sets XFD without clearing XSTATE_BV: ------------[ cut here ]------------ WARNING: arch/x86/kernel/traps.c:1524 at exc_device_not_available+0x101/0x110, CPU#29: amx_test/848 Modules linked in: kvm_intel kvm irqbypass CPU: 29 UID: 1000 PID: 848 Comm: amx_test Not tainted 6.19.0-rc2-ffa07f7fd437-x86_amx_nm_xfd_non_init-vm #171 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 0.0.0 02/06/2015 RIP: 0010:exc_device_not_available+0x101/0x110 Call Trace: <TASK> asm_exc_device_not_available+0x1a/0x20 RIP: 0010:restore_fpregs_from_fpstate+0x36/0x90 switch_fpu_return+0x4a/0xb0 kvm_arch_vcpu_ioctl_run+0x1245/0x1e40 [kvm] kvm_vcpu_ioctl+0x2c3/0x8f0 [kvm] __x64_sys_ioctl+0x8f/0xd0 do_syscall_64+0x62/0x940 entry_SYSCALL_64_after_hwframe+0x4b/0x53 </TASK> ---[ end trace 0000000000000000 ]--- This can happen if the guest executes WRMSR(MSR_IA32_XFD) to set XFD[18] = 1, and a host IRQ triggers kernel_fpu_begin() prior to the vmexit handler's call to fpu_update_guest_xfd(). and if userspace stuffs XSTATE_BV[i]=1 via KVM_SET_XSAVE: ------------[ cut here ]------------ WARNING: arch/x86/kernel/traps.c:1524 at exc_device_not_available+0x101/0x110, CPU#14: amx_test/867 Modules linked in: kvm_intel kvm irqbypass CPU: 14 UID: 1000 PID: 867 Comm: amx_test Not tainted 6.19.0-rc2-2dace9faccd6-x86_amx_nm_xfd_non_init-vm #168 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 0.0.0 02/06/2015 RIP: 0010:exc_device_not_available+0x101/0x110 Call Trace: <TASK> asm_exc_device_not_available+0x1a/0x20 RIP: 0010:restore_fpregs_from_fpstate+0x36/0x90 fpu_swap_kvm_fpstate+0x6b/0x120 kvm_load_guest_fpu+0x30/0x80 [kvm] kvm_arch_vcpu_ioctl_run+0x85/0x1e40 [kvm] kvm_vcpu_ioctl+0x2c3/0x8f0 [kvm] __x64_sys_ioctl+0x8f/0xd0 do_syscall_64+0x62/0x940 entry_SYSCALL_64_after_hwframe+0x4b/0x53 </TASK> ---[ end trace 0000000000000000 ]--- The new behavior is consistent with the AMX architecture. Per Intel's SDM, XSAVE saves XSTATE_BV as '0' for components that are disabled via XFD (and non-compacted XSAVE saves the initial configuration of the state component): If XSAVE, XSAVEC, XSAVEOPT, or XSAVES is saving the state component i, the instruction does not generate #NM when XCR0[i] = IA32_XFD[i] = 1; instead, it operates as if XINUSE[i] = 0 (and the state component was in its initial state): it saves bit i of XSTATE_BV field of the XSAVE header as 0; in addition, XSAVE saves the initial configuration of the state component (the other instructions do not save state component i). Alternatively, KVM could always do XRSTOR with XFD=0, e.g. by using a constant XFD based on the set of enabled features when XSAVEing for a struct fpu_guest. However, having XSTATE_BV[i]=1 for XFD-disabled features can only happen in the above interrupt case, or in similar scenarios involving preemption on preemptible kernels, because fpu_swap_kvm_fpstate()'s call to save_fpregs_to_fpstate() saves the outgoing FPU state with the current XFD; and that is (on all but the first WRMSR to XFD) the guest XFD. Therefore, XFD can only go out of sync with XSTATE_BV in the above interrupt case, or in similar scenarios involving preemption on preemptible kernels, and it we can consider it (de facto) part of KVM ABI that KVM_GET_XSAVE returns XSTATE_BV[i]=0 for XFD-disabled features. [Move clea ---truncated--- Уязвимость модулей arch/x86/kvm/x86.c и arch/x86/kernel/fpu/core.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: tlv320adcx140: fix null pointer The "snd_soc_component" in "adcx140_priv" was only used once but never set. It was only used for reaching "dev" which is already present in "adcx140_priv". Уязвимость компонента ASoC ядра операционной системы связана с ошибкой разыменования нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: Fix use-after-free in inet6_addr_del(). syzbot reported use-after-free of inet6_ifaddr in inet6_addr_del(). [0] The cited commit accidentally moved ipv6_del_addr() for mngtmpaddr before reading its ifp->flags for temporary addresses in inet6_addr_del(). Let's move ipv6_del_addr() down to fix the UAF. [0]: BUG: KASAN: slab-use-after-free in inet6_addr_del.constprop.0+0x67a/0x6b0 net/ipv6/addrconf.c:3117 Read of size 4 at addr ffff88807b89c86c by task syz.3.1618/9593 CPU: 0 UID: 0 PID: 9593 Comm: syz.3.1618 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/25/2025 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0x116/0x1f0 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xcd/0x630 mm/kasan/report.c:482 kasan_report+0xe0/0x110 mm/kasan/report.c:595 inet6_addr_del.constprop.0+0x67a/0x6b0 net/ipv6/addrconf.c:3117 addrconf_del_ifaddr+0x11e/0x190 net/ipv6/addrconf.c:3181 inet6_ioctl+0x1e5/0x2b0 net/ipv6/af_inet6.c:582 sock_do_ioctl+0x118/0x280 net/socket.c:1254 sock_ioctl+0x227/0x6b0 net/socket.c:1375 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] __se_sys_ioctl fs/ioctl.c:583 [inline] __x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:583 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f164cf8f749 Code: ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 a8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f164de64038 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 00007f164d1e5fa0 RCX: 00007f164cf8f749 RDX: 0000200000000000 RSI: 0000000000008936 RDI: 0000000000000003 RBP: 00007f164d013f91 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 00007f164d1e6038 R14: 00007f164d1e5fa0 R15: 00007ffde15c8288 </TASK> Allocated by task 9593: kasan_save_stack+0x33/0x60 mm/kasan/common.c:56 kasan_save_track+0x14/0x30 mm/kasan/common.c:77 poison_kmalloc_redzone mm/kasan/common.c:397 [inline] __kasan_kmalloc+0xaa/0xb0 mm/kasan/common.c:414 kmalloc_noprof include/linux/slab.h:957 [inline] kzalloc_noprof include/linux/slab.h:1094 [inline] ipv6_add_addr+0x4e3/0x2010 net/ipv6/addrconf.c:1120 inet6_addr_add+0x256/0x9b0 net/ipv6/addrconf.c:3050 addrconf_add_ifaddr+0x1fc/0x450 net/ipv6/addrconf.c:3160 inet6_ioctl+0x103/0x2b0 net/ipv6/af_inet6.c:580 sock_do_ioctl+0x118/0x280 net/socket.c:1254 sock_ioctl+0x227/0x6b0 net/socket.c:1375 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] __se_sys_ioctl fs/ioctl.c:583 [inline] __x64_sys_ioctl+0x18e/0x210 fs/ioctl.c:583 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Freed by task 6099: kasan_save_stack+0x33/0x60 mm/kasan/common.c:56 kasan_save_track+0x14/0x30 mm/kasan/common.c:77 kasan_save_free_info+0x3b/0x60 mm/kasan/generic.c:584 poison_slab_object mm/kasan/common.c:252 [inline] __kasan_slab_free+0x5f/0x80 mm/kasan/common.c:284 kasan_slab_free include/linux/kasan.h:234 [inline] slab_free_hook mm/slub.c:2540 [inline] slab_free_freelist_hook mm/slub.c:2569 [inline] slab_free_bulk mm/slub.c:6696 [inline] kmem_cache_free_bulk mm/slub.c:7383 [inline] kmem_cache_free_bulk+0x2bf/0x680 mm/slub.c:7362 kfree_bulk include/linux/slab.h:830 [inline] kvfree_rcu_bulk+0x1b7/0x1e0 mm/slab_common.c:1523 kvfree_rcu_drain_ready mm/slab_common.c:1728 [inline] kfree_rcu_monitor+0x1d0/0x2f0 mm/slab_common.c:1801 process_one_work+0x9ba/0x1b20 kernel/workqueue.c:3257 process_scheduled_works kernel/workqu ---truncated--- Уязвимость функции inet6_addr_del() ядра операционной системы связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv4: ip_gre: make ipgre_header() robust Analog to commit db5b4e39c4e6 ("ip6_gre: make ip6gre_header() robust") Over the years, syzbot found many ways to crash the kernel in ipgre_header() [1]. This involves team or bonding drivers ability to dynamically change their dev->needed_headroom and/or dev->hard_header_len In this particular crash mld_newpack() allocated an skb with a too small reserve/headroom, and by the time mld_sendpack() was called, syzbot managed to attach an ipgre device. [1] skbuff: skb_under_panic: text:ffffffff89ea3cb7 len:2030915468 put:2030915372 head:ffff888058b43000 data:ffff887fdfa6e194 tail:0x120 end:0x6c0 dev:team0 kernel BUG at net/core/skbuff.c:213 ! Oops: invalid opcode: 0000 [#1] SMP KASAN PTI CPU: 1 UID: 0 PID: 1322 Comm: kworker/1:9 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/25/2025 Workqueue: mld mld_ifc_work RIP: 0010:skb_panic+0x157/0x160 net/core/skbuff.c:213 Call Trace: <TASK> skb_under_panic net/core/skbuff.c:223 [inline] skb_push+0xc3/0xe0 net/core/skbuff.c:2641 ipgre_header+0x67/0x290 net/ipv4/ip_gre.c:897 dev_hard_header include/linux/netdevice.h:3436 [inline] neigh_connected_output+0x286/0x460 net/core/neighbour.c:1618 NF_HOOK_COND include/linux/netfilter.h:307 [inline] ip6_output+0x340/0x550 net/ipv6/ip6_output.c:247 NF_HOOK+0x9e/0x380 include/linux/netfilter.h:318 mld_sendpack+0x8d4/0xe60 net/ipv6/mcast.c:1855 mld_send_cr net/ipv6/mcast.c:2154 [inline] mld_ifc_work+0x83e/0xd60 net/ipv6/mcast.c:2693 process_one_work kernel/workqueue.c:3257 [inline] process_scheduled_works+0xad1/0x1770 kernel/workqueue.c:3340 worker_thread+0x8a0/0xda0 kernel/workqueue.c:3421 kthread+0x711/0x8a0 kernel/kthread.c:463 ret_from_fork+0x510/0xa50 arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:246 Уязвимость функции ipgre_header() модуля net/ipv4/ip_gre.c ядра операционной системы Linux связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: octeon_ep_vf: fix free_irq dev_id mismatch in IRQ rollback octep_vf_request_irqs() requests MSI-X queue IRQs with dev_id set to ioq_vector. If request_irq() fails part-way, the rollback loop calls free_irq() with dev_id set to 'oct', which does not match the original dev_id and may leave the irqaction registered. This can keep IRQ handlers alive while ioq_vector is later freed during unwind/teardown, leading to a use-after-free or crash when an interrupt fires. Fix the error path to free IRQs with the same ioq_vector dev_id used during request_irq(). Уязвимость функции octep_vf_request_irqs() модуля drivers/net/ethernet/marvell/octeon_ep_vf/octep_vf_main.c драйвера сетевых адаптеров Ethernet Marvell ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) Для устранения угрозы эксплуатации уязвимости CVE-2026-23013 необходимо запретить загрузку модуля `octeon_ep_vf.ko` в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль `octeon_ep_vf` в ядро системы, для этого выполнить одну из команд: `lsmod | grep octeon_ep_vf` или `kmod list | grep octeon_ep_vf` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля `octeon_ep_vf`: `sudo rmmod octeon_ep_vf` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл `/etc/modprobe.d/blacklist.local.conf` или файл `/etc/modprobe.d/disable-octeon_ep_vf.conf`. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install octeon_ep_vf /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: marvell: prestera: fix NULL dereference on devlink_alloc() failure devlink_alloc() may return NULL on allocation failure, but prestera_devlink_alloc() unconditionally calls devlink_priv() on the returned pointer. This leads to a NULL pointer dereference if devlink allocation fails. Add a check for a NULL devlink pointer and return NULL early to avoid the crash. Уязвимость функции prestera_devlink_alloc() модуля drivers/net/ethernet/marvell/prestera/prestera_devlink.c драйвера сетевых адаптеров Ethernet Marvell ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: 3com: 3c59x: fix possible null dereference in vortex_probe1() pdev can be null and free_ring: can be called in 1297 with a null pdev. Уязвимость функции vortex_probe1() модуля drivers/net/ethernet/3com/3c59x.c драйвера сетевых адаптеров Ethernet ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: pegasus: fix memory leak in update_eth_regs_async() When asynchronously writing to the device registers and if usb_submit_urb() fail, the code fail to release allocated to this point resources. Уязвимость функции update_eth_regs_async() модуля drivers/net/usb/pegasus.c драйвера сетевых адаптеров USB ядра операционной системы Linux связана с неправильным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: idpf: fix memory leak in idpf_vport_rel() Free vport->rx_ptype_lkup in idpf_vport_rel() to avoid leaking memory during a reset. Reported by kmemleak: unreferenced object 0xff450acac838a000 (size 4096): comm "kworker/u258:5", pid 7732, jiffies 4296830044 hex dump (first 32 bytes): 00 00 00 00 00 10 00 00 00 10 00 00 00 00 00 00 ................ 00 00 00 00 00 00 00 00 00 10 00 00 00 00 00 00 ................ backtrace (crc 3da81902): __kmalloc_cache_noprof+0x469/0x7a0 idpf_send_get_rx_ptype_msg+0x90/0x570 [idpf] idpf_init_task+0x1ec/0x8d0 [idpf] process_one_work+0x226/0x6d0 worker_thread+0x19e/0x340 kthread+0x10f/0x250 ret_from_fork+0x251/0x2b0 ret_from_fork_asm+0x1a/0x30 Уязвимость функции idpf_vport_rel() модуля drivers/net/ethernet/intel/idpf/idpf_lib.c драйвера сетевых адаптеров Ethernet Intel ядра операционной системы Linux связана с неправильным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/page_alloc: prevent pcp corruption with SMP=n The kernel test robot has reported: BUG: spinlock trylock failure on UP on CPU#0, kcompactd0/28 lock: 0xffff888807e35ef0, .magic: dead4ead, .owner: kcompactd0/28, .owner_cpu: 0 CPU: 0 UID: 0 PID: 28 Comm: kcompactd0 Not tainted 6.18.0-rc5-00127-ga06157804399 #1 PREEMPT 8cc09ef94dcec767faa911515ce9e609c45db470 Call Trace: <IRQ> __dump_stack (lib/dump_stack.c:95) dump_stack_lvl (lib/dump_stack.c:123) dump_stack (lib/dump_stack.c:130) spin_dump (kernel/locking/spinlock_debug.c:71) do_raw_spin_trylock (kernel/locking/spinlock_debug.c:?) _raw_spin_trylock (include/linux/spinlock_api_smp.h:89 kernel/locking/spinlock.c:138) __free_frozen_pages (mm/page_alloc.c:2973) ___free_pages (mm/page_alloc.c:5295) __free_pages (mm/page_alloc.c:5334) tlb_remove_table_rcu (include/linux/mm.h:? include/linux/mm.h:3122 include/asm-generic/tlb.h:220 mm/mmu_gather.c:227 mm/mmu_gather.c:290) ? __cfi_tlb_remove_table_rcu (mm/mmu_gather.c:289) ? rcu_core (kernel/rcu/tree.c:?) rcu_core (include/linux/rcupdate.h:341 kernel/rcu/tree.c:2607 kernel/rcu/tree.c:2861) rcu_core_si (kernel/rcu/tree.c:2879) handle_softirqs (arch/x86/include/asm/jump_label.h:36 include/trace/events/irq.h:142 kernel/softirq.c:623) __irq_exit_rcu (arch/x86/include/asm/jump_label.h:36 kernel/softirq.c:725) irq_exit_rcu (kernel/softirq.c:741) sysvec_apic_timer_interrupt (arch/x86/kernel/apic/apic.c:1052) </IRQ> <TASK> RIP: 0010:_raw_spin_unlock_irqrestore (arch/x86/include/asm/preempt.h:95 include/linux/spinlock_api_smp.h:152 kernel/locking/spinlock.c:194) free_pcppages_bulk (mm/page_alloc.c:1494) drain_pages_zone (include/linux/spinlock.h:391 mm/page_alloc.c:2632) __drain_all_pages (mm/page_alloc.c:2731) drain_all_pages (mm/page_alloc.c:2747) kcompactd (mm/compaction.c:3115) kthread (kernel/kthread.c:465) ? __cfi_kcompactd (mm/compaction.c:3166) ? __cfi_kthread (kernel/kthread.c:412) ret_from_fork (arch/x86/kernel/process.c:164) ? __cfi_kthread (kernel/kthread.c:412) ret_from_fork_asm (arch/x86/entry/entry_64.S:255) </TASK> Matthew has analyzed the report and identified that in drain_page_zone() we are in a section protected by spin_lock(&pcp->lock) and then get an interrupt that attempts spin_trylock() on the same lock. The code is designed to work this way without disabling IRQs and occasionally fail the trylock with a fallback. However, the SMP=n spinlock implementation assumes spin_trylock() will always succeed, and thus it's normally a no-op. Here the enabled lock debugging catches the problem, but otherwise it could cause a corruption of the pcp structure. The problem has been introduced by commit 574907741599 ("mm/page_alloc: leave IRQs enabled for per-cpu page allocations"). The pcp locking scheme recognizes the need for disabling IRQs to prevent nesting spin_trylock() sections on SMP=n, but the need to prevent the nesting in spin_lock() has not been recognized. Fix it by introducing local wrappers that change the spin_lock() to spin_lock_iqsave() with SMP=n and use them in all places that do spin_lock(&pcp->lock). [vbabka@suse.cz: add pcp_ prefix to the spin_lock_irqsave wrappers, per Steven] Уязвимость компонента mm/page_alloc.c ядра операционной системы Linux связана с состоянием гонки, связанным с переключением контекста. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: qcom: gpi: Fix memory leak in gpi_peripheral_config() Fix a memory leak in gpi_peripheral_config() where the original memory pointed to by gchan->config could be lost if krealloc() fails. The issue occurs when: 1. gchan->config points to previously allocated memory 2. krealloc() fails and returns NULL 3. The function directly assigns NULL to gchan->config, losing the reference to the original memory 4. The original memory becomes unreachable and cannot be freed Fix this by using a temporary variable to hold the krealloc() result and only updating gchan->config when the allocation succeeds. Found via static analysis and code review. Уязвимость компонента dma/qcom/gpi.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: phy: rockchip: inno-usb2: Fix a double free bug in rockchip_usb2phy_probe() The for_each_available_child_of_node() calls of_node_put() to release child_np in each success loop. After breaking from the loop with the child_np has been released, the code will jump to the put_child label and will call the of_node_put() again if the devm_request_threaded_irq() fails. These cause a double free bug. Fix by returning directly to avoid the duplicate of_node_put(). Уязвимость функции rockchip_usb2phy_probe() модуля drivers/phy/rockchip/phy-rockchip-inno-usb2.c драйвера PHY ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: gs_usb: gs_usb_receive_bulk_callback(): fix URB memory leak In gs_can_open(), the URBs for USB-in transfers are allocated, added to the parent->rx_submitted anchor and submitted. In the complete callback gs_usb_receive_bulk_callback(), the URB is processed and resubmitted. In gs_can_close() the URBs are freed by calling usb_kill_anchored_urbs(parent->rx_submitted). However, this does not take into account that the USB framework unanchors the URB before the complete function is called. This means that once an in-URB has been completed, it is no longer anchored and is ultimately not released in gs_can_close(). Fix the memory leak by anchoring the URB in the gs_usb_receive_bulk_callback() to the parent->rx_submitted anchor. Уязвимость функции gs_usb_receive_bulk_callback() модуля drivers/net/can/usb/gs_usb.c драйвера сетевых устройств CAN ядра операционной системы Linux связана с неправильным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: null_blk: fix kmemleak by releasing references to fault configfs items When CONFIG_BLK_DEV_NULL_BLK_FAULT_INJECTION is enabled, the null-blk driver sets up fault injection support by creating the timeout_inject, requeue_inject, and init_hctx_fault_inject configfs items as children of the top-level nullbX configfs group. However, when the nullbX device is removed, the references taken to these fault-config configfs items are not released. As a result, kmemleak reports a memory leak, for example: unreferenced object 0xc00000021ff25c40 (size 32): comm "mkdir", pid 10665, jiffies 4322121578 hex dump (first 32 bytes): 69 6e 69 74 5f 68 63 74 78 5f 66 61 75 6c 74 5f init_hctx_fault_ 69 6e 6a 65 63 74 00 88 00 00 00 00 00 00 00 00 inject.......... backtrace (crc 1a018c86): __kmalloc_node_track_caller_noprof+0x494/0xbd8 kvasprintf+0x74/0xf4 config_item_set_name+0xf0/0x104 config_group_init_type_name+0x48/0xfc fault_config_init+0x48/0xf0 0xc0080000180559e4 configfs_mkdir+0x304/0x814 vfs_mkdir+0x49c/0x604 do_mkdirat+0x314/0x3d0 sys_mkdir+0xa0/0xd8 system_call_exception+0x1b0/0x4f0 system_call_vectored_common+0x15c/0x2ec Fix this by explicitly releasing the references to the fault-config configfs items when dropping the reference to the top-level nullbX configfs group. Уязвимость компонента block/null_blk/main.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: omap-dma: fix dma_pool resource leak in error paths The dma_pool created by dma_pool_create() is not destroyed when dma_async_device_register() or of_dma_controller_register() fails, causing a resource leak in the probe error paths. Add dma_pool_destroy() in both error paths to properly release the allocated dma_pool resource. Уязвимость функции omap_dma_probe() модуля drivers/dma/ti/omap-dma.c драйвера движка DMA ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Pass netdev to mlx5e_destroy_netdev instead of priv mlx5e_priv is an unstable structure that can be memset(0) if profile attaching fails. Pass netdev to mlx5e_destroy_netdev() to guarantee it will work on a valid netdev. On mlx5e_remove: Check validity of priv->profile, before attempting to cleanup any resources that might be not there. This fixes a kernel oops in mlx5e_remove when switchdev mode fails due to change profile failure. $ devlink dev eswitch set pci/0000:00:03.0 mode switchdev Error: mlx5_core: Failed setting eswitch to offloads. dmesg: workqueue: Failed to create a rescuer kthread for wq "mlx5e": -EINTR mlx5_core 0012:03:00.1: mlx5e_netdev_init_profile:6214:(pid 37199): mlx5e_priv_init failed, err=-12 mlx5_core 0012:03:00.1 gpu3rdma1: mlx5e_netdev_change_profile: new profile init failed, -12 workqueue: Failed to create a rescuer kthread for wq "mlx5e": -EINTR mlx5_core 0012:03:00.1: mlx5e_netdev_init_profile:6214:(pid 37199): mlx5e_priv_init failed, err=-12 mlx5_core 0012:03:00.1 gpu3rdma1: mlx5e_netdev_change_profile: failed to rollback to orig profile, -12 $ devlink dev reload pci/0000:00:03.0 ==> oops BUG: kernel NULL pointer dereference, address: 0000000000000370 PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 15 UID: 0 PID: 520 Comm: devlink Not tainted 6.18.0-rc5+ #115 PREEMPT(voluntary) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-2.fc40 04/01/2014 RIP: 0010:mlx5e_dcbnl_dscp_app+0x23/0x100 RSP: 0018:ffffc9000083f8b8 EFLAGS: 00010286 RAX: ffff8881126fc380 RBX: ffff8881015ac400 RCX: ffffffff826ffc45 RDX: 0000000000000000 RSI: 0000000000000001 RDI: ffff8881035109c0 RBP: ffff8881035109c0 R08: ffff888101e3e838 R09: ffff888100264e10 R10: ffffc9000083f898 R11: ffffc9000083f8a0 R12: ffff888101b921a0 R13: ffff888101b921a0 R14: ffff8881015ac9a0 R15: ffff8881015ac400 FS: 00007f789a3c8740(0000) GS:ffff88856aa59000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000370 CR3: 000000010b6c0001 CR4: 0000000000370ef0 Call Trace: <TASK> mlx5e_remove+0x57/0x110 device_release_driver_internal+0x19c/0x200 bus_remove_device+0xc6/0x130 device_del+0x160/0x3d0 ? devl_param_driverinit_value_get+0x2d/0x90 mlx5_detach_device+0x89/0xe0 mlx5_unload_one_devl_locked+0x3a/0x70 mlx5_devlink_reload_down+0xc8/0x220 devlink_reload+0x7d/0x260 devlink_nl_reload_doit+0x45b/0x5a0 genl_family_rcv_msg_doit+0xe8/0x140 [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: etas_es58x: allow partial RX URB allocation to succeed When es58x_alloc_rx_urbs() fails to allocate the requested number of URBs but succeeds in allocating some, it returns an error code. This causes es58x_open() to return early, skipping the cleanup label 'free_urbs', which leads to the anchored URBs being leaked. As pointed out by maintainer Vincent Mailhol, the driver is designed to handle partial URB allocation gracefully. Therefore, partial allocation should not be treated as a fatal error. Modify es58x_alloc_rx_urbs() to return 0 if at least one URB has been allocated, restoring the intended behavior and preventing the leak in es58x_open(). Уязвимость функции es58x_alloc_rx_urbs() модуля drivers/net/can/usb/etas_es58x/es58x_core.c драйвера сетевых устройств CAN ядра операционной системы Linux связана с распределением ресурсов без ограничений и регулирования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pnfs/flexfiles: Fix memory leak in nfs4_ff_alloc_deviceid_node() In nfs4_ff_alloc_deviceid_node(), if the allocation for ds_versions fails, the function jumps to the out_scratch label without freeing the already allocated dsaddrs list, leading to a memory leak. Fix this by jumping to the out_err_drain_dsaddrs label, which properly frees the dsaddrs list before cleaning up other resources. Уязвимость компонентаfs/nfs/flexfilelayout/flexfilelayoutdev.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libceph: make calc_target() set t->paused, not just clear it Currently calc_target() clears t->paused if the request shouldn't be paused anymore, but doesn't ever set t->paused even though it's able to determine when the request should be paused. Setting t->paused is left to __submit_request() which is fine for regular requests but doesn't work for linger requests -- since __submit_request() doesn't operate on linger requests, there is nowhere for lreq->t.paused to be set. One consequence of this is that watches don't get reestablished on paused -> unpaused transitions in cases where requests have been paused long enough for the (paused) unwatch request to time out and for the subsequent (re)watch request to enter the paused state. On top of the watch not getting reestablished, rbd_reregister_watch() gets stuck with rbd_dev->watch_mutex held: rbd_register_watch __rbd_register_watch ceph_osdc_watch linger_reg_commit_wait It's waiting for lreq->reg_commit_wait to be completed, but for that to happen the respective request needs to end up on need_resend_linger list and be kicked when requests are unpaused. There is no chance for that if the request in question is never marked paused in the first place. The fact that rbd_dev->watch_mutex remains taken out forever then prevents the image from getting unmapped -- "rbd unmap" would inevitably hang in D state on an attempt to grab the mutex. Уязвимость компонента ceph/osd_client.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/panel-simple: fix connector type for DataImage SCF0700C48GGU18 panel The connector type for the DataImage SCF0700C48GGU18 panel is missing and devm_drm_panel_bridge_add() requires connector type to be set. This leads to a warning and a backtrace in the kernel log and panel does not work: " WARNING: CPU: 3 PID: 38 at drivers/gpu/drm/bridge/panel.c:379 devm_drm_of_get_bridge+0xac/0xb8 " The warning is triggered by a check for valid connector type in devm_drm_panel_bridge_add(). If there is no valid connector type set for a panel, the warning is printed and panel is not added. Fill in the missing connector type to fix the warning and make the panel operational once again. Уязвимость компонента drm/panel/panel-simple.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pNFS: Fix a deadlock when returning a delegation during open() Ben Coddington reports seeing a hang in the following stack trace: 0 [ffffd0b50e1774e0] __schedule at ffffffff9ca05415 1 [ffffd0b50e177548] schedule at ffffffff9ca05717 2 [ffffd0b50e177558] bit_wait at ffffffff9ca061e1 3 [ffffd0b50e177568] __wait_on_bit at ffffffff9ca05cfb 4 [ffffd0b50e1775c8] out_of_line_wait_on_bit at ffffffff9ca05ea5 5 [ffffd0b50e177618] pnfs_roc at ffffffffc154207b [nfsv4] 6 [ffffd0b50e1776b8] _nfs4_proc_delegreturn at ffffffffc1506586 [nfsv4] 7 [ffffd0b50e177788] nfs4_proc_delegreturn at ffffffffc1507480 [nfsv4] 8 [ffffd0b50e1777f8] nfs_do_return_delegation at ffffffffc1523e41 [nfsv4] 9 [ffffd0b50e177838] nfs_inode_set_delegation at ffffffffc1524a75 [nfsv4] 10 [ffffd0b50e177888] nfs4_process_delegation at ffffffffc14f41dd [nfsv4] 11 [ffffd0b50e1778a0] _nfs4_opendata_to_nfs4_state at ffffffffc1503edf [nfsv4] 12 [ffffd0b50e1778c0] _nfs4_open_and_get_state at ffffffffc1504e56 [nfsv4] 13 [ffffd0b50e177978] _nfs4_do_open at ffffffffc15051b8 [nfsv4] 14 [ffffd0b50e1779f8] nfs4_do_open at ffffffffc150559c [nfsv4] 15 [ffffd0b50e177a80] nfs4_atomic_open at ffffffffc15057fb [nfsv4] 16 [ffffd0b50e177ad0] nfs4_file_open at ffffffffc15219be [nfsv4] 17 [ffffd0b50e177b78] do_dentry_open at ffffffff9c09e6ea 18 [ffffd0b50e177ba8] vfs_open at ffffffff9c0a082e 19 [ffffd0b50e177bd0] dentry_open at ffffffff9c0a0935 The issue is that the delegreturn is being asked to wait for a layout return that cannot complete because a state recovery was initiated. The state recovery cannot complete until the open() finishes processing the delegations it was given. The solution is to propagate the existing flags that indicate a non-blocking call to the function pnfs_roc(), so that it knows not to wait in this situation. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: NFS: Fix a deadlock involving nfs_release_folio() Wang Zhaolong reports a deadlock involving NFSv4.1 state recovery waiting on kthreadd, which is attempting to reclaim memory by calling nfs_release_folio(). The latter cannot make progress due to state recovery being needed. It seems that the only safe thing to do here is to kick off a writeback of the folio, without waiting for completion, or else kicking off an asynchronous commit. Уязвимость компонента fs/nfs/file.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: hv_netvsc: reject RSS hash key programming without RX indirection table RSS configuration requires a valid RX indirection table. When the device reports a single receive queue, rndis_filter_device_add() does not allocate an indirection table, accepting RSS hash key updates in this state leads to a hang. Fix this by gating netvsc_set_rxfh() on ndc->rx_table_sz and return -EOPNOTSUPP when the table is absent. This aligns set_rxfh with the device capabilities and prevents incorrect behavior. Уязвимость компонента hyperv/netvsc_drv.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i2c: riic: Move suspend handling to NOIRQ phase Commit 53326135d0e0 ("i2c: riic: Add suspend/resume support") added suspend support for the Renesas I2C driver and following this change on RZ/G3E the following WARNING is seen on entering suspend ... [ 134.275704] Freezing remaining freezable tasks completed (elapsed 0.001 seconds) [ 134.285536] ------------[ cut here ]------------ [ 134.290298] i2c i2c-2: Transfer while suspended [ 134.295174] WARNING: drivers/i2c/i2c-core.h:56 at __i2c_smbus_xfer+0x1e4/0x214, CPU#0: systemd-sleep/388 [ 134.365507] Tainted: [W]=WARN [ 134.368485] Hardware name: Renesas SMARC EVK version 2 based on r9a09g047e57 (DT) [ 134.375961] pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 134.382935] pc : __i2c_smbus_xfer+0x1e4/0x214 [ 134.387329] lr : __i2c_smbus_xfer+0x1e4/0x214 [ 134.391717] sp : ffff800083f23860 [ 134.395040] x29: ffff800083f23860 x28: 0000000000000000 x27: ffff800082ed5d60 [ 134.402226] x26: 0000001f4395fd74 x25: 0000000000000007 x24: 0000000000000001 [ 134.409408] x23: 0000000000000000 x22: 000000000000006f x21: ffff800083f23936 [ 134.416589] x20: ffff0000c090e140 x19: ffff0000c090e0d0 x18: 0000000000000006 [ 134.423771] x17: 6f63657320313030 x16: 2e30206465737061 x15: ffff800083f23280 [ 134.430953] x14: 0000000000000000 x13: ffff800082b16ce8 x12: 0000000000000f09 [ 134.438134] x11: 0000000000000503 x10: ffff800082b6ece8 x9 : ffff800082b16ce8 [ 134.445315] x8 : 00000000ffffefff x7 : ffff800082b6ece8 x6 : 80000000fffff000 [ 134.452495] x5 : 0000000000000504 x4 : 0000000000000000 x3 : 0000000000000000 [ 134.459672] x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff0000c9ee9e80 [ 134.466851] Call trace: [ 134.469311] __i2c_smbus_xfer+0x1e4/0x214 (P) [ 134.473715] i2c_smbus_xfer+0xbc/0x120 [ 134.477507] i2c_smbus_read_byte_data+0x4c/0x84 [ 134.482077] isl1208_i2c_read_time+0x44/0x178 [rtc_isl1208] [ 134.487703] isl1208_rtc_read_time+0x14/0x20 [rtc_isl1208] [ 134.493226] __rtc_read_time+0x44/0x88 [ 134.497012] rtc_read_time+0x3c/0x68 [ 134.500622] rtc_suspend+0x9c/0x170 The warning is triggered because I2C transfers can still be attempted while the controller is already suspended, due to inappropriate ordering of the system sleep callbacks. If the controller is autosuspended, there is no way to wake it up once runtime PM disabled (in suspend_late()). During system resume, the I2C controller will be available only after runtime PM is re-enabled (in resume_early()). However, this may be too late for some devices. Wake up the controller in the suspend() callback while runtime PM is still enabled. The I2C controller will remain available until the suspend_noirq() callback (pm_runtime_force_suspend()) is called. During resume, the I2C controller can be restored by the resume_noirq() callback (pm_runtime_force_resume()). Finally, the resume() callback re-enables autosuspend. As a result, the I2C controller can remain available until the system enters suspend_noirq() and from resume_noirq(). Уязвимость компонента i2c/busses/i2c-riic.c ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: uacce: implement mremap in uacce_vm_ops to return -EPERM The current uacce_vm_ops does not support the mremap operation of vm_operations_struct. Implement .mremap to return -EPERM to remind users. The reason we need to explicitly disable mremap is that when the driver does not implement .mremap, it uses the default mremap method. This could lead to a risk scenario: An application might first mmap address p1, then mremap to p2, followed by munmap(p1), and finally munmap(p2). Since the default mremap copies the original vma's vm_private_data (i.e., q) to the new vma, both munmap operations would trigger vma_close, causing q->qfr to be freed twice(qfr will be set to null here, so repeated release is ok). Уязвимость компонента misc/uacce/uacce.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vsock/virtio: Coalesce only linear skb vsock/virtio common tries to coalesce buffers in rx queue: if a linear skb (with a spare tail room) is followed by a small skb (length limited by GOOD_COPY_LEN = 128), an attempt is made to join them. Since the introduction of MSG_ZEROCOPY support, assumption that a small skb will always be linear is incorrect. In the zerocopy case, data is lost and the linear skb is appended with uninitialized kernel memory. Of all 3 supported virtio-based transports, only loopback-transport is affected. G2H virtio-transport rx queue operates on explicitly linear skbs; see virtio_vsock_alloc_linear_skb() in virtio_vsock_rx_fill(). H2G vhost-transport may allocate non-linear skbs, but only for sizes that are not considered for coalescence; see PAGE_ALLOC_COSTLY_ORDER in virtio_vsock_alloc_skb(). Ensure only linear skbs are coalesced. Note that skb_tailroom(last_skb) > 0 guarantees last_skb is linear. Уязвимость компонента vmw_vsock/virtio_transport_common.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: ems_usb: ems_usb_read_bulk_callback(): fix URB memory leak Fix similar memory leak as in commit 7352e1d5932a ("can: gs_usb: gs_usb_receive_bulk_callback(): fix URB memory leak"). In ems_usb_open(), the URBs for USB-in transfers are allocated, added to the dev->rx_submitted anchor and submitted. In the complete callback ems_usb_read_bulk_callback(), the URBs are processed and resubmitted. In ems_usb_close() the URBs are freed by calling usb_kill_anchored_urbs(&dev->rx_submitted). However, this does not take into account that the USB framework unanchors the URB before the complete function is called. This means that once an in-URB has been completed, it is no longer anchored and is ultimately not released in ems_usb_close(). Fix the memory leak by anchoring the URB in the ems_usb_read_bulk_callback() to the dev->rx_submitted anchor. Уязвимость компонента can/usb/ems_usb.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Sanitize payload size to prevent member overflow In qla27xx_copy_fpin_pkt() and qla27xx_copy_multiple_pkt(), the frame_size reported by firmware is used to calculate the copy length into item->iocb. However, the iocb member is defined as a fixed-size 64-byte array within struct purex_item. If the reported frame_size exceeds 64 bytes, subsequent memcpy calls will overflow the iocb member boundary. While extra memory might be allocated, this cross-member write is unsafe and triggers warnings under CONFIG_FORTIFY_SOURCE. Fix this by capping total_bytes to the size of the iocb member (64 bytes) before allocation and copying. This ensures all copies remain within the bounds of the destination structure member. Уязвимость компонента scsi/qla2xxx/qla_isr.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: kvaser_usb: kvaser_usb_read_bulk_callback(): fix URB memory leak Fix similar memory leak as in commit 7352e1d5932a ("can: gs_usb: gs_usb_receive_bulk_callback(): fix URB memory leak"). In kvaser_usb_set_{,data_}bittiming() -> kvaser_usb_setup_rx_urbs(), the URBs for USB-in transfers are allocated, added to the dev->rx_submitted anchor and submitted. In the complete callback kvaser_usb_read_bulk_callback(), the URBs are processed and resubmitted. In kvaser_usb_remove_interfaces() the URBs are freed by calling usb_kill_anchored_urbs(&dev->rx_submitted). However, this does not take into account that the USB framework unanchors the URB before the complete function is called. This means that once an in-URB has been completed, it is no longer anchored and is ultimately not released in usb_kill_anchored_urbs(). Fix the memory leak by anchoring the URB in the kvaser_usb_read_bulk_callback() to the dev->rx_submitted anchor. Уязвимость компонента can/usb/kvaser_usb/kvaser_usb_core.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86: hp-bioscfg: Fix kernel panic in GET_INSTANCE_ID macro The GET_INSTANCE_ID macro that caused a kernel panic when accessing sysfs attributes: 1. Off-by-one error: The loop condition used '<=' instead of '<', causing access beyond array bounds. Since array indices are 0-based and go from 0 to instances_count-1, the loop should use '<'. 2. Missing NULL check: The code dereferenced attr_name_kobj->name without checking if attr_name_kobj was NULL, causing a null pointer dereference in min_length_show() and other attribute show functions. The panic occurred when fwupd tried to read BIOS configuration attributes: Oops: general protection fault [#1] SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] RIP: 0010:min_length_show+0xcf/0x1d0 [hp_bioscfg] Add a NULL check for attr_name_kobj before dereferencing and corrects the loop boundary to match the pattern used elsewhere in the driver. Уязвимость компонента drivers/platform/x86/hp/hp-bioscfg/bioscfg.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: uacce: ensure safe queue release with state management Directly calling `put_queue` carries risks since it cannot guarantee that resources of `uacce_queue` have been fully released beforehand. So adding a `stop_queue` operation for the UACCE_CMD_PUT_Q command and leaving the `put_queue` operation to the final resource release ensures safety. Queue states are defined as follows: - UACCE_Q_ZOMBIE: Initial state - UACCE_Q_INIT: After opening `uacce` - UACCE_Q_STARTED: After `start` is issued via `ioctl` When executing `poweroff -f` in virt while accelerator are still working, `uacce_fops_release` and `uacce_remove` may execute concurrently. This can cause `uacce_put_queue` within `uacce_fops_release` to access a NULL `ops` pointer. Therefore, add state checks to prevent accessing freed pointers. Уязвимость компонента misc/uacce/uacce.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: act_ife: avoid possible NULL deref tcf_ife_encode() must make sure ife_encode() does not return NULL. syzbot reported: Oops: general protection fault, probably for non-canonical address 0xdffffc0000000000: 0000 [#1] SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] RIP: 0010:ife_tlv_meta_encode+0x41/0xa0 net/ife/ife.c:166 CPU: 3 UID: 0 PID: 8990 Comm: syz.0.696 Not tainted syzkaller #0 PREEMPT(full) Call Trace: <TASK> ife_encode_meta_u32+0x153/0x180 net/sched/act_ife.c:101 tcf_ife_encode net/sched/act_ife.c:841 [inline] tcf_ife_act+0x1022/0x1de0 net/sched/act_ife.c:877 tc_act include/net/tc_wrapper.h:130 [inline] tcf_action_exec+0x1c0/0xa20 net/sched/act_api.c:1152 tcf_exts_exec include/net/pkt_cls.h:349 [inline] mall_classify+0x1a0/0x2a0 net/sched/cls_matchall.c:42 tc_classify include/net/tc_wrapper.h:197 [inline] __tcf_classify net/sched/cls_api.c:1764 [inline] tcf_classify+0x7f2/0x1380 net/sched/cls_api.c:1860 multiq_classify net/sched/sch_multiq.c:39 [inline] multiq_enqueue+0xe0/0x510 net/sched/sch_multiq.c:66 dev_qdisc_enqueue+0x45/0x250 net/core/dev.c:4147 __dev_xmit_skb net/core/dev.c:4262 [inline] __dev_queue_xmit+0x2998/0x46c0 net/core/dev.c:4798 Уязвимость компонента sched/act_ife.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86/amd: Fix memory leak in wbrf_record() The tmp buffer is allocated using kcalloc() but is not freed if acpi_evaluate_dsm() fails. This causes a memory leak in the error path. Fix this by explicitly freeing the tmp buffer in the error handling path of acpi_evaluate_dsm(). Уязвимость компонента drivers/platform/x86/amd/wbrf.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: spi-sprd-adi: Fix double free in probe error path The driver currently uses spi_alloc_host() to allocate the controller but registers it using devm_spi_register_controller(). If devm_register_restart_handler() fails, the code jumps to the put_ctlr label and calls spi_controller_put(). However, since the controller was registered via a devm function, the device core will automatically call spi_controller_put() again when the probe fails. This results in a double-free of the spi_controller structure. Fix this by switching to devm_spi_alloc_host() and removing the manual spi_controller_put() call. Уязвимость компонента spi/spi-sprd-adi.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vsock/virtio: fix potential underflow in virtio_transport_get_credit() The credit calculation in virtio_transport_get_credit() uses unsigned arithmetic: ret = vvs->peer_buf_alloc - (vvs->tx_cnt - vvs->peer_fwd_cnt); If the peer shrinks its advertised buffer (peer_buf_alloc) while bytes are in flight, the subtraction can underflow and produce a large positive value, potentially allowing more data to be queued than the peer can handle. Reuse virtio_transport_has_space() which already handles this case and add a comment to make it clear why we are doing that. [Stefano: use virtio_transport_has_space() instead of duplicating the code] [Stefano: tweak the commit message] Уязвимость компонента vmw_vsock/virtio_transport_common.c ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: regmap: Fix race condition in hwspinlock irqsave routine Previously, the address of the shared member '&map->spinlock_flags' was passed directly to 'hwspin_lock_timeout_irqsave'. This creates a race condition where multiple contexts contending for the lock could overwrite the shared flags variable, potentially corrupting the state for the current lock owner. Fix this by using a local stack variable 'flags' to store the IRQ state temporarily. Уязвимость компонента base/regmap/regmap.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: l2tp: Fix memleak in l2tp_udp_encap_recv(). syzbot reported memleak of struct l2tp_session, l2tp_tunnel, sock, etc. [0] The cited commit moved down the validation of the protocol version in l2tp_udp_encap_recv(). The new place requires an extra error handling to avoid the memleak. Let's call l2tp_session_put() there. [0]: BUG: memory leak unreferenced object 0xffff88810a290200 (size 512): comm "syz.0.17", pid 6086, jiffies 4294944299 hex dump (first 32 bytes): 7d eb 04 0c 00 00 00 00 01 00 00 00 00 00 00 00 }............... 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc babb6a4f): kmemleak_alloc_recursive include/linux/kmemleak.h:44 [inline] slab_post_alloc_hook mm/slub.c:4958 [inline] slab_alloc_node mm/slub.c:5263 [inline] __do_kmalloc_node mm/slub.c:5656 [inline] __kmalloc_noprof+0x3e0/0x660 mm/slub.c:5669 kmalloc_noprof include/linux/slab.h:961 [inline] kzalloc_noprof include/linux/slab.h:1094 [inline] l2tp_session_create+0x3a/0x3b0 net/l2tp/l2tp_core.c:1778 pppol2tp_connect+0x48b/0x920 net/l2tp/l2tp_ppp.c:755 __sys_connect_file+0x7a/0xb0 net/socket.c:2089 __sys_connect+0xde/0x110 net/socket.c:2108 __do_sys_connect net/socket.c:2114 [inline] __se_sys_connect net/socket.c:2111 [inline] __x64_sys_connect+0x1c/0x30 net/socket.c:2111 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xa4/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента net/l2tp/l2tp_core.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: rsi: Fix memory corruption due to not set vif driver data size The struct ieee80211_vif contains trailing space for vif driver data, when struct ieee80211_vif is allocated, the total memory size that is allocated is sizeof(struct ieee80211_vif) + size of vif driver data. The size of vif driver data is set by each WiFi driver as needed. The RSI911x driver does not set vif driver data size, no trailing space for vif driver data is therefore allocated past struct ieee80211_vif . The RSI911x driver does however use the vif driver data to store its vif driver data structure "struct vif_priv". An access to vif->drv_priv leads to access out of struct ieee80211_vif bounds and corruption of some memory. In case of the failure observed locally, rsi_mac80211_add_interface() would write struct vif_priv *vif_info = (struct vif_priv *)vif->drv_priv; vif_info->vap_id = vap_idx. This write corrupts struct fq_tin member struct list_head new_flows . The flow = list_first_entry(head, struct fq_flow, flowchain); in fq_tin_reset() then reports non-NULL bogus address, which when accessed causes a crash. The trigger is very simple, boot the machine with init=/bin/sh , mount devtmpfs, sysfs, procfs, and then do "ip link set wlan0 up", "sleep 1", "ip link set wlan0 down" and the crash occurs. Fix this by setting the correct size of vif driver data, which is the size of "struct vif_priv", so that memory is allocated and the driver can store its driver data in it, instead of corrupting memory around it. Уязвимость компонента wireless/rsi/rsi_91x_mac80211.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: esd_usb: esd_usb_read_bulk_callback(): fix URB memory leak Fix similar memory leak as in commit 7352e1d5932a ("can: gs_usb: gs_usb_receive_bulk_callback(): fix URB memory leak"). In esd_usb_open(), the URBs for USB-in transfers are allocated, added to the dev->rx_submitted anchor and submitted. In the complete callback esd_usb_read_bulk_callback(), the URBs are processed and resubmitted. In esd_usb_close() the URBs are freed by calling usb_kill_anchored_urbs(&dev->rx_submitted). However, this does not take into account that the USB framework unanchors the URB before the complete function is called. This means that once an in-URB has been completed, it is no longer anchored and is ultimately not released in esd_usb_close(). Fix the memory leak by anchoring the URB in the esd_usb_read_bulk_callback() to the dev->rx_submitted anchor. Уязвимость компонента can/usb/esd_usb.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: ctxfi: Fix potential OOB access in audio mixer handling In the audio mixer handling code of ctxfi driver, the conf field is used as a kind of loop index, and it's referred in the index callbacks (amixer_index() and sum_index()). As spotted recently by fuzzers, the current code causes OOB access at those functions. | UBSAN: array-index-out-of-bounds in /build/reproducible-path/linux-6.17.8/sound/pci/ctxfi/ctamixer.c:347:48 | index 8 is out of range for type 'unsigned char [8]' After the analysis, the cause was found to be the lack of the proper (re-)initialization of conj field. This patch addresses those OOB accesses by adding the proper initializations of the loop indices. Уязвимость компонента pci/ctxfi/ctamixer.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: scarlett2: Fix buffer overflow in config retrieval The scarlett2_usb_get_config() function has a logic error in the endianness conversion code that can cause buffer overflows when count > 1. The code checks `if (size == 2)` where `size` is the total buffer size in bytes, then loops `count` times treating each element as u16 (2 bytes). This causes the loop to access `count * 2` bytes when the buffer only has `size` bytes allocated. Fix by checking the element size (config_item->size) instead of the total buffer size. This ensures the endianness conversion matches the actual element type. Уязвимость компонента usb/mixer_scarlett2.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: mcba_usb: mcba_usb_read_bulk_callback(): fix URB memory leak Fix similar memory leak as in commit 7352e1d5932a ("can: gs_usb: gs_usb_receive_bulk_callback(): fix URB memory leak"). In mcba_usb_probe() -> mcba_usb_start(), the URBs for USB-in transfers are allocated, added to the priv->rx_submitted anchor and submitted. In the complete callback mcba_usb_read_bulk_callback(), the URBs are processed and resubmitted. In mcba_usb_close() -> mcba_urb_unlink() the URBs are freed by calling usb_kill_anchored_urbs(&priv->rx_submitted). However, this does not take into account that the USB framework unanchors the URB before the complete function is called. This means that once an in-URB has been completed, it is no longer anchored and is ultimately not released in usb_kill_anchored_urbs(). Fix the memory leak by anchoring the URB in the mcba_usb_read_bulk_callback()to the priv->rx_submitted anchor. Уязвимость компонента can/usb/mcba_usb.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fou: Don't allow 0 for FOU_ATTR_IPPROTO. fou_udp_recv() has the same problem mentioned in the previous patch. If FOU_ATTR_IPPROTO is set to 0, skb is not freed by fou_udp_recv() nor "resubmit"-ted in ip_protocol_deliver_rcu(). Let's forbid 0 for FOU_ATTR_IPPROTO. Уязвимость компонента ipv4/fou_nl.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: be2net: Fix NULL pointer dereference in be_cmd_get_mac_from_list When the parameter pmac_id_valid argument of be_cmd_get_mac_from_list() is set to false, the driver may request the PMAC_ID from the firmware of the network card, and this function will store that PMAC_ID at the provided address pmac_id. This is the contract of this function. However, there is a location within the driver where both pmac_id_valid == false and pmac_id == NULL are being passed. This could result in dereferencing a NULL pointer. To resolve this issue, it is necessary to pass the address of a stub variable to the function. Уязвимость компонента ethernet/emulex/benet/be_cmds.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: irqchip/gic-v3-its: Avoid truncating memory addresses On 32-bit machines with CONFIG_ARM_LPAE, it is possible for lowmem allocations to be backed by addresses physical memory above the 32-bit address limit, as found while experimenting with larger VMSPLIT configurations. This caused the qemu virt model to crash in the GICv3 driver, which allocates the 'itt' object using GFP_KERNEL. Since all memory below the 4GB physical address limit is in ZONE_DMA in this configuration, kmalloc() defaults to higher addresses for ZONE_NORMAL, and the ITS driver stores the physical address in a 32-bit 'unsigned long' variable. Change the itt_addr variable to the correct phys_addr_t type instead, along with all other variables in this driver that hold a physical address. The gicv5 driver correctly uses u64 variables, while all other irqchip drivers don't call virt_to_phys or similar interfaces. It's expected that other device drivers have similar issues, but fixing this one is sufficient for booting a virtio based guest. Уязвимость компонента irqchip/irq-gic-v3-its.c ядра операционной системы Linux связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vsock/virtio: cap TX credit to local buffer size The virtio transports derives its TX credit directly from peer_buf_alloc, which is set from the remote endpoint's SO_VM_SOCKETS_BUFFER_SIZE value. On the host side this means that the amount of data we are willing to queue for a connection is scaled by a guest-chosen buffer size, rather than the host's own vsock configuration. A malicious guest can advertise a large buffer and read slowly, causing the host to allocate a correspondingly large amount of sk_buff memory. The same thing would happen in the guest with a malicious host, since virtio transports share the same code base. Introduce a small helper, virtio_transport_tx_buf_size(), that returns min(peer_buf_alloc, buf_alloc), and use it wherever we consume peer_buf_alloc. This ensures the effective TX window is bounded by both the peer's advertised buffer and our own buf_alloc (already clamped to buffer_max_size via SO_VM_SOCKETS_BUFFER_MAX_SIZE), so a remote peer cannot force the other to queue more data than allowed by its own vsock settings. On an unpatched Ubuntu 22.04 host (~64 GiB RAM), running a PoC with 32 guest vsock connections advertising 2 GiB each and reading slowly drove Slab/SUnreclaim from ~0.5 GiB to ~57 GiB; the system only recovered after killing the QEMU process. That said, if QEMU memory is limited with cgroups, the maximum memory used will be limited. With this patch applied: Before: MemFree: ~61.6 GiB Slab: ~142 MiB SUnreclaim: ~117 MiB After 32 high-credit connections: MemFree: ~61.5 GiB Slab: ~178 MiB SUnreclaim: ~152 MiB Only ~35 MiB increase in Slab/SUnreclaim, no host OOM, and the guest remains responsive. Compatibility with non-virtio transports: - VMCI uses the AF_VSOCK buffer knobs to size its queue pairs per socket based on the local vsk->buffer_* values; the remote side cannot enlarge those queues beyond what the local endpoint configured. - Hyper-V's vsock transport uses fixed-size VMBus ring buffers and an MTU bound; there is no peer-controlled credit field comparable to peer_buf_alloc, and the remote endpoint cannot drive in-flight kernel memory above those ring sizes. - The loopback path reuses virtio_transport_common.c, so it naturally follows the same semantics as the virtio transport. This change is limited to virtio_transport_common.c and thus affects virtio-vsock, vhost-vsock, and loopback, bringing them in line with the "remote window intersected with local policy" behaviour that VMCI and Hyper-V already effectively have. [Stefano: small adjustments after changing the previous patch] [Stefano: tweak the commit message] Уязвимость компонента vmw_vsock/virtio_transport_common.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: xen: scsiback: Fix potential memory leak in scsiback_remove() Memory allocated for struct vscsiblk_info in scsiback_probe() is not freed in scsiback_remove() leading to potential memory leaks on remove, as well as in the scsiback_probe() error paths. Fix that by freeing it in scsiback_remove(). Уязвимость компонента xen/xen-scsiback.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: Fix crash on synthetic stacktrace field usage When creating a synthetic event based on an existing synthetic event that had a stacktrace field and the new synthetic event used that field a kernel crash occurred: ~# cd /sys/kernel/tracing ~# echo 's:stack unsigned long stack[];' > dynamic_events ~# echo 'hist:keys=prev_pid:s0=common_stacktrace if prev_state & 3' >> events/sched/sched_switch/trigger ~# echo 'hist:keys=next_pid:s1=$s0:onmatch(sched.sched_switch).trace(stack,$s1)' >> events/sched/sched_switch/trigger The above creates a synthetic event that takes a stacktrace when a task schedules out in a non-running state and passes that stacktrace to the sched_switch event when that task schedules back in. It triggers the "stack" synthetic event that has a stacktrace as its field (called "stack"). ~# echo 's:syscall_stack s64 id; unsigned long stack[];' >> dynamic_events ~# echo 'hist:keys=common_pid:s2=stack' >> events/synthetic/stack/trigger ~# echo 'hist:keys=common_pid:s3=$s2,i0=id:onmatch(synthetic.stack).trace(syscall_stack,$i0,$s3)' >> events/raw_syscalls/sys_exit/trigger The above makes another synthetic event called "syscall_stack" that attaches the first synthetic event (stack) to the sys_exit trace event and records the stacktrace from the stack event with the id of the system call that is exiting. When enabling this event (or using it in a historgram): ~# echo 1 > events/synthetic/syscall_stack/enable Produces a kernel crash! BUG: unable to handle page fault for address: 0000000000400010 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 0 P4D 0 Oops: Oops: 0000 [#1] SMP PTI CPU: 6 UID: 0 PID: 1257 Comm: bash Not tainted 6.16.3+deb14-amd64 #1 PREEMPT(lazy) Debian 6.16.3-1 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.17.0-debian-1.17.0-1 04/01/2014 RIP: 0010:trace_event_raw_event_synth+0x90/0x380 Code: c5 00 00 00 00 85 d2 0f 84 e1 00 00 00 31 db eb 34 0f 1f 00 66 66 2e 0f 1f 84 00 00 00 00 00 66 66 2e 0f 1f 84 00 00 00 00 00 <49> 8b 04 24 48 83 c3 01 8d 0c c5 08 00 00 00 01 cd 41 3b 5d 40 0f RSP: 0018:ffffd2670388f958 EFLAGS: 00010202 RAX: ffff8ba1065cc100 RBX: 0000000000000000 RCX: 0000000000000000 RDX: 0000000000000001 RSI: fffff266ffda7b90 RDI: ffffd2670388f9b0 RBP: 0000000000000010 R08: ffff8ba104e76000 R09: ffffd2670388fa50 R10: ffff8ba102dd42e0 R11: ffffffff9a908970 R12: 0000000000400010 R13: ffff8ba10a246400 R14: ffff8ba10a710220 R15: fffff266ffda7b90 FS: 00007fa3bc63f740(0000) GS:ffff8ba2e0f48000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000400010 CR3: 0000000107f9e003 CR4: 0000000000172ef0 Call Trace: <TASK> ? __tracing_map_insert+0x208/0x3a0 action_trace+0x67/0x70 event_hist_trigger+0x633/0x6d0 event_triggers_call+0x82/0x130 trace_event_buffer_commit+0x19d/0x250 trace_event_raw_event_sys_exit+0x62/0xb0 syscall_exit_work+0x9d/0x140 do_syscall_64+0x20a/0x2f0 ? trace_event_raw_event_sched_switch+0x12b/0x170 ? save_fpregs_to_fpstate+0x3e/0x90 ? _raw_spin_unlock+0xe/0x30 ? finish_task_switch.isra.0+0x97/0x2c0 ? __rseq_handle_notify_resume+0xad/0x4c0 ? __schedule+0x4b8/0xd00 ? restore_fpregs_from_fpstate+0x3c/0x90 ? switch_fpu_return+0x5b/0xe0 ? do_syscall_64+0x1ef/0x2f0 ? do_fault+0x2e9/0x540 ? __handle_mm_fault+0x7d1/0xf70 ? count_memcg_events+0x167/0x1d0 ? handle_mm_fault+0x1d7/0x2e0 ? do_user_addr_fault+0x2c3/0x7f0 entry_SYSCALL_64_after_hwframe+0x76/0x7e The reason is that the stacktrace field is not labeled as such, and is treated as a normal field and not as a dynamic event that it is. In trace_event_raw_event_synth() the event is field is still treated as a dynamic array, but the retrieval of the data is considered a normal field, and the reference is just the meta data: // Meta data is retrieved instead of a dynamic array ---truncated--- [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix use-after-free in snd_usb_mixer_free() When snd_usb_create_mixer() fails, snd_usb_mixer_free() frees mixer->id_elems but the controls already added to the card still reference the freed memory. Later when snd_card_register() runs, the OSS mixer layer calls their callbacks and hits a use-after-free read. Call trace: get_ctl_value+0x63f/0x820 sound/usb/mixer.c:411 get_min_max_with_quirks.isra.0+0x240/0x1f40 sound/usb/mixer.c:1241 mixer_ctl_feature_info+0x26b/0x490 sound/usb/mixer.c:1381 snd_mixer_oss_build_test+0x174/0x3a0 sound/core/oss/mixer_oss.c:887 ... snd_card_register+0x4ed/0x6d0 sound/core/init.c:923 usb_audio_probe+0x5ef/0x2a90 sound/usb/card.c:1025 Fix by calling snd_ctl_remove() for all mixer controls before freeing id_elems. We save the next pointer first because snd_ctl_remove() frees the current element. Уязвимость компонента usb/mixer.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: slimbus: core: fix device reference leak on report present Slimbus devices can be allocated dynamically upon reception of report-present messages. Make sure to drop the reference taken when looking up already registered devices. Note that this requires taking an extra reference in case the device has not yet been registered and has to be allocated. Уязвимость компонента slimbus/core.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: intel_th: fix device leak on output open() Make sure to drop the reference taken when looking up the th device during output device open() on errors and on close(). Note that a recent commit fixed the leak in a couple of open() error paths but not all of them, and the reference is still leaking on successful open(). Уязвимость компонента hwtracing/intel_th/core.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: smbd: fix dma_unmap_sg() nents The dma_unmap_sg() functions should be called with the same nents as the dma_map_sg(), not the value the map function returned. Уязвимость компонента ksmbd ядра операционной системы Linux связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: uacce: fix isolate sysfs check condition uacce supports the device isolation feature. If the driver implements the isolate_err_threshold_read and isolate_err_threshold_write callback functions, uacce will create sysfs files now. Users can read and configure the isolation policy through sysfs. Currently, sysfs files are created as long as either isolate_err_threshold_read or isolate_err_threshold_write callback functions are present. However, accessing a non-existent callback function may cause the system to crash. Therefore, intercept the creation of sysfs if neither read nor write exists; create sysfs if either is supported, but intercept unsupported operations at the call site. Уязвимость компонента drivers/misc/uacce/uacce.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gue: Fix skb memleak with inner IP protocol 0. syzbot reported skb memleak below. [0] The repro generated a GUE packet with its inner protocol 0. gue_udp_recv() returns -guehdr->proto_ctype for "resubmit" in ip_protocol_deliver_rcu(), but this only works with non-zero protocol number. Let's drop such packets. Note that 0 is a valid number (IPv6 Hop-by-Hop Option). I think it is not practical to encap HOPOPT in GUE, so once someone starts to complain, we could pass down a resubmit flag pointer to distinguish two zeros from the upper layer: * no error * resubmit HOPOPT [0] BUG: memory leak unreferenced object 0xffff888109695a00 (size 240): comm "syz.0.17", pid 6088, jiffies 4294943096 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 00 40 c2 10 81 88 ff ff 00 00 00 00 00 00 00 00 .@.............. backtrace (crc a84b336f): kmemleak_alloc_recursive include/linux/kmemleak.h:44 [inline] slab_post_alloc_hook mm/slub.c:4958 [inline] slab_alloc_node mm/slub.c:5263 [inline] kmem_cache_alloc_noprof+0x3b4/0x590 mm/slub.c:5270 __build_skb+0x23/0x60 net/core/skbuff.c:474 build_skb+0x20/0x190 net/core/skbuff.c:490 __tun_build_skb drivers/net/tun.c:1541 [inline] tun_build_skb+0x4a1/0xa40 drivers/net/tun.c:1636 tun_get_user+0xc12/0x2030 drivers/net/tun.c:1770 tun_chr_write_iter+0x71/0x120 drivers/net/tun.c:1999 new_sync_write fs/read_write.c:593 [inline] vfs_write+0x45d/0x710 fs/read_write.c:686 ksys_write+0xa7/0x170 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xa4/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента ipv4/fou_core.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: uacce: fix cdev handling in the cleanup path When cdev_device_add fails, it internally releases the cdev memory, and if cdev_device_del is then executed, it will cause a hang error. To fix it, we check the return value of cdev_device_add() and clear uacce->cdev to avoid calling cdev_device_del in the uacce_remove. Уязвимость компонента misc/uacce/uacce.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: migrate: correct lock ordering for hugetlb file folios Syzbot has found a deadlock (analyzed by Lance Yang): 1) Task (5749): Holds folio_lock, then tries to acquire i_mmap_rwsem(read lock). 2) Task (5754): Holds i_mmap_rwsem(write lock), then tries to acquire folio_lock. migrate_pages() -> migrate_hugetlbs() -> unmap_and_move_huge_page() <- Takes folio_lock! -> remove_migration_ptes() -> __rmap_walk_file() -> i_mmap_lock_read() <- Waits for i_mmap_rwsem(read lock)! hugetlbfs_fallocate() -> hugetlbfs_punch_hole() <- Takes i_mmap_rwsem(write lock)! -> hugetlbfs_zero_partial_page() -> filemap_lock_hugetlb_folio() -> filemap_lock_folio() -> __filemap_get_folio <- Waits for folio_lock! The migration path is the one taking locks in the wrong order according to the documentation at the top of mm/rmap.c. So expand the scope of the existing i_mmap_lock to cover the calls to remove_migration_ptes() too. This is (mostly) how it used to be after commit c0d0381ade79. That was removed by 336bf30eb765 for both file & anon hugetlb pages when it should only have been removed for anon hugetlb pages. Уязвимость компонента mm/migrate.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netrom: fix double-free in nr_route_frame() In nr_route_frame(), old_skb is immediately freed without checking if nr_neigh->ax25 pointer is NULL. Therefore, if nr_neigh->ax25 is NULL, the caller function will free old_skb again, causing a double-free bug. Therefore, to prevent this, we need to modify it to check whether nr_neigh->ax25 is NULL before freeing old_skb. Уязвимость компонента netrom/nr_route.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bonding: limit BOND_MODE_8023AD to Ethernet devices BOND_MODE_8023AD makes sense for ARPHRD_ETHER only. syzbot reported: BUG: KASAN: global-out-of-bounds in __hw_addr_create net/core/dev_addr_lists.c:63 [inline] BUG: KASAN: global-out-of-bounds in __hw_addr_add_ex+0x25d/0x760 net/core/dev_addr_lists.c:118 Read of size 16 at addr ffffffff8bf94040 by task syz.1.3580/19497 CPU: 1 UID: 0 PID: 19497 Comm: syz.1.3580 Tainted: G L syzkaller #0 PREEMPT(full) Tainted: [L]=SOFTLOCKUP Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 10/25/2025 Call Trace: <TASK> dump_stack_lvl+0xe8/0x150 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x240 mm/kasan/report.c:482 kasan_report+0x118/0x150 mm/kasan/report.c:595 check_region_inline mm/kasan/generic.c:-1 [inline] kasan_check_range+0x2b0/0x2c0 mm/kasan/generic.c:200 __asan_memcpy+0x29/0x70 mm/kasan/shadow.c:105 __hw_addr_create net/core/dev_addr_lists.c:63 [inline] __hw_addr_add_ex+0x25d/0x760 net/core/dev_addr_lists.c:118 __dev_mc_add net/core/dev_addr_lists.c:868 [inline] dev_mc_add+0xa1/0x120 net/core/dev_addr_lists.c:886 bond_enslave+0x2b8b/0x3ac0 drivers/net/bonding/bond_main.c:2180 do_set_master+0x533/0x6d0 net/core/rtnetlink.c:2963 do_setlink+0xcf0/0x41c0 net/core/rtnetlink.c:3165 rtnl_changelink net/core/rtnetlink.c:3776 [inline] __rtnl_newlink net/core/rtnetlink.c:3935 [inline] rtnl_newlink+0x161c/0x1c90 net/core/rtnetlink.c:4072 rtnetlink_rcv_msg+0x7cf/0xb70 net/core/rtnetlink.c:6958 netlink_rcv_skb+0x208/0x470 net/netlink/af_netlink.c:2550 netlink_unicast_kernel net/netlink/af_netlink.c:1318 [inline] netlink_unicast+0x82f/0x9e0 net/netlink/af_netlink.c:1344 netlink_sendmsg+0x805/0xb30 net/netlink/af_netlink.c:1894 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg+0x21c/0x270 net/socket.c:742 ____sys_sendmsg+0x505/0x820 net/socket.c:2592 ___sys_sendmsg+0x21f/0x2a0 net/socket.c:2646 __sys_sendmsg+0x164/0x220 net/socket.c:2678 do_syscall_32_irqs_on arch/x86/entry/syscall_32.c:83 [inline] __do_fast_syscall_32+0x1dc/0x560 arch/x86/entry/syscall_32.c:307 do_fast_syscall_32+0x34/0x80 arch/x86/entry/syscall_32.c:332 entry_SYSENTER_compat_after_hwframe+0x84/0x8e </TASK> The buggy address belongs to the variable: lacpdu_mcast_addr+0x0/0x40 Уязвимость компонента drivers/net/bonding/bond_main.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/hugetlb: fix hugetlb_pmd_shared() Patch series "mm/hugetlb: fixes for PMD table sharing (incl. using mmu_gather)", v3. One functional fix, one performance regression fix, and two related comment fixes. I cleaned up my prototype I recently shared [1] for the performance fix, deferring most of the cleanups I had in the prototype to a later point. While doing that I identified the other things. The goal of this patch set is to be backported to stable trees "fairly" easily. At least patch #1 and #4. Patch #1 fixes hugetlb_pmd_shared() not detecting any sharing Patch #2 + #3 are simple comment fixes that patch #4 interacts with. Patch #4 is a fix for the reported performance regression due to excessive IPI broadcasts during fork()+exit(). The last patch is all about TLB flushes, IPIs and mmu_gather. Read: complicated There are plenty of cleanups in the future to be had + one reasonable optimization on x86. But that's all out of scope for this series. Runtime tested, with a focus on fixing the performance regression using the original reproducer [2] on x86. This patch (of 4): We switched from (wrongly) using the page count to an independent shared count. Now, shared page tables have a refcount of 1 (excluding speculative references) and instead use ptdesc->pt_share_count to identify sharing. We didn't convert hugetlb_pmd_shared(), so right now, we would never detect a shared PMD table as such, because sharing/unsharing no longer touches the refcount of a PMD table. Page migration, like mbind() or migrate_pages() would allow for migrating folios mapped into such shared PMD tables, even though the folios are not exclusive. In smaps we would account them as "private" although they are "shared", and we would be wrongly setting the PM_MMAP_EXCLUSIVE in the pagemap interface. Fix it by properly using ptdesc_pmd_is_shared() in hugetlb_pmd_shared(). [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: leds: led-class: Only Add LED to leds_list when it is fully ready Before this change the LED was added to leds_list before led_init_core() gets called adding it the list before led_classdev.set_brightness_work gets initialized. This leaves a window where led_trigger_register() of a LED's default trigger will call led_trigger_set() which calls led_set_brightness() which in turn will end up queueing the *uninitialized* led_classdev.set_brightness_work. This race gets hit by the lenovo-thinkpad-t14s EC driver which registers 2 LEDs with a default trigger provided by snd_ctl_led.ko in quick succession. The first led_classdev_register() causes an async modprobe of snd_ctl_led to run and that async modprobe manages to exactly hit the window where the second LED is on the leds_list without led_init_core() being called for it, resulting in: ------------[ cut here ]------------ WARNING: CPU: 11 PID: 5608 at kernel/workqueue.c:4234 __flush_work+0x344/0x390 Hardware name: LENOVO 21N2S01F0B/21N2S01F0B, BIOS N42ET93W (2.23 ) 09/01/2025 ... Call trace: __flush_work+0x344/0x390 (P) flush_work+0x2c/0x50 led_trigger_set+0x1c8/0x340 led_trigger_register+0x17c/0x1c0 led_trigger_register_simple+0x84/0xe8 snd_ctl_led_init+0x40/0xf88 [snd_ctl_led] do_one_initcall+0x5c/0x318 do_init_module+0x9c/0x2b8 load_module+0x7e0/0x998 Close the race window by moving the adding of the LED to leds_list to after the led_init_core() call. Уязвимость компонента drivers/leds/led-class.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64/fpsimd: signal: Fix restoration of SVE context When SME is supported, Restoring SVE signal context can go wrong in a few ways, including placing the task into an invalid state where the kernel may read from out-of-bounds memory (and may potentially take a fatal fault) and/or may kill the task with a SIGKILL. (1) Restoring a context with SVE_SIG_FLAG_SM set can place the task into an invalid state where SVCR.SM is set (and sve_state is non-NULL) but TIF_SME is clear, consequently resuting in out-of-bounds memory reads and/or killing the task with SIGKILL. This can only occur in unusual (but legitimate) cases where the SVE signal context has either been modified by userspace or was saved in the context of another task (e.g. as with CRIU), as otherwise the presence of an SVE signal context with SVE_SIG_FLAG_SM implies that TIF_SME is already set. While in this state, task_fpsimd_load() will NOT configure SMCR_ELx (leaving some arbitrary value configured in hardware) before restoring SVCR and attempting to restore the streaming mode SVE registers from memory via sve_load_state(). As the value of SMCR_ELx.LEN may be larger than the task's streaming SVE vector length, this may read memory outside of the task's allocated sve_state, reading unrelated data and/or triggering a fault. While this can result in secrets being loaded into streaming SVE registers, these values are never exposed. As TIF_SME is clear, fpsimd_bind_task_to_cpu() will configure CPACR_ELx.SMEN to trap EL0 accesses to streaming mode SVE registers, so these cannot be accessed directly at EL0. As fpsimd_save_user_state() verifies the live vector length before saving (S)SVE state to memory, no secret values can be saved back to memory (and hence cannot be observed via ptrace, signals, etc). When the live vector length doesn't match the expected vector length for the task, fpsimd_save_user_state() will send a fatal SIGKILL signal to the task. Hence the task may be killed after executing userspace for some period of time. (2) Restoring a context with SVE_SIG_FLAG_SM clear does not clear the task's SVCR.SM. If SVCR.SM was set prior to restoring the context, then the task will be left in streaming mode unexpectedly, and some register state will be combined inconsistently, though the task will be left in legitimate state from the kernel's PoV. This can only occur in unusual (but legitimate) cases where ptrace has been used to set SVCR.SM after entry to the sigreturn syscall, as syscall entry clears SVCR.SM. In these cases, the the provided SVE register data will be loaded into the task's sve_state using the non-streaming SVE vector length and the FPSIMD registers will be merged into this using the streaming SVE vector length. Fix (1) by setting TIF_SME when setting SVCR.SM. This also requires ensuring that the task's sme_state has been allocated, but as this could contain live ZA state, it should not be zeroed. Fix (2) by clearing SVCR.SM when restoring a SVE signal context with SVE_SIG_FLAG_SM clear. For consistency, I've pulled the manipulation of SVCR, TIF_SVE, TIF_SME, and fp_type earlier, immediately after the allocation of sve_state/sme_state, before the restore of the actual register state. This makes it easier to ensure that these are always modified consistently, even if a fault is taken while reading the register data from the signal context. I do not expect any software to depend on the exact state restored when a fault is taken while reading the context. Уязвимость компонента arm64/fpsimd ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipvlan: Make the addrs_lock be per port Make the addrs_lock be per port, not per ipvlan dev. Initial code seems to be written in the assumption, that any address change must occur under RTNL. But it is not so for the case of IPv6. So 1) Introduce per-port addrs_lock. 2) It was needed to fix places where it was forgotten to take lock (ipvlan_open/ipvlan_close) This appears to be a very minor problem though. Since it's highly unlikely that ipvlan_add_addr() will be called on 2 CPU simultaneously. But nevertheless, this could cause: 1) False-negative of ipvlan_addr_busy(): one interface iterated through all port->ipvlans + ipvlan->addrs under some ipvlan spinlock, and another added IP under its own lock. Though this is only possible for IPv6, since looks like only ipvlan_addr6_event() can be called without rtnl_lock. 2) Race since ipvlan_ht_addr_add(port) is called under different ipvlan->addrs_lock locks This should not affect performance, since add/remove IP is a rare situation and spinlock is not taken on fast paths. Уязвимость компонентов ipvlan ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: qfq: Use cl_is_active to determine whether class is active in qfq_rm_from_ag This is more of a preventive patch to make the code more consistent and to prevent possible exploits that employ child qlen manipulations on qfq. use cl_is_active instead of relying on the child qdisc's qlen to determine class activation. Уязвимость компонента net/sched/sch_qfq.c ядра операционной системы Linux связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arm64/fpsimd: signal: Allocate SSVE storage when restoring ZA The code to restore a ZA context doesn't attempt to allocate the task's sve_state before setting TIF_SME. Consequently, restoring a ZA context can place a task into an invalid state where TIF_SME is set but the task's sve_state is NULL. In legitimate but uncommon cases where the ZA signal context was NOT created by the kernel in the context of the same task (e.g. if the task is saved/restored with something like CRIU), we have no guarantee that sve_state had been allocated previously. In these cases, userspace can enter streaming mode without trapping while sve_state is NULL, causing a later NULL pointer dereference when the kernel attempts to store the register state: | # ./sigreturn-za | Unable to handle kernel NULL pointer dereference at virtual address 0000000000000000 | Mem abort info: | ESR = 0x0000000096000046 | EC = 0x25: DABT (current EL), IL = 32 bits | SET = 0, FnV = 0 | EA = 0, S1PTW = 0 | FSC = 0x06: level 2 translation fault | Data abort info: | ISV = 0, ISS = 0x00000046, ISS2 = 0x00000000 | CM = 0, WnR = 1, TnD = 0, TagAccess = 0 | GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 | user pgtable: 4k pages, 52-bit VAs, pgdp=0000000101f47c00 | [0000000000000000] pgd=08000001021d8403, p4d=0800000102274403, pud=0800000102275403, pmd=0000000000000000 | Internal error: Oops: 0000000096000046 [#1] SMP | Modules linked in: | CPU: 0 UID: 0 PID: 153 Comm: sigreturn-za Not tainted 6.19.0-rc1 #1 PREEMPT | Hardware name: linux,dummy-virt (DT) | pstate: 214000c9 (nzCv daIF +PAN -UAO -TCO +DIT -SSBS BTYPE=--) | pc : sve_save_state+0x4/0xf0 | lr : fpsimd_save_user_state+0xb0/0x1c0 | sp : ffff80008070bcc0 | x29: ffff80008070bcc0 x28: fff00000c1ca4c40 x27: 63cfa172fb5cf658 | x26: fff00000c1ca5228 x25: 0000000000000000 x24: 0000000000000000 | x23: 0000000000000000 x22: fff00000c1ca4c40 x21: fff00000c1ca4c40 | x20: 0000000000000020 x19: fff00000ff6900f0 x18: 0000000000000000 | x17: fff05e8e0311f000 x16: 0000000000000000 x15: 028fca8f3bdaf21c | x14: 0000000000000212 x13: fff00000c0209f10 x12: 0000000000000020 | x11: 0000000000200b20 x10: 0000000000000000 x9 : fff00000ff69dcc0 | x8 : 00000000000003f2 x7 : 0000000000000001 x6 : fff00000c1ca5b48 | x5 : fff05e8e0311f000 x4 : 0000000008000000 x3 : 0000000000000000 | x2 : 0000000000000001 x1 : fff00000c1ca5970 x0 : 0000000000000440 | Call trace: | sve_save_state+0x4/0xf0 (P) | fpsimd_thread_switch+0x48/0x198 | __switch_to+0x20/0x1c0 | __schedule+0x36c/0xce0 | schedule+0x34/0x11c | exit_to_user_mode_loop+0x124/0x188 | el0_interrupt+0xc8/0xd8 | __el0_irq_handler_common+0x18/0x24 | el0t_64_irq_handler+0x10/0x1c | el0t_64_irq+0x198/0x19c | Code: 54000040 d51b4408 d65f03c0 d503245f (e5bb5800) | ---[ end trace 0000000000000000 ]--- Fix this by having restore_za_context() ensure that the task's sve_state is allocated, matching what we do when taking an SME trap. Any live SVE/SSVE state (which is restored earlier from a separate signal context) must be preserved, and hence this is not zeroed. Уязвимость компонента arch/arm64/kernel/signal.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: usb_8dev: usb_8dev_read_bulk_callback(): fix URB memory leak Fix similar memory leak as in commit 7352e1d5932a ("can: gs_usb: gs_usb_receive_bulk_callback(): fix URB memory leak"). In usb_8dev_open() -> usb_8dev_start(), the URBs for USB-in transfers are allocated, added to the priv->rx_submitted anchor and submitted. In the complete callback usb_8dev_read_bulk_callback(), the URBs are processed and resubmitted. In usb_8dev_close() -> unlink_all_urbs() the URBs are freed by calling usb_kill_anchored_urbs(&priv->rx_submitted). However, this does not take into account that the USB framework unanchors the URB before the complete function is called. This means that once an in-URB has been completed, it is no longer anchored and is ultimately not released in usb_kill_anchored_urbs(). Fix the memory leak by anchoring the URB in the usb_8dev_read_bulk_callback() to the priv->rx_submitted anchor. Уязвимость компонента drivers/net/can/usb/usb_8dev.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: core: Wake up the error handler when final completions race against each other The fragile ordering between marking commands completed or failed so that the error handler only wakes when the last running command completes or times out has race conditions. These race conditions can cause the SCSI layer to fail to wake the error handler, leaving I/O through the SCSI host stuck as the error state cannot advance. First, there is an memory ordering issue within scsi_dec_host_busy(). The write which clears SCMD_STATE_INFLIGHT may be reordered with reads counting in scsi_host_busy(). While the local CPU will see its own write, reordering can allow other CPUs in scsi_dec_host_busy() or scsi_eh_inc_host_failed() to see a raised busy count, causing no CPU to see a host busy equal to the host_failed count. This race condition can be prevented with a memory barrier on the error path to force the write to be visible before counting host busy commands. Second, there is a general ordering issue with scsi_eh_inc_host_failed(). By counting busy commands before incrementing host_failed, it can race with a final command in scsi_dec_host_busy(), such that scsi_dec_host_busy() does not see host_failed incremented but scsi_eh_inc_host_failed() counts busy commands before SCMD_STATE_INFLIGHT is cleared by scsi_dec_host_busy(), resulting in neither waking the error handler task. This needs the call to scsi_host_busy() to be moved after host_failed is incremented to close the race condition. Уязвимость компонентов scsic ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvmet-tcp: add bounds checks in nvmet_tcp_build_pdu_iovec nvmet_tcp_build_pdu_iovec() could walk past cmd->req.sg when a PDU length or offset exceeds sg_cnt and then use bogus sg->length/offset values, leading to _copy_to_iter() GPF/KASAN. Guard sg_idx, remaining entries, and sg->length/offset before building the bvec. Уязвимость компонента drivers/nvme/target/tcp.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для устранения угрозы эксплуатации уязвимости CVE-2026-23112 необходимо запретить загрузку модуля nvmet_tcp в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль nvmet_tcp в ядро системы, для этого выполнить одну из команд: `lsmod | grep nvmet_tcp` или `kmod list | grep nvmet_tcp` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля nvmet_tcp: `sudo rmmod nvmet_tcp` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-nvmet_tcp.conf. Примечание. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install nvmet_tcp /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/io-wq: check IO_WQ_BIT_EXIT inside work run loop Currently this is checked before running the pending work. Normally this is quite fine, as work items either end up blocking (which will create a new worker for other items), or they complete fairly quickly. But syzbot reports an issue where io-wq takes seemingly forever to exit, and with a bit of debugging, this turns out to be because it queues a bunch of big (2GB - 4096b) reads with a /dev/msr* file. Since this file type doesn't support ->read_iter(), loop_rw_iter() ends up handling them. Each read returns 16MB of data read, which takes 20 (!!) seconds. With a bunch of these pending, processing the whole chain can take a long time. Easily longer than the syzbot uninterruptible sleep timeout of 140 seconds. This then triggers a complaint off the io-wq exit path: INFO: task syz.4.135:6326 blocked for more than 143 seconds. Not tainted syzkaller #0 Blocked by coredump. "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. task:syz.4.135 state:D stack:26824 pid:6326 tgid:6324 ppid:5957 task_flags:0x400548 flags:0x00080000 Call Trace: <TASK> context_switch kernel/sched/core.c:5256 [inline] __schedule+0x1139/0x6150 kernel/sched/core.c:6863 __schedule_loop kernel/sched/core.c:6945 [inline] schedule+0xe7/0x3a0 kernel/sched/core.c:6960 schedule_timeout+0x257/0x290 kernel/time/sleep_timeout.c:75 do_wait_for_common kernel/sched/completion.c:100 [inline] __wait_for_common+0x2fc/0x4e0 kernel/sched/completion.c:121 io_wq_exit_workers io_uring/io-wq.c:1328 [inline] io_wq_put_and_exit+0x271/0x8a0 io_uring/io-wq.c:1356 io_uring_clean_tctx+0x10d/0x190 io_uring/tctx.c:203 io_uring_cancel_generic+0x69c/0x9a0 io_uring/cancel.c:651 io_uring_files_cancel include/linux/io_uring.h:19 [inline] do_exit+0x2ce/0x2bd0 kernel/exit.c:911 do_group_exit+0xd3/0x2a0 kernel/exit.c:1112 get_signal+0x2671/0x26d0 kernel/signal.c:3034 arch_do_signal_or_restart+0x8f/0x7e0 arch/x86/kernel/signal.c:337 __exit_to_user_mode_loop kernel/entry/common.c:41 [inline] exit_to_user_mode_loop+0x8c/0x540 kernel/entry/common.c:75 __exit_to_user_mode_prepare include/linux/irq-entry-common.h:226 [inline] syscall_exit_to_user_mode_prepare include/linux/irq-entry-common.h:256 [inline] syscall_exit_to_user_mode_work include/linux/entry-common.h:159 [inline] syscall_exit_to_user_mode include/linux/entry-common.h:194 [inline] do_syscall_64+0x4ee/0xf80 arch/x86/entry/syscall_64.c:100 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fa02738f749 RSP: 002b:00007fa0281ae0e8 EFLAGS: 00000246 ORIG_RAX: 00000000000000ca RAX: fffffffffffffe00 RBX: 00007fa0275e6098 RCX: 00007fa02738f749 RDX: 0000000000000000 RSI: 0000000000000080 RDI: 00007fa0275e6098 RBP: 00007fa0275e6090 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 00007fa0275e6128 R14: 00007fff14e4fcb0 R15: 00007fff14e4fd98 There's really nothing wrong here, outside of processing these reads will take a LONG time. However, we can speed up the exit by checking the IO_WQ_BIT_EXIT inside the io_worker_handle_work() loop, as syzbot will exit the ring after queueing up all of these reads. Then once the first item is processed, io-wq will simply cancel the rest. That should avoid syzbot running into this complaint again. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pmdomain: imx8m-blk-ctrl: Remove separate rst and clk mask for 8mq vpu For i.MX8MQ platform, the ADB in the VPUMIX domain has no separate reset and clock enable bits, but is ungated and reset together with the VPUs. So we can't reset G1 or G2 separately, it may led to the system hang. Remove rst_mask and clk_mask of imx8mq_vpu_blk_ctl_domain_data. Let imx8mq_vpu_power_notifier() do really vpu reset. Уязвимость компонента drivers/pmdomain/imx/imx8m-blk-ctrl.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bonding: provide a net pointer to __skb_flow_dissect() After 3cbf4ffba5ee ("net: plumb network namespace into __skb_flow_dissect") we have to provide a net pointer to __skb_flow_dissect(), either via skb->dev, skb->sk, or a user provided pointer. In the following case, syzbot was able to cook a bare skb. WARNING: net/core/flow_dissector.c:1131 at __skb_flow_dissect+0xb57/0x68b0 net/core/flow_dissector.c:1131, CPU#1: syz.2.1418/11053 Call Trace: <TASK> bond_flow_dissect drivers/net/bonding/bond_main.c:4093 [inline] __bond_xmit_hash+0x2d7/0xba0 drivers/net/bonding/bond_main.c:4157 bond_xmit_hash_xdp drivers/net/bonding/bond_main.c:4208 [inline] bond_xdp_xmit_3ad_xor_slave_get drivers/net/bonding/bond_main.c:5139 [inline] bond_xdp_get_xmit_slave+0x1fd/0x710 drivers/net/bonding/bond_main.c:5515 xdp_master_redirect+0x13f/0x2c0 net/core/filter.c:4388 bpf_prog_run_xdp include/net/xdp.h:700 [inline] bpf_test_run+0x6b2/0x7d0 net/bpf/test_run.c:421 bpf_prog_test_run_xdp+0x795/0x10e0 net/bpf/test_run.c:1390 bpf_prog_test_run+0x2c7/0x340 kernel/bpf/syscall.c:4703 __sys_bpf+0x562/0x860 kernel/bpf/syscall.c:6182 __do_sys_bpf kernel/bpf/syscall.c:6274 [inline] __se_sys_bpf kernel/bpf/syscall.c:6272 [inline] __x64_sys_bpf+0x7c/0x90 kernel/bpf/syscall.c:6272 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xec/0xf80 arch/x86/entry/syscall_64.c:94 Уязвимость компонента drivers/net/bonding/bond_main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: l2tp: avoid one data-race in l2tp_tunnel_del_work() We should read sk->sk_socket only when dealing with kernel sockets. syzbot reported the following data-race: BUG: KCSAN: data-race in l2tp_tunnel_del_work / sk_common_release write to 0xffff88811c182b20 of 8 bytes by task 5365 on cpu 0: sk_set_socket include/net/sock.h:2092 [inline] sock_orphan include/net/sock.h:2118 [inline] sk_common_release+0xae/0x230 net/core/sock.c:4003 udp_lib_close+0x15/0x20 include/net/udp.h:325 inet_release+0xce/0xf0 net/ipv4/af_inet.c:437 __sock_release net/socket.c:662 [inline] sock_close+0x6b/0x150 net/socket.c:1455 __fput+0x29b/0x650 fs/file_table.c:468 ____fput+0x1c/0x30 fs/file_table.c:496 task_work_run+0x131/0x1a0 kernel/task_work.c:233 resume_user_mode_work include/linux/resume_user_mode.h:50 [inline] __exit_to_user_mode_loop kernel/entry/common.c:44 [inline] exit_to_user_mode_loop+0x1fe/0x740 kernel/entry/common.c:75 __exit_to_user_mode_prepare include/linux/irq-entry-common.h:226 [inline] syscall_exit_to_user_mode_prepare include/linux/irq-entry-common.h:256 [inline] syscall_exit_to_user_mode_work include/linux/entry-common.h:159 [inline] syscall_exit_to_user_mode include/linux/entry-common.h:194 [inline] do_syscall_64+0x1e1/0x2b0 arch/x86/entry/syscall_64.c:100 entry_SYSCALL_64_after_hwframe+0x77/0x7f read to 0xffff88811c182b20 of 8 bytes by task 827 on cpu 1: l2tp_tunnel_del_work+0x2f/0x1a0 net/l2tp/l2tp_core.c:1418 process_one_work kernel/workqueue.c:3257 [inline] process_scheduled_works+0x4ce/0x9d0 kernel/workqueue.c:3340 worker_thread+0x582/0x770 kernel/workqueue.c:3421 kthread+0x489/0x510 kernel/kthread.c:463 ret_from_fork+0x149/0x290 arch/x86/kernel/process.c:158 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:246 value changed: 0xffff88811b818000 -> 0x0000000000000000 Уязвимость компонента net/l2tp/l2tp_core.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mISDN: annotate data-race around dev->work dev->work can re read locklessly in mISDN_read() and mISDN_poll(). Add READ_ONCE()/WRITE_ONCE() annotations. BUG: KCSAN: data-race in mISDN_ioctl / mISDN_read write to 0xffff88812d848280 of 4 bytes by task 10864 on cpu 1: misdn_add_timer drivers/isdn/mISDN/timerdev.c:175 [inline] mISDN_ioctl+0x2fb/0x550 drivers/isdn/mISDN/timerdev.c:233 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:597 [inline] __se_sys_ioctl+0xce/0x140 fs/ioctl.c:583 __x64_sys_ioctl+0x43/0x50 fs/ioctl.c:583 x64_sys_call+0x14b0/0x3000 arch/x86/include/generated/asm/syscalls_64.h:17 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd8/0x2c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f read to 0xffff88812d848280 of 4 bytes by task 10857 on cpu 0: mISDN_read+0x1f2/0x470 drivers/isdn/mISDN/timerdev.c:112 do_loop_readv_writev fs/read_write.c:847 [inline] vfs_readv+0x3fb/0x690 fs/read_write.c:1020 do_readv+0xe7/0x210 fs/read_write.c:1080 __do_sys_readv fs/read_write.c:1165 [inline] __se_sys_readv fs/read_write.c:1162 [inline] __x64_sys_readv+0x45/0x50 fs/read_write.c:1162 x64_sys_call+0x2831/0x3000 arch/x86/include/generated/asm/syscalls_64.h:20 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xd8/0x2c0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f value changed: 0x00000000 -> 0x00000001 Уязвимость компонента drivers/isdn/mISDN/timerdev.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: interconnect: debugfs: initialize src_node and dst_node to empty strings The debugfs_create_str() API assumes that the string pointer is either NULL or points to valid kmalloc() memory. Leaving the pointer uninitialized can cause problems. Initialize src_node and dst_node to empty strings before creating the debugfs entries to guarantee that reads and writes are safe. Уязвимость компонента drivers/interconnect/debugfs-client.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: annotate data-race in ndisc_router_discovery() syzbot found that ndisc_router_discovery() could read and write in6_dev->ra_mtu without holding a lock [1] This looks fine, IFLA_INET6_RA_MTU is best effort. Add READ_ONCE()/WRITE_ONCE() to document the race. Note that we might also reject illegal MTU values (mtu < IPV6_MIN_MTU || mtu > skb->dev->mtu) in a future patch. [1] BUG: KCSAN: data-race in ndisc_router_discovery / ndisc_router_discovery read to 0xffff888119809c20 of 4 bytes by task 25817 on cpu 1: ndisc_router_discovery+0x151d/0x1c90 net/ipv6/ndisc.c:1558 ndisc_rcv+0x2ad/0x3d0 net/ipv6/ndisc.c:1841 icmpv6_rcv+0xe5a/0x12f0 net/ipv6/icmp.c:989 ip6_protocol_deliver_rcu+0xb2a/0x10d0 net/ipv6/ip6_input.c:438 ip6_input_finish+0xf0/0x1d0 net/ipv6/ip6_input.c:489 NF_HOOK include/linux/netfilter.h:318 [inline] ip6_input+0x5e/0x140 net/ipv6/ip6_input.c:500 ip6_mc_input+0x27c/0x470 net/ipv6/ip6_input.c:590 dst_input include/net/dst.h:474 [inline] ip6_rcv_finish+0x336/0x340 net/ipv6/ip6_input.c:79 ... write to 0xffff888119809c20 of 4 bytes by task 25816 on cpu 0: ndisc_router_discovery+0x155a/0x1c90 net/ipv6/ndisc.c:1559 ndisc_rcv+0x2ad/0x3d0 net/ipv6/ndisc.c:1841 icmpv6_rcv+0xe5a/0x12f0 net/ipv6/icmp.c:989 ip6_protocol_deliver_rcu+0xb2a/0x10d0 net/ipv6/ip6_input.c:438 ip6_input_finish+0xf0/0x1d0 net/ipv6/ip6_input.c:489 NF_HOOK include/linux/netfilter.h:318 [inline] ip6_input+0x5e/0x140 net/ipv6/ip6_input.c:500 ip6_mc_input+0x27c/0x470 net/ipv6/ip6_input.c:590 dst_input include/net/dst.h:474 [inline] ip6_rcv_finish+0x336/0x340 net/ipv6/ip6_input.c:79 ... value changed: 0x00000000 -> 0xe5400659 Уязвимость компонента net/ipv6/ndisc.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sctp: move SCTP_CMD_ASSOC_SHKEY right after SCTP_CMD_PEER_INIT A null-ptr-deref was reported in the SCTP transmit path when SCTP-AUTH key initialization fails: ================================================================== KASAN: null-ptr-deref in range [0x0000000000000018-0x000000000000001f] CPU: 0 PID: 16 Comm: ksoftirqd/0 Tainted: G W 6.6.0 #2 RIP: 0010:sctp_packet_bundle_auth net/sctp/output.c:264 [inline] RIP: 0010:sctp_packet_append_chunk+0xb36/0x1260 net/sctp/output.c:401 Call Trace: sctp_packet_transmit_chunk+0x31/0x250 net/sctp/output.c:189 sctp_outq_flush_data+0xa29/0x26d0 net/sctp/outqueue.c:1111 sctp_outq_flush+0xc80/0x1240 net/sctp/outqueue.c:1217 sctp_cmd_interpreter.isra.0+0x19a5/0x62c0 net/sctp/sm_sideeffect.c:1787 sctp_side_effects net/sctp/sm_sideeffect.c:1198 [inline] sctp_do_sm+0x1a3/0x670 net/sctp/sm_sideeffect.c:1169 sctp_assoc_bh_rcv+0x33e/0x640 net/sctp/associola.c:1052 sctp_inq_push+0x1dd/0x280 net/sctp/inqueue.c:88 sctp_rcv+0x11ae/0x3100 net/sctp/input.c:243 sctp6_rcv+0x3d/0x60 net/sctp/ipv6.c:1127 The issue is triggered when sctp_auth_asoc_init_active_key() fails in sctp_sf_do_5_1C_ack() while processing an INIT_ACK. In this case, the command sequence is currently: - SCTP_CMD_PEER_INIT - SCTP_CMD_TIMER_STOP (T1_INIT) - SCTP_CMD_TIMER_START (T1_COOKIE) - SCTP_CMD_NEW_STATE (COOKIE_ECHOED) - SCTP_CMD_ASSOC_SHKEY - SCTP_CMD_GEN_COOKIE_ECHO If SCTP_CMD_ASSOC_SHKEY fails, asoc->shkey remains NULL, while asoc->peer.auth_capable and asoc->peer.peer_chunks have already been set by SCTP_CMD_PEER_INIT. This allows a DATA chunk with auth = 1 and shkey = NULL to be queued by sctp_datamsg_from_user(). Since command interpretation stops on failure, no COOKIE_ECHO should been sent via SCTP_CMD_GEN_COOKIE_ECHO. However, the T1_COOKIE timer has already been started, and it may enqueue a COOKIE_ECHO into the outqueue later. As a result, the DATA chunk can be transmitted together with the COOKIE_ECHO in sctp_outq_flush_data(), leading to the observed issue. Similar to the other places where it calls sctp_auth_asoc_init_active_key() right after sctp_process_init(), this patch moves the SCTP_CMD_ASSOC_SHKEY immediately after SCTP_CMD_PEER_INIT, before stopping T1_INIT and starting T1_COOKIE. This ensures that if shared key generation fails, authenticated DATA cannot be sent. It also allows the T1_INIT timer to retransmit INIT, giving the client another chance to process INIT_ACK and retry key setup. Уязвимость компонента net/sctp/sm_statefuns.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netdevsim: fix a race issue related to the operation on bpf_bound_progs list The netdevsim driver lacks a protection mechanism for operations on the bpf_bound_progs list. When the nsim_bpf_create_prog() performs list_add_tail, it is possible that nsim_bpf_destroy_prog() is simultaneously performs list_del. Concurrent operations on the list may lead to list corruption and trigger a kernel crash as follows: [ 417.290971] kernel BUG at lib/list_debug.c:62! [ 417.290983] invalid opcode: 0000 [#1] PREEMPT SMP NOPTI [ 417.290992] CPU: 10 PID: 168 Comm: kworker/10:1 Kdump: loaded Not tainted 6.19.0-rc5 #1 [ 417.291003] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 417.291007] Workqueue: events bpf_prog_free_deferred [ 417.291021] RIP: 0010:__list_del_entry_valid_or_report+0xa7/0xc0 [ 417.291034] Code: a8 ff 0f 0b 48 89 fe 48 89 ca 48 c7 c7 48 a1 eb ae e8 ed fb a8 ff 0f 0b 48 89 fe 48 89 c2 48 c7 c7 80 a1 eb ae e8 d9 fb a8 ff <0f> 0b 48 89 d1 48 c7 c7 d0 a1 eb ae 48 89 f2 48 89 c6 e8 c2 fb a8 [ 417.291040] RSP: 0018:ffffb16a40807df8 EFLAGS: 00010246 [ 417.291046] RAX: 000000000000006d RBX: ffff8e589866f500 RCX: 0000000000000000 [ 417.291051] RDX: 0000000000000000 RSI: ffff8e59f7b23180 RDI: ffff8e59f7b23180 [ 417.291055] RBP: ffffb16a412c9000 R08: 0000000000000000 R09: 0000000000000003 [ 417.291059] R10: ffffb16a40807c80 R11: ffffffffaf9edce8 R12: ffff8e594427ac20 [ 417.291063] R13: ffff8e59f7b44780 R14: ffff8e58800b7a05 R15: 0000000000000000 [ 417.291074] FS: 0000000000000000(0000) GS:ffff8e59f7b00000(0000) knlGS:0000000000000000 [ 417.291079] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 417.291083] CR2: 00007fc4083efe08 CR3: 00000001c3626006 CR4: 0000000000770ee0 [ 417.291088] PKRU: 55555554 [ 417.291091] Call Trace: [ 417.291096] <TASK> [ 417.291103] nsim_bpf_destroy_prog+0x31/0x80 [netdevsim] [ 417.291154] __bpf_prog_offload_destroy+0x2a/0x80 [ 417.291163] bpf_prog_dev_bound_destroy+0x6f/0xb0 [ 417.291171] bpf_prog_free_deferred+0x18e/0x1a0 [ 417.291178] process_one_work+0x18a/0x3a0 [ 417.291188] worker_thread+0x27b/0x3a0 [ 417.291197] ? __pfx_worker_thread+0x10/0x10 [ 417.291207] kthread+0xe5/0x120 [ 417.291214] ? __pfx_kthread+0x10/0x10 [ 417.291221] ret_from_fork+0x31/0x50 [ 417.291230] ? __pfx_kthread+0x10/0x10 [ 417.291236] ret_from_fork_asm+0x1a/0x30 [ 417.291246] </TASK> Add a mutex lock, to prevent simultaneous addition and deletion operations on the list. Уязвимость компонентов netdevsim ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arm64: Set __nocfi on swsusp_arch_resume() A DABT is reported[1] on an android based system when resume from hiberate. This happens because swsusp_arch_suspend_exit() is marked with SYM_CODE_*() and does not have a CFI hash, but swsusp_arch_resume() will attempt to verify the CFI hash when calling a copy of swsusp_arch_suspend_exit(). Given that there's an existing requirement that the entrypoint to swsusp_arch_suspend_exit() is the first byte of the .hibernate_exit.text section, we cannot fix this by marking swsusp_arch_suspend_exit() with SYM_FUNC_*(). The simplest fix for now is to disable the CFI check in swsusp_arch_resume(). Mark swsusp_arch_resume() as __nocfi to disable the CFI check. [1] [ 22.991934][ T1] Unable to handle kernel paging request at virtual address 0000000109170ffc [ 22.991934][ T1] Mem abort info: [ 22.991934][ T1] ESR = 0x0000000096000007 [ 22.991934][ T1] EC = 0x25: DABT (current EL), IL = 32 bits [ 22.991934][ T1] SET = 0, FnV = 0 [ 22.991934][ T1] EA = 0, S1PTW = 0 [ 22.991934][ T1] FSC = 0x07: level 3 translation fault [ 22.991934][ T1] Data abort info: [ 22.991934][ T1] ISV = 0, ISS = 0x00000007, ISS2 = 0x00000000 [ 22.991934][ T1] CM = 0, WnR = 0, TnD = 0, TagAccess = 0 [ 22.991934][ T1] GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 [ 22.991934][ T1] [0000000109170ffc] user address but active_mm is swapper [ 22.991934][ T1] Internal error: Oops: 0000000096000007 [#1] PREEMPT SMP [ 22.991934][ T1] Dumping ftrace buffer: [ 22.991934][ T1] (ftrace buffer empty) [ 22.991934][ T1] Modules linked in: [ 22.991934][ T1] CPU: 0 PID: 1 Comm: swapper/0 Not tainted 6.6.98-android15-8-g0b1d2aee7fc3-dirty-4k #1 688c7060a825a3ac418fe53881730b355915a419 [ 22.991934][ T1] Hardware name: Unisoc UMS9360-base Board (DT) [ 22.991934][ T1] pstate: 804000c5 (Nzcv daIF +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 22.991934][ T1] pc : swsusp_arch_resume+0x2ac/0x344 [ 22.991934][ T1] lr : swsusp_arch_resume+0x294/0x344 [ 22.991934][ T1] sp : ffffffc08006b960 [ 22.991934][ T1] x29: ffffffc08006b9c0 x28: 0000000000000000 x27: 0000000000000000 [ 22.991934][ T1] x26: 0000000000000000 x25: 0000000000000000 x24: 0000000000000820 [ 22.991934][ T1] x23: ffffffd0817e3000 x22: ffffffd0817e3000 x21: 0000000000000000 [ 22.991934][ T1] x20: ffffff8089171000 x19: ffffffd08252c8c8 x18: ffffffc080061058 [ 22.991934][ T1] x17: 00000000529c6ef0 x16: 00000000529c6ef0 x15: 0000000000000004 [ 22.991934][ T1] x14: ffffff8178c88000 x13: 0000000000000006 x12: 0000000000000000 [ 22.991934][ T1] x11: 0000000000000015 x10: 0000000000000001 x9 : ffffffd082533000 [ 22.991934][ T1] x8 : 0000000109171000 x7 : 205b5d3433393139 x6 : 392e32322020205b [ 22.991934][ T1] x5 : 000000010916f000 x4 : 000000008164b000 x3 : ffffff808a4e0530 [ 22.991934][ T1] x2 : ffffffd08058e784 x1 : 0000000082326000 x0 : 000000010a283000 [ 22.991934][ T1] Call trace: [ 22.991934][ T1] swsusp_arch_resume+0x2ac/0x344 [ 22.991934][ T1] hibernation_restore+0x158/0x18c [ 22.991934][ T1] load_image_and_restore+0xb0/0xec [ 22.991934][ T1] software_resume+0xf4/0x19c [ 22.991934][ T1] software_resume_initcall+0x34/0x78 [ 22.991934][ T1] do_one_initcall+0xe8/0x370 [ 22.991934][ T1] do_initcall_level+0xc8/0x19c [ 22.991934][ T1] do_initcalls+0x70/0xc0 [ 22.991934][ T1] do_basic_setup+0x1c/0x28 [ 22.991934][ T1] kernel_init_freeable+0xe0/0x148 [ 22.991934][ T1] kernel_init+0x20/0x1a8 [ 22.991934][ T1] ret_from_fork+0x10/0x20 [ 22.991934][ T1] Code: a9400a61 f94013e0 f9438923 f9400a64 (b85fc110) [catalin.marinas@arm.com: commit log updated by Mark Rutland] Уязвимость компонента arch/arm64/kernel/hibernate.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dpll: Prevent duplicate registrations Modify the internal registration helpers dpll_xa_ref_{dpll,pin}_add() to reject duplicate registration attempts. Previously, if a caller attempted to register the same pin multiple times (with the same ops, priv, and cookie) on the same device, the core silently increments the reference count and return success. This behavior is incorrect because if the caller makes these duplicate registrations then for the first one dpll_pin_registration is allocated and for others the associated dpll_pin_ref.refcount is incremented. During the first unregistration the associated dpll_pin_registration is freed and for others WARN is fired. Fix this by updating the logic to return `-EEXIST` if a matching registration is found to enforce a strict "register once" policy. Уязвимость компонента drivers/dpll/dpll_core.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86: hp-bioscfg: Fix kobject warnings for empty attribute names The hp-bioscfg driver attempts to register kobjects with empty names when the HP BIOS returns attributes with empty name strings. This causes multiple kernel warnings: kobject: (00000000135fb5e6): attempted to be registered with empty name! WARNING: CPU: 14 PID: 3336 at lib/kobject.c:219 kobject_add_internal+0x2eb/0x310 Add validation in hp_init_bios_buffer_attribute() to check if the attribute name is empty after parsing it from the WMI buffer. If empty, log a debug message and skip registration of that attribute, allowing the module to continue processing other valid attributes. Уязвимость компонента drivers/platform/x86/hp/hp-bioscfg/bioscfg.c ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath10k: fix dma_free_coherent() pointer dma_alloc_coherent() allocates a DMA mapped buffer and stores the addresses in XXX_unaligned fields. Those should be reused when freeing the buffer rather than the aligned addresses. Уязвимость компонента drivers/net/wireless/ath/ath10k/ce.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: ath12k: fix dma_free_coherent() pointer dma_alloc_coherent() allocates a DMA mapped buffer and stores the addresses in XXX_unaligned fields. Those should be reused when freeing the buffer rather than the aligned addresses. Уязвимость компонента drivers/net/wireless/ath/ath12k/ce.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libceph: reset sparse-read state in osd_fault() When a fault occurs, the connection is abandoned, reestablished, and any pending operations are retried. The OSD client tracks the progress of a sparse-read reply using a separate state machine, largely independent of the messenger's state. If a connection is lost mid-payload or the sparse-read state machine returns an error, the sparse-read state is not reset. The OSD client will then interpret the beginning of a new reply as the continuation of the old one. If this makes the sparse-read machinery enter a failure state, it may never recover, producing loops like: libceph: [0] got 0 extents libceph: data len 142248331 != extent len 0 libceph: osd0 (1)...:6801 socket error on read libceph: data len 142248331 != extent len 0 libceph: osd0 (1)...:6801 socket error on read Therefore, reset the sparse-read state in osd_fault(), ensuring retries start from a clean state. Уязвимость компонента net/ceph/osd_client.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_conncount: update last_gc only when GC has been performed Currently last_gc is being updated everytime a new connection is tracked, that means that it is updated even if a GC wasn't performed. With a sufficiently high packet rate, it is possible to always bypass the GC, causing the list to grow infinitely. Update the last_gc value only when a GC has been actually performed. Уязвимость компонента netfilter ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf, test_run: Subtract size of xdp_frame from allowed metadata size The xdp_frame structure takes up part of the XDP frame headroom, limiting the size of the metadata. However, in bpf_test_run, we don't take this into account, which makes it possible for userspace to supply a metadata size that is too large (taking up the entire headroom). If userspace supplies such a large metadata size in live packet mode, the xdp_update_frame_from_buff() call in xdp_test_run_init_page() call will fail, after which packet transmission proceeds with an uninitialised frame structure, leading to the usual Bad Stuff. The commit in the Fixes tag fixed a related bug where the second check in xdp_update_frame_from_buff() could fail, but did not add any additional constraints on the metadata size. Complete the fix by adding an additional check on the metadata size. Reorder the checks slightly to make the logic clearer and add a comment. Уязвимость модуля net/bpf/test_run.c ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Для сокращения поверхности атаки с использованием уязвимости CVE-2026-23140 настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: `kernel.unprivileged_bpf_disabled=1` Сохраните файл. 2. Примените изменения: `sudo sysctl -p` 3. Проверьте текущее состояние sysctl: `cat /proc/sys/kernel/unprivileged_bpf_disabled` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: send: check for inline extents in range_is_hole_in_parent() Before accessing the disk_bytenr field of a file extent item we need to check if we are dealing with an inline extent. This is because for inline extents their data starts at the offset of the disk_bytenr field. So accessing the disk_bytenr means we are accessing inline data or in case the inline data is less than 8 bytes we can actually cause an invalid memory access if this inline extent item is the first item in the leaf or access metadata from other items. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/damon/sysfs-scheme: cleanup access_pattern subdirs on scheme dir setup failure When a DAMOS-scheme DAMON sysfs directory setup fails after setup of access_pattern/ directory, subdirectories of access_pattern/ directory are not cleaned up. As a result, DAMON sysfs interface is nearly broken until the system reboots, and the memory for the unremoved directory is leaked. Cleanup the directories under such failures. Уязвимость компонента sysfs-scheme ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/damon/sysfs: cleanup attrs subdirs on context dir setup failure When a context DAMON sysfs directory setup is failed after setup of attrs/ directory, subdirectories of attrs/ directory are not cleaned up. As a result, DAMON sysfs interface is nearly broken until the system reboots, and the memory for the unremoved directory is leaked. Cleanup the directories under such failures. Уязвимость компонентов sysfs ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: fix iloc.bh leak in ext4_xattr_inode_update_ref The error branch for ext4_xattr_inode_update_ref forget to release the refcount for iloc.bh. Find this when review code. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_uart: fix null-ptr-deref in hci_uart_write_work hci_uart_set_proto() sets HCI_UART_PROTO_INIT before calling hci_uart_register_dev(), which calls proto->open() to initialize hu->priv. However, if a TTY write wakeup occurs during this window, hci_uart_tx_wakeup() may schedule write_work before hu->priv is initialized, leading to a NULL pointer dereference in hci_uart_write_work() when proto->dequeue() accesses hu->priv. The race condition is: CPU0 CPU1 ---- ---- hci_uart_set_proto() set_bit(HCI_UART_PROTO_INIT) hci_uart_register_dev() tty write wakeup hci_uart_tty_wakeup() hci_uart_tx_wakeup() schedule_work(&hu->write_work) proto->open(hu) // initializes hu->priv hci_uart_write_work() hci_uart_dequeue() proto->dequeue(hu) // accesses hu->priv (NULL!) Fix this by moving set_bit(HCI_UART_PROTO_INIT) after proto->open() succeeds, ensuring hu->priv is initialized before any work can be scheduled. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvmet: fix race in nvmet_bio_done() leading to NULL pointer dereference There is a race condition in nvmet_bio_done() that can cause a NULL pointer dereference in blk_cgroup_bio_start(): 1. nvmet_bio_done() is called when a bio completes 2. nvmet_req_complete() is called, which invokes req->ops->queue_response(req) 3. The queue_response callback can re-queue and re-submit the same request 4. The re-submission reuses the same inline_bio from nvmet_req 5. Meanwhile, nvmet_req_bio_put() (called after nvmet_req_complete) invokes bio_uninit() for inline_bio, which sets bio->bi_blkg to NULL 6. The re-submitted bio enters submit_bio_noacct_nocheck() 7. blk_cgroup_bio_start() dereferences bio->bi_blkg, causing a crash: BUG: kernel NULL pointer dereference, address: 0000000000000028 #PF: supervisor read access in kernel mode RIP: 0010:blk_cgroup_bio_start+0x10/0xd0 Call Trace: submit_bio_noacct_nocheck+0x44/0x250 nvmet_bdev_execute_rw+0x254/0x370 [nvmet] process_one_work+0x193/0x3c0 worker_thread+0x281/0x3a0 Fix this by reordering nvmet_bio_done() to call nvmet_req_bio_put() BEFORE nvmet_req_complete(). This ensures the bio is cleaned up before the request can be re-submitted, preventing the race condition. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfc: llcp: Fix memleak in nfc_llcp_send_ui_frame(). syzbot reported various memory leaks related to NFC, struct nfc_llcp_sock, sk_buff, nfc_dev, etc. [0] The leading log hinted that nfc_llcp_send_ui_frame() failed to allocate skb due to sock_error(sk) being -ENXIO. ENXIO is set by nfc_llcp_socket_release() when struct nfc_llcp_local is destroyed by local_cleanup(). The problem is that there is no synchronisation between nfc_llcp_send_ui_frame() and local_cleanup(), and skb could be put into local->tx_queue after it was purged in local_cleanup(): CPU1 CPU2 ---- ---- nfc_llcp_send_ui_frame() local_cleanup() |- do { ' |- pdu = nfc_alloc_send_skb(..., &err) | . | |- nfc_llcp_socket_release(local, false, ENXIO); | |- skb_queue_purge(&local->tx_queue); | | ' | |- skb_queue_tail(&local->tx_queue, pdu); | ... | |- pdu = nfc_alloc_send_skb(..., &err) | ^._________________________________.' local_cleanup() is called for struct nfc_llcp_local only after nfc_llcp_remove_local() unlinks it from llcp_devices. If we hold local->tx_queue.lock then, we can synchronise the thread and nfc_llcp_send_ui_frame(). Let's do that and check list_empty(&local->list) before queuing skb to local->tx_queue in nfc_llcp_send_ui_frame(). [0]: [ 56.074943][ T6096] llcp: nfc_llcp_send_ui_frame: Could not allocate PDU (error=-6) [ 64.318868][ T5813] kmemleak: 6 new suspected memory leaks (see /sys/kernel/debug/kmemleak) BUG: memory leak unreferenced object 0xffff8881272f6800 (size 1024): comm "syz.0.17", pid 6096, jiffies 4294942766 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 27 00 03 40 00 00 00 00 00 00 00 00 00 00 00 00 '..@............ backtrace (crc da58d84d): kmemleak_alloc_recursive include/linux/kmemleak.h:44 [inline] slab_post_alloc_hook mm/slub.c:4979 [inline] slab_alloc_node mm/slub.c:5284 [inline] __do_kmalloc_node mm/slub.c:5645 [inline] __kmalloc_noprof+0x3e3/0x6b0 mm/slub.c:5658 kmalloc_noprof include/linux/slab.h:961 [inline] sk_prot_alloc+0x11a/0x1b0 net/core/sock.c:2239 sk_alloc+0x36/0x360 net/core/sock.c:2295 nfc_llcp_sock_alloc+0x37/0x130 net/nfc/llcp_sock.c:979 llcp_sock_create+0x71/0xd0 net/nfc/llcp_sock.c:1044 nfc_sock_create+0xc9/0xf0 net/nfc/af_nfc.c:31 __sock_create+0x1a9/0x340 net/socket.c:1605 sock_create net/socket.c:1663 [inline] __sys_socket_create net/socket.c:1700 [inline] __sys_socket+0xb9/0x1a0 net/socket.c:1747 __do_sys_socket net/socket.c:1761 [inline] __se_sys_socket net/socket.c:1759 [inline] __x64_sys_socket+0x1b/0x30 net/socket.c:1759 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xa4/0xfa0 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f BUG: memory leak unreferenced object 0xffff88810fbd9800 (size 240): comm "syz.0.17", pid 6096, jiffies 4294942850 hex dump (first 32 bytes): 68 f0 ff 08 81 88 ff ff 68 f0 ff 08 81 88 ff ff h.......h....... 00 00 00 00 00 00 00 00 00 68 2f 27 81 88 ff ff .........h/'.... backtrace (crc 6cc652b1): kmemleak_alloc_recursive include/linux/kmemleak.h:44 [inline] slab_post_alloc_hook mm/slub.c:4979 [inline] slab_alloc_node mm/slub.c:5284 [inline] kmem_cache_alloc_node_noprof+0x36f/0x5e0 mm/slub.c:5336 __alloc_skb+0x203/0x240 net/core/skbuff.c:660 alloc_skb include/linux/skbuff.h:1383 [inline] alloc_skb_with_frags+0x69/0x3f0 net/core/sk ---truncated--- Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: MGMT: Fix memory leak in set_ssp_complete Fix memory leak in set_ssp_complete() where mgmt_pending_cmd structures are not freed after being removed from the pending list. Commit 302a1f674c00 ("Bluetooth: MGMT: Fix possible UAFs") replaced mgmt_pending_foreach() calls with individual command handling but missed adding mgmt_pending_free() calls in both error and success paths of set_ssp_complete(). Other completion functions like set_le_complete() were fixed correctly in the same commit. This causes a memory leak of the mgmt_pending_cmd structure and its associated parameter data for each SSP command that completes. Add the missing mgmt_pending_free(cmd) calls in both code paths to fix the memory leak. Also fix the same issue in set_advertising_complete(). Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: efivarfs: fix error propagation in efivar_entry_get() efivar_entry_get() always returns success even if the underlying __efivar_entry_get() fails, masking errors. This may result in uninitialized heap memory being copied to userspace in the efivarfs_file_read() path. Fix it by returning the error from __efivar_entry_get(). Уязвимость ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gpio: virtuser: fix UAF in configfs release path The gpio-virtuser configfs release path uses guard(mutex) to protect the device structure. However, the device is freed before the guard cleanup runs, causing mutex_unlock() to operate on freed memory. Specifically, gpio_virtuser_device_config_group_release() destroys the mutex and frees the device while still inside the guard(mutex) scope. When the function returns, the guard cleanup invokes mutex_unlock(&dev->lock), resulting in a slab use-after-free. Limit the mutex lifetime by using a scoped_guard() only around the activation check, so that the lock is released before mutex_destroy() and kfree() are called. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf: sched: Fix perf crash with new is_user_task() helper In order to do a user space stacktrace the current task needs to be a user task that has executed in user space. It use to be possible to test if a task is a user task or not by simply checking the task_struct mm field. If it was non NULL, it was a user task and if not it was a kernel task. But things have changed over time, and some kernel tasks now have their own mm field. An idea was made to instead test PF_KTHREAD and two functions were used to wrap this check in case it became more complex to test if a task was a user task or not[1]. But this was rejected and the C code simply checked the PF_KTHREAD directly. It was later found that not all kernel threads set PF_KTHREAD. The io-uring helpers instead set PF_USER_WORKER and this needed to be added as well. But checking the flags is still not enough. There's a very small window when a task exits that it frees its mm field and it is set back to NULL. If perf were to trigger at this moment, the flags test would say its a user space task but when perf would read the mm field it would crash with at NULL pointer dereference. Now there are flags that can be used to test if a task is exiting, but they are set in areas that perf may still want to profile the user space task (to see where it exited). The only real test is to check both the flags and the mm field. Instead of making this modification in every location, create a new is_user_task() helper function that does all the tests needed to know if it is safe to read the user space memory or not. [1] https://lore.kernel.org/all/20250425204120.639530125@goodmis.org/ Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: octeon_ep: Fix memory leak in octep_device_setup() In octep_device_setup(), if octep_ctrl_net_init() fails, the function returns directly without unmapping the mapped resources and freeing the allocated configuration memory. Fix this by jumping to the unsupported_dev label, which performs the necessary cleanup. This aligns with the error handling logic of other paths in this function. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость компонента octeon_ep ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/shmem, swap: fix race of truncate and swap entry split The helper for shmem swap freeing is not handling the order of swap entries correctly. It uses xa_cmpxchg_irq to erase the swap entry, but it gets the entry order before that using xa_get_order without lock protection, and it may get an outdated order value if the entry is split or changed in other ways after the xa_get_order and before the xa_cmpxchg_irq. And besides, the order could grow and be larger than expected, and cause truncation to erase data beyond the end border. For example, if the target entry and following entries are swapped in or freed, then a large folio was added in place and swapped out, using the same entry, the xa_cmpxchg_irq will still succeed, it's very unlikely to happen though. To fix that, open code the Xarray cmpxchg and put the order retrieval and value checking in the same critical section. Also, ensure the order won't exceed the end border, skip it if the entry goes across the border. Skipping large swap entries crosses the end border is safe here. Shmem truncate iterates the range twice, in the first iteration, find_lock_entries already filtered such entries, and shmem will swapin the entries that cross the end border and partially truncate the folio (split the folio or at least zero part of it). So in the second loop here, if we see a swap entry that crosses the end order, it must at least have its content erased already. I observed random swapoff hangs and kernel panics when stress testing ZSWAP with shmem. After applying this patch, all problems are gone. Уязвимость компонента mm/shmem ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix NULL pointer dereference in amdgpu_gmc_filter_faults_remove On APUs such as Raven and Renoir (GC 9.1.0, 9.2.2, 9.3.0), the ih1 and ih2 interrupt ring buffers are not initialized. This is by design, as these secondary IH rings are only available on discrete GPUs. See vega10_ih_sw_init() which explicitly skips ih1/ih2 initialization when AMD_IS_APU is set. However, amdgpu_gmc_filter_faults_remove() unconditionally uses ih1 to get the timestamp of the last interrupt entry. When retry faults are enabled on APUs (noretry=0), this function is called from the SVM page fault recovery path, resulting in a NULL pointer dereference when amdgpu_ih_decode_iv_ts_helper() attempts to access ih->ring[]. The crash manifests as: BUG: kernel NULL pointer dereference, address: 0000000000000004 RIP: 0010:amdgpu_ih_decode_iv_ts_helper+0x22/0x40 [amdgpu] Call Trace: amdgpu_gmc_filter_faults_remove+0x60/0x130 [amdgpu] svm_range_restore_pages+0xae5/0x11c0 [amdgpu] amdgpu_vm_handle_fault+0xc8/0x340 [amdgpu] gmc_v9_0_process_interrupt+0x191/0x220 [amdgpu] amdgpu_irq_dispatch+0xed/0x2c0 [amdgpu] amdgpu_ih_process+0x84/0x100 [amdgpu] This issue was exposed by commit 1446226d32a4 ("drm/amdgpu: Remove GC HW IP 9.3.0 from noretry=1") which changed the default for Renoir APU from noretry=1 to noretry=0, enabling retry fault handling and thus exercising the buggy code path. Fix this by adding a check for ih1.ring_size before attempting to use it. Also restore the soft_ih support from commit dd299441654f ("drm/amdgpu: Rework retry fault removal"). This is needed if the hardware doesn't support secondary HW IH rings. v2: additional updates (Alex) (cherry picked from commit 6ce8d536c80aa1f059e82184f0d1994436b1d526) Уязвимость компонента amdgpu ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rocker: fix memory leak in rocker_world_port_post_fini() In rocker_world_port_pre_init(), rocker_port->wpriv is allocated with kzalloc(wops->port_priv_size, GFP_KERNEL). However, in rocker_world_port_post_fini(), the memory is only freed when wops->port_post_fini callback is set: if (!wops->port_post_fini) return; wops->port_post_fini(rocker_port); kfree(rocker_port->wpriv); Since rocker_ofdpa_ops does not implement port_post_fini callback (it is NULL), the wpriv memory allocated for each port is never freed when ports are removed. This leads to a memory leak of sizeof(struct ofdpa_port) bytes per port on every device removal. Fix this by always calling kfree(rocker_port->wpriv) regardless of whether the port_post_fini callback exists. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ice: Fix NULL pointer dereference in ice_vsi_set_napi_queues Add NULL pointer checks in ice_vsi_set_napi_queues() to prevent crashes during resume from suspend when rings[q_idx]->q_vector is NULL. Tested adaptor: 60:00.0 Ethernet controller [0200]: Intel Corporation Ethernet Controller E810-XXV for SFP [8086:159b] (rev 02) Subsystem: Intel Corporation Ethernet Network Adapter E810-XXV-2 [8086:4003] SR-IOV state: both disabled and enabled can reproduce this issue. kernel version: v6.18 Reproduce steps: Boot up and execute suspend like systemctl suspend or rtcwake. Log: <1>[ 231.443607] BUG: kernel NULL pointer dereference, address: 0000000000000040 <1>[ 231.444052] #PF: supervisor read access in kernel mode <1>[ 231.444484] #PF: error_code(0x0000) - not-present page <6>[ 231.444913] PGD 0 P4D 0 <4>[ 231.445342] Oops: Oops: 0000 [#1] SMP NOPTI <4>[ 231.446635] RIP: 0010:netif_queue_set_napi+0xa/0x170 <4>[ 231.447067] Code: 31 f6 31 ff c3 cc cc cc cc 0f 1f 80 00 00 00 00 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 90 0f 1f 44 00 00 48 85 c9 74 0b <48> 83 79 30 00 0f 84 39 01 00 00 55 41 89 d1 49 89 f8 89 f2 48 89 <4>[ 231.447513] RSP: 0018:ffffcc780fc078c0 EFLAGS: 00010202 <4>[ 231.447961] RAX: ffff8b848ca30400 RBX: ffff8b848caf2028 RCX: 0000000000000010 <4>[ 231.448443] RDX: 0000000000000000 RSI: 0000000000000000 RDI: ffff8b848dbd4000 <4>[ 231.448896] RBP: ffffcc780fc078e8 R08: 0000000000000000 R09: 0000000000000000 <4>[ 231.449345] R10: 0000000000000000 R11: 0000000000000000 R12: 0000000000000001 <4>[ 231.449817] R13: ffff8b848dbd4000 R14: ffff8b84833390c8 R15: 0000000000000000 <4>[ 231.450265] FS: 00007c7b29e9d740(0000) GS:ffff8b8c068e2000(0000) knlGS:0000000000000000 <4>[ 231.450715] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 <4>[ 231.451179] CR2: 0000000000000040 CR3: 000000030626f004 CR4: 0000000000f72ef0 <4>[ 231.451629] PKRU: 55555554 <4>[ 231.452076] Call Trace: <4>[ 231.452549] <TASK> <4>[ 231.452996] ? ice_vsi_set_napi_queues+0x4d/0x110 [ice] <4>[ 231.453482] ice_resume+0xfd/0x220 [ice] <4>[ 231.453977] ? __pfx_pci_pm_resume+0x10/0x10 <4>[ 231.454425] pci_pm_resume+0x8c/0x140 <4>[ 231.454872] ? __pfx_pci_pm_resume+0x10/0x10 <4>[ 231.455347] dpm_run_callback+0x5f/0x160 <4>[ 231.455796] ? dpm_wait_for_superior+0x107/0x170 <4>[ 231.456244] device_resume+0x177/0x270 <4>[ 231.456708] dpm_resume+0x209/0x2f0 <4>[ 231.457151] dpm_resume_end+0x15/0x30 <4>[ 231.457596] suspend_devices_and_enter+0x1da/0x2b0 <4>[ 231.458054] enter_state+0x10e/0x570 Add defensive checks for both the ring pointer and its q_vector before dereferencing, allowing the system to resume successfully even when q_vectors are unmapped. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfc: nci: Fix race between rfkill and nci_unregister_device(). syzbot reported the splat below [0] without a repro. It indicates that struct nci_dev.cmd_wq had been destroyed before nci_close_device() was called via rfkill. nci_dev.cmd_wq is only destroyed in nci_unregister_device(), which (I think) was called from virtual_ncidev_close() when syzbot close()d an fd of virtual_ncidev. The problem is that nci_unregister_device() destroys nci_dev.cmd_wq first and then calls nfc_unregister_device(), which removes the device from rfkill by rfkill_unregister(). So, the device is still visible via rfkill even after nci_dev.cmd_wq is destroyed. Let's unregister the device from rfkill first in nci_unregister_device(). Note that we cannot call nfc_unregister_device() before nci_close_device() because 1) nfc_unregister_device() calls device_del() which frees all memory allocated by devm_kzalloc() and linked to ndev->conn_info_list 2) nci_rx_work() could try to queue nci_conn_info to ndev->conn_info_list which could be leaked Thus, nfc_unregister_device() is split into two functions so we can remove rfkill interfaces only before nci_close_device(). [0]: DEBUG_LOCKS_WARN_ON(1) WARNING: kernel/locking/lockdep.c:238 at hlock_class kernel/locking/lockdep.c:238 [inline], CPU#0: syz.0.8675/6349 WARNING: kernel/locking/lockdep.c:238 at check_wait_context kernel/locking/lockdep.c:4854 [inline], CPU#0: syz.0.8675/6349 WARNING: kernel/locking/lockdep.c:238 at __lock_acquire+0x39d/0x2cf0 kernel/locking/lockdep.c:5187, CPU#0: syz.0.8675/6349 Modules linked in: CPU: 0 UID: 0 PID: 6349 Comm: syz.0.8675 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 01/13/2026 RIP: 0010:hlock_class kernel/locking/lockdep.c:238 [inline] RIP: 0010:check_wait_context kernel/locking/lockdep.c:4854 [inline] RIP: 0010:__lock_acquire+0x3a4/0x2cf0 kernel/locking/lockdep.c:5187 Code: 18 00 4c 8b 74 24 08 75 27 90 e8 17 f2 fc 02 85 c0 74 1c 83 3d 50 e0 4e 0e 00 75 13 48 8d 3d 43 f7 51 0e 48 c7 c6 8b 3a de 8d <67> 48 0f b9 3a 90 31 c0 0f b6 98 c4 00 00 00 41 8b 45 20 25 ff 1f RSP: 0018:ffffc9000c767680 EFLAGS: 00010046 RAX: 0000000000000001 RBX: 0000000000040000 RCX: 0000000000080000 RDX: ffffc90013080000 RSI: ffffffff8dde3a8b RDI: ffffffff8ff24ca0 RBP: 0000000000000003 R08: ffffffff8fef35a3 R09: 1ffffffff1fde6b4 R10: dffffc0000000000 R11: fffffbfff1fde6b5 R12: 00000000000012a2 R13: ffff888030338ba8 R14: ffff888030338000 R15: ffff888030338b30 FS: 00007fa5995f66c0(0000) GS:ffff8881256f8000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f7e72f842d0 CR3: 00000000485a0000 CR4: 00000000003526f0 Call Trace: <TASK> lock_acquire+0x106/0x330 kernel/locking/lockdep.c:5868 touch_wq_lockdep_map+0xcb/0x180 kernel/workqueue.c:3940 __flush_workqueue+0x14b/0x14f0 kernel/workqueue.c:3982 nci_close_device+0x302/0x630 net/nfc/nci/core.c:567 nci_dev_down+0x3b/0x50 net/nfc/nci/core.c:639 nfc_dev_down+0x152/0x290 net/nfc/core.c:161 nfc_rfkill_set_block+0x2d/0x100 net/nfc/core.c:179 rfkill_set_block+0x1d2/0x440 net/rfkill/core.c:346 rfkill_fop_write+0x461/0x5a0 net/rfkill/core.c:1301 vfs_write+0x29a/0xb90 fs/read_write.c:684 ksys_write+0x150/0x270 fs/read_write.c:738 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xe2/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fa59b39acb9 Code: ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 44 00 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 e8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007fa5995f6028 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 00007fa59b615fa0 RCX: 00007fa59b39acb9 RDX: 0000000000000008 RSI: 0000200000000080 RDI: 0000000000000007 RBP: 00007fa59b408bf7 R08: ---truncated--- Уязвимость ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: flex_proportions: make fprop_new_period() hardirq safe Bernd has reported a lockdep splat from flexible proportions code that is essentially complaining about the following race: <timer fires> run_timer_softirq - we are in softirq context call_timer_fn writeout_period fprop_new_period write_seqcount_begin(&p->sequence); <hardirq is raised> ... blk_mq_end_request() blk_update_request() ext4_end_bio() folio_end_writeback() __wb_writeout_add() __fprop_add_percpu_max() if (unlikely(max_frac < FPROP_FRAC_BASE)) { fprop_fraction_percpu() seq = read_seqcount_begin(&p->sequence); - sees odd sequence so loops indefinitely Note that a deadlock like this is only possible if the bdi has configured maximum fraction of writeout throughput which is very rare in general but frequent for example for FUSE bdis. To fix this problem we have to make sure write section of the sequence counter is irqsafe. Уязвимость ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mptcp: fix race in mptcp_pm_nl_flush_addrs_doit() syzbot and Eulgyu Kim reported crashes in mptcp_pm_nl_get_local_id() and/or mptcp_pm_nl_is_backup() Root cause is list_splice_init() in mptcp_pm_nl_flush_addrs_doit() which is not RCU ready. list_splice_init_rcu() can not be called here while holding pernet->lock spinlock. Many thanks to Eulgyu Kim for providing a repro and testing our patches. Уязвимость компонента net/mptcp/pm_kernel.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/imx/tve: fix probe device leak Make sure to drop the reference taken to the DDC device during probe on probe failure (e.g. probe deferral) and on driver unbind. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: wwan: t7xx: fix potential skb->frags overflow in RX path When receiving data in the DPMAIF RX path, the t7xx_dpmaif_set_frag_to_skb() function adds page fragments to an skb without checking if the number of fragments has exceeded MAX_SKB_FRAGS. This could lead to a buffer overflow in skb_shinfo(skb)->frags[] array, corrupting adjacent memory and potentially causing kernel crashes or other undefined behavior. This issue was identified through static code analysis by comparing with a similar vulnerability fixed in the mt76 driver commit b102f0c522cf ("mt76: fix array overflow on receiving too many fragments for a packet"). The vulnerability could be triggered if the modem firmware sends packets with excessive fragments. While under normal protocol conditions (MTU 3080 bytes, BAT buffer 3584 bytes), a single packet should not require additional fragments, the kernel should not blindly trust firmware behavior. Malicious, buggy, or compromised firmware could potentially craft packets with more fragments than the kernel expects. Fix this by adding a bounds check before calling skb_add_rx_frag() to ensure nr_frags does not exceed MAX_SKB_FRAGS. The check must be performed before unmapping to avoid a page leak and double DMA unmap during device teardown. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: TC, delete flows only for existing peers When deleting TC steering flows, iterate only over actual devcom peers instead of assuming all possible ports exist. This avoids touching non-existent peers and ensures cleanup is limited to devices the driver is currently connected to. BUG: kernel NULL pointer dereference, address: 0000000000000008 #PF: supervisor write access in kernel mode #PF: error_code(0x0002) - not-present page PGD 133c8a067 P4D 0 Oops: Oops: 0002 [#1] SMP CPU: 19 UID: 0 PID: 2169 Comm: tc Not tainted 6.18.0+ #156 NONE Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:mlx5e_tc_del_fdb_peers_flow+0xbe/0x200 [mlx5_core] Code: 00 00 a8 08 74 a8 49 8b 46 18 f6 c4 02 74 9f 4c 8d bf a0 12 00 00 4c 89 ff e8 0e e7 96 e1 49 8b 44 24 08 49 8b 0c 24 4c 89 ff <48> 89 41 08 48 89 08 49 89 2c 24 49 89 5c 24 08 e8 7d ce 96 e1 49 RSP: 0018:ff11000143867528 EFLAGS: 00010246 RAX: 0000000000000000 RBX: dead000000000122 RCX: 0000000000000000 RDX: ff11000143691580 RSI: ff110001026e5000 RDI: ff11000106f3d2a0 RBP: dead000000000100 R08: 00000000000003fd R09: 0000000000000002 R10: ff11000101c75690 R11: ff1100085faea178 R12: ff11000115f0ae78 R13: 0000000000000000 R14: ff11000115f0a800 R15: ff11000106f3d2a0 FS: 00007f35236bf740(0000) GS:ff110008dc809000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000008 CR3: 0000000157a01001 CR4: 0000000000373eb0 Call Trace: <TASK> mlx5e_tc_del_flow+0x46/0x270 [mlx5_core] mlx5e_flow_put+0x25/0x50 [mlx5_core] mlx5e_delete_flower+0x2a6/0x3e0 [mlx5_core] tc_setup_cb_reoffload+0x20/0x80 fl_reoffload+0x26f/0x2f0 [cls_flower] ? mlx5e_tc_reoffload_flows_work+0xc0/0xc0 [mlx5_core] ? mlx5e_tc_reoffload_flows_work+0xc0/0xc0 [mlx5_core] tcf_block_playback_offloads+0x9e/0x1c0 tcf_block_unbind+0x7b/0xd0 tcf_block_setup+0x186/0x1d0 tcf_block_offload_cmd.isra.0+0xef/0x130 tcf_block_offload_unbind+0x43/0x70 __tcf_block_put+0x85/0x160 ingress_destroy+0x32/0x110 [sch_ingress] __qdisc_destroy+0x44/0x100 qdisc_graft+0x22b/0x610 tc_get_qdisc+0x183/0x4d0 rtnetlink_rcv_msg+0x2d7/0x3d0 ? rtnl_calcit.isra.0+0x100/0x100 netlink_rcv_skb+0x53/0x100 netlink_unicast+0x249/0x320 ? __alloc_skb+0x102/0x1f0 netlink_sendmsg+0x1e3/0x420 __sock_sendmsg+0x38/0x60 ____sys_sendmsg+0x1ef/0x230 ? copy_msghdr_from_user+0x6c/0xa0 ___sys_sendmsg+0x7f/0xc0 ? ___sys_recvmsg+0x8a/0xc0 ? __sys_sendto+0x119/0x180 __sys_sendmsg+0x61/0xb0 do_syscall_64+0x55/0x640 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x7f35238bb764 Code: 15 b9 86 0c 00 f7 d8 64 89 02 b8 ff ff ff ff eb bf 0f 1f 44 00 00 f3 0f 1e fa 80 3d e5 08 0d 00 00 74 13 b8 2e 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 4c c3 0f 1f 00 55 48 89 e5 48 83 ec 20 89 55 RSP: 002b:00007ffed4c35638 EFLAGS: 00000202 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 000055a2efcc75e0 RCX: 00007f35238bb764 RDX: 0000000000000000 RSI: 00007ffed4c356a0 RDI: 0000000000000003 RBP: 00007ffed4c35710 R08: 0000000000000010 R09: 00007f3523984b20 R10: 0000000000000004 R11: 0000000000000202 R12: 00007ffed4c35790 R13: 000000006947df8f R14: 000055a2efcc75e0 R15: 00007ffed4c35780 Уязвимость компонента net/mlx5e ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86: toshiba_haps: Fix memory leaks in add/remove routines toshiba_haps_add() leaks the haps object allocated by it if it returns an error after allocating that object successfully. toshiba_haps_remove() does not free the object pointed to by toshiba_haps before clearing that pointer, so it becomes unreachable allocated memory. Address these memory leaks by using devm_kzalloc() for allocating the memory in question. Уязвимость компонента drivers/platform/x86/toshiba_haps.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm, shmem: prevent infinite loop on truncate race When truncating a large swap entry, shmem_free_swap() returns 0 when the entry's index doesn't match the given index due to lookup alignment. The failure fallback path checks if the entry crosses the end border and aborts when it happens, so truncate won't erase an unexpected entry or range. But one scenario was ignored. When `index` points to the middle of a large swap entry, and the large swap entry doesn't go across the end border, find_get_entries() will return that large swap entry as the first item in the batch with `indices[0]` equal to `index`. The entry's base index will be smaller than `indices[0]`, so shmem_free_swap() will fail and return 0 due to the "base < index" check. The code will then call shmem_confirm_swap(), get the order, check if it crosses the END boundary (which it doesn't), and retry with the same index. The next iteration will find the same entry again at the same index with same indices, leading to an infinite loop. Fix this by retrying with a round-down index, and abort if the index is smaller than the truncate range. Уязвимость компонента mm/shmem.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: i2c-hid: fix potential buffer overflow in i2c_hid_get_report() `i2c_hid_xfer` is used to read `recv_len + sizeof(__le16)` bytes of data into `ihid->rawbuf`. The former can come from the userspace in the hidraw driver and is only bounded by HID_MAX_BUFFER_SIZE(16384) by default (unless we also set `max_buffer_size` field of `struct hid_ll_driver` which we do not). The latter has size determined at runtime by the maximum size of different report types you could receive on any particular device and can be a much smaller value. Fix this by truncating `recv_len` to `ihid->bufsize - sizeof(__le16)`. The impact is low since access to hidraw devices requires root. Уязвимость ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvmet-tcp: fixup hang in nvmet_tcp_listen_data_ready() When the socket is closed while in TCP_LISTEN a callback is run to flush all outstanding packets, which in turns calls nvmet_tcp_listen_data_ready() with the sk_callback_lock held. So we need to check if we are in TCP_LISTEN before attempting to get the sk_callback_lock() to avoid a deadlock. Уязвимость компонента drivers/nvme/target/tcp.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dpaa2-switch: add bounds check for if_id in IRQ handler The IRQ handler extracts if_id from the upper 16 bits of the hardware status register and uses it to index into ethsw->ports[] without validation. Since if_id can be any 16-bit value (0-65535) but the ports array is only allocated with sw_attr.num_ifs elements, this can lead to an out-of-bounds read potentially. Add a bounds check before accessing the array, consistent with the existing validation in dpaa2_switch_rx(). Уязвимость компонента dpaa2-switch ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: tegra: Fix a memory leak in tegra_slink_probe() In tegra_slink_probe(), when platform_get_irq() fails, it directly returns from the function with an error code, which causes a memory leak. Replace it with a goto label to ensure proper cleanup. Уязвимость компонента drivers/spi/spi-tegra20-slink.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pmdomain: imx8m-blk-ctrl: fix out-of-range access of bc->domains Fix out-of-range access of bc->domains in imx8m_blk_ctrl_remove(). Уязвимость компонента drivers/pmdomain/imx/imx8m-blk-ctrl.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: r8152: fix resume reset deadlock rtl8152 can trigger device reset during reset which potentially can result in a deadlock: **** DPM device timeout after 10 seconds; 15 seconds until panic **** Call Trace: <TASK> schedule+0x483/0x1370 schedule_preempt_disabled+0x15/0x30 __mutex_lock_common+0x1fd/0x470 __rtl8152_set_mac_address+0x80/0x1f0 dev_set_mac_address+0x7f/0x150 rtl8152_post_reset+0x72/0x150 usb_reset_device+0x1d0/0x220 rtl8152_resume+0x99/0xc0 usb_resume_interface+0x3e/0xc0 usb_resume_both+0x104/0x150 usb_resume+0x22/0x110 The problem is that rtl8152 resume calls reset under tp->control mutex while reset basically re-enters rtl8152 and attempts to acquire the same tp->control lock once again. Reset INACCESSIBLE device outside of tp->control mutex scope to avoid recursive mutex_lock() deadlock. Уязвимость ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ceph: fix NULL pointer dereference in ceph_mds_auth_match() The CephFS kernel client has regression starting from 6.18-rc1. We have issue in ceph_mds_auth_match() if fs_name == NULL: const char fs_name = mdsc->fsc->mount_options->mds_namespace; ... if (auth->match.fs_name && strcmp(auth->match.fs_name, fs_name)) { / fsname mismatch, try next one */ return 0; } Patrick Donnelly suggested that: In summary, we should definitely start decoding `fs_name` from the MDSMap and do strict authorizations checks against it. Note that the `-o mds_namespace=foo` should only be used for selecting the file system to mount and nothing else. It's possible no mds_namespace is specified but the kernel will mount the only file system that exists which may have name "foo". This patch reworks ceph_mdsmap_decode() and namespace_equals() with the goal of supporting the suggested concept. Now struct ceph_mdsmap contains m_fs_name field that receives copy of extracted FS name by ceph_extract_encoded_string(). For the case of "old" CephFS file systems, it is used "cephfs" name. [ idryomov: replace redundant %*pE with %s in ceph_mdsmap_decode(), get rid of a series of strlen() calls in ceph_namespace_match(), drop changes to namespace_equals() body to avoid treating empty mds_namespace as equal, drop changes to ceph_mdsc_handle_fsmap() as namespace_equals() isn't an equivalent substitution there ] Уязвимость компонента ceph ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: amd: fix memory leak in acp3x pdm dma ops Уязвимость компонента sound/soc/amd/renoir/acp3x-pdm-dma.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: aloop: Fix racy access at PCM trigger The PCM trigger callback of aloop driver tries to check the PCM state and stop the stream of the tied substream in the corresponding cable. Since both check and stop operations are performed outside the cable lock, this may result in UAF when a program attempts to trigger frequently while opening/closing the tied stream, as spotted by fuzzers. For addressing the UAF, this patch changes two things: - It covers the most of code in loopback_check_format() with cable->lock spinlock, and add the proper NULL checks. This avoids already some racy accesses. - In addition, now we try to check the state of the capture PCM stream that may be stopped in this function, which was the major pain point leading to UAF. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: target: iscsi: Fix use-after-free in iscsit_dec_session_usage_count() In iscsit_dec_session_usage_count(), the function calls complete() while holding the sess->session_usage_lock. Similar to the connection usage count logic, the waiter signaled by complete() (e.g., in the session release path) may wake up and free the iscsit_session structure immediately. This creates a race condition where the current thread may attempt to execute spin_unlock_bh() on a session structure that has already been deallocated, resulting in a KASAN slab-use-after-free. To resolve this, release the session_usage_lock before calling complete() to ensure all dereferences of the sess pointer are finished before the waiter is allowed to proceed with deallocation. Уязвимость компонента drivers/target/iscsi/iscsi_target_util.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: Don't clobber irqfd routing type when deassigning irqfd When deassigning a KVM_IRQFD, don't clobber the irqfd's copy of the IRQ's routing entry as doing so breaks kvm_arch_irq_bypass_del_producer() on x86 and arm64, which explicitly look for KVM_IRQ_ROUTING_MSI. Instead, to handle a concurrent routing update, verify that the irqfd is still active before consuming the routing information. As evidenced by the x86 and arm64 bugs, and another bug in kvm_arch_update_irqfd_routing() (see below), clobbering the entry type without notifying arch code is surprising and error prone. As a bonus, checking that the irqfd is active provides a convenient location for documenting _why_ KVM must not consume the routing entry for an irqfd that is in the process of being deassigned: once the irqfd is deleted from the list (which happens *before* the eventfd is detached), it will no longer receive updates via kvm_irq_routing_update(), and so KVM could deliver an event using stale routing information (relative to KVM_SET_GSI_ROUTING returning to userspace). As an even better bonus, explicitly checking for the irqfd being active fixes a similar bug to the one the clobbering is trying to prevent: if an irqfd is deactivated, and then its routing is changed, kvm_irq_routing_update() won't invoke kvm_arch_update_irqfd_routing() (because the irqfd isn't in the list). And so if the irqfd is in bypass mode, IRQs will continue to be posted using the old routing information. As for kvm_arch_irq_bypass_del_producer(), clobbering the routing type results in KVM incorrectly keeping the IRQ in bypass mode, which is especially problematic on AMD as KVM tracks IRQs that are being posted to a vCPU in a list whose lifetime is tied to the irqfd. Without the help of KASAN to detect use-after-free, the most common sympton on AMD is a NULL pointer deref in amd_iommu_update_ga() due to the memory for irqfd structure being re-allocated and zeroed, resulting in irqfd->irq_bypass_data being NULL when read by avic_update_iommu_vcpu_affinity(): BUG: kernel NULL pointer dereference, address: 0000000000000018 #PF: supervisor read access in kernel mode #PF: error_code(0x0000) - not-present page PGD 40cf2b9067 P4D 40cf2b9067 PUD 408362a067 PMD 0 Oops: Oops: 0000 [#1] SMP CPU: 6 UID: 0 PID: 40383 Comm: vfio_irq_test Tainted: G U W O 6.19.0-smp--5dddc257e6b2-irqfd #31 NONE Tainted: [U]=USER, [W]=WARN, [O]=OOT_MODULE Hardware name: Google, Inc. Arcadia_IT_80/Arcadia_IT_80, BIOS 34.78.2-0 09/05/2025 RIP: 0010:amd_iommu_update_ga+0x19/0xe0 Call Trace: <TASK> avic_update_iommu_vcpu_affinity+0x3d/0x90 [kvm_amd] __avic_vcpu_load+0xf4/0x130 [kvm_amd] kvm_arch_vcpu_load+0x89/0x210 [kvm] vcpu_load+0x30/0x40 [kvm] kvm_arch_vcpu_ioctl_run+0x45/0x620 [kvm] kvm_vcpu_ioctl+0x571/0x6a0 [kvm] __se_sys_ioctl+0x6d/0xb0 do_syscall_64+0x6f/0x9d0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 RIP: 0033:0x46893b </TASK> ---[ end trace 0000000000000000 ]--- If AVIC is inhibited when the irfd is deassigned, the bug will manifest as list corruption, e.g. on the next irqfd assignment. list_add corruption. next->prev should be prev (ffff8d474d5cd588), but was 0000000000000000. (next=ffff8d8658f86530). ------------[ cut here ]------------ kernel BUG at lib/list_debug.c:31! Oops: invalid opcode: 0000 [#1] SMP CPU: 128 UID: 0 PID: 80818 Comm: vfio_irq_test Tainted: G U W O 6.19.0-smp--f19dc4d680ba-irqfd #28 NONE Tainted: [U]=USER, [W]=WARN, [O]=OOT_MODULE Hardware name: Google, Inc. Arcadia_IT_80/Arcadia_IT_80, BIOS 34.78.2-0 09/05/2025 RIP: 0010:__list_add_valid_or_report+0x97/0xc0 Call Trace: <TASK> avic_pi_update_irte+0x28e/0x2b0 [kvm_amd] kvm_pi_update_irte+0xbf/0x190 [kvm] kvm_arch_irq_bypass_add_producer+0x72/0x90 [kvm] irq_bypass_register_consumer+0xcd/0x170 [irqbypa ---truncated--- Уязвимость компонента virt/kvm/eventfd.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: procfs: avoid fetching build ID while holding VMA lock Fix PROCMAP_QUERY to fetch optional build ID only after dropping mmap_lock or per-VMA lock, whichever was used to lock VMA under question, to avoid deadlock reported by syzbot: -> #1 (&mm->mmap_lock){++++}-{4:4}: __might_fault+0xed/0x170 _copy_to_iter+0x118/0x1720 copy_page_to_iter+0x12d/0x1e0 filemap_read+0x720/0x10a0 blkdev_read_iter+0x2b5/0x4e0 vfs_read+0x7f4/0xae0 ksys_read+0x12a/0x250 do_syscall_64+0xcb/0xf80 entry_SYSCALL_64_after_hwframe+0x77/0x7f -> #0 (&sb->s_type->i_mutex_key#8){++++}-{4:4}: __lock_acquire+0x1509/0x26d0 lock_acquire+0x185/0x340 down_read+0x98/0x490 blkdev_read_iter+0x2a7/0x4e0 __kernel_read+0x39a/0xa90 freader_fetch+0x1d5/0xa80 __build_id_parse.isra.0+0xea/0x6a0 do_procmap_query+0xd75/0x1050 procfs_procmap_ioctl+0x7a/0xb0 __x64_sys_ioctl+0x18e/0x210 do_syscall_64+0xcb/0xf80 entry_SYSCALL_64_after_hwframe+0x77/0x7f other info that might help us debug this: Possible unsafe locking scenario: CPU0 CPU1 ---- ---- rlock(&mm->mmap_lock); lock(&sb->s_type->i_mutex_key#8); lock(&mm->mmap_lock); rlock(&sb->s_type->i_mutex_key#8); *** DEADLOCK *** This seems to be exacerbated (as we haven't seen these syzbot reports before that) by the recent: 777a8560fd29 ("lib/buildid: use __kernel_read() for sleepable context") To make this safe, we need to grab file refcount while VMA is still locked, but other than that everything is pretty straightforward. Internal build_id_parse() API assumes VMA is passed, but it only needs the underlying file reference, so just add another variant build_id_parse_file() that expects file passed directly. [akpm@linux-foundation.org: fix up kerneldoc] Уязвимость ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ceph: fix oops due to invalid pointer for kfree() in parse_longname() This fixes a kernel oops when reading ceph snapshot directories (.snap), for example by simply running `ls /mnt/my_ceph/.snap`. The variable str is guarded by __free(kfree), but advanced by one for skipping the initial '_' in snapshot names. Thus, kfree() is called with an invalid pointer. This patch removes the need for advancing the pointer so kfree() is called with correct memory pointer. Steps to reproduce: 1. Create snapshots on a cephfs volume (I've 63 snaps in my testcase) 2. Add cephfs mount to fstab $ echo "samba-fileserver@.files=/volumes/datapool/stuff/3461082b-ecc9-4e82-8549-3fd2590d3fb6 /mnt/test/stuff ceph acl,noatime,_netdev 0 0" >> /etc/fstab 3. Reboot the system $ systemctl reboot 4. Check if it's really mounted $ mount | grep stuff 5. List snapshots (expected 63 snapshots on my system) $ ls /mnt/test/stuff/.snap Now ls hangs forever and the kernel log shows the oops. Уязвимость компонента ceph ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: cls_u32: use skb_header_pointer_careful() skb_header_pointer() does not fully validate negative @offset values. Use skb_header_pointer_careful() instead. GangMin Kim provided a report and a repro fooling u32_classify(): BUG: KASAN: slab-out-of-bounds in u32_classify+0x1180/0x11b0 net/sched/cls_u32.c:221 [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb/client: fix memory leak in smb2_open_file() Reproducer: 1. server: directories are exported read-only 2. client: mount -t cifs //${server_ip}/export /mnt 3. client: dd if=/dev/zero of=/mnt/file bs=512 count=1000 oflag=direct 4. client: umount /mnt 5. client: sleep 1 6. client: modprobe -r cifs The error message is as follows: ============================================================================= BUG cifs_small_rq (Not tainted): Objects remaining on __kmem_cache_shutdown() ----------------------------------------------------------------------------- Object 0x00000000d47521be @offset=14336 ... WARNING: mm/slub.c:1251 at __kmem_cache_shutdown+0x34e/0x440, CPU#0: modprobe/1577 ... Call Trace: <TASK> kmem_cache_destroy+0x94/0x190 cifs_destroy_request_bufs+0x3e/0x50 [cifs] cleanup_module+0x4e/0x540 [cifs] __se_sys_delete_module+0x278/0x400 __x64_sys_delete_module+0x5f/0x70 x64_sys_call+0x2299/0x2ff0 do_syscall_64+0x89/0x350 entry_SYSCALL_64_after_hwframe+0x76/0x7e ... kmem_cache_destroy cifs_small_rq: Slab cache still has objects when called from cifs_destroy_request_bufs+0x3e/0x50 [cifs] WARNING: mm/slab_common.c:532 at kmem_cache_destroy+0x16b/0x190, CPU#0: modprobe/1577 Уязвимость компонента fs/smb/client/smb2file.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dpaa2-switch: prevent ZERO_SIZE_PTR dereference when num_ifs is zero The driver allocates arrays for ports, FDBs, and filter blocks using kcalloc() with ethsw->sw_attr.num_ifs as the element count. When the device reports zero interfaces (either due to hardware configuration or firmware issues), kcalloc(0, ...) returns ZERO_SIZE_PTR (0x10) instead of NULL. Later in dpaa2_switch_probe(), the NAPI initialization unconditionally accesses ethsw->ports[0]->netdev, which attempts to dereference ZERO_SIZE_PTR (address 0x10), resulting in a kernel panic. Add a check to ensure num_ifs is greater than zero after retrieving device attributes. This prevents the zero-sized allocations and subsequent invalid pointer dereference. Уязвимость компонента drivers/net/ethernet/freescale/dpaa2/dpaa2-switch.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bonding: annotate data-races around slave->last_rx slave->last_rx and slave->target_last_arp_rx[...] can be read and written locklessly. Add READ_ONCE() and WRITE_ONCE() annotations. syzbot reported: BUG: KCSAN: data-race in bond_rcv_validate / bond_rcv_validate write to 0xffff888149f0d428 of 8 bytes by interrupt on cpu 1: bond_rcv_validate+0x202/0x7a0 drivers/net/bonding/bond_main.c:3335 bond_handle_frame+0xde/0x5e0 drivers/net/bonding/bond_main.c:1533 __netif_receive_skb_core+0x5b1/0x1950 net/core/dev.c:6039 __netif_receive_skb_one_core net/core/dev.c:6150 [inline] __netif_receive_skb+0x59/0x270 net/core/dev.c:6265 netif_receive_skb_internal net/core/dev.c:6351 [inline] netif_receive_skb+0x4b/0x2d0 net/core/dev.c:6410 ... write to 0xffff888149f0d428 of 8 bytes by interrupt on cpu 0: bond_rcv_validate+0x202/0x7a0 drivers/net/bonding/bond_main.c:3335 bond_handle_frame+0xde/0x5e0 drivers/net/bonding/bond_main.c:1533 __netif_receive_skb_core+0x5b1/0x1950 net/core/dev.c:6039 __netif_receive_skb_one_core net/core/dev.c:6150 [inline] __netif_receive_skb+0x59/0x270 net/core/dev.c:6265 netif_receive_skb_internal net/core/dev.c:6351 [inline] netif_receive_skb+0x4b/0x2d0 net/core/dev.c:6410 br_netif_receive_skb net/bridge/br_input.c:30 [inline] NF_HOOK include/linux/netfilter.h:318 [inline] ... value changed: 0x0000000100005365 -> 0x0000000100005366 Уязвимость ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/pm: Disable MMIO access during SMU Mode 1 reset During Mode 1 reset, the ASIC undergoes a reset cycle and becomes temporarily inaccessible via PCIe. Any attempt to access MMIO registers during this window (e.g., from interrupt handlers or other driver threads) can result in uncompleted PCIe transactions, leading to NMI panics or system hangs. To prevent this, set the `no_hw_access` flag to true immediately after triggering the reset. This signals other driver components to skip register accesses while the device is offline. A memory barrier `smp_mb()` is added to ensure the flag update is globally visible to all cores before the driver enters the sleep/wait state. (cherry picked from commit 7edb503fe4b6d67f47d8bb0dfafb8e699bb0f8a4) [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: reject new transactions if the fs is fully read-only [BUG] There is a bug report where a heavily fuzzed fs is mounted with all rescue mount options, which leads to the following warnings during unmount: BTRFS: Transaction aborted (error -22) Modules linked in: CPU: 0 UID: 0 PID: 9758 Comm: repro.out Not tainted 6.19.0-rc5-00002-gb71e635feefc #7 PREEMPT(full) Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:find_free_extent_update_loop fs/btrfs/extent-tree.c:4208 [inline] RIP: 0010:find_free_extent+0x52f0/0x5d20 fs/btrfs/extent-tree.c:4611 Call Trace: <TASK> btrfs_reserve_extent+0x2cd/0x790 fs/btrfs/extent-tree.c:4705 btrfs_alloc_tree_block+0x1e1/0x10e0 fs/btrfs/extent-tree.c:5157 btrfs_force_cow_block+0x578/0x2410 fs/btrfs/ctree.c:517 btrfs_cow_block+0x3c4/0xa80 fs/btrfs/ctree.c:708 btrfs_search_slot+0xcad/0x2b50 fs/btrfs/ctree.c:2130 btrfs_truncate_inode_items+0x45d/0x2350 fs/btrfs/inode-item.c:499 btrfs_evict_inode+0x923/0xe70 fs/btrfs/inode.c:5628 evict+0x5f4/0xae0 fs/inode.c:837 __dentry_kill+0x209/0x660 fs/dcache.c:670 finish_dput+0xc9/0x480 fs/dcache.c:879 shrink_dcache_for_umount+0xa0/0x170 fs/dcache.c:1661 generic_shutdown_super+0x67/0x2c0 fs/super.c:621 kill_anon_super+0x3b/0x70 fs/super.c:1289 btrfs_kill_super+0x41/0x50 fs/btrfs/super.c:2127 deactivate_locked_super+0xbc/0x130 fs/super.c:474 cleanup_mnt+0x425/0x4c0 fs/namespace.c:1318 task_work_run+0x1d4/0x260 kernel/task_work.c:233 exit_task_work include/linux/task_work.h:40 [inline] do_exit+0x694/0x22f0 kernel/exit.c:971 do_group_exit+0x21c/0x2d0 kernel/exit.c:1112 __do_sys_exit_group kernel/exit.c:1123 [inline] __se_sys_exit_group kernel/exit.c:1121 [inline] __x64_sys_exit_group+0x3f/0x40 kernel/exit.c:1121 x64_sys_call+0x2210/0x2210 arch/x86/include/generated/asm/syscalls_64.h:232 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xe8/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x44f639 Code: Unable to access opcode bytes at 0x44f60f. RSP: 002b:00007ffc15c4e088 EFLAGS: 00000246 ORIG_RAX: 00000000000000e7 RAX: ffffffffffffffda RBX: 00000000004c32f0 RCX: 000000000044f639 RDX: 000000000000003c RSI: 00000000000000e7 RDI: 0000000000000001 RBP: 0000000000000001 R08: ffffffffffffffc0 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 00000000004c32f0 R13: 0000000000000001 R14: 0000000000000000 R15: 0000000000000001 </TASK> Since rescue mount options will mark the full fs read-only, there should be no new transaction triggered. But during unmount we will evict all inodes, which can trigger a new transaction, and triggers warnings on a heavily corrupted fs. [CAUSE] Btrfs allows new transaction even on a read-only fs, this is to allow log replay happen even on read-only mounts, just like what ext4/xfs do. However with rescue mount options, the fs is fully read-only and cannot be remounted read-write, thus in that case we should also reject any new transactions. [FIX] If we find the fs has rescue mount options, we should treat the fs as error, so that no new transaction can be started. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/vmware: Fix hypercall clobbers Fedora QA reported the following panic: BUG: unable to handle page fault for address: 0000000040003e54 #PF: supervisor write access in kernel mode #PF: error_code(0x0002) - not-present page Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS edk2-20251119-3.fc43 11/19/2025 RIP: 0010:vmware_hypercall4.constprop.0+0x52/0x90 .. Call Trace: vmmouse_report_events+0x13e/0x1b0 psmouse_handle_byte+0x15/0x60 ps2_interrupt+0x8a/0xd0 ... because the QEMU VMware mouse emulation is buggy, and clears the top 32 bits of %rdi that the kernel kept a pointer in. The QEMU vmmouse driver saves and restores the register state in a "uint32_t data[6];" and as a result restores the state with the high bits all cleared. RDI originally contained the value of a valid kernel stack address (0xff5eeb3240003e54). After the vmware hypercall it now contains 0x40003e54, and we get a page fault as a result when it is dereferenced. The proper fix would be in QEMU, but this works around the issue in the kernel to keep old setups working, when old kernels had not happened to keep any state in %rdi over the hypercall. In theory this same issue exists for all the hypercalls in the vmmouse driver; in practice it has only been seen with vmware_hypercall3() and vmware_hypercall4(). For now, just mark RDI/RSI as clobbered for those two calls. This should have a minimal effect on code generation overall as it should be rare for the compiler to want to make RDI/RSI live across hypercalls. Уязвимость ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: target: iscsi: Fix use-after-free in iscsit_dec_conn_usage_count() In iscsit_dec_conn_usage_count(), the function calls complete() while holding the conn->conn_usage_lock. As soon as complete() is invoked, the waiter (such as iscsit_close_connection()) may wake up and proceed to free the iscsit_conn structure. If the waiter frees the memory before the current thread reaches spin_unlock_bh(), it results in a KASAN slab-use-after-free as the function attempts to release a lock within the already-freed connection structure. Fix this by releasing the spinlock before calling complete(). Уязвимость компонента drivers/target/iscsi/iscsi_target_util.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/slab: Add alloc_tagging_slab_free_hook for memcg_alloc_abort_single When CONFIG_MEM_ALLOC_PROFILING_DEBUG is enabled, the following warning may be noticed: [ 3959.023862] ------------[ cut here ]------------ [ 3959.023891] alloc_tag was not cleared (got tag for lib/xarray.c:378) [ 3959.023947] WARNING: ./include/linux/alloc_tag.h:155 at alloc_tag_add+0x128/0x178, CPU#6: mkfs.ntfs/113998 [ 3959.023978] Modules linked in: dns_resolver tun brd overlay exfat btrfs blake2b libblake2b xor xor_neon raid6_pq loop sctp ip6_udp_tunnel udp_tunnel ext4 crc16 mbcache jbd2 rfkill sunrpc vfat fat sg fuse nfnetlink sr_mod virtio_gpu cdrom drm_client_lib virtio_dma_buf drm_shmem_helper drm_kms_helper ghash_ce drm sm4 backlight virtio_net net_failover virtio_scsi failover virtio_console virtio_blk virtio_mmio dm_mirror dm_region_hash dm_log dm_multipath dm_mod i2c_dev aes_neon_bs aes_ce_blk [last unloaded: hwpoison_inject] [ 3959.024170] CPU: 6 UID: 0 PID: 113998 Comm: mkfs.ntfs Kdump: loaded Tainted: G W 6.19.0-rc7+ #7 PREEMPT(voluntary) [ 3959.024182] Tainted: [W]=WARN [ 3959.024186] Hardware name: QEMU KVM Virtual Machine, BIOS unknown 2/2/2022 [ 3959.024192] pstate: 604000c5 (nZCv daIF +PAN -UAO -TCO -DIT -SSBS BTYPE=--) [ 3959.024199] pc : alloc_tag_add+0x128/0x178 [ 3959.024207] lr : alloc_tag_add+0x128/0x178 [ 3959.024214] sp : ffff80008b696d60 [ 3959.024219] x29: ffff80008b696d60 x28: 0000000000000000 x27: 0000000000000240 [ 3959.024232] x26: 0000000000000000 x25: 0000000000000240 x24: ffff800085d17860 [ 3959.024245] x23: 0000000000402800 x22: ffff0000c0012dc0 x21: 00000000000002d0 [ 3959.024257] x20: ffff0000e6ef3318 x19: ffff800085ae0410 x18: 0000000000000000 [ 3959.024269] x17: 0000000000000000 x16: 0000000000000000 x15: 0000000000000000 [ 3959.024281] x14: 0000000000000000 x13: 0000000000000001 x12: ffff600064101293 [ 3959.024292] x11: 1fffe00064101292 x10: ffff600064101292 x9 : dfff800000000000 [ 3959.024305] x8 : 00009fff9befed6e x7 : ffff000320809493 x6 : 0000000000000001 [ 3959.024316] x5 : ffff000320809490 x4 : ffff600064101293 x3 : ffff800080691838 [ 3959.024328] x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff0000d5bcd640 [ 3959.024340] Call trace: [ 3959.024346] alloc_tag_add+0x128/0x178 (P) [ 3959.024355] __alloc_tagging_slab_alloc_hook+0x11c/0x1a8 [ 3959.024362] kmem_cache_alloc_lru_noprof+0x1b8/0x5e8 [ 3959.024369] xas_alloc+0x304/0x4f0 [ 3959.024381] xas_create+0x1e0/0x4a0 [ 3959.024388] xas_store+0x68/0xda8 [ 3959.024395] __filemap_add_folio+0x5b0/0xbd8 [ 3959.024409] filemap_add_folio+0x16c/0x7e0 [ 3959.024416] __filemap_get_folio_mpol+0x2dc/0x9e8 [ 3959.024424] iomap_get_folio+0xfc/0x180 [ 3959.024435] __iomap_get_folio+0x2f8/0x4b8 [ 3959.024441] iomap_write_begin+0x198/0xc18 [ 3959.024448] iomap_write_iter+0x2ec/0x8f8 [ 3959.024454] iomap_file_buffered_write+0x19c/0x290 [ 3959.024461] blkdev_write_iter+0x38c/0x978 [ 3959.024470] vfs_write+0x4d4/0x928 [ 3959.024482] ksys_write+0xfc/0x1f8 [ 3959.024489] __arm64_sys_write+0x74/0xb0 [ 3959.024496] invoke_syscall+0xd4/0x258 [ 3959.024507] el0_svc_common.constprop.0+0xb4/0x240 [ 3959.024514] do_el0_svc+0x48/0x68 [ 3959.024520] el0_svc+0x40/0xf8 [ 3959.024526] el0t_64_sync_handler+0xa0/0xe8 [ 3959.024533] el0t_64_sync+0x1ac/0x1b0 [ 3959.024540] ---[ end trace 0000000000000000 ]--- When __memcg_slab_post_alloc_hook() fails, there are two different free paths depending on whether size == 1 or size != 1. In the kmem_cache_free_bulk() path, we do call alloc_tagging_slab_free_hook(). However, in memcg_alloc_abort_single() we don't, the above warning will be triggered on the next allocation. Therefore, add alloc_tagging_slab_free_hook() to the memcg_alloc_abort_single() path. Уязвимость ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-772')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix infinite loop caused by next_smb2_rcv_hdr_off reset in error paths The problem occurs when a signed request fails smb2 signature verification check. In __process_request(), if check_sign_req() returns an error, set_smb2_rsp_status(work, STATUS_ACCESS_DENIED) is called. set_smb2_rsp_status() set work->next_smb2_rcv_hdr_off as zero. By resetting next_smb2_rcv_hdr_off to zero, the pointer to the next command in the chain is lost. Consequently, is_chained_smb2_message() continues to point to the same request header instead of advancing. If the header's NextCommand field is non-zero, the function returns true, causing __handle_ksmbd_work() to repeatedly process the same failed request in an infinite loop. This results in the kernel log being flooded with "bad smb2 signature" messages and high CPU usage. This patch fixes the issue by changing the return value from SERVER_HANDLER_CONTINUE to SERVER_HANDLER_ABORT. This ensures that the processing loop terminates immediately rather than attempting to continue from an invalidated offset. Уязвимость компонента fs/smb/server/server.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bus: fsl-mc: fix use-after-free in driver_override_show() The driver_override_show() function reads the driver_override string without holding the device_lock. However, driver_override_store() uses driver_set_override(), which modifies and frees the string while holding the device_lock. This can result in a concurrent use-after-free if the string is freed by the store function while being read by the show function. Fix this by holding the device_lock around the read operation. Уязвимость компонента drivers/bus/fsl-mc/fsl-mc-bus.c ядра операционной системы Linux ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: omap - Allocate OMAP_CRYPTO_FORCE_COPY scatterlists correctly The existing allocation of scatterlists in omap_crypto_copy_sg_lists() was allocating an array of scatterlist pointers, not scatterlist objects, resulting in a 4x too small allocation. Use sizeof(*new_sg) to get the correct object size. Уязвимость компонента drivers/crypto/omap-crypto.c ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfs: fix UAF in xchk_btree_check_block_owner We cannot dereference bs->cur when trying to determine if bs->cur aliases bs->sc->sa.{bno,rmap}_cur after the latter has been freed. Fix this by sampling before type before any freeing could happen. The correct temporal ordering was broken when we removed xfs_btnum_t. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: erofs: fix UAF issue for file-backed mounts w/ directio option [ 9.269940][ T3222] Call trace: [ 9.269948][ T3222] ext4_file_read_iter+0xac/0x108 [ 9.269979][ T3222] vfs_iocb_iter_read+0xac/0x198 [ 9.269993][ T3222] erofs_fileio_rq_submit+0x12c/0x180 [ 9.270008][ T3222] erofs_fileio_submit_bio+0x14/0x24 [ 9.270030][ T3222] z_erofs_runqueue+0x834/0x8ac [ 9.270054][ T3222] z_erofs_read_folio+0x120/0x220 [ 9.270083][ T3222] filemap_read_folio+0x60/0x120 [ 9.270102][ T3222] filemap_fault+0xcac/0x1060 [ 9.270119][ T3222] do_pte_missing+0x2d8/0x1554 [ 9.270131][ T3222] handle_mm_fault+0x5ec/0x70c [ 9.270142][ T3222] do_page_fault+0x178/0x88c [ 9.270167][ T3222] do_translation_fault+0x38/0x54 [ 9.270183][ T3222] do_mem_abort+0x54/0xac [ 9.270208][ T3222] el0_da+0x44/0x7c [ 9.270227][ T3222] el0t_64_sync_handler+0x5c/0xf4 [ 9.270253][ T3222] el0t_64_sync+0x1bc/0x1c0 EROFS may encounter above panic when enabling file-backed mount w/ directio mount option, the root cause is it may suffer UAF in below race condition: - z_erofs_read_folio wq s_dio_done_wq - z_erofs_runqueue - erofs_fileio_submit_bio - erofs_fileio_rq_submit - vfs_iocb_iter_read - ext4_file_read_iter - ext4_dio_read_iter - iomap_dio_rw : bio was submitted and return -EIOCBQUEUED - dio_aio_complete_work - dio_complete - dio->iocb->ki_complete (erofs_fileio_ki_complete()) - kfree(rq) : it frees iocb, iocb.ki_filp can be UAF in file_accessed(). - file_accessed : access NULL file point Introduce a reference count in struct erofs_fileio_rq, and initialize it as two, both erofs_fileio_ki_complete() and erofs_fileio_rq_submit() will decrease reference count, the last one decreasing the reference count to zero will free rq. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: server: fix leak of active_num_conn in ksmbd_tcp_new_connection() On kthread_run() failure in ksmbd_tcp_new_connection(), the transport is freed via free_transport(), which does not decrement active_num_conn, leaking this counter. Replace free_transport() with ksmbd_tcp_disconnect(). Уязвимость компонента fs/smb/server/transport_tcp.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: virtio - Add spinlock protection with virtqueue notification When VM boots with one virtio-crypto PCI device and builtin backend, run openssl benchmark command with multiple processes, such as openssl speed -evp aes-128-cbc -engine afalg -seconds 10 -multi 32 openssl processes will hangup and there is error reported like this: virtio_crypto virtio0: dataq.0:id 3 is not a head! It seems that the data virtqueue need protection when it is handled for virtio done notification. If the spinlock protection is added in virtcrypto_done_task(), openssl benchmark with multiple processes works well. Уязвимость компонента drivers/crypto/virtio/virtio_crypto_core.c ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: split cached_fid bitfields to avoid shared-byte RMW races is_open, has_lease and on_list are stored in the same bitfield byte in struct cached_fid but are updated in different code paths that may run concurrently. Bitfield assignments generate byte read–modify–write operations (e.g. `orb $mask, addr` on x86_64), so updating one flag can restore stale values of the others. A possible interleaving is: CPU1: load old byte (has_lease=1, on_list=1) CPU2: clear both flags (store 0) CPU1: RMW store (old | IS_OPEN) -> reintroduces cleared bits To avoid this class of races, convert these flags to separate bool fields. Уязвимость компонента fs/smb/client/cached_dir.h ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid mapping wrong physical block for swapfile Xiaolong Guo reported a f2fs bug in bugzilla [1] [1] https://bugzilla.kernel.org/show_bug.cgi?id=220951 Quoted: "When using stress-ng's swap stress test on F2FS filesystem with kernel 6.6+, the system experiences data corruption leading to either: 1 dm-verity corruption errors and device reboot 2 F2FS node corruption errors and boot hangs The issue occurs specifically when: 1 Using F2FS filesystem (ext4 is unaffected) 2 Swapfile size is less than F2FS section size (2MB) 3 Swapfile has fragmented physical layout (multiple non-contiguous extents) 4 Kernel version is 6.6+ (6.1 is unaffected) The root cause is in check_swap_activate() function in fs/f2fs/data.c. When the first extent of a small swapfile (< 2MB) is not aligned to section boundaries, the function incorrectly treats it as the last extent, failing to map subsequent extents. This results in incorrect swap_extent creation where only the first extent is mapped, causing subsequent swap writes to overwrite wrong physical locations (other files' data). Steps to Reproduce 1 Setup a device with F2FS-formatted userdata partition 2 Compile stress-ng from https://github.com/ColinIanKing/stress-ng 3 Run swap stress test: (Android devices) adb shell "cd /data/stressng; ./stress-ng-64 --metrics-brief --timeout 60 --swap 0" Log: 1 Ftrace shows in kernel 6.6, only first extent is mapped during second f2fs_map_blocks call in check_swap_activate(): stress-ng-swap-8990: f2fs_map_blocks: ino=11002, file offset=0, start blkaddr=0x43143, len=0x1 (Only 4KB mapped, not the full swapfile) 2 in kernel 6.1, both extents are correctly mapped: stress-ng-swap-5966: f2fs_map_blocks: ino=28011, file offset=0, start blkaddr=0x13cd4, len=0x1 stress-ng-swap-5966: f2fs_map_blocks: ino=28011, file offset=1, start blkaddr=0x60c84b, len=0xff The problematic code is in check_swap_activate(): if ((pblock - SM_I(sbi)->main_blkaddr) % blks_per_sec || nr_pblocks % blks_per_sec || !f2fs_valid_pinned_area(sbi, pblock)) { bool last_extent = false; not_aligned++; nr_pblocks = roundup(nr_pblocks, blks_per_sec); if (cur_lblock + nr_pblocks > sis->max) nr_pblocks -= blks_per_sec; /* this extent is last one */ if (!nr_pblocks) { nr_pblocks = last_lblock - cur_lblock; last_extent = true; } ret = f2fs_migrate_blocks(inode, cur_lblock, nr_pblocks); if (ret) { if (ret == -ENOENT) ret = -EINVAL; goto out; } if (!last_extent) goto retry; } When the first extent is unaligned and roundup(nr_pblocks, blks_per_sec) exceeds sis->max, we subtract blks_per_sec resulting in nr_pblocks = 0. The code then incorrectly assumes this is the last extent, sets nr_pblocks = last_lblock - cur_lblock (entire swapfile), and performs migration. After migration, it doesn't retry mapping, so subsequent extents are never processed. " In order to fix this issue, we need to lookup block mapping info after we migrate all blocks in the tail of swapfile. Уязвимость компонента fs/f2fs/data.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to avoid UAF in f2fs_write_end_io() As syzbot reported an use-after-free issue in f2fs_write_end_io(). It is caused by below race condition: loop device umount - worker_thread - loop_process_work - do_req_filebacked - lo_rw_aio - lo_rw_aio_complete - blk_mq_end_request - blk_update_request - f2fs_write_end_io - dec_page_count - folio_end_writeback - kill_f2fs_super - kill_block_super - f2fs_put_super : free(sbi) : get_pages(, F2FS_WB_CP_DATA) accessed sbi which is freed In kill_f2fs_super(), we will drop all page caches of f2fs inodes before call free(sbi), it guarantee that all folios should end its writeback, so it should be safe to access sbi before last folio_end_writeback(). Let's relocate ckpt thread wakeup flow before folio_end_writeback() to resolve this issue. Уязвимость компонента fs/f2fs/data.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix out-of-bounds access in sysfs attribute read/write Some f2fs sysfs attributes suffer from out-of-bounds memory access and incorrect handling of integer values whose size is not 4 bytes. For example: vm:~# echo 65537 > /sys/fs/f2fs/vde/carve_out vm:~# cat /sys/fs/f2fs/vde/carve_out 65537 vm:~# echo 4294967297 > /sys/fs/f2fs/vde/atgc_age_threshold vm:~# cat /sys/fs/f2fs/vde/atgc_age_threshold 1 carve_out maps to {struct f2fs_sb_info}->carve_out, which is a 8-bit integer. However, the sysfs interface allows setting it to a value larger than 255, resulting in an out-of-range update. atgc_age_threshold maps to {struct atgc_management}->age_threshold, which is a 64-bit integer, but its sysfs interface cannot correctly set values larger than UINT_MAX. The root causes are: 1. __sbi_store() treats all default values as unsigned int, which prevents updating integers larger than 4 bytes and causes out-of-bounds writes for integers smaller than 4 bytes. 2. f2fs_sbi_show() also assumes all default values are unsigned int, leading to out-of-bounds reads and incorrect access to integers larger than 4 bytes. This patch introduces {struct f2fs_attr}->size to record the actual size of the integer associated with each sysfs attribute. With this information, sysfs read and write operations can correctly access and update values according to their real data size, avoiding memory corruption and truncation. Уязвимость компонента fs/f2fs/sysfs.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: smscufx: properly copy ioctl memory to kernelspace The UFX_IOCTL_REPORT_DAMAGE ioctl does not properly copy data from userspace to kernelspace, and instead directly references the memory, which can cause problems if invalid data is passed from userspace. Fix this all up by correctly copying the memory before accessing it within the kernel. Уязвимость компонента drivers/video/fbdev/smscufx.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: platform/x86: classmate-laptop: Add missing NULL pointer checks In a few places in the Classmate laptop driver, code using the accel object may run before that object's address is stored in the driver data of the input device using it. For example, cmpc_accel_sensitivity_store_v4() is the "show" method of cmpc_accel_sensitivity_attr_v4 which is added in cmpc_accel_add_v4(), before calling dev_set_drvdata() for inputdev->dev. If the sysfs attribute is accessed prematurely, the dev_get_drvdata(&inputdev->dev) call in in cmpc_accel_sensitivity_store_v4() returns NULL which leads to a NULL pointer dereference going forward. Moreover, sysfs attributes using the input device are added before initializing that device by cmpc_add_acpi_notify_device() and if one of them is accessed before running that function, a NULL pointer dereference will occur. For example, cmpc_accel_sensitivity_attr_v4 is added before calling cmpc_add_acpi_notify_device() and if it is read prematurely, the dev_get_drvdata(&acpi->dev) call in cmpc_accel_sensitivity_show_v4() returns NULL which leads to a NULL pointer dereference going forward. Fix this by adding NULL pointer checks in all of the relevant places. Уязвимость компонента drivers/platform/x86/classmate-laptop.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: romfs: check sb_set_blocksize() return value romfs_fill_super() ignores the return value of sb_set_blocksize(), which can fail if the requested block size is incompatible with the block device's configuration. This can be triggered by setting a loop device's block size larger than PAGE_SIZE using ioctl(LOOP_SET_BLOCK_SIZE, 32768), then mounting a romfs filesystem on that device. When sb_set_blocksize(sb, ROMBSIZE) is called with ROMBSIZE=4096 but the device has logical_block_size=32768, bdev_validate_blocksize() fails because the requested size is smaller than the device's logical block size. sb_set_blocksize() returns 0 (failure), but romfs ignores this and continues mounting. The superblock's block size remains at the device's logical block size (32768). Later, when sb_bread() attempts I/O with this oversized block size, it triggers a kernel BUG in folio_set_bh(): kernel BUG at fs/buffer.c:1582! BUG_ON(size > PAGE_SIZE); Fix by checking the return value of sb_set_blocksize() and failing the mount with -EINVAL if it returns 0. Уязвимость компонента fs/romfs/super.c ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: espintcp: Fix race condition in espintcp_close() This issue was discovered during a code audit. After cancel_work_sync() is called from espintcp_close(), espintcp_tx_work() can still be scheduled from paths such as the Delayed ACK handler or ksoftirqd. As a result, the espintcp_tx_work() worker may dereference a freed espintcp ctx or sk. The following is a simple race scenario: cpu0 cpu1 espintcp_close() cancel_work_sync(&ctx->work); espintcp_write_space() schedule_work(&ctx->work); To prevent this race condition, cancel_work_sync() is replaced with disable_work_sync(). Уязвимость функции espintcp_close() ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды; - Использовать hardened ядро ОС (для linux-5.10, linux-5.15). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/siw: Fix potential NULL pointer dereference in header processing If siw_get_hdr() returns -EINVAL before set_rx_fpdu_context(), qp->rx_fpdu can be NULL. The error path in siw_tcp_rx_data() dereferences qp->rx_fpdu->more_ddp_segs without checking, which may lead to a NULL pointer deref. Only check more_ddp_segs when rx_fpdu is present. KASAN splat: [ 101.384271] KASAN: null-ptr-deref in range [0x00000000000000c0-0x00000000000000c7] [ 101.385869] RIP: 0010:siw_tcp_rx_data+0x13ad/0x1e50 Уязвимость компонента drivers/infiniband/sw/siw/siw_qp_rx.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/umad: Reject negative data_len in ib_umad_write ib_umad_write computes data_len from user-controlled count and the MAD header sizes. With a mismatched user MAD header size and RMPP header length, data_len can become negative and reach ib_create_send_mad(). This can make the padding calculation exceed the segment size and trigger an out-of-bounds memset in alloc_send_rmpp_list(). Add an explicit check to reject negative data_len before creating the send buffer. KASAN splat: [ 211.363464] BUG: KASAN: slab-out-of-bounds in ib_create_send_mad+0xa01/0x11b0 [ 211.364077] Write of size 220 at addr ffff88800c3fa1f8 by task spray_thread/102 [ 211.365867] ib_create_send_mad+0xa01/0x11b0 [ 211.365887] ib_umad_write+0x853/0x1c80 Уязвимость компонента drivers/infiniband/core/user_mad.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfs: check for deleted cursors when revalidating two btrees The free space and inode btree repair functions will rebuild both btrees at the same time, after which it needs to evaluate both btrees to confirm that the corruptions are gone. However, Jiaming Zhang ran syzbot and produced a crash in the second xchk_allocbt call. His root-cause analysis is as follows (with minor corrections): In xrep_revalidate_allocbt(), xchk_allocbt() is called twice (first for BNOBT, second for CNTBT). The cause of this issue is that the first call nullified the cursor required by the second call. Let's first enter xrep_revalidate_allocbt() via following call chain: xfs_file_ioctl() -> xfs_ioc_scrubv_metadata() -> xfs_scrub_metadata() -> `sc->ops->repair_eval(sc)` -> xrep_revalidate_allocbt() xchk_allocbt() is called twice in this function. In the first call: /* Note that sc->sm->sm_type is XFS_SCRUB_TYPE_BNOPT now */ xchk_allocbt() -> xchk_btree() -> `bs->scrub_rec(bs, recp)` -> xchk_allocbt_rec() -> xchk_allocbt_xref() -> xchk_allocbt_xref_other() since sm_type is XFS_SCRUB_TYPE_BNOBT, pur is set to &sc->sa.cnt_cur. Kernel called xfs_alloc_get_rec() and returned -EFSCORRUPTED. Call chain: xfs_alloc_get_rec() -> xfs_btree_get_rec() -> xfs_btree_check_block() -> (XFS_IS_CORRUPT || XFS_TEST_ERROR), the former is false and the latter is true, return -EFSCORRUPTED. This should be caused by ioctl$XFS_IOC_ERROR_INJECTION I guess. Back to xchk_allocbt_xref_other(), after receiving -EFSCORRUPTED from xfs_alloc_get_rec(), kernel called xchk_should_check_xref(). In this function, *curpp (points to sc->sa.cnt_cur) is nullified. Back to xrep_revalidate_allocbt(), since sc->sa.cnt_cur has been nullified, it then triggered null-ptr-deref via xchk_allocbt() (second call) -> xchk_btree(). So. The bnobt revalidation failed on a cross-reference attempt, so we deleted the cntbt cursor, and then crashed when we tried to revalidate the cntbt. Therefore, check for a null cntbt cursor before that revalidation, and mark the repair incomplete. Also we can ignore the second tree entirely if the first tree was rebuilt but is already corrupt. Apply the same fix to xrep_revalidate_iallocbt because it has the same problem. Уязвимость функции xrep_revalidate_allocbt() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfs: check return value of xchk_scrub_create_subord Fix this function to return NULL instead of a mangled ENOMEM, then fix the callers to actually check for a null pointer and return ENOMEM. Most of the corrections here are for code merged between 6.2 and 6.10. Уязвимость функции xchk_scrub_create_subord() ядра операционной системы Linux связана с некорректной проверкой возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfs: only call xf{array,blob}_destroy if we have a valid pointer Only call the xfarray and xfblob destructor if we have a valid pointer, and be sure to null out that pointer afterwards. Note that this patch fixes a large number of commits, most of which were merged between 6.9 and 6.10. Уязвимость функции xfarray_destroy() и xfblob_destroy() ядра операционной системы Linux связана с ошибкой разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: gro: fix outer network offset The udp GRO complete stage assumes that all the packets inserted the RX have the `encapsulation` flag zeroed. Such assumption is not true, as a few H/W NICs can set such flag when H/W offloading the checksum for an UDP encapsulated traffic, the tun driver can inject GSO packets with UDP encapsulation and the problematic layout can also be created via a veth based setup. Due to the above, in the problematic scenarios, udp4_gro_complete() uses the wrong network offset (inner instead of outer) to compute the outer UDP header pseudo checksum, leading to csum validation errors later on in packet processing. Address the issue always clearing the encapsulation flag at GRO completion time. Such flag will be set again as needed for encapsulated packets by udp_gro_complete(). Уязвимость функции udp4_gro_complete() модуля net/core/gro.c ядра операционной системы Linux связана с ошибочным сбросом флага инкапсуляции. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: liquidio: Fix off-by-one error in VF setup_nic_devices() cleanup In setup_nic_devices(), the initialization loop jumps to the label setup_nic_dev_free on failure. The current cleanup loop while(i--) skip the failing index i, causing a memory leak. Fix this by changing the loop to iterate from the current index i down to 0. Compile tested only. Issue found using code review. Уязвимость ядра операционной системы Linux связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: liquidio: Fix off-by-one error in PF setup_nic_devices() cleanup In setup_nic_devices(), the initialization loop jumps to the label setup_nic_dev_free on failure. The current cleanup loop while(i--) skip the failing index i, causing a memory leak. Fix this by changing the loop to iterate from the current index i down to 0. Also, decrement i in the devlink_alloc failure path to point to the last successfully allocated index. Compile tested only. Issue found using code review. Уязвимость функции setup_nic_devices() модуля drivers/net/ethernet/cavium/liquidio/lio_main.c ядра операционной системы Linux связана с ошибкой смещения на единицу. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: liquidio: Initialize netdev pointer before queue setup In setup_nic_devices(), the netdev is allocated using alloc_etherdev_mq(). However, the pointer to this structure is stored in oct->props[i].netdev only after the calls to netif_set_real_num_rx_queues() and netif_set_real_num_tx_queues(). If either of these functions fails, setup_nic_devices() returns an error without freeing the allocated netdev. Since oct->props[i].netdev is still NULL at this point, the cleanup function liquidio_destroy_nic_device() will fail to find and free the netdev, resulting in a memory leak. Fix this by initializing oct->props[i].netdev before calling the queue setup functions. This ensures that the netdev is properly accessible for cleanup in case of errors. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость функции setup_nic_devices() модуля drivers/net/ethernet/cavium/liquidio/lio_main.c ядра операционной системы Linux связана с использованием неинициализированного указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: regmap: maple: free entry on mas_store_gfp() failure regcache_maple_write() allocates a new block ('entry') to merge adjacent ranges and then stores it with mas_store_gfp(). When mas_store_gfp() fails, the new 'entry' remains allocated and is never freed, leaking memory. Free 'entry' on the failure path; on success continue freeing the replaced neighbor blocks ('lower', 'upper'). Уязвимость функции mas_store_gfp() модуля drivers/base/regmap/regcache-maple.c ядра операционной системы Linux связана с отсутствием высвобождения памяти после истечения срока ее действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nvme-fc: release admin tagset if init fails nvme_fabrics creates an NVMe/FC controller in following path: nvmf_dev_write() -> nvmf_create_ctrl() -> nvme_fc_create_ctrl() -> nvme_fc_init_ctrl() nvme_fc_init_ctrl() allocates the admin blk-mq resources right after nvme_add_ctrl() succeeds. If any of the subsequent steps fail (changing the controller state, scheduling connect work, etc.), we jump to the fail_ctrl path, which tears down the controller references but never frees the admin queue/tag set. The leaked blk-mq allocations match the kmemleak report seen during blktests nvme/fc. Check ctrl->ctrl.admin_tagset in the fail_ctrl path and call nvme_remove_admin_tag_set() when it is set so that all admin queue allocations are reclaimed whenever controller setup aborts. Уязвимость модуля drivers/nvme/host/fc.c ядра операционной системы Linux связана с неправильным отключением или высвобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gve: Fix stats report corruption on queue count change The driver and the NIC share a region in memory for stats reporting. The NIC calculates its offset into this region based on the total size of the stats region and the size of the NIC's stats. When the number of queues is changed, the driver's stats region is resized. If the queue count is increased, the NIC can write past the end of the allocated stats region, causing memory corruption. If the queue count is decreased, there is a gap between the driver and NIC stats, leading to incorrect stats reporting. This change fixes the issue by allocating stats region with maximum size, and the offset calculation for NIC stats is changed to match with the calculation of the NIC. Уязвимость ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Revert "drm/amd: Check if ASPM is enabled from PCIe subsystem" This reverts commit 7294863a6f01248d72b61d38478978d638641bee. This commit was erroneously applied again after commit 0ab5d711ec74 ("drm/amd: Refactor `amdgpu_aspm` to be evaluated per device") removed it, leading to very hard to debug crashes, when used with a system with two AMD GPUs of which only one supports ASPM. (cherry picked from commit 97a9689300eb2b393ba5efc17c8e5db835917080) Уязвимость ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: rivafb: fix divide error in nv3_arb() A userspace program can trigger the RIVA NV3 arbitration code by calling the FBIOPUT_VSCREENINFO ioctl on /dev/fb*. When doing so, the driver recomputes FIFO arbitration parameters in nv3_arb(), using state->mclk_khz (derived from the PRAMDAC MCLK PLL) as a divisor without validating it first. In a normal setup, state->mclk_khz is provided by the real hardware and is non-zero. However, an attacker can construct a malicious or misconfigured device (e.g. a crafted/emulated PCI device) that exposes a bogus PLL configuration, causing state->mclk_khz to become zero. Once nv3_get_param() calls nv3_arb(), the division by state->mclk_khz in the gns calculation causes a divide error and crashes the kernel. Fix this by checking whether state->mclk_khz is zero and bailing out before doing the division. The following log reveals it: rivafb: setting virtual Y resolution to 2184 divide error: 0000 [#1] PREEMPT SMP KASAN PTI CPU: 0 PID: 2187 Comm: syz-executor.0 Not tainted 5.18.0-rc1+ #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.12.0-59-gc9ba5276e321-prebuilt.qemu.org 04/01/2014 RIP: 0010:nv3_arb drivers/video/fbdev/riva/riva_hw.c:439 [inline] RIP: 0010:nv3_get_param+0x3ab/0x13b0 drivers/video/fbdev/riva/riva_hw.c:546 Call Trace: nv3CalcArbitration.constprop.0+0x255/0x460 drivers/video/fbdev/riva/riva_hw.c:603 nv3UpdateArbitrationSettings drivers/video/fbdev/riva/riva_hw.c:637 [inline] CalcStateExt+0x447/0x1b90 drivers/video/fbdev/riva/riva_hw.c:1246 riva_load_video_mode+0x8a9/0xea0 drivers/video/fbdev/riva/fbdev.c:779 rivafb_set_par+0xc0/0x5f0 drivers/video/fbdev/riva/fbdev.c:1196 fb_set_var+0x604/0xeb0 drivers/video/fbdev/core/fbmem.c:1033 do_fb_ioctl+0x234/0x670 drivers/video/fbdev/core/fbmem.c:1109 fb_ioctl+0xdd/0x130 drivers/video/fbdev/core/fbmem.c:1188 __x64_sys_ioctl+0x122/0x190 fs/ioctl.c:856 Уязвимость функции nv3_arb() модуля drivers/video/fbdev/riva/riva_hw.c ядра операционной системы Linux связана с ошибочным делением на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix IS_CHECKPOINTED flag inconsistency issue caused by concurrent atomic commit and checkpoint writes During SPO tests, when mounting F2FS, an -EINVAL error was returned from f2fs_recover_inode_page. The issue occurred under the following scenario Thread A Thread B f2fs_ioc_commit_atomic_write - f2fs_do_sync_file // atomic = true - f2fs_fsync_node_pages : last_folio = inode folio : schedule before folio_lock(last_folio) f2fs_write_checkpoint - block_operations// writeback last_folio - schedule before f2fs_flush_nat_entries : set_fsync_mark(last_folio, 1) : set_dentry_mark(last_folio, 1) : folio_mark_dirty(last_folio) - __write_node_folio(last_folio) : f2fs_down_read(&sbi->node_write)//block - f2fs_flush_nat_entries : {struct nat_entry}->flag |= BIT(IS_CHECKPOINTED) - unblock_operations : f2fs_up_write(&sbi->node_write) f2fs_write_checkpoint//return : f2fs_do_write_node_page() f2fs_ioc_commit_atomic_write//return SPO Thread A calls f2fs_need_dentry_mark(sbi, ino), and the last_folio has already been written once. However, the {struct nat_entry}->flag did not have the IS_CHECKPOINTED set, causing set_dentry_mark(last_folio, 1) and write last_folio again after Thread B finishes f2fs_write_checkpoint. After SPO and reboot, it was detected that {struct node_info}->blk_addr was not NULL_ADDR because Thread B successfully write the checkpoint. This issue only occurs in atomic write scenarios. For regular file fsync operations, the folio must be dirty. If block_operations->f2fs_sync_node_pages successfully submit the folio write, this path will not be executed. Otherwise, the f2fs_write_checkpoint will need to wait for the folio write submission to complete, as sbi->nr_pages[F2FS_DIRTY_NODES] > 0. Therefore, the situation where f2fs_need_dentry_mark checks that the {struct nat_entry}->flag /wo the IS_CHECKPOINTED flag, but the folio write has already been submitted, will not occur. Therefore, for atomic file fsync, sbi->node_write should be acquired through __write_node_folio to ensure that the IS_CHECKPOINTED flag correctly indicates that the checkpoint write has been completed. Уязвимость модуля fs/f2fs/node.c ядра операционной системы Linux связана с неправильной синхронизацией в результате некорректной проверки флага IS_CHECKPOINTED. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix unprivileged local user can do privileged policy management An unprivileged local user can load, replace, and remove profiles by opening the apparmorfs interfaces, via a confused deputy attack, by passing the opened fd to a privileged process, and getting the privileged process to write to the interface. This does require a privileged target that can be manipulated to do the write for the unprivileged process, but once such access is achieved full policy management is possible and all the possible implications that implies: removing confinement, DoS of system or target applications by denying all execution, by-passing the unprivileged user namespace restriction, to exploiting kernel bugs for a local privilege escalation. The policy management interface can not have its permissions simply changed from 0666 to 0600 because non-root processes need to be able to load policy to different policy namespaces. Instead ensure the task writing the interface has privileges that are a subset of the task that opened the interface. This is already done via policy for confined processes, but unconfined can delegate access to the opened fd, by-passing the usual policy check. Уязвимость компонента apparmor ядра операционной системы Linux связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: validate DFA start states are in bounds in unpack_pdb Start states are read from untrusted data and used as indexes into the DFA state tables. The aa_dfa_next() function call in unpack_pdb() will access dfa->tables[YYTD_ID_BASE][start], and if the start state exceeds the number of states in the DFA, this results in an out-of-bound read. ================================================================== BUG: KASAN: slab-out-of-bounds in aa_dfa_next+0x2a1/0x360 Read of size 4 at addr ffff88811956fb90 by task su/1097 ... Reject policies with out-of-bounds start states during unpacking to prevent the issue. Уязвимость компонента apparmor ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: unconditionally bump set->nelems before insertion In case that the set is full, a new element gets published then removed without waiting for the RCU grace period, while RCU reader can be walking over it already. To address this issue, add the element transaction even if set is full, but toggle the set_full flag to report -ENFILE so the abort path safely unwinds the set to its previous state. As for element updates, decrement set->nelems to restore it. A simpler fix is to call synchronize_rcu() in the error path. However, with a large batch adding elements to already maxed-out set, this could cause noticeable slowdown of such batches. Уязвимость функции nft_add_set_elem() компонента net/netfilter/nf_tables_api.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2026-23272 необходимо запретить загрузку модуля nf_tables.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль nf_tables в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep nf_tables``` или ``` kmod list | grep nf_tables``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod nf_tables``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install nf_tables /bin/true``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: macvlan: observe an RCU grace period in macvlan_common_newlink() error path valis reported that a race condition still happens after my prior patch. macvlan_common_newlink() might have made @dev visible before detecting an error, and its caller will directly call free_netdev(dev). We must respect an RCU period, either in macvlan or the core networking stack. After adding a temporary mdelay(1000) in macvlan_forward_source_one() to open the race window, valis repro was: ip link add p1 type veth peer p2 ip link set address 00:00:00:00:00:20 dev p1 ip link set up dev p1 ip link set up dev p2 ip link add mv0 link p2 type macvlan mode source (ip link add invalid% link p2 type macvlan mode source macaddr add 00:00:00:00:00:20 &) ; sleep 0.5 ; ping -c1 -I p1 1.2.3.4 PING 1.2.3.4 (1.2.3.4): 56 data bytes RTNETLINK answers: Invalid argument BUG: KASAN: slab-use-after-free in macvlan_forward_source (drivers/net/macvlan.c:408 drivers/net/macvlan.c:444) Read of size 8 at addr ffff888016bb89c0 by task e/175 CPU: 1 UID: 1000 PID: 175 Comm: e Not tainted 6.19.0-rc8+ #33 NONE Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.14.0-2 04/01/2014 Call Trace: <IRQ> dump_stack_lvl (lib/dump_stack.c:123) print_report (mm/kasan/report.c:379 mm/kasan/report.c:482) ? macvlan_forward_source (drivers/net/macvlan.c:408 drivers/net/macvlan.c:444) kasan_report (mm/kasan/report.c:597) ? macvlan_forward_source (drivers/net/macvlan.c:408 drivers/net/macvlan.c:444) macvlan_forward_source (drivers/net/macvlan.c:408 drivers/net/macvlan.c:444) ? tasklet_init (kernel/softirq.c:983) macvlan_handle_frame (drivers/net/macvlan.c:501) Allocated by task 169: kasan_save_stack (mm/kasan/common.c:58) kasan_save_track (./arch/x86/include/asm/current.h:25 mm/kasan/common.c:70 mm/kasan/common.c:79) __kasan_kmalloc (mm/kasan/common.c:419) __kvmalloc_node_noprof (./include/linux/kasan.h:263 mm/slub.c:5657 mm/slub.c:7140) alloc_netdev_mqs (net/core/dev.c:12012) rtnl_create_link (net/core/rtnetlink.c:3648) rtnl_newlink (net/core/rtnetlink.c:3830 net/core/rtnetlink.c:3957 net/core/rtnetlink.c:4072) rtnetlink_rcv_msg (net/core/rtnetlink.c:6958) netlink_rcv_skb (net/netlink/af_netlink.c:2550) netlink_unicast (net/netlink/af_netlink.c:1319 net/netlink/af_netlink.c:1344) netlink_sendmsg (net/netlink/af_netlink.c:1894) __sys_sendto (net/socket.c:727 net/socket.c:742 net/socket.c:2206) __x64_sys_sendto (net/socket.c:2209) do_syscall_64 (arch/x86/entry/syscall_64.c:63 arch/x86/entry/syscall_64.c:94) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:131) Freed by task 169: kasan_save_stack (mm/kasan/common.c:58) kasan_save_track (./arch/x86/include/asm/current.h:25 mm/kasan/common.c:70 mm/kasan/common.c:79) kasan_save_free_info (mm/kasan/generic.c:587) __kasan_slab_free (mm/kasan/common.c:287) kfree (mm/slub.c:6674 mm/slub.c:6882) rtnl_newlink (net/core/rtnetlink.c:3845 net/core/rtnetlink.c:3957 net/core/rtnetlink.c:4072) rtnetlink_rcv_msg (net/core/rtnetlink.c:6958) netlink_rcv_skb (net/netlink/af_netlink.c:2550) netlink_unicast (net/netlink/af_netlink.c:1319 net/netlink/af_netlink.c:1344) netlink_sendmsg (net/netlink/af_netlink.c:1894) __sys_sendto (net/socket.c:727 net/socket.c:742 net/socket.c:2206) __x64_sys_sendto (net/socket.c:2209) do_syscall_64 (arch/x86/entry/syscall_64.c:63 arch/x86/entry/syscall_64.c:94) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:131) Уязвимость компонента drivers/net/macvlan.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing/dma: Cap dma_map_sg tracepoint arrays to prevent buffer overflow The dma_map_sg tracepoint can trigger a perf buffer overflow when tracing large scatter-gather lists. With devices like virtio-gpu creating large DRM buffers, nents can exceed 1000 entries, resulting in: phys_addrs: 1000 * 8 bytes = 8,000 bytes dma_addrs: 1000 * 8 bytes = 8,000 bytes lengths: 1000 * 4 bytes = 4,000 bytes Total: ~20,000 bytes This exceeds PERF_MAX_TRACE_SIZE (8192 bytes), causing: WARNING: CPU: 0 PID: 5497 at kernel/trace/trace_event_perf.c:405 perf buffer not large enough, wanted 24620, have 8192 Cap all three dynamic arrays at 128 entries using min() in the array size calculation. This ensures arrays are only as large as needed (up to the cap), avoiding unnecessary memory allocation for small operations while preventing overflow for large ones. The tracepoint now records the full nents/ents counts and a truncated flag so users can see when data has been capped. Changes in v2: - Use min(nents, DMA_TRACE_MAX_ENTRIES) for dynamic array sizing instead of fixed DMA_TRACE_MAX_ENTRIES allocation (feedback from Steven Rostedt) - This allocates only what's needed up to the cap, avoiding waste for small operations Reviwed-by: Sean Anderson <sean.anderson@linux.dev> Уязвимость компонента tracing/dma ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости CVE-2026-23390 необходимо отключить трассировку `dma_map_sg`. Проверить доступность события dma_map_sg можно с помощью следующей команды: ``` sudo cat /sys/kernel/debug/tracing/events/dma/dma_map_sg/enable ``` Если в выводе команды 0, то трассировка `dma_map_sg` отключена. В противном случае трассировку `dma_map_sg` нужно отключить. От имени администратора системы с высоким уровнем целостности выполните команду: ``` sudo echo 0 | sudo tee /sys/kernel/debug/tracing/events/dma/dma_map_sg/enable ``` Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix memory leak in verify_header The function sets `*ns = NULL` on every call, leaking the namespace string allocated in previous iterations when multiple profiles are unpacked. This also breaks namespace consistency checking since *ns is always NULL when the comparison is made. Remove the incorrect assignment. The caller (aa_unpack) initializes *ns to NULL once before the loop, which is sufficient. Уязвимость компонента apparmor ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: replace recursive profile removal with iterative approach The profile removal code uses recursion when removing nested profiles, which can lead to kernel stack exhaustion and system crashes. Reproducer: $ pf='a'; for ((i=0; i<1024; i++)); do echo -e "profile $pf { \n }" | apparmor_parser -K -a; pf="$pf//x"; done $ echo -n a > /sys/kernel/security/apparmor/.remove Replace the recursive __aa_profile_list_release() approach with an iterative approach in __remove_profile(). The function repeatedly finds and removes leaf profiles until the entire subtree is removed, maintaining the same removal semantic without recursion. Уязвимость компонента apparmor ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix: limit the number of levels of policy namespaces Currently the number of policy namespaces is not bounded relying on the user namespace limit. However policy namespaces aren't strictly tied to user namespaces and it is possible to create them and nest them arbitrarily deep which can be used to exhaust system resource. Hard cap policy namespaces to the same depth as user namespaces. Уязвимость компонента apparmor ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix side-effect bug in match_char() macro usage The match_char() macro evaluates its character parameter multiple times when traversing differential encoding chains. When invoked with *str++, the string pointer advances on each iteration of the inner do-while loop, causing the DFA to check different characters at each iteration and therefore skip input characters. This results in out-of-bounds reads when the pointer advances past the input buffer boundary. [ 94.984676] ================================================================== [ 94.985301] BUG: KASAN: slab-out-of-bounds in aa_dfa_match+0x5ae/0x760 [ 94.985655] Read of size 1 at addr ffff888100342000 by task file/976 [ 94.986319] CPU: 7 UID: 1000 PID: 976 Comm: file Not tainted 6.19.0-rc7-next-20260127 #1 PREEMPT(lazy) [ 94.986322] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 94.986329] Call Trace: [ 94.986341] <TASK> [ 94.986347] dump_stack_lvl+0x5e/0x80 [ 94.986374] print_report+0xc8/0x270 [ 94.986384] ? aa_dfa_match+0x5ae/0x760 [ 94.986388] kasan_report+0x118/0x150 [ 94.986401] ? aa_dfa_match+0x5ae/0x760 [ 94.986405] aa_dfa_match+0x5ae/0x760 [ 94.986408] __aa_path_perm+0x131/0x400 [ 94.986418] aa_path_perm+0x219/0x2f0 [ 94.986424] apparmor_file_open+0x345/0x570 [ 94.986431] security_file_open+0x5c/0x140 [ 94.986442] do_dentry_open+0x2f6/0x1120 [ 94.986450] vfs_open+0x38/0x2b0 [ 94.986453] ? may_open+0x1e2/0x2b0 [ 94.986466] path_openat+0x231b/0x2b30 [ 94.986469] ? __x64_sys_openat+0xf8/0x130 [ 94.986477] do_file_open+0x19d/0x360 [ 94.986487] do_sys_openat2+0x98/0x100 [ 94.986491] __x64_sys_openat+0xf8/0x130 [ 94.986499] do_syscall_64+0x8e/0x660 [ 94.986515] ? count_memcg_events+0x15f/0x3c0 [ 94.986526] ? srso_alias_return_thunk+0x5/0xfbef5 [ 94.986540] ? handle_mm_fault+0x1639/0x1ef0 [ 94.986551] ? vma_start_read+0xf0/0x320 [ 94.986558] ? srso_alias_return_thunk+0x5/0xfbef5 [ 94.986561] ? srso_alias_return_thunk+0x5/0xfbef5 [ 94.986563] ? fpregs_assert_state_consistent+0x50/0xe0 [ 94.986572] ? srso_alias_return_thunk+0x5/0xfbef5 [ 94.986574] ? arch_exit_to_user_mode_prepare+0x9/0xb0 [ 94.986587] ? srso_alias_return_thunk+0x5/0xfbef5 [ 94.986588] ? irqentry_exit+0x3c/0x590 [ 94.986595] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 94.986597] RIP: 0033:0x7fda4a79c3ea Fix by extracting the character value before invoking match_char, ensuring single evaluation per outer loop. Уязвимость компонента apparmor ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix missing bounds check on DEFAULT table in verify_dfa() The verify_dfa() function only checks DEFAULT_TABLE bounds when the state is not differentially encoded. When the verification loop traverses the differential encoding chain, it reads k = DEFAULT_TABLE[j] and uses k as an array index without validation. A malformed DFA with DEFAULT_TABLE[j] >= state_count, therefore, causes both out-of-bounds reads and writes. [ 57.179855] ================================================================== [ 57.180549] BUG: KASAN: slab-out-of-bounds in verify_dfa+0x59a/0x660 [ 57.180904] Read of size 4 at addr ffff888100eadec4 by task su/993 [ 57.181554] CPU: 1 UID: 0 PID: 993 Comm: su Not tainted 6.19.0-rc7-next-20260127 #1 PREEMPT(lazy) [ 57.181558] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 57.181563] Call Trace: [ 57.181572] <TASK> [ 57.181577] dump_stack_lvl+0x5e/0x80 [ 57.181596] print_report+0xc8/0x270 [ 57.181605] ? verify_dfa+0x59a/0x660 [ 57.181608] kasan_report+0x118/0x150 [ 57.181620] ? verify_dfa+0x59a/0x660 [ 57.181623] verify_dfa+0x59a/0x660 [ 57.181627] aa_dfa_unpack+0x1610/0x1740 [ 57.181629] ? __kmalloc_cache_noprof+0x1d0/0x470 [ 57.181640] unpack_pdb+0x86d/0x46b0 [ 57.181647] ? srso_alias_return_thunk+0x5/0xfbef5 [ 57.181653] ? srso_alias_return_thunk+0x5/0xfbef5 [ 57.181656] ? aa_unpack_nameX+0x1a8/0x300 [ 57.181659] aa_unpack+0x20b0/0x4c30 [ 57.181662] ? srso_alias_return_thunk+0x5/0xfbef5 [ 57.181664] ? stack_depot_save_flags+0x33/0x700 [ 57.181681] ? kasan_save_track+0x4f/0x80 [ 57.181683] ? kasan_save_track+0x3e/0x80 [ 57.181686] ? __kasan_kmalloc+0x93/0xb0 [ 57.181688] ? __kvmalloc_node_noprof+0x44a/0x780 [ 57.181693] ? aa_simple_write_to_buffer+0x54/0x130 [ 57.181697] ? policy_update+0x154/0x330 [ 57.181704] aa_replace_profiles+0x15a/0x1dd0 [ 57.181707] ? srso_alias_return_thunk+0x5/0xfbef5 [ 57.181710] ? __kvmalloc_node_noprof+0x44a/0x780 [ 57.181712] ? aa_loaddata_alloc+0x77/0x140 [ 57.181715] ? srso_alias_return_thunk+0x5/0xfbef5 [ 57.181717] ? _copy_from_user+0x2a/0x70 [ 57.181730] policy_update+0x17a/0x330 [ 57.181733] profile_replace+0x153/0x1a0 [ 57.181735] ? rw_verify_area+0x93/0x2d0 [ 57.181740] vfs_write+0x235/0xab0 [ 57.181745] ksys_write+0xb0/0x170 [ 57.181748] do_syscall_64+0x8e/0x660 [ 57.181762] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 57.181765] RIP: 0033:0x7f6192792eb2 Remove the MATCH_FLAG_DIFF_ENCODE condition to validate all DEFAULT_TABLE entries unconditionally. Уязвимость функции verify_dfa() ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: Fix double free of ns_name in aa_replace_profiles() if ns_name is NULL after 1071 error = aa_unpack(udata, &lh, &ns_name); and if ent->ns_name contains an ns_name in 1089 } else if (ent->ns_name) { then ns_name is assigned the ent->ns_name 1095 ns_name = ent->ns_name; however ent->ns_name is freed at 1262 aa_load_ent_free(ent); and then again when freeing ns_name at 1270 kfree(ns_name); Fix this by NULLing out ent->ns_name after it is transferred to ns_name ") Уязвимость компонента apparmor ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix differential encoding verification Differential encoding allows loops to be created if it is abused. To prevent this the unpack should verify that a diff-encode chain terminates. Unfortunately the differential encode verification had two bugs. 1. it conflated states that had gone through check and already been marked, with states that were currently being checked and marked. This means that loops in the current chain being verified are treated as a chain that has already been verified. 2. the order bailout on already checked states compared current chain check iterators j,k instead of using the outer loop iterator i. Meaning a step backwards in states in the current chain verification was being mistaken for moving to an already verified state. Move to a double mark scheme where already verified states get a different mark, than the current chain being kept. This enables us to also drop the backwards verification check that was the cause of the second error as any already verified state is already marked. Уязвимость модуля безопасности ядра AppArmor операционной системы Linux связана с ошибками кодирования. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix race on rawdata dereference There is a race condition that leads to a use-after-free situation: because the rawdata inodes are not refcounted, an attacker can start open()ing one of the rawdata files, and at the same time remove the last reference to this rawdata (by removing the corresponding profile, for example), which frees its struct aa_loaddata; as a result, when seq_rawdata_open() is reached, i_private is a dangling pointer and freed memory is accessed. The rawdata inodes weren't refcounted to avoid a circular refcount and were supposed to be held by the profile rawdata reference. However during profile removal there is a window where the vfs and profile destruction race, resulting in the use after free. Fix this by moving to a double refcount scheme. Where the profile refcount on rawdata is used to break the circular dependency. Allowing for freeing of the rawdata once all inode references to the rawdata are put. Уязвимость модуля безопасности ядра AppArmor операционной системы Linux вызвана ситуацией гонки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix race between freeing data and fs accessing it AppArmor was putting the reference to i_private data on its end after removing the original entry from the file system. However the inode can aand does live beyond that point and it is possible that some of the fs call back functions will be invoked after the reference has been put, which results in a race between freeing the data and accessing it through the fs. While the rawdata/loaddata is the most likely candidate to fail the race, as it has the fewest references. If properly crafted it might be possible to trigger a race for the other types stored in i_private. Fix this by moving the put of i_private referenced data to the correct place which is during inode eviction. Уязвимость модуля безопасности ядра AppArmor операционной системы Linux вызвана состоянием гонки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 pyasn1 pyasn1 is a generic ASN.1 library for Python. Prior to 0.6.2, a Denial-of-Service issue has been found that leads to memory exhaustion from malformed RELATIVE-OID with excessive continuation octets. This vulnerability is fixed in 0.6.2. Уязвимость реализации кодеков ASN.1 Pyasn1 связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) pyasn1: - Использовать ПО pyasn1 только на низком или отдельно выделенном уровне целостности - При использовании ПО pyasn1 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска pyasn1 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды python-pyasn1-modules: - Использовать ПО python-pyasn1-modules только на низком или отдельно выделенном уровне целостности - При использовании ПО python-pyasn1-modules выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-pyasn1-modules только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.21.0,`freerdp_bitmap_decompress_planar` does not validate `nSrcWidth`/`nSrcHeight` against `planar->maxWidth`/`maxHeight` before RLE decode. A malicious server can trigger a client‑side heap buffer overflow, causing a crash (DoS) and potential heap corruption with code‑execution risk depending on allocator behavior and surrounding heap layout. Version 3.21.0 contains a patch for the issue. Уязвимость функции planar_decompress_plane_rle() RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.21.0, in ClearCodec, when `glyphData` is present, `clear_decompress` calls `freerdp_image_copy_no_overlap` without validating the destination rectangle, allowing an out-of-bounds read/write via crafted RDPGFX surface updates. A malicious server can trigger a client‑side heap buffer overflow, causing a crash (DoS) and potential heap corruption with code‑execution risk depending on allocator behavior and surrounding heap layout. Version 3.21.0 contains a patch for the issue. Уязвимость функции clear_decompress() RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.21.0, a client-side heap buffer overflow occurs in the FreeRDP client’s `gdi_SurfaceToSurface` path due to a mismatch between destination rectangle clamping and the actual copy size. A malicious server can trigger a client‑side heap buffer overflow, causing a crash (DoS) and potential heap corruption with code‑execution risk depending on allocator behavior and surrounding heap layout. Version 3.21.0 contains a patch for the issue. Уязвимость функции gdi_SurfaceToSurface() RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.21.0, a client-side heap buffer overflow occurs in the RDPGFX ClearCodec decode path when maliciously crafted residual data causes out-of-bounds writes during color output. A malicious server can trigger a client‑side heap buffer overflow, causing a crash (DoS) and potential heap corruption with code‑execution risk depending on allocator behavior and surrounding heap layout. Version 3.21.0 contains a patch for the issue. Уязвимость функции clear_decompress_residual_data() RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.21.0, a client-side heap buffer overflow occurs in the ClearCodec bands decode path when crafted band coordinates allow writes past the end of the destination surface buffer. A malicious server can trigger a client‑side heap buffer overflow, causing a crash (DoS) and potential heap corruption with code‑execution risk depending on allocator behavior and surrounding heap layout. Version 3.21.0 contains a patch for the issue. Уязвимость функции clear_decompress_bands_data() RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 libsoup2.4 A flaw was found in libsoup. An integer underflow vulnerability occurs when processing content with a zero-length resource, leading to a buffer overread. This can allow an attacker to potentially access sensitive information or cause an application level denial of service. Уязвимость библиотеки доступа к HTTP серверам LibSoup связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L', score=6.5) libsoup2.4: - Отказаться от использования ПО libsoup2.4 в пользу ПО libcurl - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.21.0, FastGlyph parsing trusts `cbData`/remaining length and never validates against the minimum size implied by `cx/cy`. A malicious server can trigger a client‑side global buffer overflow, causing a crash (DoS). Version 3.21.0 contains a patch for the issue. Уязвимость функции Glyph_Alloc() RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 giflib Giflib contains a double-free vulnerability that is the result of a shallow copy in GifMakeSavedImage and incorrect error handling. The conditions needed to trigger this vulnerability are difficult but may be possible. Уязвимость библиотеки для работы с GIF файлами GIFLIB связана с ошибкой повторного освобождения памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.1) giflib: - При использовании ПО giflib выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО giflib в пользу ПО libwebp - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Versions prior to 7.1.2-13 have a stack overflow via infinite recursion in MSL (Magick Scripting Language) `<write>` command when writing to MSL format. Version 7.1.2-13 fixes the issue. Уязвимость команды MSL (Magick Scripting Language) <write> консольного графического редактора ImageMagick связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-13 and 6.9.13-38, a heap buffer overflow vulnerability in the XBM image decoder (ReadXBMImage) allows an attacker to write controlled data past the allocated heap buffer when processing a maliciously crafted image file. Any operation that reads or identifies an image can trigger the overflow, making it exploitable via common image upload and processing pipelines. Versions 7.1.2-13 and 6.9.13-38 fix the issue. Уязвимость функции ReadXBMImage() консольного графического редактора ImageMagick связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.21.0, `xf_Pointer_New` frees `cursorPixels` on failure, then `pointer_free` calls `xf_Pointer_Free` and frees it again, triggering ASan UAF. A malicious server can trigger a client‑side use after free, causing a crash (DoS) and potential heap corruption with code‑execution risk depending on allocator behavior and surrounding heap layout. Version 3.21.0 contains a patch for the issue. Уязвимость функции update_pointer_new() RDP-клиента FreeRDP связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.21.0, offscreen bitmap deletion leaves `gdi->drawing` pointing to freed memory, causing UAF when related update packets arrive. A malicious server can trigger a client‑side use after free, causing a crash (DoS) and potential heap corruption with code‑execution risk depending on allocator behavior and surrounding heap layout. Version 3.21.0 contains a patch for the issue. Уязвимость функции gdi_set_bounds() RDP-клиента FreeRDP связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код и вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 erlang Inconsistent Interpretation of HTTP Requests ('HTTP Request Smuggling') vulnerability in Erlang OTP (inets httpd module) allows HTTP Request Smuggling. This vulnerability is associated with program files lib/inets/src/http_server/httpd_request.erl and program routines httpd_request:parse_headers/7. The server does not reject or normalize duplicate Content-Length headers. The earliest Content-Length in the request is used for body parsing while common reverse proxies (nginx, Apache httpd, Envoy) honor the last Content-Length value. This violates RFC 9112 Section 6.3 and allows front-end/back-end desynchronization, leaving attacker-controlled bytes queued as the start of the next request. This issue affects OTP from OTP 17.0 before OTP 28.4.1, OTP 27.3.4.9 and OTP 26.2.5.18, corresponding to inets from 5.10 before 9.6.1, 9.3.2.3 and 9.1.0.5. Уязвимость набора библиотек OTP языка программирования Erlang связана с недостатками обработки http-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществлять атаки с подменой HTTP-запросов [NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L', score=9.4) erlang-jose: - Включить межсетевой экран ufw - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды erlang: - Включить межсетевой экран ufw - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.22.0, a NULL pointer dereference vulnerability in rdp_write_logon_info_v2() allows a malicious RDP server to crash FreeRDP proxy by sending a specially crafted LogonInfoV2 PDU with cbDomain=0 or cbUserName=0. This vulnerability is fixed in 3.22.0. Уязвимость функции rdp_write_logon_info_v2() RDP-клиента FreeRDP связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Versions 14.10.1 and below have a NULL pointer dereference vulnerability in the MSL (Magick Scripting Language) parser when processing <comment> tags before images are loaded. This can lead to DoS attack due to assertion failure (debug builds) or NULL pointer dereference (release builds). This issue is fixed in version 14.10.2. Уязвимость функции MSLEndElement() компонента coders/msl.c консольного графического редактора ImageMagick связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libsoup3 A flaw was found in libsoup's SoupServer. A remote attacker could exploit a use-after-free vulnerability where the `soup_server_disconnect()` function frees connection objects prematurely, even if a TLS handshake is still pending. If the handshake completes after the connection object has been freed, a dangling pointer is accessed, leading to a server crash and a Denial of Service. Уязвимость компонента soup-server-connection.c библиотеки доступа к HTTP серверам LibSoup связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=6.5) libsoup3: - Обеспечить возможность использования библиотеки llibsoup3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 libsoup3, libsoup2.4 A flaw was identified in libsoup, a widely used HTTP library in GNOME-based systems. When processing specially crafted HTTP Range headers, the library may improperly validate requested byte ranges. In certain build configurations, this could allow a remote attacker to access portions of server memory beyond the intended response. Exploitation requires a vulnerable configuration and access to a server using the embedded SoupServer component. Уязвимость библиотеки доступа к HTTP серверам LibSoup связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a heap information disclosure vulnerability exists in ImageMagick's PSD (Adobe Photoshop) format handler. When processing a maliciously crafted PSD file containing ZIP-compressed layer data that decompresses to less than the expected size, uninitialized heap memory is leaked into the output image. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость консольного графического редактора ImageMagick связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного PSD файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, Magick fails to check for multi-layer nested mvg conversions to svg, leading to DoS. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость консольного графического редактора ImageMagick связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, when a PCD file does not contain a valid Sync marker, the DecodeImage() function becomes trapped in an infinite loop while searching for the Sync marker, causing the program to become unresponsive and continuously consume CPU resources, ultimately leading to system resource exhaustion and denial of service. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость консольного графического редактора ImageMagick связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.22.0, video_timer can send client notifications after the control channel is closed, dereferencing a freed callback and triggering a use after free. This vulnerability is fixed in 3.22.0. Уязвимость функции video_timer() реализации протокола удалённого рабочего стола FreeRDP связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.22.0, urb_select_interface can free the device's MS config on error but later code still dereferences it, leading to a use after free in libusb_udev_select_interface. This vulnerability is fixed in 3.22.0. Уязвимость функции urb_select_interface() RDP-клиента FreeRDP связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.22.0, AUDIN format renegotiation frees the active format list while the capture thread continues using audin->format, leading to a use after free in audio_format_compatible. This vulnerability is fixed in 3.22.0. Уязвимость функции audio_format_compatible() RDP-клиента FreeRDP связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.22.0, ecam_encoder_compress_h264 trusts server-controlled dimensions and does not validate the source buffer size, leading to an out-of-bounds read in sws_scale. This vulnerability is fixed in 3.22.0. Уязвимость функции ecam_encoder_compress_h264() реализации протокола удалённого рабочего стола FreeRDP связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным или вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.22.0, A capture thread sends sample responses using a freed channel callback after a device channel close, leading to a use after free in ecam_channel_write. This vulnerability is fixed in 3.22.0. Уязвимость функции ecam_channel_write() реализации протокола удалённого рабочего стола FreeRDP связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.22.0, The URBDRC client uses server-supplied interface numbers as array indices without bounds checks, causing an out-of-bounds read in libusb_udev_select_interface. This vulnerability is fixed in 3.22.0. Уязвимость функции libusb_udev_select_interface() RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.22.0, sdl_Pointer_New frees data on failure, then pointer_free calls sdl_Pointer_Free and frees it again, triggering ASan UAF. This vulnerability is fixed in 3.22.0. Уязвимость функций sdl_Pointer_New() и sdl_Pointer_Free() реализации протокола удалённого рабочего стола FreeRDP связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.22.0, aAsynchronous bulk transfer completions can use a freed channel callback after URBDRC channel close, leading to a use after free in urb_write_completion. This vulnerability is fixed in 3.22.0. Уязвимость функции urb_write_completion() RDP-клиента FreeRDP связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.22.0, audin_server_recv_formats frees an incorrect number of audio formats on parse failure (i + i), leading to out-of-bounds access in audio_formats_free. This vulnerability is fixed in 3.22.0. Уязвимость функции audin_server_recv_formats() RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. ainput_send_input_event caches channel_callback in a local variable and later uses it without synchronization; a concurrent channel close can free or reinitialize the callback, leading to a use after free. Prior to 3.22.0, This vulnerability is fixed in 3.22.0. Уязвимость функции ainput_send_input_event() RDP-клиента FreeRDP связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.22.0, the RDPSND async playback thread can process queued PDUs after the channel is closed and internal state is freed, leading to a use after free in rdpsnd_treat_wave. This vulnerability is fixed in 3.22.0. Уязвимость компонента RDPSND async playback thread RDP-клиента FreeRDP связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 alsa-lib alsa-lib versions 1.2.2 up to and including 1.2.15.2, prior to commit 5f7fe33, contain a heap-based buffer overflow in the topology mixer control decoder. The tplg_decode_control_mixer1() function reads the num_channels field from untrusted .tplg data and uses it as a loop bound without validating it against the fixed-size channel array (SND_TPLG_MAX_CHAN). A crafted topology file with an excessive num_channels value can cause out-of-bounds heap writes, leading to a crash. Уязвимость функции tplg_decode_control_mixer1 библиотеки для взаимодействия со звуковыми драйверами ядра связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-129')] None None Astra Linux 1.8 expat In libexpat before 2.7.4, the doContent function does not properly determine the buffer size bufSize because there is no integer overflow check for tag buffer reallocation. Уязвимость библиотеки для анализа XML-файлов libexpat связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L', score=6.9) expat: - При использовании ПО expat выполнять обработку файлов, полученных только из доверенных источников - По возможности запускайте приложения, использующие ПО expat, в изолированной программной среде с применением инструмента Firejail - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a heap buffer over-read vulnerability exists in multiple raw image format handles. The vulnerability occurs when processing images with -extract dimensions larger than -size dimensions, causing out-of-bounds memory reads from a heap-allocated buffer. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость консольного графического редактора ImageMagick связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N', score=5.1) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, memory leak exists in `coders/msl.c`. In the `WriteMSLImage` function of the `msl.c` file, resources are allocated. But the function returns early without releasing these allocated resources. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость функции WriteMSLImage() компонента coders/msl.c консольного графического редактора ImageMagick связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. Prior to 1.6.55, an out-of-bounds read vulnerability exists in the png_set_quantize() API function. When the function is called with no histogram and the number of colors in the palette is more than twice the maximum supported by the user's display, certain palettes will cause the function to enter into an infinite loop that reads past the end of an internal heap-allocated buffer. The images that trigger this vulnerability are valid per the PNG specification. This vulnerability is fixed in 1.6.55. Уязвимость функции png_set_quantize() библиотеки для работы с растровой графикой в формате PNG libpng связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код при помощи специально сформированного PNG-файла [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) 1. При использовании библиотеки libpng отказаться от вызовов уязвимой функции png_set_quantize 2. Выполнять обработку PNG-файлов, полученных только из доверенных источников 3. Включить и настроить межсетевой экран ufw для фильтрации трафика Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, in `ReadSFWImage()` (`coders/sfw.c`), when temporary file creation fails, `read_info` is destroyed before its `filename` member is accessed, causing a NULL pointer dereference and crash. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость функции ReadSFWImage() файла coders/sfw.c консольного графического редактора ImageMagick связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, in `ReadSTEGANOImage()` (`coders/stegano.c`), the `watermark` Image object is not freed on three early-return paths, resulting in a definite memory leak (~13.5KB+ per invocation) that can be exploited for denial of service. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость функции ReadSTEGANOImage() файла coders/stegano.c консольного графического редактора ImageMagick связана с неправильным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, the ps coders, responsible for writing PostScript files, fails to sanitize the input before writing it into the PostScript header. An attacker can provide a malicous file and inject arbitrary PostScript code. When the resulting file is processed by a printer or a viewer (like Ghostscript), the injected code is interpreted and executed. The html encoder does not properly escape strings that are written to in the html document. An attacker can provide a malicious file and injection arbitrary html code. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость консольного графического редактора ImageMagick связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:L', score=5.7) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a NULL pointer dereference in ClonePixelCacheRepository allows a remote attacker to crash any application linked against ImageMagick by supplying a crafted image file, resulting in denial of service. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость функции ClonePixelCacheRepository() компонента magick/cache.c консольного графического редактора ImageMagick связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a logic error in YUV sampling factor validation allows an invalid sampling factor to bypass checks and trigger a division-by-zero during image loading, resulting in a reliable denial-of-service. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость функции ReadYUVImage компонента coders/yuv.c консольного графического редактора ImageMagick связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 exiv2 Exiv2 is a C++ library and a command-line utility to read, write, delete and modify Exif, IPTC, XMP and ICC image metadata. Prior to version 0.28.8, an out-of-bounds read was found. The vulnerability is in the CRW image parser. This issue has been patched in version 0.28.8. Уязвимость функции CrwMap::decode0x0805() компонента src/crwimage_int.cpp библиотеки для управления метаданными медиафайлов Exiv2 связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) exiv2: - Использовать ПО exiv2 только на низком или отдельно выделенном уровне целостности - При использовании ПО Exiv2 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска По Exiv2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, the UIL and XPM image encoder do not validate the pixel index value returned by `GetPixelIndex()` before using it as an array subscript. In HDRI builds, `Quantum` is a floating-point type, so pixel index values can be negative. An attacker can craft an image with negative pixel index values to trigger a global buffer overflow read during conversion, leading to information disclosure or a process crash. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость консольного графического редактора ImageMagick связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L', score=6.5) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.23.0, `xf_rail_server_execute_result` indexes the global `error_code_names[]` array (7 elements, indices 0–6) with an unchecked `execResult->execResult` value received from the server, allowing an out-of-bounds read when the server sends an `execResult` value of 7 or greater. Version 3.23.0 fixes the issue. Уязвимость RDP-клиента FreeRDP связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.23.0, `xf_SetWindowMinMaxInfo` dereferences a freed `xfAppWindow` pointer because `xf_rail_get_window` in `xf_rail_server_min_max_info` returns an unprotected pointer from the `railWindows` hash table, and the main thread can concurrently delete the window (via a window delete order) while the RAIL channel thread is still using the pointer. Version 3.23.0 fixes the issue. Уязвимость функций xf_SetWindowMinMaxInfo(), xf_rail_get_window() RDP-клиента FreeRDP связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.23.0, `xf_AppUpdateWindowFromSurface` reads from a freed `xfAppWindow` because the RDPGFX DVC thread obtains a bare pointer via `xf_rail_get_window` without any lifetime protection, while the main thread can concurrently delete the window through a fastpath window-delete order. Version 3.23.0 fixes the issue. Уязвимость функции xf_AppUpdateWindowFromSurface() RDP-клиента FreeRDP связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.23.0, `xf_rail_server_local_move_size` dereferences a freed `xfAppWindow` pointer because `xf_rail_get_window` returns an unprotected pointer from the `railWindows` hash table, and the main thread can concurrently delete the window (via a window delete order) while the RAIL channel thread is still using the pointer. Version 3.23.0 fixes the issue. Уязвимость функции xf_rail_server_local_move_size() RDP-клиента FreeRDP связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.23.0, `xf_AppUpdateWindowFromSurface` reuses a cached `XImage` whose `data` pointer references a freed RDPGFX surface buffer, because `gdi_DeleteSurface` frees `surface->data` without invalidating the `appWindow->image` that aliases it. Version 3.23.0 fixes the issue. Уязвимость функции xf_AppUpdateWindowFromSurface() RDP-клиента FreeRDP связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.23.0, `xf_cliprdr_provide_data_` passes freed `pDstData` to `XChangeProperty` because the cliprdr channel thread calls `xf_cliprdr_server_format_data_response` which converts and uses the clipboard data without holding any lock, while the X11 event thread concurrently calls `xf_cliprdr_clear_cached_data` → `HashTable_Clear` which frees the same data via `xf_cached_data_free`, triggering a heap use after free. Version 3.23.0 fixes the issue. Уязвимость RDP-клиента FreeRDP связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, ImageMagick’s path security policy is enforced on the raw filename string before the filesystem resolves it. As a result, a policy rule such as /etc/* can be bypassed by a path traversal. The OS resolves the traversal and opens the sensitive file, but the policy matcher only sees the unnormalized path and therefore allows the read. This enables local file disclosure (LFI) even when policy-secure.xml is applied. Actions to prevent reading from files have been taken in versions .7.1.2-15 and 6.9.13-40 But it make sure writing is also not possible the following should be added to one's policy. This will also be included in ImageMagick's more secure policies by default. Уязвимость консольного графического редактора ImageMagick связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-22'), NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N', score=8.6) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a stack buffer overflow occurs when processing the an attribute in msl.c. A long value overflows a fixed-size stack buffer, leading to memory corruption. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость компонента msl.c консольного графического редактора ImageMagick связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-121'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H', score=7.4) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a signed integer overflow vulnerability in ImageMagick's SIXEL decoder allows an attacker to trigger memory corruption and denial of service when processing a maliciously crafted SIXEL image file. The vulnerability occurs during buffer reallocation operations where pointer arithmetic using signed 32-bit integers overflows. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость компонента sixel.c консольного графического редактора ImageMagick связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного SIXEL изображения [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, Magick fails to check for circular references between two MSLs, leading to a stack overflow. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость обработчика формата MSL консольного графического редактора ImageMagick связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-674'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a heap out-of-bounds read vulnerability exists in the `coders/dcm.c` module. When processing DICOM files with a specific configuration, the decoder loop incorrectly reads bytes per iteration. This causes the function to read past the end of the allocated buffer, potentially leading to a Denial of Service (crash) or Information Disclosure (leaking heap memory into the image). Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость модуля coders/dcm.c консольного графического редактора ImageMagick связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L', score=6.5) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a crafted MSL script triggers a heap-use-after-free. The operation element handler replaces and frees the image while the parser continues reading from it, leading to a UAF in ReadBlobString during further parsing. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость парсера консольного графического редактора ImageMagick связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код, получить несанкционированный доступ к конфиденциальной информации и вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a crafted SVG file containing an malicious element causes ImageMagick to attempt to allocate ~674 GB of memory, leading to an out-of-memory abort. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость функции анализа SVG-файлов консольного графического редактора ImageMagick связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a heap buffer overflow write vulnerability exists in ReadYUVImage() (coders/yuv.c) when processing malicious YUV 4:2:2 (NoInterlace) images. The pixel-pair loop writes one pixel beyond the allocated row buffer. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость функции ReadYUVImage() файла coders/yuv.c консольного графического редактора ImageMagick связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код, раскрыть защищаемую информацию или вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a heap buffer over-read vulnerability exists in the MAP image decoder when processing crafted MAP files, potentially leading to crashes or unintended memory disclosure during image decoding. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость консольного графического редактора ImageMagick связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного MAP файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, sometimes msl.c fails to update the stack index, so an image is stored in the wrong slot and never freed on error, causing leaks. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость компонента msl.c консольного графического редактора ImageMagick связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.23.0, `xf_clipboard_format_equal` reads freed `lastSentFormats` memory because `xf_clipboard_formats_free` (called from the cliprdr channel thread during auto-reconnect) frees the array while the X11 event thread concurrently iterates it in `xf_clipboard_changed`, triggering a heap use after free. Version 3.23.0 fixes the issue. Уязвимость функции xf_clipboard_format_equal() RDP-клиента FreeRDP связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 python-cryptography cryptography is a package designed to expose cryptographic primitives and recipes to Python developers. Prior to 46.0.5, the public_key_from_numbers (or EllipticCurvePublicNumbers.public_key()), EllipticCurvePublicNumbers.public_key(), load_der_public_key() and load_pem_public_key() functions do not verify that the point belongs to the expected prime-order subgroup of the curve. This missing validation allows an attacker to provide a public key point P from a small-order subgroup. This can lead to security issues in various situations, such as the most commonly used signature verification (ECDSA) and shared key negotiation (ECDH). When the victim computes the shared secret as S = [victim_private_key]P via ECDH, this leaks information about victim_private_key mod (small_subgroup_order). For curves with cofactor > 1, this reveals the least significant bits of the private key. When these weak public keys are used in ECDSA , it's easy to forge signatures on the small subgroup. Only SECT curves are impacted by this. This vulnerability is fixed in 46.0.5. Уязвимость функций EllipticCurvePublicNumbers.public_key(), EllipticCurvePublicNumbers.public_key(), load_der_public_key() и load_pem_public_key() криптографической библиотеки Python-cryptography связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-345'), NistCWE(cwe='CWE-354')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) python-cryptography: - Использовать ПО python-cryptography только на низком или отдельно выделенном уровне целостности - При использовании ПО python-cryptography выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-cryptography только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a crafted profile contain invalid IPTC data may cause an infinite loop when writing it with `IPTCTEXT`. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость компонента meta.c консольного графического редактора ImageMagick связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 busybox A flaw was found in BusyBox. Incomplete path sanitization in its archive extraction utilities allows an attacker to craft malicious archives that when extracted, and under specific conditions, may write to files outside the intended directory. This can lead to arbitrary file overwrite, potentially enabling code execution through the modification of sensitive system files. Уязвимость функции strip_unsafe_prefix() набора UNIX-утилит командной строки BusyBox связана с внешним управлением именем или путем файла. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-73'), NistCWE(cwe='CWE-73')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) busybox: - Использовать утилиты ПО busybox только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО busybox в пользу ПО bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 busybox A flaw was found in BusyBox. This vulnerability allows an attacker to modify files outside of the intended extraction directory by crafting a malicious tar archive containing unvalidated hardlink or symlink entries. If the tar archive is extracted with elevated privileges, this flaw can lead to privilege escalation, enabling an attacker to gain unauthorized access to critical system files. Уязвимость компонента data_extract_all.c набора UNIX-утилит командной строки BusyBox связана с внешним управлением именем или путем файла. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-73'), NistCWE(cwe='CWE-73')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) busybox: - Использовать утилиты ПО busybox только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО busybox в пользу ПО bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.23.0, a buffer overread in `freerdp_image_copy_from_icon_data()` (libfreerdp/codec/color.c) can be triggered by crafted RDP Window Icon (TS_ICON_INFO) data. The bug is reachable over the network when a client processes icon data from an RDP server (or from a man-in-the-middle). Version 3.23.0 fixes the issue. Уязвимость функции freerdp_image_copy_from_icon_data() (libfreerdp/codec/color.c) RDP-клиента FreeRDP вызвана выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-126')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a `continue` statement in the JPEG extent binary search loop in the jpeg encoder causes an infinite loop when writing persistently fails. An attacker can trigger a 100% CPU consumption and process hang (Denial of Service) with a crafted image. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость кодировщика JPEG консольного графического редактора ImageMagick связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного изображения [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, ImageMagick lacks proper boundary checking when processing Huffman-coded data from PCD (Photo CD) files. The decoder contains an function that has an incorrect initialization that could cause an out of bounds read. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость декодера файлов Photo CD (PCD) консольного графического редактора ImageMagick связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L', score=6.5) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.23.0, a malicious RDP server can trigger a heap buffer overflow in FreeRDP clients using the GDI surface pipeline (e.g., `xfreerdp`) by sending an RDPGFX ClearCodec surface command with an out-of-bounds destination rectangle. The `gdi_SurfaceCommand_ClearCodec()` handler does not call `is_within_surface()` to validate the command rectangle against the destination surface dimensions, allowing attacker-controlled `cmd->left`/`cmd->top` (and subcodec rectangle offsets) to reach image copy routines that write into `surface->data` without bounds enforcement. The OOB write corrupts an adjacent `gdiGfxSurface` struct's `codecs*` pointer with attacker-controlled pixel data, and corruption of `codecs*` is sufficient to reach an indirect function pointer call (`NSC_CONTEXT.decode` at `nsc.c:500`) on a subsequent codec command — full instruction pointer (RIP) control demonstrated in exploitability harness. Users should upgrade to version 3.23.0 to receive a patch. Уязвимость функции gdi_SurfaceCommand_ClearCodec() RDP-клиента FreeRDP вызвана переполнением буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-805')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.23.0, in the RLE planar decode path, `planar_decompress_plane_rle()` writes into `pDstData` at `((nYDst+y) * nDstStep) + (4*nXDst) + nChannel` without verifying that `(nYDst+nSrcHeight)` fits in the destination height or that `(nXDst+nSrcWidth)` fits in the destination stride. When `TempFormat != DstFormat`, `pDstData` becomes `planar->pTempData` (sized for the desktop), while `nYDst` is only validated against the **surface** by `is_within_surface()`. A malicious RDP server can exploit this to perform a heap out-of-bounds write with attacker-controlled offset and pixel data on any connecting FreeRDP client. The OOB write reaches up to 132,096 bytes past the temp buffer end, and on the brk heap (desktop ≤ 128×128), an adjacent `NSC_CONTEXT` struct's `decode` function pointer is overwritten with attacker-controlled pixel data — control-flow–relevant corruption (function pointer overwritten) demonstrated under deterministic heap layout (`nsc->decode = 0xFF414141FF414141`). Version 3.23.0 fixes the vulnerability. Уязвимость функции planar_decompress_plane_rle() RDP-клиента FreeRDP связана с записью данных за пределами заданного буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, the MSL interpreter crashes when processing a invalid `<map>` element that causes it to use an image after it has been freed. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость консольного графического редактора ImageMagick связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.23.0, `rail_window_free` dereferences a freed `xfAppWindow` pointer during `HashTable_Free` cleanup because `xf_rail_window_common` calls `free(appWindow)` on title allocation failure without first removing the entry from the `railWindows` hash table, leaving a dangling pointer that is freed again on disconnect. Version 3.23.0 fixes the vulnerability. Уязвимость функции rail_window_free() RDP-клиента FreeRDP связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.23.0, a missing bounds check in `smartcard_unpack_read_size_align()` (`libfreerdp/utils/smartcard_pack.c:1703`) allows a malicious RDP server to crash the FreeRDP client via a reachable `WINPR_ASSERT` → `abort()`. The crash occurs in upstream builds where `WITH_VERBOSE_WINPR_ASSERT=ON` (default in FreeRDP 3.22.0 / current WinPR CMake defaults). Smartcard redirection must be explicitly enabled by the user (e.g., `xfreerdp /smartcard`; `/smartcard-logon` implies `/smartcard`). Version 3.23.0 fixes the issue. Уязвимость функции smartcard_unpack_read_size_align() (libfreerdp/utils/smartcard_pack.c:1703) RDP-клиента FreeRDP связана с использованием функции assert() или похожего оператора. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать аварийное завершение работы приложения [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 libsoup3 A request smuggling vulnerability exists in libsoup's HTTP/1 header parsing logic. The soup_message_headers_append_common() function in libsoup/soup-message-headers.c unconditionally appends each header value without validating for duplicate or conflicting Content-Length fields. This allows an attacker to send HTTP requests containing multiple Content-Length headers with differing values. Уязвимость библиотеки доступа к HTTP серверам LibSoup связана с . Эксплуатация уязвимости позволяет нарушителю [NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N', score=3.7) libsoup3: - Обеспечить возможность использования библиотеки llibsoup3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 zlib zlib before 1.3.2 allows CPU consumption via crc32_combine64 and crc32_combine_gen64 because x2nmodp can do right shifts within a loop that has no termination condition. Уязвимость функции x2nmodp() компонента crc32.c библиотеки сжатия Zlib связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) zlib: - При использовании ПО, использующего библиотеку zlib, выполнять обработку данных, полученных только из доверенных источников - Обеспечить возможность запуска ПО, использующего библиотеку zlib, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, CUPS daemon (cupsd) contains an authorization bypass vulnerability due to case-insensitive username comparison during authorization checks. The vulnerability allows an unprivileged user to gain unauthorized access to restricted operations by using a user with a username that differs only in case from an authorized user. At time of publication, there are no publicly available patches. Уязвимость сервера печати CUPS связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:L/A:N', score=4.8) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 util-linux util-linux is a random collection of Linux utilities. Prior to version 2.41.4, a TOCTOU (Time-of-Check-Time-of-Use) vulnerability has been identified in the SUID binary /usr/bin/mount from util-linux. The mount binary, when setting up loop devices, validates the source file path with user privileges via fork() + setuid() + realpath(), but subsequently re-canonicalizes and opens it with root privileges (euid=0) without verifying that the path has not been replaced between both operations. Neither O_NOFOLLOW, nor inode comparison, nor post-open fstat() are employed. This allows a local unprivileged user to replace the source file with a symlink pointing to any root-owned file or device during the race window, causing the SUID binary to open and mount it as root. Exploitation requires an /etc/fstab entry with user,loop options whose path points to a directory where the attacker has write permission, and that /usr/bin/mount has the SUID bit set (the default configuration on virtually all Linux distributions). The impact is unauthorized read access to root-protected files and block devices, including backup images, disk volumes, and any file containing a valid filesystem. This issue has been patched in version 2.41.4. Уязвимость пакета служебных утилит командной строки Util-linux связана с неверным определением символических ссылок перед доступом к файлу. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-59'), NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N', score=4.7) util-linux: - Использовать ПО util-linux только на низком или отдельно выделенном уровне целостности - Включить ввод пароля для sudo и su - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 pyopenssl pyOpenSSL is a Python wrapper around the OpenSSL library. Starting in version 22.0.0 and prior to version 26.0.0, if a user provided callback to `set_cookie_generate_callback` returned a cookie value greater than 256 bytes, pyOpenSSL would overflow an OpenSSL provided buffer. Starting in version 26.0.0, cookie values that are too long are now rejected. Уязвимость библиотеки для доступа к функциям криптографической библиотеки OpenSSL PyOpenSSL связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 exiv2 Exiv2 is a C++ library and a command-line utility to read, write, delete and modify Exif, IPTC, XMP and ICC image metadata. Prior to version 0.28.8, an out-of-bounds read was found in Exiv2. The vulnerability is in the preview component, which is only triggered when running Exiv2 with an extra command line argument, like -pp. The out-of-bounds read is at a 4GB offset, which usually causes Exiv2 to crash. This issue has been patched in version 0.28.8. Уязвимость библиотеки для управления метаданными медиафайлов Exiv2 связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) exiv2: - Использовать ПО exiv2 только на низком или отдельно выделенном уровне целостности - При использовании ПО Exiv2 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска По Exiv2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 underscore Underscore.js is a utility-belt library for JavaScript. Prior to 1.13.8, the _.flatten and _.isEqual functions use recursion without a depth limit. Under very specific conditions, detailed below, an attacker could exploit this in a Denial of Service (DoS) attack by triggering a stack overflow. Untrusted input must be used to create a recursive datastructure, for example using JSON.parse, with no enforced depth limit. The datastructure thus created must be passed to _.flatten or _.isEqual. In the case of _.flatten, the vulnerability can only be exploited if it is possible for a remote client to prepare a datastructure that consists of arrays at all levels AND if no finite depth limit is passed as the second argument to _.flatten. In the case of _.isEqual, the vulnerability can only be exploited if there exists a code path in which two distinct datastructures that were submitted by the same remote client are compared using _.isEqual. For example, if a client submits data that are stored in a database, and the same client can later submit another datastructure that is then compared to the data that were saved in the database previously, OR if a client submits a single request, but its data are parsed twice, creating two non-identical but equivalent datastructures that are then compared. Exceptions originating from the call to _.flatten or _.isEqual, as a result of a stack overflow, are not being caught. This vulnerability is fixed in 1.13.8. Уязвимость функций _.flatten, _.isEqual библиотеки JavaScript для работы с массивами Underscore связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) При использовании функций _.flatten и _.isEqual библиотеки Underscore необходимо соблюдать следующие требования: - При разборе данных из ненадежных источников (JSON-запросы, файлы, формы) необходимо принудительно ограничивать уровень вложенности массивов и объектов. - Во всех вызовах функции _.flatten, где источником данных является (или может являться) ненадежный ввод, обязательно передавать второй аргумент (depth), ограничивающий глубину. - Избегать прямого сравнения потенциально глубоких структур через _.isEqual. Astra Linux 1.8 openexr OpenEXR provides the specification and reference implementation of the EXR file format, an image storage format for the motion picture industry. In CompositeDeepScanLine::readPixels, per-pixel totals are accumulated in vector<unsigned int> total_sizes for attacker-controlled large counts across many parts, total_sizes[ptr] wraps modulo 2^32. overall_sample_count is then derived from wrapped totals and used in samples[channel].resize(overall_sample_count). Decode pointer setup/consumption proceeds with true sample counts, and write operations in core unpack (generic_unpack_deep_pointers) overrun the undersized composite sample buffer. This vulnerability is fixed in v3.2.6, v3.3.8, and v3.4.6. Уязвимость функции CompositeDeepScanLine::readPixels компонента ImfCompositeDeepScanLine программного обеспечения для хранения изображений с широкими динамическими диапазоном яркости OpenEXR связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) - При использовании ПО openexr выполнять обработку .exr файлов, полученных только из доверенных источников - Перед обработкой .exr файлов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ - Запускать ПО openexr в изолированной программной среде Astra Linux 1.8 pypdf2 pypdf is a free and open-source pure-python PDF library. Prior to 6.7.2, an attacker who uses this vulnerability can craft a PDF which leads to an infinite loop. This requires reading the file. This has been fixed in pypdf 6.7.2. As a workaround, one may apply the patch manually. Уязвимость библиотеки для обработки PDF PyPDF2 связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a heap buffer over-read vulnerability occurs when processing an image with small dimension using the `-wavelet-denoise` operator. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость консольного графического редактора ImageMagick связана с чтением за границами буфера памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=4.0) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-15 and 6.9.13-40, a heap buffer over-read vulnerability exists in the DJVU image format handler. The vulnerability occurs due to integer truncation when calculating the stride (row size) for pixel buffer allocation. The stride calculation overflows a 32-bit signed integer, resulting in an out-of-bounds memory reads. Versions 7.1.2-15 and 6.9.13-40 contain a patch. Уязвимость консольного графического редактора ImageMagick связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L', score=4.0) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ruby3.1 zlib is a Ruby interface for the zlib compression/decompression library. Versions 3.0.0 and below, 3.1.0, 3.1.1, 3.2.0 and 3.2.1 contain a buffer overflow vulnerability in the Zlib::GzipReader. The zstream_buffer_ungets function prepends caller-provided bytes ahead of previously produced output but fails to guarantee the backing Ruby string has enough capacity before the memmove shifts the existing data. This can lead to memory corruption when the buffer length exceeds capacity. This issue has been fixed in versions 3.0.1, 3.1.2 and 3.2.3. Уязвимость функции zstream_buffer_ungets() библиотеки zlib связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать повреждение памяти [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) ruby3.1: - При использовании ПО Ruby выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Ruby-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-16 and 6.9.13-41, a stack buffer overflow exists in ImageMagick's morphology kernel parsing functions. User-controlled kernel strings exceeding a buffer are copied into fixed-size stack buffers via memcpy without bounds checking, resulting in stack corruption. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость консольного графического редактора ImageMagick связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H', score=7.1) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-16 and 6.9.13-41, A heap-buffer-overflow vulnerability exists in the PCL encode due to an undersized output buffer allocation. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость компонента pcl.c консольного графического редактора ImageMagick связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=6.8) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-16 and 6.9.13-41, a heap use-after-free vulnerability in ImageMagick's MSL decoder allows an attacker to trigger access to freed memory by crafting an MSL file. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость компонента msl.c консольного графического редактора ImageMagick связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-16 and 6.9.13-41, a heap-use-after-free vulnerability exists in the MSL encoder, where a cloned image is destroyed twice. The MSL coder does not support writing MSL so the write capability has been removed. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость компонента msl.c консольного графического редактора ImageMagick связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-16 and 6.9.13-41, domain="path" authorization is checked before final file open/use. A symlink swap between check-time and use-time bypasses policy-denied read/write. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость компонентов MagickCore консольного графического редактора ImageMagick связана с неверным определением символических ссылок перед доступом к файлу. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-59')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N', score=6.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-16 and 6.9.13-41, a stack buffer overflow vulnerability exists in the MNG encoder. There is a bounds checks missing that could corrupting the stack with attacker-controlled data. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость компонента png.c консольного графического редактора ImageMagick связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:H/A:H', score=6.9) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-16 and 6.9.13-41, an uninitialized pointer dereference vulnerability exists in the JBIG decoder due to a missing check. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость декодера формата JBIG консольного графического редактора ImageMagick связана с отсутствием проверки возвращаемого значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-252'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-16 and 6.9.13-41, an integer overflow in DIB coder can result in out of bounds read or write. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость модуля для работы с форматом DIB консольного графического редактора ImageMagick связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код, раскрыть защищаемую информацию и вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 erlang Incorrect Authorization vulnerability in Erlang OTP (inets modules) allows unauthenticated access to CGI scripts protected by directory rules when served via script_alias. When script_alias maps a URL prefix to a directory outside DocumentRoot, mod_auth evaluates directory-based access controls against the DocumentRoot-relative path while mod_cgi executes the script at the ScriptAlias-resolved path. This path mismatch allows unauthenticated access to CGI scripts that directory rules were meant to protect. This vulnerability is associated with program files lib/inets/src/http_server/mod_alias.erl, lib/inets/src/http_server/mod_auth.erl, and lib/inets/src/http_server/mod_cgi.erl. This issue affects OTP from OTP 17.0 before OTP 26.2.5.19, OTP 27.3.4.10, and OTP 28.4.2, corresponding to inets from 5.10 before 9.1.0.6, 9.3.2.4, and 9.6.2. Whether OTP before OTP 17.0, corresponding to inets before 5.10, is affected is unknown. Уязвимость языка программирования Erlang связана с неправильной авторизацией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и оказать влияние на их целостность [NistCWE(cwe='CWE-863'), NistCWE(cwe='CWE-551')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) erlang-jose: - Включить межсетевой экран ufw - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды erlang: - Включить межсетевой экран ufw - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 systemd systemd, a system and service manager, (as PID 1) hits an assert and freezes execution when an unprivileged IPC API call is made with spurious data. On version v249 and older the effect is not an assert, but stack overwriting, with the attacker controlled content. From version v250 and newer this is not possible as the safety check causes an assert instead. This IPC call was added in v239, so versions older than that are not affected. Versions 260-rc1, 259.2, 258.5, and 257.11 contain patches. No known workarounds are available. Уязвимость подсистемы инициализации и управления службами Systemd связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) systemd: - Обеспечить возможность использования только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Установить "взломостойкий" пароль python-systemd: - Использовать ПО python-systemd только на низком или отдельно выделенном уровне целостности - При использовании ПО python-systemd выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-systemd только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 gst-plugins-ugly1.0 GStreamer ASF Demuxer Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GStreamer. Interaction with this library is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the processing of stream headers within ASF files. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a fixed-length heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28843. Уязвимость плагина ASF мультимедийного фреймворка Gstreamer связана с недостаточной проверкой данных. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код. [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gst-plugins-ugly1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-ugly1.0 GStreamer RealMedia Demuxer Out-Of-Bounds Write Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GStreamer. Interaction with this library is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the processing of video packets. The issue results from the lack of proper validation of user-supplied data, which can result in a write past the end of an allocated buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28845. Уязвимость компонента RealMedia demuxer мультимедийного фреймворка Gstreamer связана с записью за границами буфера памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код. [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gst-plugins-ugly1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-bad1.0 GStreamer DVB Subtitles Out-Of-Bounds Write Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GStreamer. Interaction with this library is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the handling of coordinates. The issue results from the lack of proper validation of user-supplied data, which can result in a write past the end of an allocated buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28838. Уязвимость мультимедийного фреймворка Gstreamer связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gst-plugins-bad1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.24.0, a client-side heap buffer overflow occurs in the FreeRDP client's AVC420/AVC444 YUV-to-RGB conversion path due to missing horizontal bounds validation of H.264 metablock regionRects coordinates. In yuv.c, the clamp() function (line 347) only validates top/bottom against the surface/YUV height, but never checks left/right against the surface width. When avc420_yuv_to_rgb (line 67) computes destination and source pointers using rect->left, it performs unchecked pointer arithmetic that can reach far beyond the allocated surface buffer. A malicious server sends a WIRE_TO_SURFACE_PDU_1 with AVC420 codec containing a regionRects entry where left greatly exceeds the surface width (e.g., left=60000 on a 128px surface). The H.264 bitstream decodes successfully, then yuv420_process_work_callback calls avc420_yuv_to_rgb which computes pDstPoint = pDstData + rect->top * nDstStep + rect->left * 4, writing 16-byte SSE vectors 1888+ bytes past the allocated heap region. This vulnerability is fixed in 3.24.0. Уязвимость функции avc420_yuv_to_rgb() RDP-клиента FreeRDP связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.24.0, a client-side heap out-of-bounds read/write occurs in FreeRDP's bitmap cache subsystem due to an off-by-one boundary check in bitmap_cache_put. A malicious server can send a CACHE_BITMAP_ORDER (Rev1) with cacheId equal to maxCells, bypassing the guard and accessing cells[] one element past the allocated array. This vulnerability is fixed in 3.24.0. Уязвимость функции bitmap_cache_put() RDP-клиента FreeRDP связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.24.0, Integer Underflow in update_read_cache_bitmap_order Function of FreeRDP's Core Library This vulnerability is fixed in 3.24.0. Уязвимость функции update_read_cache_bitmap_order() RDP-клиента FreeRDP связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L', score=3.1) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 gst-plugins-bad1.0 GStreamer JPEG Parser Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GStreamer. Interaction with this library is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the processing of Huffman tables. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a fixed-length heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28840. Уязвимость компонента JPEG Parser мультимедийного фреймворка Gstreamer связана с отсутствием надлежащей проверки длины данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код. [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) gst-plugins-bad1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer rtpqdm2depay Out-Of-Bounds Write Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GStreamer. Interaction with this library is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the processing of X-QDM RTP payload elements. When parsing the packetid element, the process does not properly validate user-supplied data, which can result in a write past the end of an allocated array. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28850. Уязвимость компонента rtpqdm2depay мультимедийного фреймворка Gstreamer связана с отсутствием надлежащей проверки данных, предоставленных пользователем, при обработке элементов полезной нагрузки X-QDM RTP. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-129'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 gst-plugins-good1.0 GStreamer rtpqdm2depay Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GStreamer. Interaction with this library is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the processing of X-QDM RTP payloads. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-28851. Уязвимость компонента rtpqdm2depay мультимедийного фреймворка GStreamer связанная с некорректной проверкой длины входных данных при обработке полезной нагрузки X-QDM RTP. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) gst-plugins-good1.0: - Отказаться от использования ПО gstreamer в пользу ПО ffmpeg - При использовании ПО gstreamer выполнять обработку файлов, полученных только из доверенных источников - Запускайте gstreamer с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Включить межсетевой экран ufw - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-16 and 6.9.13-41, an extremely large image profile could result in a heap overflow when encoding a PNG image. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость кодировщика PNG консольного графического редактора ImageMagick связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=5.7) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 pyasn1 pyasn1 is a generic ASN.1 library for Python. Prior to 0.6.3, the `pyasn1` library is vulnerable to a Denial of Service (DoS) attack caused by uncontrolled recursion when decoding ASN.1 data with deeply nested structures. An attacker can supply a crafted payload containing thousands of nested `SEQUENCE` (`0x30`) or `SET` (`0x31`) tags with "Indefinite Length" (`0x80`) markers. This forces the decoder to recursively call itself until the Python interpreter crashes with a `RecursionError` or consumes all available memory (OOM), crashing the host application. This is a distinct vulnerability from CVE-2026-23490 (which addressed integer overflows in OID decoding). The fix for CVE-2026-23490 (`MAX_OID_ARC_CONTINUATION_OCTETS`) does not mitigate this recursion issue. Version 0.6.3 fixes this specific issue. Уязвимость библиотеки pyasn1 языка программирования Python связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-674'), NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) pyasn1: - Использовать ПО pyasn1 только на низком или отдельно выделенном уровне целостности - При использовании ПО pyasn1 выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска pyasn1 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды python-pyasn1-modules: - Использовать ПО python-pyasn1-modules только на низком или отдельно выделенном уровне целостности - При использовании ПО python-pyasn1-modules выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-pyasn1-modules только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-16 and 6.9.13-41, a crafted image could cause an out of bounds heap write inside the WaveletDenoiseImage method. When processing a crafted image with the -wavelet-denoise operation an out of bounds write can occur. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость метода WaveletDenoiseImage консольного графического редактора ImageMagick связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to versions 7.1.2-16 and 6.9.13-41, a 32-bit unsigned integer overflow in the XWD (X Windows) encoder can cause an undersized heap buffer allocation. When writing a extremely large image an out of bounds heap write can occur. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость кодировщика XWD консольного графического редактора ImageMagick связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=6.8) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: atm: fix crash due to unvalidated vcc pointer in sigd_send() Reproducer available at [1]. The ATM send path (sendmsg -> vcc_sendmsg -> sigd_send) reads the vcc pointer from msg->vcc and uses it directly without any validation. This pointer comes from userspace via sendmsg() and can be arbitrarily forged: int fd = socket(AF_ATMSVC, SOCK_DGRAM, 0); ioctl(fd, ATMSIGD_CTRL); // become ATM signaling daemon struct msghdr msg = { .msg_iov = &iov, ... }; *(unsigned long *)(buf + 4) = 0xdeadbeef; // fake vcc pointer sendmsg(fd, &msg, 0); // kernel dereferences 0xdeadbeef In normal operation, the kernel sends the vcc pointer to the signaling daemon via sigd_enq() when processing operations like connect(), bind(), or listen(). The daemon is expected to return the same pointer when responding. However, a malicious daemon can send arbitrary pointer values. Fix this by introducing find_get_vcc() which validates the pointer by searching through vcc_hash (similar to how sigd_close() iterates over all VCCs), and acquires a reference via sock_hold() if found. Since struct atm_vcc embeds struct sock as its first member, they share the same lifetime. Therefore using sock_hold/sock_put is sufficient to keep the vcc alive while it is being used. Note that there may be a race with sigd_close() which could mark the vcc with various flags (e.g., ATM_VF_RELEASED) after find_get_vcc() returns. However, sock_hold() guarantees the memory remains valid, so this race only affects the logical state, not memory safety. [1]: https://gist.github.com/mrpre/1ba5949c45529c511152e2f4c755b0f3 Уязвимость компонента net/atm/signaling.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: bonding: fix use-after-free in bond_xmit_broadcast() bond_xmit_broadcast() reuses the original skb for the last slave (determined by bond_is_last_slave()) and clones it for others. Concurrent slave enslave/release can mutate the slave list during RCU-protected iteration, changing which slave is "last" mid-loop. This causes the original skb to be double-consumed (double-freed). Replace the racy bond_is_last_slave() check with a simple index comparison (i + 1 == slaves_count) against the pre-snapshot slave count taken via READ_ONCE() before the loop. This preserves the zero-copy optimization for the last slave while making the "last" determination stable against concurrent list mutations. The UAF can trigger the following crash: ================================================================== BUG: KASAN: slab-use-after-free in skb_clone Read of size 8 at addr ffff888100ef8d40 by task exploit/147 CPU: 1 UID: 0 PID: 147 Comm: exploit Not tainted 7.0.0-rc3+ #4 PREEMPTLAZY Call Trace: <TASK> dump_stack_lvl (lib/dump_stack.c:123) print_report (mm/kasan/report.c:379 mm/kasan/report.c:482) kasan_report (mm/kasan/report.c:597) skb_clone (include/linux/skbuff.h:1724 include/linux/skbuff.h:1792 include/linux/skbuff.h:3396 net/core/skbuff.c:2108) bond_xmit_broadcast (drivers/net/bonding/bond_main.c:5334) bond_start_xmit (drivers/net/bonding/bond_main.c:5567 drivers/net/bonding/bond_main.c:5593) dev_hard_start_xmit (include/linux/netdevice.h:5325 include/linux/netdevice.h:5334 net/core/dev.c:3871 net/core/dev.c:3887) __dev_queue_xmit (include/linux/netdevice.h:3601 net/core/dev.c:4838) ip6_finish_output2 (include/net/neighbour.h:540 include/net/neighbour.h:554 net/ipv6/ip6_output.c:136) ip6_finish_output (net/ipv6/ip6_output.c:208 net/ipv6/ip6_output.c:219) ip6_output (net/ipv6/ip6_output.c:250) ip6_send_skb (net/ipv6/ip6_output.c:1985) udp_v6_send_skb (net/ipv6/udp.c:1442) udpv6_sendmsg (net/ipv6/udp.c:1733) __sys_sendto (net/socket.c:730 net/socket.c:742 net/socket.c:2206) __x64_sys_sendto (net/socket.c:2209) do_syscall_64 (arch/x86/entry/syscall_64.c:63 arch/x86/entry/syscall_64.c:94) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) </TASK> Allocated by task 147: Freed by task 147: The buggy address belongs to the object at ffff888100ef8c80 which belongs to the cache skbuff_head_cache of size 224 The buggy address is located 192 bytes inside of freed 224-byte region [ffff888100ef8c80, ffff888100ef8d60) Memory state around the buggy address: ffff888100ef8c00: fb fb fb fb fc fc fc fc fc fc fc fc fc fc fc fc ffff888100ef8c80: fa fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb >ffff888100ef8d00: fb fb fb fb fb fb fb fb fb fb fb fb fc fc fc fc ^ ffff888100ef8d80: fc fc fc fc fc fc fc fc fa fb fb fb fb fb fb fb ffff888100ef8e00: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ================================================================== Уязвимость функции bond_xmit_broadcast компонента drivers/net/bonding/bond_main.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bonding.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль bonding в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep bonding ``` или ``` kmod list | grep bonding ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля bonding.ko: ``` sudo rmmod bonding ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-bonding.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install bonding /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gpio: omap: do not register driver in probe() Commit 11a78b794496 ("ARM: OMAP: MPUIO wake updates") registers the omap_mpuio_driver from omap_mpuio_init(), which is called from omap_gpio_probe(). However, it neither makes sense to register drivers from probe() callbacks of other drivers, nor does the driver core allow registering drivers with a device lock already being held. The latter was revealed by commit dc23806a7c47 ("driver core: enforce device_lock for driver_match_device()") leading to a potential deadlock condition described in [1]. Additionally, the omap_mpuio_driver is never unregistered from the driver core, even if the module is unloaded. Hence, register the omap_mpuio_driver from the module initcall and unregister it in module_exit(). Уязвимость компонента drivers/gpio/gpio-omap.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: some missing initializations on replay In several places in the code, we have a label to signify the start of the code where a request can be replayed if necessary. However, some of these places were missing the necessary reinitializations of certain local variables before replay. This change makes sure that these variables get initialized after the label. Уязвимость компонентов client ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: validate owner of durable handle on reconnect Currently, ksmbd does not verify if the user attempting to reconnect to a durable handle is the same user who originally opened the file. This allows any authenticated user to hijack an orphaned durable handle by predicting or brute-forcing the persistent ID. According to MS-SMB2, the server MUST verify that the SecurityContext of the reconnect request matches the SecurityContext associated with the existing open. Add a durable_owner structure to ksmbd_file to store the original opener's UID, GID, and account name. and catpure the owner information when a file handle becomes orphaned. and implementing ksmbd_vfs_compare_durable_owner() to validate the identity of the requester during SMB2_CREATE (DHnC). Уязвимость компонента ksmbd ядра операционной системы Linux связана с неправильным присвоением права собственности. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Уязвимость затрагивает модуль ksmbd.ko в ядра Linux. 1. Чтобы проверить, загружен ли модуль ksmbd в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ksmbd ``` или ``` kmod list | grep ksmbd ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, но не используется, то его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ksmbd ``` В случае, если модуль ksmbd используется, перейдите к шагу 7. 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install ksmbd /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). 7. Уязвимость напрямую зависит от включённой опции durable handles = yes в /etc/ksmbd/ksmbd.conf. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/ksmbd/ksmbd.conf и изменить значение параметра durable handles на no: ``` durable handles = no ``` 8. Перезапустите ksmbd: ``` sudo systemctl restart ksmbd ``` Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.24.0, the gdi_surface_bits() function processes SURFACE_BITS_COMMAND messages sent by the RDP server. When the command is handled using NSCodec, the bmp.width and bmp.height values provided by the server are not properly validated against the actual desktop dimensions. A malicious RDP server can supply crafted bmp.width and bmp.height values that exceed the expected surface size. Because these values are used during bitmap decoding and memory operations without proper bounds checking, this can lead to a heap buffer overflow. Since the attacker can also control the associated pixel data transmitted by the server, the overflow may be exploitable to overwrite adjacent heap memory. This vulnerability is fixed in 3.24.0. Уязвимость функции gdi_surface_bits() RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to 7.1.2-16 and 6.9.13-41, an overflow on 32-bit systems can cause a crash in the SFW decoder when processing extremely large images. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость консольного графического редактора ImageMagick связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=5.7) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.24.0, a size_t underflow in the IMA-ADPCM and MS-ADPCM audio decoders leads to heap-buffer-overflow write via the RDPSND audio channel. In libfreerdp/codec/dsp.c, the IMA-ADPCM and MS-ADPCM decoders subtract block header sizes from a size_t variable without checking for underflow. When nBlockAlign (received from the server) is set such that size % block_size == 0 triggers the header parsing at a point where size is smaller than the header (4 or 8 bytes), the subtraction wraps size to ~SIZE_MAX. The while (size > 0) loop then continues for an astronomical number of iterations. This vulnerability is fixed in 3.24.0. Уязвимость RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.24.0, division by zero in MS-ADPCM and IMA-ADPCM decoders when nBlockAlign is 0, leading to a crash. In libfreerdp/codec/dsp.c, both ADPCM decoders use size % block_size where block_size = context->common.format.nBlockAlign. The nBlockAlign value comes from the Server Audio Formats PDU on the RDPSND channel. The value 0 is not validated anywhere before reaching the decoder. When nBlockAlign = 0, the modulo operation causes a SIGFPE (floating point exception) crash. This vulnerability is fixed in 3.24.0. Уязвимость RDP-клиента FreeRDP связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.24.0, there is an out-of-bounds read in MS-ADPCM and IMA-ADPCM decoders due to unchecked predictor and step_index values from input data. This vulnerability is fixed in 3.24.0. Уязвимость RDP-клиента FreeRDP связана с чтением за границами памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to 3.24.0, there is an out-of-bounds read in freerdp_bitmap_decompress_planar when SrcSize is 0. The function dereferences *srcp (which points to pSrcData) without first verifying that SrcSize >= 1. When SrcSize is 0 and pSrcData is non-NULL, this reads one byte past the end of the source buffer. This vulnerability is fixed in 3.24.0. Уязвимость функции freerdp_bitmap_decompress_planar() RDP-клиента FreeRDP связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:N', score=0.0) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 qemu A flaw was found in QEMU. When reading input audio in the virtio-snd device input callback, the `virtio_snd_pcm_in_cb` function did not check whether the iov could fit the data buffer, potentially leading to a heap out-of-bounds write. This issue exists due to an incomplete fix for CVE-2024-7730. Уязвимость функции virtio_snd_pcm_in_cb компонента hw/audio/virtio-snd.c эмулятора аппаратного обеспечения QEMU связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 qemu An integer overflow vulnerability was found in the virtio-snd device via PCM_INFO requests from the guest. A malicious guest can provide out-of-bounds stream counts, potentially leading to unbounded memory allocation on the host and a denial of service condition. Уязвимость компонента hw/audio/virtio-snd.c эмулятора аппаратного обеспечения QEMU связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to 7.1.2-16 and 6.9.13-41, when a memory allocation fails in the sixel encoder it would be possible to write past the end of a buffer on the stack. This vulnerability is fixed in 7.1.2-16 and 6.9.13-41. Уязвимость консольного графического редактора ImageMagick связана с переполнением буфера на стеке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:H', score=6.7) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 pyjwt PyJWT is a JSON Web Token implementation in Python. Prior to 2.12.0, PyJWT does not validate the crit (Critical) Header Parameter defined in RFC 7515 §4.1.11. When a JWS token contains a crit array listing extensions that PyJWT does not understand, the library accepts the token instead of rejecting it. This violates the MUST requirement in the RFC. This vulnerability is fixed in 2.12.0. Уязвимость реализации JWT в Python PyJWT связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-345'), NistCWE(cwe='CWE-347')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) - При использовании ПО pyjwt до вызова jwt.decode необходимо извлечь заголовок токена и немедленно отклонить весь токен, если в нём присутствует ключ crit, который либо имеет невалидную структуру, либо содержит значения, не входящие в явно утверждённый белый список поддерживаемых приложением расширений. - При использовании ПО pyjwt выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 imagemagick ImageMagick is free and open-source software used for editing and manipulating digital images. Prior to 7.1.2-17 and 6.9.13-42, the NewXMLTree method contains a bug that could result in a crash due to an out of write bounds of a single zero byte. Versions 7.1.2-17 and 6.9.13-42 fix the issue. Уязвимость метода NewXMLTree консольного графического редактора ImageMagick связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) imagemagick: - Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности - Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии - Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail - При использовании ПО imagemagick выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libheif libheif is a HEIF and AVIF file format decoder and encoder. In versions 1.21.2 and below, a crafted 792-byte HEIF sequence file with samples_per_chunk=0 in the stsc box causes an unsigned integer underflow in the Chunk constructor (m_last_sample = 0 + 0 - 1 = UINT32_MAX), mapping all samples to an empty chunk and resulting in a denial of service. When any sample is accessed, the library reads from index 0 of an empty std::vector, causing a guaranteed SEGV (null-page read). The file parses successfully without producing an error; the crash occurs on the first frame access. This issue has been fixed in version 1.22.0. Уязвимость библиотеки кодирования и декодирования файлов HEIF и AVIF Libheif связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 libheif libheif is a HEIF and AVIF file format decoder and encoder. In versions 1.21.2 and below, a crafted 800-byte HEIF sequence file causes an infinite loop in Box_stts::get_sample_duration(), consuming 100% CPU indefinitely with zero progress, leading to DoS. The loop has no iteration limit or timeout and is triggered during file open (parsing) - before any user interaction or image decoding. The process stays alive (no crash, no error logged), making it invisible to crash-based monitoring. This issue has been fixed in version 1.22.0. Уязвимость функции Box_stts::get_sample_duration() библиотеки кодирования и декодирования файлов HEIF и AVIF Libheif связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 squid Squid is a caching proxy for the Web. Prior to version 7.5, due to premature release of resource during expected lifetime and heap Use-After-Free bugs, Squid is vulnerable to Denial of Service when handling ICP traffic. This problem allows a remote attacker to perform a reliable and repeatable Denial of Service attack against the Squid service using ICP protocol. This attack is limited to Squid deployments that explicitly enable ICP support (i.e. configure non-zero `icp_port`). This problem _cannot_ be mitigated by denying ICP queries using `icp_access` rules. This bug is fixed in Squid version 7.5. Уязвимость прокси-сервера Squid связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-413'), NistCWE(cwe='CWE-826')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) squid: - Исключить из автозапуска сетевой сервис - Обеспечить подключения пользователей к прокси серверу squid только по https протоколу - Использовать ПО squid только на низком или отдельно выделенном уровне целостности - Запускать ПО Squid с минимально необходимыми привилегиями - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Squid (/etc/squid/squid.conf): ``` # Разрешите доступ к прокси-серверу только с доверенных IP-адресов acl localnet src YOUR_TRUSTED_IP http_access allow localnet http_access deny all ``` - Настройте брандмауэр так, чтобы разрешать входящие подключения к Squid только с доверенных сетей, например: ``` sudo iptables -A INPUT -s YOUR_TRUSTED_IP -p tcp --dport 3128 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 3128 -j DROP ``` - Ограничьте доступ к ненадёжным и недоверенным ресурсам с помощью белых или чёрных списков. squid3: - Исключить из автозапуска сетевой сервис - Обеспечить подключения пользователей к прокси серверу squid только по https протоколу - Использовать ПО squid только на низком или отдельно выделенном уровне целостности - Запускать ПО Squid с минимально необходимыми привилегиями - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Squid (/etc/squid/squid.conf): ``` # Разрешите доступ к прокси-серверу только с доверенных IP-адресов acl localnet src YOUR_TRUSTED_IP http_access allow localnet http_access deny all ``` - Настройте брандмауэр так, чтобы разрешать входящие подключения к Squid только с доверенных сетей, например: ``` sudo iptables -A INPUT -s YOUR_TRUSTED_IP -p tcp --dport 3128 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 3128 -j DROP ``` - Ограничьте доступ к ненадёжным и недоверенным ресурсам с помощью белых или чёрных списков. Astra Linux 1.8 libexif libexif through 0.6.25 has a flaw in decoding MakerNotes. If the exif_mnote_data_get_value function gets passed in a 0 size, the passed in-buffer would be overwritten due to an integer underflow. Уязвимость функции exif_mnote_data_get_value() библиотеки для грамматического разбора EXIF-файлов Libexif связана с целочисленной потерей значимости. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) Astra Linux 1.8 botan Botan is a C++ cryptography library. From version 2.3.0 to before version 3.11.0, during SM2 decryption, the code that checked the authentication code value (C3) failed to check that the encoded value was of the expected length prior to comparison. An invalid ciphertext can cause a heap over-read of up to 31 bytes, resulting in a crash or potentially other undefined behavior. This issue has been patched in version 3.11.0. Уязвимость компонента SM2 Handler криптографической библиотеки C++ Botan связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании и раскрыть конфиденциальную информацию [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=8.2) Astra Linux 1.8 mupdf An integer overflow vulnerability in 'pdf-image.c' in Artifex's MuPDF version 1.27.0 allows an attacker to maliciously craft a PDF that can trigger an integer overflow within the 'pdf_load_image_imp' function. This allows a heap out-of-bounds write that could be exploited for arbitrary code execution. Уязвимость компонента draw-unpack.c программы просмотра PDF-файлов MuPDf связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. In versions 1.2.1 through 1.6.55, `png_set_tRNS` and `png_set_PLTE` each alias a heap-allocated buffer between `png_struct` and `png_info`, sharing a single allocation across two structs with independent lifetimes. The `trans_alpha` aliasing has been present since at least libpng 1.0, and the `palette` aliasing since at least 1.2.1. Both affect all prior release lines `png_set_tRNS` sets `png_ptr->trans_alpha = info_ptr->trans_alpha` (256-byte buffer) and `png_set_PLTE` sets `info_ptr->palette = png_ptr->palette` (768-byte buffer). In both cases, calling `png_free_data` (with `PNG_FREE_TRNS` or `PNG_FREE_PLTE`) frees the buffer through `info_ptr` while the corresponding `png_ptr` pointer remains dangling. Subsequent row-transform functions dereference and, in some code paths, write to the freed memory. A second call to `png_set_tRNS` or `png_set_PLTE` has the same effect, because both functions call `png_free_data` internally before reallocating the `info_ptr` buffer. Version 1.6.56 fixes the issue. Уязвимость библиотеки для работы с растровой графикой в формате PNG Libpng связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) Astra Linux 1.8 squid Squid is a caching proxy for the Web. Prior to version 7.5, due to improper input validation, Squid is vulnerable to out of bounds read when handling ICP traffic. This problem allows a remote attacker to receive small amounts of memory potentially containing sensitive information when responding with errors to invalid ICP requests. This attack is limited to Squid deployments that explicitly enable ICP support (i.e. configure non-zero `icp_port`). This problem cannot be mitigated by denying ICP queries using `icp_access` rules. Version 7.5 contains a patch. Уязвимость прокси-сервера Squid связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) squid: - Исключить из автозапуска сетевой сервис - Обеспечить подключения пользователей к прокси серверу squid только по https протоколу - Использовать ПО squid только на низком или отдельно выделенном уровне целостности - Запускать ПО Squid с минимально необходимыми привилегиями - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Squid (/etc/squid/squid.conf): ``` # Разрешите доступ к прокси-серверу только с доверенных IP-адресов acl localnet src YOUR_TRUSTED_IP http_access allow localnet http_access deny all ``` - Настройте брандмауэр так, чтобы разрешать входящие подключения к Squid только с доверенных сетей, например: ``` sudo iptables -A INPUT -s YOUR_TRUSTED_IP -p tcp --dport 3128 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 3128 -j DROP ``` - Ограничьте доступ к ненадёжным и недоверенным ресурсам с помощью белых или чёрных списков. squid3: - Исключить из автозапуска сетевой сервис - Обеспечить подключения пользователей к прокси серверу squid только по https протоколу - Использовать ПО squid только на низком или отдельно выделенном уровне целостности - Запускать ПО Squid с минимально необходимыми привилегиями - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Squid (/etc/squid/squid.conf): ``` # Разрешите доступ к прокси-серверу только с доверенных IP-адресов acl localnet src YOUR_TRUSTED_IP http_access allow localnet http_access deny all ``` - Настройте брандмауэр так, чтобы разрешать входящие подключения к Squid только с доверенных сетей, например: ``` sudo iptables -A INPUT -s YOUR_TRUSTED_IP -p tcp --dport 3128 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 3128 -j DROP ``` - Ограничьте доступ к ненадёжным и недоверенным ресурсам с помощью белых или чёрных списков. Astra Linux 1.8 squid Squid is a caching proxy for the Web. Prior to version 7.5, due to heap Use-After-Free, Squid is vulnerable to Denial of Service when handling ICP traffic. This problem allows a remote attacker to perform a reliable and repeatable Denial of Service attack against the Squid service using ICP protocol. This attack is limited to Squid deployments that explicitly enable ICP support (i.e. configure non-zero `icp_port`). This problem _cannot_ be mitigated by denying ICP queries using `icp_access` rules. Version 7.5 contains a patch. Уязвимость прокси-сервера Squid связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) squid: - Исключить из автозапуска сетевой сервис - Обеспечить подключения пользователей к прокси серверу squid только по https протоколу - Использовать ПО squid только на низком или отдельно выделенном уровне целостности - Запускать ПО Squid с минимально необходимыми привилегиями - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Squid (/etc/squid/squid.conf): ``` # Разрешите доступ к прокси-серверу только с доверенных IP-адресов acl localnet src YOUR_TRUSTED_IP http_access allow localnet http_access deny all ``` - Настройте брандмауэр так, чтобы разрешать входящие подключения к Squid только с доверенных сетей, например: ``` sudo iptables -A INPUT -s YOUR_TRUSTED_IP -p tcp --dport 3128 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 3128 -j DROP ``` - Ограничьте доступ к ненадёжным и недоверенным ресурсам с помощью белых или чёрных списков. squid3: - Исключить из автозапуска сетевой сервис - Обеспечить подключения пользователей к прокси серверу squid только по https протоколу - Использовать ПО squid только на низком или отдельно выделенном уровне целостности - Запускать ПО Squid с минимально необходимыми привилегиями - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Squid (/etc/squid/squid.conf): ``` # Разрешите доступ к прокси-серверу только с доверенных IP-адресов acl localnet src YOUR_TRUSTED_IP http_access allow localnet http_access deny all ``` - Настройте брандмауэр так, чтобы разрешать входящие подключения к Squid только с доверенных сетей, например: ``` sudo iptables -A INPUT -s YOUR_TRUSTED_IP -p tcp --dport 3128 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 3128 -j DROP ``` - Ограничьте доступ к ненадёжным и недоверенным ресурсам с помощью белых или чёрных списков. Astra Linux 1.8 libpng1.6 LIBPNG is a reference library for use in applications that read, create, and manipulate PNG (Portable Network Graphics) raster image files. In versions 1.6.36 through 1.6.55, an out-of-bounds read and write exists in libpng's ARM/AArch64 Neon-optimized palette expansion path. When expanding 8-bit paletted rows to RGB or RGBA, the Neon loop processes a final partial chunk without verifying that enough input pixels remain. Because the implementation works backward from the end of the row, the final iteration dereferences pointers before the start of the row buffer (OOB read) and writes expanded pixel data to the same underflowed positions (OOB write). This is reachable via normal decoding of attacker-controlled PNG input if Neon is enabled. Version 1.6.56 fixes the issue. Уязвимость компонента ARM/AArch64 библиотеки для работы с растровой графикой в формате PNG Libpng связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:H', score=7.6) Astra Linux 1.8 mapserver MapServer is a system for developing web-based GIS applications. Starting in version 4.2 and prior to version 8.6.1, a heap-buffer-overflow write in MapServer’s SLD (Styled Layer Descriptor) parser lets a remote, unauthenticated attacker crash the MapServer process by sending a crafted SLD with more than 100 Threshold elements inside a ColorMap/Categorize structure (commonly reachable via WMS GetMap with SLD_BODY). Version 8.6.1 patches the issue. Уязвимость парсера SLD системы рендеринга географических данных MapServer связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.24.2, an unvalidated auth_length field read from the network triggers a WINPR_ASSERT() failure in rts_read_auth_verifier_no_checks(), causing any FreeRDP client connecting through a malicious RDP Gateway to crash with SIGABRT. This is a pre-authentication denial of service affecting all FreeRDP clients using RPC-over-HTTP gateway transport. The assertion is active in default release builds (WITH_VERBOSE_WINPR_ASSERT=ON). This issue has been patched in version 3.24.2. Уязвимость функции rts_read_auth_verifier_no_checks() RDP-клиента FreeRDP связана с недостатком использования функции assert(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.24.2, a malicious RDP server can crash the FreeRDP client by sending audio data in IMA ADPCM format with an invalid initial step index value (>= 89). The unvalidated step index is read directly from the network and used to index into a 89-entry lookup table, triggering a WINPR_ASSERT() failure and process abort via SIGABRT. This affects any FreeRDP client that has audio redirection (RDPSND) enabled, which is the default configuration. This issue has been patched in version 3.24.2. Уязвимость RDP-клиента FreeRDP связана с недостатком использования функции assert(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.24.2, there is a heap-buffer-overflow READ vulnerability at 24 bytes before the allocation, in winpr_aligned_offset_recalloc(). This issue has been patched in version 3.24.2. Уязвимость RDP-клиента FreeRDP связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=7.1) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.24.2, progressive_decompress_tile_upgrade() detects a mismatch via progressive_rfx_quant_cmp_equal() but only emits WLog_WARN, execution continues. The wrapped value (247) is used as a shift exponent, causing undefined behavior and an approximately 80 billion iteration loop (CPU DoS). This issue has been patched in version 3.24.2. Уязвимость функции progressive_decompress_tile_upgrade() RDP-клиента FreeRDP связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.24.2, in resize_vbar_entry() in libfreerdp/codec/clear.c, vBarEntry->size is updated to vBarEntry->count before the winpr_aligned_recalloc() call. If realloc fails, size is inflated while pixels still points to the old, smaller buffer. On a subsequent call where count <= size (the inflated value), realloc is skipped. The caller then writes count * bpp bytes of attacker-controlled pixel data into the undersized buffer, causing a heap buffer overflow. This issue has been patched in version 3.24.2. Уязвимость функции resize_vbar_entry() RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.24.2, pixel data from adjacent heap memory is rendered to screen, potentially leaking sensitive data to the attacker. This issue has been patched in version 3.24.2. Уязвимость RDP-клиента FreeRDP связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:L', score=5.9) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.24.2, in yuv_ensure_buffer() in libfreerdp/codec/h264.c, h264->width and h264->height are updated before the reallocation loop. If any winpr_aligned_recalloc() call fails, the function returns FALSE but width/height are already inflated. This issue has been patched in version 3.24.2. Уязвимость функции yuv_ensure_buffer() RDP-клиента FreeRDP связана с некорректными вычислениями размера выделяемого буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных NAL-пакетов [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.24.2, in persistent_cache_read_entry_v3() in libfreerdp/cache/persistent.c, persistent->bmpSize is updated before winpr_aligned_recalloc(). If realloc fails, bmpSize is inflated while bmpData points to the old buffer. This issue has been patched in version 3.24.2. Уязвимость функции persistent_cache_read_entry_v3() RDP-клиента FreeRDP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H', score=7.1) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Prior to version 3.24.2, a double-free vulnerability in kerberos_AcceptSecurityContext() and kerberos_InitializeSecurityContextA() (WinPR, winpr/libwinpr/sspi/Kerberos/kerberos.c) can cause a crash in any FreeRDP clients on systems where Kerberos and/or Kerberos U2U is configured (Samba AD member, or krb5 for NFS). The crash is triggered during NLA connection teardown and requires a failed authentication attempt. This issue has been patched in version 3.24.2. Уязвимость функций kerberos_AcceptSecurityContext() и kerberos_InitializeSecurityContextA() RDP-клиента FreeRDP связана с ошибкой повторного освобождения памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 xwayland, xorg-server A flaw was found in the X.Org X server. This integer underflow vulnerability, specifically in the XKB compatibility map handling, allows an attacker with local or remote X11 server access to trigger a buffer read overrun. This can lead to memory-safety violations and potentially a denial of service (DoS) or other severe impacts. Уязвимость компонента xkb.c реализации сервера X Window System X.Org Server и реализации протокола Wayland для X.Org XWayland связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-191'), NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 xwayland, xorg-server A flaw was found in the X.Org X server. This out-of-bounds read vulnerability in the XKB geometry processing, specifically within the `CheckSetGeom()` and `XkbAddGeomKeyAlias` functions, allows an attacker to read uninitialized or out-of-bounds memory. An attacker with a connection to the X11 server, either locally or remotely, can exploit this without user interaction. This could lead to the disclosure of memory contents or cause a denial of service by crashing the server. Уязвимость функции XkbAddGeomKeyAlias() компонента XKB реализации протокола Wayland для X.Org XWaylan и реализации сервера X Window System X.Org Server связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L', score=6.1) Astra Linux 1.8 xwayland, xorg-server A flaw was found in the X.Org X server. This use-after-free vulnerability occurs in the XSYNC fence triggering logic, specifically within the miSyncTriggerFence() function. An attacker with access to the X11 server can exploit this without user interaction, leading to a server crash and potentially enabling memory corruption. This could result in a denial of service or further compromise of the system. Уязвимость компонента sync/misync.c реализации сервера X Window System X.Org Server и реализации протокола Wayland для X.Org XWayland связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-825'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 xwayland, xorg-server A flaw was found in the X.Org X server. This vulnerability, an out-of-bounds read, affects the XKB (X Keyboard Extension) modifier map handling. An attacker with access to the X11 server can exploit this by sending a malformed request, which causes the server to read beyond its intended memory boundaries. This can lead to the exposure of sensitive information or cause the server to crash, resulting in a denial of service. Уязвимость функции CheckModifierMap() компонента XKB реализации протокола Wayland для X.Org XWaylan и реализации сервера X Window System X.Org Server связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-805')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:L', score=6.1) Astra Linux 1.8 xwayland, xorg-server A flaw was found in the X.Org X server's XKB key types request validation. A local attacker could send a specially crafted request to the X server, leading to an out-of-bounds memory access vulnerability. This could result in the disclosure of sensitive information or cause the server to crash, leading to a Denial of Service (DoS). In certain configurations, higher impact outcomes may be possible. Уязвимость компонента xkb.c реализации сервера X Window System X.Org Server и реализации протокола Wayland для X.Org XWayland связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 flatpak Flatpak is a Linux application sandboxing and distribution framework. Prior to 1.16.4, the Flatpak portal accepts paths in the sandbox-expose options which can be app-controlled symlinks pointing at arbitrary paths. Flatpak run mounts the resolved host path in the sandbox. This gives apps access to all host files and can be used as a primitive to gain code execution in the host context. This vulnerability is fixed in 1.16.4. Уязвимость инструмента для управления приложениями и средами Flatpak связана с отслеживанием символьных ссылок UNIX. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации и выполнить произвольный код [NistCWE(cwe='CWE-61'), NistCWE(cwe='CWE-59')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) Отключить уязвимый сервис flatpak-portal: ``` sudo systemctl --global mask flatpak-portal.service && systemctl --user stop flatpak-portal.service ``` Astra Linux 1.8 flatpak Flatpak is a Linux application sandboxing and distribution framework. Prior to 1.16.4, the caching for ld.so removes outdated cache files without properly checking that the app controlled path to the outdated cache is in the cache directory. This allows Flatpak apps to delete arbitrary files on the host. This vulnerability is fixed in 1.16.4. Уязвимость инструмента для управления приложениями и средами Flatpak связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ на удаление произвольных файлов [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) Astra Linux 1.8 openexr OpenEXR provides the specification and reference implementation of the EXR file format, an image storage format for the motion picture industry. From version 3.4.0 to before version 3.4.8, a crafted B44 or B44A EXR file can cause an out-of-bounds write in any application that decodes it via exr_decoding_run(). Consequences range from immediate crash (most likely) to corruption of adjacent heap allocations (layout-dependent). This issue has been patched in version 3.4.8. Уязвимость компонента internal_b44.c программного обеспечения для хранения изображений с широкими динамическими диапазоном яркости OpenEXR связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) Astra Linux 1.8 openexr OpenEXR provides the specification and reference implementation of the EXR file format, an image storage format for the motion picture industry. From 3.2.0 to before 3.2.7, 3.3.9, and 3.4.9, the DWA lossy decoder constructs temporary per-component block pointers using signed 32-bit arithmetic. For a large enough width, the calculation overflows and later decoder stores operate on a wrapped pointer outside the allocated rowBlock backing store. This vulnerability is fixed in 3.2.7, 3.3.9, and 3.4.9. Уязвимость компонента internal_piz.c программного обеспечения для хранения изображений с широкими динамическими диапазоном яркости OpenEXR связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H', score=5.0) Astra Linux 1.8 xz-utils XZ Utils provide a general-purpose data-compression library plus command-line tools. Prior to version 5.8.3, if lzma_index_decoder() was used to decode an Index that contained no Records, the resulting lzma_index was left in a state where where a subsequent lzma_index_append() would allocate too little memory, and a buffer overflow would occur. This issue has been patched in version 5.8.3. Уязвимость программы сжатия XZ Utils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) Astra Linux 1.8 python3.11 DISPUTED: The project has clarified that the documentation was incorrect, and that pkgutil.get_data() has the same security model as open(). The documentation has been updated to clarify this point. There is no vulnerability in the function if following the intended security model. pkgutil.get_data() did not validate the resource argument as documented, allowing path traversals. Уязвимость интерпретатора языка программирования Python связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-22')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 openssh Vulnerability in the OpenSSH GSSAPI delta included in various Linux distributions. This vulnerability affects the GSSAPI patches added by various Linux distributions and does not affect the OpenSSH upstream project itself. The usage of sshpkt_disconnect() on an error, which does not terminate the process, allows an attacker to send an unexpected GSSAPI message type during the GSSAPI key exchange to the server, which will call the underlying function and continue the execution of the program without setting the related connection variables. As the variables are not initialized to NULL the code later accesses those uninitialized variables, accessing random memory, which could lead to undefined behavior. The recommended workaround is to use ssh_packet_disconnect() instead, which does terminate the process. The impact of the vulnerability depends heavily on the compiler flag hardening configuration. Уязвимость функции sshpkt_disconnect компонента GSSAPI средства криптографической защиты OpenSSH связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) 1. Используя полномочия администратора системы с высоким уровнем целостности проверить, включена ли опция GSSAPIKeyExchange: ``` sudo sshd -T | grep gssapikeyexchange ``` Если команда выводит `gssapikeyexchange no`, то система не уязвима. В противном случае уязвимую опцию необходимо отключить. 2. Для отключения уязвимой функции отредактируйте файл конфигурации SSH /etc/ssh/sshd_config. Найдите строку GSSAPIKeyExchange (или добавьте её, если её нет) и установите значение no: ``` sudo nano /etc/ssh/sshd_config GSSAPIKeyExchange no ``` 3. Перезапустите SSH: ``` sudo systemctl restart sshd ``` Astra Linux 1.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, the RSS notifier allows .. path traversal in notify-recipient-uri (e.g., rss:///../job.cache), letting a remote IPP client write RSS XML bytes outside CacheDir/rss (anywhere that is lp-writable). In particular, because CacheDir is group-writable by default (typically root:lp and mode 0770), the notifier (running as lp) can replace root-managed state files via temp-file + rename(). This PoC clobbers CacheDir/job.cache with RSS XML, and after restarting cupsd the scheduler fails to parse the job cache and previously queued jobs disappear. At time of publication, there are no publicly available patches. Уязвимость сервера печати CUPS связана с неверным ограничением имени пути к каталогу при обработке параметра notify-recipient-uri. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, there is a heap-based buffer overflow in the CUPS scheduler when building filter option strings from job attribute. At time of publication, there are no publicly available patches. Уязвимость сервера печати CUPS связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, in a network-exposed cupsd with a shared target queue, an unauthorized client can send a Print-Job to that shared PostScript queue without authentication. The server accepts a page-border value supplied as textWithoutLanguage, preserves an embedded newline through option escaping and reparse, and then reparses the resulting second-line PPD: text as a trusted scheduler control record. A follow-up raw print job can therefore make the server execute an attacker-chosen existing binary such as /usr/bin/vim as lp. At time of publication, there are no publicly available patches. Уязвимость сервера печати CUPS связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.5) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, a local unprivileged user can coerce cupsd into authenticating to an attacker-controlled localhost IPP service with a reusable Authorization: Local ... token. That token is enough to drive /admin/ requests on localhost, and the attacker can combine CUPS-Create-Local-Printer with printer-is-shared=true to persist a file:///... queue even though the normal FileDevice policy rejects such URIs. Printing to that queue gives an arbitrary root file overwrite; the PoC below uses that primitive to drop a sudoers fragment and demonstrate root command execution. At time of publication, there are no publicly available patches. Уязвимость сервера печати CUPS связана с недостатками процедуры аутентификации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-287')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 sdl-image1.2 SDL_image is a library to load images of various formats as SDL surfaces. In do_layer_surface() in src/IMG_xcf.c, pixel index values from decoded XCF tile data are used directly as colormap indices without validating them against the colormap size (cm_num). A crafted .xcf file with a small colormap and out-of-range pixel indices causes heap out-of-bounds reads of up to 762 bytes past the colormap allocation. Both IMAGE_INDEXED code paths are affected (bpp=1 and bpp=2). The leaked heap bytes are written into the output surface pixel data, making them potentially observable in the rendered image. This vulnerability is fixed with commit 996bf12888925932daace576e09c3053410896f8. Уязвимость функции do_layer_surface() компонента src/IMG_xcf.c библиотеки Simple DirectMedia Layer связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданного .xcf файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:L', score=7.1) sdl-image1.2: - Отказаться от использования библиотеки sdl-image1.2 - При использовании ПО, использующего библиотеку sdl-image1.2, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку sdl-image1.2, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку sdl-image1.2, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 sudo In Sudo through 1.9.17p2 before 3e474c2, a failure of a setuid, setgid, or setgroups call, during a privilege drop before running the mailer, is not a fatal error and can lead to privilege escalation. Уязвимость программы системного администрирования Sudo связана с ошибками управления привилегиями при обработке и проверке параметров setuid, setgid и setgroups. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-271'), NistCWE(cwe='CWE-272')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) sudo: - Используя полномочия администратора системы с высоким уровнем целостности, с помощью файла конфигурации /etc/sudoers минимизируйте необходимые разрешения для пользователей, например, определите конкретные команды, которые пользователь может выполнять; - По возможности избегайте использования NOPASSWD, то есть требуйте пароли для выполнения команд sudo для каждой сессии. - Для того, чтобы пароль не запоминался и запрашивался для каждой команды, в файл /etc/sudoers добавить строку: ``` Defaults timestamp_timeout=0 ``` - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 libssh A weakness has been identified in libssh up to 0.11.3. The impacted element is the function sftp_extensions_get_name/sftp_extensions_get_data of the file src/sftp.c of the component SFTP Extension Name Handler. Executing a manipulation of the argument idx can lead to out-of-bounds read. The attack may be performed from remote. Upgrading to version 0.11.4 and 0.12.0 is sufficient to resolve this issue. This patch is called 855a0853ad3abd4a6cd85ce06fce6d8d4c7a0b60. You should upgrade the affected component. Уязвимость компонента SFTP библиотеки для аутентификации клиента LibSSH связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:N/I:N/A:P', score=5.0) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) libssh: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей - Отказаться от использования libssh в пользу libssh2 libssh2: - Включить блокировку удаленного входа для непривилегированных и недоверенных пользователей Astra Linux 1.8 qemu A flaw was found in QEMU. This vulnerability allows a local attacker within a guest virtual machine to write data beyond its allocated memory. This occurs when cpu_physical_memory_map() returns a shorter length than expected, leading to an out-of-bounds write. Successful exploitation could result in unauthorized access to guest memory or corruption of heap-allocated objects, potentially causing information disclosure, data integrity issues, or a denial of service. Уязвимость эмулятора аппаратного обеспечения QEMU связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 thunderbird Spoofing issue in Thunderbird. This vulnerability was fixed in Thunderbird 149 and Thunderbird 140.9. Уязвимость почтового клиента Thunderbird связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, an integer underflow vulnerability in _ppdCreateFromIPP() (cups/ppd-cache.c) allows any unprivileged local user to crash the cupsd root process by supplying a negative job-password-supported IPP attribute. The bounds check only caps the upper bound, so a negative value passes validation, is cast to size_t (wrapping to ~2^64), and is used as the length argument to memset() on a 33-byte stack buffer. This causes an immediate SIGSEGV in the cupsd root process. Combined with systemd's Restart=on-failure, an attacker can repeat the crash for sustained denial of service. Уязвимость функции _ppdCreateFromIPP() компонента cups/ppd-cache.c сервера печати CUPS связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. In versions 2.4.16 and prior, a use-after-free vulnerability exists in the CUPS scheduler (cupsd) when temporary printers are automatically deleted. cupsdDeleteTemporaryPrinters() in scheduler/printers.c calls cupsdDeletePrinter() without first expiring subscriptions that reference the printer, leaving cupsd_subscription_t.dest as a dangling pointer to freed heap memory. The dangling pointer is subsequently dereferenced at multiple code sites, causing a crash (denial of service) of the cupsd daemon. With heap grooming, this can be leveraged for code execution. Уязвимость функции cupsdDeleteTemporaryPrinters() компонента scheduler/printers.c сервера печати CUPS связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=4.0) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 systemd In nspawn in systemd 233 through 259 before 260, an escape-to-host action can occur via a crafted optional config file. Уязвимость компонента nspawn подсистемы инициализации и управления службами Systemd связана с использованием ненадёжного источника. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-348')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H', score=6.4) systemd: - Обеспечить возможность использования только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Установить "взломостойкий" пароль python-systemd: - Использовать ПО python-systemd только на низком или отдельно выделенном уровне целостности - При использовании ПО python-systemd выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-systemd только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libexif In libexif through 0.6.25, an integer underflow in size checking for Fuji and Olympus MakerNote decoding could be used by attackers to crash or leak information out of libexif-using programs. Уязвимость библиотеки для грамматического разбора EXIF-файлов Libexif связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L', score=4.0) Astra Linux 1.8 libheif libheif is a HEIF and AVIF file format decoder and encoder. In versions 1.21.2 and prior, a malformed HEIF sequence file can trigger an out-of-bounds read in core sequence parsing logic, causing DoS. A malformed file can have stco.entry_count == 0 (creating no chunks) while still passing validation because saio.entry_count == 0 matches, but with saiz.sample_count > 0 the SampleAuxInfoReader constructor still enters its loop. This leads to an out-of-bounds dereference on the empty chunks[0] in chunked mode. Уязвимость библиотеки кодирования и декодирования файлов HEIF и AVIF Libheif связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью искажённого файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 libheif libheif is a HEIF and AVIF file format decoder and encoder. In versions 1.21.2 and prior, a crafted HEIF sequence file where the saiz box declares more samples than actually exist in the track's chunk table causes a heap-buffer-overflow (out-of-bounds read) in the SampleAuxInfoReader constructor. The SampleAuxInfoReader constructor iterates over saiz->get_num_samples() samples but doesn't validate that this count is consistent with the number of chunks in the chunks vector. When saiz declares more samples than the chunks cover, the loop increments current_chunk past chunks.size(), causing an out-of-bounds read on the chunks vector. The vulnerability is triggered during file parsing (heif_context_read_from_file) without any additional user interaction. Any application using libheif to open untrusted HEIF files is affected. This issue has been fixed in version 1.22.0. Уязвимость библиотеки кодирования и декодирования файлов HEIF и AVIF Libheif связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) Astra Linux 1.8 cups OpenPrinting CUPS is an open source printing system for Linux and other Unix-like operating systems. Prior to 2.4.17, a network-adjacent attacker can send a crafted SNMP response to the CUPS SNMP backend that causes an out-of-bounds read of up to 176 bytes past a stack buffer. The leaked memory is converted from UTF-16 to UTF-8 and stored as printer supply description strings, which are subsequently visible to authenticated users via IPP Get-Printer-Attributes responses and the CUPS web interface. This vulnerability is fixed in 2.4.17. Уязвимость функции asn1_decode_snmp() сервера печати CUPS связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию или вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=4.3) cups: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей cups-filters: - При использовании ПО cups выполнять обработку файлов, полученных только из доверенных источников - Создайте отдельного пользователя и группу для CUPS, чтобы ограничить доступ к системным ресурсам - Если удаленный доступ необходим, ограничьте его только для доверенных IP-адресов - Настройте файл конфигурации /etc/cups/cupsd.conf так, чтобы CUPS прослушивал только локальный интерфейс, исключая удаленный доступ - Для управления доступом к списку принтеров используйте директивы BrowseAllow и BrowseDeny - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Настройте CUPS для использования HTTPS вместо HTTP, чтобы защитить данные, передаваемые между клиентами и сервером - Запускать ПО cups в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 libarchive A flaw was identified in the RAR5 archive decompression logic of the libarchive library, specifically within the archive_read_data() processing path. When a specially crafted RAR5 archive is processed, the decompression routine may enter a state where internal logic prevents forward progress. This condition results in an infinite loop that continuously consumes CPU resources. Because the archive passes checksum validation and appears structurally valid, affected applications cannot detect the issue before processing. This can allow attackers to cause persistent denial-of-service conditions in services that automatically process archives. Уязвимость библиотеки архивирования Libarchive связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835'), NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 1.8 lcms2 Little CMS (lcms2) through 2.18 has an integer overflow in CubeSize in cmslut.c because the overflow check is performed after the multiplication. Уязвимость функции CubeSize() компонента cmslut.c библиотеки управления цветом Little CMS связана с выполнением действий в неправильном порядке. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-696'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L', score=4.0) - При использовании ПО lcms2 выполнять обработку данных, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 python3.11 When an Expat parser with a registered ElementDeclHandler parses an inline document type definition containing a deeply nested content model a C stack overflow occurs. Уязвимость функции conv_content_model() компонента pyexpat.c интерпретатора языка программирования Python связана с неконтролируемой рекурсией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbcon: check return value of con2fb_acquire_newinfo() If fbcon_open() fails when called from con2fb_acquire_newinfo() then info->fbcon_par pointer remains NULL which is later dereferenced. Add check for return value of the function con2fb_acquire_newinfo() to avoid it. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента drivers/video/fbdev/core/fbcon.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pstore: ram_core: fix incorrect success return when vmap() fails In persistent_ram_vmap(), vmap() may return NULL on failure. If offset is non-zero, adding offset_in_page(start) causes the function to return a non-NULL pointer even though the mapping failed. persistent_ram_buffer_map() therefore incorrectly returns success. Subsequent access to prz->buffer may dereference an invalid address and cause crashes. Add proper NULL checking for vmap() failures. Уязвимость компонента fs/pstore/ram_core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dlm: validate length in dlm_search_rsb_tree The len parameter in dlm_dump_rsb_name() is not validated and comes from network messages. When it exceeds DLM_RESNAME_MAXLEN, it can cause out-of-bounds write in dlm_search_rsb_tree(). Add length validation to prevent potential buffer overflow. [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-130')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: mixer: oss: Add card disconnect checkpoints ALSA OSS mixer layer calls the kcontrol ops rather individually, and pending calls might be not always caught at disconnecting the device. For avoiding the potential UAF scenarios, add sanity checks of the card disconnection at each entry point of OSS mixer accesses. The rwsem is taken just before that check, hence the rest context should be covered by that properly. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/umem: Fix double dma_buf_unpin in failure path In ib_umem_dmabuf_get_pinned_with_dma_device(), the call to ib_umem_dmabuf_map_pages() can fail. If this occurs, the dmabuf is immediately unpinned but the umem_dmabuf->pinned flag is still set. Then, when ib_umem_release() is called, it calls ib_umem_dmabuf_revoke() which will call dma_buf_unpin() again. Fix this by removing the immediate unpin upon failure and just let the ib_umem_release/revoke path handle it. This also ensures the proper unmap-unpin unwind ordering if the dmabuf_map_pages call happened to fail due to dma_resv_wait_timeout (and therefore has a non-NULL umem_dmabuf->sgt). Уязвимость компонента drivers/infiniband/core/umem_dmabuf.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/vt-d: Flush dev-IOTLB only when PCIe device is accessible in scalable mode Commit 4fc82cd907ac ("iommu/vt-d: Don't issue ATS Invalidation request when device is disconnected") relies on pci_dev_is_disconnected() to skip ATS invalidation for safely-removed devices, but it does not cover link-down caused by faults, which can still hard-lock the system. For example, if a VM fails to connect to the PCIe device, "virsh destroy" is executed to release resources and isolate the fault, but a hard-lockup occurs while releasing the group fd. Call Trace: qi_submit_sync qi_flush_dev_iotlb intel_pasid_tear_down_entry device_block_translation blocking_domain_attach_dev __iommu_attach_device __iommu_device_set_domain __iommu_group_set_domain_internal iommu_detach_group vfio_iommu_type1_detach_group vfio_group_detach_container vfio_group_fops_release __fput Although pci_device_is_present() is slower than pci_dev_is_disconnected(), it still takes only ~70 µs on a ConnectX-5 (8 GT/s, x2) and becomes even faster as PCIe speed and width increase. Besides, devtlb_invalidation_with_pasid() is called only in the paths below, which are far less frequent than memory map/unmap. 1. mm-struct release 2. {attach,release}_dev 3. set/remove PASID 4. dirty-tracking setup The gain in system stability far outweighs the negligible cost of using pci_device_is_present() instead of pci_dev_is_disconnected() to decide when to skip ATS invalidation, especially under GDR high-load conditions. Уязвимость компонента drivers/iommu/intel/pasid.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm-verity: correctly handle dm_bufio_client_create() failure If either of the calls to dm_bufio_client_create() in verity_fec_ctr() fails, then dm_bufio_client_destroy() is later called with an ERR_PTR() argument. That causes a crash. Fix this. Уязвимость компонента drivers/md/dm-verity-fec.c ядра операционной системы Linux связана с освобождением неверного указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: nSVM: Always use vmcb01 in VMLOAD/VMSAVE emulation Commit cc3ed80ae69f ("KVM: nSVM: always use vmcb01 to for vmsave/vmload of guest state") made KVM always use vmcb01 for the fields controlled by VMSAVE/VMLOAD, but it missed updating the VMLOAD/VMSAVE emulation code to always use vmcb01. As a result, if VMSAVE/VMLOAD is executed by an L2 guest and is not intercepted by L1, KVM will mistakenly use vmcb02. Always use vmcb01 instead of the current VMCB. Уязвимость компонента arch/x86/kvm/svm/svm.c ядра операционной системы Linux связана с неполным распознаванием внутреннего состояния. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-628')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H', score=7.9) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: L2CAP: Fix missing key size check for L2CAP_LE_CONN_REQ This adds a check for encryption key size upon receiving L2CAP_LE_CONN_REQ which is required by L2CAP/LE/CFC/BV-15-C which expects L2CAP_CR_LE_BAD_KEY_SIZE. Уязвимость компонента net/bluetooth/l2cap_core.c ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=8.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: cx23885: Add missing unmap in snd_cx23885_hw_params() In error path, add cx23885_alsa_dma_unmap() to release the resource acquired by cx23885_alsa_dma_map(). Уязвимость компонента drivers/media/pci/cx23885/cx23885-alsa.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: logitech-hidpp: Check maxfield in hidpp_get_report_length() Do not crash when a report has no fields. Fake USB gadgets can send their own HID report descriptors and can define report structures without valid fields. This can be used to crash the kernel over USB. Уязвимость компонента drivers/hid/hid-logitech-hidpp.c ядра операционной системы Linux связана с некорректной обработкой отсутствующего специального элемента. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: SOF: Intel: hda: Fix NULL pointer dereference If there's a mismatch between the DAI links in the machine driver and the topology, it is possible that the playback/capture widget is not set, especially in the case of loopback capture for echo reference where we use the dummy DAI link. Return the error when the widget is not set to avoid a null pointer dereference like below when the topology is broken. RIP: 0010:hda_dai_get_ops.isra.0+0x14/0xa0 [snd_sof_intel_hda_common] [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: reset: gpio: suppress bind attributes in sysfs This is a special device that's created dynamically and is supposed to stay in memory forever. We also currently don't have a devlink between it and the actual reset consumer. Suppress sysfs bind attributes so that user-space can't unbind the device because - as of now - it will cause a use-after-free splat from any user that puts the reset control handle. Уязвимость компонента drivers/reset/reset-gpio.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm6: fix uninitialized saddr in xfrm6_get_saddr() xfrm6_get_saddr() does not check the return value of ipv6_dev_get_saddr(). When ipv6_dev_get_saddr() fails to find a suitable source address (returns -EADDRNOTAVAIL), saddr->in6 is left uninitialized, but xfrm6_get_saddr() still returns 0 (success). This causes the caller xfrm_tmpl_resolve_one() to use the uninitialized address in xfrm_state_find(), triggering KMSAN warning: ===================================================== BUG: KMSAN: uninit-value in xfrm_state_find+0x2424/0xa940 xfrm_state_find+0x2424/0xa940 xfrm_resolve_and_create_bundle+0x906/0x5a20 xfrm_lookup_with_ifid+0xcc0/0x3770 xfrm_lookup_route+0x63/0x2b0 ip_route_output_flow+0x1ce/0x270 udp_sendmsg+0x2ce1/0x3400 inet_sendmsg+0x1ef/0x2a0 __sock_sendmsg+0x278/0x3d0 __sys_sendto+0x593/0x720 __x64_sys_sendto+0x130/0x200 x64_sys_call+0x332b/0x3e70 do_syscall_64+0xd3/0xf80 entry_SYSCALL_64_after_hwframe+0x77/0x7f Local variable tmp.i.i created at: xfrm_resolve_and_create_bundle+0x3e3/0x5a20 xfrm_lookup_with_ifid+0xcc0/0x3770 ===================================================== Fix by checking the return value of ipv6_dev_get_saddr() and propagating the error. Уязвимость компонента net/ipv6/xfrm6_policy.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=8.6) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: magicmouse: Do not crash on missing msc->input Fake USB devices can send their own report descriptors for which the input_mapping() hook does not get called. In this case, msc->input stays NULL, leading to a crash at a later time. Detect this condition in the input_configured() hook and reject the device. This is not supposed to happen with actual magic mouse devices, but can be provoked by imposing as a magic mouse USB device. Уязвимость компонента drivers/hid/hid-magicmouse.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ntb: ntb_hw_switchtec: Fix shift-out-of-bounds for 0 mw lut Number of MW LUTs depends on NTB configuration and can be set to zero, in such scenario rounddown_pow_of_two will cause undefined behaviour and should not be performed. This patch ensures that rounddown_pow_of_two is called on valid value. Уязвимость компонента drivers/ntb/hw/mscc/ntb_hw_switchtec.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mfd: core: Add locking around 'mfd_of_node_list' Manipulating a list in the kernel isn't safe without some sort of mutual exclusion. Add a mutex any time we access / modify 'mfd_of_node_list' to prevent possible crashes. Уязвимость компонента drivers/mfd/mfd-core.c ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: remoteproc: imx_rproc: Fix invalid loaded resource table detection imx_rproc_elf_find_loaded_rsc_table() may incorrectly report a loaded resource table even when the current firmware does not provide one. When the device tree contains a "rsc-table" entry, priv->rsc_table is non-NULL and denotes where a resource table would be located if one is present in memory. However, when the current firmware has no resource table, rproc->table_ptr is NULL. The function still returns priv->rsc_table, and the remoteproc core interprets this as a valid loaded resource table. Fix this by returning NULL from imx_rproc_elf_find_loaded_rsc_table() when there is no resource table for the current firmware (i.e. when rproc->table_ptr is NULL). This aligns the function's semantics with the remoteproc core: a loaded resource table is only reported when a valid table_ptr exists. With this change, starting firmware without a resource table no longer triggers a crash. Уязвимость компонента drivers/remoteproc/imx_rproc.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Revert "PCI/IOV: Add PCI rescan-remove locking when enabling/disabling SR-IOV" This reverts commit 05703271c3cd ("PCI/IOV: Add PCI rescan-remove locking when enabling/disabling SR-IOV"), which causes a deadlock by recursively taking pci_rescan_remove_lock when sriov_del_vfs() is called as part of pci_stop_and_remove_bus_device(). For example with the following sequence of commands: $ echo <NUM> > /sys/bus/pci/devices/<pf>/sriov_numvfs $ echo 1 > /sys/bus/pci/devices/<pf>/remove A trimmed trace of the deadlock on a mlx5 device is as below: zsh/5715 is trying to acquire lock: 000002597926ef50 (pci_rescan_remove_lock){+.+.}-{3:3}, at: sriov_disable+0x34/0x140 but task is already holding lock: 000002597926ef50 (pci_rescan_remove_lock){+.+.}-{3:3}, at: pci_stop_and_remove_bus_device_locked+0x24/0x80 ... Call Trace: [<00000259778c4f90>] dump_stack_lvl+0xc0/0x110 [<00000259779c844e>] print_deadlock_bug+0x31e/0x330 [<00000259779c1908>] __lock_acquire+0x16c8/0x32f0 [<00000259779bffac>] lock_acquire+0x14c/0x350 [<00000259789643a6>] __mutex_lock_common+0xe6/0x1520 [<000002597896413c>] mutex_lock_nested+0x3c/0x50 [<00000259784a07e4>] sriov_disable+0x34/0x140 [<00000258f7d6dd80>] mlx5_sriov_disable+0x50/0x80 [mlx5_core] [<00000258f7d5745e>] remove_one+0x5e/0xf0 [mlx5_core] [<00000259784857fc>] pci_device_remove+0x3c/0xa0 [<000002597851012e>] device_release_driver_internal+0x18e/0x280 [<000002597847ae22>] pci_stop_bus_device+0x82/0xa0 [<000002597847afce>] pci_stop_and_remove_bus_device_locked+0x5e/0x80 [<00000259784972c2>] remove_store+0x72/0x90 [<0000025977e6661a>] kernfs_fop_write_iter+0x15a/0x200 [<0000025977d7241c>] vfs_write+0x24c/0x300 [<0000025977d72696>] ksys_write+0x86/0x110 [<000002597895b61c>] __do_syscall+0x14c/0x400 [<000002597896e0ee>] system_call+0x6e/0x90 This alone is not a complete fix as it restores the issue the cited commit tried to solve. A new fix will be provided as a follow on. Уязвимость компонента drivers/pci/iov.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: powerpc/smp: Add check for kcalloc() failure in parse_thread_groups() As kcalloc() may fail, check its return value to avoid a NULL pointer dereference when passing it to of_property_read_u32_array(). Уязвимость компонента arch/powerpc/kernel/smp.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: wan/fsl_ucc_hdlc: Fix dma_free_coherent() in uhdlc_memclean() The priv->rx_buffer and priv->tx_buffer are alloc'd together as contiguous buffers in uhdlc_init() but freed as two buffers in uhdlc_memclean(). Change the cleanup to only call dma_free_coherent() once on the whole buffer. Уязвимость компонента drivers/net/wan/fsl_ucc_hdlc.c ядра операционной системы Linux связана с множественным освобождением одного и того же ресурса или дескриптора. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf/arm-cmn: Reject unsupported hardware configurations So far we've been fairly lax about accepting both unknown CMN models (at least with a warning), and unknown revisions of those which we do know, as although things do frequently change between releases, typically enough remains the same to be somewhat useful for at least some basic bringup checks. However, we also make assumptions of the maximum supported sizes and numbers of things in various places, and there's no guarantee that something new might not be bigger and lead to nasty array overflows. Make sure we only try to run on things that actually match our assumptions and so will not risk memory corruption. We have at least always failed on completely unknown node types, so update that error message for clarity and consistency too. Уязвимость компонента drivers/perf/arm-cmn.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: hid-pl: handle probe errors Errors in init must be reported back or we'll follow a NULL pointer the first time FF is used. Уязвимость компонента drivers/hid/hid-pl.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfs: remove xfs_attr_leaf_hasname The calling convention of xfs_attr_leaf_hasname() is problematic, because it returns a NULL buffer when xfs_attr3_leaf_read fails, a valid buffer when xfs_attr3_leaf_lookup_int returns -ENOATTR or -EEXIST, and a non-NULL buffer pointer for an already released buffer when xfs_attr3_leaf_lookup_int fails with other error values. Fix this by simply open coding xfs_attr_leaf_hasname in the callers, so that the buffer release code is done by each caller of xfs_attr3_leaf_read. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: pegasus: enable basic endpoint checking pegasus_probe() fills URBs with hardcoded endpoint pipes without verifying the endpoint descriptors: - usb_rcvbulkpipe(dev, 1) for RX data - usb_sndbulkpipe(dev, 2) for TX data - usb_rcvintpipe(dev, 3) for status interrupts A malformed USB device can present these endpoints with transfer types that differ from what the driver assumes. Add a pegasus_usb_ep enum for endpoint numbers, replacing magic constants throughout. Add usb_check_bulk_endpoints() and usb_check_int_endpoints() calls before any resource allocation to verify endpoint types before use, rejecting devices with mismatched descriptors at probe time, and avoid triggering assertion. Similar fix to - commit 90b7f2961798 ("net: usb: rtl8150: enable basic endpoint checking") - commit 9e7021d2aeae ("net: usb: catc: enable basic endpoint checking") Уязвимость компонента drivers/net/usb/pegasus.c ядра операционной системы Linux связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: octeontx2-af: CGX: fix bitmap leaks The RX/TX flow-control bitmaps (rx_fc_pfvf_bmap and tx_fc_pfvf_bmap) are allocated by cgx_lmac_init() but never freed in cgx_lmac_exit(). Unbinding and rebinding the driver therefore triggers kmemleak: unreferenced object (size 16): backtrace: rvu_alloc_bitmap cgx_probe Free both bitmaps during teardown. Уязвимость компонента drivers/net/ethernet/marvell/octeontx2/af/cgx.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfs: fix freemap adjustments when adding xattrs to leaf blocks xfs/592 and xfs/794 both trip this assertion in the leaf block freemap adjustment code after ~20 minutes of running on my test VMs: ASSERT(ichdr->firstused >= ichdr->count * sizeof(xfs_attr_leaf_entry_t) + xfs_attr3_leaf_hdr_size(leaf)); Upon enabling quite a lot more debugging code, I narrowed this down to fsstress trying to set a local extended attribute with namelen=3 and valuelen=71. This results in an entry size of 80 bytes. At the start of xfs_attr3_leaf_add_work, the freemap looks like this: i 0 base 448 size 0 rhs 448 count 46 i 1 base 388 size 132 rhs 448 count 46 i 2 base 2120 size 4 rhs 448 count 46 firstused = 520 where "rhs" is the first byte past the end of the leaf entry array. This is inconsistent -- the entries array ends at byte 448, but freemap[1] says there's free space starting at byte 388! By the end of the function, the freemap is in worse shape: i 0 base 456 size 0 rhs 456 count 47 i 1 base 388 size 52 rhs 456 count 47 i 2 base 2120 size 4 rhs 456 count 47 firstused = 440 Important note: 388 is not aligned with the entries array element size of 8 bytes. Based on the incorrect freemap, the name area starts at byte 440, which is below the end of the entries array! That's why the assertion triggers and the filesystem shuts down. How did we end up here? First, recall from the previous patch that the freemap array in an xattr leaf block is not intended to be a comprehensive map of all free space in the leaf block. In other words, it's perfectly legal to have a leaf block with: * 376 bytes in use by the entries array * freemap[0] has [base = 376, size = 8] * freemap[1] has [base = 388, size = 1500] * the space between 376 and 388 is free, but the freemap stopped tracking that some time ago If we add one xattr, the entries array grows to 384 bytes, and freemap[0] becomes [base = 384, size = 0]. So far, so good. But if we add a second xattr, the entries array grows to 392 bytes, and freemap[0] gets pushed up to [base = 392, size = 0]. This is bad, because freemap[1] hasn't been updated, and now the entries array and the free space claim the same space. The fix here is to adjust all freemap entries so that none of them collide with the entries array. Note that this fix relies on commit 2a2b5932db6758 ("xfs: fix attr leaf header freemap.size underflow") and the previous patch that resets zero length freemap entries to have base = 0. Уязвимость компонента fs/xfs/libxfs/xfs_attr_leaf.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: staging: rtl8723bs: fix null dereference in find_network The variable pwlan has the possibility of being NULL when passed into rtw_free_network_nolock() which would later dereference the variable. Уязвимость компонента drivers/staging/rtl8723bs/core/rtw_mlme.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/vt-d: Skip dev-iotlb flush for inaccessible PCIe device without scalable mode PCIe endpoints with ATS enabled and passed through to userspace (e.g., QEMU, DPDK) can hard-lock the host when their link drops, either by surprise removal or by a link fault. Commit 4fc82cd907ac ("iommu/vt-d: Don't issue ATS Invalidation request when device is disconnected") adds pci_dev_is_disconnected() to devtlb_invalidation_with_pasid() so ATS invalidation is skipped only when the device is being safely removed, but it applies only when Intel IOMMU scalable mode is enabled. With scalable mode disabled or unsupported, a system hard-lock occurs when a PCIe endpoint's link drops because the Intel IOMMU waits indefinitely for an ATS invalidation that cannot complete. Call Trace: qi_submit_sync qi_flush_dev_iotlb __context_flush_dev_iotlb.part.0 domain_context_clear_one_cb pci_for_each_dma_alias device_block_translation blocking_domain_attach_dev iommu_deinit_device __iommu_group_remove_device iommu_release_device iommu_bus_notifier blocking_notifier_call_chain bus_notify device_del pci_remove_bus_device pci_stop_and_remove_bus_device pciehp_unconfigure_device pciehp_disable_slot pciehp_handle_presence_or_link_change pciehp_ist Commit 81e921fd3216 ("iommu/vt-d: Fix NULL domain on device release") adds intel_pasid_teardown_sm_context() to intel_iommu_release_device(), which calls qi_flush_dev_iotlb() and can also hard-lock the system when a PCIe endpoint's link drops. Call Trace: qi_submit_sync qi_flush_dev_iotlb __context_flush_dev_iotlb.part.0 intel_context_flush_no_pasid device_pasid_table_teardown pci_pasid_table_teardown pci_for_each_dma_alias intel_pasid_teardown_sm_context intel_iommu_release_device iommu_deinit_device __iommu_group_remove_device iommu_release_device iommu_bus_notifier blocking_notifier_call_chain bus_notify device_del pci_remove_bus_device pci_stop_and_remove_bus_device pciehp_unconfigure_device pciehp_disable_slot pciehp_handle_presence_or_link_change pciehp_ist Sometimes the endpoint loses connection without a link-down event (e.g., due to a link fault); killing the process (virsh destroy) then hard-locks the host. Call Trace: qi_submit_sync qi_flush_dev_iotlb __context_flush_dev_iotlb.part.0 domain_context_clear_one_cb pci_for_each_dma_alias device_block_translation blocking_domain_attach_dev __iommu_attach_device __iommu_device_set_domain __iommu_group_set_domain_internal iommu_detach_group vfio_iommu_type1_detach_group vfio_group_detach_container vfio_group_fops_release __fput pci_dev_is_disconnected() only covers safe-removal paths; pci_device_is_present() tests accessibility by reading vendor/device IDs and internally calls pci_dev_is_disconnected(). On a ConnectX-5 (8 GT/s, x2) this costs ~70 µs. Since __context_flush_dev_iotlb() is only called on {attach,release}_dev paths (not hot), add pci_device_is_present() there to skip inaccessible devices and avoid the hard-lock. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md/bitmap: fix GPF in write_page caused by resize race A General Protection Fault occurs in write_page() during array resize: RIP: 0010:write_page+0x22b/0x3c0 [md_mod] This is a use-after-free race between bitmap_daemon_work() and __bitmap_resize(). The daemon iterates over `bitmap->storage.filemap` without locking, while the resize path frees that storage via md_bitmap_file_unmap(). `quiesce()` does not stop the md thread, allowing concurrent access to freed pages. Fix by holding `mddev->bitmap_info.mutex` during the bitmap update. Уязвимость компонента drivers/md/md-bitmap.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: always flush state and policy upon NETDEV_UNREGISTER event syzbot is reporting that "struct xfrm_state" refcount is leaking. unregister_netdevice: waiting for netdevsim0 to become free. Usage count = 2 ref_tracker: netdev@ffff888052f24618 has 1/1 users at __netdev_tracker_alloc include/linux/netdevice.h:4400 [inline] netdev_tracker_alloc include/linux/netdevice.h:4412 [inline] xfrm_dev_state_add+0x3a5/0x1080 net/xfrm/xfrm_device.c:316 xfrm_state_construct net/xfrm/xfrm_user.c:986 [inline] xfrm_add_sa+0x34ff/0x5fa0 net/xfrm/xfrm_user.c:1022 xfrm_user_rcv_msg+0x58e/0xc00 net/xfrm/xfrm_user.c:3507 netlink_rcv_skb+0x158/0x420 net/netlink/af_netlink.c:2550 xfrm_netlink_rcv+0x71/0x90 net/xfrm/xfrm_user.c:3529 netlink_unicast_kernel net/netlink/af_netlink.c:1318 [inline] netlink_unicast+0x5aa/0x870 net/netlink/af_netlink.c:1344 netlink_sendmsg+0x8c8/0xdd0 net/netlink/af_netlink.c:1894 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg net/socket.c:742 [inline] ____sys_sendmsg+0xa5d/0xc30 net/socket.c:2592 ___sys_sendmsg+0x134/0x1d0 net/socket.c:2646 __sys_sendmsg+0x16d/0x220 net/socket.c:2678 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xcd/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f This is because commit d77e38e612a0 ("xfrm: Add an IPsec hardware offloading API") implemented xfrm_dev_unregister() as no-op despite xfrm_dev_state_add() from xfrm_state_construct() acquires a reference to "struct net_device". I guess that that commit expected that NETDEV_DOWN event is fired before NETDEV_UNREGISTER event fires, and also assumed that xfrm_dev_state_add() is called only if (dev->features & NETIF_F_HW_ESP) != 0. Sabrina Dubroca identified steps to reproduce the same symptoms as below. echo 0 > /sys/bus/netdevsim/new_device dev=$(ls -1 /sys/bus/netdevsim/devices/netdevsim0/net/) ip xfrm state add src 192.168.13.1 dst 192.168.13.2 proto esp \ spi 0x1000 mode tunnel aead 'rfc4106(gcm(aes))' $key 128 \ offload crypto dev $dev dir out ethtool -K $dev esp-hw-offload off echo 0 > /sys/bus/netdevsim/del_device Like these steps indicate, the NETIF_F_HW_ESP bit can be cleared after xfrm_dev_state_add() acquired a reference to "struct net_device". Also, xfrm_dev_state_add() does not check for the NETIF_F_HW_ESP bit when acquiring a reference to "struct net_device". Commit 03891f820c21 ("xfrm: handle NETDEV_UNREGISTER for xfrm device") re-introduced the NETDEV_UNREGISTER event to xfrm_dev_event(), but that commit for unknown reason chose to share xfrm_dev_down() between the NETDEV_DOWN event and the NETDEV_UNREGISTER event. I guess that that commit missed the behavior in the previous paragraph. Therefore, we need to re-introduce xfrm_dev_unregister() in order to release the reference to "struct net_device" by unconditionally flushing state and policy. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix reflink preserve cleanup issue commit c06c303832ec ("ocfs2: fix xattr array entry __counted_by error") doesn't handle all cases and the cleanup job for preserved xattr entries still has bug: - the 'last' pointer should be shifted by one unit after cleanup an array entry. - current code logic doesn't cleanup the first entry when xh_count is 1. Note, commit c06c303832ec is also a bug fix for 0fe9b66c65f3. Уязвимость компонента fs/ocfs2/xattr.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/buddy: Prevent BUG_ON by validating rounded allocation When DRM_BUDDY_CONTIGUOUS_ALLOCATION is set, the requested size is rounded up to the next power-of-two via roundup_pow_of_two(). Similarly, for non-contiguous allocations with large min_block_size, the size is aligned up via round_up(). Both operations can produce a rounded size that exceeds mm->size, which later triggers BUG_ON(order > mm->max_order). Example scenarios: - 9G CONTIGUOUS allocation on 10G VRAM memory: roundup_pow_of_two(9G) = 16G > 10G - 9G allocation with 8G min_block_size on 10G VRAM memory: round_up(9G, 8G) = 16G > 10G Fix this by checking the rounded size against mm->size. For non-contiguous or range allocations where size > mm->size is invalid, return -EINVAL immediately. For contiguous allocations without range restrictions, allow the request to fall through to the existing __alloc_contig_try_harder() fallback. This ensures invalid user input returns an error or uses the fallback path instead of hitting BUG_ON. v2: (Matt A) - Add Fixes, Cc stable, and Closes tags for context Уязвимость компонента drivers/gpu/drm/drm_buddy.c ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: gadget: Move vbus draw to workqueue context Currently dwc3_gadget_vbus_draw() can be called from atomic context, which in turn invokes power-supply-core APIs. And some these PMIC APIs have operations that may sleep, leading to kernel panic. Fix this by moving the vbus_draw into a workqueue context. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: EFI/CPER: don't dump the entire memory region The current logic at cper_print_fw_err() doesn't check if the error record length is big enough to handle offset. On a bad firmware, if the ofset is above the actual record, length -= offset will underflow, making it dump the entire memory. The end result can be: - the logic taking a lot of time dumping large regions of memory; - data disclosure due to the memory dumps; - an OOPS, if it tries to dump an unmapped memory region. Fix it by checking if the section length is too small before doing a hex dump. [ rjw: Subject tweaks ] Уязвимость компонента drivers/firmware/efi/cper.c ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: xscale: Check for PTP support properly In ixp4xx_get_ts_info() ixp46x_ptp_find() is called unconditionally despite this feature only existing on ixp46x, leading to the following splat from tcpdump: root@OpenWrt:~# tcpdump -vv -X -i eth0 (...) Unable to handle kernel NULL pointer dereference at virtual address 00000238 when read (...) Call trace: ptp_clock_index from ixp46x_ptp_find+0x1c/0x38 ixp46x_ptp_find from ixp4xx_get_ts_info+0x4c/0x64 ixp4xx_get_ts_info from __ethtool_get_ts_info+0x90/0x108 __ethtool_get_ts_info from __dev_ethtool+0xa00/0x2648 __dev_ethtool from dev_ethtool+0x160/0x234 dev_ethtool from dev_ioctl+0x2cc/0x460 dev_ioctl from sock_ioctl+0x1ec/0x524 sock_ioctl from sys_ioctl+0x51c/0xa94 sys_ioctl from ret_fast_syscall+0x0/0x44 (...) Segmentation fault Check for ixp46x in ixp46x_ptp_find() before trying to set up PTP to avoid this. To avoid altering the returned error code from ixp4xx_hwtstamp_set() which before this patch was -EOPNOTSUPP, we return -EOPNOTSUPP from ixp4xx_hwtstamp_set() if ixp46x_ptp_find() fails no matter the error code. The helper function ixp46x_ptp_find() helper returns -ENODEV. Уязвимость компонента drivers/net/ethernet/xscale/ixp4xx_eth.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clk: rs9: Reserve 8 struct clk_hw slots for for 9FGV0841 The 9FGV0841 has 8 outputs and registers 8 struct clk_hw, make sure there are 8 slots for those newly registered clk_hw pointers, else there is going to be out of bounds write when pointers 4..7 are set into struct rs9_driver_data .clk_dif[4..7] field. Since there are other structure members past this struct clk_hw pointer array, writing to .clk_dif[4..7] fields corrupts both the struct rs9_driver_data content and data around it, sometimes without crashing the kernel. However, the kernel does surely crash when the driver is unbound or during suspend. Fix this, increase the struct clk_hw pointer array size to the maximum output count of 9FGV0841, which is the biggest chip that is supported by this driver. Уязвимость компонента drivers/clk/clk-renesas-pcie.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: ipu6: Fix RPM reference leak in probe error paths Several error paths in ipu6_pci_probe() were jumping directly to out_ipu6_bus_del_devices without releasing the runtime PM reference. Add pm_runtime_put_sync() before cleaning up other resources. Уязвимость компонента drivers/media/pci/intel/ipu6/ipu6.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: procfs: fix possible double mmput() in do_procmap_query() When user provides incorrectly sized buffer for build ID for PROCMAP_QUERY we return with -ENAMETOOLONG error. After recent changes this condition happens later, after we unlocked mmap_lock/per-VMA lock and did mmput(), so original goto out is now wrong and will double-mmput() mm_struct. Fix by jumping further to clean up only vm_file and name_buf. Уязвимость компонента fs/proc/task_mmu.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415'), NistCWE(cwe='CWE-1341')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: kaweth: remove TX queue manipulation in kaweth_set_rx_mode kaweth_set_rx_mode(), the ndo_set_rx_mode callback, calls netif_stop_queue() and netif_wake_queue(). These are TX queue flow control functions unrelated to RX multicast configuration. The premature netif_wake_queue() can re-enable TX while tx_urb is still in-flight, leading to a double usb_submit_urb() on the same URB: kaweth_start_xmit() { netif_stop_queue(); usb_submit_urb(kaweth->tx_urb); } kaweth_set_rx_mode() { netif_stop_queue(); netif_wake_queue(); // wakes TX queue before URB is done } kaweth_start_xmit() { netif_stop_queue(); usb_submit_urb(kaweth->tx_urb); // URB submitted while active } This triggers the WARN in usb_submit_urb(): "URB submitted while active" This is a similar class of bug fixed in rtl8150 by - commit 958baf5eaee3 ("net: usb: Remove disruptive netif_wake_queue in rtl8150_set_multicast"). Also kaweth_set_rx_mode() is already functionally broken, the real set_rx_mode action is performed by kaweth_async_set_rx_mode(), which in turn is not a no-op only at ndo_open() time. Уязвимость компонента drivers/net/usb/kaweth.c ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: ccs: Avoid possible division by zero Calculating maximum M for scaler configuration involves dividing by MIN_X_OUTPUT_SIZE limit register's value. Albeit the value is presumably non-zero, the driver was missing the check it in fact was. Fix this. Уязвимость компонента drivers/media/i2c/ccs/ccs-core.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: cx25821: Fix a resource leak in cx25821_dev_setup() Add release_mem_region() if ioremap() fails to release the memory region obtained by cx25821_get_resources(). Уязвимость компонента drivers/media/pci/cx25821/cx25821-core.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rnbd-srv: Zero the rsp buffer before using it Before using the data buffer to send back the response message, zero it completely. This prevents any stray bytes to be picked up by the client side when there the message is exchanged between different protocol versions. Уязвимость компонента drivers/block/rnbd/rnbd-srv.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: ioam: fix heap buffer overflow in __ioam6_fill_trace_data() On the receive path, __ioam6_fill_trace_data() uses trace->nodelen to decide how much data to write for each node. It trusts this field as-is from the incoming packet, with no consistency check against trace->type (the 24-bit field that tells which data items are present). A crafted packet can set nodelen=0 while setting type bits 0-21, causing the function to write ~100 bytes past the allocated region (into skb_shared_info), which corrupts adjacent heap memory and leads to a kernel panic. Add a shared helper ioam6_trace_compute_nodelen() in ioam6.c to derive the expected nodelen from the type field, and use it: - in ioam6_iptunnel.c (send path, existing validation) to replace the open-coded computation; - in exthdrs.c (receive path, ipv6_hop_ioam) to drop packets whose nodelen is inconsistent with the type field, before any data is written. Per RFC 9197, bits 12-21 are each short (4-octet) fields, so they are included in IOAM6_MASK_SHORT_FIELDS (changed from 0xff100000 to 0xff1ffc00). Уязвимость функции __ioam6_fill_trace_data() и ioam6_validate_trace_hdr() ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfs: delete attr leaf freemap entries when empty Back in commit 2a2b5932db6758 ("xfs: fix attr leaf header freemap.size underflow"), Brian Foster observed that it's possible for a small freemap at the end of the end of the xattr entries array to experience a size underflow when subtracting the space consumed by an expansion of the entries array. There are only three freemap entries, which means that it is not a complete index of all free space in the leaf block. This code can leave behind a zero-length freemap entry with a nonzero base. Subsequent setxattr operations can increase the base up to the point that it overlaps with another freemap entry. This isn't in and of itself a problem because the code in _leaf_add that finds free space ignores any freemap entry with zero size. However, there's another bug in the freemap update code in _leaf_add, which is that it fails to update a freemap entry that begins midway through the xattr entry that was just appended to the array. That can result in the freemap containing two entries with the same base but different sizes (0 for the "pushed-up" entry, nonzero for the entry that's actually tracking free space). A subsequent _leaf_add can then allocate xattr namevalue entries on top of the entries array, leading to data loss. But fixing that is for later. For now, eliminate the possibility of confusion by zeroing out the base of any freemap entry that has zero size. Because the freemap is not intended to be a complete index of free space, a subsequent failure to find any free space for a new xattr will trigger block compaction, which regenerates the freemap. It looks like this bug has been in the codebase for quite a long time. Уязвимость компонента fs/xfs/libxfs/xfs_attr_leaf.c ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: v4l2-async: Fix error handling on steps after finding a match Once an async connection is found to be matching with an fwnode, a sub-device may be registered (in case it wasn't already), its bound operation is called, ancillary links are created, the async connection is added to the sub-device's list of connections and removed from the global waiting connection list. Further on, the sub-device's possible own notifier is searched for possible additional matches. Fix these specific issues: - If v4l2_async_match_notify() failed before the sub-notifier handling, the async connection was unbound and its entry removed from the sub-device's async connection list. The latter part was also done in v4l2_async_match_notify(). - The async connection's sd field was only set after creating ancillary links in v4l2_async_match_notify(). It was however dereferenced in v4l2_async_unbind_subdev_one(), which was called on error path of v4l2_async_match_notify() failure. Уязвимость компонента drivers/media/v4l2-core/v4l2-async.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: xt_tcpmss: check remaining length before reading optlen Quoting reporter: In net/netfilter/xt_tcpmss.c (lines 53-68), the TCP option parser reads op[i+1] directly without validating the remaining option length. If the last byte of the option field is not EOL/NOP (0/1), the code attempts to index op[i+1]. In the case where i + 1 == optlen, this causes an out-of-bounds read, accessing memory past the optlen boundary (either reading beyond the stack buffer _opt or the following payload). Уязвимость компонента net/netfilter/xt_tcpmss.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=8.2) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: consume xmit errors of GSO frames udpgro_frglist.sh and udpgro_bench.sh are the flakiest tests currently in NIPA. They fail in the same exact way, TCP GRO test stalls occasionally and the test gets killed after 10min. These tests use veth to simulate GRO. They attach a trivial ("return XDP_PASS;") XDP program to the veth to force TSO off and NAPI on. Digging into the failure mode we can see that the connection is completely stuck after a burst of drops. The sender's snd_nxt is at sequence number N [1], but the receiver claims to have received (rcv_nxt) up to N + 3 * MSS [2]. Last piece of the puzzle is that senders rtx queue is not empty (let's say the block in the rtx queue is at sequence number N - 4 * MSS [3]). In this state, sender sends a retransmission from the rtx queue with a single segment, and sequence numbers N-4*MSS:N-3*MSS [3]. Receiver sees it and responds with an ACK all the way up to N + 3 * MSS [2]. But sender will reject this ack as TCP_ACK_UNSENT_DATA because it has no recollection of ever sending data that far out [1]. And we are stuck. The root cause is the mess of the xmit return codes. veth returns an error when it can't xmit a frame. We end up with a loss event like this: ------------------------------------------------- | GSO super frame 1 | GSO super frame 2 | |-----------------------------------------------| | seg | seg | seg | seg | seg | seg | seg | seg | | 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | ------------------------------------------------- x ok ok <ok>| ok ok ok <x> \\ snd_nxt "x" means packet lost by veth, and "ok" means it went thru. Since veth has TSO disabled in this test it sees individual segments. Segment 1 is on the retransmit queue and will be resent. So why did the sender not advance snd_nxt even tho it clearly did send up to seg 8? tcp_write_xmit() interprets the return code from the core to mean that data has not been sent at all. Since TCP deals with GSO super frames, not individual segment the crux of the problem is that loss of a single segment can be interpreted as loss of all. TCP only sees the last return code for the last segment of the GSO frame (in <> brackets in the diagram above). Of course for the problem to occur we need a setup or a device without a Qdisc. Otherwise Qdisc layer disconnects the protocol layer from the device errors completely. We have multiple ways to fix this. 1) make veth not return an error when it lost a packet. While this is what I think we did in the past, the issue keeps reappearing and it's annoying to debug. The game of whack a mole is not great. 2) fix the damn return codes We only talk about NETDEV_TX_OK and NETDEV_TX_BUSY in the documentation, so maybe we should make the return code from ndo_start_xmit() a boolean. I like that the most, but perhaps some ancient, not-really-networking protocol would suffer. 3) make TCP ignore the errors It is not entirely clear to me what benefit TCP gets from interpreting the result of ip_queue_xmit()? Specifically once the connection is established and we're pushing data - packet loss is just packet loss? 4) this fix Ignore the rc in the Qdisc-less+GSO case, since it's unreliable. We already always return OK in the TCQ_F_CAN_BYPASS case. In the Qdisc-less case let's be a bit more conservative and only mask the GSO errors. This path is taken by non-IP-"networks" like CAN, MCTP etc, so we could regress some ancient thing. This is the simplest, but also maybe the hackiest fix? Similar fix has been proposed by Eric in the past but never committed because original reporter was working with an OOT driver and wasn't providing feedback (see Link). Уязвимость компонента net/core/dev.c ядра операционной системы Linux связана с отсутствием стандартизированного механизма обработки ошибок. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: soc: ti: pruss: Fix double free in pruss_clk_mux_setup() In the pruss_clk_mux_setup(), the devm_add_action_or_reset() indirectly calls pruss_of_free_clk_provider(), which calls of_node_put(clk_mux_np) on the error path. However, after the devm_add_action_or_reset() returns, the of_node_put(clk_mux_np) is called again, causing a double free. Fix by returning directly, to avoid the duplicate of_node_put(). Уязвимость компонента drivers/soc/ti/pruss.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/mlx5e: Fix "scheduling while atomic" in IPsec MAC address query Fix a "scheduling while atomic" bug in mlx5e_ipsec_init_macs() by replacing mlx5_query_mac_address() with ether_addr_copy() to get the local MAC address directly from netdev->dev_addr. The issue occurs because mlx5_query_mac_address() queries the hardware which involves mlx5_cmd_exec() that can sleep, but it is called from the mlx5e_ipsec_handle_event workqueue which runs in atomic context. The MAC address is already available in netdev->dev_addr, so no need to query hardware. This avoids the sleeping call and resolves the bug. Call trace: BUG: scheduling while atomic: kworker/u112:2/69344/0x00000200 __schedule+0x7ab/0xa20 schedule+0x1c/0xb0 schedule_timeout+0x6e/0xf0 __wait_for_common+0x91/0x1b0 cmd_exec+0xa85/0xff0 [mlx5_core] mlx5_cmd_exec+0x1f/0x50 [mlx5_core] mlx5_query_nic_vport_mac_address+0x7b/0xd0 [mlx5_core] mlx5_query_mac_address+0x19/0x30 [mlx5_core] mlx5e_ipsec_init_macs+0xc1/0x720 [mlx5_core] mlx5e_ipsec_build_accel_xfrm_attrs+0x422/0x670 [mlx5_core] mlx5e_ipsec_handle_event+0x2b9/0x460 [mlx5_core] process_one_work+0x178/0x2e0 worker_thread+0x2ea/0x430 Уязвимость компонента drivers/net/ethernet/mellanox/mlx5/core/en_accel/ipsec.c ядра операционной системы Linux связана с состоянием гонки, связанным с переключением контекста. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: endpoint: Fix swapped parameters in pci_{primary/secondary}_epc_epf_unlink() functions struct configfs_item_operations callbacks are defined like the following: int (*allow_link)(struct config_item *src, struct config_item *target); void (*drop_link)(struct config_item *src, struct config_item *target); While pci_primary_epc_epf_link() and pci_secondary_epc_epf_link() specify the parameters in the correct order, pci_primary_epc_epf_unlink() and pci_secondary_epc_epf_unlink() specify the parameters in the wrong order, leading to the below kernel crash when using the unlink command in configfs: Unable to handle kernel paging request at virtual address 0000000300000857 Mem abort info: ... pc : string+0x54/0x14c lr : vsnprintf+0x280/0x6e8 ... string+0x54/0x14c vsnprintf+0x280/0x6e8 vprintk_default+0x38/0x4c vprintk+0xc4/0xe0 pci_epf_unbind+0xdc/0x108 configfs_unlink+0xe0/0x208+0x44/0x74 vfs_unlink+0x120/0x29c __arm64_sys_unlinkat+0x3c/0x90 invoke_syscall+0x48/0x134 do_el0_svc+0x1c/0x30prop.0+0xd0/0xf0 [mani: cced stable, changed commit message as per https://lore.kernel.org/linux-pci/aV9joi3jF1R6ca02@ryzen] Уязвимость компонента drivers/pci/endpoint/pci-ep-cfs.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: APEI/GHES: ARM processor Error: don't go past allocated memory If the BIOS generates a very small ARM Processor Error, or an incomplete one, the current logic will fail to deferrence err->section_length and ctx_info->size Add checks to avoid that. With such changes, such GHESv2 records won't cause OOPSes like this: [ 1.492129] Internal error: Oops: 0000000096000005 [#1] SMP [ 1.495449] Modules linked in: [ 1.495820] CPU: 0 UID: 0 PID: 9 Comm: kworker/0:0 Not tainted 6.18.0-rc1-00017-gabadcc3553dd-dirty #18 PREEMPT [ 1.496125] Hardware name: QEMU QEMU Virtual Machine, BIOS unknown 02/02/2022 [ 1.496433] Workqueue: kacpi_notify acpi_os_execute_deferred [ 1.496967] pstate: 814000c5 (Nzcv daIF +PAN -UAO -TCO +DIT -SSBS BTYPE=--) [ 1.497199] pc : log_arm_hw_error+0x5c/0x200 [ 1.497380] lr : ghes_handle_arm_hw_error+0x94/0x220 0xffff8000811c5324 is in log_arm_hw_error (../drivers/ras/ras.c:75). 70 err_info = (struct cper_arm_err_info *)(err + 1); 71 ctx_info = (struct cper_arm_ctx_info *)(err_info + err->err_info_num); 72 ctx_err = (u8 *)ctx_info; 73 74 for (n = 0; n < err->context_info_num; n++) { 75 sz = sizeof(struct cper_arm_ctx_info) + ctx_info->size; 76 ctx_info = (struct cper_arm_ctx_info *)((long)ctx_info + sz); 77 ctx_len += sz; 78 } 79 and similar ones while trying to access section_length on an error dump with too small size. [ rjw: Subject tweaks ] Уязвимость ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: vt8500lcdfb: fix missing dma_free_coherent() fbi->fb.screen_buffer is allocated with dma_alloc_coherent() but is not freed if the error path is reached. Уязвимость компонента drivers/video/fbdev/vt8500lcdfb.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: atm: fore200e: fix use-after-free in tasklets during device removal When the PCA-200E or SBA-200E adapter is being detached, the fore200e is deallocated. However, the tx_tasklet or rx_tasklet may still be running or pending, leading to use-after-free bug when the already freed fore200e is accessed again in fore200e_tx_tasklet() or fore200e_rx_tasklet(). One of the race conditions can occur as follows: CPU 0 (cleanup) | CPU 1 (tasklet) fore200e_pca_remove_one() | fore200e_interrupt() fore200e_shutdown() | tasklet_schedule() kfree(fore200e) | fore200e_tx_tasklet() | fore200e-> // UAF Fix this by ensuring tx_tasklet or rx_tasklet is properly canceled before the fore200e is released. Add tasklet_kill() in fore200e_shutdown() to synchronize with any pending or running tasklets. Moreover, since fore200e_reset() could prevent further interrupts or data transfers, the tasklet_kill() should be placed after fore200e_reset() to prevent the tasklet from being rescheduled in fore200e_interrupt(). Finally, it only needs to do tasklet_kill() when the fore200e state is greater than or equal to FORE200E_STATE_IRQ, since tasklets are uninitialized in earlier states. In a word, the tasklet_kill() should be placed in the FORE200E_STATE_IRQ branch within the switch...case structure. This bug was identified through static analysis. Уязвимость компонента drivers/atm/fore200e.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dpaa2-switch: validate num_ifs to prevent out-of-bounds write The driver obtains sw_attr.num_ifs from firmware via dpsw_get_attributes() but never validates it against DPSW_MAX_IF (64). This value controls iteration in dpaa2_switch_fdb_get_flood_cfg(), which writes port indices into the fixed-size cfg->if_id[DPSW_MAX_IF] array. When firmware reports num_ifs >= 64, the loop can write past the array bounds. Add a bound check for num_ifs in dpaa2_switch_init(). dpaa2_switch_fdb_get_flood_cfg() appends the control interface (port num_ifs) after all matched ports. When num_ifs == DPSW_MAX_IF and all ports match the flood filter, the loop fills all 64 slots and the control interface write overflows by one entry. The check uses >= because num_ifs == DPSW_MAX_IF is also functionally broken. build_if_id_bitmap() silently drops any ID >= 64: if (id[i] < DPSW_MAX_IF) bmap[id[i] / 64] |= ... Уязвимость компонента drivers/net/ethernet/freescale/dpaa2/dpaa2-switch.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: Fix out-of-bounds write in kfd_event_page_set() The kfd_event_page_set() function writes KFD_SIGNAL_EVENT_LIMIT * 8 bytes via memset without checking the buffer size parameter. This allows unprivileged userspace to trigger an out-of bounds kernel memory write by passing a small buffer, leading to potential privilege escalation. Уязвимость компонента drivers/gpu/drm/amd/amdkfd/kfd_events.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: mtk-mdp: Fix error handling in probe function Add mtk_mdp_unregister_m2m_device() on the error handling path to prevent resource leak. Add check for the return value of vpu_get_plat_device() to prevent null pointer dereference. And vpu_get_plat_device() increases the reference count of the returned platform device. Add platform_device_put() to prevent reference leak. Уязвимость компонента drivers/media/platform/mediatek/mdp/mtk_mdp_core.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: minix: Add required sanity checking to minix_check_superblock() The fs/minix implementation of the minix filesystem does not currently support any other value for s_log_zone_size than 0. This is also the only value supported in util-linux; see mkfs.minix.c line 511. In addition, this patch adds some sanity checking for the other minix superblock fields, and moves the minix_blocks_needed() checks for the zmap and imap also to minix_check_super_block(). This also closes a related syzbot bug report. Уязвимость компонента fs/minix/inode.c ядра операционной системы Linux связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tracing: ring-buffer: Fix to check event length before using Check the event length before adding it for accessing next index in rb_read_data_buffer(). Since this function is used for validating possibly broken ring buffers, the length of the event could be broken. In that case, the new event (e + len) can point a wrong address. To avoid invalid memory access at boot, check whether the length of each event is in the possible range before using it. Уязвимость компонента kernel/trace/ring_buffer.c ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI: Fix pci_slot_trylock() error handling Commit a4e772898f8b ("PCI: Add missing bridge lock to pci_bus_lock()") delegates the bridge device's pci_dev_trylock() to pci_bus_trylock() in pci_slot_trylock(), but it forgets to remove the corresponding pci_dev_unlock() when pci_bus_trylock() fails. Before a4e772898f8b, the code did: if (!pci_dev_trylock(dev)) /* <- lock bridge device */ goto unlock; if (dev->subordinate) { if (!pci_bus_trylock(dev->subordinate)) { pci_dev_unlock(dev); /* <- unlock bridge device */ goto unlock; } } After a4e772898f8b the bridge-device lock is no longer taken, but the pci_dev_unlock(dev) on the failure path was left in place, leading to the bug. This yields one of two errors: 1. A warning that the lock is being unlocked when no one holds it. 2. An incorrect unlock of a lock that belongs to another thread. Fix it by removing the now-redundant pci_dev_unlock(dev) on the failure path. [Same patch later posted by Keith at https://patch.msgid.link/20260116184150.3013258-1-kbusch@meta.com] Уязвимость компонента drivers/pci/pci.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: LoongArch: Make cpumask_of_node() robust against NUMA_NO_NODE The arch definition of cpumask_of_node() cannot handle NUMA_NO_NODE - which is a valid index - so add a check for this. Уязвимость компонента arch/loongarch/include/asm/topology.h ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Add SRCU protection for reading PDPTRs in __get_sregs2() Add SRCU read-side protection when reading PDPTR registers in __get_sregs2(). Reading PDPTRs may trigger access to guest memory: kvm_pdptr_read() -> svm_cache_reg() -> load_pdptrs() -> kvm_vcpu_read_guest_page() -> kvm_vcpu_gfn_to_memslot() kvm_vcpu_gfn_to_memslot() dereferences memslots via __kvm_memslots(), which uses srcu_dereference_check() and requires either kvm->srcu or kvm->slots_lock to be held. Currently only vcpu->mutex is held, triggering lockdep warning: ============================= WARNING: suspicious RCU usage in kvm_vcpu_gfn_to_memslot 6.12.59+ #3 Not tainted include/linux/kvm_host.h:1062 suspicious rcu_dereference_check() usage! other info that might help us debug this: rcu_scheduler_active = 2, debug_locks = 1 1 lock held by syz.5.1717/15100: #0: ff1100002f4b00b0 (&vcpu->mutex){+.+.}-{3:3}, at: kvm_vcpu_ioctl+0x1d5/0x1590 Call Trace: <TASK> __dump_stack lib/dump_stack.c:94 [inline] dump_stack_lvl+0xf0/0x120 lib/dump_stack.c:120 lockdep_rcu_suspicious+0x1e3/0x270 kernel/locking/lockdep.c:6824 __kvm_memslots include/linux/kvm_host.h:1062 [inline] __kvm_memslots include/linux/kvm_host.h:1059 [inline] kvm_vcpu_memslots include/linux/kvm_host.h:1076 [inline] kvm_vcpu_gfn_to_memslot+0x518/0x5e0 virt/kvm/kvm_main.c:2617 kvm_vcpu_read_guest_page+0x27/0x50 virt/kvm/kvm_main.c:3302 load_pdptrs+0xff/0x4b0 arch/x86/kvm/x86.c:1065 svm_cache_reg+0x1c9/0x230 arch/x86/kvm/svm/svm.c:1688 kvm_pdptr_read arch/x86/kvm/kvm_cache_regs.h:141 [inline] __get_sregs2 arch/x86/kvm/x86.c:11784 [inline] kvm_arch_vcpu_ioctl+0x3e20/0x4aa0 arch/x86/kvm/x86.c:6279 kvm_vcpu_ioctl+0x856/0x1590 virt/kvm/kvm_main.c:4663 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl fs/ioctl.c:893 [inline] __x64_sys_ioctl+0x18b/0x210 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xbd/0x1d0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента arch/x86/kvm/x86.c ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cifs: Fix locking usage for tcon fields We used to use the cifs_tcp_ses_lock to protect a lot of objects that are not just the server, ses or tcon lists. We later introduced srv_lock, ses_lock and tc_lock to protect fields within the corresponding structs. This was done to provide a more granular protection and avoid unnecessary serialization. There were still a couple of uses of cifs_tcp_ses_lock to provide tcon fields. In this patch, I've replaced them with tc_lock. [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: i2c/tw9903: Fix potential memory leak in tw9903_probe() In one of the error paths in tw9903_probe(), the memory allocated in v4l2_ctrl_handler_init() and v4l2_ctrl_new_std() is not freed. Fix that by calling v4l2_ctrl_handler_free() on the handler in that error path. Уязвимость компонента drivers/media/i2c/tw9903.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipmi: ipmb: initialise event handler read bytes IPMB doesn't use i2c reads, but the handler needs to set a value. Otherwise an i2c read will return an uninitialised value from the bus driver. Уязвимость компонента drivers/char/ipmi/ipmi_ipmb.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: verisilicon: AV1: Fix tile info buffer size Each tile info is composed of: row_sb, col_sb, start_pos and end_pos (4 bytes each). So the total required memory is AV1_MAX_TILES * 16 bytes. Use the correct #define to allocate the buffer and avoid writing tile info in non-allocated memory. Уязвимость компонента drivers/media/platform/verisilicon/rockchip_vpu981_hw_av1_dec.c ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: pvrusb2: fix URB leak in pvr2_send_request_ex When pvr2_send_request_ex() submits a write URB successfully but fails to submit the read URB (e.g. returns -ENOMEM), it returns immediately without waiting for the write URB to complete. Since the driver reuses the same URB structure, a subsequent call to pvr2_send_request_ex() attempts to submit the still-active write URB, triggering a 'URB submitted while active' warning in usb_submit_urb(). Fix this by ensuring the write URB is unlinked and waited upon if the read URB submission fails. Уязвимость компонента drivers/media/usb/pvrusb2/pvrusb2-hdw.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: staging: rtl8723bs: fix memory leak on failure path cfg80211_inform_bss_frame() may return NULL on failure. In that case, the allocated buffer 'buf' is not freed and the function returns early, leading to potential memory leak. Fix this by ensuring that 'buf' is freed on both success and failure paths. Уязвимость компонента drivers/staging/rtl8723bs/os_dep/ioctl_cfg80211.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/rds: No shortcut out of RDS_CONN_ERROR RDS connections carry a state "rds_conn_path::cp_state" and transitions from one state to another and are conditional upon an expected state: "rds_conn_path_transition." There is one exception to this conditionality, which is "RDS_CONN_ERROR" that can be enforced by "rds_conn_path_drop" regardless of what state the condition is currently in. But as soon as a connection enters state "RDS_CONN_ERROR", the connection handling code expects it to go through the shutdown-path. The RDS/TCP multipath changes added a shortcut out of "RDS_CONN_ERROR" straight back to "RDS_CONN_CONNECTING" via "rds_tcp_accept_one_path" (e.g. after "rds_tcp_state_change"). A subsequent "rds_tcp_reset_callbacks" can then transition the state to "RDS_CONN_RESETTING" with a shutdown-worker queued. That'll trip up "rds_conn_init_shutdown", which was never adjusted to handle "RDS_CONN_RESETTING" and subsequently drops the connection with the dreaded "DR_INV_CONN_STATE", which leaves "RDS_SHUTDOWN_WORK_QUEUED" on forever. So we do two things here: a) Don't shortcut "RDS_CONN_ERROR", but take the longer path through the shutdown code. b) Add "RDS_CONN_RESETTING" to the expected states in "rds_conn_init_shutdown" so that we won't error out and get stuck, if we ever hit weird state transitions like this again." Уязвимость компонентов rds ядра операционной системы Linux связана с неполным распознаванием внутреннего состояния. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clocksource/drivers/sh_tmu: Always leave device running after probe The TMU device can be used as both a clocksource and a clockevent provider. The driver tries to be smart and power itself on and off, as well as enabling and disabling its clock when it's not in operation. This behavior is slightly altered if the TMU is used as an early platform device in which case the device is left powered on after probe, but the clock is still enabled and disabled at runtime. This has worked for a long time, but recent improvements in PREEMPT_RT and PROVE_LOCKING have highlighted an issue. As the TMU registers itself as a clockevent provider, clockevents_register_device(), it needs to use raw spinlocks internally as this is the context of which the clockevent framework interacts with the TMU driver. However in the context of holding a raw spinlock the TMU driver can't really manage its power state or clock with calls to pm_runtime_*() and clk_*() as these calls end up in other platform drivers using regular spinlocks to control power and clocks. This mix of spinlock contexts trips a lockdep warning. ============================= [ BUG: Invalid wait context ] 6.18.0-arm64-renesas-09926-gee959e7c5e34 #1 Not tainted ----------------------------- swapper/0/0 is trying to lock: ffff000008c9e180 (&dev->power.lock){-...}-{3:3}, at: __pm_runtime_resume+0x38/0x88 other info that might help us debug this: context-{5:5} 1 lock held by swapper/0/0: ccree e6601000.crypto: ARM CryptoCell 630P Driver: HW version 0xAF400001/0xDCC63000, Driver version 5.0 #0: ffff8000817ec298 ccree e6601000.crypto: ARM ccree device initialized (tick_broadcast_lock){-...}-{2:2}, at: __tick_broadcast_oneshot_control+0xa4/0x3a8 stack backtrace: CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Not tainted 6.18.0-arm64-renesas-09926-gee959e7c5e34 #1 PREEMPT Hardware name: Renesas Salvator-X 2nd version board based on r8a77965 (DT) Call trace: show_stack+0x14/0x1c (C) dump_stack_lvl+0x6c/0x90 dump_stack+0x14/0x1c __lock_acquire+0x904/0x1584 lock_acquire+0x220/0x34c _raw_spin_lock_irqsave+0x58/0x80 __pm_runtime_resume+0x38/0x88 sh_tmu_clock_event_set_oneshot+0x84/0xd4 clockevents_switch_state+0xfc/0x13c tick_broadcast_set_event+0x30/0xa4 __tick_broadcast_oneshot_control+0x1e0/0x3a8 tick_broadcast_oneshot_control+0x30/0x40 cpuidle_enter_state+0x40c/0x680 cpuidle_enter+0x30/0x40 do_idle+0x1f4/0x280 cpu_startup_entry+0x34/0x40 kernel_init+0x0/0x130 do_one_initcall+0x0/0x230 __primary_switched+0x88/0x90 For non-PREEMPT_RT builds this is not really an issue, but for PREEMPT_RT builds where normal spinlocks can sleep this might be an issue. Be cautious and always leave the power and clock running after probe. Уязвимость компонента drivers/clocksource/sh_tmu.c ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: chips-media: wave5: Fix device cleanup order to prevent kernel panic Move video device unregistration to the beginning of the remove function to ensure all video operations are stopped before cleaning up the worker thread and disabling PM runtime. This prevents hardware register access after the device has been powered down. In polling mode, the hrtimer periodically triggers wave5_vpu_timer_callback() which queues work to the kthread worker. The worker executes wave5_vpu_irq_work_fn() which reads hardware registers via wave5_vdi_read_register(). The original cleanup order disabled PM runtime and powered down hardware before unregistering video devices. When autosuspend triggers and powers off the hardware, the video devices are still registered and the worker thread can still be triggered by the hrtimer, causing it to attempt reading registers from powered-off hardware. This results in a bus error (synchronous external abort) and kernel panic. This causes random kernel panics during encoding operations: Internal error: synchronous external abort: 0000000096000010 [#1] PREEMPT SMP Modules linked in: wave5 rpmsg_ctrl rpmsg_char ... CPU: 0 UID: 0 PID: 1520 Comm: vpu_irq_thread Tainted: G M W pc : wave5_vdi_read_register+0x10/0x38 [wave5] lr : wave5_vpu_irq_work_fn+0x28/0x60 [wave5] Call trace: wave5_vdi_read_register+0x10/0x38 [wave5] kthread_worker_fn+0xd8/0x238 kthread+0x104/0x120 ret_from_fork+0x10/0x20 Code: aa1e03e9 d503201f f9416800 8b214000 (b9400000) ---[ end trace 0000000000000000 ]--- Kernel panic - not syncing: synchronous external abort: Fatal exception Уязвимость компонента drivers/media/platform/chips-media/wave5/wave5-vpu.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/rds: Clear reconnect pending bit When canceling the reconnect worker, care must be taken to reset the reconnect-pending bit. If the reconnect worker has not yet been scheduled before it is canceled, the reconnect-pending bit will stay on forever. Уязвимость компонента net/rds/connection.c ядра операционной системы Linux связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: radio-keene: fix memory leak in error path Fix a memory leak in usb_keene_probe(). The v4l2 control handler is initialized and controls are added, but if v4l2_device_register() or video_register_device() fails afterward, the handler was never freed, leaking memory. Add v4l2_ctrl_handler_free() call in the err_v4l2 error path to ensure the control handler is properly freed for all error paths after it is initialized. Уязвимость компонента drivers/media/radio/radio-keene.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: wan: farsync: Fix use-after-free bugs caused by unfinished tasklets When the FarSync T-series card is being detached, the fst_card_info is deallocated in fst_remove_one(). However, the fst_tx_task or fst_int_task may still be running or pending, leading to use-after-free bugs when the already freed fst_card_info is accessed in fst_process_tx_work_q() or fst_process_int_work_q(). A typical race condition is depicted below: CPU 0 (cleanup) | CPU 1 (tasklet) | fst_start_xmit() fst_remove_one() | tasklet_schedule() unregister_hdlc_device()| | fst_process_tx_work_q() //handler kfree(card) //free | do_bottom_half_tx() | card-> //use The following KASAN trace was captured: ================================================================== BUG: KASAN: slab-use-after-free in do_bottom_half_tx+0xb88/0xd00 Read of size 4 at addr ffff88800aad101c by task ksoftirqd/3/32 ... Call Trace: <IRQ> dump_stack_lvl+0x55/0x70 print_report+0xcb/0x5d0 ? do_bottom_half_tx+0xb88/0xd00 kasan_report+0xb8/0xf0 ? do_bottom_half_tx+0xb88/0xd00 do_bottom_half_tx+0xb88/0xd00 ? _raw_spin_lock_irqsave+0x85/0xe0 ? __pfx__raw_spin_lock_irqsave+0x10/0x10 ? __pfx___hrtimer_run_queues+0x10/0x10 fst_process_tx_work_q+0x67/0x90 tasklet_action_common+0x1fa/0x720 ? hrtimer_interrupt+0x31f/0x780 handle_softirqs+0x176/0x530 __irq_exit_rcu+0xab/0xe0 sysvec_apic_timer_interrupt+0x70/0x80 ... Allocated by task 41 on cpu 3 at 72.330843s: kasan_save_stack+0x24/0x50 kasan_save_track+0x17/0x60 __kasan_kmalloc+0x7f/0x90 fst_add_one+0x1a5/0x1cd0 local_pci_probe+0xdd/0x190 pci_device_probe+0x341/0x480 really_probe+0x1c6/0x6a0 __driver_probe_device+0x248/0x310 driver_probe_device+0x48/0x210 __device_attach_driver+0x160/0x320 bus_for_each_drv+0x101/0x190 __device_attach+0x198/0x3a0 device_initial_probe+0x78/0xa0 pci_bus_add_device+0x81/0xc0 pci_bus_add_devices+0x7e/0x190 enable_slot+0x9b9/0x1130 acpiphp_check_bridge.part.0+0x2e1/0x460 acpiphp_hotplug_notify+0x36c/0x3c0 acpi_device_hotplug+0x203/0xb10 acpi_hotplug_work_fn+0x59/0x80 ... Freed by task 41 on cpu 1 at 75.138639s: kasan_save_stack+0x24/0x50 kasan_save_track+0x17/0x60 kasan_save_free_info+0x3b/0x60 __kasan_slab_free+0x43/0x70 kfree+0x135/0x410 fst_remove_one+0x2ca/0x540 pci_device_remove+0xa6/0x1d0 device_release_driver_internal+0x364/0x530 pci_stop_bus_device+0x105/0x150 pci_stop_and_remove_bus_device+0xd/0x20 disable_slot+0x116/0x260 acpiphp_disable_and_eject_slot+0x4b/0x190 acpiphp_hotplug_notify+0x230/0x3c0 acpi_device_hotplug+0x203/0xb10 acpi_hotplug_work_fn+0x59/0x80 ... The buggy address belongs to the object at ffff88800aad1000 which belongs to the cache kmalloc-1k of size 1024 The buggy address is located 28 bytes inside of freed 1024-byte region The buggy address belongs to the physical page: page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0xaad0 head: order:3 mapcount:0 entire_mapcount:0 nr_pages_mapped:0 pincount:0 flags: 0x100000000000040(head|node=0|zone=1) page_type: f5(slab) raw: 0100000000000040 ffff888007042dc0 dead000000000122 0000000000000000 raw: 0000000000000000 0000000080100010 00000000f5000000 0000000000000000 head: 0100000000000040 ffff888007042dc0 dead000000000122 0000000000000000 head: 0000000000000000 0000000080100010 00000000f5000000 0000000000000000 head: 0100000000000003 ffffea00002ab401 00000000ffffffff 00000000ffffffff head: 0000000000000000 0000000000000000 00000000ffffffff 0000000000000000 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff88800aad0f00: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc ffff88800aad0f80: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc >ffff88800aad1000: fa fb ---truncated--- Уязвимость функции fst_remove_one() модуля drivers/net/wan/farsync.c драйвера сетевых устройств ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_conntrack_h323: fix OOB read in decode_choice() In decode_choice(), the boundary check before get_len() uses the variable `len`, which is still 0 from its initialization at the top of the function: unsigned int type, ext, len = 0; ... if (ext || (son->attr & OPEN)) { BYTE_ALIGN(bs); if (nf_h323_error_boundary(bs, len, 0)) /* len is 0 here */ return H323_ERROR_BOUND; len = get_len(bs); /* OOB read */ When the bitstream is exactly consumed (bs->cur == bs->end), the check nf_h323_error_boundary(bs, 0, 0) evaluates to (bs->cur + 0 > bs->end), which is false. The subsequent get_len() call then dereferences *bs->cur++, reading 1 byte past the end of the buffer. If that byte has bit 7 set, get_len() reads a second byte as well. This can be triggered remotely by sending a crafted Q.931 SETUP message with a User-User Information Element containing exactly 2 bytes of PER-encoded data ({0x08, 0x00}) to port 1720 through a firewall with the nf_conntrack_h323 helper active. The decoder fully consumes the PER buffer before reaching this code path, resulting in a 1-2 byte heap-buffer-overflow read confirmed by AddressSanitizer. Fix this by checking for 2 bytes (the maximum that get_len() may read) instead of the uninitialized `len`. This matches the pattern used at every other get_len() call site in the same file, where the caller checks for 2 bytes of available data before calling get_len(). Уязвимость функции decode_choice() модуля net/netfilter/nf_conntrack_h323_asn1.c компонента netfilter ядра операционной системы Linux связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю получить доступ к защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=8.2) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/atmel-hlcdc: fix use-after-free of drm_crtc_commit after release The atmel_hlcdc_plane_atomic_duplicate_state() callback was copying the atmel_hlcdc_plane state structure without properly duplicating the drm_plane_state. In particular, state->commit remained set to the old state commit, which can lead to a use-after-free in the next drm_atomic_commit() call. Fix this by calling __drm_atomic_helper_duplicate_plane_state(), which correctly clones the base drm_plane_state (including the ->commit pointer). It has been seen when closing and re-opening the device node while another DRM client (e.g. fbdev) is still attached: ============================================================================= BUG kmalloc-64 (Not tainted): Poison overwritten ----------------------------------------------------------------------------- 0xc611b344-0xc611b344 @offset=836. First byte 0x6a instead of 0x6b FIX kmalloc-64: Restoring Poison 0xc611b344-0xc611b344=0x6b Allocated in drm_atomic_helper_setup_commit+0x1e8/0x7bc age=178 cpu=0 pid=29 drm_atomic_helper_setup_commit+0x1e8/0x7bc drm_atomic_helper_commit+0x3c/0x15c drm_atomic_commit+0xc0/0xf4 drm_framebuffer_remove+0x4cc/0x5a8 drm_mode_rmfb_work_fn+0x6c/0x80 process_one_work+0x12c/0x2cc worker_thread+0x2a8/0x400 kthread+0xc0/0xdc ret_from_fork+0x14/0x28 Freed in drm_atomic_helper_commit_hw_done+0x100/0x150 age=8 cpu=0 pid=169 drm_atomic_helper_commit_hw_done+0x100/0x150 drm_atomic_helper_commit_tail+0x64/0x8c commit_tail+0x168/0x18c drm_atomic_helper_commit+0x138/0x15c drm_atomic_commit+0xc0/0xf4 drm_atomic_helper_set_config+0x84/0xb8 drm_mode_setcrtc+0x32c/0x810 drm_ioctl+0x20c/0x488 sys_ioctl+0x14c/0xc20 ret_fast_syscall+0x0/0x54 Slab 0xef8bc360 objects=21 used=16 fp=0xc611b7c0 flags=0x200(workingset|zone=0) Object 0xc611b340 @offset=832 fp=0xc611b7c0 Уязвимость функции atmel_hlcdc_plane_atomic_duplicate_state() модуля drivers/gpu/drm/atmel-hlcdc/atmel_hlcdc_plane.c драйвера инфраструктуры прямого рендеринга (DRI) ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: act_skbedit: fix divide-by-zero in tcf_skbedit_hash() Commit 38a6f0865796 ("net: sched: support hash selecting tx queue") added SKBEDIT_F_TXQ_SKBHASH support. The inclusive range size is computed as: mapping_mod = queue_mapping_max - queue_mapping + 1; The range size can be 65536 when the requested range covers all possible u16 queue IDs (e.g. queue_mapping=0 and queue_mapping_max=U16_MAX). That value cannot be represented in a u16 and previously wrapped to 0, so tcf_skbedit_hash() could trigger a divide-by-zero: queue_mapping += skb_get_hash(skb) % params->mapping_mod; Compute mapping_mod in a wider type and reject ranges larger than U16_MAX to prevent params->mapping_mod from becoming 0 and avoid the crash. Уязвимость компонента act_skbedit.c ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: prevent races in ->query_interfaces() It was possible for two query interface works to be concurrently trying to update the interfaces. Prevent this by checking and updating iface_last_update under iface_lock. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ntb: ntb_hw_switchtec: Fix array-index-out-of-bounds access Number of MW LUTs depends on NTB configuration and can be set to MAX_MWS, This patch protects against invalid index out of bounds access to mw_sizes When invalid access print message to user that configuration is not valid. Уязвимость функции switchtec_ntb_init_shared() модуля drivers/ntb/hw/mscc/ntb_hw_switchtec.c драйвера непрозрачных мостов ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости может позволить нарушителю получить доступ к защищаемой информации или вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: soc: ti: k3-socinfo: Fix regmap leak on probe failure The mmio regmap allocated during probe is never freed. Switch to using the device managed allocator so that the regmap is released on probe failures (e.g. probe deferral) and on driver unbind. Уязвимость компонента k3-socinfo ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Add signal type check for dcn401 get_phyd32clk_src Trying to access link enc on a dpia link will cause a crash otherwise Уязвимость компонентов drm/amd/display ядра операционной системы Linux связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: kcm: fix zero-frag skb in frag_list on partial sendmsg error Syzkaller reported a warning in kcm_write_msgs() when processing a message with a zero-fragment skb in the frag_list. When kcm_sendmsg() fills MAX_SKB_FRAGS fragments in the current skb, it allocates a new skb (tskb) and links it into the frag_list before copying data. If the copy subsequently fails (e.g. -EFAULT from user memory), tskb remains in the frag_list with zero fragments: head skb (msg being assembled, NOT yet in sk_write_queue) +-----------+ | frags[17] | (MAX_SKB_FRAGS, all filled with data) | frag_list-+--> tskb +-----------+ +----------+ | frags[0] | (empty! copy failed before filling) +----------+ For SOCK_SEQPACKET with partial data already copied, the error path saves this message via partial_message for later completion. For SOCK_SEQPACKET, sock_write_iter() automatically sets MSG_EOR, so a subsequent zero-length write(fd, NULL, 0) completes the message and queues it to sk_write_queue. kcm_write_msgs() then walks the frag_list and hits: WARN_ON(!skb_shinfo(skb)->nr_frags) TCP has a similar pattern where skbs are enqueued before data copy and cleaned up on failure via tcp_remove_empty_skb(). KCM was missing the equivalent cleanup. Fix this by tracking the predecessor skb (frag_prev) when allocating a new frag_list entry. On error, if the tail skb has zero frags, use frag_prev to unlink and free it in O(1) without walking the singly-linked frag_list. frag_prev is safe to dereference because the entire message chain is only held locally (or in kcm->seq_skb) and is not added to sk_write_queue until MSG_EOR, so the send path cannot free it underneath us. Also change the WARN_ON to WARN_ON_ONCE to avoid flooding the log if the condition is somehow hit repeatedly. There are currently no KCM selftests in the kernel tree; a simple reproducer is available at [1]. [1] https://gist.github.com/mrpre/a94d431c757e8d6f168f4dd1a3749daa [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: i2c/tw9906: Fix potential memory leak in tw9906_probe() In one of the error paths in tw9906_probe(), the memory allocated in v4l2_ctrl_handler_init() and v4l2_ctrl_new_std() is not freed. Fix that by calling v4l2_ctrl_handler_free() on the handler in that error path. Уязвимость функции tw9906_probe() компонента i2c/tw9906.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vhost: move vdpa group bound check to vhost_vdpa Remove duplication by consolidating these here. This reduces the posibility of a parent driver missing them. While we're at it, fix a bug in vdpa_sim where a valid ASID can be assigned to a group equal to ngroups, causing an out of bound write. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: 9p/xen: protect xen_9pfs_front_free against concurrent calls The xenwatch thread can race with other back-end change notifications and call xen_9pfs_front_free() twice, hitting the observed general protection fault due to a double-free. Guard the teardown path so only one caller can release the front-end state at a time, preventing the crash. This is a fix for the following double-free: [ 27.052347] Oops: general protection fault, probably for non-canonical address 0x6b6b6b6b6b6b6b6b: 0000 [#1] SMP DEBUG_PAGEALLOC NOPTI [ 27.052357] CPU: 0 UID: 0 PID: 32 Comm: xenwatch Not tainted 6.18.0-02087-g51ab33fc0a8b-dirty #60 PREEMPT(none) [ 27.052363] RIP: e030:xen_9pfs_front_free+0x1d/0x150 [ 27.052368] Code: 90 90 90 90 90 90 90 90 90 90 90 90 90 41 55 41 54 55 48 89 fd 48 c7 c7 48 d0 92 85 53 e8 cb cb 05 00 48 8b 45 08 48 8b 55 00 <48> 3b 28 0f 85 f9 28 35 fe 48 3b 6a 08 0f 85 ef 28 35 fe 48 89 42 [ 27.052377] RSP: e02b:ffffc9004016fdd0 EFLAGS: 00010246 [ 27.052381] RAX: 6b6b6b6b6b6b6b6b RBX: ffff88800d66e400 RCX: 0000000000000000 [ 27.052385] RDX: 6b6b6b6b6b6b6b6b RSI: 0000000000000000 RDI: 0000000000000000 [ 27.052389] RBP: ffff88800a887040 R08: 0000000000000000 R09: 0000000000000000 [ 27.052393] R10: 0000000000000000 R11: 0000000000000000 R12: ffff888009e46b68 [ 27.052397] R13: 0000000000000200 R14: 0000000000000000 R15: ffff88800a887040 [ 27.052404] FS: 0000000000000000(0000) GS:ffff88808ca57000(0000) knlGS:0000000000000000 [ 27.052408] CS: e030 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 27.052412] CR2: 00007f9714004360 CR3: 0000000004834000 CR4: 0000000000050660 [ 27.052418] Call Trace: [ 27.052420] <TASK> [ 27.052422] xen_9pfs_front_changed+0x5d5/0x720 [ 27.052426] ? xenbus_otherend_changed+0x72/0x140 [ 27.052430] ? __pfx_xenwatch_thread+0x10/0x10 [ 27.052434] xenwatch_thread+0x94/0x1c0 [ 27.052438] ? __pfx_autoremove_wake_function+0x10/0x10 [ 27.052442] kthread+0xf8/0x240 [ 27.052445] ? __pfx_kthread+0x10/0x10 [ 27.052449] ? __pfx_kthread+0x10/0x10 [ 27.052452] ret_from_fork+0x16b/0x1a0 [ 27.052456] ? __pfx_kthread+0x10/0x10 [ 27.052459] ret_from_fork_asm+0x1a/0x30 [ 27.052463] </TASK> [ 27.052465] Modules linked in: [ 27.052471] ---[ end trace 0000000000000000 ]--- [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: chipidea: udc: fix DMA and SG cleanup in _ep_nuke() The ChipIdea UDC driver can encounter "not page aligned sg buffer" errors when a USB device is reconnected after being disconnected during an active transfer. This occurs because _ep_nuke() returns requests to the gadget layer without properly unmapping DMA buffers or cleaning up scatter-gather bounce buffers. Root cause: When a disconnect happens during a multi-segment DMA transfer, the request's num_mapped_sgs field and sgt.sgl pointer remain set with stale values. The request is returned to the gadget driver with status -ESHUTDOWN but still has active DMA state. If the gadget driver reuses this request on reconnect without reinitializing it, the stale DMA state causes _hardware_enqueue() to skip DMA mapping (seeing non-zero num_mapped_sgs) and attempt to use freed/invalid DMA addresses, leading to alignment errors and potential memory corruption. The normal completion path via _hardware_dequeue() properly calls usb_gadget_unmap_request_by_dev() and sglist_do_debounce() before returning the request. The _ep_nuke() path must do the same cleanup to ensure requests are returned in a clean, reusable state. Fix: Add DMA unmapping and bounce buffer cleanup to _ep_nuke() to mirror the cleanup sequence in _hardware_dequeue(): - Call usb_gadget_unmap_request_by_dev() if num_mapped_sgs is set - Call sglist_do_debounce() with copy=false if bounce buffer exists This ensures that when requests are returned due to endpoint shutdown, they don't retain stale DMA mappings. The 'false' parameter to sglist_do_debounce() prevents copying data back (appropriate for shutdown path where transfer was aborted). [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: prodikeys: Check presence of pm->input_ep82 Fake USB devices can send their own report descriptors for which the input_mapping() hook does not get called. In this case, pm->input_ep82 stays NULL, which leads to a crash later. This does not happen with the real device, but can be provoked by imposing as one. Уязвимость компонента prodikeys ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/amd: move wait_on_sem() out of spinlock With iommu.strict=1, the existing completion wait path can cause soft lockups under stressed environment, as wait_on_sem() busy-waits under the spinlock with interrupts disabled. Move the completion wait in iommu_completion_wait() out of the spinlock. wait_on_sem() only polls the hardware-updated cmd_sem and does not require iommu->lock, so holding the lock during the busy wait unnecessarily increases contention and extends the time with interrupts disabled. [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: libertas: fix WARNING in usb_tx_block The function usb_tx_block() submits cardp->tx_urb without ensuring that any previous transmission on this URB has completed. If a second call occurs while the URB is still active (e.g. during rapid firmware loading), usb_submit_urb() detects the active state and triggers a warning: 'URB submitted while active'. Fix this by enforcing serialization: call usb_kill_urb() before submitting the new request. This ensures the URB is idle and safe to reuse. Уязвимость функции usb_tx_block() компонента libertas ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: qcom: camss: vfe: Fix out-of-bounds access in vfe_isr_reg_update() vfe_isr() iterates using MSM_VFE_IMAGE_MASTERS_NUM(7) as the loop bound and passes the index to vfe_isr_reg_update(). However, vfe->line[] array is defined with VFE_LINE_NUM_MAX(4): struct vfe_line line[VFE_LINE_NUM_MAX]; When index is 4, 5, 6, the access to vfe->line[line_id] exceeds the array bounds and resulting in out-of-bounds memory access. Fix this by using separate loops for output lines and write masters. Уязвимость компонента media/platform/qcom/camss/camss-vfe-480.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: cx88: Add missing unmap in snd_cx88_hw_params() In error path, add cx88_alsa_dma_unmap() to release resource acquired by cx88_alsa_dma_map(). Уязвимость функции snd_cx88_hw_params() компонента cx88 ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-772')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: alpha: fix user-space corruption during memory compaction Alpha systems can suffer sporadic user-space crashes and heap corruption when memory compaction is enabled. Symptoms include SIGSEGV, glibc allocator failures (e.g. "unaligned tcache chunk"), and compiler internal errors. The failures disappear when compaction is disabled or when using global TLB invalidation. The root cause is insufficient TLB shootdown during page migration. Alpha relies on ASN-based MM context rollover for instruction cache coherency, but this alone is not sufficient to prevent stale data or instruction translations from surviving migration. Fix this by introducing a migration-specific helper that combines: - MM context invalidation (ASN rollover), - immediate per-CPU TLB invalidation (TBI), - synchronous cross-CPU shootdown when required. The helper is used only by migration/compaction paths to avoid changing global TLB semantics. Additionally, update flush_tlb_other(), pte_clear(), to use READ_ONCE()/WRITE_ONCE() for correct SMP memory ordering. This fixes observed crashes on both UP and SMP Alpha systems. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Fix RSS context delete logic We need to free the corresponding RSS context VNIC in FW everytime an RSS context is deleted in driver. Commit 667ac333dbb7 added a check to delete the VNIC in FW only when netif_running() is true to help delete RSS contexts with interface down. Having that condition will make the driver leak VNICs in FW whenever close() happens with active RSS contexts. On the subsequent open(), as part of RSS context restoration, we will end up trying to create extra VNICs for which we did not make any reservation. FW can fail this request, thereby making us lose active RSS contexts. Suppose an RSS context is deleted already and we try to process a delete request again, then the HWRM functions will check for validity of the request and they simply return if the resource is already freed. So, even for delete-when-down cases, netif_running() check is not necessary. Remove the netif_running() condition check when deleting an RSS context. Уязвимость компонента bnxt ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: arm64: Add support for TSV110 Spectre-BHB mitigation The TSV110 processor is vulnerable to the Spectre-BHB (Branch History Buffer) attack, which can be exploited to leak information through branch prediction side channels. This commit adds the MIDR of TSV110 to the list for software mitigation. Уязвимость функции spectre_bhb_loop_affected() модуля arch/arm64/kernel/proton-pack.c поддержки платформы ARM 64бит ядра операционной системы Linux связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gfs2: fiemap page fault fix In gfs2_fiemap(), we are calling iomap_fiemap() while holding the inode glock. This can lead to recursive glock taking if the fiemap buffer is memory mapped to the same inode and accessing it triggers a page fault. Fix by disabling page faults for iomap_fiemap() and faulting in the buffer by hand if necessary. Fixes xfstest generic/742. Уязвимость компонента gfs2 ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: of: display_timing: fix refcount leak in of_get_display_timings() of_parse_phandle() returns a device_node with refcount incremented, which is stored in 'entry' and then copied to 'native_mode'. When the error paths at lines 184 or 192 jump to 'entryfail', native_mode's refcount is not decremented, causing a refcount leak. Fix this by changing the goto target from 'entryfail' to 'timingfail', which properly calls of_node_put(native_mode) before cleanup. Уязвимость компонента display_timing ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: EFI/CPER: don't go past the ARM processor CPER record buffer There's a logic inside GHES/CPER to detect if the section_length is too small, but it doesn't detect if it is too big. Currently, if the firmware receives an ARM processor CPER record stating that a section length is big, kernel will blindly trust section_length, producing a very long dump. For instance, a 67 bytes record with ERR_INFO_NUM set 46198 and section length set to 854918320 would dump a lot of data going a way past the firmware memory-mapped area. Fix it by adding a logic to prevent it to go past the buffer if ERR_INFO_NUM is too big, making it report instead: [Hardware Error]: Hardware error from APEI Generic Hardware Error Source: 1 [Hardware Error]: event severity: recoverable [Hardware Error]: Error 0, type: recoverable [Hardware Error]: section_type: ARM processor error [Hardware Error]: MIDR: 0xff304b2f8476870a [Hardware Error]: section length: 854918320, CPER size: 67 [Hardware Error]: section length is too big [Hardware Error]: firmware-generated error record is incorrect [Hardware Error]: ERR_INFO_NUM is 46198 [ rjw: Subject and changelog tweaks ] Уязвимость компонентов EFI/CPER ядра операционной системы Linux связана с ошибками при обработке параметров длины. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfsplus: pretend special inodes as regular files Since commit af153bb63a33 ("vfs: catch invalid modes in may_open()") requires any inode be one of S_IFDIR/S_IFLNK/S_IFREG/S_IFCHR/S_IFBLK/ S_IFIFO/S_IFSOCK type, use S_IFREG for special inodes. Уязвимость компонента hfsplus ядра операционной системы Linux связана с ошибками преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/atmel-hlcdc: fix memory leak from the atomic_destroy_state callback After several commits, the slab memory increases. Some drm_crtc_commit objects are not freed. The atomic_destroy_state callback only put the framebuffer. Use the __drm_atomic_helper_plane_destroy_state() function to put all the objects that are no longer needed. It has been seen after hours of usage of a graphics application or using kmemleak: unreferenced object 0xc63a6580 (size 64): comm "egt_basic", pid 171, jiffies 4294940784 hex dump (first 32 bytes): 40 50 34 c5 01 00 00 00 ff ff ff ff 8c 65 3a c6 @P4..........e:. 8c 65 3a c6 ff ff ff ff 98 65 3a c6 98 65 3a c6 .e:......e:..e:. backtrace (crc c25aa925): kmemleak_alloc+0x34/0x3c __kmalloc_cache_noprof+0x150/0x1a4 drm_atomic_helper_setup_commit+0x1e8/0x7bc drm_atomic_helper_commit+0x3c/0x15c drm_atomic_commit+0xc0/0xf4 drm_atomic_helper_set_config+0x84/0xb8 drm_mode_setcrtc+0x32c/0x810 drm_ioctl+0x20c/0x488 sys_ioctl+0x14c/0xc20 ret_fast_syscall+0x0/0x54 Уязвимость компонентов drm/atmel-hlcdc ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: mtk-mdp: Fix a reference leak bug in mtk_mdp_remove() In mtk_mdp_probe(), vpu_get_plat_device() increases the reference count of the returned platform device. Add platform_device_put() to prevent reference leak. Уязвимость компонента mtk-mdp ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md-cluster: fix NULL pointer dereference in process_metadata_update The function process_metadata_update() blindly dereferences the 'thread' pointer (acquired via rcu_dereference_protected) within the wait_event() macro. While the code comment states "daemon thread must exist", there is a valid race condition window during the MD array startup sequence (md_run): 1. bitmap_load() is called, which invokes md_cluster_ops->join(). 2. join() starts the "cluster_recv" thread (recv_daemon). 3. At this point, recv_daemon is active and processing messages. 4. However, mddev->thread (the main MD thread) is not initialized until later in md_run(). If a METADATA_UPDATED message is received from a remote node during this specific window, process_metadata_update() will be called while mddev->thread is still NULL, leading to a kernel panic. To fix this, we must validate the 'thread' pointer. If it is NULL, we release the held lock (no_new_dev_lockres) and return early, safely ignoring the update request as the array is not yet fully ready to process it. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ceph: supply snapshot context in ceph_zero_partial_object() The ceph_zero_partial_object function was missing proper snapshot context for its OSD write operations, which could lead to data inconsistencies in snapshots. Reproducer: ../src/vstart.sh --new -x --localhost --bluestore ./bin/ceph auth caps client.fs_a mds 'allow rwps fsname=a' mon 'allow r fsname=a' osd 'allow rw tag cephfs data=a' mount -t ceph fs_a@.a=/ /mnt/mycephfs/ -o conf=./ceph.conf dd if=/dev/urandom of=/mnt/mycephfs/foo bs=64K count=1 mkdir /mnt/mycephfs/.snap/snap1 md5sum /mnt/mycephfs/.snap/snap1/foo fallocate -p -o 0 -l 4096 /mnt/mycephfs/foo echo 3 > /proc/sys/vm/drop/caches md5sum /mnt/mycephfs/.snap/snap1/foo # get different md5sum!! Уязвимость компонента ceph ядра операционной системы Linux связана с некорректной обработкой отсутствующего специального элемента. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: ufs: core: Flush exception handling work when RPM level is zero Ensure that the exception event handling work is explicitly flushed during suspend when the runtime power management level is set to UFS_PM_LVL_0. When the RPM level is zero, the device power mode and link state both remain active. Previously, the UFS core driver bypassed flushing exception event handling jobs in this configuration. This created a race condition where the driver could attempt to access the host controller to handle an exception after the system had already entered a deep power-down state, resulting in a system crash. Explicitly flush this work and disable auto BKOPs before the suspend callback proceeds. This guarantees that pending exception tasks complete and prevents illegal hardware access during the power-down sequence. Уязвимость компонента core/ufshcd.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: APEI/GHES: ensure that won't go past CPER allocated record The logic at ghes_new() prevents allocating too large records, by checking if they're bigger than GHES_ESTATUS_MAX_SIZE (currently, 64KB). Yet, the allocation is done with the actual number of pages from the CPER bios table location, which can be smaller. Yet, a bad firmware could send data with a different size, which might be bigger than the allocated memory, causing an OOPS: Unable to handle kernel paging request at virtual address fff00000f9b40000 Mem abort info: ESR = 0x0000000096000007 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x07: level 3 translation fault Data abort info: ISV = 0, ISS = 0x00000007, ISS2 = 0x00000000 CM = 0, WnR = 0, TnD = 0, TagAccess = 0 GCS = 0, Overlay = 0, DirtyBit = 0, Xs = 0 swapper pgtable: 4k pages, 52-bit VAs, pgdp=000000008ba16000 [fff00000f9b40000] pgd=180000013ffff403, p4d=180000013fffe403, pud=180000013f85b403, pmd=180000013f68d403, pte=0000000000000000 Internal error: Oops: 0000000096000007 [#1] SMP Modules linked in: CPU: 0 UID: 0 PID: 303 Comm: kworker/0:1 Not tainted 6.19.0-rc1-00002-gda407d200220 #34 PREEMPT Hardware name: QEMU QEMU Virtual Machine, BIOS unknown 02/02/2022 Workqueue: kacpi_notify acpi_os_execute_deferred pstate: 214020c5 (nzCv daIF +PAN -UAO -TCO +DIT -SSBS BTYPE=--) pc : hex_dump_to_buffer+0x30c/0x4a0 lr : hex_dump_to_buffer+0x328/0x4a0 sp : ffff800080e13880 x29: ffff800080e13880 x28: ffffac9aba86f6a8 x27: 0000000000000083 x26: fff00000f9b3fffc x25: 0000000000000004 x24: 0000000000000004 x23: ffff800080e13905 x22: 0000000000000010 x21: 0000000000000083 x20: 0000000000000001 x19: 0000000000000008 x18: 0000000000000010 x17: 0000000000000001 x16: 00000007c7f20fec x15: 0000000000000020 x14: 0000000000000008 x13: 0000000000081020 x12: 0000000000000008 x11: ffff800080e13905 x10: ffff800080e13988 x9 : 0000000000000000 x8 : 0000000000000000 x7 : 0000000000000001 x6 : 0000000000000020 x5 : 0000000000000030 x4 : 00000000fffffffe x3 : 0000000000000000 x2 : ffffac9aba78c1c8 x1 : ffffac9aba76d0a8 x0 : 0000000000000008 Call trace: hex_dump_to_buffer+0x30c/0x4a0 (P) print_hex_dump+0xac/0x170 cper_estatus_print_section+0x90c/0x968 cper_estatus_print+0xf0/0x158 __ghes_print_estatus+0xa0/0x148 ghes_proc+0x1bc/0x220 ghes_notify_hed+0x5c/0xb8 notifier_call_chain+0x78/0x148 blocking_notifier_call_chain+0x4c/0x80 acpi_hed_notify+0x28/0x40 acpi_ev_notify_dispatch+0x50/0x80 acpi_os_execute_deferred+0x24/0x48 process_one_work+0x15c/0x3b0 worker_thread+0x2d0/0x400 kthread+0x148/0x228 ret_from_fork+0x10/0x20 Code: 6b14033f 540001ad a94707e2 f100029f (b8747b44) ---[ end trace 0000000000000000 ]--- Prevent that by taking the actual allocated are into account when checking for CPER length. [ rjw: Subject tweaks ] Уязвимость компонентов APEI/GHES ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm: clear cloned request bio pointer when last clone bio completes Stale rq->bio values have been observed to cause double-initialization of cloned bios in request-based device-mapper targets, leading to use-after-free and double-free scenarios. One such case occurs when using dm-multipath on top of a PCIe NVMe namespace, where cloned request bios are freed during blk_complete_request(), but rq->bio is left intact. Subsequent clone teardown then attempts to free the same bios again via blk_rq_unprep_clone(). The resulting double-free path looks like: nvme_pci_complete_batch() nvme_complete_batch() blk_mq_end_request_batch() blk_complete_request() // called on a DM clone request bio_endio() // first free of all clone bios ... rq->end_io() // end_clone_request() dm_complete_request(tio->orig) dm_softirq_done() dm_done() dm_end_request() blk_rq_unprep_clone() // second free of clone bios Fix this by clearing the clone request's bio pointer when the last cloned bio completes, ensuring that later teardown paths do not attempt to free already-released bios. Уязвимость компонента dm-rq.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Add sanity check for OOB writes at silencing At silencing the playback URB packets in the implicit fb mode before the actual playback, we blindly assume that the received packets fit with the buffer size. But when the setup in the capture stream differs from the playback stream (e.g. due to the USB core limitation of max packet size), such an inconsistency may lead to OOB writes to the buffer, resulting in a crash. For addressing it, add a sanity check of the transfer buffer size at prepare_silent_urb(), and stop the data copy if the received data overflows. Also, report back the transfer error properly from there, too. Note that this doesn't fix the root cause of the playback error itself, but this merely covers the kernel Oops. Уязвимость модуля usb-audio ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: ec_bhf: Fix dma_free_coherent() dma handle dma_free_coherent() in error path takes priv->rx_buf.alloc_len as the dma handle. This would lead to improper unmapping of the buffer. Change the dma handle to priv->rx_buf.alloc_phys. Уязвимость компонента ec_bhf ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm: Account property blob allocations to memcg DRM_IOCTL_MODE_CREATEPROPBLOB allows userspace to allocate arbitrary-sized property blobs backed by kernel memory. Currently, the blob data allocation is not accounted to the allocating process's memory cgroup, allowing unprivileged users to trigger unbounded kernel memory consumption and potentially cause system-wide OOM. Mark the property blob data allocation with GFP_KERNEL_ACCOUNT so that the memory is properly charged to the caller's memcg. This ensures existing cgroup memory limits apply and prevents uncontrolled kernel memory growth without introducing additional policy or per-file limits. Уязвимость функции drm_property_create_blob() модуля drivers/gpu/drm/drm_property.c драйвера инфраструктуры прямого рендеринга (DRI) ядра операционной системы Linux связана с потерей или пропуском информации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: move ext4_percpu_param_init() before ext4_mb_init() When running `kvm-xfstests -c ext4/1k -C 1 generic/383` with the `DOUBLE_CHECK` macro defined, the following panic is triggered: ================================================================== EXT4-fs error (device vdc): ext4_validate_block_bitmap:423: comm mount: bg 0: bad block bitmap checksum BUG: unable to handle page fault for address: ff110000fa2cc000 PGD 3e01067 P4D 3e02067 PUD 0 Oops: Oops: 0000 [#1] SMP NOPTI CPU: 0 UID: 0 PID: 2386 Comm: mount Tainted: G W 6.18.0-gba65a4e7120a-dirty #1152 PREEMPT(none) RIP: 0010:percpu_counter_add_batch+0x13/0xa0 Call Trace: <TASK> ext4_mark_group_bitmap_corrupted+0xcb/0xe0 ext4_validate_block_bitmap+0x2a1/0x2f0 ext4_read_block_bitmap+0x33/0x50 mb_group_bb_bitmap_alloc+0x33/0x80 ext4_mb_add_groupinfo+0x190/0x250 ext4_mb_init_backend+0x87/0x290 ext4_mb_init+0x456/0x640 __ext4_fill_super+0x1072/0x1680 ext4_fill_super+0xd3/0x280 get_tree_bdev_flags+0x132/0x1d0 vfs_get_tree+0x29/0xd0 vfs_cmd_create+0x59/0xe0 __do_sys_fsconfig+0x4f6/0x6b0 do_syscall_64+0x50/0x1f0 entry_SYSCALL_64_after_hwframe+0x76/0x7e ================================================================== This issue can be reproduced using the following commands: mkfs.ext4 -F -q -b 1024 /dev/sda 5G tune2fs -O quota,project /dev/sda mount /dev/sda /tmp/test With DOUBLE_CHECK defined, mb_group_bb_bitmap_alloc() reads and validates the block bitmap. When the validation fails, ext4_mark_group_bitmap_corrupted() attempts to update sbi->s_freeclusters_counter. However, this percpu_counter has not been initialized yet at this point, which leads to the panic described above. Fix this by moving the execution of ext4_percpu_param_init() to occur before ext4_mb_init(), ensuring the per-CPU counters are initialized before they are used. [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: kexec: derive purgatory entry from symbol kexec_load_purgatory() derives image->start by locating e_entry inside an SHF_EXECINSTR section. If the purgatory object contains multiple executable sections with overlapping sh_addr, the entrypoint check can match more than once and trigger a WARN. Derive the entry section from the purgatory_start symbol when present and compute image->start from its final placement. Keep the existing e_entry fallback for purgatories that do not expose the symbol. WARNING: kernel/kexec_file.c:1009 at kexec_load_purgatory+0x395/0x3c0, CPU#10: kexec/1784 Call Trace: <TASK> bzImage64_load+0x133/0xa00 __do_sys_kexec_file_load+0x2b3/0x5c0 do_syscall_64+0x81/0x610 entry_SYSCALL_64_after_hwframe+0x76/0x7e [me@linux.beauty: move helper to avoid forward declaration, per Baoquan] Уязвимость модуля kexec ядра операционной системы Linux связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: nfc: nci: Fix parameter validation for packet data Since commit 9c328f54741b ("net: nfc: nci: Add parameter validation for packet data") communication with nci nfc chips is not working any more. The mentioned commit tries to fix access of uninitialized data, but failed to understand that in some cases the data packet is of variable length and can therefore not be compared to the maximum packet length given by the sizeof(struct). Уязвимость модуля nci ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=8.3) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mm/vmalloc: prevent RCU stalls in kasan_release_vmalloc_node When CONFIG_PAGE_OWNER is enabled, freeing KASAN shadow pages during vmalloc cleanup triggers expensive stack unwinding that acquires RCU read locks. Processing a large purge_list without rescheduling can cause the task to hold CPU for extended periods (10+ seconds), leading to RCU stalls and potential OOM conditions. The issue manifests in purge_vmap_node() -> kasan_release_vmalloc_node() where iterating through hundreds or thousands of vmap_area entries and freeing their associated shadow pages causes: rcu: INFO: rcu_preempt detected stalls on CPUs/tasks: rcu: Tasks blocked on level-0 rcu_node (CPUs 0-1): P6229/1:b..l ... task:kworker/0:17 state:R running task stack:28840 pid:6229 ... kasan_release_vmalloc_node+0x1ba/0xad0 mm/vmalloc.c:2299 purge_vmap_node+0x1ba/0xad0 mm/vmalloc.c:2299 Each call to kasan_release_vmalloc() can free many pages, and with page_owner tracking, each free triggers save_stack() which performs stack unwinding under RCU read lock. Without yielding, this creates an unbounded RCU critical section. Add periodic cond_resched() calls within the loop to allow: - RCU grace periods to complete - Other tasks to run - Scheduler to preempt when needed The fix uses need_resched() for immediate response under load, with a batch count of 32 as a guaranteed upper bound to prevent worst-case stalls even under light load. Уязвимость компонента vmalloc.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: chips-media: wave5: Fix kthread worker destruction in polling mode Fix the cleanup order in polling mode (irq < 0) to prevent kernel warnings during module removal. Cancel the hrtimer before destroying the kthread worker to ensure work queues are empty. In polling mode, the driver uses hrtimer to periodically trigger wave5_vpu_timer_callback() which queues work via kthread_queue_work(). The kthread_destroy_worker() function validates that both work queues are empty with WARN_ON(!list_empty(&worker->work_list)) and WARN_ON(!list_empty(&worker->delayed_work_list)). The original code called kthread_destroy_worker() before hrtimer_cancel(), creating a race condition where the timer could fire during worker destruction and queue new work, triggering the WARN_ON. This causes the following warning on every module unload in polling mode: ------------[ cut here ]------------ WARNING: CPU: 2 PID: 1034 at kernel/kthread.c:1430 kthread_destroy_worker+0x84/0x98 Modules linked in: wave5(-) rpmsg_ctrl rpmsg_char ... Call trace: kthread_destroy_worker+0x84/0x98 wave5_vpu_remove+0xc8/0xe0 [wave5] platform_remove+0x30/0x58 ... ---[ end trace 0000000000000000 ]--- Уязвимость модуля wave5 ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rapidio: replace rio_free_net() with kfree() in rio_scan_alloc_net() When idtab allocation fails, net is not registered with rio_add_net() yet, so kfree(net) is sufficient to release the memory. Set mport->net to NULL to avoid dangling pointer. Уязвимость компонента rapidio ядра операционной системы Linux связана с освобождением неверного указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: octeontx2-af: Workaround SQM/PSE stalls by disabling sticky NIX SQ manager sticky mode is known to cause stalls when multiple SQs share an SMQ and transmit concurrently. Additionally, PSE may deadlock on transitions between sticky and non-sticky transmissions. There is also a credit drop issue observed when certain condition clocks are gated. work around these hardware errata by: - Disabling SQM sticky operation: - Clear TM6 (bit 15) - Clear TM11 (bit 14) - Disabling sticky → non-sticky transition path that can deadlock PSE: - Clear TM5 (bit 23) - Preventing credit drops by keeping the control-flow clock enabled: - Set TM9 (bit 21) These changes are applied via NIX_AF_SQM_DBG_CTL_STATUS. With this configuration the SQM/PSE maintain forward progress under load without credit loss, at the cost of disabling sticky optimizations. Уязвимость модуля octeontx2-af ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: rockchip: rga: Fix possible ERR_PTR dereference in rga_buf_init() rga_get_frame() can return ERR_PTR(-EINVAL) when buffer type is unsupported or invalid. rga_buf_init() does not check the return value and unconditionally dereferences the pointer when accessing f->size. Add proper ERR_PTR checking and return the error to prevent dereferencing an invalid pointer. Уязвимость функции rga_buf_init() модуля drivers/media/platform/rockchip/rga/rga-buf.c драйвера мультимедийных устройств ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных (классическое переполнение буфера). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/panel: Fix a possible null-pointer dereference in jdi_panel_dsi_remove() In jdi_panel_dsi_remove(), jdi is explicitly checked, indicating that it may be NULL: if (!jdi) mipi_dsi_detach(dsi); However, when jdi is NULL, the function does not return and continues by calling jdi_panel_disable(): err = jdi_panel_disable(&jdi->base); Inside jdi_panel_disable(), jdi is dereferenced unconditionally, which can lead to a NULL-pointer dereference: struct jdi_panel *jdi = to_panel_jdi(panel); backlight_disable(jdi->backlight); To prevent such a potential NULL-pointer dereference, return early from jdi_panel_dsi_remove() when jdi is NULL. Уязвимость функции jdi_panel_dsi_remove() модуля drivers/gpu/drm/panel/panel-jdi-lpm102a188a.c драйвера инфраструктуры прямого рендеринга (DRI) ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/v3d: Set DMA segment size to avoid debug warnings When using V3D rendering with CONFIG_DMA_API_DEBUG enabled, the kernel occasionally reports a segment size mismatch. This is because 'max_seg_size' is not set. The kernel defaults to 64K. setting 'max_seg_size' to the maximum will prevent 'debug_dma_map_sg()' from complaining about the over-mapping of the V3D segment length. DMA-API: v3d 1002000000.v3d: mapping sg segment longer than device claims to support [len=8290304] [max=65536] WARNING: CPU: 0 PID: 493 at kernel/dma/debug.c:1179 debug_dma_map_sg+0x330/0x388 CPU: 0 UID: 0 PID: 493 Comm: Xorg Not tainted 6.12.53-yocto-standard #1 Hardware name: Raspberry Pi 5 Model B Rev 1.0 (DT) pstate: 60400009 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : debug_dma_map_sg+0x330/0x388 lr : debug_dma_map_sg+0x330/0x388 sp : ffff8000829a3ac0 x29: ffff8000829a3ac0 x28: 0000000000000001 x27: ffff8000813fe000 x26: ffffc1ffc0000000 x25: ffff00010fdeb760 x24: 0000000000000000 x23: ffff8000816a9bf0 x22: 0000000000000001 x21: 0000000000000002 x20: 0000000000000002 x19: ffff00010185e810 x18: ffffffffffffffff x17: 69766564206e6168 x16: 74207265676e6f6c x15: 20746e656d676573 x14: 20677320676e6970 x13: 5d34303334393134 x12: 0000000000000000 x11: 00000000000000c0 x10: 00000000000009c0 x9 : ffff8000800e0b7c x8 : ffff00010a315ca0 x7 : ffff8000816a5110 x6 : 0000000000000001 x5 : 000000000000002b x4 : 0000000000000002 x3 : 0000000000000008 x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff00010a315280 Call trace: debug_dma_map_sg+0x330/0x388 __dma_map_sg_attrs+0xc0/0x278 dma_map_sgtable+0x30/0x58 drm_gem_shmem_get_pages_sgt+0xb4/0x140 v3d_bo_create_finish+0x28/0x130 [v3d] v3d_create_bo_ioctl+0x54/0x180 [v3d] drm_ioctl_kernel+0xc8/0x140 drm_ioctl+0x2d4/0x4d8 Уязвимость компонентов drm/v3d ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: libceph: define and enforce CEPH_MAX_KEY_LEN When decoding the key, verify that the key material would fit into a fixed-size buffer in process_auth_done() and generally has a sane length. The new CEPH_MAX_KEY_LEN check replaces the existing check for a key with no key material which is a) not universal since CEPH_CRYPTO_NONE has to be excluded and b) doesn't provide much value since a smaller than needed key is just as invalid as no key -- this has to be handled elsewhere anyway. Уязвимость функций set_secret(), ceph_crypto_key_decode() модуля net/ceph/crypto.c ядра операционной системы Linux связана с копированием буфера без проверки размера входных данных (классическое переполнение буфера). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: crypto: Use the correct destructor kfunc type With CONFIG_CFI enabled, the kernel strictly enforces that indirect function calls use a function pointer type that matches the target function. I ran into the following type mismatch when running BPF self-tests: CFI failure at bpf_obj_free_fields+0x190/0x238 (target: bpf_crypto_ctx_release+0x0/0x94; expected type: 0xa488ebfc) Internal error: Oops - CFI: 00000000f2008228 [#1] SMP ... As bpf_crypto_ctx_release() is also used in BPF programs and using a void pointer as the argument would make the verifier unhappy, add a simple stub function with the correct type and register it as the destructor kfunc instead. Уязвимость функции bpf_crypto_ctx_release() модуля kernel/bpf/crypto.c поддержки интерпретатора BPF ядра операционной системы Linux связана с некорректным преобразованием или приведением типов. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: accel: adxl380: Avoid reading more entries than present in FIFO The interrupt handler reads FIFO entries in batches of N samples, where N is the number of scan elements that have been enabled. However, the sensor fills the FIFO one sample at a time, even when more than one channel is enabled. Therefore,the number of entries reported by the FIFO status registers may not be a multiple of N; if this number is not a multiple, the number of entries read from the FIFO may exceed the number of entries actually present. To fix the above issue, round down the number of FIFO entries read from the status registers so that it is always a multiple of N. Уязвимость функции adxl380_irq_handler() модуля drivers/iio/accel/adxl380.c драйвера различных типов встроенных датчиков ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: i2c: ov5647: Initialize subdev before controls In ov5647_init_controls() we call v4l2_get_subdevdata, but it is initialized by v4l2_i2c_subdev_init() in the probe, which currently happens after init_controls(). This can result in a segfault if the error condition is hit, and we try to access i2c_client, so fix the order. Уязвимость функции ov5647_probe() модуля drivers/media/i2c/ov5647.c драйвера мультимедийных устройств ядра операционной системы Linux связана с некорректной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ACPI: processor: Fix NULL-pointer dereference in acpi_processor_errata_piix4() In acpi_processor_errata_piix4(), the pointer dev is first assigned an IDE device and then reassigned an ISA device: dev = pci_get_subsys(..., PCI_DEVICE_ID_INTEL_82371AB, ...); dev = pci_get_subsys(..., PCI_DEVICE_ID_INTEL_82371AB_0, ...); If the first lookup succeeds but the second fails, dev becomes NULL. This leads to a potential null-pointer dereference when dev_dbg() is called: if (errata.piix4.bmisx) dev_dbg(&dev->dev, ...); To prevent this, use two temporary pointers and retrieve each device independently, avoiding overwriting dev with a possible NULL value. [ rjw: Subject adjustment, added an empty code line ] Уязвимость функции acpi_processor_errata_piix4() модуля drivers/acpi/acpi_processor.c драйвера ACPI (расширенный интерфейс конфигурации и питания) ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm: remove fake timeout to avoid leak request Since commit 15f73f5b3e59 ("blk-mq: move failure injection out of blk_mq_complete_request"), drivers are responsible for calling blk_should_fake_timeout() at appropriate code paths and opportunities. However, the dm driver does not implement its own timeout handler and relies on the timeout handling of its slave devices. If an io-timeout-fail error is injected to a dm device, the request will be leaked and never completed, causing tasks to hang indefinitely. Reproduce: 1. prepare dm which has iscsi slave device 2. inject io-timeout-fail to dm echo 1 >/sys/class/block/dm-0/io-timeout-fail echo 100 >/sys/kernel/debug/fail_io_timeout/probability echo 10 >/sys/kernel/debug/fail_io_timeout/times 3. read/write dm 4. iscsiadm -m node -u Result: hang task like below [ 862.243768] INFO: task kworker/u514:2:151 blocked for more than 122 seconds. [ 862.244133] Tainted: G E 6.19.0-rc1+ #51 [ 862.244337] "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. [ 862.244718] task:kworker/u514:2 state:D stack:0 pid:151 tgid:151 ppid:2 task_flags:0x4288060 flags:0x00080000 [ 862.245024] Workqueue: iscsi_ctrl_3:1 __iscsi_unbind_session [scsi_transport_iscsi] [ 862.245264] Call Trace: [ 862.245587] <TASK> [ 862.245814] __schedule+0x810/0x15c0 [ 862.246557] schedule+0x69/0x180 [ 862.246760] blk_mq_freeze_queue_wait+0xde/0x120 [ 862.247688] elevator_change+0x16d/0x460 [ 862.247893] elevator_set_none+0x87/0xf0 [ 862.248798] blk_unregister_queue+0x12e/0x2a0 [ 862.248995] __del_gendisk+0x231/0x7e0 [ 862.250143] del_gendisk+0x12f/0x1d0 [ 862.250339] sd_remove+0x85/0x130 [sd_mod] [ 862.250650] device_release_driver_internal+0x36d/0x530 [ 862.250849] bus_remove_device+0x1dd/0x3f0 [ 862.251042] device_del+0x38a/0x930 [ 862.252095] __scsi_remove_device+0x293/0x360 [ 862.252291] scsi_remove_target+0x486/0x760 [ 862.252654] __iscsi_unbind_session+0x18a/0x3e0 [scsi_transport_iscsi] [ 862.252886] process_one_work+0x633/0xe50 [ 862.253101] worker_thread+0x6df/0xf10 [ 862.253647] kthread+0x36d/0x720 [ 862.254533] ret_from_fork+0x2a6/0x470 [ 862.255852] ret_from_fork_asm+0x1a/0x30 [ 862.256037] </TASK> Remove the blk_should_fake_timeout() check from dm, as dm has no native timeout handling and should not attempt to fake timeouts. Уязвимость компонента dm-rq.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-772')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: nSVM: Remove a user-triggerable WARN on nested_svm_load_cr3() succeeding Drop the WARN in svm_set_nested_state() on nested_svm_load_cr3() failing as it is trivially easy to trigger from userspace by modifying CPUID after loading CR3. E.g. modifying the state restoration selftest like so: --- tools/testing/selftests/kvm/x86/state_test.c +++ tools/testing/selftests/kvm/x86/state_test.c @@ -280,7 +280,16 @@ int main(int argc, char *argv[]) /* Restore state in a new VM. */ vcpu = vm_recreate_with_one_vcpu(vm); - vcpu_load_state(vcpu, state); + + if (stage == 4) { + state->sregs.cr3 = BIT(44); + vcpu_load_state(vcpu, state); + + vcpu_set_cpuid_property(vcpu, X86_PROPERTY_MAX_PHY_ADDR, 36); + __vcpu_nested_state_set(vcpu, &state->nested); + } else { + vcpu_load_state(vcpu, state); + } /* * Restore XSAVE state in a dummy vCPU, first without doing generates: WARNING: CPU: 30 PID: 938 at arch/x86/kvm/svm/nested.c:1877 svm_set_nested_state+0x34a/0x360 [kvm_amd] Modules linked in: kvm_amd kvm irqbypass [last unloaded: kvm] CPU: 30 UID: 1000 PID: 938 Comm: state_test Tainted: G W 6.18.0-rc7-58e10b63777d-next-vm Tainted: [W]=WARN Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 0.0.0 02/06/2015 RIP: 0010:svm_set_nested_state+0x34a/0x360 [kvm_amd] Call Trace: <TASK> kvm_arch_vcpu_ioctl+0xf33/0x1700 [kvm] kvm_vcpu_ioctl+0x4e6/0x8f0 [kvm] __x64_sys_ioctl+0x8f/0xd0 do_syscall_64+0x61/0xad0 entry_SYSCALL_64_after_hwframe+0x4b/0x53 Simply delete the WARN instead of trying to prevent userspace from shoving "illegal" state into CR3. For better or worse, KVM's ABI allows userspace to set CPUID after SREGS, and vice versa, and KVM is very permissive when it comes to guest CPUID. I.e. attempting to enforce the virtual CPU model when setting CPUID could break userspace. Given that the WARN doesn't provide any meaningful protection for KVM or benefit for userspace, simply drop it even though the odds of breaking userspace are minuscule. Opportunistically delete a spurious newline. Уязвимость компонента svm/nested.c ядра операционной системы Linux связана с ошибками управления состоянием. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: solo6x10: Check for out of bounds chip_id Clang with CONFIG_UBSAN_SHIFT=y noticed a condition where a signed type (literal "1" is an "int") could end up being shifted beyond 32 bits, so instrumentation was added (and due to the double is_tw286x() call seen via inlining), Clang decides the second one must now be undefined behavior and elides the rest of the function[1]. This is a known problem with Clang (that is still being worked on), but we can avoid the entire problem by actually checking the existing max chip ID, and now there is no runtime instrumentation added at all since everything is known to be within bounds. Additionally use an unsigned value for the shift to remove the instrumentation even without the explicit bounds checking. [hverkuil: fix checkpatch warning for is_tw286x] Уязвимость компонента solo6x10 ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: most: core: fix leak on early registration failure A recent commit fixed a resource leak on early registration failures but for some reason left out the first error path which still leaks the resources associated with the interface. Fix up also the first error path so that the interface is always released on errors. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix sync handling in amdgpu_dma_buf_move_notify Invalidating a dmabuf will impact other users of the shared BO. In the scenario where process A moves the BO, it needs to inform process B about the move and process B will need to update its page table. The commit fixes a synchronisation bug caused by the use of the ticket: it made amdgpu_vm_handle_moved behave as if updating the page table immediately was correct but in this case it's not. An example is the following scenario, with 2 GPUs and glxgears running on GPU0 and Xorg running on GPU1, on a system where P2P PCI isn't supported: glxgears: export linear buffer from GPU0 and import using GPU1 submit frame rendering to GPU0 submit tiled->linear blit Xorg: copy of linear buffer The sequence of jobs would be: drm_sched_job_run # GPU0, frame rendering drm_sched_job_queue # GPU0, blit drm_sched_job_done # GPU0, frame rendering drm_sched_job_run # GPU0, blit move linear buffer for GPU1 access # amdgpu_dma_buf_move_notify -> update pt # GPU0 It this point the blit job on GPU0 is still running and would likely produce a page fault. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: spidev: fix lock inversion between spi_lock and buf_lock The spidev driver previously used two mutexes, spi_lock and buf_lock, but acquired them in different orders depending on the code path: write()/read(): buf_lock -> spi_lock ioctl(): spi_lock -> buf_lock This AB-BA locking pattern triggers lockdep warnings and can cause real deadlocks: WARNING: possible circular locking dependency detected spidev_ioctl() -> mutex_lock(&spidev->buf_lock) spidev_sync_write() -> mutex_lock(&spidev->spi_lock) *** DEADLOCK *** The issue is reproducible with a simple userspace program that performs write() and SPI_IOC_WR_MAX_SPEED_HZ ioctl() calls from separate threads on the same spidev file descriptor. Fix this by simplifying the locking model and removing the lock inversion entirely. spidev_sync() no longer performs any locking, and all callers serialize access using spi_lock. buf_lock is removed since its functionality is fully covered by spi_lock, eliminating the possibility of lock ordering issues. This removes the lock inversion and prevents deadlocks without changing userspace ABI or behaviour. Уязвимость компонентаspi/spidev.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix dsc eDP issue [why] Need to add function hook check before use Уязвимость компонента dce110_hwseq.c ядра операционной системы Linux связана с непроверенным возвращаемым значением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 thunderbird A malicious mail server could send malformed strings with negative lengths, causing the parser to read memory outside the buffer. If a mail server or connection to a mail server were compromised, an attacker could cause the parser to malfunction, potentially crashing Thunderbird or leaking sensitive data. This vulnerability was fixed in Thunderbird 149 and Thunderbird 140.9. Уязвимость почтового клиента Thunderbird связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-126'), NistCWE(cwe='CWE-130')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H', score=7.4) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 chromium Out of bounds read and write in WebGL in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to perform arbitrary read/write via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента WebGL браузеров Google Chrome и Microsoft Edge связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Base in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Base браузеров Google Chrome и Microsoft Edge связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in CSS in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CSS браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebAudio in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio браузеров Google Chrome и Microsoft Edge связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Stack buffer overflow in WebRTC in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit stack corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость реализации технологии WebRTC браузеров Google Chrome и Microsoft Edge связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC браузеров Google Chrome и Microsoft Edge связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC браузеров Google Chrome и Microsoft Edge связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с недостатками разграничения доступа изолированной среды. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in ANGLE in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость библиотеки ANGLE браузеров Google Chrome и Microsoft Edge связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Blink in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость механизма рендеринга Blink браузеров Google Chrome и Microsoft Edge связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Navigation in Google Chrome prior to 146.0.7680.153 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость функции Navigation браузера Google Chrome и Microsoft Edge связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Network in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость службы Network браузеров Google Chrome и Microsoft Edge связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in PDFium in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted PDF file. (Chromium security severity: High) Уязвимость компонента PDFium браузеров Google Chrome и Microsoft Edge связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного PDF-файла [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Digital Credentials API in Google Chrome prior to 146.0.7680.153 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Digital Credentials API браузеров Google Chrome и Microsoft Edge связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с ошибками смешения типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 146.0.7680.153 allowed an attacker who convinced a user to install a malicious extension to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Extensions (Расширения) браузеров Google Chrome и Microsoft Edge связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in WebAudio in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio браузера Google Chrome связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Skia in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: High) Уязвимость графической библиотеки Skia браузеро Google Chrome и Microsoft Edge связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Blink in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: High) Уязвимость механизма рендеринга Blink браузеров Google Chrome и Microsoft Edge связана с чтением за пределами допустимого диапазона в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebRTC in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC браузеров Google Chrome и Microsoft Edge связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in ANGLE in Google Chrome prior to 146.0.7680.153 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость библиотеки ANGLE браузеров Google Chrome и Microsoft Edge связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 python3.11 The webbrowser.open() API would accept leading dashes in the URL which could be handled as command line options for certain web browsers. New behavior rejects leading dashes. Users are recommended to sanitize URLs prior to passing to webbrowser.open(). Уязвимость интерпретатора языка программирования Python связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-88')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.3) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: remove WARN_ON_ONCE when accessing forward path array Although unlikely, recent support for IPIP tunnels increases chances of reaching this WARN_ON_ONCE if userspace manages to build a sufficiently long forward path. Remove it. Уязвимость модуля net ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix NULL sock in aa_sock_file_perm Deal with the potential that sock and sock-sk can be NULL during socket setup or teardown. This could lead to an oops. The fix for NULL pointer dereference in __unix_needs_revalidation shows this is at least possible for af_unix sockets. While the fix for af_unix sockets applies for newer mediation this is still the fall back path for older af_unix mediation and other sockets, so ensure it is covered. Уязвимость модуля apparmor ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: mscc: ocelot: add missing lock protection in ocelot_port_xmit_inj() ocelot_port_xmit_inj() calls ocelot_can_inject() and ocelot_port_inject_frame() without holding the injection group lock. Both functions contain lockdep_assert_held() for the injection lock, and the correct caller felix_port_deferred_xmit() properly acquires the lock using ocelot_lock_inj_grp() before calling these functions. Add ocelot_lock_inj_grp()/ocelot_unlock_inj_grp() around the register injection path to fix the missing lock protection. The FDMA path is not affected as it uses its own locking mechanism. Уязвимость ядра операционной системы Linux связана с отсутствием проверки блокировки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: efi: Fix reservation of unaccepted memory table The reserve_unaccepted() function incorrectly calculates the size of the memblock reservation for the unaccepted memory table. It aligns the size of the table, but fails to account for cases where the table's starting physical address (efi.unaccepted) is not page-aligned. If the table starts at an offset within a page and its end crosses into a subsequent page that the aligned size does not cover, the end of the table will not be reserved. This can lead to the table being overwritten or inaccessible, causing a kernel panic in accept_memory(). This issue was observed when starting Intel TDX VMs with specific memory sizes (e.g., > 64GB). Fix this by calculating the end address first (including the unaligned start) and then aligning it up, ensuring the entire range is covered by the reservation. Уязвимость компонента efi ядра операционной системы Linux связана с неверным расчетом размера буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: Fix double free in rxe_srq_from_init In rxe_srq_from_init(), the queue pointer 'q' is assigned to 'srq->rq.queue' before copying the SRQ number to user space. If copy_to_user() fails, the function calls rxe_queue_cleanup() to free the queue, but leaves the now-invalid pointer in 'srq->rq.queue'. The caller of rxe_srq_from_init() (rxe_create_srq) eventually calls rxe_srq_cleanup() upon receiving the error, which triggers a second rxe_queue_cleanup() on the same memory, leading to a double free. The call trace looks like this: kmem_cache_free+0x.../0x... rxe_queue_cleanup+0x1a/0x30 [rdma_rxe] rxe_srq_cleanup+0x42/0x60 [rdma_rxe] rxe_elem_release+0x31/0x70 [rdma_rxe] rxe_create_srq+0x12b/0x1a0 [rdma_rxe] ib_create_srq_user+0x9a/0x150 [ib_core] Fix this by moving 'srq->rq.queue = q' after copy_to_user. Уязвимость модуля rxe ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415'), NistCWE(cwe='CWE-1341')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Use kvfree instead of kfree in amdgpu_gmc_get_nps_memranges() amdgpu_discovery_get_nps_info() internally allocates memory for ranges using kvcalloc(), which may use vmalloc() for large allocation. Using kfree() to release vmalloc memory will lead to a memory corruption. Use kvfree() to safely handle both kmalloc and vmalloc allocations. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость компонента amdgpu_gmc.c ядра операционной системы Linux связана с освобождением неверного указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/uverbs: Validate wqe_size before using it in ib_uverbs_post_send ib_uverbs_post_send() uses cmd.wqe_size from userspace without any validation before passing it to kmalloc() and using the allocated buffer as struct ib_uverbs_send_wr. If a user provides a small wqe_size value (e.g., 1), kmalloc() will succeed, but subsequent accesses to user_wr->opcode, user_wr->num_sge, and other fields will read beyond the allocated buffer, resulting in an out-of-bounds read from kernel heap memory. This could potentially leak sensitive kernel information to userspace. Additionally, providing an excessively large wqe_size can trigger a WARNING in the memory allocation path, as reported by syzkaller. This is inconsistent with ib_uverbs_unmarshall_recv() which properly validates that wqe_size >= sizeof(struct ib_uverbs_recv_wr) before proceeding. Add the same validation for ib_uverbs_post_send() to ensure wqe_size is at least sizeof(struct ib_uverbs_send_wr). Уязвимость компонента uverbs_cmd.c ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: csiostor: Fix dereference of null pointer rn The error exit path when rn is NULL ends up deferencing the null pointer rn via the use of the macro CSIO_INC_STATS. Fix this by adding a new error return path label after the use of the macro to avoid the deference. Уязвимость компонента csio_scsi.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nfnetlink_queue: do shared-unconfirmed check before segmentation Ulrich reports a regression with nfqueue: If an application did not set the 'F_GSO' capability flag and a gso packet with an unconfirmed nf_conn entry is received all packets are now dropped instead of queued, because the check happens after skb_gso_segment(). In that case, we did have exclusive ownership of the skb and its associated conntrack entry. The elevated use count is due to skb_clone happening via skb_gso_segment(). Move the check so that its peformed vs. the aggregated packet. Then, annotate the individual segments except the first one so we can do a 2nd check at reinject time. For the normal case, where userspace does in-order reinjects, this avoids packet drops: first reinjected segment continues traversal and confirms entry, remaining segments observe the confirmed entry. While at it, simplify nf_ct_drop_unconfirmed(): We only care about unconfirmed entries with a refcnt > 1, there is no need to special-case dying entries. This only happens with UDP. With TCP, the only unconfirmed packet will be the TCP SYN, those aren't aggregated by GRO. Next patch adds a udpgro test case to cover this scenario. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_conncount: increase the connection clean up limit to 64 After the optimization to only perform one GC per jiffy, a new problem was introduced. If more than 8 new connections are tracked per jiffy the list won't be cleaned up fast enough possibly reaching the limit wrongly. In order to prevent this issue, only skip the GC if it was already triggered during the same jiffy and the increment is lower than the clean up limit. In addition, increase the clean up limit to 64 connections to avoid triggering GC too often and do more effective GCs. This has been tested using a HTTP server and several performance tools while having nft_connlimit/xt_connlimit or OVS limit configured. Output of slowhttptest + OVS limit at 52000 connections: slow HTTP test status on 340th second: initializing: 0 pending: 432 connected: 51998 error: 0 closed: 0 service available: YES Уязвимость модуля nf_conncount ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gfs2: Fix slab-use-after-free in qd_put Commit a475c5dd16e5 ("gfs2: Free quota data objects synchronously") started freeing quota data objects during filesystem shutdown instead of putting them back onto the LRU list, but it failed to remove these objects from the LRU list, causing LRU list corruption. This caused use-after-free when the shrinker (gfs2_qd_shrink_scan) tried to access already-freed objects on the LRU list. Fix this by removing qd objects from the LRU list before freeing them in qd_put(). Initial fix from Deepanshu Kartikey <kartikey406@gmail.com>. Уязвимость компонента gfs2 ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/vt-d: Flush cache for PASID table before using it When writing the address of a freshly allocated zero-initialized PASID table to a PASID directory entry, do that after the CPU cache flush for this PASID table, not before it, to avoid the time window when this PASID table may be already used by non-coherent IOMMU hardware while its contents in RAM is still some random old data, not zero-initialized. Уязвимость компонента drivers/iommu/intel/pasid.c ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: i3c: dw: Fix memory leak in dw_i3c_master_i2c_xfers() The dw_i3c_master_i2c_xfers() function allocates memory for the xfer structure using dw_i3c_master_alloc_xfer(). If pm_runtime_resume_and_get() fails, the function returns without freeing the allocated xfer, resulting in a memory leak. Add a dw_i3c_master_free_xfer() call to the error path to ensure the allocated memory is properly freed. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость функции dw_i3c_master_i2c_xfers() компонента dw-i3c-master.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: prevent infinite loops caused by the next valid being the same When processing valid within the range [valid : pos), if valid cannot be retrieved correctly, for example, if the retrieved valid value is always the same, this can trigger a potential infinite loop, similar to the hung problem reported by syzbot [1]. Adding a check for the valid value within the loop body, and terminating the loop and returning -EINVAL if the value is the same as the current value, can prevent this. [1] INFO: task syz.4.21:6056 blocked for more than 143 seconds. Call Trace: rwbase_write_lock+0x14f/0x750 kernel/locking/rwbase_rt.c:244 inode_lock include/linux/fs.h:1027 [inline] ntfs_file_write_iter+0xe6/0x870 fs/ntfs3/file.c:1284 Уязвимость компонентов fs/ntfs3 ядра операционной системы Linux связана с некорректным вводом данных, используемых как условие выполнения цикла. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mctp i2c: initialise event handler read bytes Set a 0xff value for i2c reads of an mctp-i2c device. Otherwise reads will return "val" from the i2c bus driver. For i2c-aspeed and i2c-npcm7xx that is a stack uninitialised u8. Tested with "i2ctransfer -y 1 r10@0x34" where 0x34 is a mctp-i2c instance, now it returns all 0xff. Уязвимость компонента mctp-i2c.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: serial: caif: fix use-after-free in caif_serial ldisc_close() There is a use-after-free bug in caif_serial where handle_tx() may access ser->tty after the tty has been freed. The race condition occurs between ldisc_close() and packet transmission: CPU 0 (close) CPU 1 (xmit) ------------- ------------ ldisc_close() tty_kref_put(ser->tty) [tty may be freed here] <-- race window --> caif_xmit() handle_tx() tty = ser->tty // dangling ptr tty->ops->write() // UAF! schedule_work() ser_release() unregister_netdevice() The root cause is that tty_kref_put() is called in ldisc_close() while the network device is still active and can receive packets. Since ser and tty have a 1:1 binding relationship with consistent lifecycles (ser is allocated in ldisc_open and freed in ser_release via unregister_netdevice, and each ser binds exactly one tty), we can safely defer the tty reference release to ser_release() where the network device is unregistered. Fix this by moving tty_kref_put() from ldisc_close() to ser_release(), after unregister_netdevice(). This ensures the tty reference is held as long as the network device exists, preventing the UAF. Note: We save ser->tty before unregister_netdevice() because ser is embedded in netdev's private data and will be freed along with netdev (needs_free_netdev = true). How to reproduce: Add mdelay(500) at the beginning of ldisc_close() to widen the race window, then run the reproducer program [1]. Note: There is a separate deadloop issue in handle_tx() when using PORT_UNKNOWN serial ports (e.g., /dev/ttyS3 in QEMU without proper serial backend). This deadloop exists even without this patch, and is likely caused by inconsistency between uart_write_room() and uart_write() in serial core. It has been addressed in a separate patch [2]. KASAN report: ================================================================== BUG: KASAN: slab-use-after-free in handle_tx+0x5d1/0x620 Read of size 1 at addr ffff8881131e1490 by task caif_uaf_trigge/9929 Call Trace: <TASK> dump_stack_lvl+0x10e/0x1f0 print_report+0xd0/0x630 kasan_report+0xe4/0x120 handle_tx+0x5d1/0x620 dev_hard_start_xmit+0x9d/0x6c0 __dev_queue_xmit+0x6e2/0x4410 packet_xmit+0x243/0x360 packet_sendmsg+0x26cf/0x5500 __sys_sendto+0x4a3/0x520 __x64_sys_sendto+0xe0/0x1c0 do_syscall_64+0xc9/0xf80 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f615df2c0d7 Allocated by task 9930: Freed by task 64: Last potentially related work creation: The buggy address belongs to the object at ffff8881131e1000 which belongs to the cache kmalloc-cg-2k of size 2048 The buggy address is located 1168 bytes inside of freed 2048-byte region [ffff8881131e1000, ffff8881131e1800) The buggy address belongs to the physical page: page_owner tracks the page as allocated page last free pid 9778 tgid 9778 stack trace: Memory state around the buggy address: ffff8881131e1380: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff8881131e1400: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb >ffff8881131e1480: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ^ ffff8881131e1500: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff8881131e1580: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ================================================================== [1]: https://gist.github.com/mrpre/f683f244544f7b11e7fa87df9e6c2eeb [2]: https://lore.kernel.org/linux-serial/20260204074327.226165-1-jiayuan.chen@linux.dev/T/#u Уязвимость компонента caif_serial.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: act8945a: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента act8945a_charger.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pinctrl: single: fix refcount leak in pcs_add_gpio_func() of_parse_phandle_with_args() returns a device_node pointer with refcount incremented in gpiospec.np. The loop iterates through all phandles but never releases the reference, causing a refcount leak on each iteration. Add of_node_put() calls to release the reference after extracting the needed arguments and on the error path when devm_kzalloc() fails. This bug was detected by our static analysis tool and verified by my code review. Уязвимость компонента pinctrl-single.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: wm97xx: Fix NULL pointer dereference in power_supply_changed() In `probe()`, `request_irq()` is called before allocating/registering a `power_supply` handle. If an interrupt is fired between the call to `request_irq()` and `power_supply_register()`, the `power_supply` handle will be used uninitialized in `power_supply_changed()` in `wm97xx_bat_update()` (triggered from the interrupt handler). This will lead to a `NULL` pointer dereference since Fix this racy `NULL` pointer dereference by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Since the IRQ is the last thing requests in the `probe()` now, remove the error path for freeing it. Instead add one for unregistering the `power_supply` handle when IRQ request fails. Уязвимость компонента wm97xx_battery.c ядра операционной системы Linux связана с доступом к неинициализированному указателю. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: SUNRPC: auth_gss: fix memory leaks in XDR decoding error paths The gssx_dec_ctx(), gssx_dec_status(), and gssx_dec_name() functions allocate memory via gssx_dec_buffer(), which calls kmemdup(). When a subsequent decode operation fails, these functions return immediately without freeing previously allocated buffers, causing memory leaks. The leak in gssx_dec_ctx() is particularly relevant because the caller (gssp_accept_sec_context_upcall) initializes several buffer length fields to non-zero values, resulting in memory allocation: struct gssx_ctx rctxh = { .exported_context_token.len = GSSX_max_output_handle_sz, .mech.len = GSS_OID_MAX_LEN, .src_name.display_name.len = GSSX_max_princ_sz, .targ_name.display_name.len = GSSX_max_princ_sz }; If, for example, gssx_dec_name() succeeds for src_name but fails for targ_name, the memory allocated for exported_context_token, mech, and src_name.display_name remains unreferenced and cannot be reclaimed. Add error handling with goto-based cleanup to free any previously allocated buffers before returning an error. Уязвимость модуля auth_gss ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tpm: st33zp24: Fix missing cleanup on get_burstcount() error get_burstcount() can return -EBUSY on timeout. When this happens, st33zp24_send() returns directly without releasing the locality acquired earlier. Use goto out_err to ensure proper cleanup when get_burstcount() fails. Уязвимость компонента st33zp24 ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: scsi: smartpqi: Fix memory leak in pqi_report_phys_luns() pqi_report_phys_luns() fails to release the rpl_list buffer when encountering an unsupported data format or when the allocation for rpl_16byte_wwid_list fails. These early returns bypass the cleanup logic, leading to memory leaks. Consolidate the error handling by adding an out_free_rpl_list label and use goto statements to ensure rpl_list is consistently freed on failure. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость компонента smartpqi ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_set_rbtree: check for partial overlaps in anonymous sets Userspace provides an optimized representation in case intervals are adjacent, where the end element is omitted. The existing partial overlap detection logic skips anonymous set checks on start elements for this reason. However, it is possible to add intervals that overlap to this anonymous where two start elements with the same, eg. A-B, A-C where C < B. start end A B start end A C Restore the check on overlapping start elements to report an overlap. Уязвимость компонента nft_set_rbtree.c ядра операционной системы Linux связана с неправильной проверкой согласованности во входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: phy: freescale: imx8qm-hsio: fix NULL pointer dereference During the probe the refclk_pad pointer is set to NULL if the 'fsl,refclk-pad-mode' property is not defined in the devicetree node. But in imx_hsio_configure_clk_pad() this pointer is unconditionally used which could result in a NULL pointer dereference. So check the pointer before to use it. Уязвимость компонента imx8qm-hsio ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mfd: arizona: Fix regulator resource leak on wm5102_clear_write_sequencer() failure The wm5102_clear_write_sequencer() helper may return an error and just return, bypassing the cleanup sequence and causing regulators to remain enabled, leading to a resource leak. Change the direct return to jump to the err_reset label to properly free the resources. Уязвимость компонента arizona-core.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: intel-ish-hid: fix NULL-ptr-deref in ishtp_bus_remove_all_clients During a warm reset flow, the cl->device pointer may be NULL if the reset occurs while clients are still being enumerated. Accessing cl->device->reference_count without a NULL check leads to a kernel panic. This issue was identified during multi-unit warm reboot stress clycles. Add a defensive NULL check for cl->device to ensure stability under such intensive testing conditions. KASAN: null-ptr-deref in range [0000000000000000-0000000000000007] Workqueue: ish_fw_update_wq fw_reset_work_fn Call Trace: ishtp_bus_remove_all_clients+0xbe/0x130 [intel_ishtp] ishtp_reset_handler+0x85/0x1a0 [intel_ishtp] fw_reset_work_fn+0x8a/0xc0 [intel_ish_ipc] [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdkfd: Fix watch_id bounds checking in debug address watch v2 The address watch clear code receives watch_id as an unsigned value (u32), but some helper functions were using a signed int and checked bits by shifting with watch_id. If a very large watch_id is passed from userspace, it can be converted to a negative value. This can cause invalid shifts and may access memory outside the watch_points array. drm/amdkfd: Fix watch_id bounds checking in debug address watch v2 Fix this by checking that watch_id is within MAX_WATCH_ADDRESSES before using it. Also use BIT(watch_id) to test and clear bits safely. This keeps the behavior unchanged for valid watch IDs and avoids undefined behavior for invalid ones. Fixes the below: drivers/gpu/drm/amd/amdgpu/../amdkfd/kfd_debug.c:448 kfd_dbg_trap_clear_dev_address_watch() error: buffer overflow 'pdd->watch_points' 4 <= u32max user_rl='0-3,2147483648-u32max' uncapped drivers/gpu/drm/amd/amdgpu/../amdkfd/kfd_debug.c 433 int kfd_dbg_trap_clear_dev_address_watch(struct kfd_process_device *pdd, 434 uint32_t watch_id) 435 { 436 int r; 437 438 if (!kfd_dbg_owns_dev_watch_id(pdd, watch_id)) kfd_dbg_owns_dev_watch_id() doesn't check for negative values so if watch_id is larger than INT_MAX it leads to a buffer overflow. (Negative shifts are undefined). 439 return -EINVAL; 440 441 if (!pdd->dev->kfd->shared_resources.enable_mes) { 442 r = debug_lock_and_unmap(pdd->dev->dqm); 443 if (r) 444 return r; 445 } 446 447 amdgpu_gfx_off_ctrl(pdd->dev->adev, false); --> 448 pdd->watch_points[watch_id] = pdd->dev->kfd2kgd->clear_address_watch( 449 pdd->dev->adev, 450 watch_id); v2: (as per, Jonathan Kim) - Add early watch_id >= MAX_WATCH_ADDRESSES validation in the set path to match the clear path. - Drop the redundant bounds check in kfd_dbg_owns_dev_watch_id(). Уязвимость компонентов drm/amdkfd ядра операционной системы Linux связана с недостатком механизма преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: bq25980: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента bq25980_charger.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: PCI/P2PDMA: Release per-CPU pgmap ref when vm_insert_page() fails When vm_insert_page() fails in p2pmem_alloc_mmap(), p2pmem_alloc_mmap() doesn't invoke percpu_ref_put() to free the per-CPU ref of pgmap acquired after gen_pool_alloc_owner(), and memunmap_pages() will hang forever when trying to remove the PCI device. Fix it by adding the missed percpu_ref_put(). Уязвимость компонента p2pdma.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: soc: mediatek: svs: Fix memory leak in svs_enable_debug_write() In svs_enable_debug_write(), the buf allocated by memdup_user_nul() is leaked if kstrtoint() fails. Fix this by using __free(kfree) to automatically free buf, eliminating the need for explicit kfree() calls and preventing leaks. [Angelo: Added missing cleanup.h inclusion] Уязвимость компонента mtk-svs.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: pm8916_bms_vm: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента pm8916_bms_vm.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: sca3000: Fix a resource leak in sca3000_probe() spi->irq from request_threaded_irq() not released when iio_device_register() fails. Add an return value check and jump to a common error handler when iio_device_register() fails. Уязвимость функции sca3000_probe() компонента sca3000.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: avoid per-cpu hold underflow in aa_get_buffer When aa_get_buffer() pulls from the per-cpu list it unconditionally decrements cache->hold. If hold reaches 0 while count is still non-zero, the unsigned decrement wraps to UINT_MAX. This keeps hold non-zero for a very long time, so aa_put_buffer() never returns buffers to the global list, which can starve other CPUs and force repeated kmalloc(aa_g_path_max) allocations. Guard the decrement so hold never underflows. Уязвимость модуля apparmor ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: cpcap-battery: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента cpcap-battery.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Fix bpf_xdp_store_bytes proto for read-only arg While making some maps in Cilium read-only from the BPF side, we noticed that the bpf_xdp_store_bytes proto is incorrect. In particular, the verifier was throwing the following error: ; ret = ctx_store_bytes(ctx, l3_off + offsetof(struct iphdr, saddr), &nat->address, 4, 0); 635: (79) r1 = *(u64 *)(r10 -144) ; R1=ctx() R10=fp0 fp-144=ctx() 636: (b4) w2 = 26 ; R2=26 637: (b4) w4 = 4 ; R4=4 638: (b4) w5 = 0 ; R5=0 639: (85) call bpf_xdp_store_bytes#190 write into map forbidden, value_size=6 off=0 size=4 nat comes from a BPF_F_RDONLY_PROG map, so R3 is a PTR_TO_MAP_VALUE. The verifier checks the helper's memory access to R3 in check_mem_size_reg, as it reaches ARG_CONST_SIZE argument. The third argument has expected type ARG_PTR_TO_UNINIT_MEM, which includes the MEM_WRITE flag. The verifier thus checks for a BPF_WRITE access on R3. Given R3 points to a read-only map, the check fails. Conversely, ARG_PTR_TO_UNINIT_MEM can also lead to the helper reading from uninitialized memory. This patch simply fixes the expected argument type to match that of bpf_skb_store_bytes. Уязвимость компонента net/core/filter.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: md/raid1: fix memory leak in raid1_run() raid1_run() calls setup_conf() which registers a thread via md_register_thread(). If raid1_set_limits() fails, the previously registered thread is not unregistered, resulting in a memory leak of the md_thread structure and the thread resource itself. Add md_unregister_thread() to the error path to properly cleanup the thread, which aligns with the error handling logic of other paths in this function. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость компонента md/raid1.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xen-netback: reject zero-queue configuration from guest A malicious or buggy Xen guest can write "0" to the xenbus key "multi-queue-num-queues". The connect() function in the backend only validates the upper bound (requested_num_queues > xenvif_max_queues) but not zero, allowing requested_num_queues=0 to reach vzalloc(array_size(0, sizeof(struct xenvif_queue))), which triggers WARN_ON_ONCE(!size) in __vmalloc_node_range(). On systems with panic_on_warn=1, this allows a guest-to-host denial of service. The Xen network interface specification requires the queue count to be "greater than zero". Add a zero check to match the validation already present in xen-blkback, which has included this guard since its multi-queue support was added. Уязвимость компонента xen-netback ядра операционной системы Linux связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: hns3: fix double free issue for tx spare buffer In hns3_set_ringparam(), a temporary copy (tmp_rings) of the ring structure is created for rollback. However, the tx_spare pointer in the original ring handle is incorrectly left pointing to the old backup memory. Later, if memory allocation fails in hns3_init_all_ring() during the setup, the error path attempts to free all newly allocated rings. Since tx_spare contains a stale (non-NULL) pointer from the backup, it is mistaken for a newly allocated buffer and is erroneously freed, leading to a double-free of the backup memory. The root cause is that the tx_spare field was not cleared after its value was saved in tmp_rings, leaving a dangling pointer. Fix this by setting tx_spare to NULL in the original ring structure when the creation of the new `tx_spare` fails. This ensures the error cleanup path only frees genuinely newly allocated buffers. Уязвимость компонента hns3 ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: Fix & Optimize table creation from possibly unaligned memory Source blob may come from userspace and might be unaligned. Try to optize the copying process by avoiding unaligned memory accesses. - Added Fixes tag - Added "Fix &" to description as this doesn't just optimize but fixes a potential unaligned memory access [jj: remove duplicate word "convert" in comment trigger checkpatch warning] [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu/vt-d: Clear Present bit before tearing down PASID entry The Intel VT-d Scalable Mode PASID table entry consists of 512 bits (64 bytes). When tearing down an entry, the current implementation zeros the entire 64-byte structure immediately using multiple 64-bit writes. Since the IOMMU hardware may fetch these 64 bytes using multiple internal transactions (e.g., four 128-bit bursts), updating or zeroing the entire entry while it is active (P=1) risks a "torn" read. If a hardware fetch occurs simultaneously with the CPU zeroing the entry, the hardware could observe an inconsistent state, leading to unpredictable behavior or spurious faults. Follow the "Guidance to Software for Invalidations" in the VT-d spec (Section 6.5.3.3) by implementing the recommended ownership handshake: 1. Clear only the 'Present' (P) bit of the PASID entry. 2. Use a dma_wmb() to ensure the cleared bit is visible to hardware before proceeding. 3. Execute the required invalidation sequence (PASID cache, IOTLB, and Device-TLB flush) to ensure the hardware has released all cached references. 4. Only after the flushes are complete, zero out the remaining fields of the PASID entry. Also, add a dma_wmb() in pasid_set_present() to ensure that all other fields of the PASID entry are visible to the hardware before the Present bit is set. [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: quota: fix livelock between quotactl and freeze_super When a filesystem is frozen, quotactl_block() enters a retry loop waiting for the filesystem to thaw. It acquires s_umount, checks the freeze state, drops s_umount and uses sb_start_write() - sb_end_write() pair to wait for the unfreeze. However, this retry loop can trigger a livelock issue, specifically on kernels with preemption disabled. The mechanism is as follows: 1. freeze_super() sets SB_FREEZE_WRITE and calls sb_wait_write(). 2. sb_wait_write() calls percpu_down_write(), which initiates synchronize_rcu(). 3. Simultaneously, quotactl_block() spins in its retry loop, immediately executing the sb_start_write() - sb_end_write() pair. 4. Because the kernel is non-preemptible and the loop contains no scheduling points, quotactl_block() never yields the CPU. This prevents that CPU from reaching an RCU quiescent state. 5. synchronize_rcu() in the freezer thread waits indefinitely for the quotactl_block() CPU to report a quiescent state. 6. quotactl_block() spins indefinitely waiting for the freezer to advance, which it cannot do as it is blocked on the RCU sync. This results in a hang of the freezer process and 100% CPU usage by the quota process. While this can occur intermittently on multi-core systems, it is reliably reproducing on a node with the following script, running both the freezer and the quota toggle on the same CPU: # mkfs.ext4 -O quota /dev/sda 2g && mkdir a_mount # mount /dev/sda -o quota,usrquota,grpquota a_mount # taskset -c 3 bash -c "while true; do xfs_freeze -f a_mount; \ xfs_freeze -u a_mount; done" & # taskset -c 3 bash -c "while true; do quotaon a_mount; \ quotaoff a_mount; done" & Adding cond_resched() to the retry loop fixes the issue. It acts as an RCU quiescent state, allowing synchronize_rcu() in percpu_down_write() to complete. Уязвимость компонента quota ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/iwcm: Fix workqueue list corruption by removing work_list The commit e1168f0 ("RDMA/iwcm: Simplify cm_event_handler()") changed the work submission logic to unconditionally call queue_work() with the expectation that queue_work() would have no effect if work was already pending. The problem is that a free list of struct iwcm_work is used (for which struct work_struct is embedded), so each call to queue_work() is basically unique and therefore does indeed queue the work. This causes a problem in the work handler which walks the work_list until it's empty to process entries. This means that a single run of the work handler could process item N+1 and release it back to the free list while the actual workqueue entry is still queued. It could then get reused (INIT_WORK...) and lead to list corruption in the workqueue logic. Fix this by just removing the work_list. The workqueue already does this for us. This fixes the following error that was observed when stress testing with ucmatose on an Intel E830 in iWARP mode: [ 151.465780] list_del corruption. next->prev should be ffff9f0915c69c08, but was ffff9f0a1116be08. (next=ffff9f0a15b11c08) [ 151.466639] ------------[ cut here ]------------ [ 151.466986] kernel BUG at lib/list_debug.c:67! [ 151.467349] Oops: invalid opcode: 0000 [#1] SMP NOPTI [ 151.467753] CPU: 14 UID: 0 PID: 2306 Comm: kworker/u64:18 Not tainted 6.19.0-rc4+ #1 PREEMPT(voluntary) [ 151.468466] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 151.469192] Workqueue: 0x0 (iw_cm_wq) [ 151.469478] RIP: 0010:__list_del_entry_valid_or_report+0xf0/0x100 [ 151.469942] Code: c7 58 5f 4c b2 e8 10 50 aa ff 0f 0b 48 89 ef e8 36 57 cb ff 48 8b 55 08 48 89 e9 48 89 de 48 c7 c7 a8 5f 4c b2 e8 f0 4f aa ff <0f> 0b 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 40 00 90 90 90 90 90 90 [ 151.471323] RSP: 0000:ffffb15644e7bd68 EFLAGS: 00010046 [ 151.471712] RAX: 000000000000006d RBX: ffff9f0915c69c08 RCX: 0000000000000027 [ 151.472243] RDX: 0000000000000000 RSI: 0000000000000000 RDI: ffff9f0a37d9c600 [ 151.472768] RBP: ffff9f0a15b11c08 R08: 0000000000000000 R09: c0000000ffff7fff [ 151.473294] R10: 0000000000000001 R11: ffffb15644e7bba8 R12: ffff9f092339ee68 [ 151.473817] R13: ffff9f0900059c28 R14: ffff9f092339ee78 R15: 0000000000000000 [ 151.474344] FS: 0000000000000000(0000) GS:ffff9f0a847b5000(0000) knlGS:0000000000000000 [ 151.474934] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 151.475362] CR2: 0000559e233a9088 CR3: 000000020296b004 CR4: 0000000000770ef0 [ 151.475895] PKRU: 55555554 [ 151.476118] Call Trace: [ 151.476331] <TASK> [ 151.476497] move_linked_works+0x49/0xa0 [ 151.476792] __pwq_activate_work.isra.46+0x2f/0xa0 [ 151.477151] pwq_dec_nr_in_flight+0x1e0/0x2f0 [ 151.477479] process_scheduled_works+0x1c8/0x410 [ 151.477823] worker_thread+0x125/0x260 [ 151.478108] ? __pfx_worker_thread+0x10/0x10 [ 151.478430] kthread+0xfe/0x240 [ 151.478671] ? __pfx_kthread+0x10/0x10 [ 151.478955] ? __pfx_kthread+0x10/0x10 [ 151.479240] ret_from_fork+0x208/0x270 [ 151.479523] ? __pfx_kthread+0x10/0x10 [ 151.479806] ret_from_fork_asm+0x1a/0x30 [ 151.480103] </TASK> Уязвимость компонентов RDMA/iwcm ядра операционной системы Linux связана с множественным освобождением одного и того же ресурса или дескриптора. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1341')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: caam - fix netdev memory leak in dpaa2_caam_probe When commit 0e1a4d427f58 ("crypto: caam: Unembed net_dev structure in dpaa2") converted embedded net_device to dynamically allocated pointers, it added cleanup in dpaa2_dpseci_disable() but missed adding cleanup in dpaa2_dpseci_free() for error paths. This causes memory leaks when dpaa2_dpseci_dpio_setup() fails during probe due to DPIO devices not being ready yet. The kernel's deferred probe mechanism handles the retry successfully, but the netdevs allocated during the failed probe attempt are never freed, resulting in kmemleak reports showing multiple leaked netdev-related allocations all traced back to dpaa2_caam_probe(). Fix this by preserving the CPU mask of allocated netdevs during setup and using it for cleanup in dpaa2_dpseci_free(). This approach ensures that only the CPUs that actually had netdevs allocated will be cleaned up, avoiding potential issues with CPU hotplug scenarios. Уязвимость функции dpaa2_caam_probe()компонента caamalg_qi2.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: bq256xx: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента bq256xx_charger.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: powerpc/eeh: fix recursive pci_lock_rescan_remove locking in EEH event handling The recent commit 1010b4c012b0 ("powerpc/eeh: Make EEH driver device hotplug safe") restructured the EEH driver to improve synchronization with the PCI hotplug layer. However, it inadvertently moved pci_lock_rescan_remove() outside its intended scope in eeh_handle_normal_event(), leading to broken PCI error reporting and improper EEH event triggering. Specifically, eeh_handle_normal_event() acquired pci_lock_rescan_remove() before calling eeh_pe_bus_get(), but eeh_pe_bus_get() itself attempts to acquire the same lock internally, causing nested locking and disrupting normal EEH event handling paths. This patch adds a boolean parameter do_lock to _eeh_pe_bus_get(), with two public wrappers: eeh_pe_bus_get() with locking enabled. eeh_pe_bus_get_nolock() that skips locking. Callers that already hold pci_lock_rescan_remove() now use eeh_pe_bus_get_nolock() to avoid recursive lock acquisition. Additionally, pci_lock_rescan_remove() calls are restored to the correct position—after eeh_pe_bus_get() and immediately before iterating affected PEs and devices. This ensures EEH-triggered PCI removes occur under proper bus rescan locking without recursive lock contention. The eeh_pe_loc_get() function has been split into two functions: eeh_pe_loc_get(struct eeh_pe *pe) which retrieves the loc for given PE. eeh_pe_loc_get_bus(struct pci_bus *bus) which retrieves the location code for given bus. This resolves lockdep warnings such as: <snip> [ 84.964298] [ T928] ============================================ [ 84.964304] [ T928] WARNING: possible recursive locking detected [ 84.964311] [ T928] 6.18.0-rc3 #51 Not tainted [ 84.964315] [ T928] -------------------------------------------- [ 84.964320] [ T928] eehd/928 is trying to acquire lock: [ 84.964324] [ T928] c000000003b29d58 (pci_rescan_remove_lock){+.+.}-{3:3}, at: pci_lock_rescan_remove+0x28/0x40 [ 84.964342] [ T928] but task is already holding lock: [ 84.964347] [ T928] c000000003b29d58 (pci_rescan_remove_lock){+.+.}-{3:3}, at: pci_lock_rescan_remove+0x28/0x40 [ 84.964357] [ T928] other info that might help us debug this: [ 84.964363] [ T928] Possible unsafe locking scenario: [ 84.964367] [ T928] CPU0 [ 84.964370] [ T928] ---- [ 84.964373] [ T928] lock(pci_rescan_remove_lock); [ 84.964378] [ T928] lock(pci_rescan_remove_lock); [ 84.964383] [ T928] *** DEADLOCK *** [ 84.964388] [ T928] May be due to missing lock nesting notation [ 84.964393] [ T928] 1 lock held by eehd/928: [ 84.964397] [ T928] #0: c000000003b29d58 (pci_rescan_remove_lock){+.+.}-{3:3}, at: pci_lock_rescan_remove+0x28/0x40 [ 84.964408] [ T928] stack backtrace: [ 84.964414] [ T928] CPU: 2 UID: 0 PID: 928 Comm: eehd Not tainted 6.18.0-rc3 #51 VOLUNTARY [ 84.964417] [ T928] Hardware name: IBM,9080-HEX POWER10 (architected) 0x800200 0xf000006 of:IBM,FW1060.00 (NH1060_022) hv:phyp pSeries [ 84.964419] [ T928] Call Trace: [ 84.964420] [ T928] [c0000011a7157990] [c000000001705de4] dump_stack_lvl+0xc8/0x130 (unreliable) [ 84.964424] [ T928] [c0000011a71579d0] [c0000000002f66e0] print_deadlock_bug+0x430/0x440 [ 84.964428] [ T928] [c0000011a7157a70] [c0000000002fd0c0] __lock_acquire+0x1530/0x2d80 [ 84.964431] [ T928] [c0000011a7157ba0] [c0000000002fea54] lock_acquire+0x144/0x410 [ 84.964433] [ T928] [c0000011a7157cb0] [c0000011a7157cb0] __mutex_lock+0xf4/0x1050 [ 84.964436] [ T928] [c0000011a7157e00] [c000000000de21d8] pci_lock_rescan_remove+0x28/0x40 [ 84.964439] [ T928] [c0000011a7157e20] [c00000000004ed98] eeh_pe_bus_get+0x48/0xc0 [ 84.964442] [ T928] [c0000011a7157e50] [c00000 ---truncated--- Уязвимость компонента powerpc/eeh ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-674')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: fix ip_rt_bug race in icmp_route_lookup reverse path icmp_route_lookup() performs multiple route lookups to find a suitable route for sending ICMP error messages, with special handling for XFRM (IPsec) policies. The lookup sequence is: 1. First, lookup output route for ICMP reply (dst = original src) 2. Pass through xfrm_lookup() for policy check 3. If blocked (-EPERM) or dst is not local, enter "reverse path" 4. In reverse path, call xfrm_decode_session_reverse() to get fl4_dec which reverses the original packet's flow (saddr<->daddr swapped) 5. If fl4_dec.saddr is local (we are the original destination), use __ip_route_output_key() for output route lookup 6. If fl4_dec.saddr is NOT local (we are a forwarding node), use ip_route_input() to simulate the reverse packet's input path 7. Finally, pass rt2 through xfrm_lookup() with XFRM_LOOKUP_ICMP flag The bug occurs in step 6: ip_route_input() is called with fl4_dec.daddr (original packet's source) as destination. If this address becomes local between the initial check and ip_route_input() call (e.g., due to concurrent "ip addr add"), ip_route_input() returns a LOCAL route with dst.output set to ip_rt_bug. This route is then used for ICMP output, causing dst_output() to call ip_rt_bug(), triggering a WARN_ON: ------------[ cut here ]------------ WARNING: net/ipv4/route.c:1275 at ip_rt_bug+0x21/0x30, CPU#1 Call Trace: <TASK> ip_push_pending_frames+0x202/0x240 icmp_push_reply+0x30d/0x430 __icmp_send+0x1149/0x24f0 ip_options_compile+0xa2/0xd0 ip_rcv_finish_core+0x829/0x1950 ip_rcv+0x2d7/0x420 __netif_receive_skb_one_core+0x185/0x1f0 netif_receive_skb+0x90/0x450 tun_get_user+0x3413/0x3fb0 tun_chr_write_iter+0xe4/0x220 ... Fix this by checking rt2->rt_type after ip_route_input(). If it's RTN_LOCAL, the route cannot be used for output, so treat it as an error. The reproducer requires kernel modification to widen the race window, making it unsuitable as a selftest. It is available at: https://gist.github.com/mrpre/eae853b72ac6a750f5d45d64ddac1e81 Уязвимость компонента net/ipv4/icmp.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: Fix race condition in QP timer handlers I encontered the following warning: WARNING: drivers/infiniband/sw/rxe/rxe_task.c:249 at rxe_sched_task+0x1c8/0x238 [rdma_rxe], CPU#0: swapper/0/0 ... libsha1 [last unloaded: ip6_udp_tunnel] CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Tainted: G C 6.19.0-rc5-64k-v8+ #37 PREEMPT Tainted: [C]=CRAP Hardware name: Raspberry Pi 4 Model B Rev 1.2 Call trace: rxe_sched_task+0x1c8/0x238 [rdma_rxe] (P) retransmit_timer+0x130/0x188 [rdma_rxe] call_timer_fn+0x68/0x4d0 __run_timers+0x630/0x888 ... WARNING: drivers/infiniband/sw/rxe/rxe_task.c:38 at rxe_sched_task+0x1c0/0x238 [rdma_rxe], CPU#0: swapper/0/0 ... WARNING: drivers/infiniband/sw/rxe/rxe_task.c:111 at do_work+0x488/0x5c8 [rdma_rxe], CPU#3: kworker/u17:4/93400 ... refcount_t: underflow; use-after-free. WARNING: lib/refcount.c:28 at refcount_warn_saturate+0x138/0x1a0, CPU#3: kworker/u17:4/93400 The issue is caused by a race condition between retransmit_timer() and rxe_destroy_qp, leading to the Queue Pair's (QP) reference count dropping to zero during timer handler execution. It seems this warning is harmless because rxe_qp_do_cleanup() will flush all pending timers and requests. Example of flow causing the issue: CPU0 CPU1 retransmit_timer() { spin_lock_irqsave rxe_destroy_qp() __rxe_cleanup() __rxe_put() // qp->ref_count decrease to 0 rxe_qp_do_cleanup() { if (qp->valid) { rxe_sched_task() { WARN_ON(rxe_read(task->qp) <= 0); } } spin_unlock_irqrestore } spin_lock_irqsave qp->valid = 0 spin_unlock_irqrestore } Ensure the QP's reference count is maintained and its validity is checked within the timer callbacks by adding calls to rxe_get(qp) and corresponding rxe_put(qp) after use. Уязвимость компонентов RDMA/rxe ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: don't cache extent during splitting extent Caching extents during the splitting process is risky, as it may result in stale extents remaining in the status tree. Moreover, in most cases, the corresponding extent block entries are likely already cached before the split happens, making caching here not particularly useful. Assume we have an unwritten extent, and then DIO writes the first half. [UUUUUUUUUUUUUUUU] on-disk extent U: unwritten extent [UUUUUUUUUUUUUUUU] extent status tree |<- ->| ----> dio write this range First, when ext4_split_extent_at() splits this extent, it truncates the existing extent and then inserts a new one. During this process, this extent status entry may be shrunk, and calls to ext4_find_extent() and ext4_cache_extents() may occur, which could potentially insert the truncated range as a hole into the extent status tree. After the split is completed, this hole is not replaced with the correct status. [UUUUUUU|UUUUUUUU] on-disk extent U: unwritten extent [UUUUUUU|HHHHHHHH] extent status tree H: hole Then, the outer calling functions will not correct this remaining hole extent either. Finally, if we perform a delayed buffer write on this latter part, it will re-insert the delayed extent and cause an error in space accounting. In adition, if the unwritten extent cache is not shrunk during the splitting, ext4_cache_extents() also conflicts with existing extents when caching extents. In the future, we will add checks when caching extents, which will trigger a warning. Therefore, Do not cache extents that are being split. Уязвимость компонента fs/ext4/extents.c ядра операционной системы Linux связана с неполным распознаванием внутреннего состояния. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: bridge: mcast: always update mdb_n_entries for vlan contexts syzbot triggered a warning[1] about the number of mdb entries in a context. It turned out that there are multiple ways to trigger that warning today (some got added during the years), the root cause of the problem is that the increase is done conditionally, and over the years these different conditions increased so there were new ways to trigger the warning, that is to do a decrease which wasn't paired with a previous increase. For example one way to trigger it is with flush: $ ip l add br0 up type bridge vlan_filtering 1 mcast_snooping 1 $ ip l add dumdum up master br0 type dummy $ bridge mdb add dev br0 port dumdum grp 239.0.0.1 permanent vid 1 $ ip link set dev br0 down $ ip link set dev br0 type bridge mcast_vlan_snooping 1 ^^^^ this will enable snooping, but will not update mdb_n_entries because in __br_multicast_enable_port_ctx() we check !netif_running $ bridge mdb flush dev br0 ^^^ this will trigger the warning because it will delete the pg which we added above, which will try to decrease mdb_n_entries Fix the problem by removing the conditional increase and always keep the count up-to-date while the vlan exists. In order to do that we have to first initialize it on port-vlan context creation, and then always increase or decrease the value regardless of mcast options. To keep the current behaviour we have to enforce the mdb limit only if the context is port's or if the port-vlan's mcast snooping is enabled. [1] ------------[ cut here ]------------ n == 0 WARNING: net/bridge/br_multicast.c:718 at br_multicast_port_ngroups_dec_one net/bridge/br_multicast.c:718 [inline], CPU#0: syz.4.4607/22043 WARNING: net/bridge/br_multicast.c:718 at br_multicast_port_ngroups_dec net/bridge/br_multicast.c:771 [inline], CPU#0: syz.4.4607/22043 WARNING: net/bridge/br_multicast.c:718 at br_multicast_del_pg+0x1bbe/0x1e20 net/bridge/br_multicast.c:825, CPU#0: syz.4.4607/22043 Modules linked in: CPU: 0 UID: 0 PID: 22043 Comm: syz.4.4607 Not tainted syzkaller #0 PREEMPT(full) Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 01/24/2026 RIP: 0010:br_multicast_port_ngroups_dec_one net/bridge/br_multicast.c:718 [inline] RIP: 0010:br_multicast_port_ngroups_dec net/bridge/br_multicast.c:771 [inline] RIP: 0010:br_multicast_del_pg+0x1bbe/0x1e20 net/bridge/br_multicast.c:825 Code: 41 5f 5d e9 04 7a 48 f7 e8 3f 73 5c f7 90 0f 0b 90 e9 cf fd ff ff e8 31 73 5c f7 90 0f 0b 90 e9 16 fd ff ff e8 23 73 5c f7 90 <0f> 0b 90 e9 60 fd ff ff e8 15 73 5c f7 eb 05 e8 0e 73 5c f7 48 8b RSP: 0018:ffffc9000c207220 EFLAGS: 00010293 RAX: ffffffff8a68042d RBX: ffff88807c6f1800 RCX: ffff888066e90000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 RBP: 0000000000000000 R08: ffff888066e90000 R09: 000000000000000c R10: 000000000000000c R11: 0000000000000000 R12: ffff8880303ef800 R13: dffffc0000000000 R14: ffff888050eb11c4 R15: 1ffff1100a1d6238 FS: 00007fa45921b6c0(0000) GS:ffff8881256f5000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fa4591f9ff8 CR3: 0000000081df2000 CR4: 00000000003526f0 Call Trace: <TASK> br_mdb_flush_pgs net/bridge/br_mdb.c:1525 [inline] br_mdb_flush net/bridge/br_mdb.c:1544 [inline] br_mdb_del_bulk+0x5e2/0xb20 net/bridge/br_mdb.c:1561 rtnl_mdb_del+0x48a/0x640 net/core/rtnetlink.c:-1 rtnetlink_rcv_msg+0x77e/0xbe0 net/core/rtnetlink.c:6967 netlink_rcv_skb+0x232/0x4b0 net/netlink/af_netlink.c:2550 netlink_unicast_kernel net/netlink/af_netlink.c:1318 [inline] netlink_unicast+0x80f/0x9b0 net/netlink/af_netlink.c:1344 netlink_sendmsg+0x813/0xb40 net/netlink/af_netlink.c:1894 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg net/socket.c:742 [inline] ____sys_sendmsg+0xa68/0xad0 net/socket.c:2592 ___sys_sendmsg+0x2a5/0x360 net/socke ---truncated--- Уязвимость модуля mcast ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Revert "hwmon: (ibmpex) fix use-after-free in high/low store" This reverts commit 6946c726c3f4c36f0f049e6f97e88c510b15f65d. Jean Delvare points out that the patch does not completely fix the reported problem, that it in fact introduces a (new) race condition, and that it may actually not be needed in the first place. Various AI reviews agree. Specific and relevant AI feedback: " This reordering sets the driver data to NULL before removing the sensor attributes in the loop below. ibmpex_show_sensor() retrieves this driver data via dev_get_drvdata() but does not check if it is NULL before dereferencing it to access data->sensors[]. If a userspace process reads a sensor file (like temp1_input) while this delete function is running, could it race with the dev_set_drvdata(..., NULL) call here and crash in ibmpex_show_sensor()? Would it be safer to keep the original order where device_remove_file() is called before clearing the driver data? device_remove_file() should wait for any active sysfs callbacks to complete, which might already prevent the use-after-free this patch intends to fix. " Revert the offending patch. If it can be shown that the originally reported alleged race condition does indeed exist, it can always be re-introduced with a complete fix. Уязвимость компонента drivers/hwmon/ibmpex.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fat: avoid parent link count underflow in rmdir Corrupted FAT images can leave a directory inode with an incorrect i_nlink (e.g. 2 even though subdirectories exist). rmdir then unconditionally calls drop_nlink(dir) and can drive i_nlink to 0, triggering the WARN_ON in drop_nlink(). Add a sanity check in vfat_rmdir() and msdos_rmdir(): only drop the parent link count when it is at least 3, otherwise report a filesystem error. Уязвимость модуля fat ядра операционной системы Linux связана с целочисленной потерей значимости. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью искажённого FAT изображения [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: sbs-battery: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Keep the old behavior of just printing a warning in case of any failures during the IRQ request and finishing the probe successfully. Уязвимость компонента sbs-battery.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipvs: do not keep dest_dst if dev is going down There is race between the netdev notifier ip_vs_dst_event() and the code that caches dst with dev that is going down. As the FIB can be notified for the closed device after our handler finishes, it is possible valid route to be returned and cached resuling in a leaked dev reference until the dest is not removed. To prevent new dest_dst to be attached to dest just after the handler dropped the old one, add a netif_running() check to make sure the notifier handler is not currently running for device that is closing. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sched/rt: Skip currently executing CPU in rto_next_cpu() CPU0 becomes overloaded when hosting a CPU-bound RT task, a non-CPU-bound RT task, and a CFS task stuck in kernel space. When other CPUs switch from RT to non-RT tasks, RT load balancing (LB) is triggered; with HAVE_RT_PUSH_IPI enabled, they send IPIs to CPU0 to drive the execution of rto_push_irq_work_func. During push_rt_task on CPU0, if next_task->prio < rq->donor->prio, resched_curr() sets NEED_RESCHED and after the push operation completes, CPU0 calls rto_next_cpu(). Since only CPU0 is overloaded in this scenario, rto_next_cpu() should ideally return -1 (no further IPI needed). However, multiple CPUs invoking tell_cpu_to_push() during LB increments rd->rto_loop_next. Even when rd->rto_cpu is set to -1, the mismatch between rd->rto_loop and rd->rto_loop_next forces rto_next_cpu() to restart its search from -1. With CPU0 remaining overloaded (satisfying rt_nr_migratory && rt_nr_total > 1), it gets reselected, causing CPU0 to queue irq_work to itself and send self-IPIs repeatedly. As long as CPU0 stays overloaded and other CPUs run pull_rt_tasks(), it falls into an infinite self-IPI loop, which triggers a CPU hardlockup due to continuous self-interrupts. The trigging scenario is as follows: cpu0 cpu1 cpu2 pull_rt_task tell_cpu_to_push <------------irq_work_queue_on rto_push_irq_work_func push_rt_task resched_curr(rq) pull_rt_task rto_next_cpu tell_cpu_to_push <-------------------------- atomic_inc(rto_loop_next) rd->rto_loop != next rto_next_cpu irq_work_queue_on rto_push_irq_work_func Fix redundant self-IPI by filtering the initiating CPU in rto_next_cpu(). This solution has been verified to effectively eliminate spurious self-IPIs and prevent CPU hardlockup scenarios. Уязвимость функции rto_next_cpu() компонента sched/rt.c ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mtd: parsers: Fix memory leak in mtd_parser_tplink_safeloader_parse() The function mtd_parser_tplink_safeloader_parse() allocates buf via mtd_parser_tplink_safeloader_read_table(). If the allocation for parts[idx].name fails inside the loop, the code jumps to the err_free label without freeing buf, leading to a memory leak. Fix this by freeing the temporary buffer buf in the err_free label. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость компонента tplink_safeloader.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Fix memory leak in GET_DATA_DIRECT_SYSFS_PATH handler The UVERBS_HANDLER(MLX5_IB_METHOD_GET_DATA_DIRECT_SYSFS_PATH) function allocates memory for the device path using kobject_get_path(). If the length of the device path exceeds the output buffer length, the function returns -ENOSPC but does not free the allocated memory, resulting in a memory leak. Add a kfree() call to the error path to ensure the allocated memory is properly freed. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость компонента mlx5/std_types.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: usb: catc: enable basic endpoint checking catc_probe() fills three URBs with hardcoded endpoint pipes without verifying the endpoint descriptors: - usb_sndbulkpipe(usbdev, 1) and usb_rcvbulkpipe(usbdev, 1) for TX/RX - usb_rcvintpipe(usbdev, 2) for interrupt status A malformed USB device can present these endpoints with transfer types that differ from what the driver assumes. Add a catc_usb_ep enum for endpoint numbers, replacing magic constants throughout. Add usb_check_bulk_endpoints() and usb_check_int_endpoints() calls after usb_set_interface() to verify endpoint types before use, rejecting devices with mismatched descriptors at probe time. Similar to - commit 90b7f2961798 ("net: usb: rtl8150: enable basic endpoint checking") which fixed the issue in rtl8150. Уязвимость компонента drivers/net/usb/catc.c ядра операционной системы Linux связана с недостаточной проверкой заданного типа входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: thermal/of: Fix reference leak in thermal_of_cm_lookup() In thermal_of_cm_lookup(), tr_np is obtained via of_parse_phandle(), but never released. Use the __free(device_node) cleanup attribute to automatically release the node and fix the leak. [ rjw: Changelog edits ] Уязвимость компонента thermal_of.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: chips-media: wave5: Fix memory leak on codec_info allocation failure In wave5_vpu_open_enc() and wave5_vpu_open_dec(), a vpu instance is allocated via kzalloc(). If the subsequent allocation for inst->codec_info fails, the functions return -ENOMEM without freeing the previously allocated instance, causing a memory leak. Fix this by calling kfree() on the instance in this error path to ensure it is properly released. Уязвимость компонентов wave5 ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Preserve id of register in sync_linked_regs() sync_linked_regs() copies the id of known_reg to reg when propagating bounds of known_reg to reg using the off of known_reg, but when known_reg was linked to reg like: known_reg = reg ; both known_reg and reg get same id known_reg += 4 ; known_reg gets off = 4, and its id gets BPF_ADD_CONST now when a call to sync_linked_regs() happens, let's say with the following: if known_reg >= 10 goto pc+2 known_reg's new bounds are propagated to reg but now reg gets BPF_ADD_CONST from the copy. This means if another link to reg is created like: another_reg = reg ; another_reg should get the id of reg but assign_scalar_id_before_mov() sees BPF_ADD_CONST on reg and assigns a new id to it. As reg has a new id now, known_reg's link to reg is broken. If we find new bounds for known_reg, they will not be propagated to reg. This can be seen in the selftest added in the next commit: 0: (85) call bpf_get_prandom_u32#7 ; R0=scalar() 1: (57) r0 &= 255 ; R0=scalar(smin=smin32=0,smax=umax=smax32=umax32=255,var_off=(0x0; 0xff)) 2: (bf) r1 = r0 ; R0=scalar(id=1,smin=smin32=0,smax=umax=smax32=umax32=255,var_off=(0x0; 0xff)) R1=scalar(id=1,smin=smin32=0,smax=umax=smax32=umax32=255,var_off=(0x0; 0xff)) 3: (07) r1 += 4 ; R1=scalar(id=1+4,smin=umin=smin32=umin32=4,smax=umax=smax32=umax32=259,var_off=(0x0; 0x1ff)) 4: (a5) if r1 < 0xa goto pc+4 ; R1=scalar(id=1+4,smin=umin=smin32=umin32=10,smax=umax=smax32=umax32=259,var_off=(0x0; 0x1ff)) 5: (bf) r2 = r0 ; R0=scalar(id=2,smin=umin=smin32=umin32=6,smax=umax=smax32=umax32=255) R2=scalar(id=2,smin=umin=smin32=umin32=6,smax=umax=smax32=umax32=255) 6: (a5) if r1 < 0xe goto pc+2 ; R1=scalar(id=1+4,smin=umin=smin32=umin32=14,smax=umax=smax32=umax32=259,var_off=(0x0; 0x1ff)) 7: (35) if r0 >= 0xa goto pc+1 ; R0=scalar(id=2,smin=umin=smin32=umin32=6,smax=umax=smax32=umax32=9,var_off=(0x0; 0xf)) 8: (37) r0 /= 0 div by zero When 4 is verified, r1's bounds are propagated to r0 but r0 also gets BPF_ADD_CONST (bug). When 5 is verified, r0 gets a new id (2) and its link with r1 is broken. After 6 we know r1 has bounds [14, 259] and therefore r0 should have bounds [10, 255], therefore the branch at 7 is always taken. But because r0's id was changed to 2, r1's new bounds are not propagated to r0. The verifier still thinks r0 has bounds [6, 255] before 7 and execution can reach div by zero. Fix this by preserving id in sync_linked_regs() like off and subreg_def. Уязвимость компонента verifier.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Fix slab-out-of-bounds read in DeleteIndexEntryRoot In the 'DeleteIndexEntryRoot' case of the 'do_action' function, the entry size ('esize') is retrieved from the log record without adequate bounds checking. Specifically, the code calculates the end of the entry ('e2') using: e2 = Add2Ptr(e1, esize); It then calculates the size for memmove using 'PtrOffset(e2, ...)', which subtracts the end pointer from the buffer limit. If 'esize' is maliciously large, 'e2' exceeds the used buffer size. This results in a negative offset which, when cast to size_t for memmove, interprets as a massive unsigned integer, leading to a heap buffer overflow. This commit adds a check to ensure that the entry size ('esize') strictly fits within the remaining used space of the index header before performing memory operations. Уязвимость компонента fs/ntfs3/fslog.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: goldfish: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента goldfish_battery.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: pm8916_lbc: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента pm8916_lbc.c ядра операционной системы Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: tpm: tpm_i2c_infineon: Fix locality leak on get_burstcount() failure get_burstcount() can return -EBUSY on timeout. When this happens, the function returns directly without releasing the locality that was acquired at the beginning of tpm_tis_i2c_send(). Use goto out_err to ensure proper cleanup when get_burstcount() fails. Уязвимость компонента tpm_i2c_infineon.c ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: ab8500: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Commit 1c1f13a006ed ("power: supply: ab8500: Move to componentized binding") introduced this issue during a refactorization. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента ab8500_charger.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Fix memory leak in amdgpu_acpi_enumerate_xcc() In amdgpu_acpi_enumerate_xcc(), if amdgpu_acpi_dev_init() returns -ENOMEM, the function returns directly without releasing the allocated xcc_info, resulting in a memory leak. Fix this by ensuring that xcc_info is properly freed in the error paths. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость компонента amdgpu_acpi.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: fix memory leak in ext4_ext_shift_extents() In ext4_ext_shift_extents(), if the extent is NULL in the while loop, the function returns immediately without releasing the path obtained via ext4_find_extent(), leading to a memory leak. Fix this by jumping to the out label to ensure the path is properly released. Уязвимость компонента fs/ext4/extents.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hwrng: core - use RCU and work_struct to fix race condition Currently, hwrng_fill is not cleared until the hwrng_fillfn() thread exits. Since hwrng_unregister() reads hwrng_fill outside the rng_mutex lock, a concurrent hwrng_unregister() may call kthread_stop() again on the same task. Additionally, if hwrng_unregister() is called immediately after hwrng_register(), the stopped thread may have never been executed. Thus, hwrng_fill remains dirty even after hwrng_unregister() returns. In this case, subsequent calls to hwrng_register() will fail to start new threads, and hwrng_unregister() will call kthread_stop() on the same freed task. In both cases, a use-after-free occurs: refcount_t: addition on 0; use-after-free. WARNING: ... at lib/refcount.c:25 refcount_warn_saturate+0xec/0x1c0 Call Trace: kthread_stop+0x181/0x360 hwrng_unregister+0x288/0x380 virtrng_remove+0xe3/0x200 This patch fixes the race by protecting the global hwrng_fill pointer inside the rng_mutex lock, so that hwrng_fillfn() thread is stopped only once, and calls to kthread_run() and kthread_stop() are serialized with the lock held. To avoid deadlock in hwrng_fillfn() while being stopped with the lock held, we convert current_rng to RCU, so that get_current_rng() can read current_rng without holding the lock. To remove the lock from put_rng(), we also delay the actual cleanup into a work_struct. Since get_current_rng() no longer returns ERR_PTR values, the IS_ERR() checks are removed from its callers. With hwrng_fill protected by the rng_mutex lock, hwrng_fillfn() can no longer clear hwrng_fill itself. Therefore, if hwrng_fillfn() returns directly after current_rng is dropped, kthread_stop() would be called on a freed task_struct later. To fix this, hwrng_fillfn() calls schedule() now to keep the task alive until being stopped. The kthread_stop() call is also moved from hwrng_unregister() to drop_current_rng(), ensuring kthread_stop() is called on all possible paths where current_rng becomes NULL, so that the thread would not wait forever. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: crypto: starfive - Fix memory leak in starfive_aes_aead_do_one_req() The starfive_aes_aead_do_one_req() function allocates rctx->adata with kzalloc() but fails to free it if sg_copy_to_buffer() or starfive_aes_hw_init() fails, which lead to memory leaks. Since rctx->adata is unconditionally freed after the write_adata operations, ensure consistent cleanup by freeing the allocation in these earlier error paths as well. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость компонента jh7110-aes.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: fbdev: au1200fb: Fix a memory leak in au1200fb_drv_probe() In au1200fb_drv_probe(), when platform_get_irq fails(), it directly returns from the function with an error code, which causes a memory leak. Replace it with a goto label to ensure proper cleanup. Уязвимость компонента au1200fb.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rcu: Fix rcu_read_unlock() deadloop due to softirq Commit 5f5fa7ea89dc ("rcu: Don't use negative nesting depth in __rcu_read_unlock()") removes the recursion-protection code from __rcu_read_unlock(). Therefore, we could invoke the deadloop in raise_softirq_irqoff() with ftrace enabled as follows: WARNING: CPU: 0 PID: 0 at kernel/trace/trace.c:3021 __ftrace_trace_stack.constprop.0+0x172/0x180 Modules linked in: my_irq_work(O) CPU: 0 UID: 0 PID: 0 Comm: swapper/0 Tainted: G O 6.18.0-rc7-dirty #23 PREEMPT(full) Tainted: [O]=OOT_MODULE Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:__ftrace_trace_stack.constprop.0+0x172/0x180 RSP: 0018:ffffc900000034a8 EFLAGS: 00010002 RAX: 0000000000000000 RBX: 0000000000000004 RCX: 0000000000000000 RDX: 0000000000000003 RSI: ffffffff826d7b87 RDI: ffffffff826e9329 RBP: 0000000000090009 R08: 0000000000000005 R09: ffffffff82afbc4c R10: 0000000000000008 R11: 0000000000011d7a R12: 0000000000000000 R13: ffff888003874100 R14: 0000000000000003 R15: ffff8880038c1054 FS: 0000000000000000(0000) GS:ffff8880fa8ea000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055b31fa7f540 CR3: 00000000078f4005 CR4: 0000000000770ef0 PKRU: 55555554 Call Trace: <IRQ> trace_buffer_unlock_commit_regs+0x6d/0x220 trace_event_buffer_commit+0x5c/0x260 trace_event_raw_event_softirq+0x47/0x80 raise_softirq_irqoff+0x6e/0xa0 rcu_read_unlock_special+0xb1/0x160 unwind_next_frame+0x203/0x9b0 __unwind_start+0x15d/0x1c0 arch_stack_walk+0x62/0xf0 stack_trace_save+0x48/0x70 __ftrace_trace_stack.constprop.0+0x144/0x180 trace_buffer_unlock_commit_regs+0x6d/0x220 trace_event_buffer_commit+0x5c/0x260 trace_event_raw_event_softirq+0x47/0x80 raise_softirq_irqoff+0x6e/0xa0 rcu_read_unlock_special+0xb1/0x160 unwind_next_frame+0x203/0x9b0 __unwind_start+0x15d/0x1c0 arch_stack_walk+0x62/0xf0 stack_trace_save+0x48/0x70 __ftrace_trace_stack.constprop.0+0x144/0x180 trace_buffer_unlock_commit_regs+0x6d/0x220 trace_event_buffer_commit+0x5c/0x260 trace_event_raw_event_softirq+0x47/0x80 raise_softirq_irqoff+0x6e/0xa0 rcu_read_unlock_special+0xb1/0x160 unwind_next_frame+0x203/0x9b0 __unwind_start+0x15d/0x1c0 arch_stack_walk+0x62/0xf0 stack_trace_save+0x48/0x70 __ftrace_trace_stack.constprop.0+0x144/0x180 trace_buffer_unlock_commit_regs+0x6d/0x220 trace_event_buffer_commit+0x5c/0x260 trace_event_raw_event_softirq+0x47/0x80 raise_softirq_irqoff+0x6e/0xa0 rcu_read_unlock_special+0xb1/0x160 __is_insn_slot_addr+0x54/0x70 kernel_text_address+0x48/0xc0 __kernel_text_address+0xd/0x40 unwind_get_return_address+0x1e/0x40 arch_stack_walk+0x9c/0xf0 stack_trace_save+0x48/0x70 __ftrace_trace_stack.constprop.0+0x144/0x180 trace_buffer_unlock_commit_regs+0x6d/0x220 trace_event_buffer_commit+0x5c/0x260 trace_event_raw_event_softirq+0x47/0x80 __raise_softirq_irqoff+0x61/0x80 __flush_smp_call_function_queue+0x115/0x420 __sysvec_call_function_single+0x17/0xb0 sysvec_call_function_single+0x8c/0xc0 </IRQ> Commit b41642c87716 ("rcu: Fix rcu_read_unlock() deadloop due to IRQ work") fixed the infinite loop in rcu_read_unlock_special() for IRQ work by setting a flag before calling irq_work_queue_on(). We fix this issue by setting the same flag before calling raise_softirq_irqoff() and rename the flag to defer_qs_pending for more common. [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: hfsplus: return error when node already exists in hfs_bnode_create When hfs_bnode_create() finds that a node is already hashed (which should not happen in normal operation), it currently returns the existing node without incrementing its reference count. This causes a reference count inconsistency that leads to a kernel panic when the node is later freed in hfs_bnode_put(): kernel BUG at fs/hfsplus/bnode.c:676! BUG_ON(!atomic_read(&node->refcnt)) This scenario can occur when hfs_bmap_alloc() attempts to allocate a node that is already in use (e.g., when node 0's bitmap bit is incorrectly unset), or due to filesystem corruption. Returning an existing node from a create path is not normal operation. Fix this by returning ERR_PTR(-EEXIST) instead of the node when it's already hashed. This properly signals the error condition to callers, which already check for IS_ERR() return values. Уязвимость компонента s/hfsplus/bnode.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ublk: Validate SQE128 flag before accessing the cmd ublk_ctrl_cmd_dump() accesses (header *)sqe->cmd before IO_URING_F_SQE128 flag check. This could cause out of boundary memory access. Move the SQE128 flag check earlier in ublk_ctrl_uring_cmd() to return -EINVAL immediately if the flag is not set. Уязвимость компонента drivers/block/ublk_drv.c ядра операционной системы Linux связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: SUNRPC: fix gss_auth kref leak in gss_alloc_msg error path Commit 5940d1cf9f42 ("SUNRPC: Rebalance a kref in auth_gss.c") added a kref_get(&gss_auth->kref) call to balance the gss_put_auth() done in gss_release_msg(), but forgot to add a corresponding kref_put() on the error path when kstrdup_const() fails. If service_name is non-NULL and kstrdup_const() fails, the function jumps to err_put_pipe_version which calls put_pipe_version() and kfree(gss_msg), but never releases the gss_auth reference. This leads to a kref leak where the gss_auth structure is never freed. Add a forward declaration for gss_free_callback() and call kref_put() in the err_put_pipe_version error path to properly release the reference taken earlier. Уязвимость компонента auth_gss.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix invalid deref of rawdata when export_binary is unset If the export_binary parameter is disabled on runtime, profiles that were loaded before that will still have their rawdata stored in apparmorfs, with a symbolic link to the rawdata on the policy directory. When one of those profiles are replaced, the rawdata is set to NULL, but when trying to resolve the symbolic links to rawdata for that profile, it will try to dereference profile->rawdata->name when profile->rawdata is now NULL causing an oops. Fix it by checking if rawdata is set. [ 168.653080] BUG: kernel NULL pointer dereference, address: 0000000000000088 [ 168.657420] #PF: supervisor read access in kernel mode [ 168.660619] #PF: error_code(0x0000) - not-present page [ 168.663613] PGD 0 P4D 0 [ 168.665450] Oops: Oops: 0000 [#1] SMP NOPTI [ 168.667836] CPU: 1 UID: 0 PID: 1729 Comm: ls Not tainted 6.19.0-rc7+ #3 PREEMPT(voluntary) [ 168.672308] Hardware name: QEMU Ubuntu 24.04 PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 168.679327] RIP: 0010:rawdata_get_link_base.isra.0+0x23/0x330 [ 168.682768] Code: 90 90 90 90 90 90 90 0f 1f 44 00 00 55 48 89 e5 41 57 41 56 41 55 41 54 53 48 83 ec 18 48 89 55 d0 48 85 ff 0f 84 e3 01 00 00 <48> 83 3c 25 88 00 00 00 00 0f 84 d4 01 00 00 49 89 f6 49 89 cc e8 [ 168.689818] RSP: 0018:ffffcdcb8200fb80 EFLAGS: 00010282 [ 168.690871] RAX: ffffffffaee74ec0 RBX: 0000000000000000 RCX: ffffffffb0120158 [ 168.692251] RDX: ffffcdcb8200fbe0 RSI: ffff88c187c9fa80 RDI: ffff88c186c98a80 [ 168.693593] RBP: ffffcdcb8200fbc0 R08: 0000000000000000 R09: 0000000000000000 [ 168.694941] R10: 0000000000000000 R11: 0000000000000000 R12: ffff88c186c98a80 [ 168.696289] R13: 00007fff005aaa20 R14: 0000000000000080 R15: ffff88c188f4fce0 [ 168.697637] FS: 0000790e81c58280(0000) GS:ffff88c20a957000(0000) knlGS:0000000000000000 [ 168.699227] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 168.700349] CR2: 0000000000000088 CR3: 000000012fd3e000 CR4: 0000000000350ef0 [ 168.701696] Call Trace: [ 168.702325] <TASK> [ 168.702995] rawdata_get_link_data+0x1c/0x30 [ 168.704145] vfs_readlink+0xd4/0x160 [ 168.705152] do_readlinkat+0x114/0x180 [ 168.706214] __x64_sys_readlink+0x1e/0x30 [ 168.708653] x64_sys_call+0x1d77/0x26b0 [ 168.709525] do_syscall_64+0x81/0x500 [ 168.710348] ? do_statx+0x72/0xb0 [ 168.711109] ? putname+0x3e/0x80 [ 168.711845] ? __x64_sys_statx+0xb7/0x100 [ 168.712711] ? x64_sys_call+0x10fc/0x26b0 [ 168.713577] ? do_syscall_64+0xbf/0x500 [ 168.714412] ? do_user_addr_fault+0x1d2/0x8d0 [ 168.715404] ? irqentry_exit+0xb2/0x740 [ 168.716359] ? exc_page_fault+0x90/0x1b0 [ 168.717307] entry_SYSCALL_64_after_hwframe+0x76/0x7e Уязвимость модуля apparmor ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: cpuidle: Skip governor when only one idle state is available On certain platforms (PowerNV systems without a power-mgt DT node), cpuidle may register only a single idle state. In cases where that single state is a polling state (state 0), the ladder governor may incorrectly treat state 1 as the first usable state and pass an out-of-bounds index. This can lead to a NULL enter callback being invoked, ultimately resulting in a system crash. [ 13.342636] cpuidle-powernv : Only Snooze is available [ 13.351854] Faulting instruction address: 0x00000000 [ 13.376489] NIP [0000000000000000] 0x0 [ 13.378351] LR [c000000001e01974] cpuidle_enter_state+0x2c4/0x668 Fix this by adding a bail-out in cpuidle_select() that returns state 0 directly when state_count <= 1, bypassing the governor and keeping the tick running. Уязвимость компонента drivers/cpuidle/cpuidle.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: HID: playstation: Add missing check for input_ff_create_memless The ps_gamepad_create() function calls input_ff_create_memless() without verifying its return value, which can lead to incorrect behavior or potential crashes when FF effects are triggered. Add a check for the return value of input_ff_create_memless(). Уязвимость компонента drivers/hid/hid-playstation.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bonding: alb: fix UAF in rlb_arp_recv during bond up/down The ALB RX path may access rx_hashtbl concurrently with bond teardown. During rapid bond up/down cycles, rlb_deinitialize() frees rx_hashtbl while RX handlers are still running, leading to a null pointer dereference detected by KASAN. However, the root cause is that rlb_arp_recv() can still be accessed after setting recv_probe to NULL, which is actually a use-after-free (UAF) issue. That is the reason for using the referenced commit in the Fixes tag. [ 214.174138] Oops: general protection fault, probably for non-canonical address 0xdffffc000000001d: 0000 [#1] SMP KASAN PTI [ 214.186478] KASAN: null-ptr-deref in range [0x00000000000000e8-0x00000000000000ef] [ 214.194933] CPU: 30 UID: 0 PID: 2375 Comm: ping Kdump: loaded Not tainted 6.19.0-rc8+ #2 PREEMPT(voluntary) [ 214.205907] Hardware name: Dell Inc. PowerEdge R730/0WCJNT, BIOS 2.14.0 01/14/2022 [ 214.214357] RIP: 0010:rlb_arp_recv+0x505/0xab0 [bonding] [ 214.220320] Code: 0f 85 2b 05 00 00 48 b8 00 00 00 00 00 fc ff df 40 0f b6 ed 48 c1 e5 06 49 03 ad 78 01 00 00 48 8d 7d 28 48 89 fa 48 c1 ea 03 <0f> b6 04 02 84 c0 74 06 0f 8e 12 05 00 00 80 7d 28 00 0f 84 8c 00 [ 214.241280] RSP: 0018:ffffc900073d8870 EFLAGS: 00010206 [ 214.247116] RAX: dffffc0000000000 RBX: ffff888168556822 RCX: ffff88816855681e [ 214.255082] RDX: 000000000000001d RSI: dffffc0000000000 RDI: 00000000000000e8 [ 214.263048] RBP: 00000000000000c0 R08: 0000000000000002 R09: ffffed11192021c8 [ 214.271013] R10: ffff8888c9010e43 R11: 0000000000000001 R12: 1ffff92000e7b119 [ 214.278978] R13: ffff8888c9010e00 R14: ffff888168556822 R15: ffff888168556810 [ 214.286943] FS: 00007f85d2d9cb80(0000) GS:ffff88886ccb3000(0000) knlGS:0000000000000000 [ 214.295966] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 214.302380] CR2: 00007f0d047b5e34 CR3: 00000008a1c2e002 CR4: 00000000001726f0 [ 214.310347] Call Trace: [ 214.313070] <IRQ> [ 214.315318] ? __pfx_rlb_arp_recv+0x10/0x10 [bonding] [ 214.320975] bond_handle_frame+0x166/0xb60 [bonding] [ 214.326537] ? __pfx_bond_handle_frame+0x10/0x10 [bonding] [ 214.332680] __netif_receive_skb_core.constprop.0+0x576/0x2710 [ 214.339199] ? __pfx_arp_process+0x10/0x10 [ 214.343775] ? sched_balance_find_src_group+0x98/0x630 [ 214.349513] ? __pfx___netif_receive_skb_core.constprop.0+0x10/0x10 [ 214.356513] ? arp_rcv+0x307/0x690 [ 214.360311] ? __pfx_arp_rcv+0x10/0x10 [ 214.364499] ? __lock_acquire+0x58c/0xbd0 [ 214.368975] __netif_receive_skb_one_core+0xae/0x1b0 [ 214.374518] ? __pfx___netif_receive_skb_one_core+0x10/0x10 [ 214.380743] ? lock_acquire+0x10b/0x140 [ 214.385026] process_backlog+0x3f1/0x13a0 [ 214.389502] ? process_backlog+0x3aa/0x13a0 [ 214.394174] __napi_poll.constprop.0+0x9f/0x370 [ 214.399233] net_rx_action+0x8c1/0xe60 [ 214.403423] ? __pfx_net_rx_action+0x10/0x10 [ 214.408193] ? lock_acquire.part.0+0xbd/0x260 [ 214.413058] ? sched_clock_cpu+0x6c/0x540 [ 214.417540] ? mark_held_locks+0x40/0x70 [ 214.421920] handle_softirqs+0x1fd/0x860 [ 214.426302] ? __pfx_handle_softirqs+0x10/0x10 [ 214.431264] ? __neigh_event_send+0x2d6/0xf50 [ 214.436131] do_softirq+0xb1/0xf0 [ 214.439830] </IRQ> The issue is reproducible by repeatedly running ip link set bond0 up/down while receiving ARP messages, where rlb_arp_recv() can race with rlb_deinitialize() and dereference a freed rx_hashtbl entry. Fix this by setting recv_probe to NULL and then calling synchronize_net() to wait for any concurrent RX processing to finish. This ensures that no RX handler can access rx_hashtbl after it is freed in bond_alb_deinitialize(). Уязвимость компонента bond_main.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix potential UAF and double free in smb2_open_file() Zero out @err_iov and @err_buftype before retrying SMB2_open() to prevent an UAF bug if @data != NULL, otherwise a double free. Уязвимость компонента fs/smb/client/smb2file.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Fix UMR hang in LAG error state unload During firmware reset in LAG mode, a race condition causes the driver to hang indefinitely while waiting for UMR completion during device unload. See [1]. In LAG mode the bond device is only registered on the master, so it never sees sys_error events from the slave. During firmware reset this causes UMR waits to hang forever on unload as the slave is dead but the master hasn't entered error state yet, so UMR posts succeed but completions never arrive. Fix this by adding a sys_error notifier that gets registered before MLX5_IB_STAGE_IB_REG and stays alive until after ib_unregister_device(). This ensures error events reach the bond device throughout teardown. [1] Call Trace: __schedule+0x2bd/0x760 schedule+0x37/0xa0 schedule_preempt_disabled+0xa/0x10 __mutex_lock.isra.6+0x2b5/0x4a0 __mlx5_ib_dereg_mr+0x606/0x870 [mlx5_ib] ? __xa_erase+0x4a/0xa0 ? _cond_resched+0x15/0x30 ? wait_for_completion+0x31/0x100 ib_dereg_mr_user+0x48/0xc0 [ib_core] ? rdmacg_uncharge_hierarchy+0xa0/0x100 destroy_hw_idr_uobject+0x20/0x50 [ib_uverbs] uverbs_destroy_uobject+0x37/0x150 [ib_uverbs] __uverbs_cleanup_ufile+0xda/0x140 [ib_uverbs] uverbs_destroy_ufile_hw+0x3a/0xf0 [ib_uverbs] ib_uverbs_remove_one+0xc3/0x140 [ib_uverbs] remove_client_context+0x8b/0xd0 [ib_core] disable_device+0x8c/0x130 [ib_core] __ib_unregister_device+0x10d/0x180 [ib_core] ib_unregister_device+0x21/0x30 [ib_core] __mlx5_ib_remove+0x1e4/0x1f0 [mlx5_ib] auxiliary_bus_remove+0x1e/0x30 device_release_driver_internal+0x103/0x1f0 bus_remove_device+0xf7/0x170 device_del+0x181/0x410 mlx5_rescan_drivers_locked.part.10+0xa9/0x1d0 [mlx5_core] mlx5_disable_lag+0x253/0x260 [mlx5_core] mlx5_lag_disable_change+0x89/0xc0 [mlx5_core] mlx5_eswitch_disable+0x67/0xa0 [mlx5_core] mlx5_unload+0x15/0xd0 [mlx5_core] mlx5_unload_one+0x71/0xc0 [mlx5_core] mlx5_sync_reset_reload_work+0x83/0x100 [mlx5_core] process_one_work+0x1a7/0x360 worker_thread+0x30/0x390 ? create_worker+0x1a0/0x1a0 kthread+0x116/0x130 ? kthread_flush_work_fn+0x10/0x10 ret_from_fork+0x22/0x40 Уязвимость компонента RDMA/mlx5 ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix invalid leaf access in btrfs_quota_enable() if ref key not found If btrfs_search_slot_for_read() returns 1, it means we did not find any key greater than or equals to the key we asked for, meaning we have reached the end of the tree and therefore the path is not valid. If this happens we need to break out of the loop and stop, instead of continuing and accessing an invalid path. Уязвимость компонента fs/btrfs/qgroup.c ядра операционной системы Linux связана с недостатками обработки ошибочных ситуаций. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Fix memory leak in amdgpu_ras_init() When amdgpu_nbio_ras_sw_init() fails in amdgpu_ras_init(), the function returns directly without freeing the allocated con structure, leading to a memory leak. Fix this by jumping to the release_con label to properly clean up the allocated memory before returning the error code. Compile tested only. Issue found using a prototype static analysis tool and code review. Уязвимость компонента amdgpu_ras.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: staging: greybus: lights: avoid NULL deref gb_lights_light_config() stores channel_count before allocating the channels array. If kcalloc() fails, gb_lights_release() iterates the non-zero count and dereferences light->channels, which is NULL. Allocate channels first and only then publish channels_count so the cleanup path can't walk a NULL pointer. Уязвимость компонента greybus/light.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: s390/cio: Fix device lifecycle handling in css_alloc_subchannel() `css_alloc_subchannel()` calls `device_initialize()` before setting up the DMA masks. If `dma_set_coherent_mask()` or `dma_set_mask()` fails, the error path frees the subchannel structure directly, bypassing the device model reference counting. Once `device_initialize()` has been called, the embedded struct device must be released via `put_device()`, allowing the release callback to free the container structure. Fix the error path by dropping the initial device reference with `put_device()` instead of calling `kfree()` directly. This ensures correct device lifetime handling and avoids potential use-after-free or double-free issues. Уязвимость компонента drivers/s390/cio/css.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ACPICA: Fix NULL pointer dereference in acpi_ev_address_space_dispatch() Cover a missed execution path with a new check. Уязвимость компонента acpica/evregion.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfsd: never defer requests during idmap lookup During v4 request compound arg decoding, some ops (e.g. SETATTR) can trigger idmap lookup upcalls. When those upcall responses get delayed beyond the allowed time limit, cache_check() will mark the request for deferral and cause it to be dropped. This prevents nfs4svc_encode_compoundres from being executed, and thus the session slot flag NFSD4_SLOT_INUSE never gets cleared. Subsequent client requests will fail with NFSERR_JUKEBOX, given that the slot will be marked as in-use, making the SEQUENCE op fail. Fix this by making sure that the RQ_USEDEFERRAL flag is always clear during nfs4svc_decode_compoundargs(), since no v4 request should ever be deferred. Уязвимость модуля nfsd ядра операционной системы Linux связана с неосвобождением ресурса после истечения действительного срока его эксплуатирования. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: gfs2: Fix use-after-free in iomap inline data write path The inline data buffer head (dibh) is being released prematurely in gfs2_iomap_begin() via release_metapath() while iomap->inline_data still points to dibh->b_data. This causes a use-after-free when iomap_write_end_inline() later attempts to write to the inline data area. The bug sequence: 1. gfs2_iomap_begin() calls gfs2_meta_inode_buffer() to read inode metadata into dibh 2. Sets iomap->inline_data = dibh->b_data + sizeof(struct gfs2_dinode) 3. Calls release_metapath() which calls brelse(dibh), dropping refcount to 0 4. kswapd reclaims the page (~39ms later in the syzbot report) 5. iomap_write_end_inline() tries to memcpy() to iomap->inline_data 6. KASAN detects use-after-free write to freed memory Fix by storing dibh in iomap->private and incrementing its refcount with get_bh() in gfs2_iomap_begin(). The buffer is then properly released in gfs2_iomap_end() after the inline write completes, ensuring the page stays alive for the entire iomap operation. Note: A C reproducer is not available for this issue. The fix is based on analysis of the KASAN report and code review showing the buffer head is freed before use. [agruenba: Take buffer head reference in gfs2_iomap_begin() to avoid leaks in gfs2_iomap_get() and gfs2_iomap_alloc().] Уязвимость компонента fs/gfs2/bmap.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-826')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: pm8916_lbc: Fix use-after-free for extcon in IRQ handler Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `extcon` handle, means that the `extcon` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `extcon` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `extcon_set_state_sync()` with a freed `extcon` handle. Which usually crashes the system or otherwise silently corrupts the memory... Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `extcon` handle. Уязвимость компонента pm8916_lbc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: clk: qcom: gfx3d: add parent to parent request map After commit d228ece36345 ("clk: divider: remove round_rate() in favor of determine_rate()") determining GFX3D clock rate crashes, because the passed parent map doesn't provide the expected best_parent_hw clock (with the roundd_rate path before the offending commit the best_parent_hw was ignored). Set the field in parent_req in addition to setting it in the req, fixing the crash. clk_hw_round_rate (drivers/clk/clk.c:1764) (P) clk_divider_bestdiv (drivers/clk/clk-divider.c:336) divider_determine_rate (drivers/clk/clk-divider.c:358) clk_alpha_pll_postdiv_determine_rate (drivers/clk/qcom/clk-alpha-pll.c:1275) clk_core_determine_round_nolock (drivers/clk/clk.c:1606) clk_core_round_rate_nolock (drivers/clk/clk.c:1701) __clk_determine_rate (drivers/clk/clk.c:1741) clk_gfx3d_determine_rate (drivers/clk/qcom/clk-rcg2.c:1268) clk_core_determine_round_nolock (drivers/clk/clk.c:1606) clk_core_round_rate_nolock (drivers/clk/clk.c:1701) clk_core_round_rate_nolock (drivers/clk/clk.c:1710) clk_round_rate (drivers/clk/clk.c:1804) dev_pm_opp_set_rate (drivers/opp/core.c:1440 (discriminator 1)) msm_devfreq_target (drivers/gpu/drm/msm/msm_gpu_devfreq.c:51) devfreq_set_target (drivers/devfreq/devfreq.c:360) devfreq_update_target (drivers/devfreq/devfreq.c:426) devfreq_monitor (drivers/devfreq/devfreq.c:458) process_one_work (arch/arm64/include/asm/jump_label.h:36 include/trace/events/workqueue.h:110 kernel/workqueue.c:3284) worker_thread (kernel/workqueue.c:3356 (discriminator 2) kernel/workqueue.c:3443 (discriminator 2)) kthread (kernel/kthread.c:467) ret_from_fork (arch/arm64/kernel/entry.S:861) Уязвимость компонента clk-rcg2.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: octeontx2-af: Fix PF driver crash with kexec kernel booting During a kexec reboot the hardware is not power-cycled, so AF state from the old kernel can persist into the new kernel. When AF and PF drivers are built as modules, the PF driver may probe before AF reinitializes the hardware. The PF driver treats the RVUM block revision as an indication that AF initialization is complete. If this value is left uncleared at shutdown, PF may incorrectly assume AF is ready and access stale hardware state, leading to a crash. Clear the RVUM block revision during AF shutdown to avoid PF mis-detecting AF readiness after kexec. Уязвимость модуля octeontx2-af ядра операционной системы Linux связана с отсутствием инициализации ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: MIPS: Work around LLVM bug when gp is used as global register variable On MIPS, __current_thread_info is defined as global register variable locating in $gp, and is simply assigned with new address during kernel relocation. This however is broken with LLVM, which always restores $gp if it finds $gp is clobbered in any form, including when intentionally through a global register variable. This is against GCC's documentation[1], which requires a callee-saved register used as global register variable not to be restored if it's clobbered. As a result, $gp will continue to point to the unrelocated kernel after the epilog of relocate_kernel(), leading to an early crash in init_idle, [ 0.000000] CPU 0 Unable to handle kernel paging request at virtual address 0000000000000000, epc == ffffffff81afada8, ra == ffffffff81afad90 [ 0.000000] Oops[#1]: [ 0.000000] CPU: 0 UID: 0 PID: 0 Comm: swapper Tainted: G W 6.19.0-rc5-00262-gd3eeb99bbc99-dirty #188 VOLUNTARY [ 0.000000] Tainted: [W]=WARN [ 0.000000] Hardware name: loongson,loongson64v-4core-virtio [ 0.000000] $ 0 : 0000000000000000 0000000000000000 0000000000000001 0000000000000000 [ 0.000000] $ 4 : ffffffff80b80ec0 ffffffff80b53d48 0000000000000000 00000000000f4240 [ 0.000000] $ 8 : 0000000000000100 ffffffff81d82f80 ffffffff81d82f80 0000000000000001 [ 0.000000] $12 : 0000000000000000 ffffffff81776f58 00000000000005da 0000000000000002 [ 0.000000] $16 : ffffffff80b80e40 0000000000000000 ffffffff80b81614 9800000005dfbe80 [ 0.000000] $20 : 00000000540000e0 ffffffff81980000 0000000000000000 ffffffff80f81c80 [ 0.000000] $24 : 0000000000000a26 ffffffff8114fb90 [ 0.000000] $28 : ffffffff80b50000 ffffffff80b53d40 0000000000000000 ffffffff81afad90 [ 0.000000] Hi : 0000000000000000 [ 0.000000] Lo : 0000000000000000 [ 0.000000] epc : ffffffff81afada8 init_idle+0x130/0x270 [ 0.000000] ra : ffffffff81afad90 init_idle+0x118/0x270 [ 0.000000] Status: 540000e2 KX SX UX KERNEL EXL [ 0.000000] Cause : 00000008 (ExcCode 02) [ 0.000000] BadVA : 0000000000000000 [ 0.000000] PrId : 00006305 (ICT Loongson-3) [ 0.000000] Process swapper (pid: 0, threadinfo=(____ptrval____), task=(____ptrval____), tls=0000000000000000) [ 0.000000] Stack : 9800000005dfbf00 ffffffff8178e950 0000000000000000 0000000000000000 [ 0.000000] 0000000000000000 ffffffff81970000 000000000000003f ffffffff810a6528 [ 0.000000] 0000000000000001 9800000005dfbe80 9800000005dfbf00 ffffffff81980000 [ 0.000000] ffffffff810a6450 ffffffff81afb6c0 0000000000000000 ffffffff810a2258 [ 0.000000] ffffffff81d82ec8 ffffffff8198d010 ffffffff81b67e80 ffffffff8197dd98 [ 0.000000] ffffffff81d81c80 ffffffff81930000 0000000000000040 0000000000000000 [ 0.000000] 0000000000000000 0000000000000000 0000000000000000 0000000000000000 [ 0.000000] 0000000000000000 000000000000009e ffffffff9fc01000 0000000000000000 [ 0.000000] 0000000000000000 0000000000000000 0000000000000000 0000000000000000 [ 0.000000] 0000000000000000 ffffffff81ae86dc ffffffff81b3c741 0000000000000002 [ 0.000000] ... [ 0.000000] Call Trace: [ 0.000000] [<ffffffff81afada8>] init_idle+0x130/0x270 [ 0.000000] [<ffffffff81afb6c0>] sched_init+0x5c8/0x6c0 [ 0.000000] [<ffffffff81ae86dc>] start_kernel+0x27c/0x7a8 This bug has been reported to LLVM[2] and affects version from (at least) 18 to 21. Let's work around this by using inline assembly to assign $gp before a fix is widely available. Уязвимость компонента arch/mips/kernel/relocate.c ядра операционной системы Linux связана с смещением указателя за границы выделенной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=7.3) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix block_group_tree dirty_list corruption When the incompat flag EXTENT_TREE_V2 is set, we unconditionally add the block group tree to the switch_commits list before calling switch_commit_roots, as we do for the tree root and the chunk root. However, the block group tree uses normal root dirty tracking and in any transaction that does an allocation and dirties a block group, the block group root will already be linked to a list by the dirty_list field and this use of list_add_tail() is invalid and corrupts the prev/next members of block_group_root->dirty_list. This is apparent on a subsequent list_del on the prev if we enable CONFIG_DEBUG_LIST: [32.1571] ------------[ cut here ]------------ [32.1572] list_del corruption. next->prev should beffff958890202538, but was ffff9588992bd538. (next=ffff958890201538) [32.1575] WARNING: lib/list_debug.c:65 at 0x0, CPU#3: sync/607 [32.1583] CPU: 3 UID: 0 PID: 607 Comm: sync Not tainted 6.18.0 #24PREEMPT(none) [32.1585] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS1.17.0-4.fc41 04/01/2014 [32.1587] RIP: 0010:__list_del_entry_valid_or_report+0x108/0x120 [32.1593] RSP: 0018:ffffaa288287fdd0 EFLAGS: 00010202 [32.1594] RAX: 0000000000000001 RBX: ffff95889326e800 RCX:ffff958890201538 [32.1596] RDX: ffff9588992bd538 RSI: ffff958890202538 RDI:ffffffff82a41e00 [32.1597] RBP: ffff958890202538 R08: ffffffff828fc1e8 R09:00000000ffffefff [32.1599] R10: ffffffff8288c200 R11: ffffffff828e4200 R12:ffff958890201538 [32.1601] R13: ffff95889326e958 R14: ffff958895c24000 R15:ffff958890202538 [32.1603] FS: 00007f0c28eb5740(0000) GS:ffff958af2bd2000(0000)knlGS:0000000000000000 [32.1605] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [32.1607] CR2: 00007f0c28e8a3cc CR3: 0000000109942005 CR4:0000000000370ef0 [32.1609] Call Trace: [32.1610] <TASK> [32.1611] switch_commit_roots+0x82/0x1d0 [btrfs] [32.1615] btrfs_commit_transaction+0x968/0x1550 [btrfs] [32.1618] ? btrfs_attach_transaction_barrier+0x23/0x60 [btrfs] [32.1621] __iterate_supers+0xe8/0x190 [32.1622] ? __pfx_sync_fs_one_sb+0x10/0x10 [32.1623] ksys_sync+0x63/0xb0 [32.1624] __do_sys_sync+0xe/0x20 [32.1625] do_syscall_64+0x73/0x450 [32.1626] entry_SYSCALL_64_after_hwframe+0x76/0x7e [32.1627] RIP: 0033:0x7f0c28d05d2b [32.1632] RSP: 002b:00007ffc9d988048 EFLAGS: 00000246 ORIG_RAX:00000000000000a2 [32.1634] RAX: ffffffffffffffda RBX: 00007ffc9d988228 RCX:00007f0c28d05d2b [32.1636] RDX: 00007f0c28e02301 RSI: 00007ffc9d989b21 RDI:00007f0c28dba90d [32.1637] RBP: 0000000000000001 R08: 0000000000000001 R09:0000000000000000 [32.1639] R10: 0000000000000000 R11: 0000000000000246 R12:000055b96572cb80 [32.1641] R13: 000055b96572b19f R14: 00007f0c28dfa434 R15:000055b96572b034 [32.1643] </TASK> [32.1644] irq event stamp: 0 [32.1644] hardirqs last enabled at (0): [<0000000000000000>] 0x0 [32.1646] hardirqs last disabled at (0): [<ffffffff81298817>]copy_process+0xb37/0x2260 [32.1648] softirqs last enabled at (0): [<ffffffff81298817>]copy_process+0xb37/0x2260 [32.1650] softirqs last disabled at (0): [<0000000000000000>] 0x0 [32.1652] ---[ end trace 0000000000000000 ]--- Furthermore, this list corruption eventually (when we happen to add a new block group) results in getting the switch_commits and dirty_cowonly_roots lists mixed up and attempting to call update_root on the tree root which can't be found in the tree root, resulting in a transaction abort: [87.8269] BTRFS critical (device nvme1n1): unable to find root key (1 0 0) in tree 1 [87.8272] ------------[ cut here ]------------ [87.8274] BTRFS: Transaction aborted (error -117) [87.8275] WARNING: fs/btrfs/root-tree.c:153 at 0x0, CPU#4: sync/703 [87.8285] CPU: 4 UID: 0 PID: 703 Comm: sync Not tainted 6.18.0 #25 PREEMPT(none) [87.8287] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.17.0-4.fc41 0 ---truncated--- Уязвимость компонента fs/btrfs/transaction.c ядра операционной системы Linux связана с неверным обращением с элементами конструкции. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: pstore/ram: fix buffer overflow in persistent_ram_save_old() persistent_ram_save_old() can be called multiple times for the same persistent_ram_zone (e.g., via ramoops_pstore_read -> ramoops_get_next_prz for PSTORE_TYPE_DMESG records). Currently, the function only allocates prz->old_log when it is NULL, but it unconditionally updates prz->old_log_size to the current buffer size and then performs memcpy_fromio() using this new size. If the buffer size has grown since the first allocation (which can happen across different kernel boot cycles), this leads to: 1. A heap buffer overflow (OOB write) in the memcpy_fromio() calls 2. A subsequent OOB read when ramoops_pstore_read() accesses the buffer using the incorrect (larger) old_log_size The KASAN splat would look similar to: BUG: KASAN: slab-out-of-bounds in ramoops_pstore_read+0x... Read of size N at addr ... by task ... The conditions are likely extremely hard to hit: 0. Crash with a ramoops write of less-than-record-max-size bytes. 1. Reboot: ramoops registers, pstore_get_records(0) reads old crash, allocates old_log with size X 2. Crash handler registered, timer started (if pstore_update_ms >= 0) 3. Oops happens (non-fatal, system continues) 4. pstore_dump() writes oops via ramoops_pstore_write() size Y (>X) 5. pstore_new_entry = 1, pstore_timer_kick() called 6. System continues running (not a panic oops) 7. Timer fires after pstore_update_ms milliseconds 8. pstore_timefunc() → schedule_work() → pstore_dowork() → pstore_get_records(1) 9. ramoops_get_next_prz() → persistent_ram_save_old() 10. buffer_size() returns Y, but old_log is X bytes 11. Y > X: memcpy_fromio() overflows heap Requirements: - a prior crash record exists that did not fill the record size (almost impossible since the crash handler writes as much as it can possibly fit into the record, capped by max record size and the kmsg buffer almost always exceeds the max record size) - pstore_update_ms >= 0 (disabled by default) - Non-fatal oops (system survives) Free and reallocate the buffer when the new size differs from the previously allocated size. This ensures old_log always has sufficient space for the data being copied. Уязвимость компонента fs/pstore/ram_core.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: AppArmor: Allow apparmor to handle unaligned dfa tables The dfa tables can originate from kernel or userspace and 8-byte alignment isn't always guaranteed and as such may trigger unaligned memory accesses on various architectures. Resulting in the following [   73.901376] WARNING: CPU: 0 PID: 341 at security/apparmor/match.c:316 aa_dfa_unpack+0x6cc/0x720 [   74.015867] Modules linked in: binfmt_misc evdev flash sg drm drm_panel_orientation_quirks backlight i2c_core configfs nfnetlink autofs4 ext4 crc16 mbcache jbd2 hid_generic usbhid sr_mod hid cdrom sd_mod ata_generic ohci_pci ehci_pci ehci_hcd ohci_hcd pata_ali libata sym53c8xx scsi_transport_spi tg3 scsi_mod usbcore libphy scsi_common mdio_bus usb_common [   74.428977] CPU: 0 UID: 0 PID: 341 Comm: apparmor_parser Not tainted 6.18.0-rc6+ #9 NONE [   74.536543] Call Trace: [   74.568561] [<0000000000434c24>] dump_stack+0x8/0x18 [   74.633757] [<0000000000476438>] __warn+0xd8/0x100 [   74.696664] [<00000000004296d4>] warn_slowpath_fmt+0x34/0x74 [   74.771006] [<00000000008db28c>] aa_dfa_unpack+0x6cc/0x720 [   74.843062] [<00000000008e643c>] unpack_pdb+0xbc/0x7e0 [   74.910545] [<00000000008e7740>] unpack_profile+0xbe0/0x1300 [   74.984888] [<00000000008e82e0>] aa_unpack+0xe0/0x6a0 [   75.051226] [<00000000008e3ec4>] aa_replace_profiles+0x64/0x1160 [   75.130144] [<00000000008d4d90>] policy_update+0xf0/0x280 [   75.201057] [<00000000008d4fc8>] profile_replace+0xa8/0x100 [   75.274258] [<0000000000766bd0>] vfs_write+0x90/0x420 [   75.340594] [<00000000007670cc>] ksys_write+0x4c/0xe0 [   75.406932] [<0000000000767174>] sys_write+0x14/0x40 [   75.472126] [<0000000000406174>] linux_sparc_syscall+0x34/0x44 [   75.548802] ---[ end trace 0000000000000000 ]--- [   75.609503] dfa blob stream 0xfff0000008926b96 not aligned. [   75.682695] Kernel unaligned access at TPC[8db2a8] aa_dfa_unpack+0x6e8/0x720 Work around it by using the get_unaligned_xx() helpers. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dmaengine: fsl-edma: don't explicitly disable clocks in .remove() The clocks in fsl_edma_engine::muxclk are allocated and enabled with devm_clk_get_enabled(), which automatically cleans these resources up, but these clocks are also manually disabled in fsl_edma_remove(). This causes warnings on driver removal for each clock: edma_module already disabled WARNING: CPU: 0 PID: 418 at drivers/clk/clk.c:1200 clk_core_disable+0x198/0x1c8 [...] Call trace: clk_core_disable+0x198/0x1c8 (P) clk_disable+0x34/0x58 fsl_edma_remove+0x74/0xe8 [fsl_edma] [...] ---[ end trace 0000000000000000 ]--- edma_module already unprepared WARNING: CPU: 0 PID: 418 at drivers/clk/clk.c:1059 clk_core_unprepare+0x1f8/0x220 [...] Call trace: clk_core_unprepare+0x1f8/0x220 (P) clk_unprepare+0x34/0x58 fsl_edma_remove+0x7c/0xe8 [fsl_edma] [...] ---[ end trace 0000000000000000 ]--- Fix these warnings by removing the unnecessary fsl_disable_clocks() call in fsl_edma_remove(). Уязвимость компонента drivers/dma/fsl-edma-main.c ядра операционной системы Linux связана с разблокировкой не заблокированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: procfs: fix missing RCU protection when reading real_parent in do_task_stat() When reading /proc/[pid]/stat, do_task_stat() accesses task->real_parent without proper RCU protection, which leads to: cpu 0 cpu 1 ----- ----- do_task_stat var = task->real_parent release_task call_rcu(delayed_put_task_struct) task_tgid_nr_ns(var) rcu_read_lock <--- Too late to protect task->real_parent! task_pid_ptr <--- UAF! rcu_read_unlock This patch uses task_ppid_nr_ns() instead of task_tgid_nr_ns() to add proper RCU protection for accessing task->real_parent. Уязвимость компонента fs/proc/array.c ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: Fix out-of-bound access in fib6_add_rt2node(). syzbot reported out-of-bound read in fib6_add_rt2node(). [0] When IPv6 route is created with RTA_NH_ID, struct fib6_info does not have the trailing struct fib6_nh. The cited commit started to check !iter->fib6_nh->fib_nh_gw_family to ensure that rt6_qualify_for_ecmp() will return false for iter. If iter->nh is not NULL, rt6_qualify_for_ecmp() returns false anyway. Let's check iter->nh before reading iter->fib6_nh and avoid OOB read. [0]: BUG: KASAN: slab-out-of-bounds in fib6_add_rt2node+0x349c/0x3500 net/ipv6/ip6_fib.c:1142 Read of size 1 at addr ffff8880384ba6de by task syz.0.18/5500 CPU: 0 UID: 0 PID: 5500 Comm: syz.0.18 Not tainted syzkaller #0 PREEMPT(full) Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0xe8/0x150 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xba/0x230 mm/kasan/report.c:482 kasan_report+0x117/0x150 mm/kasan/report.c:595 fib6_add_rt2node+0x349c/0x3500 net/ipv6/ip6_fib.c:1142 fib6_add_rt2node_nh net/ipv6/ip6_fib.c:1363 [inline] fib6_add+0x910/0x18c0 net/ipv6/ip6_fib.c:1531 __ip6_ins_rt net/ipv6/route.c:1351 [inline] ip6_route_add+0xde/0x1b0 net/ipv6/route.c:3957 inet6_rtm_newroute+0x268/0x19e0 net/ipv6/route.c:5660 rtnetlink_rcv_msg+0x7d5/0xbe0 net/core/rtnetlink.c:6958 netlink_rcv_skb+0x232/0x4b0 net/netlink/af_netlink.c:2550 netlink_unicast_kernel net/netlink/af_netlink.c:1318 [inline] netlink_unicast+0x80f/0x9b0 net/netlink/af_netlink.c:1344 netlink_sendmsg+0x813/0xb40 net/netlink/af_netlink.c:1894 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg net/socket.c:742 [inline] ____sys_sendmsg+0xa68/0xad0 net/socket.c:2592 ___sys_sendmsg+0x2a5/0x360 net/socket.c:2646 __sys_sendmsg net/socket.c:2678 [inline] __do_sys_sendmsg net/socket.c:2683 [inline] __se_sys_sendmsg net/socket.c:2681 [inline] __x64_sys_sendmsg+0x1bd/0x2a0 net/socket.c:2681 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0xe2/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f9316b9aeb9 Code: ff c3 66 2e 0f 1f 84 00 00 00 00 00 0f 1f 44 00 00 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 e8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007ffd8809b678 EFLAGS: 00000246 ORIG_RAX: 000000000000002e RAX: ffffffffffffffda RBX: 00007f9316e15fa0 RCX: 00007f9316b9aeb9 RDX: 0000000000000000 RSI: 0000200000004380 RDI: 0000000000000003 RBP: 00007f9316c08c1f R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 R13: 00007f9316e15fac R14: 00007f9316e15fa0 R15: 00007f9316e15fa0 </TASK> Allocated by task 5499: kasan_save_stack mm/kasan/common.c:57 [inline] kasan_save_track+0x3e/0x80 mm/kasan/common.c:78 poison_kmalloc_redzone mm/kasan/common.c:398 [inline] __kasan_kmalloc+0x93/0xb0 mm/kasan/common.c:415 kasan_kmalloc include/linux/kasan.h:263 [inline] __do_kmalloc_node mm/slub.c:5657 [inline] __kmalloc_noprof+0x40c/0x7e0 mm/slub.c:5669 kmalloc_noprof include/linux/slab.h:961 [inline] kzalloc_noprof include/linux/slab.h:1094 [inline] fib6_info_alloc+0x30/0xf0 net/ipv6/ip6_fib.c:155 ip6_route_info_create+0x142/0x860 net/ipv6/route.c:3820 ip6_route_add+0x49/0x1b0 net/ipv6/route.c:3949 inet6_rtm_newroute+0x268/0x19e0 net/ipv6/route.c:5660 rtnetlink_rcv_msg+0x7d5/0xbe0 net/core/rtnetlink.c:6958 netlink_rcv_skb+0x232/0x4b0 net/netlink/af_netlink.c:2550 netlink_unicast_kernel net/netlink/af_netlink.c:1318 [inline] netlink_unicast+0x80f/0x9b0 net/netlink/af_netlink.c:1344 netlink_sendmsg+0x813/0xb40 net/netlink/af_netlink.c:1894 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg net/socket.c:742 [inline] ____sys_sendmsg+0xa68/0xad0 net/socket.c:2592 ___sys_s ---truncated--- Уязвимость компонента net/ipv6/ip6_fib.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: spi: wpcm-fiu: Fix potential NULL pointer dereference in wpcm_fiu_probe() platform_get_resource_byname() can return NULL, which would cause a crash when passed the pointer to resource_size(). Move the fiu->memory_size assignment after the error check for devm_ioremap_resource() to prevent the potential NULL pointer dereference. Уязвимость компонента drivers/spi/spi-wpcm-fiu.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ASoC: fsl_xcvr: Revert fix missing lock in fsl_xcvr_mode_put() This reverts commit f51424872760 ("ASoC: fsl_xcvr: fix missing lock in fsl_xcvr_mode_put()"). The original patch attempted to acquire the card->controls_rwsem lock in fsl_xcvr_mode_put(). However, this function is called from the upper ALSA core function snd_ctl_elem_write(), which already holds the write lock on controls_rwsem for the whole put operation. So there is no need to simply hold the lock for fsl_xcvr_activate_ctl() again. Acquiring the read lock while holding the write lock in the same thread results in a deadlock and a hung task, as reported by Alexander Stein. Уязвимость компонента fsl_xcvr.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix out-of-bounds stream encoder index v3 eng_id can be negative and that stream_enc_regs[] can be indexed out of bounds. eng_id is used directly as an index into stream_enc_regs[], which has only 5 entries. When eng_id is 5 (ENGINE_ID_DIGF) or negative, this can access memory past the end of the array. Add a bounds check using ARRAY_SIZE() before using eng_id as an index. The unsigned cast also rejects negative values. This avoids out-of-bounds access. Fixes the below smatch error: dcn*_resource.c: stream_encoder_create() may index stream_enc_regs[eng_id] out of bounds (size 5). drivers/gpu/drm/amd/amdgpu/../display/dc/resource/dcn351/dcn351_resource.c 1246 static struct stream_encoder *dcn35_stream_encoder_create( 1247 enum engine_id eng_id, 1248 struct dc_context *ctx) 1249 { ... 1255 1256 /* Mapping of VPG, AFMT, DME register blocks to DIO block instance */ 1257 if (eng_id <= ENGINE_ID_DIGF) { ENGINE_ID_DIGF is 5. should <= be <? Unrelated but, ugh, why is Smatch saying that "eng_id" can be negative? end_id is type signed long, but there are checks in the caller which prevent it from being negative. 1258 vpg_inst = eng_id; 1259 afmt_inst = eng_id; 1260 } else 1261 return NULL; 1262 ... 1281 1282 dcn35_dio_stream_encoder_construct(enc1, ctx, ctx->dc_bios, 1283 eng_id, vpg, afmt, --> 1284 &stream_enc_regs[eng_id], ^^^^^^^^^^^^^^^^^^^^^^^ This stream_enc_regs[] array has 5 elements so we are one element beyond the end of the array. ... 1287 return &enc1->base; 1288 } v2: use explicit bounds check as suggested by Roman/Dan; avoid unsigned int cast v3: The compiler already knows how to compare the two values, so the cast (int) is not needed. (Roman) Уязвимость компонентов drm/amd/display ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Fix WQ_MEM_RECLAIM warning When sunrpc is used, if a reset triggered, our wq may lead the following trace: workqueue: WQ_MEM_RECLAIM xprtiod:xprt_rdma_connect_worker [rpcrdma] is flushing !WQ_MEM_RECLAIM hns_roce_irq_workq:flush_work_handle [hns_roce_hw_v2] WARNING: CPU: 0 PID: 8250 at kernel/workqueue.c:2644 check_flush_dependency+0xe0/0x144 Call trace: check_flush_dependency+0xe0/0x144 start_flush_work.constprop.0+0x1d0/0x2f0 __flush_work.isra.0+0x40/0xb0 flush_work+0x14/0x30 hns_roce_v2_destroy_qp+0xac/0x1e0 [hns_roce_hw_v2] ib_destroy_qp_user+0x9c/0x2b4 rdma_destroy_qp+0x34/0xb0 rpcrdma_ep_destroy+0x28/0xcc [rpcrdma] rpcrdma_ep_put+0x74/0xb4 [rpcrdma] rpcrdma_xprt_disconnect+0x1d8/0x260 [rpcrdma] xprt_rdma_connect_worker+0xc0/0x120 [rpcrdma] process_one_work+0x1cc/0x4d0 worker_thread+0x154/0x414 kthread+0x104/0x144 ret_from_fork+0x10/0x18 Since QP destruction frees memory, this wq should have the WQ_MEM_RECLAIM. Уязвимость компонента hns_roce_hw_v2.c ядра операционной системы Linux связана с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: inet: RAW sockets using IPPROTO_RAW MUST drop incoming ICMP Yizhou Zhao reported that simply having one RAW socket on protocol IPPROTO_RAW (255) was dangerous. socket(AF_INET, SOCK_RAW, 255); A malicious incoming ICMP packet can set the protocol field to 255 and match this socket, leading to FNHE cache changes. inner = IP(src="192.168.2.1", dst="8.8.8.8", proto=255)/Raw("TEST") pkt = IP(src="192.168.1.1", dst="192.168.2.1")/ICMP(type=3, code=4, nexthopmtu=576)/inner "man 7 raw" states: A protocol of IPPROTO_RAW implies enabled IP_HDRINCL and is able to send any IP protocol that is specified in the passed header. Receiving of all IP protocols via IPPROTO_RAW is not possible using raw sockets. Make sure we drop these malicious packets. [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfc: hci: shdlc: Stop timers and work before freeing context llc_shdlc_deinit() purges SHDLC skb queues and frees the llc_shdlc structure while its timers and state machine work may still be active. Timer callbacks can schedule sm_work, and sm_work accesses SHDLC state and the skb queues. If teardown happens in parallel with a queued/running work item, it can lead to UAF and other shutdown races. Stop all SHDLC timers and cancel sm_work synchronously before purging the queues and freeing the context. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента hci/llc_shdlc.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: power: supply: rt9455: Fix use-after-free in power_supply_changed() Using the `devm_` variant for requesting IRQ _before_ the `devm_` variant for allocating/registering the `power_supply` handle, means that the `power_supply` handle will be deallocated/unregistered _before_ the interrupt handler (since `devm_` naturally deallocates in reverse allocation order). This means that during removal, there is a race condition where an interrupt can fire just _after_ the `power_supply` handle has been freed, *but* just _before_ the corresponding unregistration of the IRQ handler has run. This will lead to the IRQ handler calling `power_supply_changed()` with a freed `power_supply` handle. Which usually crashes the system or otherwise silently corrupts the memory... Note that there is a similar situation which can also happen during `probe()`; the possibility of an interrupt firing _before_ registering the `power_supply` handle. This would then lead to the nasty situation of using the `power_supply` handle *uninitialized* in `power_supply_changed()`. Fix this racy use-after-free by making sure the IRQ is requested _after_ the registration of the `power_supply` handle. Уязвимость компонента rt9455_charger.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: gro: don't merge zcopy skbs skb_gro_receive() can currently copy frags between the source and GRO skb, without checking the zerocopy status, and in particular the SKBFL_MANAGED_FRAG_REFS flag. When SKBFL_MANAGED_FRAG_REFS is set, the skb doesn't hold a reference on the pages in shinfo->frags. Appending those frags to another skb's frags without fixing up the page refcount can lead to UAF. When either the last skb in the GRO chain (the one we would append frags to) or the source skb is zerocopy, don't merge the skbs. Уязвимость компонента net/core/gro.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-123')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) 1. Для устранения угрозы эксплуатации уязвимости CVE-2026-46323 (GRO Frag) в качестве временной меры до установки исправленного ядра нужно ограничить вектор атаки через sysctl, для этого выполните команду:   ``` sudo sysctl -w kernel.io_uring_disabled=2 ``` Данная команда мгновенно установит запрет для всех пользователей, включая привилегированные процессы. 2. В качестве постоянной меры до установки исправленного ядра нужно настроить постоянное отключение через файл: ``` echo "kernel.io_uring_disabled=2" | sudo tee /etc/sysctl.d/99-io-uring-disable.conf ``` 3. Примените и настройте автоматическую загрузку: ``` sudo sysctl -p /etc/sysctl.d/99-io-uring-disable.conf ``` 4. Перезагрузите систему: ``` sudo reboot ``` 5. После перезагрузки выполните команду проверки. Параметр 2 должен подтвердить, что настройка активна: ``` sudo sysctl kernel.io_uring_disabled ``` Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iio: pressure: mprls0025pa: fix spi_transfer struct initialisation Make sure that the spi_transfer struct is zeroed out before use. Уязвимость компонента mprls0025pa_spi.c ядра операционной системы Linux связана с отсутствием инициализации ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: dm: fix unlocked test for dm_suspended_md The function dm_blk_report_zones tests if the device is suspended with the "dm_suspended_md" call. However, this function is called without holding any locks, so the device may be suspended just after it. Move the call to dm_suspended_md after dm_get_live_table, so that the device can't be suspended after the suspended state was tested. Уязвимость компонента drivers/md/dm-zone.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: apparmor: fix rlimit for posix cpu timers Posix cpu timers requires an additional step beyond setting the rlimit. Refactor the code so its clear when what code is setting the limit and conditionally update the posix cpu timers when appropriate. Уязвимость компонента apparmor/resource.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:H', score=7.3) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: erofs: handle end of filesystem properly for file-backed mounts I/O requests beyond the end of the filesystem should be zeroed out, similar to loopback devices and that is what we expect. Уязвимость компонента fs/erofs/fileio.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 chromium Heap buffer overflow in WebAudio in Google Chrome prior to 146.0.7680.165 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in CSS in Google Chrome prior to 146.0.7680.165 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CSS браузера Google Chrome связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebGL in Google Chrome prior to 146.0.7680.165 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebGL браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 146.0.7680.165 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn браузера Google Chrome связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти защитный механизм песочницы с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebAudio in Google Chrome prior to 146.0.7680.165 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio браузера Google Chrome связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebGPU in Google Chrome prior to 146.0.7680.165 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebGPU браузера Google Chrome связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Fonts in Google Chrome prior to 146.0.7680.165 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Fonts браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in FedCM in Google Chrome prior to 146.0.7680.165 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента FedCM браузера Google Chrome связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Race condition, use-after-free in the Graphics: WebRender component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента WebRender браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-364')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Graphics: Canvas2D component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Canvas2D браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Graphics: Canvas2D component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Canvas2D браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Sandbox escape due to incorrect boundary conditions in the Telemetry component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Telemetry браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-501')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H', score=8.6) Astra Linux 1.8 firefox, thunderbird Sandbox escape due to use-after-free in the Disability Access APIs component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента APIs веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) Astra Linux 1.8 firefox, thunderbird Sandbox escape due to incorrect boundary conditions, integer overflow in the XPCOM component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента XPCOM веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) Astra Linux 1.8 firefox, thunderbird Sandbox escape due to incorrect boundary conditions, integer overflow in the XPCOM component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента XPCOM браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H', score=8.6) Astra Linux 1.8 firefox, thunderbird Use-after-free in the CSS Parsing and Computation component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Sandbox escape in the Responsive Design Mode component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Responsive Design Mode веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с недостаточным пространственным разделением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-653')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Audio/Video: Playback component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Audio/Video: Playback браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-823')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions, integer overflow in the Graphics component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Graphics браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Audio/Video: Web Codecs component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Audio/Video: Web Codecs браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Use-after-free in the Layout: Text and Fonts component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Layout: Text and Fonts браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Audio/Video: Web Codecs component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Audio/Video: Web Codecs браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird JIT miscompilation in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента JavaScript Engine браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-733')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Layout: Text and Fonts component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Layout: Text and Fonts браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Mitigation bypass in the Networking: HTTP component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Networking: HTTP браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с обходом процедуры аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности [NistCWE(cwe='CWE-288'), NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Use-after-free in the JavaScript Engine component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента JavaScript Engine браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird JIT miscompilation in the JavaScript Engine component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента JavaScript Engine браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Denial-of-service in the WebRTC: Signaling component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента WebRTC: Signaling браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Undefined behavior in the WebRTC: Signaling component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента WebRTC: Signaling браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с зависимостью от неопределенного для каждого типа реализации поведения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-758')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Graphics: Canvas2D component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Graphics: Canvas2D браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с некорректной обработкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Graphics: Canvas2D component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Graphics: Canvas2D браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с некорректной обработкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Graphics component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Graphics браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Audio/Video: GMP component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Audio/Video: GMP браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Audio/Video component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Audio/Video браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Graphics component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Graphics браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связанная с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Audio/Video component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Audio/Video браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Uninitialized memory in the Graphics: Canvas2D component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Graphics: Canvas2D браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions, uninitialized memory in the JavaScript Engine component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента JavaScript Engine браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) Astra Linux 1.8 firefox, thunderbird Privilege escalation in the Netmonitor component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Netmonitor браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Undefined behavior in the WebRTC: Signaling component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента WebRTC: Signaling браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с зависимостью от неопределенного для каждого типа реализации поведения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность и целостность защищаемой информации [NistCWE(cwe='CWE-758')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions in the Graphics: Text component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость компонента Graphics:Text браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с некорректной обработкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 140.8, Thunderbird ESR 140.8, Firefox 148 and Thunderbird 148. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird ESR 140.8, Firefox 148 and Thunderbird 148. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox Privilege escalation in the IPC component. This vulnerability was fixed in Firefox 149 and Thunderbird 149. Уязвимость компонента IPC веб-браузера Firefox, почтового клиента Thunderbird связана с ошибками переключения контекста привилегий. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the JavaScript Engine component. This vulnerability was fixed in Firefox 149 and Thunderbird 149. Уязвимость компонента JavaScript Engine component веб-браузера Firefox, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Undefined behavior in the Audio/Video component. This vulnerability was fixed in Firefox 149 and Thunderbird 149. Уязвимость компонента Audio/Video веб-браузера Firefox, почтового клиента Thunderbird связана с зависимостью от неопределенного для каждого типа реализации поведения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и оказать влияние на их целостность [NistCWE(cwe='CWE-758')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Sandbox escape due to use-after-free in the Graphics: Canvas2D component. This vulnerability was fixed in Firefox 149 and Thunderbird 149. Уязвимость компонента Graphics веб-браузера Firefox связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Denial-of-service in the XML component. This vulnerability was fixed in Firefox 149 and Thunderbird 149. Уязвимость компонента XML веб-браузера Firefox связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Denial-of-service in the Libraries component in NSS. This vulnerability was fixed in Firefox 149 and Thunderbird 149. Уязвимость веб-браузера Firefox связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Spoofing issue in the Privacy: Anti-Tracking component. This vulnerability was fixed in Firefox 149 and Thunderbird 149. Уязвимость веб-браузера Firefox связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 148 and Thunderbird 148. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 149 and Thunderbird 149. Уязвимость веб-браузера Firefox связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 tiff A flaw was found in the libtiff library. A remote attacker could exploit a signed integer overflow vulnerability in the putcontig8bitYCbCr44tile function by providing a specially crafted TIFF file. This flaw can lead to an out-of-bounds heap write due to incorrect memory pointer calculations, potentially causing a denial of service (application crash) or arbitrary code execution. Уязвимость функции DECLAREContigPutFunc() библиотеки LibTIFF связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного TIFF файла [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) tiff: - При использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - Обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - По возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 libcap2 A flaw was found in libcap. A local unprivileged user can exploit a Time-of-check-to-time-of-use (TOCTOU) race condition in the `cap_set_file()` function. This allows an attacker with write access to a parent directory to redirect file capability updates to an attacker-controlled file. By doing so, capabilities can be injected into or stripped from unintended executables, leading to privilege escalation. Уязвимость функции cap_set_file() библиотеки POSIX 1003.1e Libcap2 связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367'), NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H', score=6.7) Astra Linux 1.8 firewalld A flaw was found in firewalld. A local unprivileged user can exploit this vulnerability by mis-authorizing two runtime D-Bus (Desktop Bus) setters, setZoneSettings2 and setPolicySettings. This mis-authorization allows the user to modify the runtime firewall state without proper authentication, leading to unauthorized changes in network security configurations. Уязвимость программы для настройки межсетевого экрана Firewalld связана с неправильным разрешением на исполнение. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-279')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N', score=5.5) Astra Linux 1.8 gdk-pixbuf A flaw was found in the gdk-pixbuf library. This heap-based buffer overflow vulnerability occurs in the JPEG image loader due to improper validation of color component counts when processing a specially crafted JPEG image. A remote attacker can exploit this flaw without user interaction, for example, via thumbnail generation. Successful exploitation leads to application crashes and denial of service (DoS) conditions. Уязвимость библиотеки загрузки изображений GdkPixbuf связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного JPEG изображения [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Избегать открытия или обработки ненадежных файлов изображений JPEG - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с изображениями, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать приложения, использующие gdk-pixbuf, на низком уровне целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить права редактирования конфигурационных файлов gdk-pixbuf исключительно группе root. - Выполнять регламентный контроль целостности критических компонентов gdk-pixbuf в рамках замкнутой программной среды. Astra Linux 1.8 chromium Heap buffer overflow in GPU in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in CSS in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CSS веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Codecs in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to perform arbitrary read/write via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Codecs веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in WebUSB in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebUSB веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Object corruption in V8 in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebCodecs in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebCodecs веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 146.0.7680.178 allowed a remote attacker who had compromised the renderer process to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in WebCodecs in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebCodecs веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in ANGLE in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-285')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 146.0.7680.178 allowed a remote attacker who had compromised the renderer process to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebGL in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebGL веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDF in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: High) Уязвимость компонента PDF веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Navigation in Google Chrome prior to 146.0.7680.178 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость функции Navigation веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Compositing in Google Chrome prior to 146.0.7680.178 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Compositing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebGL in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebGL веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in WebCodecs in Google Chrome prior to 146.0.7680.178 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebCodecs веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Revert "wireguard: device: enable threaded NAPI" This reverts commit 933466fc50a8e4eb167acbd0d8ec96a078462e9c which is commit db9ae3b6b43c79b1ba87eea849fd65efa05b4b2e upstream. We have had three independent production user reports in combination with Cilium utilizing WireGuard as encryption underneath that k8s Pod E/W traffic to certain peer nodes fully stalled. The situation appears as follows: - Occurs very rarely but at random times under heavy networking load. - Once the issue triggers the decryption side stops working completely for that WireGuard peer, other peers keep working fine. The stall happens also for newly initiated connections towards that particular WireGuard peer. - Only the decryption side is affected, never the encryption side. - Once it triggers, it never recovers and remains in this state, the CPU/mem on that node looks normal, no leak, busy loop or crash. - bpftrace on the affected system shows that wg_prev_queue_enqueue fails, thus the MAX_QUEUED_PACKETS (1024 skbs!) for the peer's rx_queue is reached. - Also, bpftrace shows that wg_packet_rx_poll for that peer is never called again after reaching this state for that peer. For other peers wg_packet_rx_poll does get called normally. - Commit db9ae3b ("wireguard: device: enable threaded NAPI") switched WireGuard to threaded NAPI by default. The default has not been changed for triggering the issue, neither did CPU hotplugging occur (i.e. 5bd8de2 ("wireguard: queueing: always return valid online CPU in wg_cpumask_choose_online()")). - The issue has been observed with stable kernels of v5.15 as well as v6.1. It was reported to us that v5.10 stable is working fine, and no report on v6.6 stable either (somewhat related discussion in [0] though). - In the WireGuard driver the only material difference between v5.10 stable and v5.15 stable is the switch to threaded NAPI by default. [0] https://lore.kernel.org/netdev/CA+wXwBTT74RErDGAnj98PqS=wvdh8eM1pi4q6tTdExtjnokKqA@mail.gmail.com/ Breakdown of the problem: 1) skbs arriving for decryption are enqueued to the peer->rx_queue in wg_packet_consume_data via wg_queue_enqueue_per_device_and_peer. 2) The latter only moves the skb into the MPSC peer queue if it does not surpass MAX_QUEUED_PACKETS (1024) which is kept track in an atomic counter via wg_prev_queue_enqueue. 3) In case enqueueing was successful, the skb is also queued up in the device queue, round-robin picks a next online CPU, and schedules the decryption worker. 4) The wg_packet_decrypt_worker, once scheduled, picks these up from the queue, decrypts the packets and once done calls into wg_queue_enqueue_per_peer_rx. 5) The latter updates the state to PACKET_STATE_CRYPTED on success and calls napi_schedule on the per peer->napi instance. 6) NAPI then polls via wg_packet_rx_poll. wg_prev_queue_peek checks on the peer->rx_queue. It will wg_prev_queue_dequeue if the queue->peeked skb was not cached yet, or just return the latter otherwise. (wg_prev_queue_drop_peeked later clears the cache.) 7) From an ordering perspective, the peer->rx_queue has skbs in order while the device queue with the per-CPU worker threads from a global ordering PoV can finish the decryption and signal the skb PACKET_STATE_CRYPTED out of order. 8) A situation can be observed that the first packet coming in will be stuck waiting for the decryption worker to be scheduled for a longer time when the system is under pressure. 9) While this is the case, the other CPUs in the meantime finish decryption and call into napi_schedule. 10) Now in wg_packet_rx_poll it picks up the first in-order skb from the peer->rx_queue and sees that its state is still PACKET_STATE_UNCRYPTED. The NAPI poll routine then exits e ---truncated--- Уязвимость компонента drivers/net/wireguard/device.c ядра операционной системы Linux связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 freerdp3 FreeRDP before 3.22.0 contains a use-after-free vulnerability in dvcman_channel_close and dvcman_call_on_receive due to improper synchronization of channel_callback access. A malicious RDP server can trigger a race condition by sending DYNVC_DATA and DYNVC_CLOSE messages concurrently, causing heap-use-after-free in the drdynvc client thread and potentially enabling remote code execution or denial of service. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:H', score=7.0) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 115.34.0, Firefox ESR 140.9.0, Thunderbird ESR 140.9.0, Firefox 149.0.1 and Thunderbird 149.0.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 149.0.2, Firefox ESR 115.34.1, Firefox ESR 140.9.1, Thunderbird 149.0.2, and Thunderbird 140.9.1. Уязвимость браузеров Firefox, Firefox ESR и почтовых клиентов Thunderbird, Thunderbird ESR связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Incorrect boundary conditions, integer overflow in the Graphics: Text component. This vulnerability was fixed in Firefox 149.0.2, Firefox ESR 140.9.1, Thunderbird 149.0.2, and Thunderbird 140.9.1. Уязвимость компонента Graphics: Text браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Incorrect boundary conditions in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 149.0.2 and Thunderbird 149.0.2. Уязвимость компонента WebGPU браузера Mozilla Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox ESR 140.9.0, Thunderbird ESR 140.9.0, Firefox 149.0.1 and Thunderbird 149.0.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 149.0.2, Firefox ESR 140.9.1, Thunderbird 149.0.2, and Thunderbird 140.9.1. Уязвимость браузеров Firefox, Firefox ESR и почтовых клиентов Thunderbird, Thunderbird ESR связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox Memory safety bugs present in Firefox 149.0.1 and Thunderbird 149.0.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 149.0.2 and Thunderbird 149.0.2. Уязвимость браузера Mozilla Firefox и почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebML in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента WebML браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in WebML in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента WebML браузера Google Chrome связана с внешним контролем за предположительно неизменяемым веб-параметром. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость реализации технологии WebRTC браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с недостатками разграничения доступа изолированной среды. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с недостатками разграничения доступа изолированной среды. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebAudio in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть конфиденциальную информацию [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с ошибками смешения типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebML in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebML браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebML in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebML браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть конфиденциальную информацию с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Skia in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость графической библиотеки Skia браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Blink in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Blink веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in V8 in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PrivateAI in Google Chrome prior to 147.0.7727.55 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PrivateAI Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти защитный механизм песочницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in Blink in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость модуля отображения Blink браузера Google Chrome связана с обходом авторизации посредством ключа, контролируемого пользователем. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить подмену пользовательского интерфейса [NistCWE(cwe='CWE-639')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Navigation in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость функции Navigation браузера Google Chrome связана с некорректной защитой физических сторонних каналов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-1300'), NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Navigation in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Blink in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Blink веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in browser UI in Google Chrome prior to 147.0.7727.55 allowed a remote attacker who had compromised the renderer process to spoof the contents of the Omnibox (URL bar) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость пользовательского интерфейса UI веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in LocalNetworkAccess in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Fullscreen in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Media in Google Chrome prior to 147.0.7727.55 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in WebCodecs in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Cryptographic Flaw in PDFium in Google Chrome prior to 147.0.7727.55 allowed an attacker to read potentially sensitive information from encrypted PDFs via a brute-force attack. (Chromium security severity: Medium) Уязвимость компонента PDFium веб-браузера Google Chrome связана с слабым шифрованием. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-326')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in WebCodecs in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebCodecs веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in browser UI in Google Chrome prior to 147.0.7727.55 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in PWAs in Google Chrome prior to 147.0.7727.55 allowed a remote attacker who had compromised the renderer process to install a PWA without user consent via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PWAs браузера Google Chrome связана с ошибками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, установить произвольные PWA-приложения [NistCWE(cwe='CWE-1268')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:H/A:H', score=6.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in V8 in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N', score=6.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in PDF in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-358')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in Audio in Google Chrome prior to 147.0.7727.55 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass sandbox download restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Audio веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Downloads in Google Chrome prior to 147.0.7727.55 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in History Navigation in Google Chrome prior to 147.0.7727.55 allowed a remote attacker who convinced a user to engage in specific UI gestures to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Low) Уязвимость элемента панели управления History браузера Google Chrome связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in Downloads in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to bypass of multi-download protections via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Downloads (Загрузки) браузера Google Chrome связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 147.0.7727.55 allowed an attacker who convinced a user to install a malicious extension to bypass enterprise host restrictions for cookie modification via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость набора инструментов для веб-разработки DevTools браузера Google Chrome связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности путем загрузки вредоносного расширения [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in IFrameSandbox in Google Chrome prior to 147.0.7727.55 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента iFrameSandbox браузера Google Chrome связана с нарушением механизма защиты данных.. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in Media in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to perform an out of bounds memory read via a crafted video file. (Chromium security severity: Low) Уязвимость компонента Media браузера Google Chrome связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного видеофайла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Media in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to potentially exploit heap corruption via a crafted video file. (Chromium security severity: Low) Уязвимость компонента Media браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного видеофайла [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Media in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to potentially exploit heap corruption via a crafted video file. (Chromium security severity: Low) Уязвимость компонента Media браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного видеофайла [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Media in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to potentially exploit heap corruption via a crafted video file. (Chromium security severity: Low) Уязвимость компонента Media браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного видеофайла [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in ServiceWorkers in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента ServiceWorkers браузера Google Chrome связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in WebRTC in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: Low) Уязвимость технологии WebRTC браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной веб-страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Blink in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Low) Уязвимость модуля отображения Blink браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной веб-страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in CSS in Google Chrome prior to 147.0.7727.55 allowed an attacker who convinced a user to install a malicious extension to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента CSS браузера Google Chrome связана с ошибками смешения типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем загрузки специально созданнго расширения [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebML in Google Chrome prior to 147.0.7727.55 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebML браузера Google Chrome связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной веб-страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Navigation in Google Chrome prior to 147.0.7727.55 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость функции Navigation браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebSockets in Google Chrome prior to 147.0.7727.55 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebSockets браузера Google Chrome связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 sssd A flaw was found in the System Security Services Daemon (SSSD). The pam_passkey_child_read_data() function within the PAM passkey responder fails to properly handle raw bytes received from a pipe. Because the data is treated as a NUL-terminated C string without explicit termination, it results in an out-of-bounds read when processed by functions like snprintf(). A local attacker could potentially trigger this vulnerability by initiating a crafted passkey authentication request, causing the SSSD PAM responder to crash, resulting in a local Denial of Service (DoS). Уязвимость функции pam_passkey_child_read_data() компонента src/responder/pam/pamsrv_passkey.c сервиса управления доступом к удаленным каталогам и механизма аутентификации SSSD связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-805')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) sssd: - Запускайте SSSD с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам SSSD так, чтобы их могли изменять только администраторы системы. - Убедитесь, что все соединения с серверами аутентификации (например, LDAP) зашифрованы с использованием TLS/SSL. - Настройте SSSD для работы только с надежными и проверенными источниками аутентификации. - Если возможно, настройте MFA для дополнительного уровня безопасности. - Отказаться от использования ПО sssd в пользу ПО samba Astra Linux 1.8 chromium Heap buffer overflow in ANGLE in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость библиотеки ANGLE браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти защитный механизм песочницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Proxy in Google Chrome prior to 147.0.7727.101 allowed an attacker in a privileged network position to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Proxy браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти защитный механизм песочницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Skia in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Critical) Уязвимость графической библиотеки Skia браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Prerender in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Prerender браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in CSS in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CSS браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in Turbofan in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость JIT-компилятора Turbofan браузера Google Chrome связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Video in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Video браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Codecs in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Codecs браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Graphite in Google Chrome prior to 147.0.7727.101 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Graphite браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти защитный механизм песочницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in PDFium in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: High) Уязвимость компонента PDFium браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in PDFium in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: High) Уязвимость компонента PDFium браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in Turbofan in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость JIT-компилятора Turbofan браузера Google Chrome связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Media in Google Chrome prior to 147.0.7727.101 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media браузера Google Chrome связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Viz in Google Chrome prior to 147.0.7727.101 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость библиотеки Viz (Visuals) браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти защитный механизм песочницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 147.0.7727.101 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти защитный механизм песочницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Passwords in Google Chrome prior to 147.0.7727.101 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с использованием недоверенного файла междоменной политики. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in CORS in Google Chrome prior to 147.0.7727.101 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in GPU in Google Chrome prior to 147.0.7727.101 allowed a remote attacker who had compromised the GPU process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость графического процессора браузера Google Chrome связана с записью за пределами границ памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти защитный механизм песочницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Forms in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Forms браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Cast in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Cast браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Codecs in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Codecs браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in FileSystem in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to potentially exploit object corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость интерфейса FileSystem API браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Codecs in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to potentially perform out of bounds memory access via a crafted video file. (Chromium security severity: High) Уязвимость компонента Codecs браузера Google Chrome связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Skia in Google Chrome prior to 147.0.7727.101 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted file. (Chromium security severity: Medium) Уязвимость графической библиотеки Skia браузера Google Chrome связана с чтением за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 binutils A flaw was found in binutils. A heap-buffer-overflow vulnerability exists when processing a specially crafted XCOFF (Extended Common Object File Format) object file during linking. A local attacker could trick a user into processing this malicious file, which could lead to arbitrary code execution, allowing the attacker to run unauthorized commands, or cause a denial of service, making the system unavailable. Уязвимость программного средства разработки GNU Binutils связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) binutils: - Запускать инструменты ПО binutils в изолированной программной среде с применением инструмента Firejail - Запускать инструменты ПО binutils только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - При использовании ПО binutils выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm, fbcon, vga_switcheroo: Avoid race condition in fbcon setup Protect vga_switcheroo_client_fb_set() with console lock. Avoids OOB access in fbcon_remap_all(). Without holding the console lock the call races with switching outputs. VGA switcheroo calls fbcon_remap_all() when switching clients. The fbcon function uses struct fb_info.node, which is set by register_framebuffer(). As the fb-helper code currently sets up VGA switcheroo before registering the framebuffer, the value of node is -1 and therefore not a legal value. For example, fbcon uses the value within set_con2fb_map() [1] as an index into an array. Moving vga_switcheroo_client_fb_set() after register_framebuffer() can result in VGA switching that does not switch fbcon correctly. Therefore move vga_switcheroo_client_fb_set() under fbcon_fb_registered(), which already holds the console lock. Fbdev calls fbcon_fb_registered() from within register_framebuffer(). Serializes the helper with VGA switcheroo's call to fbcon_remap_all(). Although vga_switcheroo_client_fb_set() takes an instance of struct fb_info as parameter, it really only needs the contained fbcon state. Moving the call to fbcon initialization is therefore cleaner than before. Only amdgpu, i915, nouveau and radeon support vga_switcheroo. For all other drivers, this change does nothing. [] None None linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: iommu: disable SVA when CONFIG_X86 is set Patch series "Fix stale IOTLB entries for kernel address space", v7. This proposes a fix for a security vulnerability related to IOMMU Shared Virtual Addressing (SVA). In an SVA context, an IOMMU can cache kernel page table entries. When a kernel page table page is freed and reallocated for another purpose, the IOMMU might still hold stale, incorrect entries. This can be exploited to cause a use-after-free or write-after-free condition, potentially leading to privilege escalation or data corruption. This solution introduces a deferred freeing mechanism for kernel page table pages, which provides a safe window to notify the IOMMU to invalidate its caches before the page is reused. This patch (of 8): In the IOMMU Shared Virtual Addressing (SVA) context, the IOMMU hardware shares and walks the CPU's page tables. The x86 architecture maps the kernel's virtual address space into the upper portion of every process's page table. Consequently, in an SVA context, the IOMMU hardware can walk and cache kernel page table entries. The Linux kernel currently lacks a notification mechanism for kernel page table changes, specifically when page table pages are freed and reused. The IOMMU driver is only notified of changes to user virtual address mappings. This can cause the IOMMU's internal caches to retain stale entries for kernel VA. Use-After-Free (UAF) and Write-After-Free (WAF) conditions arise when kernel page table pages are freed and later reallocated. The IOMMU could misinterpret the new data as valid page table entries. The IOMMU might then walk into attacker-controlled memory, leading to arbitrary physical memory DMA access or privilege escalation. This is also a Write-After-Free issue, as the IOMMU will potentially continue to write Accessed and Dirty bits to the freed memory while attempting to walk the stale page tables. Currently, SVA contexts are unprivileged and cannot access kernel mappings. However, the IOMMU will still walk kernel-only page tables all the way down to the leaf entries, where it realizes the mapping is for the kernel and errors out. This means the IOMMU still caches these intermediate page table entries, making the described vulnerability a real concern. Disable SVA on x86 architecture until the IOMMU can receive notification to flush the paging cache before freeing the CPU kernel page table pages. Уязвимость функции iommu_sva_bind_device() модуля drivers/iommu/iommu-sva.c драйвера IOMMU ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: riscv: Sanitize syscall table indexing under speculation The syscall number is a user-controlled value used to index into the syscall table. Use array_index_nospec() to clamp this value after the bounds check to prevent speculative out-of-bounds access and subsequent data leakage via cache side channels. Уязвимость компонента arch/riscv/kernel/traps.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: memory: mtk-smi: fix device leak on larb probe Make sure to drop the reference taken when looking up the SMI device during larb probe on late probe failure (e.g. probe deferral) and on driver unbind. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: memory: mtk-smi: fix device leaks on common probe Make sure to drop the reference taken when looking up the SMI device during common probe on late probe failure (e.g. probe deferral) and on driver unbind. Уязвимость компонента mtk-smi ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rxrpc: Fix data-race warning and potential load/store tearing Fix the following: BUG: KCSAN: data-race in rxrpc_peer_keepalive_worker / rxrpc_send_data_packet which is reporting an issue with the reads and writes to ->last_tx_at in: conn->peer->last_tx_at = ktime_get_seconds(); and: keepalive_at = peer->last_tx_at + RXRPC_KEEPALIVE_TIME; The lockless accesses to these to values aren't actually a problem as the read only needs an approximate time of last transmission for the purposes of deciding whether or not the transmission of a keepalive packet is warranted yet. Also, as ->last_tx_at is a 64-bit value, tearing can occur on a 32-bit arch. Fix both of these by switching to an unsigned int for ->last_tx_at and only storing the LSW of the time64_t. It can then be reconstructed at need provided no more than 68 years has elapsed since the last transmission. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: fix segmentation of forwarding fraglist GRO This patch enhances GSO segment handling by properly checking the SKB_GSO_DODGY flag for frag_list GSO packets, addressing low throughput issues observed when a station accesses IPv4 servers via hotspots with an IPv6-only upstream interface. Specifically, it fixes a bug in GSO segmentation when forwarding GRO packets containing a frag_list. The function skb_segment_list cannot correctly process GRO skbs that have been converted by XLAT, since XLAT only translates the header of the head skb. Consequently, skbs in the frag_list may remain untranslated, resulting in protocol inconsistencies and reduced throughput. To address this, the patch explicitly sets the SKB_GSO_DODGY flag for GSO packets in XLAT's IPv4/IPv6 protocol translation helpers (bpf_skb_proto_4_to_6 and bpf_skb_proto_6_to_4). This marks GSO packets as potentially modified after protocol translation. As a result, GSO segmentation will avoid using skb_segment_list and instead falls back to skb_segment for packets with the SKB_GSO_DODGY flag. This ensures that only safe and fully translated frag_list packets are processed by skb_segment_list, resolving protocol inconsistencies and improving throughput when forwarding GRO packets converted by XLAT. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: add chann_lock to protect ksmbd_chann_list xarray ksmbd_chann_list xarray lacks synchronization, allowing use-after-free in multi-channel sessions (between lookup_chann_list() and ksmbd_chann_del). Adds rw_semaphore chann_lock to struct ksmbd_session and protects all xa_load/xa_store/xa_erase accesses. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/exynos: vidi: use ctx->lock to protect struct vidi_context member variables related to memory alloc/free Exynos Virtual Display driver performs memory alloc/free operations without lock protection, which easily causes concurrency problem. For example, use-after-free can occur in race scenario like this: ``` CPU0 CPU1 CPU2 ---- ---- ---- vidi_connection_ioctl() if (vidi->connection) // true drm_edid = drm_edid_alloc(); // alloc drm_edid ... ctx->raw_edid = drm_edid; ... drm_mode_getconnector() drm_helper_probe_single_connector_modes() vidi_get_modes() if (ctx->raw_edid) // true drm_edid_dup(ctx->raw_edid); if (!drm_edid) // false ... vidi_connection_ioctl() if (vidi->connection) // false drm_edid_free(ctx->raw_edid); // free drm_edid ... drm_edid_alloc(drm_edid->edid) kmemdup(edid); // UAF!! ... ``` To prevent these vulns, at least in vidi_context, member variables related to memory alloc/free should be protected with ctx->lock. [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12, linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tls: Fix race condition in tls_sw_cancel_work_tx() This issue was discovered during a code audit. After cancel_delayed_work_sync() is called from tls_sk_proto_close(), tx_work_handler() can still be scheduled from paths such as the Delayed ACK handler or ksoftirqd. As a result, the tx_work_handler() worker may dereference a freed TLS object. The following is a simple race scenario: cpu0 cpu1 tls_sk_proto_close() tls_sw_cancel_work_tx() tls_write_space() tls_sw_write_space() if (!test_and_set_bit(BIT_TX_SCHEDULED, &tx_ctx->tx_bitmask)) set_bit(BIT_TX_SCHEDULED, &ctx->tx_bitmask); cancel_delayed_work_sync(&ctx->tx_work.work); schedule_delayed_work(&tx_ctx->tx_work.work, 0); To prevent this race condition, cancel_delayed_work_sync() is replaced with disable_delayed_work_sync(). Уязвимость функции tls_sw_cancel_work_tx() модуля net/tls/tls_sw.c ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: nfc: rawsock: cancel tx_work before socket teardown In rawsock_release(), cancel any pending tx_work and purge the write queue before orphaning the socket. rawsock_tx_work runs on the system workqueue and calls nfc_data_exchange which dereferences the NCI device. Without synchronization, tx_work can race with socket and device teardown when a process is killed (e.g. by SIGKILL), leading to use-after-free or leaked references. Set SEND_SHUTDOWN first so that if tx_work is already running it will see the flag and skip transmitting, then use cancel_work_sync to wait for any in-progress execution to finish, and finally purge any remaining queued skbs. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: L2CAP: Fix accepting multiple L2CAP_ECRED_CONN_REQ Currently the code attempts to accept requests regardless of the command identifier which may cause multiple requests to be marked as pending (FLAG_DEFER_SETUP) which can cause more than L2CAP_ECRED_MAX_CID(5) to be allocated in l2cap_ecred_rsp_defer causing an overflow. The spec is quite clear that the same identifier shall not be used on subsequent requests: 'Within each signaling channel a different Identifier shall be used for each successive request or indication.' https://www.bluetooth.com/wp-content/uploads/Files/Specification/HTML/Core-62/out/en/host/logical-link-control-and-adaptation-protocol-specification.html#UUID-32a25a06-4aa4-c6c7-77c5-dcfe3682355d So this attempts to check if there are any channels pending with the same identifier and rejects if any are found. Уязвимость функции l2cap_ecred_conn_req() модуля net/bluetooth/l2cap_core.c подсистемы Bluetooth ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для устранения угрозы эксплуатации уязвимости CVE-2026-23395 необходимо запретить загрузку модуля bluetooth в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль bluetooth в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: * команда для выгрузки модуля bluetooth: ``` sudo rmmod bluetooth ``` 2. Запретить загрузку модулей: * от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл ``` /etc/modprobe.d/blacklist.local.conf ``` или файл ``` /etc/modprobe.d/disable-bluetooth.conf ```. **Примечание.** Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов. * добавить в файл строку: ``` install bluetooth /bin/false ``` * сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/xe/reg_sr: Fix leak on xa_store failure Free the newly allocated entry when xa_store() fails to avoid a memory leak on the error path. v2: use goto fail_free. (Bala) (cherry picked from commit 6bc6fec71ac45f52db609af4e62bdb96b9f5fadb) Уязвимость компонента drivers/gpu/drm/xe/xe_reg_sr.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/rds: Fix circular locking dependency in rds_tcp_tune syzbot reported a circular locking dependency in rds_tcp_tune() where sk_net_refcnt_upgrade() is called while holding the socket lock: ====================================================== WARNING: possible circular locking dependency detected ====================================================== kworker/u10:8/15040 is trying to acquire lock: ffffffff8e9aaf80 (fs_reclaim){+.+.}-{0:0}, at: __kmalloc_cache_noprof+0x4b/0x6f0 but task is already holding lock: ffff88805a3c1ce0 (k-sk_lock-AF_INET6){+.+.}-{0:0}, at: rds_tcp_tune+0xd7/0x930 The issue occurs because sk_net_refcnt_upgrade() performs memory allocation (via get_net_track() -> ref_tracker_alloc()) while the socket lock is held, creating a circular dependency with fs_reclaim. Fix this by moving sk_net_refcnt_upgrade() outside the socket lock critical section. This is safe because the fields modified by the sk_net_refcnt_upgrade() call (sk_net_refcnt, ns_tracker) are not accessed by any concurrent code path at this point. v2: - Corrected fixes tag - check patch line wrap nits - ai commentary nits [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: wifi: wlcore: Fix a locking bug Make sure that wl->mutex is locked before it is unlocked. This has been detected by the Clang thread-safety analyzer. [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/logicvc: Fix device node reference leak in logicvc_drm_config_parse() The logicvc_drm_config_parse() function calls of_get_child_by_name() to find the "layers" node but fails to release the reference, leading to a device node reference leak. Fix this by using the __free(device_node) cleanup attribute to automatic release the reference when the variable goes out of scope. Уязвимость компонента drivers/gpu/drm/logicvc/logicvc_drm.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 firefox, thunderbird, expat In libexpat before 2.7.4, XML_ExternalEntityParserCreate does not copy unknown encoding handler user data. Уязвимость библиотеки для анализа XML-файлов libexpat связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L', score=2.9) Astra Linux 1.8 freerdp3 FreeRDP is a free implementation of the Remote Desktop Protocol. Versions on the 2.x branch prior to to 2.11.8 and on the 3.x branch prior to 3.23.0 have an out-of-bounds read vulnerability in the FreeRDP client's RDPGFX channel that allows a malicious RDP server to read uninitialized heap memory by sending a crafted WIRE_TO_SURFACE_2 PDU with a `bitmapDataLength` value larger than the actual data in the packet. This can lead to information disclosure or client crashes when a user connects to a malicious server. Versions 2.11.8 and 3.23.0 fix the issue. Уязвимость RDP-клиента FreeRDP связана с выходом операции за границы буфера в памяти в результате некорректной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) freerdp3: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 libsoup3 A flaw was found in libsoup. An attacker controlling the value used to set the Content-Type header can inject a Carriage Return Line Feed (CRLF) sequence due to improper input sanitization in the `soup_message_headers_set_content_type()` function. This vulnerability allows for the injection of arbitrary header-value pairs, potentially leading to HTTP header injection and response splitting attacks. Уязвимость функции soup_message_headers_set_content_type() библиотеки доступа к HTTP серверам LibSoup связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-93')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:L', score=3.9) libsoup3: - Обеспечить возможность использования библиотеки llibsoup3 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ima: verify the previous kernel's IMA buffer lies in addressable RAM Patch series "Address page fault in ima_restore_measurement_list()", v3. When the second-stage kernel is booted via kexec with a limiting command line such as "mem=<size>" we observe a pafe fault that happens. BUG: unable to handle page fault for address: ffff97793ff47000 RIP: ima_restore_measurement_list+0xdc/0x45a #PF: error_code(0x0000) not-present page This happens on x86_64 only, as this is already fixed in aarch64 in commit: cbf9c4b9617b ("of: check previous kernel's ima-kexec-buffer against memory bounds") This patch (of 3): When the second-stage kernel is booted with a limiting command line (e.g. "mem=<size>"), the IMA measurement buffer handed over from the previous kernel may fall outside the addressable RAM of the new kernel. Accessing such a buffer can fault during early restore. Introduce a small generic helper, ima_validate_range(), which verifies that a physical [start, end] range for the previous-kernel IMA buffer lies within addressable memory: - On x86, use pfn_range_is_mapped(). - On OF based architectures, use page_is_ram(). [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: media: tegra-video: Fix memory leak in __tegra_channel_try_format() The state object allocated by __v4l2_subdev_state_alloc() must be freed with __v4l2_subdev_state_free() when it is no longer needed. In __tegra_channel_try_format(), two error paths return directly after v4l2_subdev_call() fails, without freeing the allocated 'sd_state' object. This violates the requirement and causes a memory leak. Fix this by introducing a cleanup label and using goto statements in the error paths to ensure that __v4l2_subdev_state_free() is always called before the function returns. [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/kexec: add a sanity check on previous kernel's ima kexec buffer When the second-stage kernel is booted via kexec with a limiting command line such as "mem=<size>", the physical range that contains the carried over IMA measurement list may fall outside the truncated RAM leading to a kernel panic. BUG: unable to handle page fault for address: ffff97793ff47000 RIP: ima_restore_measurement_list+0xdc/0x45a #PF: error_code(0x0000) – not-present page Other architectures already validate the range with page_is_ram(), as done in commit cbf9c4b9617b ("of: check previous kernel's ima-kexec-buffer against memory bounds") do a similar check on x86. Without carrying the measurement list across kexec, the attestation would fail. Уязвимость компонентов x86/kexec ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Ignore -EBUSY when checking nested events from vcpu_block() Ignore -EBUSY when checking nested events after exiting a blocking state while L2 is active, as exiting to userspace will generate a spurious userspace exit, usually with KVM_EXIT_UNKNOWN, and likely lead to the VM's demise. Continuing with the wakeup isn't perfect either, as *something* has gone sideways if a vCPU is awakened in L2 with an injected event (or worse, a nested run pending), but continuing on gives the VM a decent chance of surviving without any major side effects. As explained in the Fixes commits, it _should_ be impossible for a vCPU to be put into a blocking state with an already-injected event (exception, IRQ, or NMI). Unfortunately, userspace can stuff MP_STATE and/or injected events, and thus put the vCPU into what should be an impossible state. Don't bother trying to preserve the WARN, e.g. with an anti-syzkaller Kconfig, as WARNs can (hopefully) be added in paths where _KVM_ would be violating x86 architecture, e.g. by WARNing if KVM attempts to inject an exception or interrupt while the vCPU isn't running. Уязвимость компонента kvm/x86.c ядра операционной системы Linux связана с неправильной проверкой согласованности во входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: mailbox: Prevent out-of-bounds access in fw_mbox_index_xlate() Although it is guided that `#mbox-cells` must be at least 1, there are many instances of `#mbox-cells = <0>;` in the device tree. If that is the case and the corresponding mailbox controller does not provide `fw_xlate` and of_xlate` function pointers, `fw_mbox_index_xlate()` will be used by default and out-of-bounds accesses could occur due to lack of bounds check in that function. [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ata: libata-scsi: avoid Non-NCQ command starvation When a non-NCQ command is issued while NCQ commands are being executed, ata_scsi_qc_issue() indicates to the SCSI layer that the command issuing should be deferred by returning SCSI_MLQUEUE_XXX_BUSY. This command deferring is correct and as mandated by the ACS specifications since NCQ and non-NCQ commands cannot be mixed. However, in the case of a host adapter using multiple submission queues, when the target device is under a constant load of NCQ commands, there are no guarantees that requeueing the non-NCQ command will be executed later and it may be deferred again repeatedly as other submission queues can constantly issue NCQ commands from different CPUs ahead of the non-NCQ command. This can lead to very long delays for the execution of non-NCQ commands, and even complete starvation for these commands in the worst case scenario. Since the block layer and the SCSI layer do not distinguish between queueable (NCQ) and non queueable (non-NCQ) commands, libata-scsi SAT implementation must ensure forward progress for non-NCQ commands in the presence of NCQ command traffic. This is similar to what SAS HBAs with a hardware/firmware based SAT implementation do. Implement such forward progress guarantee by limiting requeueing of non-NCQ commands from ata_scsi_qc_issue(): when a non-NCQ command is received and NCQ commands are in-flight, do not force a requeue of the non-NCQ command by returning SCSI_MLQUEUE_XXX_BUSY and instead return 0 to indicate that the command was accepted but hold on to the qc using the new deferred_qc field of struct ata_port. This deferred qc will be issued using the work item deferred_qc_work running the function ata_scsi_deferred_qc_work() once all in-flight commands complete, which is checked with the port qc_defer() callback return value indicating that no further delay is necessary. This check is done using the helper function ata_scsi_schedule_deferred_qc() which is called from ata_scsi_qc_complete(). This thus excludes this mechanism from all internal non-NCQ commands issued by ATA EH. When a port deferred_qc is non NULL, that is, the port has a command waiting for the device queue to drain, the issuing of all incoming commands (both NCQ and non-NCQ) is deferred using the regular busy mechanism. This simplifies the code and also avoids potential denial of service problems if a user issues too many non-NCQ commands. Finally, whenever ata EH is scheduled, regardless of the reason, a deferred qc is always requeued so that it can be retried once EH completes. This is done by calling the function ata_scsi_requeue_deferred_qc() from ata_eh_set_pending(). This avoids the need for any special processing for the deferred qc in case of NCQ error, link or device reset, or device timeout. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: don't zero the entire extent if EXT4_EXT_DATA_PARTIAL_VALID1 When allocating initialized blocks from a large unwritten extent, or when splitting an unwritten extent during end I/O and converting it to initialized, there is currently a potential issue of stale data if the extent needs to be split in the middle. 0 A B N [UUUUUUUUUUUU] U: unwritten extent [--DDDDDDDD--] D: valid data |<- ->| ----> this range needs to be initialized ext4_split_extent() first try to split this extent at B with EXT4_EXT_DATA_ENTIRE_VALID1 and EXT4_EXT_MAY_ZEROOUT flag set, but ext4_split_extent_at() failed to split this extent due to temporary lack of space. It zeroout B to N and mark the entire extent from 0 to N as written. 0 A B N [WWWWWWWWWWWW] W: written extent [SSDDDDDDDDZZ] Z: zeroed, S: stale data ext4_split_extent() then try to split this extent at A with EXT4_EXT_DATA_VALID2 flag set. This time, it split successfully and left a stale written extent from 0 to A. 0 A B N [WW|WWWWWWWWWW] [SS|DDDDDDDDZZ] Fix this by pass EXT4_EXT_DATA_PARTIAL_VALID1 to ext4_split_extent_at() when splitting at B, don't convert the entire extent to written and left it as unwritten after zeroing out B to N. The remaining work is just like the standard two-part split. ext4_split_extent() will pass the EXT4_EXT_DATA_VALID2 flag when it calls ext4_split_extent_at() for the second time, allowing it to properly handle the split. If the split is successful, it will keep extent from 0 to A as unwritten. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: drop extent cache when splitting extent fails When the split extent fails, we might leave some extents still being processed and return an error directly, which will result in stale extent entries remaining in the extent status tree. So drop all of the remaining potentially stale extents if the splitting fails. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: usb: cdns3: fix role switching during resume If the role change while we are suspended, the cdns3 driver switches to the new mode during resume. However, switching to host mode in this context causes a NULL pointer dereference. The host role's start() operation registers a xhci-hcd device, but its probe is deferred while we are in the resume path. The host role's resume() operation assumes the xhci-hcd device is already probed, which is not the case, leading to the dereference. Since the start() operation of the new role is already called, the resume operation can be skipped. So skip the resume operation for the new role if a role switch occurs during resume. Once the resume sequence is complete, the xhci-hcd device can be probed in case of host mode. Unable to handle kernel NULL pointer dereference at virtual address 0000000000000208 Mem abort info: ... Data abort info: ... [0000000000000208] pgd=0000000000000000, p4d=0000000000000000 Internal error: Oops: 0000000096000004 [#1] SMP Modules linked in: CPU: 0 UID: 0 PID: 146 Comm: sh Not tainted 6.19.0-rc7-00013-g6e64f4aabfae-dirty #135 PREEMPT Hardware name: Texas Instruments J7200 EVM (DT) pstate: 20000005 (nzCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : usb_hcd_is_primary_hcd+0x0/0x1c lr : cdns_host_resume+0x24/0x5c ... Call trace: usb_hcd_is_primary_hcd+0x0/0x1c (P) cdns_resume+0x6c/0xbc cdns3_controller_resume.isra.0+0xe8/0x17c cdns3_plat_resume+0x18/0x24 platform_pm_resume+0x2c/0x68 dpm_run_callback+0x90/0x248 device_resume+0x100/0x24c dpm_resume+0x190/0x2ec dpm_resume_end+0x18/0x34 suspend_devices_and_enter+0x2b0/0xa44 pm_suspend+0x16c/0x5fc state_store+0x80/0xec kobj_attr_store+0x18/0x2c sysfs_kf_write+0x7c/0x94 kernfs_fop_write_iter+0x130/0x1dc vfs_write+0x240/0x370 ksys_write+0x70/0x108 __arm64_sys_write+0x1c/0x28 invoke_syscall+0x48/0x10c el0_svc_common.constprop.0+0x40/0xe0 do_el0_svc+0x1c/0x28 el0_svc+0x34/0x108 el0t_64_sync_handler+0xa0/0xe4 el0t_64_sync+0x198/0x19c Code: 52800003 f9407ca5 d63f00a0 17ffffe4 (f9410401) ---[ end trace 0000000000000000 ]--- [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: fix dirtyclusters double decrement on fs shutdown fstests test generic/388 occasionally reproduces a warning in ext4_put_super() associated with the dirty clusters count: WARNING: CPU: 7 PID: 76064 at fs/ext4/super.c:1324 ext4_put_super+0x48c/0x590 [ext4] Tracing the failure shows that the warning fires due to an s_dirtyclusters_counter value of -1. IOW, this appears to be a spurious decrement as opposed to some sort of leak. Further tracing of the dirty cluster count deltas and an LLM scan of the resulting output identified the cause as a double decrement in the error path between ext4_mb_mark_diskspace_used() and the caller ext4_mb_new_blocks(). First, note that generic/388 is a shutdown vs. fsstress test and so produces a random set of operations and shutdown injections. In the problematic case, the shutdown triggers an error return from the ext4_handle_dirty_metadata() call(s) made from ext4_mb_mark_context(). The changed value is non-zero at this point, so ext4_mb_mark_diskspace_used() does not exit after the error bubbles up from ext4_mb_mark_context(). Instead, the former decrements both cluster counters and returns the error up to ext4_mb_new_blocks(). The latter falls into the !ar->len out path which decrements the dirty clusters counter a second time, creating the inconsistency. To avoid this problem and simplify ownership of the cluster reservation in this codepath, lift the counter reduction to a single place in the caller. This makes it more clear that ext4_mb_new_blocks() is responsible for acquiring cluster reservation (via ext4_claim_free_clusters()) in the !delalloc case as well as releasing it, regardless of whether it ends up consumed or returned due to failure. [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: fix e4b bitmap inconsistency reports A bitmap inconsistency issue was observed during stress tests under mixed huge-page workloads. Ext4 reported multiple e4b bitmap check failures like: ext4_mb_complex_scan_group:2508: group 350, 8179 free clusters as per group info. But got 8192 blocks Analysis and experimentation confirmed that the issue is caused by a race condition between page migration and bitmap modification. Although this timing window is extremely narrow, it is still hit in practice: folio_lock ext4_mb_load_buddy __migrate_folio check ref count folio_mc_copy __filemap_get_folio folio_try_get(folio) ...... mb_mark_used ext4_mb_unload_buddy __folio_migrate_mapping folio_ref_freeze folio_unlock The root cause of this issue is that the fast path of load_buddy only increments the folio's reference count, which is insufficient to prevent concurrent folio migration. We observed that the folio migration process acquires the folio lock. Therefore, we can determine whether to take the fast path in load_buddy by checking the lock status. If the folio is locked, we opt for the slow path (which acquires the lock) to close this concurrency window. Additionally, this change addresses the following issues: When the DOUBLE_CHECK macro is enabled to inspect bitmap-related issues, the following error may be triggered: corruption in group 324 at byte 784(6272): f in copy != ff on disk/prealloc Analysis reveals that this is a false positive. There is a specific race window where the bitmap and the group descriptor become momentarily inconsistent, leading to this error report: ext4_mb_load_buddy ext4_mb_load_buddy __filemap_get_folio(create|lock) folio_lock ext4_mb_init_cache folio_mark_uptodate __filemap_get_folio(no lock) ...... mb_mark_used mb_mark_used_double mb_cmp_bitmaps mb_set_bits(e4b->bd_bitmap) folio_unlock The original logic assumed that since mb_cmp_bitmaps is called when the bitmap is newly loaded from disk, the folio lock would be sufficient to prevent concurrent access. However, this overlooks a specific race condition: if another process attempts to load buddy and finds the folio is already in an uptodate state, it will immediately begin using it without holding folio lock. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: drm/exynos: vidi: fix to avoid directly dereferencing user pointer In vidi_connection_ioctl(), vidi->edid(user pointer) is directly dereferenced in the kernel. This allows arbitrary kernel memory access from the user space, so instead of directly accessing the user pointer in the kernel, we should modify it to copy edid to kernel memory using copy_from_user() and use it. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ext4: don't set EXT4_GET_BLOCKS_CONVERT when splitting before submitting I/O When allocating blocks during within-EOF DIO and writeback with dioread_nolock enabled, EXT4_GET_BLOCKS_PRE_IO was set to split an existing large unwritten extent. However, EXT4_GET_BLOCKS_CONVERT was set when calling ext4_split_convert_extents(), which may potentially result in stale data issues. Assume we have an unwritten extent, and then DIO writes the second half. [UUUUUUUUUUUUUUUU] on-disk extent U: unwritten extent [UUUUUUUUUUUUUUUU] extent status tree |<- ->| ----> dio write this range First, ext4_iomap_alloc() call ext4_map_blocks() with EXT4_GET_BLOCKS_PRE_IO, EXT4_GET_BLOCKS_UNWRIT_EXT and EXT4_GET_BLOCKS_CREATE flags set. ext4_map_blocks() find this extent and call ext4_split_convert_extents() with EXT4_GET_BLOCKS_CONVERT and the above flags set. Then, ext4_split_convert_extents() calls ext4_split_extent() with EXT4_EXT_MAY_ZEROOUT, EXT4_EXT_MARK_UNWRIT2 and EXT4_EXT_DATA_VALID2 flags set, and it calls ext4_split_extent_at() to split the second half with EXT4_EXT_DATA_VALID2, EXT4_EXT_MARK_UNWRIT1, EXT4_EXT_MAY_ZEROOUT and EXT4_EXT_MARK_UNWRIT2 flags set. However, ext4_split_extent_at() failed to insert extent since a temporary lack -ENOSPC. It zeroes out the first half but convert the entire on-disk extent to written since the EXT4_EXT_DATA_VALID2 flag set, but left the second half as unwritten in the extent status tree. [0000000000SSSSSS] data S: stale data, 0: zeroed [WWWWWWWWWWWWWWWW] on-disk extent W: written extent [WWWWWWWWWWUUUUUU] extent status tree Finally, if the DIO failed to write data to the disk, the stale data in the second half will be exposed once the cached extent entry is gone. Fix this issue by not passing EXT4_GET_BLOCKS_CONVERT when splitting an unwritten extent before submitting I/O, and make ext4_split_convert_extents() to zero out the entire extent range to zero for this case, and also mark the extent in the extent status tree for consistency. [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 flatpak No description Astra Linux 1.8 flatpak No description Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/tls: fix use-after-free in -EBUSY error path of tls_do_encryption The -EBUSY handling in tls_do_encryption(), introduced by commit 859054147318 ("net: tls: handle backlogging of crypto requests"), has a use-after-free due to double cleanup of encrypt_pending and the scatterlist entry. When crypto_aead_encrypt() returns -EBUSY, the request is enqueued to the cryptd backlog and the async callback tls_encrypt_done() will be invoked upon completion. That callback unconditionally restores the scatterlist entry (sge->offset, sge->length) and decrements ctx->encrypt_pending. However, if tls_encrypt_async_wait() returns an error, the synchronous error path in tls_do_encryption() performs the same cleanup again, double-decrementing encrypt_pending and double-restoring the scatterlist. The double-decrement corrupts the encrypt_pending sentinel (initialized to 1), making tls_encrypt_async_wait() permanently skip the wait for pending async callbacks. A subsequent sendmsg can then free the tls_rec via bpf_exec_tx_verdict() while a cryptd callback is still pending, resulting in a use-after-free when the callback fires on the freed record. Fix this by skipping the synchronous cleanup when the -EBUSY async wait returns an error, since the callback has already handled encrypt_pending and sge restoration. Уязвимость функции tls_do_encryption компонента net/tls/tls_sw.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для устранения угрозы эксплуатации уязвимости CVE-2026-31533 необходимо запретить загрузку модуля tls в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль tls в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep tls ``` или ``` kmod list | grep tls ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: * команда для выгрузки модуля tls: ``` sudo rmmod tls ``` 2. Запретить загрузку модулей: * от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл ``` /etc/modprobe.d/blacklist.local.conf ``` или файл ``` /etc/modprobe.d/disable-tls.conf ```. **Примечание.** Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов. * добавить в файл строку: ``` install tls /bin/false ``` * сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv6: account for fraggap on the paged allocation path In __ip6_append_data(), when the paged-allocation branch is taken (MSG_MORE / NETIF_F_SG / large fraglen), alloclen and pagedlen are computed as alloclen = fragheaderlen + transhdrlen; pagedlen = datalen - transhdrlen; datalen already includes fraggap (datalen = length + fraggap). When fraggap is non-zero, this is not the first skb and transhdrlen is zero. The fraggap bytes carried over from the previous skb are copied just past the fragment headers in the new skb's linear area. The linear area is therefore undersized by fraggap bytes while pagedlen is overstated by the same amount, and the copy writes past skb->end into the trailing skb_shared_info. An unprivileged user can trigger this via a UDPv6 socket using MSG_MORE together with MSG_SPLICE_PAGES. The bad accounting was introduced by commit 773ba4fe9104 ("ipv6: avoid partial copy for zc"). Before commit ce650a166335 ("udp6: Fix __ip6_append_data()'s handling of MSG_SPLICE_PAGES"), the negative copy value caused -EINVAL to be returned. That later commit allowed MSG_SPLICE_PAGES to proceed in this case, making the corruption triggerable. The non-paged branch sets alloclen to fraglen, which already accounts for fraggap because datalen does. Bring the paged branch in line by adding fraggap to alloclen and subtracting it from pagedlen. After this adjustment, copy no longer collapses to -fraggap on the paged path, so remove the stale comment describing that old arithmetic. Since a negative copy is no longer expected for a valid MSG_SPLICE_PAGES case, remove the MSG_SPLICE_PAGES exception from the negative copy check. Уязвимость компонента net/ipv6/ip6_output.c ядра операционной системы Linux связана с ошибками при обработке параметров длины. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Отключить IPv6, если он не используется. 1. Используя полномочия администратора системы с высоким уровнем целостности запустить команды: ``` echo "net.ipv6.conf.all.disable_ipv6=1" > /etc/sysctl.d/disable_ipv6.conf echo "net.ipv6.conf.default.disable_ipv6=1" >> /etc/sysctl.d/disable_ipv6.conf echo "net.ipv6.conf.lo.disable_ipv6=1" >> /etc/sysctl.d/disable_ipv6.conf sysctl -p /etc/sysctl.d/disable_ipv6.conf ``` 2. Убедиться в том, что настройка применилась: ``` cat /etc/sysctl.d/disable_ipv6.conf ``` Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: icmp: fix NULL pointer dereference in icmp_tag_validation() icmp_tag_validation() unconditionally dereferences the result of rcu_dereference(inet_protos[proto]) without checking for NULL. The inet_protos[] array is sparse -- only about 15 of 256 protocol numbers have registered handlers. When ip_no_pmtu_disc is set to 3 (hardened PMTU mode) and the kernel receives an ICMP Fragmentation Needed error with a quoted inner IP header containing an unregistered protocol number, the NULL dereference causes a kernel panic in softirq context. Oops: general protection fault, probably for non-canonical address 0xdffffc0000000002: 0000 [#1] SMP KASAN NOPTI KASAN: null-ptr-deref in range [0x0000000000000010-0x0000000000000017] RIP: 0010:icmp_unreach (net/ipv4/icmp.c:1085 net/ipv4/icmp.c:1143) Call Trace: <IRQ> icmp_rcv (net/ipv4/icmp.c:1527) ip_protocol_deliver_rcu (net/ipv4/ip_input.c:207) ip_local_deliver_finish (net/ipv4/ip_input.c:242) ip_local_deliver (net/ipv4/ip_input.c:262) ip_rcv (net/ipv4/ip_input.c:573) __netif_receive_skb_one_core (net/core/dev.c:6164) process_backlog (net/core/dev.c:6628) handle_softirqs (kernel/softirq.c:561) </IRQ> Add a NULL check before accessing icmp_strict_tag_validation. If the protocol has no registered handler, return false since it cannot perform strict tag validation. Уязвимость функции icmp_tag_validation() ядра операционных систем Linux связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально сформированных ICMP-пакетов [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) 1. Проверить, затрагивает ли уязвимость систему, можно, используя полномочия администратора системы с высоким уровнем целостности. Для этого выполните команду: ``` sudo sysctl net.ipv4.ip_no_pmtu_disc ``` Если параметр net.ipv4.ip_no_pmtu_disc имеет значения 0, 1 или 2, то система не уязвима. В конфигурации по умолчанию параметр net.ipv4.ip_no_pmtu_disc имеет значение 0. 2. Если параметр net.ipv4.ip_no_pmtu_disc имеет значение 3, то для временного решения (до перезагрузки) выполните команду: ``` sudo sysctl -w net.ipv4.ip_no_pmtu_disc=0 ``` 3. Для применения настройки на постоянной основе откройте файл /etc/sysctl.conf: ``` sudo nano /etc/sysctl.conf ``` Найдите строку, начинающуюся на net.ipv4.ip_no_pmtu_disc, и измените значение параметра на 0: ``` net.ipv4.ip_no_pmtu_disc = 0 ``` Если строки с net.ipv4.ip_no_pmtu_disc в файле нет, то в конец файла добавьте её со значением 0. 4. Перезагрузите систему. 5. Проверьте внесённые изменения командой: ``` sudo sysctl net.ipv4.ip_no_pmtu_disc ``` Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rtmutex: Use waiter::task instead of current in remove_waiter() remove_waiter() is used by the slowlock paths, but it is also used for proxy-lock rollback in rt_mutex_start_proxy_lock() when invoked from futex_requeue(). In the latter case waiter::task is not current, but remove_waiter() operates on current for the dequeue operation. That results in several problems: 1) the rbtree dequeue happens without waiter::task::pi_lock being held 2) the waiter task's pi_blocked_on state is not cleared, which leaves a dangling pointer primed for UAF around. 3) rt_mutex_adjust_prio_chain() operates on the wrong top priority waiter task Use waiter::task instead of current in all related operations in remove_waiter() to cure those problems. [ tglx: Fixup rt_mutex_adjust_prio_chain(), add a comment and amend the changelog ] Уязвимость функции prime_handle_to_fd компонента ivpu ядра операционной системы Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды; - Использовать hardened ядро ОС. Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: eventpoll: fix ep_remove struct eventpoll / struct file UAF ep_remove() (via ep_remove_file()) cleared file->f_ep under file->f_lock but then kept using @file inside the critical section (is_file_epoll(), hlist_del_rcu() through the head, spin_unlock). A concurrent __fput() taking the eventpoll_release() fastpath in that window observed the transient NULL, skipped eventpoll_release_file() and ran to f_op->release / file_free(). For the epoll-watches-epoll case, f_op->release is ep_eventpoll_release() -> ep_clear_and_put() -> ep_free(), which kfree()s the watched struct eventpoll. Its embedded ->refs hlist_head is exactly where epi->fllink.pprev points, so the subsequent hlist_del_rcu()'s "*pprev = next" scribbles into freed kmalloc-192 memory. In addition, struct file is SLAB_TYPESAFE_BY_RCU, so the slot backing @file could be recycled by alloc_empty_file() -- reinitializing f_lock and f_ep -- while ep_remove() is still nominally inside that lock. The upshot is an attacker-controllable kmem_cache_free() against the wrong slab cache. Pin @file via epi_fget() at the top of ep_remove() and gate the critical section on the pin succeeding. With the pin held @file cannot reach refcount zero, which holds __fput() off and transitively keeps the watched struct eventpoll alive across the hlist_del_rcu() and the f_lock use, closing both UAFs. If the pin fails @file has already reached refcount zero and its __fput() is in flight. Because we bailed before clearing f_ep, that path takes the eventpoll_release() slow path into eventpoll_release_file() and blocks on ep->mtx until the waiter side's ep_clear_and_put() drops it. The bailed epi's share of ep->refcount stays intact, so the trailing ep_refcount_dec_and_test() in ep_clear_and_put() cannot free the eventpoll out from under eventpoll_release_file(); the orphaned epi is then cleaned up there. A successful pin also proves we are not racing eventpoll_release_file() on this epi, so drop the now-redundant re-check of epi->dying under f_lock. The cheap lockless READ_ONCE(epi->dying) fast-path bailout stays. Уязвимость функции ep_remove() ядра операционных систем Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды; - Использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: fix pedit partial COW leading to page cache corruption tcf_pedit_act() computes the COW range for skb_ensure_writable() once before the key loop using tcfp_off_max_hint, but the hint does not account for the runtime header offset added by typed keys. This can leave part of the write region un-COW'd. Fix by moving skb_ensure_writable() inside the per-key loop where the actual write offset is known, and add overflow checking on the offset arithmetic. For negative offsets (e.g. Ethernet header edits at ingress), use skb_cow() to COW the headroom instead. Guard offset_valid() against INT_MIN, where negation is undefined. Уязвимость функции tcf_pedit_act() модуля act_pedit ядра операционных систем Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или повысить свои привилегии [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для нейтрализации уязвимости можно воспользоваться одним из следующих способов. ###### 1 способ Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля act_pedit.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль act_pedit в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep act_pedit ``` или ``` kmod list | grep act_pedit ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля act_pedit.ko: ``` sudo rmmod act_pedit ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-act_pedit.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install act_pedit /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. ###### 2 способ Существующий метод эксплуатации уязвимости полагается на наличие возможности CAP_NET_ADMIN. Решением проблемы является отключение возможности CAP_NET_ADMIN для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: 1. Используя полномочия администратора системы с высоким уровнем целостности запустить команды ``` echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf sysctl -p /etc/sysctl.d/userns.conf ``` 2. Убедиться в том, что настройка применилась: ``` cat /etc/sysctl.d/userns.conf ``` Также для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды; - Использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bpf: Free reuseport cBPF prog after RCU grace period. Eulgyu Kim reported the splat below with a repro. [0] The repro sets up a UDP reuseport group with a cBPF prog and replaces it with a new one while another thread is sending a UDP packet to the group. The reuseport prog is freed by sk_reuseport_prog_free(). bpf_prog_put() is called for "e"BPF prog to destruct through multiple stages while cBPF prog is freed immediately by bpf_release_orig_filter() and bpf_prog_free(). If a reuseport prog is detached from the setsockopt() path (reuseport_attach_prog() or reuseport_detach_prog()), sk_reuseport_prog_free() is called without waiting for RCU readers to complete, resulting in various bugs. Let's defer freeing the reuseport cBPF prog after one RCU grace period. Note "e"BPF prog is safe as is unless the fast path starts to touch fields destroyed in bpf_prog_put_deferred() and __bpf_prog_put_noref(). [0]: BUG: KASAN: vmalloc-out-of-bounds in reuseport_select_sock+0xedc/0x1220 net/core/sock_reuseport.c:596 Read of size 4 at addr ffffc9000051e004 by task slowme/10208 CPU: 6 UID: 1000 PID: 10208 Comm: slowme Not tainted 7.0.0-geb7ac95ff75e #32 PREEMPT(full) Hardware name: QEMU Ubuntu 24.04 PC v2 (i440FX + PIIX, arch_caps fix, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 Call Trace: <IRQ> dump_stack_lvl+0xe8/0x150 lib/dump_stack.c:120 print_address_description mm/kasan/report.c:378 [inline] print_report+0xca/0x240 mm/kasan/report.c:482 kasan_report+0x118/0x150 mm/kasan/report.c:595 reuseport_select_sock+0xedc/0x1220 net/core/sock_reuseport.c:596 udp4_lib_lookup2+0x3bc/0x950 net/ipv4/udp.c:495 __udp4_lib_lookup+0x768/0xe20 net/ipv4/udp.c:723 __udp4_lib_lookup_skb+0x297/0x390 net/ipv4/udp.c:752 __udp4_lib_rcv+0x1312/0x2620 net/ipv4/udp.c:2752 ip_protocol_deliver_rcu+0x282/0x440 net/ipv4/ip_input.c:207 ip_local_deliver_finish+0x3bb/0x6f0 net/ipv4/ip_input.c:241 NF_HOOK+0x30c/0x3a0 include/linux/netfilter.h:318 NF_HOOK+0x30c/0x3a0 include/linux/netfilter.h:318 __netif_receive_skb_one_core net/core/dev.c:6181 [inline] __netif_receive_skb net/core/dev.c:6294 [inline] process_backlog+0xaa4/0x1960 net/core/dev.c:6645 __napi_poll+0xae/0x340 net/core/dev.c:7709 napi_poll net/core/dev.c:7772 [inline] net_rx_action+0x5d7/0xf50 net/core/dev.c:7929 handle_softirqs+0x22b/0x870 kernel/softirq.c:622 do_softirq+0x76/0xd0 kernel/softirq.c:523 </IRQ> <TASK> __local_bh_enable_ip+0xf8/0x130 kernel/softirq.c:450 local_bh_enable include/linux/bottom_half.h:33 [inline] rcu_read_unlock_bh include/linux/rcupdate.h:924 [inline] __dev_queue_xmit+0x1dd7/0x3710 net/core/dev.c:4890 neigh_output include/net/neighbour.h:556 [inline] ip_finish_output2+0xca9/0x1070 net/ipv4/ip_output.c:237 NF_HOOK_COND include/linux/netfilter.h:307 [inline] ip_output+0x29f/0x450 net/ipv4/ip_output.c:438 ip_send_skb+0x45/0xc0 net/ipv4/ip_output.c:1508 udp_send_skb+0xb04/0x1510 net/ipv4/udp.c:1195 udp_sendmsg+0x1a71/0x2350 net/ipv4/udp.c:1485 sock_sendmsg_nosec net/socket.c:727 [inline] __sock_sendmsg net/socket.c:742 [inline] __sys_sendto+0x554/0x680 net/socket.c:2206 __do_sys_sendto net/socket.c:2213 [inline] __se_sys_sendto net/socket.c:2209 [inline] __x64_sys_sendto+0xde/0x100 net/socket.c:2209 do_syscall_x64 arch/x86/entry/syscall_64.c:63 [inline] do_syscall_64+0x160/0xf80 arch/x86/entry/syscall_64.c:94 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x415a2d Code: b3 66 2e 0f 1f 84 00 00 00 00 00 66 90 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007f6bc31e41e8 EFLAGS: 00000212 ORIG_RAX: 000000000000002c RAX: ffffffffffffffda RBX: 00007f6bc31e4cdc RCX: 0000000000415a2d RDX: 0000000000000001 RSI: 00007f6bc31e421f RDI: 0000000000000003 RBP: 00007f6bc31e4240 R08: 00007f6bc31e4220 R09: 0000000000000010 R10: 0000000000000000 R11: ---truncated--- Уязвимость компонента net/core/filter.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-364')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для сокращения поверхности атаки с использованием уязвимости CVE-2026-52910 настройте sysctl для отключения eBPF для непривилегированных пользователей: 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора откройте файл /etc/sysctl.conf и добавьте следующую строку: ``` kernel.unprivileged_bpf_disabled=1 ``` Сохраните файл. 2. Примените изменения: ``` sudo sysctl -p ``` 3. Проверьте текущее состояние sysctl: ``` cat /proc/sys/kernel/unprivileged_bpf_disabled ``` Убедитесь, что значение равно 1, что означает, что непривилегированные пользователи не могут использовать eBPF. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: skbuff: fix missing zerocopy reference in pskb_carve helpers pskb_carve_inside_header() and pskb_carve_inside_nonlinear() both copy the old skb_shared_info header into a new buffer via memcpy(), which includes the destructor_arg pointer (uarg) for MSG_ZEROCOPY skbs. Neither function calls net_zcopy_get() for the new shinfo, creating an unaccounted holder: every skb_shared_info with destructor_arg set will call skb_zcopy_clear() once when freed, but the corresponding net_zcopy_get() was never called for the new copy. Repeated calls drive uarg->refcnt to zero prematurely, freeing ubuf_info_msgzc while TX skbs still hold live destructor_arg pointers. KASAN reports use-after-free on a freed ubuf_info_msgzc: BUG: KASAN: slab-use-after-free in skb_release_data+0x77b/0x810 Read of size 8 at addr ffff88801574d3e8 by task poc/220 Call Trace: skb_release_data+0x77b/0x810 kfree_skb_list_reason+0x13e/0x610 skb_release_data+0x4cd/0x810 sk_skb_reason_drop+0xf3/0x340 skb_queue_purge_reason+0x282/0x440 rds_tcp_inc_free+0x1e/0x30 rds_recvmsg+0x354/0x1780 __sys_recvmsg+0xdf/0x180 Allocated by task 219: msg_zerocopy_realloc+0x157/0x7b0 tcp_sendmsg_locked+0x2892/0x3ba0 Freed by task 219: ip_recv_error+0x74a/0xb10 tcp_recvmsg+0x475/0x530 The skb consuming the late access still referenced the same uarg via shinfo->destructor_arg copied by pskb_carve_inside_nonlinear() without a refcount bump. This has been verified to be reliably exploitable: a working proof-of-concept achieves full root privilege escalation from an unprivileged local user on a default kernel configuration. The fix follows the pattern of pskb_expand_head() which has the same memcpy/cloned structure. For pskb_carve_inside_header(), net_zcopy_get() is placed after skb_orphan_frags() succeeds, so the orphan error path needs no cleanup. For pskb_carve_inside_nonlinear(), net_zcopy_get() is placed after all failure points and just before skb_release_data(), so no error path needs cleanup at all -- matching pskb_expand_head() more closely and avoiding the need for a balancing net_zcopy_put(). Уязвимость компонента net/core/skbuff.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-911')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Существующий метод эксплуатации уязвимости полагается на возможность создания непривилегированными пользователями пространств имен. Решением проблемы является отключение данной возможности для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: 1. Используя полномочия администратора системы с высоким уровнем целостности запустить команды ``` echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf sysctl -p /etc/sysctl.d/userns.conf ``` 2. Выполнить перезагрузку ОС 3. Убедиться в том, что настройка применилась: ``` cat /etc/sysctl.d/userns.conf ``` Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ppp: require CAP_NET_ADMIN in target netns for unattached ioctls /dev/ppp open is currently authorized against file->f_cred->user_ns, while unattached administrative ioctls operate on current->nsproxy->net_ns. As a result, a local unprivileged user can create a new user namespace with CLONE_NEWUSER, gain CAP_NET_ADMIN only in that new user namespace, and still issue PPPIOCNEWUNIT, PPPIOCATTACH, or PPPIOCATTCHAN against an inherited network namespace. Require CAP_NET_ADMIN in the user namespace that owns the target network namespace before handling unattached PPP administrative ioctls. This preserves normal pppd operation in the network namespace it is actually privileged in, while rejecting the userns-only inherited-netns case. Уязвимость компонента drivers/net/ppp/ppp_generic.c ядра операционной системы Linux связана с некорректным присваиванием привилегий. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Существующий метод эксплуатации уязвимости полагается на возможность создания непривилегированными пользователями пространств имен. Решением проблемы является отключение данной возможности для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: 1. Используя полномочия администратора системы с высоким уровнем целостности запустить команды ``` echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf sysctl -p /etc/sysctl.d/userns.conf ``` 2. Выполнить перезагрузку ОС 3. Убедиться в том, что настройка применилась: ``` cat /etc/sysctl.d/userns.conf ``` Astra Linux 1.8 chromium Use after free in PerformanceManager in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента PerformanceManager веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially exploit heap corruption via a crafted PDF file. (Chromium security severity: High) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Passwords in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in WebAudio in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in SVG in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента SVG веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Skia in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Skia in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Skia in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebCodecs in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebCodecs веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in WTF in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WTF веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DOM in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DOM веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Headless in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Headless веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in USB in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента USB веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 148.0.7778.216 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code inside a sandbox via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Network in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Network веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromecast in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in FileSystem in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Cast Streaming in Google Chrome prior to 149.0.7827.53 allowed an attacker on the local network segment to execute arbitrary code via malicious network traffic. (Chromium security severity: Critical) Уязвимость компонента Cast Streaming веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Cast in Google Chrome prior to 149.0.7827.53 allowed an attacker on the local network segment to potentially exploit heap corruption via malicious network traffic. (Chromium security severity: Critical) Уязвимость компонента Cast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GFX in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента GFX веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromoting in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code via malicious network traffic. (Chromium security severity: Critical) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Printing in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Printing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in GPU in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента GPU веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Stack buffer overflow in GPU in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента GPU веб-браузера Google Chrome связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Network in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Network веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebAuthentication in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAuthentication веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Extensions in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Viz in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Viz веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass same origin policy via malicious network traffic. (Chromium security severity: High) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Chromecast in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Cast in Google Chrome prior to 149.0.7827.53 allowed an attacker on the local network segment to execute arbitrary code via malicious network traffic. (Chromium security severity: High) Уязвимость компонента Cast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Script injection in Headless in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Headless веб-браузера Google Chrome связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in FileSystem in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346'), NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Input in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Input веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds memory access in Skia in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDF in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: High) Уязвимость компонента PDF веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Video in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Video веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Actor in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Actor веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in MimeHandlerView in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента MimeHandlerView веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Glic in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Glic веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Codecs in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Codecs веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in DevTools in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DevTools веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Codecs in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted video file. (Chromium security severity: High) Уязвимость компонента Codecs веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного video файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Extensions in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to perform privilege escalation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in InterestGroups in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента InterestGroups веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N', score=7.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N', score=7.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Skia in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Codecs in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted video file. (Chromium security severity: High) Уязвимость компонента Codecs веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного video файла [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebXR in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebXR веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Skia in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a malicious file. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Glic in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Glic веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in Animation in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Animation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Skia in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in TabStrip in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента TabStrip веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Workers in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Workers веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to bypass discretionary access control via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с неправильным присвоением разрешений для критичного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-732'), NistCWE(cwe='CWE-732')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Media in Google Chrome prior to 149.0.7827.53 allowed an attacker on the local network segment to perform an out of bounds memory read via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=4.0) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Fonts in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Fonts веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Payments in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Payments веб-браузера Google Chrome связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290'), NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Autofill in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebAppInstalls in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebAppInstalls веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Password Manager in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Password Manager веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Network in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to bypass site isolation via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in WebGPU in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebGPU веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Network in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Link Preview in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Link Preview веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Actor in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Actor веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted XML file. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного XML файла [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebAppInstalls in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebAppInstalls веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Stack buffer overflow in Skia in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially exploit stack corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to bypass navigation restrictions via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Glic in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Glic веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media in Google Chrome on Linux and ChromeOS prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Network in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially exploit heap corruption via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Password Manager in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform UI spoofing via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Password Manager веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Password Manager in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Password Manager веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DOM in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DOM веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in Codecs in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted video file. (Chromium security severity: Medium) Уязвимость компонента Codecs веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного video файла [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Subresource Integrity in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass content security policy via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Subresource Integrity веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Skia in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in GPU in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to bypass same origin policy via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Password Manager in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Password Manager веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium No description Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Skia in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Blink in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Blink веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to inject scripts or HTML into a privileged page via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebSockets in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebSockets веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Cast in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Base in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Base веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebGL in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebGL веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in CSS in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Bad cast in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FileSystem in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Codecs in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform an out of bounds memory write via a crafted video file. (Chromium security severity: Medium) Уязвимость компонента Codecs веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного video файла [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Canvas in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Canvas веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Password Manager in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Password Manager веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Password Manager in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Password Manager веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to perform privilege escalation via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Printing in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Printing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Codecs in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Codecs веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in WebRTC in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in GPU in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium No description Astra Linux 1.8 chromium Inappropriate implementation in Isolated Web Apps in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a malicious file. (Chromium security severity: Medium) Уязвимость компонента Isolated Web Apps веб-браузера Google Chrome связана с использованием функции с несогласованными реализациями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-474')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebUI in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebUI веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Downloads in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Chromoting in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromoting in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Enterprise Reporting in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Enterprise Reporting веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Skia in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Keyboard in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Keyboard веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-358')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Skia in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Compositing in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Compositing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to leak cross-origin data via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Web Share in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Web Share веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Paint in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Paint веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Paint in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Paint веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Autofill in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass discretionary access control via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Canvas in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Canvas веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Paint in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Paint веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Chromecast in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Audio in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Audio веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Paint in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Paint веб-браузера Google Chrome связана с обходом авторизации посредством использования ключа, контролируемого пользователем. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-639')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Extensions in Google Chrome on Linux prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to obtain potentially sensitive information from process memory via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted video file. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного video файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Chromoting in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Extensions in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to perform privilege escalation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in XML in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента XML веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Password Manager in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Password Manager веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Object lifecycle issue in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Forms in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Forms веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300'), NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Script injection in Accessibility in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to inject arbitrary scripts or HTML (UXSS) via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Accessibility веб-браузера Google Chrome связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-94'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Skia in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Input in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Input веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DataTransfer in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DataTransfer веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Blink in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Blink веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SVG in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SVG веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N', score=6.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in XML in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted XML file. (Chromium security severity: Medium) Уязвимость компонента XML веб-браузера Google Chrome связана с внедрением xml (blind xpath injection). Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданного XML файла [NistCWE(cwe='CWE-91')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Chromoting in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker to perform OS-level privilege escalation via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Blink in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Blink веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Site Isolation in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Site Isolation веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Omnibox in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Omnibox веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in ORB in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ORB веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SVG in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SVG веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Media Session in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media Session веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SVG in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SVG веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in GWP-ASan in Google Chrome prior to 149.0.7827.53 allowed a local attacker to obtain potentially sensitive information from process memory via a malicious file. (Chromium security severity: Medium) Уязвимость компонента GWP-ASan веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью вредоносного файла [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Actor in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Actor веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code inside a sandbox via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Glic in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Glic веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to bypass navigation restrictions via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to bypass discretionary access control via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds memory access in ANGLE in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Password Manager in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform UI spoofing via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Password Manager веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Password Manager in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass discretionary access control via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Password Manager веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Network in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in MHTML in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента MHTML веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in XML in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted XML file. (Chromium security severity: Medium) Уязвимость компонента XML веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного XML файла [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Workers in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Workers веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Codecs in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted video file. (Chromium security severity: Medium) Уязвимость компонента Codecs веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного video файла [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebRTC in Google Chrome prior to 149.0.7827.53 allowed an attacker in a privileged network position to leak cross-origin data via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N', score=5.9) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebRTC in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ServiceWorker in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in ServiceWorker in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Autofill in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Codecs in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Codecs веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Safe Browsing in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass discretionary access control via a crafted RAR file. (Chromium security severity: Medium) Уязвимость компонента Safe Browsing веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданного RAR файла [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in V8 in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to leak cross-origin data via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Reading Mode in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Reading Mode веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in File Input in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость пользовательского интерфейса веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Fenced Frames in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Fenced Frames веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Navigation in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Navigation веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Navigation in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Navigation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in PointerLock in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента PointerLock веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Tab Strip in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform domain spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Tab Strip веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Network in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromoting in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebUI in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform domain spoofing via a crafted domain name. (Chromium security severity: Low) Уязвимость компонента WebUI веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Tab Hover Cards in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform domain spoofing via a crafted domain name. (Chromium security severity: Low) Уязвимость компонента Tab Hover Cards веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in File Input in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента File Input веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Enterprise in Google Chrome prior to 149.0.7827.53 allowed a local attacker to perform privilege escalation via physical access to the device. (Chromium security severity: Low) Уязвимость компонента Enterprise веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in TabGroups in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform UI spoofing via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента TabGroups веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in FoldableAPIs in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FoldableAPIs веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N', score=4.7) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FoldableAPIs in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FoldableAPIs веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Compositing in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Compositing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Web Bluetooth in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Web Bluetooth веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Media in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Media веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to obtain potentially sensitive information from process memory via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с отсутствием аутентификации для критичных функций. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-306')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N', score=5.9) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to perform privilege escalation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Loader in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Loader веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Cast in Google Chrome prior to 149.0.7827.53 allowed an attacker on the local network segment to perform privilege escalation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.0) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Plugins in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Plugins веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Downloads in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Downloads веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebAuthentication in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebAuthentication веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Payments in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Payments веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in IndexedDB in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента IndexedDB веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Google Lens in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Google Lens веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Network in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Network веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N', score=4.7) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Password Manager in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to bypass discretionary access control via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Password Manager веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Content Settings in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass discretionary access control via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Content Settings веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Permissions веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Permissions веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Storage Access API in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Storage Access API веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in GPU in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента GPU веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Browser in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Browser веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in File System Access in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass discretionary access control via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента File System Access веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Cast in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Permissions веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in PDF in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента PDF веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in TabStrip in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента TabStrip веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in Content Security Policy in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Content Security Policy веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Autofill веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SafeBrowsing in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass Safe Browsing via a malicious file. (Chromium security severity: Low) Уязвимость компонента SafeBrowsing веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью вредоносного файла [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to bypass content security policy via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.53 allowed an attacker in a privileged network position to execute arbitrary code inside a sandbox via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с включением функциональности из ненадежной управляющей сферы. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-829')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Passwords веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Omnibox in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who convinced a user to engage in specific UI gestures to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Omnibox веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Cast in Google Chrome prior to 149.0.7827.53 allowed an attacker on the local network segment to bypass discretionary access control via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Cast веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=5.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in DevTools in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Sandbox in Google Chrome on Linux prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Sandbox веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in PerformanceAPIs in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента PerformanceAPIs веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300'), NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Wallet in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Wallet веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in CSS in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента CSS веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Paint in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Paint веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300'), NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Blink in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Blink веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Input in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Input веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Passwords веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in ImageCapture in Google Chrome prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to perform privilege escalation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента ImageCapture веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Fonts in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Fonts веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Permissions веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in LiveCaption in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially perform out of bounds memory access via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента LiveCaption веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: Low) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to potentially exploit heap corruption via a crafted PDF file. (Chromium security severity: Low) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: Low) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: Low) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: Low) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to perform privilege escalation via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in History in Google Chrome prior to 149.0.7827.53 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента History веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome prior to 149.0.7827.103 allowed a local attacker to potentially exploit heap corruption via physical access to the device. (Chromium security severity: Critical) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=6.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in File Input in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента File Input веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in TabStrip in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента TabStrip веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Printing in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Printing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in libyuv in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента libyuv веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Web Apps in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Web Apps веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Proxy in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code via malicious network traffic. (Chromium security severity: Critical) Уязвимость компонента Proxy веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome on Linux prior to 149.0.7827.103 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code via a crafted Chrome Extension. (Chromium security severity: Critical) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in V8 in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ViewTransitions in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ViewTransitions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Network in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Network веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ServiceWorker in Google Chrome prior to 149.0.7827.103 allowed an attacker who convinced a user to install a malicious extension to potentially perform a sandbox escape via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Extensions in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in UI in Google Chrome on Linux prior to 149.0.7827.103 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента UI веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in New Tab Page in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента New Tab Page веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in Bindings in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Bindings веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Skia in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Payments in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Payments веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Input in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Input веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in WebRTC in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the GPU process to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Codecs in Google Chrome on Linux, ChromeOS prior to 149.0.7827.103 allowed a remote attacker to leak cross-origin data via a crafted video file. (Chromium security severity: High) Уязвимость компонента Codecs веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного video файла [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Media in Google Chrome on ChromeOS prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDF in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: High) Уязвимость компонента PDF веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Navigation in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Navigation веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in InterestGroups in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента InterestGroups веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Guest View in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Guest View веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Skia in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Dawn in Google Chrome on Linux and ChromeOS prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in libyuv in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента libyuv веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome on Linux prior to 149.0.7827.103 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Views in Google Chrome on Linux prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebCodecs in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebCodecs веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Network in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the utility process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Network веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Dawn in Google Chrome on macOS prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SVG in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента SVG веб-браузера Google Chrome связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Passwords in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in New Tab Page in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента New Tab Page веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Read Anything in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Read Anything веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Plugins in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Plugins веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ServiceWorker in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in UI in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента UI веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Tracing in Google Chrome prior to 149.0.7827.103 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Tracing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Guest View in Google Chrome prior to 149.0.7827.103 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Guest View веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DigitalCredentials in Google Chrome prior to 149.0.7827.115 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Network in Google Chrome prior to 149.0.7827.115 allowed an attacker in a privileged network position to potentially exploit heap corruption via malicious network traffic. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Cast in Google Chrome prior to 149.0.7827.115 allowed an attacker on the local network segment to potentially perform a sandbox escape via malicious network traffic. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Autofill in Google Chrome prior to 149.0.7827.115 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 149.0.7827.115 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.115 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Codecs in Google Chrome on Linux and ChromeOS prior to 149.0.7827.115 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 149.0.7827.115 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Network in Google Chrome prior to 149.0.7827.115 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Video in Google Chrome on ChromeOS prior to 149.0.7827.115 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Headless in Google Chrome prior to 149.0.7827.115 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с ошибками разграничения доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-250')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in VideoCapture in Google Chrome prior to 149.0.7827.115 allowed a remote attacker who had compromised the GPU process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Linux Toolkit Theming in Google Chrome on Linux prior to 149.0.7827.115 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a malicious file. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Digital Credentials in Google Chrome prior to 149.0.7827.155 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Digital Credentials веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in File Input in Google Chrome on Linux prior to 149.0.7827.155 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента File Input веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Web Authentication in Google Chrome prior to 149.0.7827.155 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Web Authentication веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 149.0.7827.155 allowed an attacker who convinced a user to install a malicious extension to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 149.0.7827.155 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebRTC in Google Chrome prior to 149.0.7827.155 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Media in Google Chrome prior to 149.0.7827.155 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DigitalCredentials in Google Chrome prior to 149.0.7827.155 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DigitalCredentials веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Input in Google Chrome prior to 149.0.7827.155 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Input веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Tab Strip in Google Chrome prior to 149.0.7827.155 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Tab Strip веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.155 allowed an attacker who convinced a user to install a malicious extension to bypass same origin policy via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.155 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 149.0.7827.155 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Serial in Google Chrome prior to 149.0.7827.155 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Serial веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in File System Access in Google Chrome prior to 149.0.7827.155 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted PDF file. (Chromium security severity: High) Уязвимость компонента File System Access веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданного PDF файла [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media in Google Chrome prior to 149.0.7827.155 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Views in Google Chrome on Linux prior to 149.0.7827.155 allowed a remote attacker who had compromised the renderer process to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N', score=4.7) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Browser in Google Chrome prior to 149.0.7827.155 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Browser веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Object lifecycle issue in Metrics in Google Chrome prior to 149.0.7827.155 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Metrics веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 149.0.7827.155 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DeviceBoundSessionCredentials in Google Chrome prior to 149.0.7827.197 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DeviceBoundSessionCredentials веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 149.0.7827.197 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Autofill веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in GPU in Google Chrome prior to 149.0.7827.197 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Navigation in Google Chrome prior to 149.0.7827.197 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Navigation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in DevTools in Google Chrome prior to 149.0.7827.197 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in FileSystem in Google Chrome prior to 149.0.7827.197 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Web Authentication in Google Chrome prior to 149.0.7827.197 allowed an attacker who convinced a user to install a malicious extension to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Web Authentication веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Blink in Google Chrome prior to 149.0.7827.197 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Blink веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in Blink>InterestGroups in Google Chrome prior to 149.0.7827.197 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Blink>InterestGroups веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 149.0.7827.197 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N', score=4.7) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Blink in Google Chrome prior to 149.0.7827.197 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Blink веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Mojo in Google Chrome prior to 149.0.7827.201 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a malicious file. (Chromium security severity: High) Уязвимость компонента Mojo веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code via a crafted Chrome Extension. (Chromium security severity: Critical) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GPU in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in Dawn in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Dawn веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromoting in Google Chrome on ChromeOS prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code via malicious network traffic. (Chromium security severity: Critical) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Skia in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Skia веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Browser in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Browser веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GPU in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Scroll in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Scroll веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Downloads in Google Chrome prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Downloads веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in SVG in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента SVG веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Chromecast in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Chromecast in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Chromecast in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in QUIC in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to potentially exploit heap corruption via malicious network traffic. (Chromium security severity: High) Уязвимость компонента QUIC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Chromecast in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in Chrome Tabs in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Chrome Tabs веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromecast in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Accessibility in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Accessibility веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Input in Google Chrome on Linux prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Input веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in IME in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента IME веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Blink in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Blink веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Glic in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Glic веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Canvas in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Canvas веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Glic in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Glic веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform privilege escalation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Dawn in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Enterprise in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Enterprise веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromoting in Google Chrome on Linux prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code via malicious network traffic. (Chromium security severity: High) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in GPU in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Headless in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Headless веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in XML in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента XML веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CSS веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CSS веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CSS веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CSS веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Canvas in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Canvas веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Skia in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DOM in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DOM веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Forms in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Forms веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Journeys in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Journeys веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome on Linux prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome on Linux prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Geometry in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Geometry веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in FFmpeg in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted video file. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome, мультимедийной библиотеки FFmpeg связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного video файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in ANGLE in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Core in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Core веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in WebHID in Google Chrome prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to perform privilege escalation via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента WebHID веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Enterprise in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Enterprise веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Geolocation in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Geolocation веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in GuestView in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GuestView веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Layout in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Layout веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in DataTransfer in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DataTransfer веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Network in Google Chrome prior to 150.0.7871.47 allowed an attacker in a privileged network position to bypass content security policy via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Bluetooth in Google Chrome prior to 150.0.7871.47 allowed an attacker on the local network segment to obtain potentially sensitive information from process memory via a malicious peripheral. (Chromium security severity: Medium) Уязвимость компонента Bluetooth веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebAppInstalls in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebAppInstalls веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in USB in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента USB веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in ANGLE in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Chromecast in Google Chrome prior to 150.0.7871.47 allowed a local attacker to execute arbitrary code via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Isolated Web Apps in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Isolated Web Apps веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Chromecast in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Extensions in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform privilege escalation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebUI in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента WebUI веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Network in Google Chrome prior to 150.0.7871.47 allowed an attacker in a privileged network position to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Glic in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Glic веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Chromecast in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform privilege escalation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Cast Receiver in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Cast Receiver веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in HTML in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента HTML веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Chromecast in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Serial in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Serial веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Bluetooth in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform privilege escalation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Bluetooth веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Codecs in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Codecs веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Spellcheck in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Spellcheck веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DeviceBoundSessionCredentials in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DeviceBoundSessionCredentials веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Paint in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Paint веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Network in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Enterprise in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform privilege escalation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Enterprise веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Actor in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Actor веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Passwords in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in ComputePressure in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ComputePressure веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Passwords in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Fonts in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Fonts веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Cast in Google Chrome prior to 150.0.7871.47 allowed an attacker on the local network segment to obtain potentially sensitive information from process memory via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Cast веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Video Capture in Google Chrome on ChromeOS prior to 150.0.7871.47 allowed a local attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Video Capture веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome on Linux prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in XR in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента XR веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in GPU in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in USB in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента USB веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in PerformanceAPIs in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PerformanceAPIs веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SplitView in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SplitView веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in PageInfo in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PageInfo веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Extensions in Google Chrome prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Blink in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Blink веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in PDF in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PDF веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Oilpan in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Oilpan веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in History in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента History веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in V8 in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code inside a sandbox via a malicious file. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Media in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Skia in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Paint in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Paint веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in UI in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента UI веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in Storage in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Storage веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:L', score=5.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in HTMLParser in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента HTMLParser веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in PageInfo in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PageInfo веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Paint in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Paint веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Passwords in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in TabStrip in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента TabStrip веб-браузера Google Chrome связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290'), NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in MediaCapture in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента MediaCapture веб-браузера Google Chrome связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290'), NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Media UI in Google Chrome on ChromeOS prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media UI веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Paint in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Paint веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in PageInfo in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PageInfo веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in WebAppInstalls in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform domain spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebAppInstalls веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Permissions веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Extensions in Google Chrome prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in XML in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента XML веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Network in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Geolocation in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Geolocation веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to leak cross-origin data via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Navigation in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in PermissionsPolicy in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PermissionsPolicy веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in SurfaceCapture in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SurfaceCapture веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in CSS in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SVG in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SVG веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Paint in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Paint веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SVG in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SVG веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Navigation in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-522')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebXR in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebXR веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in StorageAccessAPI in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента StorageAccessAPI веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Network in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in SanitizerAPI in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SanitizerAPI веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome on Linux prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in SplitView in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента SplitView веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in SignIn in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента SignIn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SplitView in Google Chrome on Linux prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to spoof the contents of the Omnibox (URL bar) via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента SplitView веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in File Input in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента File Input веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Bluetooth in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Bluetooth веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Bluetooth in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform privilege escalation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Bluetooth веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in GPU in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента GPU веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in New Tab Page in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента New Tab Page веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N', score=9.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in GetUserMedia in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента GetUserMedia веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in BrowserTag in Google Chrome prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента BrowserTag веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Serial in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform privilege escalation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Serial веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Isolated Web Apps in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Isolated Web Apps веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GetUserMedia in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента GetUserMedia веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Network in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to bypass content security policy via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromecast in Google Chrome prior to 150.0.7871.47 allowed an attacker on the local network segment to obtain potentially sensitive information from process memory via a malicious peripheral. (Chromium security severity: Low) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in GPU in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента GPU веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Passwords in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in GamepadAPI in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента GamepadAPI веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in FileSystem in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass discretionary access control via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Network in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Network веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Media in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted video file. (Chromium security severity: Low) Уязвимость компонента Media веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного video файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FedCM in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FedCM веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Parser in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Parser веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Related-Website-Sets in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Related-Website-Sets веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Dawn in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Dawn веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Views in Google Chrome on ChromeOS prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to obtain potentially sensitive information from process memory via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента Views веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N', score=5.9) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Chromecast in Google Chrome prior to 150.0.7871.47 allowed a local attacker to obtain potentially sensitive information from process memory via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.7) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in PageInfo in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента PageInfo веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in WebNN in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebNN веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in WebNN in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebNN веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in WebAudio in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebAudio веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300'), NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SplitView in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента SplitView веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebXR in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebXR веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Network in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Network веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebRTC in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform privilege escalation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Network in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Network веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to obtain potentially sensitive information from process memory via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in Storage in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Storage веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in HTML in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента HTML веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Chromoting in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to potentially exploit heap corruption via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in CSS in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента CSS веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in HID in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента HID веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in PopupBlocker in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента PopupBlocker веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in CameraCapture in Google Chrome on ChromeOS prior to 150.0.7871.47 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента CameraCapture веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Privacy in Google Chrome prior to 150.0.7871.47 allowed an attacker in a privileged network position to leak cross-origin data via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Privacy веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Cast in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Cast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Browser in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Browser веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента CSS веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in NetworkCache in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента NetworkCache веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Passwords in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Passwords веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in SSL in Google Chrome on ChromeOS prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента SSL веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebAppInstalls in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebAppInstalls веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Speech in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Speech веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Scheduling in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Scheduling веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: Low) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Mojo in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Mojo веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DarkMode in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DarkMode веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1021'), NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebProtect in Google Chrome prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента WebProtect веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Enterprise in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Enterprise веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Cast in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform privilege escalation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in DevTools in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromoting in Google Chrome on Linux prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Printing in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Printing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Omnibox in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Omnibox веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebAppInstalls in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebAppInstalls веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebXR in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebXR веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in History Embeddings in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента History Embeddings веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Network in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in TabStrip in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента TabStrip веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1021'), NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Views in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Views веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента CSS веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента CSS веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента CSS веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in CSS in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента CSS веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Audio in Google Chrome on Linux prior to 150.0.7871.47 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Audio веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Speech in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Speech веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in AI in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента AI веб-браузера Google Chrome связана с неправильным перемещением ресурса между областями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-669'), NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in ANGLE in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Glic in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Glic веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 150.0.7871.47 allowed an attacker who convinced a user to install a malicious extension to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L', score=4.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in StorageAccessAPI in Google Chrome prior to 150.0.7871.47 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента StorageAccessAPI веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in StorageAccessAPI in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента StorageAccessAPI веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862'), NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in WebAppInstalls in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebAppInstalls веб-браузера Google Chrome связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290'), NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Skia in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Skia in Google Chrome prior to 150.0.7871.46 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in Tint in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Tint веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Dawn in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 150.0.7871.46 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in PDFium in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to perform UI spoofing via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента PDFium веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданного PDF файла [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in V8 in Google Chrome prior to 150.0.7871.46 allowed an attacker who convinced a user to install a malicious extension to obtain potentially sensitive information from process memory via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N', score=5.9) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Dawn in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Skia in Google Chrome prior to 150.0.7871.46 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Skia веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 150.0.7871.46 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 150.0.7871.46 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Skia in Google Chrome prior to 150.0.7871.46 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Dawn in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Dawn веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Skia in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Skia веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in Dawn in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Dawn веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Dawn in Google Chrome on ChromeOS prior to 150.0.7871.46 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in Tint in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Tint веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in Tint in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Tint веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Skia in Google Chrome prior to 150.0.7871.46 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Skia веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Skia in Google Chrome prior to 150.0.7871.46 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 150.0.7871.46 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in IndexedDB in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента IndexedDB веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Extensions API in Google Chrome prior to 150.0.7871.115 allowed an attacker who convinced a user to install a malicious extension to perform an out of bounds memory read via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Extensions API веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 150.0.7871.115 allowed an attacker who convinced a user to install a malicious extension to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 150.0.7871.115 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in Codecs in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to potentially exploit heap corruption via a crafted video file. (Chromium security severity: High) Уязвимость компонента Codecs веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного video файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Actor in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Actor веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Payments in Google Chrome prior to 150.0.7871.115 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Payments веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Input in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Input веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in GetUserMedia in Google Chrome prior to 150.0.7871.115 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GetUserMedia веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DOM in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DOM веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Passwords in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Forms in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Forms веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Forms in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Forms веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebGL in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebGL веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Forms in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Forms веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Navigation in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Navigation веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Navigation in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in V8 in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in InterestGroups in Google Chrome prior to 150.0.7871.115 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента InterestGroups веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: SEV: Require in-GHCB scratch area if GHCB v2+ is in use As per the GHCB spec, when using GHCB v2+ require the software scratch area to reside in the GHCB's shared buffer. Note, things like Page State Change (PSC) requests _rely_ on this behavior, as the guest can't provide a length when making the request, i.e. the size of the guest payload is bounded by the size of the shared buffer. Failure to force usage of the GHCB, and a slew of other flaws, lets a malicious SNP guest corrupt host kernel heap memory, and leak host heap layout information. setup_vmgexit_scratch() allocates a buffer via kvzalloc(exit_info_2), where exit_info_2 is guest-controlled. With exit_info_2=24, this yields a 24-byte allocation in kmalloc-cg-32 (32-byte slab objects). The buffer holds an 8-byte psc_hdr followed by 8-byte psc_entry structs, so only entries[0] and entries[1] are in-bounds. snp_begin_psc() validates end_entry against VMGEXIT_PSC_MAX_COUNT (253) but NOT against the actual buffer size: idx_end = hdr->end_entry; if (idx_end >= VMGEXIT_PSC_MAX_COUNT) { // checks 253, not buffer snp_complete_psc(svm, ...); return 1; } for (idx = idx_start; idx <= idx_end; idx++) { entry_start = entries[idx]; // OOB when idx >= 2 The guest sets end_entry=10+, causing the host to iterate entries[2+] which are OOB into adjacent slab objects. For each OOB entry: - The host reads 8 bytes (OOB READ / info leak oracle) - If the data passes PSC validation, __snp_complete_one_psc() writes cur_page = 1 or 512 into the entry (OOB WRITE, sev.c:3806) - If validation fails, the error response reveals whether adjacent memory is zero vs non-zero (information disclosure to guest) The guest controls allocation size (exit_info_2), entry range (cur_entry/end_entry), and can fire unlimited VMGEXITs to repeatedly hit different slab positions. By exploiting the variety of bugs, a malicious SEV-SNP guest can: - OOB read adjacent kmalloc-cg-32 objects (heap layout disclosure) - OOB write cur_page bits into adjacent objects (heap corruption) - Trigger use-after-free conditions across VMGEXITs E.g. with KASAN enabled, a single insmod of the PoC guest module produces 73 KASAN reports: BUG: KASAN: slab-out-of-bounds in snp_begin_psc+0x126/0x890 Read of size 8 at addr ffff888219ffb5e0 by task qemu-system-x86/2199 BUG: KASAN: slab-out-of-bounds in snp_begin_psc+0x468/0x890 Write of size 8 at addr ffff888351566648 by task qemu-system-x86/2199 The buggy address belongs to the object at ffff888XXXXXXXXX which belongs to the cache kmalloc-cg-32 of size 32 The buggy address is located N bytes to the right of allocated 32-byte region [ffff888XXXXXXXXX, ffff888XXXXXXXXX) Breakdown: 62 slab-out-of-bounds (reads + writes past allocation) 7 slab-use-after-free 4 use-after-free All credit to Stan for the wonderful description and reproducer! [sean: write changelog] Уязвимость функции setup_vmgexit_scratch() подсистемы KVM ядра операционных систем Linux связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля kvm_amd.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль kvm_amd в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep kvm_amd ``` или ``` kmod list | grep kvm_amd ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля kvm_amd.ko: ``` sudo rmmod kvm_amd ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-kvm_amd.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install kvm_amd /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 147.0.7727.117 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DevTools веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GPU in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in media in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента media веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Cast in Google Chrome prior to 147.0.7727.138 allowed an attacker on the local network segment to potentially exploit heap corruption via malicious network traffic. (Chromium security severity: High) Уязвимость компонента Cast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebRTC in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Feedback in Google Chrome prior to 147.0.7727.138 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Feedback веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Tint in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Tint веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromoting in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to execute arbitrary code via malicious network traffic. (Chromium security severity: High) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Codecs in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Codecs веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Cast in Google Chrome prior to 147.0.7727.138 allowed an attacker on the local network segment to execute arbitrary code inside a sandbox via malicious network traffic. (Chromium security severity: High) Уязвимость компонента Cast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebMIDI in Google Chrome prior to 147.0.7727.138 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebMIDI веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in MHTML in Google Chrome prior to 147.0.7727.138 allowed an attacker who convinced a user to install a malicious extension to leak cross-origin data via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента MHTML браузера Google Chrome связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть конфиденциальную информацию [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Skia in Google Chrome prior to 147.0.7727.138 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in Angle in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Angle веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Navigation in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Navigation веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GPU in Google Chrome prior to 147.0.7727.138 allowed a remote attacker who had compromised the renderer process to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость графического процессора браузера Google Chrome связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать повреждение памяти [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Animation in Google Chrome prior to 147.0.7727.138 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Animation браузера Google Chrome связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 147.0.7727.138 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость библиотеки ANGLE браузера Google Chrome связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к системным ресурсам за пределами ограниченной среды браузера [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input. in Compositing in Google Chrome prior to 147.0.7727.138 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Compositing браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к защищаемой информации [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Canvas in Google Chrome on Linux, ChromeOS prior to 147.0.7727.138 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Canvas браузера Google Chrome связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код внутри изолированной программной среды с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Blink in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Blink веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromoting in Google Chrome on Linux prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code via malicious network traffic. (Chromium security severity: Critical) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in V8 in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in ANGLE in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds memory access in V8 in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Fonts in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Fonts веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in SVG in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента SVG веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DOM in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DOM веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Fullscreen in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Fullscreen веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in ServiceWorker in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in InterestGroups in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента InterestGroups веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GPU in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Aura in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Aura веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Skia in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Passwords in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ServiceWorker in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in Skia in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Dawn in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PresentationAPI in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента PresentationAPI веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in Runtime in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Runtime веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in MediaRecording in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента MediaRecording веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Downloads in Google Chrome prior to 148.0.7778.96 allowed a local attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in WebCodecs in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to perform an out of bounds memory read via a crafted video file. (Chromium security severity: Medium) Уязвимость компонента WebCodecs веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного video файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Popup Blocker in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Popup Blocker веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Speech in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Speech веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 148.0.7778.96 allowed an attacker who convinced a user to install a malicious extension to bypass navigation restrictions via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in CSS in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SanitizerAPI in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SanitizerAPI веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 148.0.7778.96 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code inside a sandbox via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in ANGLE in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to perform arbitrary read/write via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Persistent Cache in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Persistent Cache веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in COOP in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента COOP веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in WebUI in Google Chrome on Linux, Mac, Windows, ChromeOS prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebUI веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Network in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Skia in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in GFX in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to perform arbitrary read/write via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента GFX веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in WebRTC in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass discretionary access control via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Omnibox in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Omnibox веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in Shared Storage in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Shared Storage веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in GPU in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Navigation in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in ServiceWorker in Google Chrome prior to 148.0.7778.96 allowed an attacker who convinced a user to install a malicious extension to inject arbitrary scripts or HTML (UXSS) via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Navigation in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in Speech in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Speech веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Permissions in Google Chrome prior to 148.0.7778.96 allowed an attacker on the local network segment to leak cross-origin data via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Permissions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DirectSockets in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to perform arbitrary read/write via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента DirectSockets веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in ServiceWorker in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in FileSystem in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to perform arbitrary read/write via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in SiteIsolation in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Navigation in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in CORS in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CORS веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Network in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in TopChrome in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента TopChrome веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in ORB in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ORB веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in GPU in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Blink in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Blink веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 148.0.7778.96 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Canvas in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Canvas веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Media in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebAudio in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebAudio веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Codecs in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to obtain potentially sensitive information from process memory via a malicious file. (Chromium security severity: Medium) Уязвимость компонента Codecs веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью вредоносного файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in WebCodecs in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebCodecs веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Dawn in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ReadingMode in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ReadingMode веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GPU in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Autofill in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in WebRTC in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in DataTransfer in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to perform arbitrary read/write via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DataTransfer веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in UI in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента UI веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in UI in Google Chrome on Linux, ChromeOS prior to 148.0.7778.96 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента UI веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in AdFilter in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента AdFilter веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in SSL in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента SSL веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Dialog in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Dialog веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use After Free in Printing in Google Chrome on Linux, Mac, ChromeOS prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Printing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in TabGroups in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to perform UI spoofing via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента TabGroups веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 148.0.7778.96 allowed an attacker who convinced a user to install a malicious extension to leak cross-origin data via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Cast in Google Chrome prior to 148.0.7778.96 allowed an attacker on the local network segment to bypass same origin policy via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 148.0.7778.96 allowed an attacker who convinced a user to install a malicious extension to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Cast in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to perform privilege escalation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 148.0.7778.96 allowed an attacker who convinced a user to install a malicious extension to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Cast in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in SiteIsolation in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Search in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Search веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in MHTML in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента MHTML веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in FedCM in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FedCM веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Preload in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Preload веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Media in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Media веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Media in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Media веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to potentially perform a sandbox escape via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in WebApp in Google Chrome prior to 148.0.7778.96 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebApp веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Script injection in UI in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who convinced a user to engage in specific UI gestures to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента UI веб-браузера Google Chrome связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in MHTML in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted MHTML page. (Chromium security severity: Low) Уязвимость компонента MHTML веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-352'), NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebML in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента WebML веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in UI in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента UI веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in FileSystem in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Aura in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Aura веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in HID in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента HID веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DataTransfer in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who convinced a user to engage in specific UI gestures to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента DataTransfer веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Blink in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Blink веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in Payments in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Payments веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Tab Groups in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code via malicious network traffic. (Chromium security severity: Critical) Уязвимость компонента Tab Groups веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Mojo in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Mojo веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in WebAudio in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in WebRTC in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Downloads in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Downloads веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in SiteIsolation in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to bypass Site Isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Codecs in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted video file. (Chromium security severity: High) Уязвимость компонента Codecs веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного video файла [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in XML in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента XML веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Accessibility in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Accessibility веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in GPU in Google Chrome on Linux and ChromeOS prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Media in Google Chrome on Linux and ChromeOS prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted JPEG file. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного JPEG файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in ViewTransitions in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ViewTransitions веб-браузера Google Chrome связана с использованием недоверенного файла междоменной политики. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-942')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in GPU in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to perform a denial of service via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in UI in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента UI веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Object corruption in Compositing in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Compositing веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in Media in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Google Lens in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Google Lens веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Downloads in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Downloads веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GPU in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Accessibility in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to perform privilege escalation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Accessibility веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in Fonts in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Fonts веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Fullscreen in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Fullscreen веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Navigation in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in UI in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента UI веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CORS in Google Chrome on Linux and ChromeOS prior to 148.0.7778.168 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CORS веб-браузера Google Chrome связана с использованием недоверенного файла междоменной политики. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-942')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Fonts in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Fonts веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in GPU in Google Chrome on Linux prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Skia in Google Chrome prior to 148.0.7778.168 allowed a remote attacker who had compromised the renderer process to perform an out of bounds memory write via a crafted print file. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданного print файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Mojo in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Mojo веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GPU in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Object lifecycle issue in Dawn in Google Chrome prior to 148.0.7778.168 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-664')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Chromoting in Google Chrome prior to 148.0.7778.168 allowed a local attacker to bypass discretionary access control via a malicious file. (Chromium security severity: Medium) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome on Linux prior to 148.0.7778.179 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in QUIC in Google Chrome on prior to 148.0.7778.179 allowed a remote attacker to execute arbitrary code inside a sandbox via malicious network traffic. (Chromium security severity: High) Уязвимость компонента QUIC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Service Worker in Google Chrome on prior to 148.0.7778.179 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Service Worker веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in ServiceWorker in Google Chrome on prior to 148.0.7778.179 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in GFX in Google Chrome on Linux, ChromeOS prior to 148.0.7778.179 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted video file. (Chromium security severity: High) Уязвимость компонента GFX веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного video файла [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebRTC in Google Chrome on prior to 148.0.7778.179 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 148.0.7778.179 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in GPU in Google Chrome on prior to 148.0.7778.179 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Chromecast in Google Chrome on Android, Linux, ChromeOS prior to 148.0.7778.179 allowed a local attacker to execute arbitrary code inside a sandbox via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Input in Google Chrome on prior to 148.0.7778.179 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Input веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DOM in Google Chrome on prior to 148.0.7778.179 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DOM веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Network in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Network веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebGL in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента WebGL веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Base in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Base веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Proxy in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code via a crafted PAC script. (Chromium security severity: Critical) Уязвимость компонента Proxy веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted Chrome Extension. (Chromium security severity: Critical) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.0) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Skia in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Skia веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GPU in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in GPU in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DOM in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DOM веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Accessibility in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Accessibility веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Site Isolation in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted MHTML page. (Chromium security severity: High) Уязвимость компонента Site Isolation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in GPU in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Skia in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds memory access in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Tint in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Tint веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Skia in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GPU in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Input in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Input веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Aura in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who convinced a user to engage in specific UI gestures to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Aura веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebCodecs in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebCodecs веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in XML in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента XML веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in UI in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента UI веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebAudio in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in TabStrip in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента TabStrip веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDF in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: High) Уязвимость компонента PDF веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially exploit heap corruption via a crafted PDF file. (Chromium security severity: High) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in PDFium in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted font file. (Chromium security severity: High) Уязвимость компонента PDFium веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного font файла [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in SurfaceCapture in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента SurfaceCapture веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in GPU in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in V8 in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebGL in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebGL веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in GPU in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in USB in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента USB веб-браузера Google Chrome связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Glic in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Glic веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Input in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Input веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Printing in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Printing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.0) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Skia in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in Skia in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in OptimizationGuide in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента OptimizationGuide веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome on Linux prior to 148.0.7778.216 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Media in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to bypass same origin policy via a crafted video file. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного video файла [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Network in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Network веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted PDF file. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebXR in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebXR веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Input in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Input веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Skia in Google Chrome prior to 148.0.7778.216 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Fix shadow paging use-after-free due to unexpected role Commit 0cb2af2ea66ad ("KVM: x86: Fix shadow paging use-after-free due to unexpected GFN") fixed a shadow paging mismatch between stored and computed GFNs; the bug could be triggered by changing a PDE mapping from outside the guest, and then deleting a memslot. The rmap_remove() call would miss entries created after the PDE change because the GFN of the leaf SPTE does not match the GFN of the struct kvm_mmu_page. A similar hole however remains if the modified PDE points to a non-leaf page. In this case the gfn can be made to match, but the role does not match: the original large 2MB page creates a kvm_mmu_page with direct=1, while the new 4KB needs a kvm_mmu_page with direct=0. However, kvm_mmu_get_child_sp() does not compare the role, and therefore reuses the page. The next step is installing a leaf (4KB) SPTE on the new path which records an rmap entry under the gfn resolved by the walk. But when that child is zapped its parent kvm_mmu_page has direct=1 and kvm_mmu_page_get_gfn() computes the gfn for the 4KB page as sp->gfn + index instead of using sp->shadowed_translation[] (or sp->gfns[] in older kernels). It therefore fails to remove the recorded entry. When the memslot is dropped the shadow page is freed but the rmap entry survives, as in the scenario that was already fixed. Code that later walks that gfn (dirty logging, MMU notifier invalidation, and so on) dereferences an sptep that lies in the freed page, causing the use-after-free. Уязвимость компонента arch/x86/kvm/mmu/mmu.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) **Первый способ** Для устранения угрозы эксплуатации уязвимости CVE-2026-53359 (Januscape) необходимо выключить вложенную (nested) аппаратную виртуализацию в KVM. Для этого необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули `kvm_intel`, `kvm_amd` в ядро системы, для этого выполнить одну из команд: `lsmod | grep kvm_intel; lsmod | grep kvm_amd` или `kmod list | grep kvm_intel; kmod list | grep kvm_amd` Если модули не загружены, то в результате выполнения команды будет пустой вывод. Если модули загружены, то остановить запущенные виртуальные машины, использующие вложенную аппаратную виртуализацию, и выгрузить эти модули: - команда для выгрузки модуля kvm_intel.ko: `sudo rmmod kvm_intel` - команда для выгрузки модуля kvm_amd.ko: `sudo rmmod kvm_amd` 2. От имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/kvm.conf или файл /etc/modprobe.d/januscape.conf. **Примечание**. Указанные файлы не создаются автоматически. Если файлов нет, то необходимо создать один из указанных файлов. - добавить в файл строки: `options kvm_intel nested=0` `options kvm_amd nested=0` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` 4. Убедиться, что вложенная аппаратная виртуализация выключена: `cat /sys/module/kvm_intel/parameters/nested` `cat /sys/module/kvm_amd/parameters/nested` В результате вывода команд не должно быть указано Y или 1. **Второй способ** В качестве альтернативы можно запретить загрузку модуля kvm.ko в ядро системы. **ПРЕДУПРЕЖДЕНИЕ**. Запрет загрузки данного модуля приведет к невозможности использования аппаратной виртуализации. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль kvm в ядро системы, для этого выполнить одну из команд: `lsmod | grep kvm` или `kmod list | grep kvm` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля kvm.ko: `sudo rmmod kvm` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/januscape.conf. - **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install kvm /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 firefox JIT miscompilation in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 151.0.3. Уязвимость JIT-компилятора браузера Mozilla Firefox связана с ошибками смешения типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-733')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Privilege escalation in the Graphics: WebRender component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37, Thunderbird 152, and Thunderbird 140.12. Уязвимость компонента WebRender веб-браузеров Firefox ESR и Firefox, почтового клиента Thunderbird связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-269'), NistCWE(cwe='CWE-266')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37, Thunderbird 152, and Thunderbird 140.12. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-823')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the Networking: HTTP component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the Web Audio component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость компонента Graphics: WebGPU веб-браузера Firefox и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Sandbox escape in the DOM: Workers component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-693'), NistCWE(cwe='CWE-266')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Sandbox escape in the DOM: Navigation component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-693'), NistCWE(cwe='CWE-653')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Sandbox escape in the Security: Process Sandboxing component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-693'), NistCWE(cwe='CWE-403')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Sandbox escape due to incorrect boundary conditions in the Networking component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-653')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox JIT miscompilation in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-733')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the DOM: Security component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure due to incorrect boundary conditions in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость компонента Graphics: WebGPU веб-браузера Firefox и почтового клиента Thunderbird связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Same-origin policy bypass in the Networking: Cookies component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure, sandbox escape in the Security: Process Sandboxing component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N', score=4.7) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure, sandbox escape in the Security: Process Sandboxing component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N', score=4.7) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the DOM: Security component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the DOM: Security component. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость компонента DOM: Security веб-браузера Firefox и почтового клиента Thunderbird связана с недостатком механизма безопасности данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bug fixed in Firefox 152. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the Libraries component in NSS. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость набора библиотек разработки приложений NSS связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Denial-of-service in the Audio/Video: Playback component. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость компонента Audio/Video: Playback веб-браузера Firefox и почтового клиента Thunderbird связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure in the Password Manager component. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость компонента Password Manager веб-браузера Firefox связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox JIT miscompilation in the JavaScript: WebAssembly component. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость компонента JavaScript: WebAssembly веб-браузера Firefox связана с реализацией некорректного потока управления. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-670')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Clickjacking issue in the Widget: Gtk component. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость компонента Widget: Gtk веб-браузера Firefox и почтового клиента Thunderbird связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Spoofing issue in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость компонента DOM: Core & HTML веб-браузера Firefox и почтового клиента Thunderbird связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the Graphics: CanvasWebGL component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-703')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Denial-of-service in the Graphics: ImageLib component. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 151 and Thunderbird 151. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 152 and Thunderbird 152. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox ESR 140.11, Thunderbird ESR 140.11, Firefox 151 and Thunderbird 151. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox ESR 115.36, Firefox ESR 140.11, Thunderbird ESR 140.11, Firefox 151 and Thunderbird 151. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37, Thunderbird 152, and Thunderbird 140.12. [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 152.0.3. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 152.0.4. Уязвимость веб-браузера Firefox связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox We are aware that exploit code for this is public however we are not aware of any attacks in the wild abusing this flaw. This vulnerability was fixed in Firefox 152.0.6, Firefox ESR 140.13, and Thunderbird 140.13. Уязвимость компонента WebAssembly веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с освобождением неверного указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-763')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox We are aware that exploit code for this is public however we are not aware of any attacks in the wild abusing this flaw. This vulnerability was fixed in Firefox 152.0.6, Firefox ESR 115.38, Firefox ESR 140.13, and Thunderbird 140.13. Уязвимость компонента Navigation веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 150, Firefox ESR 115.35, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонентов Core и HTML веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the WebRTC component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента WebRTC браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Uninitialized memory in the Audio/Video: Web Codecs component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента Audio/Video: Web Codecs браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с ошибками при инициализации переменных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure due to uninitialized memory in the Graphics: Canvas2D component. This vulnerability was fixed in Firefox 150, Firefox ESR 115.35, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента Graphics: Canvas2D браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Privilege escalation in the Graphics: WebRender component. This vulnerability was fixed in Firefox 150, Firefox ESR 115.35, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента WebRender браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [NistCWE(cwe='CWE-269'), NistCWE(cwe='CWE-266')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Uninitialized memory in the Audio/Video: Web Codecs component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость интерфейса WebCodecs API браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием неинициализированных переменных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-457'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the WebRTC component. This vulnerability was fixed in Firefox 150, Firefox ESR 115.35, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость технологии WebRTC браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the WebRTC component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента WebRTC веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the JavaScript Engine component. This vulnerability was fixed in Firefox 150, Firefox ESR 115.35, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость обработчика JavaScript-сценариев SpiderMonkey браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the DOM: postMessage component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента postMessage веб-браузера Firefox и почтового клиента Thunderbird связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Invalid pointer in the JavaScript: WebAssembly component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента WebAssembly веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the JavaScript: WebAssembly component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента WebAssembly веб-браузера Firefox, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the Networking: Cookies component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента Cookies веб-браузера Firefox, почтового клиента Thunderbird связана с зависимостью от cookie-файлов без проверки их достоверности и целостности. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Privilege escalation in the Networking component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость сетевого модуля Necko (Networking) браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Spoofing issue in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 150, Firefox ESR 115.35, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонентов Core и HTML веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the File Handling component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента Handling веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the DOM: Device Interfaces component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента Interfaces веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure in the Form Autofill component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента Autofill веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с раскрытием конфиденциальных персональных данных неавторизованным лицам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-359')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the Libraries component in NSS. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость набора библиотек NSS браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Other issue in the Libraries component in NSS. This vulnerability was fixed in Firefox 150, Firefox ESR 115.35, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость набора библиотек разработки приложений NSS, веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the Networking: Cookies component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента Cookies веб-браузера Firefox, почтового клиента Thunderbird связана с обходом аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Privilege escalation in the Debugger component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость отладчика браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Other issue in the Storage: IndexedDB component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента IndexedDB веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the DOM: Security component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента DOM: Security браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с обходом аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности [NistCWE(cwe='CWE-288')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the Libraries component in NSS. This vulnerability was fixed in Firefox 150, Firefox ESR 115.35, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента NSS браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the WebRTC: Networking component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость компонента WebRTC: Networking браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure in the IP Protection component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента Protection веб-браузера Firefox, почтового клиента Thunderbird связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions, integer overflow in the Audio/Video: Playback component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента Playback веб-браузера Firefox и почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird ESR 140.9, Firefox 149 and Thunderbird 149. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 150, Firefox ESR 115.35, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox ESR 140.9, Thunderbird ESR 140.9, Firefox 149 and Thunderbird 149. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10. Уязвимость веб-браузеров Firefox ESR и Firefox, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure due to incorrect boundary conditions in the Audio/Video component. This vulnerability was fixed in Firefox 150.0.1, Firefox ESR 140.10.1, Firefox ESR 115.35.1, Thunderbird 150.0.1, and Thunderbird 140.10.1. Уязвимость компонента Audio/Video веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Thunderbird ESR 140.10.0 and Thunderbird 150.0.0. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 150.0.1, Firefox ESR 140.10.1, Firefox ESR 115.35.1, Thunderbird 150.0.1, and Thunderbird 140.10.1. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Thunderbird ESR 140.10.0 and Thunderbird 150.0.0. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 150.0.1, Firefox ESR 140.10.1, Thunderbird 150.0.1, and Thunderbird 140.10.1. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Thunderbird 150.0.0. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 150.0.1 and Thunderbird 150.0.1. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the DOM: Networking component. This vulnerability was fixed in Firefox 150.0.2, Firefox ESR 140.10.2, Firefox ESR 115.35.2, Thunderbird 150.0.2, and Thunderbird 140.10.2. Уязвимость компонента DOM веб-браузера Firefox, веб-браузера Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the Audio/Video: Playback component. This vulnerability was fixed in Firefox 150, Thunderbird 150, Firefox ESR 140.10.1, Thunderbird 140.10.1, and Firefox ESR 115.35.2. Уязвимость компонента Playback веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-754'), NistCWE(cwe='CWE-805')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox ESR 115.35.1, Firefox ESR 140.10.1 and Firefox 150.0.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 150.0.2, Firefox ESR 140.10.2, Firefox ESR 115.35.2, Thunderbird 150.0.2, and Thunderbird 140.10.2. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 150.0.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 150.0.2 and Thunderbird 150.0.2. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 150.0.3, Firefox ESR 115.36, Firefox ESR 140.11, and Thunderbird 140.11. Уязвимость компонента JIT веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Other issue in the JavaScript Engine component. This vulnerability was fixed in Firefox 150.0.3, Firefox ESR 115.36, Firefox ESR 140.11, and Thunderbird 140.11. Уязвимость компонента Engine веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-475')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Sandbox escape in the Profile Backup component. This vulnerability was fixed in Firefox 150.0.3, Firefox ESR 115.36, Firefox ESR 140.11, and Thunderbird 140.11. Уязвимость компонента Backup веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-693'), NistCWE(cwe='CWE-653')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the Audio/Video: Web Codecs component. This vulnerability was fixed in Firefox 151, Firefox ESR 115.36, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента Web Codecs браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the DOM: Bindings (WebIDL) component. This vulnerability was fixed in Firefox 151, Firefox ESR 115.36, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента Bindings (WebIDL) браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Same-origin policy bypass in the DOM: Networking component. This vulnerability was fixed in Firefox 151 and Thunderbird 151. Уязвимость компонента Networking браузера Firefox и почтового клиента Thunderbird связана с использованием недоверенного файла междоменной политики. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-942'), NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Same-origin policy bypass in the Networking: HTTP component. This vulnerability was fixed in Firefox 151, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента Networking веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и оказать влияние на целостность данных [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N', score=9.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Privilege escalation in the Application Update component. This vulnerability was fixed in Firefox 151 and Thunderbird 151. Уязвимость веб-браузера Firefox связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Sandbox escape due to use-after-free in the Disability Access APIs component. This vulnerability was fixed in Firefox 151, Firefox ESR 115.36, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента Disability Access APIs веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions, integer overflow in the Audio/Video component. This vulnerability was fixed in Firefox 151, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента Audio/Video веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Privilege escalation in the DOM: Workers component. This vulnerability was fixed in Firefox 151, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента Workers веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Integer overflow in the Networking: JAR component. This vulnerability was fixed in Firefox 151, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента JAR веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Privilege escalation in the Enterprise Policies component. This vulnerability was fixed in Firefox 151, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента Policies веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure, sandbox escape in the Security: Process Sandboxing component. This vulnerability was fixed in Firefox 151, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента Sandboxing веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с раскрытием информации в ошибочной области данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N', score=8.6) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Spoofing issue in WebExtensions. This vulnerability was fixed in Firefox 151 and Thunderbird 151. Уязвимость компонента WebExtensions веб-браузера Firefox и почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Spoofing issue in the Form Autofill component. This vulnerability was fixed in Firefox 151, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента Autofill веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the DOM: Security component. This vulnerability was fixed in Firefox 151, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента Security веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с недостатком механизма безопасности данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и оказать влияние на целостность данных [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Spoofing issue in the Web Speech component. This vulnerability was fixed in Firefox 151 and Thunderbird 151. Уязвимость компонента Web Speech веб-браузера Firefox и почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Spoofing issue in the Popup Blocker component. This vulnerability was fixed in Firefox 151 and Thunderbird 151. Уязвимость компонента Popup Blocker веб-браузера Firefox и почтового клиента Thunderbird связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure in the DOM: Security component. This vulnerability was fixed in Firefox 151 and Thunderbird 151. Уязвимость компонента DOM: Security веб-браузера Firefox и почтового клиента Thunderbird связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure in the IP Protection component. This vulnerability was fixed in Firefox 151 and Thunderbird 151. Уязвимость компонента IP Protection веб-браузера Firefox и почтового клиента Thunderbird связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Information disclosure in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 151 and Thunderbird 151. Уязвимость компонента Graphics: WebGPU веб-браузера Firefox и почтового клиента Thunderbird связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Denial-of-service due to invalid pointer in the Audio/Video: Web Codecs component. This vulnerability was fixed in Firefox 151, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента Codecs веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the DOM: Security component. This vulnerability was fixed in Firefox 151 and Thunderbird 151. Уязвимость компонента DOM: Security веб-браузера Firefox и почтового клиента Thunderbird связана с недостатком механизма безопасности данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Privilege escalation in the Security component. This vulnerability was fixed in Firefox 151, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость компонента Security веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Same-origin policy bypass in the Networking: JAR component. This vulnerability was fixed in Firefox 151 and Thunderbird 151. Уязвимость компонента Networking: JAR веб-браузера Firefox и почтового клиента Thunderbird связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Privilege escalation in the WebRTC: Audio/Video component. This vulnerability was fixed in Firefox 151 and Thunderbird 151. Уязвимость компонента WebRTC: Audio/Video веб-браузера Firefox и почтового клиента Thunderbird связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 150. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 151 and Thunderbird 151. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox ESR 140.10 and Firefox 150. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 151, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox ESR 115.35, Firefox ESR 140.10 and Firefox 150. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 151, Firefox ESR 115.36, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the Graphics: Text component. This vulnerability was fixed in Firefox 151.0.3. Уязвимость компонента Graphics веб-браузера Firefox связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: fix fanout UAF in packet_release() via NETDEV_UP race `packet_release()` has a race window where `NETDEV_UP` can re-register a socket into a fanout group's `arr[]` array. The re-registration is not cleaned up by `fanout_release()`, leaving a dangling pointer in the fanout array. `packet_release()` does NOT zero `po->num` in its `bind_lock` section. After releasing `bind_lock`, `po->num` is still non-zero and `po->ifindex` still matches the bound device. A concurrent `packet_notifier(NETDEV_UP)` that already found the socket in `sklist` can re-register the hook. For fanout sockets, this re-registration calls `__fanout_link(sk, po)` which adds the socket back into `f->arr[]` and increments `f->num_members`, but does NOT increment `f->sk_ref`. The fix sets `po->num` to zero in `packet_release` while `bind_lock` is held to prevent NETDEV_UP from linking, preventing the race window. This bug was found following an additional audit with Claude Code based on CVE-2025-38617. Уязвимость компонента net/packet/af_packet.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Существующий метод эксплуатации уязвимости полагается на наличие возможности CAP_NET_ADMIN. Решением проблемы является отключение возможности CAP_NET_ADMIN для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: 1. Используя полномочия администратора системы с высоким уровнем целостности запустить команды ``` echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf sysctl -p /etc/sysctl.d/userns.conf ``` 2. Убедиться в том, что настройка применилась: ``` cat /etc/sysctl.d/userns.conf ``` Внимание! После введения запрета может нарушиться работа: - средств контейнеризации и изоляции: Docker, инструментов песочницы (sandboxing) и других; - служб systemd, использующих опцию DynamicUser; - сетевых утилит под учетными записями непривилегированных пользователей при использовании сетевых пространств имен (network namespaces); - старых версий инструментов bpftrace и bcc-tools, а также BPF-программ, привязанных к фиксированным адресам. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipv4: account for fraggap on the paged allocation path In __ip_append_data(), when the paged-allocation branch is taken, alloclen and pagedlen are computed as alloclen = fragheaderlen + transhdrlen; pagedlen = datalen - transhdrlen; datalen already includes fraggap, but the fraggap bytes carried over from the previous skb are copied into the new skb's linear area at offset transhdrlen by the subsequent skb_copy_and_csum_bits(). The linear area is therefore undersized by fraggap bytes while pagedlen is overstated by the same amount. The non-paged branch sets alloclen to fraglen, which already accounts for fraggap because datalen does. Bring the paged branch in line by adding fraggap to alloclen and subtracting it from pagedlen. After this adjustment, copy no longer collapses to -fraggap on the paged path, so remove the stale comment describing that old arithmetic. Уязвимость компонента ipv4 ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии и вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Существующий метод эксплуатации уязвимости полагается на возможность создания непривилегированными пользователями пространств имен. Решением проблемы является отключение данной возможности для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: 1. Используя полномочия администратора системы с высоким уровнем целостности запустить команды `echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf` `sysctl -p /etc/sysctl.d/userns.conf` 2. Убедиться в том, что настройка применилась: `cat /etc/sysctl.d/userns.conf` **Внимание!** После введения запрета может нарушиться работа: - средств контейнеризации и изоляции: Docker, инструментов песочницы (sandboxing) и других; - служб systemd, использующих опцию DynamicUser; - сетевых утилит под учетными записями непривилегированных пользователей при использовании сетевых пространств имен (network namespaces); - старых версий инструментов bpftrace и bcc-tools, а также BPF-программ, привязанных к фиксированным адресам. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfs: resample the data fork mapping after cycling ILOCK xfs_reflink_fill_{cow_hole,delalloc} are both presented with an inode, a data fork mapping, and a cow fork mapping. Unfortunately, these two helpers cycle the ILOCK to grab a transaction, which means that the mappings are stale as soon as we reacquire the ILOCK. Currently we refresh the cow fork mapping by re-calling xfs_find_trim_cow_extent, but we don't refresh the data fork mapping beforehand, which means that the xfs_bmap_trim_cow in that function queries the refcount btree about the wrong physical blocks and returns an inaccurate value in *shared. If *shared is now false, the directio write proceeds with a stale data fork mapping. Fix this by querying the data fork mapping if the sequence counter changes across the ILOCK cycle. Уязвимость функций xfs_reflink_fill_cow_hole() и xfs_reflink_fill_delalloc() модуля fs/xfs/xfs_reflink.c файловой системы XFS ядра операционных систем Linux связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю оказать влияние на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Уязвимость актуальна в случае использования на ОС Astra Linux файловой системы XFS с опцией reflink=1. Для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды; - Использовать hardened ядро ОС. Astra Linux 1.8 firefox Denial-of-service due to integer overflow in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента WebGPU браузеров Mozilla Firefox и почтового клиента Thunderbird связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Mitigation bypass in the DOM: Security component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента Security веб-браузера Firefox и почтового клиента Thunderbird связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N', score=5.4) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Incorrect boundary conditions in the WebRTC component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента WebRTC веб-браузера Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Other issue in the Networking: DNS component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента DNS веб-браузера Firefox и почтового клиента Thunderbird связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Invalid pointer in the Audio/Video: Playback component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента Playback веб-браузера Firefox и почтового клиента Thunderbird связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Other issue in the JavaScript Engine component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента Engine веб-браузера Firefox и почтового клиента Thunderbird связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Denial-of-service in the Audio/Video: Playback component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента Audio/Video: Playback браузеров Mozilla Firefox и почтового клиента Thunderbird связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Denial-of-service in the Audio/Video: Playback component. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость компонента Audio/Video: Playback браузеров Mozilla Firefox и почтового клиента Thunderbird связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 149 and Thunderbird 149. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 150 and Thunderbird 150. Уязвимость браузеров Mozilla Firefox и почтового клиента Thunderbird связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox JIT miscompilation in the JavaScript Engine: JIT component. This vulnerability was fixed in Firefox 150.0.3. Уязвимость компонента JIT веб-браузера Firefox связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-733')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Use-after-free in the JavaScript: WebAssembly component. This vulnerability was fixed in Firefox 150.0.3. Уязвимость компонента WebAssembly веб-браузера Firefox связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/sched: act_api: use RCU with deferred freeing for action lifecycle When NEWTFILTER and DELFILTER are run concurrently it is possible to create a race with an associated action. Let's illustrate with CPU0 running NEWTFILTER and CPU1 running DELFILTER: 0: mutex_lock() <-- holds the idr lock 0: rcu_read_lock() 0: p = idr_find(idr, index) <-- action p is valid (RCU protects IDR) 0: mutex_unlock() <-- releases the idr lock 1: refcount_dec_and_mutex_lock() <-- refcnt 1->0, mutex held 1: idr_remove(idr, index) <-- Action removed from IDR 1: mutex_unlock() <-- mutex released allowing us to delete the action 1: tcf_action_cleanup(p); kfree(p) <-- Kfrees p immediately, no deferral 0: refcount_inc_not_zero(&p->tcfa_refcnt) <-- ouch, UAF p points to freed memory This patch fixes the race condition between NEWTFILTER and DELFILTER by adding struct rcu_head to tc_action used in the deferral and introducing a call_rcu() in the delete path to defer the final kfree(). Note: this is a revert of commit d7fb60b9cafb ("net_sched: get rid of tcfa_rcu") but also modernization/simplification to directly use kfree_rcu(). Let's illustrate the new restored code path: 0: rcu_read_lock() 1: refcount_dec_and_mutex_lock() <-- refcnt 1->0, mutex held 1: idr_remove(idr, index) 1: mutex_unlock() 1: call_rcu(&p->tcfa_rcu, tcf_action_rcu_free) <-- defer kfree after grace period 0: p = idr_find(idr, index) 0: refcount_inc_not_zero(&p->tcfa_refcnt) <-- fails, refcnt already 0 1: rcu_read_unlock() <-- release so freeing can run after grace period After CPU1 calls idr_remove(), the object is no longer reachable through the IDR. CPU0's subsequent idr_find() will return NULL, and even if it still held a stale pointer, the immediate kfree() is now deferred until after the RCU grace period, so no UAF can occur. Уязвимость компонента net/sched/act_api.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Существующий метод эксплуатации уязвимости полагается на возможность создания непривилегированными пользователями пространств имен. Решением проблемы является отключение данной возможности для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: 1. Используя полномочия администратора системы с высоким уровнем целостности запустить команды `echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf` `sysctl -p /etc/sysctl.d/userns.conf` 2. Убедиться в том, что настройка применилась: `cat /etc/sysctl.d/userns.conf` **Внимание!** После введения запрета может нарушиться работа: - средств контейнеризации и изоляции: Docker, инструментов песочницы (sandboxing) и других; - служб systemd, использующих опцию DynamicUser; - сетевых утилит под учетными записями непривилегированных пользователей при использовании сетевых пространств имен (network namespaces); - старых версий инструментов bpftrace и bcc-tools, а также BPF-программ, привязанных к фиксированным адресам. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: af_unix: Set gc_in_progress to true in unix_gc(). Igor Ushakov reported that unix_gc() could run with gc_in_progress being false if the work is scheduled while running: Thread 1 Thread 2 Thread 3 -------- -------- -------- unix_schedule_gc() unix_schedule_gc() `- if (!gc_in_progress) `- if (!gc_in_progress) |- gc_in_progress = true | `- queue_work() | unix_gc() <----------------/ | | |- gc_in_progress = true ... `- queue_work() | | `- gc_in_progress = false | | unix_gc() <---------------------------------------------' | ... /* gc_in_progress == false */ | `- gc_in_progress = false unix_peek_fpl() relies on gc_in_progress not to confuse GC by MSG_PEEK. Let's set gc_in_progress to true in unix_gc(). Уязвимость ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 util-linux No description Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: openvswitch: reject oversized nested action attrs Open vSwitch stores generated flow actions as nlattrs, whose nla_len field is u16. Commit a1e64addf3ff ("net: openvswitch: remove misbehaving actions length check") allowed the total sw_flow_actions stream to grow beyond 64 KiB, which is valid, but also removed the last guard preventing a generated nested action attribute from exceeding U16_MAX. An oversized generated container can thus be closed with a truncated nla_len. A later dump or teardown then walks a structurally different stream than the one that was validated. In particular, an oversized nested CLONE/CT action may cause subsequent bytes in the generated stream to be interpreted as independent actions. Keep the larger total-action-stream behavior, but make nested action close reject generated containers that do not fit in nla_len, and return the error through all callers. For recursive SAMPLE, CLONE, DEC_TTL, and CHECK_PKT_LEN builders, trim resource-owning action-list tails in reverse construction order before discarding failed wrappers, so resources copied into the rejected tails are released before the wrappers are removed. Most failed outer wrappers are discarded by truncating actions_len after child resources have been released. CHECK_PKT_LEN also trims its parent after branch resources are gone. SET/TUNNEL close failures unwind their known tun_dst ownership directly, and SET_TO_MASKED has no external ownership and truncates on close failure. Уязвимость модуля net/openvswitch/flow_netlink.c ядра операционной системы Linux связана с ошибками при обработке параметров длины. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) ##### Способ №1 Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля openvswitch.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль openvswitch в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep openvswitch ``` или ``` kmod list | grep openvswitch ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля openvswitch.ko: ``` sudo rmmod openvswitch ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-openvswitch.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install openvswitch /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. **Внимание!** После запрета загрузки модуля ядра нарушится работа OVS, используемого для сетевого взаимодействия контейнеров или виртуальных машин. ##### Способ №2 Существующий метод эксплуатации уязвимости полагается на возможность создания непривилегированными пользователями пространств имен. Решением проблемы является отключение данной возможности для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: 1. Используя полномочия администратора системы с высоким уровнем целостности запустить команды `echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf` `sysctl -p /etc/sysctl.d/userns.conf` 2. Убедиться в том, что настройка применилась: `cat /etc/sysctl.d/userns.conf` **Внимание!** После введения запрета может нарушиться работа: - средств контейнеризации и изоляции: Docker, инструментов песочницы (sandboxing) и других; - служб systemd, использующих опцию DynamicUser; - сетевых утилит под учетными записями непривилегированных пользователей при использовании сетевых пространств имен (network namespaces); - старых версий инструментов bpftrace и bcc-tools, а также BPF-программ, привязанных к фиксированным адресам. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: posix-cpu-timers: Prevent UAF caused by non-leader exec() race Wongi and Jungwoo decoded and reported a non-leader exec() related race which can result in an UAF: sys_timer_delete() exec() posix_cpu_timer_del() // Observes old leader p = pid_task(pid, pid_type); de_thread() switch_leader(); release_task(old_leader) __exit_signal(old_leader) sighand = lock(old_leader, sighand); posix_cpu_timers*_exit(); sighand = lock_task_sighand(p) unhash_task(old_leader); sh = lock(p, sighand) old_leader->sighand = NULL; unlock(sighand); (p->sighand == NULL) unlock(sh) return NULL; // Returns without action if(!sighand) return 0; free_posix_timer(); This is "harmless" unless the deleted timer was armed and enqueued in p->signal because on exec() a TGID targeted timer is inherited. As sys_timer_delete() freed the underlying posix timer object run_posix_cpu_timers() or any timerqueue related add/delete operations on other timers will access the freed object's timerqueue node, which results in an UAF. There is a similar problem vs. posix_cpu_timer_set(). For regular posix timers it just transiently returns -ESRCH to user space, but for the use case in do_cpu_nanosleep() it's the same UAF just that the k_itimer is allocated on the stack. Also posix_cpu_timer_rearm() fails to rearm the timer, which means it stops to expire. While debating solutions Frederic pointed out another problem: posix_cpu_timer_del(tmr) __exit_signal(p) posix_cpu_timers*_exit(p); unhash_task(p); p->sighand = NULL; sh = lock_task_sighand(p) sighand = p->sighand; if (!sighand) return NULL; lock(sighand); if (!sh) WARN_ON_ONCE(timer_queued(tmr)); On weakly ordered architectures it is not guaranteed that posix_cpu_timer_del() will observe the stores in posix_cpu_timers*_exit() when p->sighand is observed as NULL, which means the WARN() can be a false positive. Solve these issues by: 1) Changing the store in __exit_signal() to smp_store_release(). 2) Adding a smp_acquire__after_ctrl_dep() into the !sighand path of lock_task_sighand(). 3) Creating a helper function for looking up the task and locking sighand which does not return when sighand == NULL. Instead it retries the task lookup and only if that fails it gives up. 4) Using that helper in the three affected functions. #1/#2 ensures that the reader side which observes sighand == NULL also observes all preceeding stores, i.e. the stores in posix_cpu_timers*_exit() and the ones in unhash_task(). #3 ensures that the above described non-leader exec() situation is handled gracefully. When the task lookup returns the old leader, but sighand == NULL then it retries. In the non-leader exec() case the subsequent task lookup will observe the new leader due to #1/#2. In normal exit() scenarios the subsequent lookup fails. When the task lookup fails, the function also checks whether the timer is still enqueued and issues a warning if that's the case. Unfortunately there is nothing which can be done about it, but as the task is already not longer visible the timer should not be accessed anymore. This check also requires memory ordering, which is not provided when the first lookup fails. To achieve that the check is preceeded by a smp_rmb() which pairs with the smp_wmb() in write_seqlock() in __exit_signal(). That ensures that the stores in posix_cpu_timers*_exit() are visible. The history of the non-leader exec() issue goes back to the early days of posix CPU timers, which stored a pointer to the group leader task in the timer. That obviously fails when a non-leader exec() switches the leader. commit e0a70217107e ("posix-cpu-timers: workaround to suppress the problems with mt exec") added a temporary workaround for that in 2010 which surv ---truncated--- Уязвимость функции sys_timer_delete() файла kernel/time/posix-cpu-timers.c ядра операционных систем Linux связана с ситуацией гонки в обработчике сигнала. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии и раскрыть защищаемую информацию [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды; - Использовать hardened ядро ОС (для ядер 5.10, 5.15). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: KVM: x86: Check for invalid/obsolete root *after* making MMU pages available Check for a "stale" page fault, i.e. for an invalid and/or obsolete root, after making MMU pages available for the shadow MMU. If reclaiming shadow pages zaps an in-use root, i.e. marks it invalid, then KVM will attempt to map memory into an invalid root. On its own, populating an invalid root is "fine", but because child shadow pages inherit their parent's role, any children created during the map/fetch will be created as invalid pages, thus violating KVM's invariant that invalid pages are never on the list of active MMU pages. Note, the underlying flaw has existed since KVM first started tracking invalid roots in 2008 (commit 2e53d63acba7, "KVM: MMU: ignore zapped root pagetables"), but the true badness only came along in 2020 (Linux 5.9) with the invariant that invalid shadow pages can't be on the list of active pages. Note #2, inheriting role.invalid when creating child shadow pages is also far from ideal; that flaw will be addressed separately. Уязвимость механизма управления теневыми таблицами страниц (Shadow MMU) подсистемы виртуализации Kernel-based Virtual Machine (KVM) ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии, выполнить произвольный код или вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) **Первый способ** Для устранения угрозы эксплуатации уязвимости CVE-2026-64561 (Zapscape) необходимо выключить вложенную (nested) аппаратную виртуализацию в KVM. Для этого необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули `kvm_intel`, `kvm_amd` в ядро системы, для этого выполнить одну из команд: `lsmod | grep kvm_intel; lsmod | grep kvm_amd` или `kmod list | grep kvm_intel; kmod list | grep kvm_amd` Если модули не загружены, то в результате выполнения команды будет пустой вывод. Если модули загружены, то остановить запущенные виртуальные машины, использующие вложенную аппаратную виртуализацию, и выгрузить эти модули: - команда для выгрузки модуля kvm_intel.ko: `sudo rmmod kvm_intel` - команда для выгрузки модуля kvm_amd.ko: `sudo rmmod kvm_amd` 2. От имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/kvm.conf или файл /etc/modprobe.d/zapscape.conf. **Примечание**. Указанные файлы не создаются автоматически. Если файлов нет, то необходимо создать один из указанных файлов. - добавить в файл строки: `options kvm_intel nested=0` `options kvm_amd nested=0` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` 4. Убедиться, что вложенная аппаратная виртуализация выключена: `cat /sys/module/kvm_intel/parameters/nested` `cat /sys/module/kvm_amd/parameters/nested` В результате вывода команд не должно быть указано Y или 1. **Второй способ** В качестве альтернативы можно запретить загрузку модуля kvm.ko в ядро системы. **ПРЕДУПРЕЖДЕНИЕ**. Запрет загрузки данного модуля приведет к невозможности использования аппаратной виртуализации. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль kvm в ядро системы, для этого выполнить одну из команд: `lsmod | grep kvm` или `kmod list | grep kvm` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля kvm.ko: `sudo rmmod kvm` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/zanuscape.conf. - **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: `install kvm /bin/false` - сохранить файл. 3. Обновить текущий образ initramfs: `sudo update-initramfs -uk all` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: rhashtable: clear stale iter->p on table restart rhashtable_walk_start_check() has two restart paths when resuming a walk. When iter->walker.tbl is valid, it re-validates iter->p against the table and sets iter->p = NULL if the object is gone. When iter->walker.tbl is NULL (table was freed during resize), it resets slot and skip but forgets to clear iter->p. rhashtable_walk_next() then dereferences the stale iter->p, reading freed memory. This is a use-after-free. Any caller that does multi-fragment rhashtable walks across walk_stop/walk_start boundaries is affected. Concrete cases include netlink_diag (__netlink_diag_dump in net/netlink/diag.c) and TIPC (tipc_nl_sk_walk in net/tipc/socket.c). Crash stack (netlink_diag): BUG: KASAN: slab-use-after-free in rhashtable_walk_next+0x365/0x3c0 Read of size 8 at addr ffff88801a9d2438 (freed kmalloc-2k, offset 1080) Call Trace: rhashtable_walk_next+0x365/0x3c0 (lib/rhashtable.c:1016) __netlink_diag_dump+0x160/0x760 (net/netlink/diag.c:122) netlink_diag_dump+0xc2/0x240 netlink_dump+0x5bc/0x1270 netlink_recvmsg+0x7a3/0x980 sock_recvmsg+0x1bc/0x200 __sys_recvfrom+0x1d4/0x2c0 Уязвимость компонента lib/rhashtable.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Не использовать недоверенные сторонние модули ядра; - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды; - Использовать hardened ядро ОС (для ядер 5.4, 5.10, 5.15). Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sctp: don't free the ASCONF's own transport in DEL-IP processing sctp_process_asconf() caches the transport the ASCONF chunk is processed against in asconf->transport (== chunk->transport, set once in sctp_rcv()). For an ASCONF located through its Address Parameter by __sctp_rcv_asconf_lookup(), that cached transport corresponds to the Address Parameter, which need not be the packet's source address. sctp_process_asconf_param() rejects a DEL-IP for the packet source address (ADDIP D8, SCTP_ERROR_DEL_SRC_IP), but nothing protects asconf->transport. A single ASCONF can therefore carry, in order: [Address Parameter L] [DEL-IP L] [DEL-IP 0.0.0.0] where L differs from the source. The DEL-IP for L passes the D8 check and calls sctp_assoc_rm_peer() on the transport that asconf->transport still points at, freeing it (RCU-deferred). The following wildcard DEL-IP then reuses the now-dangling asconf->transport in sctp_assoc_set_primary() and sctp_assoc_del_nonprimary_peers(): set_primary() dereferences the freed transport (->ipaddr, ->state) and plants the dangling pointer into asoc->peer.primary_path / active_path, and del_nonprimary_peers(), keeping only the pointer that is no longer on the list, removes every real transport, leaving the association with a transport_count of 0 and primary_path/active_path pointing at freed memory. Reject a DEL-IP that targets the transport the ASCONF is being processed against, mirroring the existing source-address guard, so the wildcard branch can never reuse a freed transport. Уязвимость функции sctp_process_asconf_param() модуля net/sctp/sm_make_chunk.c ядра операционных систем Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю. действующему удаленно, повысить свои привилегии до уровня root [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sctp.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль sctp в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep sctp ``` или ``` kmod list | grep sctp ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля sctp.ko: ``` sudo rmmod sctp ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-sctp.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install sctp /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: can: bcm: defer rx_op deallocation to workqueue to fix thrtimer UAF Commit f1b4e32aca08 ("can: bcm: use call_rcu() instead of costly synchronize_rcu()") replaced synchronize_rcu() in bcm_delete_rx_op() with call_rcu() and introduced the RX_NO_AUTOTIMER flag. However, this flag check was omitted for thrtimer in the packet rx fast-path. During BCM RX operation teardown, a concurrent RCU reader (bcm_rx_handler) can race and re-arm thrtimer via bcm_rx_update_and_send() after call_rcu() has been scheduled. Once the RCU grace period elapses, bcm_op is freed. The subsequently firing thrtimer then dereferences the deallocated op, causing a UAF. Adding flag checks to the rx fast-path (bcm_rx_update_and_send) does not fully close the TOCTOU race and introduces latency for every CAN frame. Conversely, calling hrtimer_cancel() directly inside the RCU callback (softirq context) is fatal as hrtimer_cancel() can sleep, triggering a "scheduling while atomic" panic. Resolve this by deferring the timer cancellation and memory free to a dedicated unbound workqueue (bcm_wq). The RCU callback now queues a work item to bcm_wq, which safely cancels both timers and deallocates memory in sleepable process context. A dedicated workqueue is used to prevent system-wide WQ saturation and is cleanly flushed/destroyed on module unload to avoid rmmod page faults. Since the deferred work can now outlive the calling context by an unbounded amount, also take a reference on op->sk when it is assigned and drop it only once the deferred work has cancelled both timers, so a socket can no longer be freed out from under a still-armed timer whose callback (bcm_send_to_user()) dereferences op->sk. Уязвимость компонента net/can/bcm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модулей vcan, can, can-bcm, can-raw в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули vcan, can, can-bcm, can-raw в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep vcan lsmod | grep can lsmod | grep can-bcm lsmod | grep can-raw ``` или ``` kmod list | grep vcan kmod list | grep can kmod list | grep can-bcm kmod list | grep can-raw ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: * команда для выгрузки модуля vcan: ``` sudo rmmod vcan ``` * команда для выгрузки модуля can: ``` sudo rmmod can ``` * команда для выгрузки модуля can-bcm: ``` sudo rmmod can-bcm ``` * команда для выгрузки модуля can-raw: ``` sudo rmmod can-raw ``` 2. Запретить загрузку модулей: * от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл ``` /etc/modprobe.d/blacklist.local.conf ``` или файл ``` /etc/modprobe.d/disable-can.conf ```. **Примечание.** Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов. * добавить в файл строку: ``` install vcan /bin/false install can /bin/false install can-bcm /bin/false install can-raw /bin/false ``` * сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 udisks2 A flaw was found in udisks2. A local attacker with an active console session can exploit insufficient authorization checking on the 'as-user' option in the org.freedesktop.UDisks2.Filesystem.Mount() D-Bus method. This allows the attacker to spoof the 'as-user' parameter, mounting filesystems on behalf of arbitrary users, including privileged accounts. This can lead to local privilege escalation through mount point injection and manipulation of the mount namespace visible to privileged users. Уязвимость программы для запросов и управления устройствами хранения Udisks связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - Использовать ПО udisks2 только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО udisks2 только доверенными пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome on Linux prior to 150.0.7871.125 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome prior to 150.0.7871.125 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Skia in Google Chrome prior to 150.0.7871.125 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in HTML-in-Canvas in Google Chrome prior to 150.0.7871.125 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента HTML-in-Canvas веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Linux Toolkit Theming in Google Chrome on Linux prior to 150.0.7871.125 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Linux Toolkit Theming веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in V8 in Google Chrome prior to 150.0.7871.125 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Skia in Google Chrome prior to 150.0.7871.125 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 150.0.7871.125 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 150.0.7871.125 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in UI in Google Chrome on Linux prior to 150.0.7871.125 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента UI веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Navigation in Google Chrome prior to 150.0.7871.125 allowed a remote attacker who had compromised the renderer process to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Network in Google Chrome prior to 150.0.7871.128 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Network веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Cast in Google Chrome prior to 150.0.7871.128 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Cast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in V8 in Google Chrome prior to 150.0.7871.128 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome on Linux prior to 150.0.7871.128 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Aura in Google Chrome prior to 150.0.7871.128 allowed a local attacker to potentially exploit heap corruption via a malicious file. (Chromium security severity: High) Уязвимость компонента Aura веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 150.0.7871.182 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Chromecast in Google Chrome prior to 150.0.7871.182 allowed a local attacker to potentially perform a sandbox escape via malicious network traffic. (Chromium security severity: High) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Extensions in Google Chrome prior to 150.0.7871.182 allowed a remote attacker to spoof the contents of the Omnibox (URL bar) via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Chromecast in Google Chrome prior to 150.0.7871.182 allowed a local attacker to potentially perform a sandbox escape via malicious network traffic. (Chromium security severity: High) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Skia in Google Chrome prior to 150.0.7871.182 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Stack buffer overflow in V8 in Google Chrome prior to 150.0.7871.182 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in WebAudio in Google Chrome prior to 150.0.7871.182 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebAudio in Google Chrome prior to 150.0.7871.182 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Certificate in Google Chrome on Linux prior to 150.0.7871.182 allowed an attacker in a privileged network position to perform domain spoofing via malicious network traffic. (Chromium security severity: High) Уязвимость компонента Certificate веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in UI in Google Chrome prior to 150.0.7871.182 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента UI веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Input in Google Chrome prior to 150.0.7871.186 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Input веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Blink in Google Chrome prior to 150.0.7871.186 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Blink веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebMCP in Google Chrome prior to 150.0.7871.186 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebMCP веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in Codecs in Google Chrome prior to 150.0.7871.186 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Codecs веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Compositing in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Compositing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Skia in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Skia веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Ozone in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Ozone веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Navigation in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Navigation веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SiteIsolation in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Network in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Loader in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Loader веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Prefetch in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Prefetch веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Loader in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Loader веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Cryptographic Flaw in Enterprise in Google Chrome prior to 151.0.7922.72 allowed an attacker in a privileged network position to bypass discretionary access control via malicious network traffic. (Chromium security severity: High) Уязвимость компонента Enterprise веб-браузера Google Chrome связана с отсутствием необходимого этапа шифрования. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-325')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Chromecast in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in QUIC in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента QUIC веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in HTML in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента HTML веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Print Preview in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Print Preview веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Color in Google Chrome on ChromeOS prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Color веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Autofill in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Autofill веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Input in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Input веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in FileSystem in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DOM in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DOM веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Media in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 151.0.7922.72 allowed a local attacker to potentially perform a sandbox escape via a malicious file. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Actor in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Actor веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Skia in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in libxml in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента libxml веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Audio in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Audio веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Input in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Input веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Autofill in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SVG in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SVG веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in BFCache in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента BFCache веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N', score=8.7) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Payments in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Payments веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to inject arbitrary scripts or HTML (UXSS) via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Payments in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Payments веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in ControlledFrame in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ControlledFrame веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in File Input in Google Chrome on Linux prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента File Input веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L', score=7.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Skia in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:L', score=5.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Extensions in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to potentially perform a sandbox escape via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L', score=7.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in AdFilter in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента AdFilter веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Blink in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Blink веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Extensions in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Presentation in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Presentation веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Skia in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Dawn in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Codecs in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Codecs веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in NoStatePrefetch in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента NoStatePrefetch веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in GPU in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FedCM in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FedCM веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebProtect in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebProtect веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebSockets in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebSockets веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Cast in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Skia in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in WebGL in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebGL веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Cast in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Variations in Google Chrome prior to 151.0.7922.72 allowed an attacker in a privileged network position to potentially exploit heap corruption via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Variations веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in PresentationAPI in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PresentationAPI веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in Receiver in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Receiver веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:L', score=5.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Site Isolation in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Site Isolation веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Isolated Web Apps in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Isolated Web Apps веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to leak cross-origin data via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Loader in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Loader веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to perform privilege escalation via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Blink in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Blink веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Payments in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Payments веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Credential Management in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Credential Management веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in GetUserMedia in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GetUserMedia веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in WebXR in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebXR веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Cast in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Safe Browsing in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass discretionary access control via a malicious file. (Chromium security severity: Medium) Уязвимость компонента Safe Browsing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью вредоносного файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in MediaRecording in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента MediaRecording веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read and write in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Save to Drive in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента Save to Drive веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Extensions in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:L', score=5.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Extensions in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:L', score=5.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Dawn in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DigitalCredentials in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DigitalCredentials веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in GuestView in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GuestView веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in ReportingAndNEL in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ReportingAndNEL веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Network in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebAppInstalls in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebAppInstalls веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Autofill in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to bypass navigation restrictions via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in WebXR in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebXR веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in ServiceWorker in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform domain spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Cast in Google Chrome prior to 151.0.7922.72 allowed an attacker on the local network segment to leak cross-origin data via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in ANGLE in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Codecs in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted video file. (Chromium security severity: Medium) Уязвимость компонента Codecs веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного video файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Permissions веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Autofill in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Media Router in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media Router веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to inject scripts or HTML into a privileged page via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in WebMCP in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebMCP веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Network in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Favicons in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Favicons веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Updater in Google Chrome prior to 151.0.7922.72 allowed a local attacker to perform OS-level privilege escalation via a malicious file. (Chromium security severity: Medium) Уязвимость компонента Updater веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Dawn in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L', score=7.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in USB in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform privilege escalation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента USB веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in WebXR in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebXR веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Cast in Google Chrome prior to 151.0.7922.72 allowed an attacker on the local network segment to leak cross-origin data via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Payments in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Payments веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Chromoting in Google Chrome on Linux prior to 151.0.7922.72 allowed a local attacker to perform OS-level privilege escalation via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CSS in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in WebXR in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebXR веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in Extensions in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to bypass site isolation via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Headless in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Headless веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Object lifecycle issue in WebRTC in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Paint in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Paint веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Enterprise in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Enterprise веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in TabStrip in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента TabStrip веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebUI in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via malicious network traffic. (Chromium security severity: Medium) Уязвимость компонента WebUI веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L', score=7.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in WebXR in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebXR веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:L', score=5.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebXR in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebXR веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome on Linux prior to 151.0.7922.72 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DataTransfer in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DataTransfer веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in ORB in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ORB веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code inside a sandbox via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to perform privilege escalation via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Editing in Google Chrome on Linux prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Editing веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N', score=3.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Chromecast in Google Chrome prior to 151.0.7922.72 allowed an attacker on the local network segment to inject scripts or HTML into a privileged page via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SurfaceCapture in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента SurfaceCapture веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Bluetooth in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Bluetooth веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:L', score=5.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Network in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Network веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Isolated Web Apps in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Isolated Web Apps веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in SVG in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента SVG веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Skia in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Skia веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Settings in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to perform privilege escalation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Settings веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Sync in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Sync веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code inside a sandbox via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Navigation in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Navigation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Enterprise in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Enterprise веб-браузера Google Chrome связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in Enterprise in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass navigation restrictions via a crafted domain name. (Chromium security severity: Low) Уязвимость компонента Enterprise веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DNS in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DNS веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to leak cross-origin data via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DataTransfer in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DataTransfer веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass navigation restrictions via a malicious file. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью вредоносного файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Extensions in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to perform privilege escalation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DOMStorage in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DOMStorage веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Codecs in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Codecs веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform UI spoofing via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in SVG in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента SVG веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Parser in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Parser веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Navigation in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Navigation веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Dawn in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Dawn веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebSockets in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebSockets веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code inside a sandbox via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in WebRTC in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code inside a sandbox via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in MHTML in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted MHTML page. (Chromium security severity: Low) Уязвимость компонента MHTML веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Payments in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Payments веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Scheduling in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Scheduling веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CORS in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента CORS веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Views in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Views веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Network in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Network веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Blink in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to inject arbitrary scripts or HTML (UXSS) via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Blink веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in SVG in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента SVG веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Passwords веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Passwords in Google Chrome prior to 151.0.7922.72 allowed an attacker in a privileged network position to perform UI spoofing via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Frame in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Frame веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in DevTools in Google Chrome prior to 151.0.7922.72 allowed a local attacker to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to bypass discretionary access control via a crafted domain name. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in CSS in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента CSS веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in WebCodecs in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebCodecs веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in V8 in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Blink in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Blink веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Cast in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Cast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Global Media Controls in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Global Media Controls веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Speech in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass site isolation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Speech веб-браузера Google Chrome связана с реализацией функций безопасности на стороне клиента. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-602')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Bluetooth in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to bypass same origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Bluetooth веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Notifications in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted PDF file. (Chromium security severity: Low) Уязвимость компонента Notifications веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Navigation in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to bypass navigation restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Navigation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in WebAuthn in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted PDF file. (Chromium security severity: Low) Уязвимость компонента WebAuthn веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in AI in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента AI веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Dawn in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Dawn веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Extensions in Google Chrome prior to 151.0.7922.72 allowed an attacker who convinced a user to install a malicious extension to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebGL in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebGL веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Google Lens in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Google Lens веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Speech in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Speech веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebXR in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to obtain potentially sensitive information from process memory via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebXR веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Google Lens in Google Chrome prior to 151.0.7922.72 allowed a remote attacker who had compromised the renderer process to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Google Lens веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Settings in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform UI spoofing via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Settings веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform UI spoofing via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Passwords in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to perform UI spoofing via malicious network traffic. (Chromium security severity: Low) Уязвимость компонента Passwords веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted PDF file. (Chromium security severity: Low) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in DevTools in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to bypass navigation restrictions via a malicious file. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью вредоносного файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Side-channel information leakage in Media in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Media веб-браузера Google Chrome связана с некорректной защитой от атак по сторонним физическим каналам. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1300')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in CrashReporting in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CrashReporting веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in GPU in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in HTML in Google Chrome prior to 151.0.7922.109 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента HTML веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Translate in Google Chrome prior to 151.0.7922.109 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Translate веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Aura in Google Chrome on Linux prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Aura веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in GPU in Google Chrome on Linux prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Aura in Google Chrome on Linux prior to 151.0.7922.109 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Aura веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 151.0.7922.109 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 151.0.7922.109 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Navigation in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Navigation веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Workers in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Workers веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Payments in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Payments веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Base in Google Chrome prior to 151.0.7922.109 allowed an attacker who convinced a user to install a malicious extension to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Base веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Skia in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized Use in Skia in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-457')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 151.0.7922.109 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Codecs in Google Chrome prior to 151.0.7922.109 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Codecs веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 151.0.7922.109 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code inside a sandbox via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Web Authentication in Google Chrome prior to 151.0.7922.109 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Web Authentication веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in GPU in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 151.0.7922.109 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Contextual Tasks in Google Chrome prior to 151.0.7922.109 allowed a remote attacker to perform privilege escalation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Contextual Tasks веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in Skia in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in V8 in Google Chrome prior to 151.0.7922.109 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Payments in Google Chrome prior to 151.0.7922.109 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Payments веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Skia in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in UI in Google Chrome prior to 151.0.7922.109 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента UI веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 151.0.7922.137 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 151.0.7922.137 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code inside a sandbox via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in HTML in Google Chrome prior to 151.0.7922.137 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента HTML веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Blink in Google Chrome prior to 151.0.7922.137 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Blink веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromoting in Google Chrome prior to 151.0.7922.173 allowed a remote attacker to execute arbitrary code outside the sandbox via crafted network traffic. (Chromium security severity: Critical) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Privilege elevation in Import in Google Chrome prior to 151.0.7922.173 allowed a remote attacker leveraging social engineering to potentially execute arbitrary code outside the sandbox via a crafted file. (Chromium security severity: High) Уязвимость компонента Import веб-браузера Google Chrome связана с ошибками разграничения доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-250')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Workers in Google Chrome prior to 151.0.7922.173 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to bypass web origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Workers веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in V8 in Google Chrome prior to 151.0.7922.173 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DOM in Google Chrome prior to 151.0.7922.173 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DOM веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Buffer overflow in Network in Google Chrome prior to 151.0.7922.173 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Network веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper resource control in Linux Toolkit Theming in Google Chrome prior to 151.0.7922.173 allowed a remote attacker who had compromised the renderer process to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Linux Toolkit Theming веб-браузера Google Chrome связана с неправильным контролем доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-913')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in CORS in Google Chrome prior to 151.0.7922.169 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CORS веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Buffer overflow in WebGL in Google Chrome prior to 151.0.7922.169 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента WebGL веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 151.0.7922.169 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Skia in Google Chrome prior to 151.0.7922.169 allowed a remote attacker to potentially bypass web origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use of uninitialized resource in GPU in Google Chrome prior to 151.0.7922.169 allowed a remote attacker who had compromised the renderer process to read memory outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect calculation in V8 in Google Chrome prior to 151.0.7922.169 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с некорректным вычислением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-682')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in USB in Google Chrome prior to 151.0.7922.169 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента USB веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebGL in Google Chrome prior to 151.0.7922.169 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebGL веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 151.0.7922.169 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Buffer overflow in WebRTC in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in QUIC in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to leak sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента QUIC веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in Payments in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Payments веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Paint in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Paint веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in StorageAccessAPI in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента StorageAccessAPI веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in BrowserTag in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to obtain sensitive information via a crafted Chrome extension. (Chromium security severity: Low) Уязвимость компонента BrowserTag веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Downloads in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Media in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in V8 in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incomplete cleanup in SiteIsolation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in WebProtect in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to leak sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebProtect веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Canvas in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Canvas веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Buffer overflow in V8 in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in USB in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента USB веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Browser in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Browser веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromoting in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента Chromoting веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in Skia in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially read memory inside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Skia веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in ReadAloud in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ReadAloud веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromecast in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper initialization in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-665')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Core in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Core веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect reference resolution in Loader in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента Loader веб-браузера Google Chrome связана с использованием имени с неправильной ссылкой. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-706')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Editing in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Editing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to execute arbitrary code inside the sandbox via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Select in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Select веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incomplete cleanup in Chromium in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass web origin policy via a crafted Chrome extension. (Chromium security severity: Low) Уязвимость компонента Chromium веб-браузера Google Chrome связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Buffer overflow in WebGL in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebGL веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in WebRTC in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ServiceWorker in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in SiteIsolation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного PDF файла [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Extensions in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in PerformanceAPIs in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PerformanceAPIs веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in Skia in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper handling of case sensitivity in FileSystem in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с недостаточной проверкой регистра. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-178')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Extensions in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to obtain cross-origin data via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Core in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Core веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in WebXR in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to potentially leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebXR веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Media in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Externally controlled reference in QUIC in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента QUIC веб-браузера Google Chrome связана с ошибками при обработке гипертекстовых ссылок. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-610')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in BFCache in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента BFCache веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Core in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially spoof address bar via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Core веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in Video in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to read memory inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Video веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Linux Toolkit Theming in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Linux Toolkit Theming веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in DOM in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DOM веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in StorageAccessAPI in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента StorageAccessAPI веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in ReaderMode in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass web origin policy into a privileged page via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента ReaderMode веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in GPU in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially read memory outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N', score=3.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect reference resolution in FileSystem in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с использованием имени с неправильной ссылкой. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-706')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in GPU in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially obtain cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Canvas in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Canvas веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Compositing in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Compositing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in WebProtect in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebProtect веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper privilege management in Navigation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in DeviceBoundSessionCredentials in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass web origin policy via crafted network traffic. (Chromium security severity: Low) Уязвимость компонента DeviceBoundSessionCredentials веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in SiteIsolation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Device in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Device веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Media in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to read memory outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N', score=3.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in StorageAccessAPI in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента StorageAccessAPI веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Protection mechanism failure in HttpsUpgrades in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента HttpsUpgrades веб-браузера Google Chrome связана с недостатком механизма безопасности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in GPU in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially read memory outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in UI in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to spoof UI elements via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента UI веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Operation on a resource after expiration or release in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с операциями с ресурсом после истечения срока его действия или освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-672')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Browser in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Browser веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Sync in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента Sync веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N', score=5.9) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in Autofill in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Autofill веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in ServiceWorker in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in SVG in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SVG веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in Extensions in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass system access restrictions via a crafted Chrome extension. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in FoldableAPIs in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FoldableAPIs веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Skia in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially read memory inside the sandbox via a crafted media file. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданного media файла [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in InterestGroups in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass system access restrictions via a crafted PDF file. (Chromium security severity: Low) Уязвимость компонента InterestGroups веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданного PDF файла [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Transactions Platform in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to potentially spoof UI elements via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Transactions Platform веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Editing in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Editing веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in ServiceWorker in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Workers in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Workers веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Extensions in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to potentially execute arbitrary code outside the sandbox via a crafted Chrome extension. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via crafted network traffic. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in Autofill in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper resource exposure in Preload in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Preload веб-браузера Google Chrome связана с раскрытием информации в ошибочной области данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N', score=6.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient control flow management in DevTools in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to potentially execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточным использованием потоков. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-691')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in CORS in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CORS веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in WebProtect in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebProtect веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to read memory inside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect reference resolution in Passwords in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass system access restrictions via a crafted file. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с использованием имени с неправильной ссылкой. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданного файла [NistCWE(cwe='CWE-706')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Loader in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Loader веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Aura in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Aura веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Lighthouse in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Lighthouse веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromecast in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ServiceWorker in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Passwords in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to spoof UI elements via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Passwords веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in BFCache in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента BFCache веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in StorageAccessAPI in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента StorageAccessAPI веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Navigation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper resource exposure in StreamsAPI in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially bypass web origin policy into a privileged page via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента StreamsAPI веб-браузера Google Chrome связана с раскрытием информации в ошибочной области данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect reference resolution in Cache in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Cache веб-браузера Google Chrome связана с использованием имени с неправильной ссылкой. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-706')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in GPU in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GPU веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper state validation in Performance in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially read memory inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Performance веб-браузера Google Chrome связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper state validation in Parser in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Parser веб-браузера Google Chrome связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Geolocation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Geolocation веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Sync in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента Sync веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in WebProtect in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebProtect веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in FedCM in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента FedCM веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Transactions Platform in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Transactions Platform веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper enforcement of behavioral workflow in Media in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с неправильной реализацией последовательности выполняемых действий. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-841')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Injection in Chrome Tabs in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Chrome Tabs веб-браузера Google Chrome связана с недостаточной нейтрализацией специальных элементов в запросе. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-74')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in FileSystem in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper privilege management in Actor in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Actor веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Paint in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially bypass web origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Paint веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in Workers in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Workers веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Payments in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Payments веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in PermissionElement in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to spoof UI elements via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента PermissionElement веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect reference resolution in Speech in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Speech веб-браузера Google Chrome связана с использованием имени с неправильной ссылкой. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-706')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Sensor in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Sensor веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Input in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Input веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in TabGroups in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially leak sensitive information via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента TabGroups веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Web Authentication (Passkeys & Security Keys) in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Web Authentication (Passkeys & Security Keys) веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Printing in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Printing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Preload in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Preload веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Dawn in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Skia in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to read memory inside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Skia веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Viz in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Viz веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDF in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted PDF file. (Chromium security severity: Low) Уязвимость компонента PDF веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Chromecast in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in SignIn in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента SignIn веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N', score=5.9) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in XR in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента XR веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Buffer overflow in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Forms in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Forms веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in GetUserMedia in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GetUserMedia веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in ServiceWorker in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Extensions in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Browser in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Browser веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in FileSystem in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Skia in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Skia веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Skia in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Skia веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Off-by-one error in DevTools in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to potentially read memory inside the sandbox via a crafted Chrome extension. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Safebrowsing in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass system access restrictions via a crafted file. (Chromium security severity: Medium) Уязвимость компонента Safebrowsing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданного файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in DevTools in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to obtain sensitive information via UI Interaction. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in FileSystem in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in WebAppInstalls in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebAppInstalls веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Extensions in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy into a privileged page via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Extensions веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Extensions in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to obtain sensitive information via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Web Authentication (Passkeys & Security Keys) in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Web Authentication (Passkeys & Security Keys) веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in DOM in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially leak sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DOM веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in Glic in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Glic веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Media in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Accessibility in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to execute arbitrary code outside the sandbox via UI Interaction. (Chromium security severity: High) Уязвимость компонента Accessibility веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Preload in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Preload веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in DOM in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DOM веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Extensions in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in SiteIsolation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Variations in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially bypass web origin policy via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента Variations веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Canvas in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Canvas веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Script in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Script веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in Editing in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Editing веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Platform in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Platform веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Aura in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Aura веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper access control in Workers in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Workers веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromecast in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in DevTools in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in FileSystem in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to read memory outside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in HTTP2 in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to leak sensitive information via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента HTTP2 веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N', score=5.9) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in Animation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Animation веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in USB in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента USB веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Passwords in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to bypass web origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Passwords веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Preload in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Preload веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in WebGL in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebGL веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Buffer overflow in Blink in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Blink веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Sandbox in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Sandbox веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Bluetooth in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to execute arbitrary code outside the sandbox via a crafted Chrome extension. (Chromium security severity: High) Уязвимость компонента Bluetooth веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in Dawn in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially read memory inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Chromium in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to read memory inside the sandbox via a crafted file. (Chromium security severity: Low) Уязвимость компонента Chromium веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromecast in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper privilege management in Regional Capabilities in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента Regional Capabilities веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in DevTools in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in SiteIsolation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass site isolation into a privileged page via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to read memory outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Buffer overflow in Media in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Aura in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Aura веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Injection in CSS in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с недостаточной нейтрализацией специальных элементов в запросе. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-74')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebGL in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebGL веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Navigation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in ServiceWorker in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass web origin policy via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in HTML in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента HTML веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Animation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Animation веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in UI in Google Chrome prior to 152.0.7977.65 allowed a local attacker who had compromised the renderer process to execute arbitrary code outside the sandbox via a local program. (Chromium security severity: Medium) Уязвимость компонента UI веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=7.7) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in DataTransfer in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DataTransfer веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Input in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Input веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Code injection in Bisection in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted file. (Chromium security severity: Medium) Уязвимость компонента Bisection веб-браузера Google Chrome связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного файла [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Navigation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to spoof address bar via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in ServiceWorker in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in WebRTC in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in WebXR in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebXR веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Safebrowsing in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass system access restrictions via a crafted file. (Chromium security severity: Medium) Уязвимость компонента Safebrowsing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданного файла [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Cookies in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Cookies веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Controls in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Controls веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in Extensions in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code inside the sandbox via crafted network traffic. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect reference resolution in Preload in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Preload веб-браузера Google Chrome связана с использованием имени с неправильной ссылкой. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-706')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incomplete cleanup in GetUserMedia in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента GetUserMedia веб-браузера Google Chrome связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to execute arbitrary code inside the sandbox via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in Workers in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Workers веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to potentially bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to read memory outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in DOM in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DOM веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in FindInPage in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FindInPage веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in GPU in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in ANGLE in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper privilege management in FileSystem in Google Chrome prior to 152.0.7977.65 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Geometry in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Geometry веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in Forms in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Forms веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper control of a resource through its lifetime in Workers in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Workers веб-браузера Google Chrome связана с неправильным контролем над ресурсом на протяжении его жизненного цикла. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-664')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Aura in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Aura веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in CSS in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Chromecast in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Animation in Google Chrome prior to 152.0.7977.65 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Animation веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in V8 in Google Chrome prior to 151.0.7922.72 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in FileSystem in Google Chrome prior to 152.0.7977.75 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Proxy in Google Chrome prior to 152.0.7977.75 allowed a remote attacker to execute arbitrary code outside the sandbox via crafted network traffic. (Chromium security severity: High) Уязвимость компонента Proxy веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.0) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in DataTransfer in Google Chrome prior to 152.0.7977.75 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a co-installed app. (Chromium security severity: High) Уязвимость компонента DataTransfer веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in V8 in Google Chrome prior to 152.0.7977.75 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in FileSystem in Google Chrome prior to 152.0.7977.75 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Actor in Google Chrome prior to 152.0.7977.75 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Actor веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in SiteSettings in Google Chrome prior to 152.0.7977.75 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SiteSettings веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in TabStrip in Google Chrome prior to 152.0.7977.75 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента TabStrip веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 152.0.7977.75 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in MediaCapture in Google Chrome prior to 152.0.7977.75 allowed a remote attacker to potentially leak sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента MediaCapture веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Browser in Google Chrome prior to 152.0.7977.75 allowed a remote attacker who had compromised the renderer process to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Browser веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in TabStrip in Google Chrome prior to 152.0.7977.75 allowed a remote attacker leveraging social engineering to execute arbitrary code outside the sandbox via UI Interaction. (Chromium security severity: Low) Уязвимость компонента TabStrip веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in FileSystem in Google Chrome prior to 152.0.7977.75 allowed a remote attacker leveraging social engineering to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Navigation in Google Chrome prior to 152.0.7977.75 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in FullScreen in Google Chrome prior to 152.0.7977.75 allowed a remote attacker to spoof address bar via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FullScreen веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Omnibox in Google Chrome prior to 152.0.7977.75 allowed a remote attacker leveraging social engineering to bypass web origin policy via crafted network traffic. (Chromium security severity: High) Уязвимость компонента Omnibox веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper privilege management in Downloads in Google Chrome prior to 152.0.7977.75 allowed a remote attacker who had compromised the renderer process to spoof address bar via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с небезопасным управлением привилегиями. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-269')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Skia in Google Chrome prior to 152.0.7977.75 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 152.0.7977.82 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DevTools веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incomplete cleanup in Network in Google Chrome prior to 152.0.7977.82 allowed a remote attacker to bypass system access restrictions via crafted network traffic. (Chromium security severity: High) Уязвимость компонента Network веб-браузера Google Chrome связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in V8 in Google Chrome prior to 152.0.7977.82 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 152.0.7977.82 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Compositing in Google Chrome prior to 152.0.7977.82 allowed a remote attacker who had compromised the renderer process to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Compositing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Skia in Google Chrome prior to 152.0.7977.82 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in Compositing in Google Chrome prior to 152.0.7977.82 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Compositing веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in CrashReporting in Google Chrome prior to 152.0.7977.82 allowed a remote attacker who had compromised the renderer process to read memory outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CrashReporting веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper resource exposure in CacheStorage in Google Chrome prior to 152.0.7977.82 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента CacheStorage веб-браузера Google Chrome связана с раскрытием информации в ошибочной области данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 docker.io-app The tar extraction routines in moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed, and the ApplyLayer helpers) do not confine filesystem operations to the destination directory. The extractor decides where each archive entry lands using lexical string checks and then performs the filesystem operation on a path that is resolved by the OS, so links introduced by the archive can be followed out of the destination directory. An attacker who controls the contents of an archive can create or overwrite files at arbitrary paths writable by the extracting process. Уязвимость компонента moby/go-archive средства автоматизации развёртывания и управления приложениями в средах с поддержкой контейнеризации Docker связана с неверным определением символических ссылок перед доступом к файлу. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-59')] None None До установки обновления, устраняющего уязвимость, рекомендуется применение следующих временных мер: 1. Ограничить использование команды `docker cp`. Не выполнять копирование данных из запущенных контейнеров, полученных из недоверенных источников. 2. Выполнять копирование только из остановленных контейнеров. Перед выполнением команды `docker cp` контейнер должен быть остановлен. 3. Исключить выполнение команды `docker cp` с повышенными привилегиями. Не использовать команду `sudo docker cp` и не выполнять автоматизированное копирование из контейнеров от имени пользователя root или учетных записей с эквивалентными правами. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: batman-adv: reject oversized global TT response buffers batadv_tt_prepare_tvlv_global_data() builds the allocation length for a global TT response in 16-bit temporaries. When a remote originator advertises a large enough global TT, the TT payload length plus the VLAN header offset can exceed 65535 and wrap before kmalloc(). The full-table response path still uses the original TT payload length when it fills tt_change, so the wrapped allocation is too small and batadv_tt_prepare_tvlv_global_data() writes past the end of the heap object before the later packet-size check runs. Fix this by rejecting TT responses whose TVLV value length cannot fit in the 16-bit TVLV payload length field. Уязвимость функции batadv_tt_prepare_tvlv_global_data() модуля net/batman-adv/translation-table.c реализации сетевых функций ядра операционной системы Linux связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля batman_adv.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль batman_adv в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep batman_adv ``` или ``` kmod list | grep batman_adv ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля batman_adv.ko: ``` sudo rmmod batman_adv ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-batman_adv.conf. *Примечание*. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install batman_adv /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: openvswitch: defer tunnel netdev_put to RCU release ovs_netdev_tunnel_destroy() may run after NETDEV_UNREGISTER already detached the device. Dropping the netdev reference in destroy can race with concurrent readers that still observe vport->dev. Do not release vport->dev in ovs_netdev_tunnel_destroy(). Instead, let vport_netdev_free() drop the reference from the RCU callback, matching the non-tunnel destroy path and avoiding additional synchronization under RTNL. Уязвимость функции ovs_netdev_tunnel_destroy() модуля net/openvswitch/vport-netdev.c поддержки маршрутизаторов Open vSwitch ядра операционной системы Linux связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) ##### Способ №1 Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля openvswitch.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль openvswitch в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep openvswitch ``` или ``` kmod list | grep openvswitch ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля openvswitch.ko: ``` sudo rmmod openvswitch ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-openvswitch.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install openvswitch /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. **Внимание!** После запрета загрузки модуля ядра нарушится работа OVS, используемого для сетевого взаимодействия контейнеров или виртуальных машин. ##### Способ №2 Существующий метод эксплуатации уязвимости полагается на возможность создания непривилегированными пользователями пространств имен. Решением проблемы является отключение данной возможности для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: 1. Используя полномочия администратора системы с высоким уровнем целостности запустить команды `echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf` `sysctl -p /etc/sysctl.d/userns.conf` 2. Убедиться в том, что настройка применилась: `cat /etc/sysctl.d/userns.conf` **Внимание!** После введения запрета может нарушиться работа: - средств контейнеризации и изоляции: Docker, инструментов песочницы (sandboxing) и других; - служб systemd, использующих опцию DynamicUser; - сетевых утилит под учетными записями непривилегированных пользователей при использовании сетевых пространств имен (network namespaces); - старых версий инструментов bpftrace и bcc-tools, а также BPF-программ, привязанных к фиксированным адресам. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net/rds: handle zerocopy send cleanup before the message is queued A zerocopy send can fail after user pages have been pinned but before the message is attached to the sending socket. The purge path currently infers zerocopy state from rm->m_rs, so an unqueued message can be cleaned up as if it owned normal payload pages. However, zerocopy ownership is really determined by the presence of op_mmp_znotifier, regardless of whether the message has reached the socket queue. Capture op_mmp_znotifier up front in rds_message_purge() and use it as the cleanup discriminator. If the message is already associated with a socket, keep the existing completion path. Otherwise, drop the pinned page accounting directly and release the notifier before putting the payload pages. This keeps early send failure cleanup consistent with the zerocopy lifetime rules without changing the normal queued completion path. Уязвимость функции rds_message_purge ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модулей rds.ko и rds_tcp.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружены ли модули rds иb rds_tcp в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep rds lsmod | grep rds_tcp ``` или ``` kmod list | grep rds kmod list | grep rds_tcp ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля rds.ko: ``` sudo rmmod rds ``` - команда для выгрузки модуля rds_tcp.ko: ``` sudo rmmod rds_tcp ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-rds.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install rds /bin/false install rds_tcp /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_queue: hold bridge skb->dev while queued br_pass_frame_up() rewrites skb->dev from the ingress port to the bridge master before queueing bridge LOCAL_IN packets. NFQUEUE only holds references on state.in/out and bridge physdevs, so a queued bridge packet can retain a freed bridge master in skb->dev until reinjection. When the verdict is reinjected later, br_netif_receive_skb() re-enters the receive path with skb->dev still pointing at the freed bridge master, triggering a use-after-free. Store skb->dev in the queue entry, hold a reference on it for the queue lifetime, and use the saved device when dropping queued packets during NETDEV_DOWN handling. Уязвимость функции br_pass_frame_up() ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля nfnetlink_queue.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль nfnetlink_queue в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep nfnetlink_queue ``` или ``` kmod list | grep nfnetlink_queue ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля nfnetlink_queue.ko: ``` sudo rmmod nfnetlink_queue ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-nfnetlink_queue.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install nfnetlink_queue /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipc: limit next_id allocation to the valid ID range The checkpoint/restore sysctl path can request the next SysV IPC id through ids->next_id. ipc_idr_alloc() currently forwards that request to idr_alloc() with an open-ended upper bound. If the valid tail of the SysV IPC id space is full, the allocation can spill beyond ipc_mni. The returned SysV IPC id still uses the normal index encoding, so later lookup and removal can target the wrong slot. This leaves the real IDR entry behind and breaks the IDR state for the object. The bug is in ipc_idr_alloc() in the checkpoint/restore path. 1. ids->next_id is passed to: idr_alloc(&ids->ipcs_idr, new, ipcid_to_idx(next_id), 0, ...) 2. The zero upper bound makes the allocation effectively open-ended. Once the valid SysV IPC tail is occupied, idr_alloc() can spill past ipc_mni and allocate an entry beyond the valid IPC id range. 3. The new object id is still encoded with the narrower SysV IPC index width: new->id = (new->seq << ipcmni_seq_shift()) + idx 4. Later removal goes through ipc_rmid(), which uses: ipcid_to_idx(ipcp->id) That truncates the real IDR index. An object actually stored at a high index can then be removed as if it lived at a low in-range index. 5. For shared memory, shm_destroy() frees the current object anyway, but the real high IDR slot is left behind as a dangling pointer. 6. A subsequent walk of /proc/sysvipc/shm reaches the stale IDR entry and dereferences freed memory. Prevent this by bounding the requested allocation to ipc_mni so the checkpoint/restore path fails once the valid range is exhausted. Уязвимость функции ipc_idr_alloc() ядра операционной системы Linux связана с неправильным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) 1. Проверьте конфигурацию ядра: ``` grep CONFIG_CHECKPOINT_RESTORE /boot/config-$(uname -r) 2>/dev/null ``` Если вывод пустой или "is not set", то опция отключена и уязвимость не актуальна. Если вывод "=y", то дополнительно проверить существование файлов: ``` ls -la /proc/sys/kernel/sem_next_id /proc/sys/kernel/msg_next_id /proc/sys/kernel/shm_next_id 2>&1 ``` Если файлы существуют, то уязвимость может быть актуальна, поэтому перейдите к выполнению п.2. 2. От имени администратора системы с высоким уровнем целостности в текстовом редакторе создать файл /etc/sysctl.d/99-block-ipc-next-id.conf и записать в него следующее: ``` kernel.sem_next_id = -1 kernel.msg_next_id = -1 kernel.shm_next_id = -1 ``` 3. Применить настройки: ``` sudo sysctl -p /etc/sysctl.d/99-block-ipc-next-id.conf ``` Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sctp: purge outqueue on stale COOKIE-ECHO handling sctp_stream_update() is only invoked when the association is moved into COOKIE_WAIT during association setup/reconfiguration. In this path, the outbound stream scheduler state (stream->out_curr) is expected to be clean, since no user data should have been transmitted yet unless the state machine has already partially progressed. However, a corner case exists in sctp_sf_do_5_2_6_stale(): when a Stale Cookie ERROR is received, the association is rolled back from COOKIE_ECHOED to COOKIE_WAIT. In this scenario, user data may already have been queued and even bundled with the COOKIE-ECHO chunk. During the rollback, sctp_stream_update() frees the old stream table and installs a new one, but it does not invalidate stream->out_curr. As a result, out_curr may still point to a freed sctp_stream_out entry from the previous stream state. Later, SCTP scheduler dequeue paths (FCFS, RR, PRIO, etc.) rely on stream->out_curr->ext, which can lead to use-after-free once the old stream state has been released via sctp_stream_free(). This results in crashes such as (reported by Yuqi): BUG: KASAN: slab-use-after-free in sctp_sched_fcfs_dequeue+0x13a/0x140 Read of size 8 at addr ff1100004d4d3208 by task mini_poc/9312 CPU: 1 UID: 1001 PID: 9312 Comm: mini_poc Not tainted 7.1.0-rc1-00305-gbd3a4795d574 #5 PREEMPT(full) sctp_sched_fcfs_dequeue+0x13a/0x140 sctp_outq_flush+0x1603/0x33e0 sctp_do_sm+0x31c9/0x5d30 sctp_assoc_bh_rcv+0x392/0x6f0 sctp_inq_push+0x1db/0x270 sctp_rcv+0x138d/0x3c10 Fix this by fully purging the association outqueue when handling the Stale Cookie case. This ensures all pending transmit and retransmit state is dropped, and any scheduler cached pointers are invalidated, making it safe to rebuild stream state during COOKIE_WAIT restart. Updating only stream->out_curr would be insufficient, since queued and retransmittable data would still reference the old stream state and trigger later use-after-free in dequeue paths. Уязвимость функции sctp_sf_do_5_2_6_stale() модуля net/sctp/sm_statefuns.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sctp.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль sctp в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep sctp ``` или ``` kmod list | grep sctp ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля sctp.ko: ``` sudo rmmod sctp ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-sctp.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install sctp /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sctp: stream: fully roll back denied add-stream state When ADD_OUT_STREAMS is denied, SCTP only shrinks the queued chunks and then lowers outcnt. That leaves removed stream metadata behind, so a later re-add can reuse a stale ext and hit a null-pointer dereference in the scheduler get path. Fix the rollback by tearing down the removed stream state the same way other stream resizes do. Unschedule the current scheduler state, drop the removed stream ext state with sctp_stream_outq_migrate(), and then reschedule the remaining streams. This keeps scheduler-private RR/FC/PRIO lists consistent while fully rolling back denied outgoing stream additions. Уязвимость функции sctp_process_strreset_resp() модуля net/sctp/stream.c реализации протокола SCTP (Stream Control Transmission Protocol) ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sctp.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль sctp в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep sctp ``` или ``` kmod list | grep sctp ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля sctp.ko: ``` sudo rmmod sctp ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-sctp.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install sctp /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: io_uring/poll: fix signed comparison in io_poll_get_ownership() io_poll_get_ownership() uses a signed comparison to check whether poll_refs has reached the threshold for the slowpath: if (unlikely(atomic_read(&req->poll_refs) >= IO_POLL_REF_BIAS)) atomic_read() returns int (signed). When IO_POLL_CANCEL_FLAG (BIT(31)) is set in poll_refs, the value becomes negative in signed arithmetic, so the >= 128 comparison always evaluates to false and the slowpath is never taken. Fix this by casting the atomic_read() result to unsigned int before the comparison, so that the cancel flag is treated as a large positive value and correctly triggers the slowpath. Уязвимость функции io_poll_get_ownership() ядра операционной системы Linux связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) 1. Для устранения угрозы эксплуатации уязвимости в качестве временной меры до установки исправленного ядра нужно ограничить вектор атаки через sysctl, для этого выполните команду:   ``` sudo sysctl -w kernel.io_uring_disabled=2 ``` Данная команда мгновенно установит запрет для всех пользователей, включая привилегированные процессы. 2. В качестве постоянной меры до установки исправленного ядра нужно настроить постоянное отключение через файл: ``` echo "kernel.io_uring_disabled=2" | sudo tee /etc/sysctl.d/99-io-uring-disable.conf ``` 3. Примените и настройте автоматическую загрузку: ``` sudo sysctl -p /etc/sysctl.d/99-io-uring-disable.conf ``` 4. Перезагрузите систему: ``` sudo reboot ``` 5. После перезагрузки выполните команду проверки. Параметр 2 должен подтвердить, что настройка активна: ``` sudo sysctl kernel.io_uring_disabled ``` Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: vsock/virtio: fix zerocopy completion for multi-skb sends When a large message is fragmented into multiple skbs, the zerocopy uarg is only allocated and attached to the last skb in the loop. Non-final skbs carry pinned user pages with no completion tracking, so the kernel has no way to notify userspace when those pages are safe to reuse. If the loop breaks early the uarg is never allocated at all, leaking pinned pages with no completion notification. Fix this by following the approach used by TCP: allocate the zerocopy uarg (if not provided by the caller) before the send loop and attach it to every skb via skb_zcopy_set(), which takes a reference per skb. Each skb's completion properly decrements the refcount, and the notification only fires after the last skb is freed. On failure, if no data was sent, the uarg is cleanly aborted via net_zcopy_put_abort(). This issue was initially discovered by sashiko while reviewing commit 1cb36e252211 ("vsock/virtio: fix MSG_ZEROCOPY pinned-pages accounting") but was pre-existing. Уязвимость файла net/vmw_vsock/virtio_transport_common.c ядра операционных систем Linux связана с неправильным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-404')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) 1. Для устранения угрозы эксплуатации уязвимости в качестве временной меры до установки исправленного ядра нужно ограничить вектор атаки через sysctl, для этого выполните команду:   ``` sudo sysctl -w kernel.io_uring_disabled=2 ``` Данная команда мгновенно установит запрет для всех пользователей, включая привилегированные процессы. 2. В качестве постоянной меры до установки исправленного ядра нужно настроить постоянное отключение через файл: ``` echo "kernel.io_uring_disabled=2" | sudo tee /etc/sysctl.d/99-io-uring-disable.conf ``` 3. Примените и настройте автоматическую загрузку: ``` sudo sysctl -p /etc/sysctl.d/99-io-uring-disable.conf ``` 4. Перезагрузите систему: ``` sudo reboot ``` 5. После перезагрузки выполните команду проверки. Параметр 2 должен подтвердить, что настройка активна: ``` sudo sysctl kernel.io_uring_disabled ``` Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: batman-adv: tp_meter: restrict number of unacked list entries When the unacked_list is unbound, an attacker could send messages with small lengths and appropriated seqno + gaps to force the receiver to allocate more and more unacked_list entries. And the end either causing an out-of-memory situation or increase the management overhead for the (large) list that significant portions of CPU cycles are wasted in searching through the list. When limiting the list to a specific number, it is important to still correctly add a new entry to the list. But if the list became larger than the limit, the last entry of the list (with the highest seqno) must be dropped to still allow the earlier seqnos to finish and therefore to continue the process. Otherwise, the process might get stuck with too high seqnos which are not handled by batadv_tp_ack_unordered(). Уязвимость функции batandv_tp_ack_unordered() модуля batman-adv ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля batman_adv.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль batman_adv в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep batman_adv ``` или ``` kmod list | grep batman_adv ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля batman_adv.ko: ``` sudo rmmod batman_adv ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-batman_adv.conf. *Примечание*. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install batman_adv /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: perf/core: Detach event groups during remove_on_exec perf_event_remove_on_exec() removes events by calling perf_event_exit_event(). For top-level events, this removes the event from the context with DETACH_EXIT only. This can leave inconsistent group state when a removed event is a group leader and the group contains siblings without remove_on_exec. If the group was active, the surviving siblings can remain active and attached to the removed leader's sibling list, but are no longer represented by a valid group leader on the PMU context active lists. A later close of the removed leader uses DETACH_GROUP and can promote the still-active siblings from this stale group state. The next schedule-in can then add an already-linked active_list entry again, corrupting the PMU context active list. With DEBUG_LIST enabled, this is caught as a list_add double-add in merge_sched_in(). Fix this by detaching group relationships when remove_on_exec removes an event. This preserves the existing task-exit and revoke behavior, while ensuring surviving siblings are ungrouped before the removed event leaves the context. Уязвимость компонента kernel/events/core.c ядра операционной системы Linux связана с использованием нереентабельной функции в параллельном контексте. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) 1. От имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл etc/sysctl.conf и добавить или отредактировать строку с kernel.perf_event_paranoid: ``` kernel.perf_event_paranoid = 3 ``` 2. Выполнить ``` sudo sysctl -p ``` 3. Перезагрузить систему. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix path resolution in ksmbd_vfs_kern_path_create The SMB2 open lookup is rooted at the share with LOOKUP_BENEATH, but the create/mkdir/hardlink sink is not: ksmbd_vfs_kern_path_create() builds an absolute path with convert_to_unix_name() and resolves it from AT_FDCWD via start_creating_path(), so a ".." component is walked from the real filesystem root and escapes the export. An authenticated client races a missing path component so the rooted open lookup returns -ENOENT (taking the create branch) while the same component is present (a directory) when the create walk runs; the create then resolves ".." out of the share. Root the create walk at the share like the lookup and rename paths already are: resolve the parent with vfs_path_parent_lookup(..., LOOKUP_BENEATH, &share_conf->vfs_path) and create the final component with start_creating_noperm(). convert_to_unix_name() then has no callers and is removed. Уязвимость ядра операционной системы Linux связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ksmbd.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль ksmbd в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep ksmbd ``` или ``` kmod list | grep ksmbd ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля ksmbd.ko: ``` sudo rmmod ksmbd ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-ksmbd.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install ksmbd /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sctp: avoid auth_enable sysctl UAF during netns teardown proc_sctp_do_auth() updates the SCTP control socket after changing net.sctp.auth_enable. The handler gets the per-net SCTP state from ctl->data, so an already opened sysctl file can still target a network namespace while that namespace is being torn down. SCTP previously registered its per-net sysctls from sctp_defaults_init(), while the control socket is created later from sctp_ctrlsock_init(). This exposed a window during initialization where auth_enable was writable before net->sctp.ctl_sock existed, and a teardown window where auth_enable stayed writable after inet_ctl_sock_destroy() had released the control socket. Move the per-net SCTP sysctl registration into sctp_ctrlsock_init() after sctp_ctl_sock_init() succeeds, and unregister the sysctl table before destroying the control socket in sctp_ctrlsock_exit(). If sysctl registration fails after the control socket was created, destroy the control socket in the same init path. Make sctp_sysctl_net_unregister() tolerate a missing header and clear the saved pointer so init-error and exit paths can safely share the unregister helper. Уязвимость компонента net/sctp ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sctp.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль sctp в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep sctp ``` или ``` kmod list | grep sctp ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля sctp.ko: ``` sudo rmmod sctp ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-sctp.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install sctp /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sctp: fix auth_hmacs array size in struct sctp_cookie The auth_hmacs array in struct sctp_cookie is supposed to store a complete SCTP_AUTH_HMAC_ALGO parameter, which consists of a struct sctp_paramhdr followed by N HMAC identifiers. However, the array size was calculated using an extra 2 bytes instead of sizeof(struct sctp_paramhdr), which is 4 bytes. When four HMAC identifiers are configured, the HMAC-ALGO parameter stored in the endpoint is larger than the auth_hmacs buffer in the cookie. As a result, sctp_association_init() copies beyond the end of auth_hmacs when initializing the association, corrupting the adjacent auth_chunks field. This can lead to an invalid HMAC identifier being accepted and later cause an out-of-bounds read in sctp_auth_get_hmac(). Fix the array size calculation by including the full SCTP parameter header size. Уязвимость функции sctp_association_init() ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sctp.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль sctp в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep sctp ``` или ``` kmod list | grep sctp ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля sctp.ko: ``` sudo rmmod sctp ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-sctp.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install sctp /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ppp: defer channel free to an RCU grace period to fix pppol2tp RX UAF pppol2tp_recv() runs in the L2TP UDP-encap softirq RX path: l2tp_udp_encap_recv() -> l2tp_recv_common() -> pppol2tp_recv() -> ppp_input(&po->chan) It runs under rcu_read_lock() holding only an l2tp_session reference and takes NO reference on the internal PPP channel (struct channel, chan->ppp) that ppp_input() dereferences. The pppox socket is SOCK_RCU_FREE, so 'po' and the embedded ppp_channel are RCU-safe. But the internal struct channel is a separate allocation that ppp_release_channel() frees with a plain kfree(): close(data socket) -> pppol2tp_release() -> pppox_unbind_sock() -> ppp_unregister_channel() -> ppp_release_channel() -> kfree(pch) For a channel that is bound (PPPIOCGCHAN) but not attached to a ppp unit (no PPPIOCCONNECT, pch->ppp == NULL) and not bridged, teardown skips both ppp_disconnect_channel()'s synchronize_net() and ppp_unbridge_channels()'s synchronize_rcu(), so the kfree() has no grace period. rcu_read_lock() in pppol2tp_recv() does not protect against a plain kfree(), so an in-flight ppp_input() on one CPU can dereference the channel just freed by close() on another CPU. The bug is reachable by an unprivileged user. Defer the channel free to an RCU callback via call_rcu() so the grace period fences any in-flight ppp_input(). The disconnect and unbridge teardown paths already fence with synchronize_net()/synchronize_rcu(); call_rcu() does the same here without stalling the close() path. Уязвимость функции pppol2tp_recv() модуля drivers/net/ppp/ppp_generic.c ядра операционной системы Linux связана с использованием памяти после ее освобождения в результате разыменования указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля l2tp_ppp.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль l2tp_ppp в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep l2tp_ppp ``` или ``` kmod list | grep l2tp_ppp ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля l2tp_ppp.ko: ``` sudo rmmod l2tp_ppp ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-l2tp_ppp.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install l2tp_ppp /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: x86/bugs: Make Safe-RET robust against interrupt injection An attacker injecting interrupts while the Safe-RET mitigation executes on machines affected by SRSO can neutralize the safe return sequence, potentially leading to data leakage through speculative execution. Fixup register state as if the Safe-RET sequence executed successfully by "emulating" it, in a manner of speaking, and avoid executing a RET instruction after returning from the interrupt. Уязвимость ядра операционной системы Linux связана с раскрытием информации при передаче данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None None Astra Linux 1.8 linux-6.12 In the Linux kernel, the following vulnerability has been resolved: xfrm: nat_keepalive: avoid double free on send error nat_keepalive_send() frees the keepalive skb whenever the IPv4 or IPv6 send helper reports an error. That cleanup is only correct before the skb is handed to the output path. Once ip_build_and_send_pkt() or ip6_xmit() takes ownership, the networking stack may already have consumed the skb before returning an error, so freeing it again is unsafe. Handle the pre-handoff failure cases inside nat_keepalive_send_ipv4() and nat_keepalive_send_ipv6(), where the caller still owns the skb, and keep nat_keepalive_send() responsible only for family dispatch and the unsupported-family cleanup path. Уязвимость функции nat_keepalive_send() компонента xfrm ядра операционной системы Linux связана с множественным освобождением одного и того же ресурса или дескриптора. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля xfrm_user.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль xfrm_user в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep xfrm_user ``` или ``` kmod list | grep xfrm_user ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля xfrm_user.ko: ``` sudo rmmod xfrm_user ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-xfrm_user.conf. {*}Примечание{*}. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install xfrm_user /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_queue: pin bridge device while NFQUEUE holds fake dst The br_netfilter fake rtable is embedded in struct net_bridge and is attached to bridged packets with skb_dst_set_noref(). If such a packet is queued to NFQUEUE, __nf_queue() upgrades that fake dst with skb_dst_force(). At that point the queued skb can hold a real dst reference after bridge teardown has started. The problem is not that every bridged packet needs its own dst reference. The problem is that NFQUEUE can keep the bridge private fake dst alive after unregister begins. Fix this by keeping the bridge fake dst model unchanged and pinning the bridge master device only while the packet sits in NFQUEUE. Record the bridge device in nf_queue_entry when the queued skb carries a bridge fake dst, take a device reference for the queue lifetime, and drop it when the queue entry is freed. Also make sure queued entries are reaped when that bridge device goes down, and drop the redundant nf_bridge_info_exists() test from the fake dst detection. This keeps netdev_priv(br->dev) alive until verdict completion, so the embedded fake rtable and its metrics backing storage cannot be freed out from under dst_release(). It also avoids the constant refcount bump and avoids using ipv4-specific dst helpers for IPv6 bridge traffic. Уязвимость модуля nf_queue ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) #### 1 способ Для нейтрализации угрозы эксплуатации уязвимости CVE-2026-72255 необходимо применить один из приведенных способов. 1. Существующий метод эксплуатации уязвимости полагается на возможность создания непривилегированными пользователями пространств имен. Решением проблемы является отключение данной возможности для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: От имени администратора системы с высоким уровнем целостности выполнить команду ``` sysctl -w kernel.unprivileged_userns_clone=0 ``` 2. Для того, чтобы настройка всегда применялась после перезагрузки ОС, выполните команды ``` echo "kernel.unprivileged_userns_clone=0" > /etc/sysctl.d/userns.conf sysctl -p /etc/sysctl.d/userns.conf ``` 3. Выполнить перезагрузку ОС 4. Убедиться в том, что настройка применилась: ``` cat /etc/sysctl.d/userns.conf ``` #### 2 способ Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля br_netfilter.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль br_netfilter в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep br_netfilter ``` или ``` kmod list | grep br_netfilter ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля br_netfilter.ko: ``` sudo rmmod br_netfilter ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-br_netfilter.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install br_netfilter /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: bridge: stp: Fix a potential use-after-free when deleting a bridge The three STP timers are not supposed to be armed while the bridge is administratively down. They are synchronously deactivated when the bridge is put administratively down and the various call sites check for 'IFF_UP' before arming them. This check is missing from br_topology_change_detection() and it is possible to engineer a situation in which the topology change timer is armed while the bridge is administratively down, resulting in a use-after-free [1] when the bridge is deleted. Fix by adding the missing check and for good measures synchronously shutdown the three timers when the bridge is deleted. [1] ODEBUG: free active (active state 0) object: ffff88811662b9b0 object type: timer_list hint: br_topology_change_timer_expired (net/bridge/br_stp_timer.c:120) WARNING: lib/debugobjects.c:629 at debug_print_object+0x1bc/0x450, CPU#9: ip/359 Уязвимость компонента net/bridge/br_stp.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bridge.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль bridge в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep bridge ``` или ``` kmod list | grep bridge ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля bridge.ko: ``` sudo rmmod bridge ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-bridge.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install bridge /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: bridge: stop fast-leave after deleting a port group br_multicast_leave_group() iterates mp->ports with pp = &p->next in its fast-leave path. After br_multicast_del_pg() removes p, continuing the loop advances pp through the deleted entry. If multicast-to-unicast was enabled, the bridge can hold multiple port groups for the same port and group with different source MAC addresses. Once multicast-to-unicast is disabled, br_port_group_equal() matches those entries by port only. A fast leave can then delete one entry and continue from its stale next pointer, leaving mp->ports pointing at a deleted port group. Fast leave only needs to remove one matching port group. Break after br_multicast_del_pg() so the loop stops before dereferencing the removed entry. Уязвимость функции br_multicast_leave_group() модуля net/bridge/br_multicast.c реализации сетевых функций ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bridge.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль bridge в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep bridge ``` или ``` kmod list | grep bridge ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля bridge.ko: ``` sudo rmmod bridge ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-bridge.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install bridge /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: net: ipv6: clear suppressed fib6 rule result fib6_rule_suppress() drops a suppressed route with ip6_rt_put_flags(), but leaves res->rt6 pointing at the released rt6_info. If no later rule supplies a replacement, fib6_rule_lookup() still sees res.rt6 and returns that stale dst to its caller. A suppressing rule can therefore leak a released route back to rt6_lookup(), and the next put hits rcuref_put_slowpath() from dst_release(). Clear res->rt6 when suppressing the route so suppressed lookups fall through to the null dst instead of reusing the released one. Уязвимость функции fib6_rule_suppress() модуля net/ipv6/fib6_rules.c реализации протокола IPv6 ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Если система не использует IPv6 для выполнения своих функций, то его следует полностью деактивировать. 1. От имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл конфигурации GRUB: ``` sudo nano /etc/default/grub ``` 2. Найдите строку GRUB_CMDLINE_LINUX_DEFAULT и добавьте параметр ipv6.disable=1: ``` GRUB_CMDLINE_LINUX_DEFAULT="... ipv6.disable=1" ``` 3. Обновите конфигурацию GRUB: ``` sudo update-grub ``` 4. Перезагрузите систему: ``` sudo reboot ``` Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: sctp: clear new_transport when removing a peer sctp_process_asconf_param() stores a newly added peer transport in asoc->new_transport. After all parameters in the ASCONF chunk have been processed, sctp_sf_do_asconf() uses this pointer to send a HEARTBEAT to the new transport. An authenticated ASCONF from a remote SCTP peer can add a transport and remove it again with a wildcard DEL-IP parameter in the same chunk. The wildcard deletion preserves the transport on which the ASCONF arrived, but removes the newly added transport through sctp_assoc_del_nonprimary_peers(). The removal does not clear asoc->new_transport, leaving it pointing to the removed transport. sctp_sf_do_asconf() then creates a HEARTBEAT whose chunk->transport points to the removed transport without holding a transport reference. During local address replacement, src_out_of_asoc_ok keeps this HEARTBEAT on control_chunk_list. After the transport is freed by RCU, a successful ASCONF_ACK for the replacement address releases the queued HEARTBEAT and sctp_outq_select_transport() reads the freed transport's state. The issue was found during a static audit of SCTP objects. With an authenticated peer, the reproducer triggered the same KASAN report in 2 of 2 unpatched runs on a KASAN-enabled netdev/main kernel: BUG: KASAN: slab-use-after-free in sctp_outq_select_transport Read of size 4 at addr ffff88800b9bd95c by task python3/197 Call Trace: sctp_outq_select_transport+0x549/0x8b0 [sctp] sctp_outq_flush+0x306/0x2c60 [sctp] sctp_transport_immediate_rtx+0xaf/0x260 [sctp] sctp_process_asconf_ack+0xa48/0xf70 [sctp] Allocated by task 197: sctp_transport_new+0x68/0x650 [sctp] sctp_assoc_add_peer+0x258/0x12a0 [sctp] sctp_process_asconf+0x5e9/0x1090 [sctp] Last potentially related work creation: __call_rcu_common.constprop.0+0x77/0xb70 sctp_assoc_del_nonprimary_peers+0x7c/0xd0 [sctp] sctp_process_asconf+0xd9c/0x1090 [sctp] The first invalid access was a four-byte read of transport->state at net/sctp/outqueue.c:833. The same reproducer completed the full authenticated ASCONF and local-address replacement sequence with this change without a KASAN report or oops. Clear new_transport when its peer is removed, before it can be used to create the HEARTBEAT. Уязвимость реализации протокола Stream Control Transmission Protocol (SCTP) ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sctp.ko в ядро системы. **Внимание!** Запрет загрузки модуля ядра sctp.ko полностью блокирует поддержку сетевого протокола SCTP (Stream Control Transmission Protocol) Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль sctp в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep sctp ``` или ``` kmod list | grep sctp ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля sctp.ko: ``` sudo rmmod sctp ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-sctp.conf. **Примечание**. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install sctp /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ip6_tunnel: clear skb2->cb[] in ip6ip6_err() ip6ip6_err() clones an outer IPv6 ICMP error skb, pulls it to the quoted inner IPv6 packet, and then passes the clone to icmpv6_send(). The clone still carries the outer packet's inet6_skb_parm in skb->cb. If the outer packet had a Home Address Option, IP6CB(skb2)->dsthao remains non-zero after skb_pull(). icmpv6_send() later calls mip6_addr_swap(), which uses that stale dsthao offset against the quoted inner packet. A malformed inner destination-options header can then make the HAO lookup and address swap run past the end of the quoted packet and corrupt skb_shared_info. Clear skb2->cb[] before pulling the quoted inner IPv6 packet so the reply path does not reuse metadata left by the outer IPv6 stack. Уязвимость функции ip6ip6_err() модуля net/ipv6/ip6_tunnel.c реализации протокола IPv6 ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ip6_tunnel.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль ip6_tunnel в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep ip6_tunnel ``` или ``` kmod list | grep ip6_tunnel ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля ip6_tunnel.ko: ``` sudo rmmod ip6_tunnel ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-ip6_tunnel.conf. *Примечание*. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install ip6_tunnel /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 linux-6.1, linux-6.12 In the Linux kernel, the following vulnerability has been resolved: ipvs: do not propagate one-packet flag to synced conns Synced connections can be created before their destination exists. When the destination is later added, ip_vs_bind_dest() copies connection flags from the destination into cp->flags. IP_VS_CONN_F_ONE_PACKET connections are not synced. If a synced connection inherits IP_VS_CONN_F_ONE_PACKET while it is already hashed, expiry can treat it as a one-packet connection and skip unlinking the existing conn_tab node, leaving stale hash nodes pointing at a freed struct ip_vs_conn. Drop IP_VS_CONN_F_ONE_PACKET from destination flags when binding synced connections. Уязвимость функции ip_vs_bind_dest компонента ipvs ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимости CVE-2026-80714 необходимо применить один из приведенных способов. #### 1 способ 1. Существующий метод эксплуатации уязвимости полагается на возможность создания непривилегированными пользователями пространств имен. Решением проблемы является отключение данной возможности для непривилегированных пользователей и исполняемых файлов путём ограничения максимального количества пространств имен пользователей. Для этого нужно выполнить следующее: От имени администратора системы с высоким уровнем целостности выполнить команду ``` sysctl -w kernel.unprivileged_userns_clone=0 ``` 2. Для того, чтобы настройка всегда применялась после перезагрузки ОС, выполните команды ``` echo "kernel.unprivileged_userns_clone=0" > /etc/sysctl.d/userns.conf sysctl -p /etc/sysctl.d/userns.conf ``` 3. Выполнить перезагрузку ОС 4. Убедиться в том, что настройка применилась: ``` cat /etc/sysctl.d/userns.conf ``` #### 2 способ Для устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля ip_vs.ko в ядро системы. Чтобы отключить и выгрузить модули из ядра системы, а также запретить их последующую загрузку, необходимо выполнить действия, описанные ниже. 1. Проверить, загружен ли модуль ip_vs в ядро системы, для этого выполнить одну из команд: ``` lsmod | grep ip_vs ``` или ``` kmod list | grep ip_vs ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. Если модуль загружен, то отключить и выгрузить этот модуль: - команда для выгрузки модуля ip_vs.ko: ``` sudo rmmod ip_vs ``` 2. Запретить загрузку модулей: - от имени администратора системы с высоким уровнем целостности в текстовом редакторе открыть файл /etc/modprobe.d/blacklist.local.conf или файл /etc/modprobe.d/disable-ip_vs.conf. *Примечание*. Указанные файлы не создаются автоматически. Эти файлы используются для запрета загрузки определенных модулей ядра системы. Если файлов нет, то необходимо создать один из указанных файлов; - добавить в файл строку: ``` install ip_vs /bin/false ``` - сохранить файл. 3. Обновить текущий образ initramfs: ``` sudo update-initramfs -uk all ``` Если требуется разрешить загрузку какого-либо из модулей, то необходимо удалить добавленную строку из файла и обновить текущий образ initramfs. Astra Linux 1.8 chromium Missing authorization in ServiceWorker in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Buffer overflow in WebRTC in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Extensions in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain sensitive information via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Navigation in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in FileAPI in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileAPI веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in CORS in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CORS веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in ControlledFrame in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ControlledFrame веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incomplete cleanup in Browser in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass web origin policy via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента Browser веб-браузера Google Chrome связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Frames in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to leak sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Frames веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in ServiceWorker in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Media in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Downloads in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Confused deputy in Prerender in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to potentially bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Prerender веб-браузера Google Chrome связана с отсутствием сохранения источника запроса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-441')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Actor in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Actor веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Memory corruption in Codecs in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Codecs веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Session in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Session веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incomplete cleanup in Extensions in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Network in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass web origin policy via a crafted Chrome extension. (Chromium security severity: High) Уязвимость компонента Network веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Cross-site request forgery in DeviceBoundSessionCredentials in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DeviceBoundSessionCredentials веб-браузера Google Chrome связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Permissions in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to obtain sensitive information via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента Permissions веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Downloads in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Confused deputy in BackgroundFetch in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to leak sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента BackgroundFetch веб-браузера Google Chrome связана с отсутствием сохранения источника запроса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-441')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Aura in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Aura веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in Media in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to read memory outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N', score=3.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Geometry in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Geometry веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in Select in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Select веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Platform in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Platform веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Core in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to leak cross-origin data via a crafted Chrome extension. (Chromium security severity: Low) Уязвимость компонента Core веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in FedCM in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FedCM веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebGL in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента WebGL веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Downloads in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Workers in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Workers веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Isolated in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Isolated веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Extensions in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass web origin policy into a privileged page via crafted network traffic. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in ServiceWorker in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in FedCM in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FedCM веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in FileHandling in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FileHandling веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Payments in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Payments веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Omnibox in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions into a privileged page via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Omnibox веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Loader in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Loader веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Core in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to leak sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Core веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in Autofill in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Autofill веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Extensions in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с зависимостью от ненадежных входных данных при принятии решения по безопасности. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-807')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Printing in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Printing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Geometry in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Geometry веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in CORS in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CORS веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in FileSystem in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Memory corruption in V8 in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code inside the sandbox via a crafted Chrome extension. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Transactions Platform in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Transactions Platform веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in DevTools in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DevTools веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in FileSystem in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Scroll in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Scroll веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Browser in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Browser веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in Codecs in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to read memory inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Codecs веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in WebUI in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebUI веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Network in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Network веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper validation of array index in ANGLE in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Passwords in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Confused deputy in Fullscreen in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to spoof UI elements via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Fullscreen веб-браузера Google Chrome связана с отсутствием сохранения источника запроса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-441')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Core in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to execute arbitrary code outside the sandbox via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента Core веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in FileSystem in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданного PDF файла [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Privilege elevation in WebUI in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebUI веб-браузера Google Chrome связана с ошибками разграничения доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-250')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Downloads in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Loader in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Loader веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in FileAPI in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileAPI веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in DevTools in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain cross-origin data via a crafted Chrome extension. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in ControlledFrame in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ControlledFrame веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 153.0.8010.36 allowed a local attacker to execute arbitrary code outside the sandbox via a local program. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in FileAPI in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileAPI веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in Navigation in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Safebrowsing in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Safebrowsing веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in WebMCP in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebMCP веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in DataTransfer in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DataTransfer веб-браузера Google Chrome связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Passwords in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to potentially execute arbitrary code outside the sandbox via UI Interaction. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Buffer overflow in WebGL in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента WebGL веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Numeric truncation error in Media in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с ошибкой числового усечения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-197')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in CORS in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CORS веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper state validation in Safebrowsing in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Safebrowsing веб-браузера Google Chrome связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 153.0.8010.36 allowed a local attacker to execute arbitrary code outside the sandbox via a local program. (Chromium security severity: Medium) Уязвимость компонента DevTools веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Extensions in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Clickjacking in Input in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to spoof UI elements via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Input веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in Network in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Isolated in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Isolated веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Navigation in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Navigation веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Input in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Input веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Core in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Core веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Extensions in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions into a privileged page via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Extensions веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect reference resolution in FileSystem in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с использованием имени с неправильной ссылкой. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-706')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper state validation in Installer in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Installer веб-браузера Google Chrome связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incomplete cleanup in Downloads in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с неполной очисткой временных или вспомогательных ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper encoding or escaping of output in CSS in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper certificate validation in CORS in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass web origin policy via crafted network traffic. (Chromium security severity: Low) Уязвимость компонента CORS веб-браузера Google Chrome связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in SiteIsolation in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Browser in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Browser веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in LocalNetworkAccess in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента LocalNetworkAccess веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in UI in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента UI веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Browser in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Browser веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Web Authentication in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass web origin policy via a crafted Chrome extension. (Chromium security severity: Low) Уязвимость компонента Web Authentication веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Origin validation error in Paint in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Paint веб-браузера Google Chrome связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to read memory inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in Layout in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to leak sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Layout веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in UrlFormatting in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to spoof address bar via a crafted domain name. (Chromium security severity: Medium) Уязвимость компонента UrlFormatting веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Chromium in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to spoof UI elements via crafted network traffic. (Chromium security severity: Low) Уязвимость компонента Chromium веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Views in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in SiteIsolation in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to bypass site isolation via a crafted file. (Chromium security severity: Medium) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper certificate validation in Loader in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass web origin policy via crafted network traffic. (Chromium security severity: Low) Уязвимость компонента Loader веб-браузера Google Chrome связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Injection in DevTools in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DevTools веб-браузера Google Chrome связана с недостаточной нейтрализацией специальных элементов в запросе. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-74')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Network in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Network веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in ServiceWorker in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Loader in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Loader веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Isolated in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass web origin policy into a privileged page via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Isolated веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Receiver in Google Chrome prior to 153.0.8010.36 allowed an adjacent attacker to execute arbitrary code outside the sandbox via crafted network traffic. (Chromium security severity: High) Уязвимость компонента Receiver веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Buffer overflow in WebRTC in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in WebAppInstalls in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebAppInstalls веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Payments in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Payments веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Confused deputy in DataTransfer in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DataTransfer веб-браузера Google Chrome связана с отсутствием сохранения источника запроса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-441')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in WebUI in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions into a privileged page via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebUI веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to read memory outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Chromecast in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Chromecast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in SiteIsolation in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Passwords in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially leak sensitive information via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента Passwords веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N', score=5.9) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Extensions in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in Tint in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially read memory inside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Tint веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Editing in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Editing веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in DataTransfer in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DataTransfer веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Server-side request forgery in Mobile in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Mobile веб-браузера Google Chrome связана с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-918')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to read memory outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in ServiceWorker in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper input validation in Interstitials in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Interstitials веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in V8 in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента V8 веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in FileSystem in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in ANGLE in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента ANGLE веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in Contacts in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to potentially obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Contacts веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in SiteIsolation in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass site isolation via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SiteIsolation веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper certificate validation in FedCM in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass web origin policy via crafted network traffic. (Chromium security severity: Low) Уязвимость компонента FedCM веб-браузера Google Chrome связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Omnibox in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions into a privileged page via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Omnibox веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in FileSystem in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to obtain cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect reference resolution in Extensions in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с использованием имени с неправильной ссылкой. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-706')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.0) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in ServiceWorker in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента ServiceWorker веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in Payments in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Payments веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DevTools веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in Prefetch in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Prefetch веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in SVG in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента SVG веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in FedCM in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FedCM веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Observable discrepancy in DOM in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to obtain sensitive information via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента DOM веб-браузера Google Chrome связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to execute arbitrary code inside the sandbox via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in DeviceBoundSessionCredentials in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass web origin policy via crafted network traffic. (Chromium security severity: Medium) Уязвимость компонента DeviceBoundSessionCredentials веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Cast in Google Chrome prior to 153.0.8010.36 allowed an adjacent attacker to potentially execute arbitrary code outside the sandbox via crafted network traffic. (Chromium security severity: Critical) Уязвимость компонента Cast веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Sources in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to leak sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Sources веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in WebRTC in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to read memory inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebRTC веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Missing authorization in DOM in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially leak sensitive information via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента DOM веб-браузера Google Chrome связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Cross-site scripting in SanitizerAPI in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента SanitizerAPI веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Views in Google Chrome prior to 153.0.8010.36 allowed a local attacker to execute arbitrary code outside the sandbox via UI Interaction. (Chromium security severity: High) Уязвимость компонента Views веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebPackaging in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebPackaging веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Payments in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Payments веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in XML in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента XML веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in Media in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Media веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebPackaging in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebPackaging веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H', score=8.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race condition in Browser in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Browser веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N', score=4.2) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in WebGL in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента WebGL веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper state validation in Safebrowsing in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Safebrowsing веб-браузера Google Chrome связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Web Authentication in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Web Authentication веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Uninitialized resource in GPU in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to read memory outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента GPU веб-браузера Google Chrome связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:N/A:N', score=3.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium UI misrepresentation in Downloads in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds read in WebGL in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebGL веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in Paint in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to obtain cross-origin data via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Paint веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect authorization in PushAPI in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to bypass web origin policy via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PushAPI веб-браузера Google Chrome связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Clickjacking in Downloads in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to spoof UI elements via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Improper state validation in Safebrowsing in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента Safebrowsing веб-браузера Google Chrome связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 153.0.8010.36 allowed a remote attacker who had compromised the renderer process to read memory inside the sandbox via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента V8 веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Information leak in Extensions in Google Chrome prior to 153.0.8010.36 allowed a remote attacker leveraging social engineering to obtain cross-origin data via a crafted Chrome extension. (Chromium security severity: Medium) Уязвимость компонента Extensions веб-браузера Google Chrome связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности